Das Verarbeitungsverzeichnis ist die schriftliche Übersicht aller Verarbeitungstätigkeiten mit personenbezogenen Daten, die ein Verantwortlicher führen muss. Es steht in Art. 30 DSGVO und enthält für jede Tätigkeit Zweck, Betroffene, Datenkategorien, Empfänger, Löschfristen und Schutzmaßnahmen. Die Ausnahme für Unternehmen unter 250 Beschäftigten hilft Praxen und Kanzleien kaum: Sie entfällt, sobald regelmäßig verarbeitet wird oder Gesundheitsdaten im Spiel sind. Jedes neue KI-Werkzeug braucht deshalb einen eigenen Eintrag.
Ein Beispiel aus dem Alltag
Die Steuerkanzlei Muster (ein erfundenes Beispiel) hat 15 Mitarbeitende und führt ein Verarbeitungsverzeichnis mit Einträgen für Mandantenbuchhaltung, Lohnabrechnung, E-Mail und Website. Jetzt führt sie einen KI-Assistenten ein, mit dem Mitarbeitende Mandantenschreiben entwerfen und Bescheide zusammenfassen.
Die Kanzlei legt dafür einen neuen Eintrag an: Zweck, betroffene Mandanten und Beschäftigte, Datenkategorien, den Anbieter als Auftragsverarbeiter, Speicherort, Löschfristen und einen Verweis auf die technischen und organisatorischen Maßnahmen. Fragt die Aufsichtsbehörde nach, kann die Kanzlei den Eintrag vorlegen.
Das Verarbeitungsverzeichnis im Einzelnen
Was hinein muss (Art. 30 Abs. 1)
Für jede Verarbeitungstätigkeit:
- a) Name und Kontaktdaten des Verantwortlichen, gegebenenfalls gemeinsam Verantwortlicher, Vertreter und Datenschutzbeauftragter.
- b) Die Zwecke der Verarbeitung.
- c) Die Kategorien betroffener Personen und personenbezogener Daten.
- d) Die Kategorien von Empfängern, auch in Drittländern.
- e) Gegebenenfalls Übermittlungen in Drittländer und die dafür vorgesehenen Garantien.
- f) Wenn möglich, die Fristen für die Löschung.
- g) Wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32.
Auch Auftragsverarbeiter, etwa ein KI-Anbieter, führen ein eigenes, kürzeres Verzeichnis für die Tätigkeiten, die sie für ihre Kunden erbringen (Art. 30 Abs. 2).
Form und Vorlage
Das Verzeichnis ist schriftlich zu führen, das kann auch elektronisch sein (Abs. 3). Auf Anfrage muss es der Aufsichtsbehörde vorgelegt werden (Abs. 4). Es muss nicht veröffentlicht werden.
Die Ausnahme unter 250 Beschäftigten und ihre Grenzen
Unternehmen und Einrichtungen mit weniger als 250 Beschäftigten sind nach Art. 30 Abs. 5 befreit, aber nur, wenn keine dieser Bedingungen vorliegt:
- Die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der Betroffenen.
- Die Verarbeitung erfolgt nicht nur gelegentlich.
- Es werden besondere Kategorien nach Art. 9 (etwa Gesundheitsdaten) oder Daten über Straftaten verarbeitet.
Lohnabrechnung, Kundenverwaltung oder Patientenakte laufen regelmäßig, also nicht nur gelegentlich. Arztpraxen verarbeiten zudem immer Gesundheitsdaten. In der Praxis brauchen deshalb fast alle Praxen, Kanzleien und Unternehmen ein Verzeichnis. Auf EU-Ebene wird über eine Lockerung dieser Ausnahme beraten. Maßgeblich ist bis zu einer Änderung der geltende Wortlaut.
Sanktion
Ein fehlendes oder unvollständiges Verzeichnis kann mit bis zu zehn Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4 DSGVO). In der Praxis fällt es meist bei einer Prüfung oder nach einer Beschwerde auf.
Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.
Mustereintrag: KI-Assistent
Ersetzen Sie die Angaben in eckigen Klammern durch Ihre eigenen.
- Bezeichnung: KI-Assistent für Texte und Recherche
- Verantwortlicher: [Name der Praxis, Kanzlei oder des Unternehmens], [Anschrift], [E-Mail]
- Datenschutzbeauftragter: [Name, Kontakt] oder „nicht benannt“
- Zwecke: Entwürfe für [Briefe, Schriftsätze, Berichte], Zusammenfassung von Dokumenten, Recherche. Ergebnisse werden vor Verwendung durch eine Person geprüft.
- Rechtsgrundlage: [Art. 6 Abs. 1 lit. b oder f DSGVO], bei Gesundheitsdaten [Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 BDSG]
- Betroffene Personen: [Patienten, Mandanten, Kunden], Beschäftigte als Nutzer
- Datenkategorien: Kontaktdaten, Inhalte von Dokumenten und Eingaben, [Gesundheitsdaten], Nutzungsprotokolle der Beschäftigten
- Empfänger: [Name des KI-Anbieters] als Auftragsverarbeiter (AVV vom [Datum]), dessen Unterauftragsverarbeiter laut Liste
- Drittlandübermittlung: [keine / Land und Garantie, z. B. Standardvertragsklauseln]
- Löschfristen: Inhalte im Werkzeug [Frist oder „durch Nutzer, spätestens bei Kontolöschung“], Speicherung beim Modellanbieter [z. B. keine, Zero Data Retention], übernommene Ergebnisse nach den Fristen der Akte
- TOM: Verschlüsselung bei Übertragung und Speicherung, Zugriff nur für berechtigte Beschäftigte, [Zwei-Faktor-Anmeldung], Schulung, Verweis auf TOM-Dokument des Anbieters
- DSFA: [durchgeführt am Datum / Vorprüfung: nicht erforderlich, Begründung]
Was das Verzeichnis nicht schützt
Das Verzeichnis dokumentiert, was Sie mit Daten tun. Was ein Anbieter mit Ihren Daten tun darf, steht nicht darin, sondern in dessen Vertrag. Steht dort eine Lizenz zur Weiterverwendung „anonymisierter“ oder „aggregierter“ Daten, verlassen Ihre Inhalte nach der Anonymisierung den Schutz der DSGVO (Erwägungsgrund 26). Sie dürfen dann rechtmäßig gebündelt und verkauft werden, und kein Eintrag in Ihrem Verzeichnis ändert daran etwas. Wie das abläuft, zeigt Die Datenspur.
Was das für KI-Werkzeuge bedeutet
- Ein Eintrag pro Werkzeug: Auch kostenlose Tools, die Beschäftigte nutzen, gehören hinein, oder sie werden untersagt.
- Empfänger prüfen: Ist der Anbieter Auftragsverarbeiter mit AVV, oder verarbeitet er Daten für eigene Zwecke?
- Löschfristen klären: Wie lange speichern Anbieter und Modellanbieter?
- TOM anfordern: Lassen Sie sich die Maßnahmen schriftlich geben, siehe TOM mit Checkliste.
Für den Eintrag zu Wysor sind die Antworten kurz: Wysor ist Auftragsverarbeiter nach Art. 28 DSGVO, nimmt sich keine Lizenz zur Weiterverwendung, trainiert nicht mit Ihren Inhalten und verkauft sie nicht, weder personenbezogen noch anonymisiert. Das steht im Vertrag und bindet auch jeden, dem Wysor künftig gehören könnte. Die Daten sind bei der Übertragung und im Ruhezustand verschlüsselt und werden in der EU gehostet. Bei jedem angebundenen Modellanbieter gilt Zero Data Retention. Ihr Team arbeitet in einem Arbeitsbereich mit mehreren Modellen, darunter GPT, Claude und Gemini.
Häufige Fragen
Wer muss ein Verarbeitungsverzeichnis führen? Grundsätzlich jeder Verantwortliche und jeder Auftragsverarbeiter. Die Ausnahme für weniger als 250 Beschäftigte greift nur, wenn die Verarbeitung gelegentlich, risikoarm und ohne besondere Datenkategorien erfolgt. Das ist selten.
Braucht eine Arztpraxis ein Verarbeitungsverzeichnis? Ja. Praxen verarbeiten regelmäßig Gesundheitsdaten nach Art. 9 DSGVO, damit entfällt die Ausnahme unabhängig von der Größe.
Was ist der Unterschied zwischen Verarbeitungsverzeichnis und DSFA? Das Verzeichnis listet alle Verarbeitungen auf. Die Datenschutz-Folgenabschätzung ist eine vertiefte Risikoprüfung für Verarbeitungen mit hohem Risiko.
Muss ich das Verzeichnis veröffentlichen? Nein. Sie müssen es führen und der Aufsichtsbehörde auf Anfrage vorlegen.
Wie oft muss das Verzeichnis aktualisiert werden? Eine feste Frist gibt es nicht. Es muss aktuell sein, also bei jeder neuen oder geänderten Verarbeitung angepasst werden, etwa wenn Sie ein neues KI-Werkzeug einführen.
Weiterlesen
- Datenschutz-Folgenabschätzung einfach erklärt. Wann eine DSFA Pflicht ist.
- Technische und organisatorische Maßnahmen (TOM). Was in das Feld „TOM“ gehört.
- AVV mit KI-Anbietern. Worauf es im Vertrag ankommt.
- Legal verkäuflich. Die Quellen hinter dem Markt für anonymisierte Daten.
Fragen zum Verarbeitungsverzeichnis oder zum AVV mit Wysor? Schreiben Sie an [email protected] oder nutzen Sie das Kontaktformular in der App.
