Verzeichnis von Verarbeitungstätigkeiten, DSFA und Abschluss des Umstiegs

Modul 9: Menschen und Regeln · Lesezeit: 12 Minuten

Lernziel: Nach dieser Lektion können Sie das Verzeichnis von Verarbeitungstätigkeiten und die Datenschutzerklärung nach dem Umstieg aktualisieren, feststellen, ob eine DSFA erforderlich ist, den alten Dienst ordentlich löschen lassen und den Umstieg mit einer Abschlusscheckliste formell abschließen.

Kernbegriffe: Verzeichnis von Verarbeitungstätigkeiten (Art. 30), Ausnahme bei weniger als 250 Mitarbeitenden, DSFA (Art. 35), DSFA-Liste der niederländischen Aufsichtsbehörde, Datenschutzerklärung (Art. 13 und 14), Empfänger, Übermittlung, Meldepflicht bei Datenpannen (Art. 33), Löschung beim alten Dienst, Löschbestätigung, Auswertung, Abschlusscheckliste

Der Umstieg ist erst fertig, wenn die Unterlagen stimmen

Die E-Mail läuft, die Dateien liegen bereit, alle arbeiten in der neuen Umgebung. Technisch sind Sie fertig. Aber für die DSGVO gibt es noch Arbeit: Ihre Dokumentation beschreibt noch die alte Situation. Bei einer Anfrage eines Kunden, einer Kontrolle oder einer Datenpanne möchten Sie zeigen können, wie es jetzt aussieht. Diese Lektion schließt den Umstieg ab.

Dies ist eine Erklärung, keine Rechtsberatung.

Das Verzeichnis von Verarbeitungstätigkeiten

Artikel 30 Absatz 1 der DSGVO verpflichtet den Verantwortlichen, ein Verzeichnis von Verarbeitungstätigkeiten zu führen. Darin steht pro Verarbeitung (zum Beispiel „Kundenbestellungen", „Personalverwaltung", „Newsletter"):

• Name und Kontaktdaten des Verantwortlichen (und gegebenenfalls des Datenschutzbeauftragten);
• die Zwecke der Verarbeitung;
• die Kategorien betroffener Personen und personenbezogener Daten;
• die Empfänger, einschließlich Auftragsverarbeiter;
• Übermittlungen in Länder außerhalb des EWR, mit den Garantien;
• die Aufbewahrungsfristen, soweit möglich;
• eine allgemeine Beschreibung der Sicherheitsmaßnahmen, soweit möglich.

Gilt das auch für eine kleine Organisation?

Artikel 30 Absatz 5 enthält eine Ausnahme für Organisationen mit weniger als 250 Mitarbeitenden. Diese Ausnahme gilt jedoch nicht, wenn die Verarbeitung voraussichtlich ein Risiko birgt, wenn sie nicht nur gelegentlich erfolgt, oder wenn besondere Kategorien personenbezogener Daten (etwa zur Gesundheit) oder strafrechtliche Daten betroffen sind. Die niederländische Aufsichtsbehörde Autoriteit Persoonsgegevens erläutert, dass Verarbeitungen in der Praxis selten nur gelegentlich erfolgen: Sobald Sie Mitarbeitende oder feste Kunden haben, verarbeiten Sie strukturell. Für Bakkerij De Korrel mit Lohnverwaltung, Kundenbestellungen und Krankmeldungen gilt die Ausnahme also nicht.

Es liegt ein europäischer Vorschlag vor, die Pflicht zum Führen eines Verzeichnisses für kleinere Organisationen zu erleichtern (das sogenannte Omnibus-IV-Paket; im Juni 2026 erzielten Rat und Parlament eine vorläufige Einigung). Solange dieser nicht in Kraft ist, gilt der aktuelle Artikel 30. Auch danach bleibt eine Übersicht nützlich: Sie benötigen sie, um Ihren übrigen Pflichten nachkommen zu können.

Was passen Sie nach dem Umstieg an?

Gehen Sie jede Zeile Ihres Verzeichnisses durch und passen Sie sie an:

Ein Umstieg ist ein guter Zeitpunkt, um die Aufbewahrungsfristen endlich tatsächlich zu regeln. Für die steuerliche Buchführung gilt in den Niederlanden in der Regel eine Aufbewahrungspflicht von sieben Jahren; für Bewerbungsunterlagen empfiehlt die niederländische Aufsichtsbehörde grundsätzlich vier Wochen nach Abschluss des Verfahrens. Beachten Sie, dass in Ihrem Land andere Fristen gelten können, und prüfen Sie, welche Fristen für Ihre Branche gelten.

Brauchen Sie eine DSFA?

Eine DSFA (Datenschutz-Folgenabschätzung, englisch data protection impact assessment, DPIA) ist eine strukturierte vorherige Risikoanalyse. Artikel 35 schreibt eine DSFA vor, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die betroffenen Personen birgt, insbesondere bei neuen Technologien.

Wie wissen Sie, ob das der Fall ist?

1. Die Liste der Aufsichtsbehörde. Die niederländische Aufsichtsbehörde Autoriteit Persoonsgegevens hat 2019 eine Liste mit siebzehn Arten von Verarbeitungen veröffentlicht, für die eine DSFA immer verpflichtend ist. Darunter fallen unter anderem die umfangreiche Verarbeitung von Gesundheitsdaten, Videoüberwachung, die Überwachung von Mitarbeitenden, Kommunikationsdaten, Standortdaten, Profiling und Biometrie. Diese Liste gilt für die niederländische Aufsichtsbehörde; jede EU-Aufsichtsbehörde führt eine eigene DSFA-Liste (Art. 35 Abs. 4 DSGVO), prüfen Sie also die Liste Ihrer eigenen Aufsichtsbehörde.
2. Die europäischen Kriterien. Die europäischen Aufsichtsbehörden haben neun Kriterien aufgestellt (etwa sensible Daten, große Dimension, schutzbedürftige betroffene Personen, systematische Überwachung, neue Technologie). Erfüllt eine Verarbeitung zwei oder mehr dieser Kriterien, ist in der Regel eine DSFA erforderlich.

Für eine Bäckerei, die E-Mail und Dateien umstellt, ist eine DSFA meist nicht verpflichtend. Für eine Hausarztpraxis, die die Patientenkommunikation zu einem neuen Dienst verlagert, oder eine Schule mit Schülerdaten sieht das anders aus. Auch wenn es nicht verpflichtend ist, kann eine kurze Risikoanalyse sinnvoll sein. Die Abwägung aus Lektion 1.5 ist dafür ein guter Ausgangspunkt. Haben Sie bereits eine DSFA für den alten Dienst, aktualisieren Sie diese.

Die Datenschutzerklärung

In Ihrer Datenschutzerklärung informieren Sie betroffene Personen (Kunden, Bewerber, Website-Besucher) darüber, wie Sie mit ihren Daten umgehen (Art. 13 und 14). Darin stehen unter anderem die Empfänger oder Kategorien von Empfängern und etwaige Übermittlungen außerhalb des EWR. Stand dort „wir nutzen Dienste von Unternehmen in den Vereinigten Staaten auf Grundlage des Data Privacy Framework", passen Sie das an. Ändern Sie nichts, was nicht stimmt: Nennen Sie nur, was Sie aus dem AVV und der Liste der Unterauftragsverarbeiter wirklich sicher wissen.

Datenpannen: Wissen Sie, wen Sie anrufen

Nach dem Umstieg hat sich Ihr Anbieter geändert, und damit auch der Ablauf bei einer Datenpanne. Legen Sie in Ihrem Verfahren fest:

• die Kontaktadresse des neuen Anbieters für Sicherheitsvorfälle;
• die Frist, innerhalb derer der Anbieter Sie laut AVV informiert;
• wer bei Ihnen entscheidet, ob eine Meldung erforderlich ist, denn die Meldung an die Aufsichtsbehörde muss innerhalb von 72 Stunden nach Entdeckung erfolgen (Art. 33);
• wo Sie das Verzeichnis der Datenpannen führen: Auch Pannen, die Sie nicht melden müssen, müssen Sie intern dokumentieren (Art. 33 Abs. 5).

Abschluss beim alten Dienst

Kündigen Sie den alten Dienst erst, wenn alles mehrere Wochen lang gut funktioniert hat (Lektion 3.3). Danach:

1. Letzte Kontrolle: Ist alles übernommen worden? Gibt es noch freigegebene Ordner, Formulare oder Verknüpfungen, die noch auf den alten Dienst verweisen?
2. Exportieren Sie ein letztes Archiv für Ihre eigene Verwaltung, wenn Sie das aufbewahren möchten (zum Beispiel E-Mails, die unter die Aufbewahrungspflicht fallen). Bewahren Sie es verschlüsselt auf.
3. Löschen Sie Konten und Daten beim alten Dienst, oder lassen Sie sie löschen. Artikel 28 Absatz 3 Buchstabe g verpflichtet den alten Auftragsverarbeiter, die Daten nach Abschluss nach Ihrer Wahl zu löschen oder zurückzugeben. Fordern Sie eine Löschbestätigung an und bewahren Sie diese bei Ihrem Verzeichnis auf.
4. Räumen Sie Verknüpfungen auf: „Anmelden mit"-Verknüpfungen bei anderen Diensten, Apps mit Zugriff und Verifizierungseinträge in Ihrem DNS (Lektion 4.3).
5. Passen Sie Ihr Verzeichnis, Ihre Datenschutzerklärung und Ihr Verfahren bei Datenpannen an (siehe oben).

Auswerten

Planen Sie einen Monat nach dem Wechsel eine kurze Auswertung mit den Botschaftern (Lektion 9.1). Was lief gut, was nicht, was machen Sie beim nächsten Mal anders? Notieren Sie auch Ihren Exit-Plan für den neuen Dienst (Lektion 8.2) und setzen Sie einen Termin in den Kalender, um ihn jährlich zu testen.

In der Praxis: So sieht es bei einem Anbieter aus

Viele Anbieter bieten eine Funktion, um Ihre Daten herunterzuladen oder Ihr Konto löschen zu lassen. Bei WebOké steht in der WebOké-Anleitung, wie Sie Ihre Daten herunterladen oder löschen lassen. Bei großen amerikanischen Diensten heißt das meist „Daten exportieren" und „Konto löschen", und der Administrator eines Organisationskontos verfügt über eigene Exportfunktionen. Lesen Sie vorab, wie lange der Dienst Daten nach der Löschung noch in Backups aufbewahrt; das steht oft in der Datenschutzerklärung oder im AVV.

Abschlusscheckliste

• [ ] Alle Bestandteile aus der Bestandsaufnahme (Lektion 3.1) befinden sich in der neuen Umgebung und wurden kontrolliert
• [ ] Auftragsverarbeitungsvertrag/-verträge mit dem/den neuen Anbieter(n) abgeschlossen und aufbewahrt (Lektion 9.2)
• [ ] Verzeichnis von Verarbeitungstätigkeiten aktualisiert: Empfänger, Übermittlungen, Sicherheit, Aufbewahrungsfristen
• [ ] DSFA beurteilt (erforderlich oder nicht, und warum, dokumentiert)
• [ ] Datenschutzerklärung angepasst
• [ ] Verfahren bei Datenpannen mit neuen Kontaktdaten
• [ ] Alter Dienst gekündigt, Daten gelöscht, Bestätigung aufbewahrt
• [ ] Verknüpfungen und alte DNS-Einträge aufgeräumt
• [ ] Backup der neuen Umgebung eingerichtet und getestet (Lektion 8.1)
• [ ] Exit-Plan für den neuen Dienst festgelegt (Lektion 8.2)
• [ ] Auswertung durchgeführt

Zusammenfassung

• Aktualisieren Sie nach dem Umstieg das Verzeichnis von Verarbeitungstätigkeiten: Empfänger, Übermittlungen, Sicherheit und Aufbewahrungsfristen.
• Die Ausnahme für weniger als 250 Mitarbeitende gilt in der Praxis selten; ein Vorschlag, dies zu erleichtern, ist noch nicht in Kraft (Stand November 2026).
• Eine DSFA ist bei hohem Risiko verpflichtend (Liste der Aufsichtsbehörde, europäische Kriterien); für gewöhnliche Bürodaten meist nicht.
• Passen Sie Ihre Datenschutzerklärung und Ihr Verfahren bei Datenpannen an.
• Lassen Sie den alten Dienst Ihre Daten löschen und fordern Sie eine Bestätigung an.

Quiz

Aufgabe

Aufgabe E9.3: Schließen Sie Ihren Umstieg ab. Aktualisieren Sie für drei Verarbeitungen aus Ihrer Organisation die Zeilen im Verzeichnis von Verarbeitungstätigkeiten (Empfänger, Übermittlung, Sicherheit, Aufbewahrungsfrist), beurteilen Sie anhand der Liste der Aufsichtsbehörde und der europäischen Kriterien, ob eine DSFA erforderlich ist, und füllen Sie die Abschlusscheckliste aus.

Weiterführende Informationen

Die Schritte in diesen Artikeln gelten für die Dienste von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• WebOké Anleitung 11.7: Datenschutz: Ihre Daten herunterladen oder löschen lassen
• Nextcloud-Anleitung 16.7: Kollege verlässt das Unternehmen: Dateien, Kalender und freigegebene Ordner sicher übernehmen
• Nextcloud-Anleitung 15.13: Häufig gestellte Fragen zu Sicherheit und Datenschutz
• Verordnung (EU) 2016/679 (DSGVO), Artikel 13, 14, 28, 30, 33 und 35, auf EUR-Lex
• Beschluss über die Liste der Verarbeitungen personenbezogener Daten, für die eine DSFA verpflichtend ist (niederländische Aufsichtsbehörde Autoriteit Persoonsgegevens, Stcrt. 2019), auf wetten.overheid.nl (BWBR0042812); dies ist eine niederländische Veröffentlichung, jede EU-Aufsichtsbehörde führt eine eigene Liste
• Niederländische Aufsichtsbehörde Autoriteit Persoonsgegevens, Themen „Verzeichnis von Verarbeitungstätigkeiten" und „DSFA": https://www.autoriteitpersoonsgegevens.nl