DSGVO
Verzeichnis der Verarbeitungstätigkeiten nach DSGVO in Luxemburg: Pflichten und Inhalt
Kurzantwort
Das in Artikel 30 DSGVO vorgesehene Verzeichnis der Verarbeitungstätigkeiten erfasst sämtliche Vorgänge, mit denen eine Organisation personenbezogene Daten verarbeitet. In Luxemburg ist es grundsätzlich für jeden Verantwortlichen und jeden Auftragsverarbeiter verpflichtend. Die Ausnahme für Organisationen mit weniger als 250 Arbeitnehmern ist sehr eng und befreit fast nie von der Führung des Verzeichnisses.
Das Verzeichnis der Verarbeitungstätigkeiten ist das zentrale Dokument der DSGVO-Konformität: Es bildet jede Verarbeitung personenbezogener Daten mit ihren Zwecken, ihren Rechtsgrundlagen, ihren Empfängern und ihren Speicherfristen ab. Es ist in Artikel 30 DSGVO vorgesehen und gilt für den Verantwortlichen ebenso wie für den Auftragsverarbeiter. Die Ausnahme für Organisationen mit weniger als 250 Arbeitnehmern ist in Wirklichkeit eng und entfällt, sobald eine regelmäßige Verarbeitung oder sensible Daten vorliegen. Dieser Leitfaden erläutert den Pflichtinhalt, die Methode zum Aufbau, die Aktualisierung, das Zusammenspiel mit der Datenschutz-Folgenabschätzung (DSFA) und die Kontrolle durch die CNPD. Für eine Begleitung lesen Sie unsere Seite Anwalt für DSGVO und unsere Seite Anwaltsberatung.
Kurz gefasst
- Prüfen, ob Sie Verantwortlicher oder Auftragsverarbeiter sind: In beiden Fällen wird ein Verzeichnis erwartet.
- Die Ausnahme für weniger als 250 Arbeitnehmer nicht überschätzen: Sie entfällt, sobald eine regelmäßige Verarbeitung oder sensible Daten vorliegen.
- Für jede Verarbeitung die Zwecke, Rechtsgrundlagen, Kategorien von Daten und Personen, Empfänger und Speicherfristen angeben.
- Die Übermittlungen außerhalb der Europäischen Union und die zugehörigen Garantien dokumentieren.
- Das Verzeichnis mit der Datenschutz-Folgenabschätzung (DSFA) für Verarbeitungen mit hohem Risiko verzahnen.
- Das Verzeichnis aktuell halten und es der CNPD bei einer Kontrolle vorlegen können.
| Rubrik | Erwarteter Inhalt |
|---|---|
| Identität | Name und Kontaktdaten des Verantwortlichen, des Vertreters und gegebenenfalls des Datenschutzbeauftragten |
| Zwecke | Ziel jeder Verarbeitung (Lohnabrechnung, Personalgewinnung, Kundenakquise und so weiter) |
| Betroffene Personen | Kategorien von Personen: Arbeitnehmer, Kunden, Interessenten, Lieferanten |
| Verarbeitete Daten | Datenkategorien: Identität, Kontaktdaten, Finanzdaten, sensible Daten |
| Empfänger | Interne und externe Kategorien von Empfängern |
| Übermittlungen außerhalb der EU | Betroffene Drittländer und Garantien für die Übermittlung |
| Speicherfristen | Vorgesehene Frist für jede Datenkategorie |
| Sicherheit | Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen |
Was ist das Verzeichnis der Verarbeitungstätigkeiten (Artikel 30 DSGVO)
Das Verzeichnis der Verarbeitungstätigkeiten ist das Dokument, das strukturiert sämtliche Vorgänge erfasst, mit denen eine Organisation personenbezogene Daten verarbeitet. Es ist in Artikel 30 DSGVO vorgesehen und ist die konkrete Umsetzung des Grundsatzes der Rechenschaftspflicht: Die Organisation muss die Vorschriften nicht nur einhalten, sondern dies auch nachweisen können.
Konkret bildet das Verzeichnis jede Verarbeitung ab: die Lohnabrechnung, die Personalgewinnung, die Kundenakquise, die Videoüberwachung, die Kundenverwaltung oder auch die IT-Sicherheit. Für jede Verarbeitung gibt es an, warum die Daten verarbeitet werden, auf welcher Rechtsgrundlage, welche Personen und welche Datenkategorien betroffen sind, an wen die Daten übermittelt werden und wie lange sie gespeichert werden.
Das Verzeichnis ist keine bloße Verwaltungsformalität: Es ist das Steuerungsinstrument Ihrer Konformität. Gut geführt ermöglicht es, Verarbeitungen mit Risiko zu erkennen, eine etwaige Datenschutz-Folgenabschätzung (analyse d’impact) vorzubereiten und rasch auf eine Kontrolle der CNPD (Nationale Kommission für den Datenschutz) oder auf einen Antrag auf Ausübung von Betroffenenrechten zu reagieren. Ein Anwalt für DSGVO hilft, es so zu strukturieren, dass es Ihre Tätigkeit getreu abbildet.
Wer muss ein Verzeichnis der Verarbeitungstätigkeiten führen
Die Pflicht zur Führung des Verzeichnisses trifft sowohl den Verantwortlichen, also die Organisation, die über die Zwecke und Mittel der Verarbeitung entscheidet, als auch den Auftragsverarbeiter, der die Daten im Auftrag eines anderen verarbeitet. In Luxemburg fallen nahezu alle Unternehmen, Vereine und öffentlichen Stellen in eine dieser Kategorien.
Der Inhalt des Verzeichnisses unterscheidet sich je nach Ihrer Rolle. Der Verantwortliche dokumentiert seine eigenen Verarbeitungen und deren Zwecke. Der Auftragsverarbeiter führt hingegen ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten, die er im Auftrag seiner Kunden als Verantwortliche durchführt. Ein und dasselbe Unternehmen kann übrigens je nach Verarbeitung beide Rollen zugleich innehaben.
Die richtige Bestimmung Ihrer Einordnung ist ein eigenständiger rechtlicher Schritt, denn sie bestimmt Ihre Pflichten und Ihre Haftung. Diese Prüfung deckt sich häufig mit derjenigen, die bei der Abfassung eines Vertrags über die Auftragsverarbeitung erfolgt, der ebenfalls DSGVO-konform sein muss.
Die Ausnahme für weniger als 250 Arbeitnehmer und ihre Grenzen
Artikel 30 DSGVO sieht eine scheinbare Befreiung für Organisationen mit weniger als 250 Arbeitnehmern vor. Viele Geschäftsführer schließen daraus zu Unrecht, dass sie kein Verzeichnis führen müssen. Die Wirklichkeit sieht ganz anders aus, denn diese Ausnahme ist an kumulative Voraussetzungen geknüpft, die ihr den größten Teil ihrer Tragweite nehmen.
Die Befreiung greift nur, wenn die Verarbeitung voraussichtlich kein Risiko für die Rechte und Freiheiten der Personen birgt, wenn sie gelegentlich erfolgt und wenn sie weder besondere Kategorien von Daten (Gesundheit, Meinungen, biometrische Daten und so weiter) noch Daten über strafrechtliche Verurteilungen betrifft. Sobald ein Unternehmen jedoch die Lohnabrechnung, Arbeitsverträge oder eine Kundendatei verwaltet, führt es regelmäßige Verarbeitungen durch: Die Ausnahme entfällt.
In der Praxis müssen also fast alle Organisationen ein Verzeichnis führen, zumindest für ihre wiederkehrenden Verarbeitungen. Statt sich auf eine unsichere Befreiung zu berufen, ist es besser, ein der eigenen Tätigkeit angemessenes Verzeichnis zu erstellen. Ein Anwalt für DSGVO sichert diese Prüfung ab und vermeidet einen falschen Eindruck von Konformität.
Der Pflichtinhalt des Verzeichnisses des Verantwortlichen
Für den Verantwortlichen legt Artikel 30 eine genaue Liste von Angaben fest. Das Verzeichnis muss den Namen und die Kontaktdaten des Verantwortlichen und gegebenenfalls des Vertreters und des Datenschutzbeauftragten enthalten. Für jede Verarbeitung gibt es die verfolgten Zwecke an, zum Beispiel die Personalverwaltung oder die Rechnungsstellung.
Das Verzeichnis beschreibt sodann die Kategorien betroffener Personen (Arbeitnehmer, Kunden, Interessenten, Lieferanten) und die verarbeiteten Datenkategorien (Identität, Kontaktdaten, Finanzdaten, gegebenenfalls Gesundheitsdaten). Es führt die internen und externen Kategorien von Empfängern auf sowie etwaige Übermittlungen an Drittländer und die Garantien, die sie absichern.
Zwei Angaben vervollständigen das Ganze: die für jede Datenkategorie vorgesehenen Speicherfristen und eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen. Die Tabelle weiter unten fasst alle diese Rubriken zusammen, um den Aufbau Ihres Verzeichnisses zu erleichtern.
Der Inhalt des Verzeichnisses des Auftragsverarbeiters
Der Auftragsverarbeiter muss die von seinen Kunden festgelegten Zwecke nicht dokumentieren, er muss jedoch ein eigenes Verzeichnis der Kategorien von Verarbeitungstätigkeiten führen, die er im Auftrag jedes Verantwortlichen durchführt. Dieses Verzeichnis enthält seine Identität, die jedes Verantwortlichen, für den er tätig ist, und gegebenenfalls die seines Datenschutzbeauftragten und seines Vertreters.
Für jeden Kunden gibt der Auftragsverarbeiter die durchgeführten Kategorien von Verarbeitungen, etwaige Übermittlungen außerhalb der Europäischen Union und die zugehörigen Garantien sowie eine allgemeine Beschreibung der umgesetzten Sicherheitsmaßnahmen an. Diese Informationen müssen mit dem mit dem Verantwortlichen geschlossenen Auftragsverarbeitungsvertrag übereinstimmen.
Dieses Zusammenspiel zwischen Verzeichnis und Vertrag ist wesentlich: Der Auftragsverarbeitungsvertrag regelt die Beziehung rechtlich, das Verzeichnis dokumentiert ihre operative Wirklichkeit. Ein Anwalt für Vertragsrecht achtet auf die Stimmigkeit der beiden Dokumente.
Wie man sein Verzeichnis der Verarbeitungstätigkeiten aufbaut
Der Aufbau eines Verzeichnisses beginnt mit einer Bestandsaufnahme der Verarbeitungen. Dabei wird jede Abteilung (Personalwesen, Vertrieb, Buchhaltung, IT) befragt, um die mit personenbezogenen Daten durchgeführten Vorgänge zu erfassen. Diese erste Bestandsaufnahme ist der anspruchsvollste Schritt, denn sie bringt oft vergessene Verarbeitungen ans Licht.
Für jede ermittelte Verarbeitung werden anschließend die Rubriken des Artikels 30 ausgefüllt: Zweck, Rechtsgrundlage, Kategorien von Personen und Daten, Empfänger, Übermittlungen, Speicherfristen und Sicherheitsmaßnahmen. Die Wahl der Rechtsgrundlage (Einwilligung, Vertrag, rechtliche Verpflichtung, berechtigtes Interesse) ist ein heikler rechtlicher Punkt, der eine sorgfältige Prüfung verdient.
Softwarelösungen können die Führung des Verzeichnisses unterstützen und seine Aktualisierung erleichtern, ersetzen jedoch nicht die rechtliche Analyse. Die Einordnung der Verarbeitungen, die Wahl der Rechtsgrundlagen und die Bewertung der Risiken sind Sache der Beratung durch einen Anwalt, die digitalen Werkzeuge unterstützen lediglich die Dokumentation. Um das Vorgehen abzustecken, können Sie ein Angebot anfordern.
Aktualisierung des Verzeichnisses und Verbindung mit der Datenschutz-Folgenabschätzung (DSFA)
Das Verzeichnis ist ein lebendiges Dokument: Es muss bei jeder Veränderung der Organisation aktualisiert werden. Jede neue Verarbeitung, jede Zweckänderung, jeder neue Dienstleister und jedes neue IT-Werkzeug muss darin abgebildet werden. Ein starres Verzeichnis wird schnell unrichtig und verliert gegenüber der CNPD seinen Beweiswert.
Das Verzeichnis ist auch der Ausgangspunkt der Datenschutz-Folgenabschätzung (DSFA). Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Personen mit sich bringt (systematische Überwachung, umfangreiche Verarbeitung sensibler Daten, Profiling), schreibt die DSGVO vor, vor Beginn der Verarbeitung eine DSFA durchzuführen.
Das Verzeichnis ermöglicht es, die betroffenen Verarbeitungen zu erkennen und die DSFA zum richtigen Zeitpunkt anzustoßen. Die Folgenabschätzung bewertet die Risiken und legt die Maßnahmen zu ihrer Verringerung fest. Die zwei Dokumente ergänzen sich: Das Verzeichnis bildet ab, die DSFA vertieft die sensiblen Verarbeitungen. Ein Anwalt für DSGVO sichert ihr Zusammenspiel ab.
Kontrolle durch die CNPD und Rolle des Anwalts
In Luxemburg ist die Aufsichtsbehörde die Nationale Kommission für den Datenschutz (CNPD). Bei einer Kontrolle betrifft eine der ersten Anfragen das Verzeichnis der Verarbeitungstätigkeiten: Es muss unverzüglich vorgelegt werden können und die tatsächlich durchgeführten Verarbeitungen getreu abbilden. Ein fehlendes, unvollständiges oder veraltetes Verzeichnis stellt einen Verstoß gegen Artikel 30 dar.
Das Verzeichnis ist also zugleich ein Instrument der Konformität und ein Element der Verteidigung. Ein sorgfältig geführtes Verzeichnis belegt den guten Glauben der Organisation und ihr Bemühen um Konformität, was bei der Beurteilung eines etwaigen Verstoßes berücksichtigt wird. Umgekehrt schwächt sein Fehlen die gesamte Position des Unternehmens gegenüber der CNPD.
Die Rolle des Anwalts besteht darin, die Einordnung der Verarbeitungen, die Wahl der Rechtsgrundlagen und die Bewertung der Risiken abzusichern und die Organisation anschließend auf eine etwaige Kontrolle vorzubereiten. Die Kanzlei Cerno Law Firm, bei der Rechtsanwaltskammer Luxemburg zugelassen, begleitet dieses Vorgehen im Rahmen einer Anwaltsberatung oder eines eigenen Mandats zur Herstellung der Konformität.
| Kriterium | Verantwortlicher | Auftragsverarbeiter |
|---|---|---|
| Gegenstand | Eigene Verarbeitungen | Kategorien von Tätigkeiten für jeden Kunden |
| Zwecke | Zu dokumentieren | Vom Verantwortlichen festgelegt |
| Übermittlungen außerhalb der EU | Zu dokumentieren | Zu dokumentieren |
| Sicherheitsmaßnahmen | Zu dokumentieren | Zu dokumentieren |
| Vertragliche Grundlage | Interne Richtlinie | Auftragsverarbeitungsvertrag nach DSGVO |
Je nach Profil
Luxemburger KMU
Auch mit weniger als 250 Arbeitnehmern führt ein KMU, das die Lohnabrechnung, Arbeitsverträge und eine Kundendatei verwaltet, regelmäßige Verarbeitungen durch: Die Ausnahme greift nicht, und für diese wiederkehrenden Verarbeitungen wird ein Verzeichnis erwartet.
Dienstleister als Auftragsverarbeiter
Wenn Sie Daten im Auftrag von Kunden verarbeiten (Hosting-Anbieter, Agentur, Softwareanbieter), müssen Sie je Kunde ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten führen, das mit Ihren Auftragsverarbeitungsverträgen übereinstimmt.
Verein oder ASBL
Ein Verein verarbeitet Daten von Mitgliedern, Spendern oder Begünstigten. Er muss diese Verarbeitungen erfassen, ihre Rechtsgrundlagen und ihre Speicherfristen angeben und ein seiner Tätigkeit angemessenes Verzeichnis führen.
Einrichtung des Gesundheitswesens
Die Verarbeitung von Gesundheitsdaten fällt unter die besonderen Kategorien von Daten: Die Ausnahme für weniger als 250 Arbeitnehmer gilt nicht, und ergänzend zum Verzeichnis ist oft eine Datenschutz-Folgenabschätzung erforderlich.
Offizielle Quellen
Aktualisierungsverlauf
- : Voraussetzungen der Befreiung von der Pflicht zum Führen des Verzeichnisses nach Artikel 30 Absatz 5 der DSGVO präzisiert: gelegentliche Verarbeitung, kein Risiko, weder sensible Daten noch Daten über strafrechtliche Verurteilungen.