Verarbeitungsverzeichnis und Löschkonzept: Pflichtinhalte nach Art. 30 DSGVO, Löschfristen und Aufbau

Kurz gesagt

• Das Verarbeitungsverzeichnis (VVZ) ist für fast jedes Unternehmen Pflicht. Die Ausnahme für Betriebe unter 250 Beschäftigten in Art. 30 Abs. 5 DSGVO greift praktisch nie, weil Personal- und Kundendaten „nicht nur gelegentlich“ verarbeitet werden.
• Das VVZ ist die Landkarte, das Löschkonzept die Regel dazu. Für jede Verarbeitungstätigkeit muss im Verzeichnis eine Löschfrist stehen (Art. 30 Abs. 1 lit. f). Das Löschkonzept legt fest, wie diese Fristen tatsächlich umgesetzt werden.
• Löschfristen ergeben sich aus Aufbewahrungspflichten. Buchungsbelege 8 Jahre, Handelsbriefe 6 Jahre, Jahresabschlüsse 10 Jahre, Bewerberdaten wenige Monate. Wer diese Fristen kennt, hat 80 Prozent des Löschkonzepts.
• Beides sind lebende Dokumente. Jeder neue Dienst, jedes neue Formular, jeder neue Prozess ist ein Eintrag. Ein Verzeichnis von 2019 ist ein Verstoß von heute.

Warum Verzeichnis und Löschkonzept zusammengehören

Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO dokumentiert, welche personenbezogenen Daten dein Unternehmen zu welchem Zweck verarbeitet, wer sie bekommt und wie lange sie gespeichert bleiben. Das Löschkonzept setzt den letzten Punkt um: Es legt für jede Datenart fest, wann und wie sie gelöscht wird, und sorgt dafür, dass das auch passiert. Der Grundsatz dahinter ist die Speicherbegrenzung aus Art. 5 Abs. 1 lit. e DSGVO: Daten dürfen nur so lange in identifizierbarer Form gespeichert werden, wie es für den Zweck erforderlich ist. Und weil Art. 5 Abs. 2 verlangt, dass du die Einhaltung aller Grundsätze nachweisen kannst, brauchst du beides schriftlich.

In der Praxis ist das Verzeichnis außerdem das Rückgrat aller anderen Datenschutzdokumente. Die Datenschutzerklärung ist die Außendarstellung der Website-Verarbeitungen aus dem Verzeichnis. Die Auftragsverarbeitungsverträge gehören zu den Empfängern, die im Verzeichnis stehen. Die technischen und organisatorischen Maßnahmen werden in Art. 30 Abs. 1 lit. g als allgemeine Beschreibung verlangt. Wer das Verzeichnis sauber führt, hat den Rest halb erledigt.

Wer muss ein Verarbeitungsverzeichnis führen?

Grundsätzlich jeder Verantwortliche und jeder Auftragsverarbeiter (Art. 30 Abs. 1 und 2 DSGVO). Art. 30 Abs. 5 nimmt Unternehmen mit weniger als 250 Beschäftigten aus, aber nur, wenn keine der drei Rückausnahmen greift: Die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der Betroffenen, sie erfolgt nicht nur gelegentlich, oder sie umfasst besondere Datenkategorien nach Art. 9 (Gesundheit, Religion, Gewerkschaft) oder Daten über Straftaten nach Art. 10.

Die zweite Rückausnahme ist der Grund, warum die 250-Grenze in der Praxis bedeutungslos ist. Personaldaten, Kundendaten, Lieferantendaten und der Betrieb einer Website werden dauerhaft und regelmäßig verarbeitet, also „nicht nur gelegentlich“. Die Datenschutzkonferenz stellt im Kurzpapier Nr. 1 klar, dass die Ausnahme nur für einzelne, tatsächlich gelegentliche Verarbeitungen gilt, nicht für das Unternehmen als Ganzes. Ergebnis: Auch ein Zwei-Personen-Betrieb braucht das Verzeichnis, zumindest für Personal, Kunden und Website.

Die Pflichtinhalte nach Art. 30 DSGVO

Das Verzeichnis besteht aus einem allgemeinen Teil mit den Angaben zum Unternehmen und je einem Eintrag pro Verarbeitungstätigkeit. Art. 30 Abs. 1 verlangt für Verantwortliche:

Auftragsverarbeiter führen nach Abs. 2 ein eigenes Verzeichnis mit den Kategorien der für jeden Auftraggeber durchgeführten Verarbeitungen, Drittlandübermittlungen und TOM. Wer beides ist, etwa eine Agentur mit eigenen Kunden, führt beide Teile. Das Verzeichnis muss schriftlich vorliegen, ein elektronisches Format genügt (Abs. 3), und es ist der Aufsichtsbehörde auf Anfrage vorzulegen (Abs. 4). Es ist kein Dokument für die Öffentlichkeit und muss nicht auf die Website.

Typische Verarbeitungstätigkeiten in einem kleinen Unternehmen

Die schwierigste Frage beim ersten Verzeichnis ist der Zuschnitt: Was ist eine Verarbeitungstätigkeit? Bewährt hat sich, nach Geschäftsprozessen zu gliedern, nicht nach Systemen. „CRM-Software“ ist kein Eintrag, „Kundenbetreuung und Vertrieb“ ist einer, und die Software steht darin als Mittel. Ein Unternehmen mit 10 bis 50 Beschäftigten kommt typischerweise auf 12 bis 20 Einträge:

Das Löschkonzept: Aufbau nach ISO/IEC 27555

Für Löschkonzepte gibt es eine internationale Norm: ISO/IEC 27555, in der die deutsche DIN 66398 aufgegangen ist. Du musst sie nicht kaufen, um ihre Systematik zu nutzen. Sie besteht aus fünf Schritten, die auch für ein kleines Unternehmen passen:

1. 1Datenarten festlegen. Welche Gruppen von Daten gibt es? Kundenstammdaten, Rechnungsdaten, Bewerberunterlagen, Logfiles, Newsletter-Adressen. Die Datenarten kommen direkt aus dem Verarbeitungsverzeichnis.
2. 2Löschklassen bilden. Jede Löschklasse hat eine Regelfrist und einen Startzeitpunkt. Beispiel: „6 Monate nach Absage“ (Bewerber), „8 Jahre nach Ende des Kalenderjahres der Rechnungsstellung“ (Belege), „sofort nach Widerruf“ (Newsletter). Meist reichen sechs bis acht Klassen für alle Datenarten.
3. 3Löschregeln formulieren. Für jede Datenart: Welche Löschklasse gilt, was löst den Startzeitpunkt aus, wer ist zuständig, in welchem System liegt die Datenart, wie wird gelöscht (physisch, anonymisiert, gesperrt).
4. 4Umsetzung organisieren. Automatische Löschläufe, wo das System es kann (CRM, Newsletter-Tool, Bewerbermanagement). Manuelle Löschtermine im Kalender, wo nicht. Papier über die Aktenvernichtung nach DIN 66399.
5. 5Nachweis führen. Ein Löschprotokoll je Löschlauf: Datum, Datenart, Anzahl oder Zeitraum, wer. Das ist der Nachweis nach Art. 5 Abs. 2, den die Behörde sehen will.

Aufbewahrungspflichten, die die Löschfristen bestimmen

Löschen darfst du erst, wenn keine gesetzliche Aufbewahrungspflicht mehr entgegensteht (Art. 17 Abs. 3 lit. b DSGVO). Die wichtigsten Fristen für deutsche Unternehmen, jeweils gerechnet ab dem Ende des Kalenderjahres, in dem das Dokument entstanden ist:

Während der Aufbewahrungspflicht darfst du die Daten nicht mehr aktiv nutzen. Die DSGVO nennt das Einschränkung der Verarbeitung (Art. 18): Die Rechnung bleibt im Archiv, aber der Kunde verschwindet aus der Marketing-Liste. Technisch heißt das Sperren statt Löschen, und auch das gehört ins Löschkonzept.

Löschen in der Praxis: Backups, Cloud-Tools und Papier

• Backups. Daten in Sicherungskopien müssen nicht sofort gelöscht werden, wenn das technisch unverhältnismäßig wäre. Das Löschkonzept muss aber regeln, dass Backups nach ihrem Zyklus überschrieben werden und dass gelöschte Daten bei einer Wiederherstellung nicht wieder in den Produktivbetrieb gelangen. Dokumentiere den Backup-Zyklus als Löschfrist.
• Cloud- und SaaS-Tools. Löschung im eigenen Konto bedeutet nicht Löschung beim Anbieter. Der Auftragsverarbeitungsvertrag regelt in Art. 28 Abs. 3 lit. g, dass nach Vertragsende gelöscht wird. Für laufende Verträge prüfe die Aufbewahrungseinstellungen des Tools, viele CRM- und Newsletter-Anbieter haben eigene Löschautomatiken.
• Anonymisierung als Alternative. Wenn du Daten für Statistiken behalten willst, anonymisiere sie so, dass kein Personenbezug wiederherstellbar ist. Dann fällt die Verarbeitung aus der DSGVO heraus. Pseudonymisierung reicht dafür nicht.
• Papier. Personalakten, Bewerbungsmappen und Rechnungen auf Papier fallen genauso unter das Löschkonzept. Vernichtung nach DIN 66399, für personenbezogene Daten mindestens Sicherheitsstufe P-4, bei sensiblen Daten P-5. Nachweis über den Vernichtungsdienstleister, mit dem ein AVV besteht.
• E-Mail-Postfächer. Der Klassiker unter den vergessenen Datenspeichern. Regel: Geschäftsrelevante Mails werden ins Dokumentenmanagement übernommen, der Rest nach einer festen Frist gelöscht. Postfächer ausgeschiedener Mitarbeitender werden nach einer Übergangszeit von wenigen Wochen abgeschaltet.

Verzeichnis und Löschkonzept im Alltag verzahnen

Beide Dokumente scheitern selten an der Erstellung, fast immer an der Pflege. Drei Regeln, die sich bewährt haben:

1. 1Jeder neue Dienst ist ein Eintrag. Bevor ein neues Tool, ein Formular oder ein Dienstleister startet, kommt die Verarbeitung ins Verzeichnis, mit Löschfrist und gegebenenfalls AVV. Wer das umgekehrt macht, holt es nie nach.
2. 2Quartalsweise Durchsicht. 30 Minuten: Sind neue Prozesse hinzugekommen, wurden Tools gewechselt, stimmen die Empfänger noch? Die Änderungshistorie wird fortgeschrieben.
3. 3Jährlicher Löschlauf mit Protokoll. Für alle Datenarten, die nicht automatisch gelöscht werden: ein fester Termin, an dem Bewerberdaten, alte Kundenkontakte und abgelaufene Belege gelöscht und die Löschung dokumentiert wird.

Die häufigsten Fehler

• Verzeichnis nach Systemen statt Prozessen. „Microsoft 365“ als Verarbeitungstätigkeit sagt nichts über Zweck, Betroffene und Frist.
• Löschfrist „so lange wie nötig“. Das ist keine Frist. Art. 30 Abs. 1 lit. f verlangt eine konkrete Angabe, wo immer sie möglich ist.
• Kein Startzeitpunkt. „3 Jahre“ ohne Angabe, ab wann. Ab Vertragsende? Ab letzter Rechnung? Ab Jahresende?
• Löschkonzept ohne Umsetzung. Das Dokument sagt „6 Monate“, das Bewerbertool hat noch Unterlagen von 2021.
• Backups vergessen. Die Löschregel gilt im Produktivsystem, die Sicherung von vor drei Jahren enthält alles noch.
• Kein Nachweis. Es wurde gelöscht, aber niemand kann sagen, wann und was. Ohne Protokoll gilt die Löschung gegenüber der Behörde als nicht erfolgt.

Wenn die Behörde nach dem Verzeichnis fragt

Art. 30 Abs. 4 DSGVO verpflichtet dich, das Verzeichnis der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen. In der Praxis ist es die erste Unterlage, die nach einer Beschwerde, einer Datenpanne oder bei einer anlasslosen Prüfung angefordert wird, meist mit einer Frist von zwei bis vier Wochen. Ein fehlendes oder unvollständiges Verzeichnis fällt in den Bußgeldrahmen bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes (Art. 83 Abs. 4 lit. a). Wichtiger als das Bußgeld ist aber die Wirkung: Ein sauberes Verzeichnis beendet viele Prüfungen an dieser Stelle, weil es zeigt, dass der Datenschutz organisiert ist.

Verzeichnis und Löschkonzept mit Dieter

Dieter legt das Verarbeitungsverzeichnis aus einem geführten Fragebogen an, mit vorbereiteten Verarbeitungstätigkeiten für die typischen Prozesse eines kleinen Unternehmens, Löschfristen als Vorschlag und Verknüpfung zu den Auftragsverarbeitungsverträgen und TOM. Der Einstieg ist der DSGVO Check-up, der zeigt, welche Verarbeitungen und Dokumente bei dir fehlen. Alle Preise findest du unter Preispläne.

Fazit

Das Verarbeitungsverzeichnis ist die Inventur deines Datenschutzes, das Löschkonzept die Hausordnung dazu. Beides ist für fast jedes Unternehmen Pflicht, und beides ist mit einem Nachmittag Arbeit angelegt, wenn du nach Prozessen gliederst und die gesetzlichen Aufbewahrungsfristen als Ausgangspunkt nimmst. Was danach zählt, ist die Routine: neuer Dienst, neuer Eintrag, einmal im Jahr löschen und protokollieren.