Kurzantwort
Artikel 30 verlangt ein Verzeichnis der Verarbeitungstätigkeiten. Die Ausnahme für Unternehmen unter 250 Mitarbeitenden gilt nur, wenn die Verarbeitung kein Risiko birgt, nicht gelegentlich bleibt oder besondere Datenkategorien betrifft, in der Praxis also fast nie vollständig.
Was hineingehört
Zwecke, betroffene Personengruppen, Datenkategorien, Empfänger, Drittlandübermittlungen, Löschfristen und die technisch-organisatorischen Maßnahmen gehören in die Übersicht je Tätigkeit.
Praktischer Weg
Statt einer leeren Vorlage startet das Verzeichnis mit den realen Systemen: E-Mail, CRM, Buchhaltung, HR, Support, Marketing. Jedes Tool wird zu einer Tätigkeit mit Zweck, Daten und Dienstleistern.
Prüfliste
- Tools und Systeme inventarisieren
- je Tätigkeit Zweck und Rechtsgrundlage benennen
- Empfänger und Löschfristen ergänzen
- Verzeichnis bei neuen Tools aktualisieren