[{"data":1,"prerenderedAt":14},["ShallowReactive",2],{"article:de:das-dsgvo-verzeichnis-der-verarbeitungstaetigkeiten-fuer-ein-softwareunternehmen-sieben-felder-vier-felder-warum-die-250-personen-ausnahme-nie-greift-und-eine-seite-die-es-schreibt":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"answer":9,"body":13},"de","das-dsgvo-verzeichnis-der-verarbeitungstaetigkeiten-fuer-ein-softwareunternehmen-sieben-felder-vier-felder-warum-die-250-personen-ausnahme-nie-greift-und-eine-seite-die-es-schreibt","Das DSGVO-Verzeichnis der Verarbeitungstätigkeiten für ein Softwareunternehmen: die sieben Felder von Artikel 30 Absatz 1, die vier von Artikel 30 Absatz 2, warum die 250-Personen-Ausnahme nie greift, und eine Seite, die es schreibt","Artikel 30 ist die eine DSGVO-Pflicht, auf die jede andere zurückverweist, und die, von der die meisten Softwareunternehmen glauben, die 250-Personen-Ausnahme erspare sie ihnen. Tut sie nicht: Artikel 30 Absatz 5 hebt die Ausnahme für jede Verarbeitung auf, die nicht nur gelegentlich erfolgt, und ein Produkt im Einsatz verarbeitet täglich. Die sieben Felder des Verzeichnisses eines Verantwortlichen und die vier eines Auftragsverarbeiters, aus dem Amtsblatt gelesen, wofür jedes Feld da ist, die ISO-27701-Maßnahme, die es nachweist, und die kostenlose Seite, die das Verzeichnis je eine Tätigkeit schreibt.","2026-09-12",{"who":10,"when":11,"do":12},"Jedes Softwareunternehmen mit einem laufenden Produkt: als Verantwortlicher für die eigenen Kunden-, Interessenten- und Mitarbeiterdaten (Artikel 30 Absatz 1) und, wo es im Produkt Daten für seine Kunden verarbeitet, auch als deren Auftragsverarbeiter (Artikel 30 Absatz 2); bei jeder Personenzahl, weil die Verarbeitung nicht nur gelegentlich erfolgt.","Das Verzeichnis ist ab der ersten Verarbeitung fällig und wird der Aufsichtsbehörde auf Anfrage vorgelegt (Artikel 30 Absatz 4); es ändert sich, wann immer sich ein Zweck, ein Empfänger, eine Übermittlung oder eine Aufbewahrungsfrist ändert, und sein Übermittlungsfeld ist der Ort, an dem die Grundlage aus Kapitel V für jeden Unterauftragsverarbeiter außerhalb des EWR festgehalten wird.","Schreiben Sie mit der kostenlosen Seite je Verarbeitungstätigkeit ein Verzeichnis, sieben Felder für die Seite des Verantwortlichen und vier für die des Auftragsverarbeiters, jedes mit dem Punkt von Artikel 30 beschriftet, den es beantwortet, und führen Sie es dort, wo die Auftragsverarbeitungsverträge und die Frist bei Verletzungen sind.","\nFragt man ein Softwareunternehmen nach seinen DSGVO-Unterlagen, ist die erste Antwort meist eine Datenschutzerklärung und ein Auftragsverarbeitungsvertrag, den ein Kunde geschickt hat. Das Dokument, das die Verordnung tatsächlich zuerst nennt, und das eine Aufsichtsbehörde zuerst verlangt, ist keines von beiden: es ist das Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30, und der Glaube, Unternehmen unter 250 Personen bräuchten keines, ist die teuerste Fehllesung des Textes. Dieser Artikel liest Artikel 30 Punkt für Punkt, sagt, wofür jedes Feld da ist, und gibt Ihnen die [Seite, die das Verzeichnis schreibt](\u002Fgdpr\u002Frecord-of-processing).\n\n## Warum die 250-Personen-Ausnahme ein Produkt im Einsatz nie erreicht\n\nArtikel 30 Absatz 5 sagt, die Pflichten der Absätze 1 und 2 gälten nicht für Unternehmen oder Einrichtungen, die weniger als 250 Personen beschäftigen. Der Satz geht weiter: es sei denn, die von ihnen vorgenommene Verarbeitung birgt voraussichtlich ein Risiko für die Rechte und Freiheiten der betroffenen Personen, die Verarbeitung erfolgt nicht nur gelegentlich, oder die Verarbeitung schließt besondere Datenkategorien gemäß Artikel 9 Absatz 1 oder personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Artikels 10 ein. Drei Bedingungen, von denen jede einzelne die Pflicht wiederherstellt.\n\nDie zweite entscheidet die Sache für Software. Ein Produkt im Einsatz verarbeitet an jedem Tag, an dem der Dienst läuft, personenbezogene Daten: Anmeldungen, Konten, Support-Tickets, Telemetrie, die Endnutzerdaten der Kunden im Produkt. Nichts davon ist gelegentlich. Die Ausnahme wurde für die Bäckerei geschrieben, die eine Weihnachts-Versandliste führt, nicht für ein Unternehmen, dessen Produkt eine Verarbeitungstätigkeit ist. Die [Bestimmung der Pflichten](\u002Fgdpr\u002Fduties) schaltet das Verzeichnis für jedes Unternehmen ein, das die Frage „erfolgt die Verarbeitung nur gelegentlich“ mit Nein beantwortet, bei jeder Personenzahl, und das ist die Lesart, von der dieser Artikel ausgeht.\n\n## Die sieben Felder des Verzeichnisses eines Verantwortlichen, Artikel 30 Absatz 1\n\nArtikel 30 Absatz 1 verlangt von jedem Verantwortlichen und gegebenenfalls seinem Vertreter ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen, schriftlich, was auch in einem elektronischen Format erfolgen kann (Absatz 3). Das Verzeichnis enthält sieben Dinge:\n\n**(a) Den Namen und die Kontaktdaten** des Verantwortlichen und gegebenenfalls des gemeinsam mit ihm Verantwortlichen, des Vertreters des Verantwortlichen sowie des Datenschutzbeauftragten. Ein Block, auf jedem Verzeichnis wiederverwendet; er ändert sich, wenn Sie einen Beauftragten oder einen Vertreter benennen.\n\n**(b) Die Zwecke der Verarbeitung.** Ein Zweck je Verzeichnis ist die Disziplin, die den Rest ehrlich hält: „Kundenkonten und Abrechnung“, „Personalgewinnung“, „Produktanalytik“ sind drei Verzeichnisse, nicht eines.\n\n**(c) Eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten.** Die Administratoren und Endnutzer der Kunden; Beschäftigte und Bewerber; die Felder, die Sie über jede Gruppe halten: Identität, Kontakt, Konto, Nutzung, Zahlung.\n\n**(d) Die Kategorien von Empfängern,** gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, einschließlich Empfängern in Drittländern oder internationalen Organisationen. Das ist die Liste Ihrer Auftragsverarbeiter und der anderen Dienstleister des Kunden, an die Sie Daten weitergeben; es ist dieselbe Liste, mit der Artikel 28 Sie Verträge schließen lässt.\n\n**(e) Gegebenenfalls Übermittlungen personenbezogener Daten an ein Drittland** oder an eine internationale Organisation, einschließlich der Angabe des betreffenden Drittlands und, im Falle der in Artikel 49 Absatz 1 zweiter Unterabsatz genannten Datenübermittlungen, der Dokumentierung geeigneter Garantien. Für ein Unternehmen auf einer Cloud mit Sitz in den USA ist dies das Feld, in dem je Übermittlung der Angemessenheitsbeschluss, die Standardvertragsklauseln oder die Ausnahme genannt wird.\n\n**(f) Wenn möglich, die vorgesehenen Fristen für die Löschung** der verschiedenen Datenkategorien. Kontodaten für die Dauer des Vertrags plus die Aufbewahrung, die Ihr Rechnungsrecht vorschreibt; Protokolle neunzig Tage; Bewerberdaten sechs Monate. Der Aufbewahrungsplan lebt hier, je Kategorie.\n\n**(g) Wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen** gemäß Artikel 32 Absatz 1. Nicht das ganze ISMS: ein Absatz, der Verschlüsselung im Ruhezustand und bei der Übertragung, Zugriffskontrolle, Backups, Protokollierung und das Zertifikat nennt, das Sie halten.\n\n## Die vier Felder des Verzeichnisses eines Auftragsverarbeiters, Artikel 30 Absatz 2\n\nArtikel 30 Absatz 2 verlangt von jedem Auftragsverarbeiter und gegebenenfalls seinem Vertreter ein Verzeichnis aller Kategorien von im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung. Für ein SaaS ein Verzeichnis je Kunde oder je Kundensegment, mit vier Feldern:\n\n**(a) Den Namen und die Kontaktdaten** des Auftragsverarbeiters oder der Auftragsverarbeiter und jedes Verantwortlichen, in dessen Auftrag der Auftragsverarbeiter tätig ist, sowie des Vertreters des Verantwortlichen oder des Auftragsverarbeiters und des Datenschutzbeauftragten.\n\n**(b) Die Kategorien von Verarbeitungen,** die im Auftrag jedes Verantwortlichen durchgeführt werden: Speicherung, Hosting, Analytik, Support-Zugriff, Backups.\n\n**(c) Gegebenenfalls Übermittlungen** an ein Drittland oder eine internationale Organisation, mit derselben Dokumentation wie im Verzeichnis des Verantwortlichen.\n\n**(d) Wenn möglich, eine allgemeine Beschreibung** der technischen und organisatorischen Sicherheitsmaßnahmen gemäß Artikel 32 Absatz 1.\n\nDas Verzeichnis des Auftragsverarbeiters ist das Dokument, auf das sich die Verzeichnisse Ihrer Kunden stützen. Wenn ein Bankkunde sein eigenes Feld (d) mit Ihrem Namen ausfüllt, sind die Kategorien und Übermittlungen, die er schreibt, die, die Sie ihm in diesem Verzeichnis und im Vertrag nach Artikel 28 Absatz 3 mitgeteilt haben; die beiden Dokumente müssen übereinstimmen.\n\n## Was ISO 27701 nachweist, Feld für Feld\n\nISO\u002FIEC 27701 erweitert ein ISO-27001-Managementsystem um den Datenschutz, und ihr Anhang A (Verantwortliche) und ihr Anhang B (Auftragsverarbeiter) enthalten eine Maßnahme für Aufzeichnungen zur Verarbeitung personenbezogener Daten, A.7.2.8 beziehungsweise B.8.2.6, deren Umsetzung genau das obige Verzeichnis ist. Die Übermittlungsfelder werden durch die Übermittlungsmaßnahmen nachgewiesen, A.7.5.1 bis A.7.5.4 für einen Verantwortlichen und B.8.5.1 und B.8.5.2 für einen Auftragsverarbeiter; das Aufbewahrungsfeld durch A.7.4.7; die Empfänger durch die Offenlegungsaufzeichnung von A.7.5.4. Die Seite, die das Verzeichnis schreibt, nennt hinter jedem Feld die Maßnahme, in der Lesart von StandardOS; die Verordnung nennt keine Norm und gewährt keine Konformitätsvermutung, und das Verzeichnis ist das, was die Aufsichtsbehörde liest, nicht das Zertifikat.\n\n## Es schreiben\n\nDie [Seite für das Verzeichnis der Verarbeitungstätigkeiten](\u002Fgdpr\u002Frecord-of-processing) fragt nach der Rolle, dem Unternehmen, der Tätigkeit und dann je Punkt des Absatzes nach einer Eingabe, beschriftet mit dem Punkt wörtlich in Ihrer Sprache. Das Ergebnis ist das Verzeichnis als Dokument, zum Kopieren in Ihr System oder zum Herunterladen als Markdown. Ein Verzeichnis je Tätigkeit; fünf bis zehn Verzeichnisse decken ein typisches Softwareunternehmen ab, und das erste ist das, auf das jede andere DSGVO-Pflicht zurückverweist: die [Folgenabschätzung](\u002Fgdpr\u002Fduties) wird je Tätigkeit im Verzeichnis durchgeführt, die Meldung einer Verletzung nennt die Kategorien betroffener Personen und Daten aus dem Verzeichnis, und die Übermittlungsgrundlage für jeden Unterauftragsverarbeiter steht in Feld (e).\n",1789383971082]