Auf die, die das Verarbeitungsverzeichnis pflegen, wenn niemand fragt

Eine Abteilung hat im Sommer ein Werkzeug für Online-Terminbuchungen eingeführt. Es funktioniert, die Bürgerinnen und Kunden sind zufrieden, die Rechnungen kommen monatlich. Dem Datenschutz hat niemand Bescheid gesagt, nicht aus Absicht, sondern weil niemand daran gedacht hat.

Im Oktober geht die Datenschutzkoordinatorin die Liste der laufenden Verträge durch, so wie jedes Quartal, ohne dass jemand danach gefragt hätte. Sie findet den neuen Anbieter, ruft in der Abteilung an und trägt die Verarbeitung nach: welche Daten, zu welchem Zweck, wer sie sieht, wo der Anbieter sitzt, wann gelöscht wird. Eine halbe Stunde Arbeit. Niemand bedankt sich, weil niemand davon weiß.

Was fehlt, wenn sie fehlt

Solange alles läuft, fehlt nichts. Das Verzeichnis zeigt seine Lücken erst, wenn es gebraucht wird: wenn jemand Auskunft über seine Daten verlangt und niemand weiß, dass es dieses Werkzeug gibt. Wenn der Anbieter eine Datenpanne meldet und erst einmal geklärt werden muss, welche Daten dort überhaupt liegen. Oder wenn die Aufsichtsbehörde das Verzeichnis anfordert und es den Stand vom letzten Audit zeigt.

Wo es verlangt wird

Art. 30 Absatz 1 DSGVO ist knapp:

„Jeder Verantwortliche und gegebenenfalls sein Vertreter führen ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen.“

Danach folgt die Liste, was hineingehört: Zwecke, Kategorien betroffener Personen und Daten, Empfänger, Übermittlungen in Drittländer, wenn möglich Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. Absatz 4 sagt, wofür: Das Verzeichnis wird der Aufsichtsbehörde „auf Anfrage zur Verfügung“ gestellt. Auf Anfrage heißt: zu einem Zeitpunkt, den man sich nicht aussucht.

Die Ausnahme für Einrichtungen mit weniger als 250 Beschäftigten in Absatz 5 hilft selten. Sie gilt nicht, wenn die Verarbeitung „nicht nur gelegentlich“ erfolgt, und Kunden-, Personal- oder Bürgerdaten werden in aller Regel nicht nur gelegentlich verarbeitet.

Warum es niemand sieht

Ein Verzeichnis, das gepflegt wird, sieht genauso aus wie eines, das veraltet ist. Beide haben ein Deckblatt, beide haben Zeilen, beide bestehen den flüchtigen Blick. Den Unterschied merkt man erst an der Zeile, die fehlt, und die fällt nur dem auf, der regelmäßig nachsieht, ohne dass jemand danach fragt.

Es gibt keinen Termin, an dem das fällig wäre, und keinen Bericht, in dem es auftaucht. Gerade deshalb hängt es an Menschen, die es trotzdem tun.

Auf sie

Auf die, die bei jeder neuen Rechnung kurz überlegen, ob da Daten drinstecken. Die in der Abteilung anrufen, statt auf eine Meldung zu warten. Und die ein Verzeichnis führen, das am Tag der Anfrage stimmt, nicht nur am Tag des Audits.

Quellen

Verordnung (EU) 2016/679 (DSGVO), Art. 30 Absatz 1, 4 und 5, konsolidierte Fassung einschließlich Berichtigungen, abgerufen am 30.10.2026.

In der nächsten Folge: Auf die, die eine Firewall-Regel löschen, statt die nächste anzulegen. Die vorige Folge: Auf die, die „nicht anwendbar“ begründen, statt es anzukreuzen.