Compliance-Lexikon · DSGVO
Verarbeitungsverzeichnis – Praxis
Verarbeitungsverzeichnis wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Ist das Verarbeitungsverzeichnis nach Art. 30 DSGVO vollständig, aktuell und deckt es alle Tätigkeiten inklusive Auftragsverarbeitungen ab?
Gap-Check
Ist das Verarbeitungsverzeichnis nach Art. 30 DSGVO vollständig, aktuell und deckt es alle Tätigkeiten inklusive Auftragsverarbeitungen ab?
Häufige Fehler in der Praxis
- Verarbeitungsverzeichnis wird einmalig erstellt und bei neuen Prozessen nicht ergänzt
- Auftragsverarbeitungen durch externe Dienstleister fehlen im Verzeichnis
- Pflichtangaben wie Speicherdauer oder Empfängerkategorien sind unvollständig
Praxis-Tipp
Das Verarbeitungsverzeichnis ist die zentrale Referenz für fast alle anderen Datenschutzpflichten, von der Rechtsgrundlage bis zur Löschfrist. Veränderungen an Prozessen sollten automatisch eine Überprüfung des Eintrags auslösen.
Pflichtangaben nach Art. 30
Jeder Eintrag muss unter anderem Zweck der Verarbeitung, Kategorien betroffener Personen und Daten, Empfänger, geplante Löschfristen sowie eine Beschreibung der technischen und organisatorischen Maßnahmen enthalten. Das Verzeichnis muss der Aufsichtsbehörde auf Anfrage vorgelegt werden können.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Aktuelles Verarbeitungsverzeichnis mit allen Pflichtangaben, Nachweis regelmäßiger Überprüfung, Verantwortlichkeit je Eintrag. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum Verarbeitungsverzeichnis über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.