Fragt man ein Softwareunternehmen nach seinen DSGVO-Unterlagen, ist die erste Antwort meist eine Datenschutzerklärung und ein Auftragsverarbeitungsvertrag, den ein Kunde geschickt hat. Das Dokument, das die Verordnung tatsächlich zuerst nennt, und das eine Aufsichtsbehörde zuerst verlangt, ist keines von beiden: es ist das Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30, und der Glaube, Unternehmen unter 250 Personen bräuchten keines, ist die teuerste Fehllesung des Textes. Dieser Artikel liest Artikel 30 Punkt für Punkt, sagt, wofür jedes Feld da ist, und gibt Ihnen die Seite, die das Verzeichnis schreibt.

Warum die 250-Personen-Ausnahme ein Produkt im Einsatz nie erreicht

Artikel 30 Absatz 5 sagt, die Pflichten der Absätze 1 und 2 gälten nicht für Unternehmen oder Einrichtungen, die weniger als 250 Personen beschäftigen. Der Satz geht weiter: es sei denn, die von ihnen vorgenommene Verarbeitung birgt voraussichtlich ein Risiko für die Rechte und Freiheiten der betroffenen Personen, die Verarbeitung erfolgt nicht nur gelegentlich, oder die Verarbeitung schließt besondere Datenkategorien gemäß Artikel 9 Absatz 1 oder personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Artikels 10 ein. Drei Bedingungen, von denen jede einzelne die Pflicht wiederherstellt.

Die zweite entscheidet die Sache für Software. Ein Produkt im Einsatz verarbeitet an jedem Tag, an dem der Dienst läuft, personenbezogene Daten: Anmeldungen, Konten, Support-Tickets, Telemetrie, die Endnutzerdaten der Kunden im Produkt. Nichts davon ist gelegentlich. Die Ausnahme wurde für die Bäckerei geschrieben, die eine Weihnachts-Versandliste führt, nicht für ein Unternehmen, dessen Produkt eine Verarbeitungstätigkeit ist. Die Bestimmung der Pflichten schaltet das Verzeichnis für jedes Unternehmen ein, das die Frage „erfolgt die Verarbeitung nur gelegentlich“ mit Nein beantwortet, bei jeder Personenzahl, und das ist die Lesart, von der dieser Artikel ausgeht.

Die sieben Felder des Verzeichnisses eines Verantwortlichen, Artikel 30 Absatz 1

Artikel 30 Absatz 1 verlangt von jedem Verantwortlichen und gegebenenfalls seinem Vertreter ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen, schriftlich, was auch in einem elektronischen Format erfolgen kann (Absatz 3). Das Verzeichnis enthält sieben Dinge:

(a) Den Namen und die Kontaktdaten des Verantwortlichen und gegebenenfalls des gemeinsam mit ihm Verantwortlichen, des Vertreters des Verantwortlichen sowie des Datenschutzbeauftragten. Ein Block, auf jedem Verzeichnis wiederverwendet; er ändert sich, wenn Sie einen Beauftragten oder einen Vertreter benennen.

(b) Die Zwecke der Verarbeitung. Ein Zweck je Verzeichnis ist die Disziplin, die den Rest ehrlich hält: „Kundenkonten und Abrechnung“, „Personalgewinnung“, „Produktanalytik“ sind drei Verzeichnisse, nicht eines.

(c) Eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten. Die Administratoren und Endnutzer der Kunden; Beschäftigte und Bewerber; die Felder, die Sie über jede Gruppe halten: Identität, Kontakt, Konto, Nutzung, Zahlung.

(d) Die Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, einschließlich Empfängern in Drittländern oder internationalen Organisationen. Das ist die Liste Ihrer Auftragsverarbeiter und der anderen Dienstleister des Kunden, an die Sie Daten weitergeben; es ist dieselbe Liste, mit der Artikel 28 Sie Verträge schließen lässt.

(e) Gegebenenfalls Übermittlungen personenbezogener Daten an ein Drittland oder an eine internationale Organisation, einschließlich der Angabe des betreffenden Drittlands und, im Falle der in Artikel 49 Absatz 1 zweiter Unterabsatz genannten Datenübermittlungen, der Dokumentierung geeigneter Garantien. Für ein Unternehmen auf einer Cloud mit Sitz in den USA ist dies das Feld, in dem je Übermittlung der Angemessenheitsbeschluss, die Standardvertragsklauseln oder die Ausnahme genannt wird.

(f) Wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien. Kontodaten für die Dauer des Vertrags plus die Aufbewahrung, die Ihr Rechnungsrecht vorschreibt; Protokolle neunzig Tage; Bewerberdaten sechs Monate. Der Aufbewahrungsplan lebt hier, je Kategorie.

(g) Wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen gemäß Artikel 32 Absatz 1. Nicht das ganze ISMS: ein Absatz, der Verschlüsselung im Ruhezustand und bei der Übertragung, Zugriffskontrolle, Backups, Protokollierung und das Zertifikat nennt, das Sie halten.

Die vier Felder des Verzeichnisses eines Auftragsverarbeiters, Artikel 30 Absatz 2

Artikel 30 Absatz 2 verlangt von jedem Auftragsverarbeiter und gegebenenfalls seinem Vertreter ein Verzeichnis aller Kategorien von im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung. Für ein SaaS ein Verzeichnis je Kunde oder je Kundensegment, mit vier Feldern:

(a) Den Namen und die Kontaktdaten des Auftragsverarbeiters oder der Auftragsverarbeiter und jedes Verantwortlichen, in dessen Auftrag der Auftragsverarbeiter tätig ist, sowie des Vertreters des Verantwortlichen oder des Auftragsverarbeiters und des Datenschutzbeauftragten.

(b) Die Kategorien von Verarbeitungen, die im Auftrag jedes Verantwortlichen durchgeführt werden: Speicherung, Hosting, Analytik, Support-Zugriff, Backups.

(c) Gegebenenfalls Übermittlungen an ein Drittland oder eine internationale Organisation, mit derselben Dokumentation wie im Verzeichnis des Verantwortlichen.

(d) Wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen gemäß Artikel 32 Absatz 1.

Das Verzeichnis des Auftragsverarbeiters ist das Dokument, auf das sich die Verzeichnisse Ihrer Kunden stützen. Wenn ein Bankkunde sein eigenes Feld (d) mit Ihrem Namen ausfüllt, sind die Kategorien und Übermittlungen, die er schreibt, die, die Sie ihm in diesem Verzeichnis und im Vertrag nach Artikel 28 Absatz 3 mitgeteilt haben; die beiden Dokumente müssen übereinstimmen.

Was ISO 27701 nachweist, Feld für Feld

ISO/IEC 27701 erweitert ein ISO-27001-Managementsystem um den Datenschutz, und ihr Anhang A (Verantwortliche) und ihr Anhang B (Auftragsverarbeiter) enthalten eine Maßnahme für Aufzeichnungen zur Verarbeitung personenbezogener Daten, A.7.2.8 beziehungsweise B.8.2.6, deren Umsetzung genau das obige Verzeichnis ist. Die Übermittlungsfelder werden durch die Übermittlungsmaßnahmen nachgewiesen, A.7.5.1 bis A.7.5.4 für einen Verantwortlichen und B.8.5.1 und B.8.5.2 für einen Auftragsverarbeiter; das Aufbewahrungsfeld durch A.7.4.7; die Empfänger durch die Offenlegungsaufzeichnung von A.7.5.4. Die Seite, die das Verzeichnis schreibt, nennt hinter jedem Feld die Maßnahme, in der Lesart von StandardOS; die Verordnung nennt keine Norm und gewährt keine Konformitätsvermutung, und das Verzeichnis ist das, was die Aufsichtsbehörde liest, nicht das Zertifikat.

Es schreiben

Die Seite für das Verzeichnis der Verarbeitungstätigkeiten fragt nach der Rolle, dem Unternehmen, der Tätigkeit und dann je Punkt des Absatzes nach einer Eingabe, beschriftet mit dem Punkt wörtlich in Ihrer Sprache. Das Ergebnis ist das Verzeichnis als Dokument, zum Kopieren in Ihr System oder zum Herunterladen als Markdown. Ein Verzeichnis je Tätigkeit; fünf bis zehn Verzeichnisse decken ein typisches Softwareunternehmen ab, und das erste ist das, auf das jede andere DSGVO-Pflicht zurückverweist: die Folgenabschätzung wird je Tätigkeit im Verzeichnis durchgeführt, die Meldung einer Verletzung nennt die Kategorien betroffener Personen und Daten aus dem Verzeichnis, und die Übermittlungsgrundlage für jeden Unterauftragsverarbeiter steht in Feld (e).