Technischer Datenschutz · Bestandsaufnahme
Wissen, welche Systeme welche Daten verarbeiten
Wir erfassen Ihre IT-Systeme, Schnittstellen und Speicherorte und machen sichtbar, wohin personenbezogene Daten fließen. Das Ergebnis ist die technische Grundlage für Ihr Verzeichnis von Verarbeitungstätigkeiten – geführt und rechtlich bewertet von Ihrem Unternehmen und Ihrem Datenschutzbeauftragten.
Warum zuerst Transparenz
Ohne Überblick keine Maßnahmen
Die Datenschutzkonferenz bringt es in ihrem Kurzpapier zum Verzeichnis von Verarbeitungstätigkeiten auf den Punkt: „Nur wer die eigenen Verarbeitungsprozesse kennt, kann gezielt Maßnahmen ergreifen“. In der Praxis kann dieses Wissen verteilt sein – auf Administratoren, Fachbereiche, Dienstleister und alte Dokumente.
Eine technische Bestandsaufnahme führt dieses Wissen zusammen. Sie beantwortet nicht, ob eine Verarbeitung zulässig ist. Sie beantwortet, was tatsächlich geschieht: welche Systeme laufen, welche Daten sie enthalten, wer darauf zugreift und wohin Daten übermittelt werden.
Beispiel: vom Inventar zum Verzeichnis
Was die Bestandsaufnahme im Verzeichnis sichtbar macht
Dieselbe Beispielorganisation wie im Themen-Hub, diesmal mit Dienstleistern und Verarbeitungsorten. Wählen Sie eine Verarbeitung: Die Übersicht leitet aus Systemen, Kopierwegen und Dienstleistern die technischen Angaben für das Verzeichnis ab und gleicht sie mit den dokumentierten Empfängern ab. Abweichungen erscheinen als Prüffragen – bewertet werden sie von Ihren Datenschutzverantwortlichen.
Abgleich im Beispiel: 8 Prüfpunkte in 4 von 5 Verarbeitungen.
Systeme und Speicherorte
Verarbeitungen (Verzeichnis)
Datenkategorien
Verarbeitungstätigkeit
Anfragen über die Website
Anfragen über die Website: 4 Dienstleister mit Daten dieser Verarbeitung; 3 Prüffragen aus dem Abgleich mit den dokumentierten Angaben.
Aus dem Modell abgeleitet (Art. 30 Abs. 1)
- b · Zweck
- Beantwortung von Anfragen aus dem Kontaktformular
- c · Betroffene Personen und Datenkategorien
- Interessenten: KontaktdatenAnfragen und Korrespondenz
- d · Empfänger
- Formulardienst nicht dokumentiert
- Cloud-Anbieter (E-Mail und Dateiablage) dokumentiert
- CRM-Anbieter dokumentiert
- IT-Dienstleister (Fernwartung, Sicherung) dokumentiert
- e · Verarbeitung außerhalb von EU/EWR
- Formulardienst außerhalb EU/EWRCRM-Anbieter Ort nicht dokumentiert
- f · Löschregel
- Nach Erledigung der Anfrage löschen, sofern daraus keine Kundenbeziehung entsteht – dann gilt die Löschregel der Kundenbetreuung.
- Technische Grundlage: Speicherorte
- Website-Kontaktformular, E-Mail-Postfächer, Kundenverwaltung (CRM); als Kopie: Datensicherung, Notebooks der Mitarbeitenden, Dateiablage
Prüffragen für Ihr Datenschutzteam
- Formulardienst hat Zugriff auf Daten dieser Verarbeitung (Website-Kontaktformular), ist aber nicht als Empfänger dokumentiert.
- Formulardienst verarbeitet außerhalb von EU/EWR (Website-Kontaktformular) – Prüffrage zu Buchstabe e für Ihre Datenschutzverantwortlichen.
- Der Verarbeitungsort von CRM-Anbieter (Kundenverwaltung (CRM)) ist nicht dokumentiert.
Fiktives, vereinfachtes Beispiel – kein Verzeichnis von Verarbeitungstätigkeiten und keine rechtliche Bewertung. Die Ableitung zeigt technische Fakten (wo Daten liegen, wer Zugriff hat, wo verarbeitet wird); ob ein Dienstleister Empfänger, Auftragsverarbeiter oder eigenständig Verantwortlicher ist und ob eine Übermittlung zulässig ist, bewerten Ihr Datenschutzbeauftragter und Ihre Rechtsberatung. ENTDECKE.digital bietet keine Rechtsberatung an.
Verarbeitungsübersicht als Text
- Bewerbungsverfahren – Zweck: Auswahl von Bewerberinnen und Bewerbern für offene Stellen. Datenkategorien: Kontaktdaten, Bewerbungsunterlagen. Gespeichert in: E-Mail-Postfächer, Dateiablage. Zusätzlich als Kopie in: Datensicherung, Notebooks der Mitarbeitenden. Empfänger: Geschäftsleitung, beteiligte Fachbereiche, Cloud-Anbieter (E-Mail und Dateiablage). Löschregel: Nach Abschluss des Verfahrens für eine festgelegte Frist aufbewahren, danach löschen. Die Frist legt Ihr Unternehmen mit seinen Datenschutzverantwortlichen fest. Prüffragen für Ihr Datenschutzteam: IT-Dienstleister (Fernwartung, Sicherung) hat Zugriff auf Daten dieser Verarbeitung (Datensicherung), ist aber nicht als Empfänger dokumentiert.
- Personalverwaltung – Zweck: Durchführung der Beschäftigungsverhältnisse. Datenkategorien: Kontaktdaten, Beschäftigtendaten, Bankverbindung, Gesundheitsdaten (Art. 9). Gespeichert in: Dateiablage, Lohnabrechnung, E-Mail-Postfächer. Zusätzlich als Kopie in: Datensicherung, Notebooks der Mitarbeitenden. Empfänger: Lohnabrechnungsdienstleister, Sozialversicherungsträger und Finanzbehörden (über die Lohnabrechnung), Cloud-Anbieter (E-Mail und Dateiablage), IT-Dienstleister (Fernwartung, Sicherung). Löschregel: Je Unterlage unterschiedliche Aufbewahrungsfristen; nach Ende des Beschäftigungsverhältnisses gestaffelt löschen. Die Fristen legt Ihr Unternehmen mit seinen Datenschutzverantwortlichen fest.
- Kundenbetreuung und Angebote – Zweck: Betreuung bestehender Kunden, Angebote und Korrespondenz. Datenkategorien: Kontaktdaten, Anfragen und Korrespondenz. Gespeichert in: Kundenverwaltung (CRM), E-Mail-Postfächer, Dateiablage. Zusätzlich als Kopie in: Datensicherung, Notebooks der Mitarbeitenden. Empfänger: Cloud-Anbieter (E-Mail und Dateiablage), IT-Dienstleister (Fernwartung, Sicherung). Löschregel: Löschen, wenn die Kundenbeziehung endet und keine Aufbewahrungspflicht greift. Geschäftsbriefe und Angebote können handels- und steuerrechtlichen Aufbewahrungspflichten unterliegen – das bewertet Ihre Rechtsberatung. Prüffragen für Ihr Datenschutzteam: CRM-Anbieter hat Zugriff auf Daten dieser Verarbeitung (Kundenverwaltung (CRM)), ist aber nicht als Empfänger dokumentiert. Der Verarbeitungsort von CRM-Anbieter (Kundenverwaltung (CRM)) ist nicht dokumentiert.
- Rechnungsstellung und Buchhaltung – Zweck: Rechnungen stellen, Zahlungen verbuchen, Jahresabschluss vorbereiten. Datenkategorien: Kontaktdaten, Rechnungs- und Zahlungsdaten, Bankverbindung. Gespeichert in: Finanzbuchhaltung, Dateiablage. Zusätzlich als Kopie in: Datensicherung, Notebooks der Mitarbeitenden. Empfänger: Steuerberatung, IT-Dienstleister (Fernwartung, Sicherung), CRM-Anbieter. Löschregel: Handels- und steuerrechtliche Aufbewahrungspflichten beachten: bis Fristende aufbewahren und die Nutzung auf diesen Zweck beschränken, danach löschen. Prüffragen für Ihr Datenschutzteam: Cloud-Anbieter (E-Mail und Dateiablage) hat Zugriff auf Daten dieser Verarbeitung (Dateiablage), ist aber nicht als Empfänger dokumentiert. CRM-Anbieter ist als Empfänger dokumentiert; laut Modell liegen dort keine Daten dieser Verarbeitung. Angabe prüfen.
- Anfragen über die Website – Zweck: Beantwortung von Anfragen aus dem Kontaktformular. Datenkategorien: Kontaktdaten, Anfragen und Korrespondenz. Gespeichert in: Website-Kontaktformular, E-Mail-Postfächer, Kundenverwaltung (CRM). Zusätzlich als Kopie in: Datensicherung, Notebooks der Mitarbeitenden, Dateiablage. Empfänger: Cloud-Anbieter (E-Mail und Dateiablage), CRM-Anbieter, IT-Dienstleister (Fernwartung, Sicherung). Löschregel: Nach Erledigung der Anfrage löschen, sofern daraus keine Kundenbeziehung entsteht – dann gilt die Löschregel der Kundenbetreuung. Prüffragen für Ihr Datenschutzteam: Formulardienst hat Zugriff auf Daten dieser Verarbeitung (Website-Kontaktformular), ist aber nicht als Empfänger dokumentiert. Formulardienst verarbeitet außerhalb von EU/EWR (Website-Kontaktformular) – Prüffrage zu Buchstabe e für Ihre Datenschutzverantwortlichen. Der Verarbeitungsort von CRM-Anbieter (Kundenverwaltung (CRM)) ist nicht dokumentiert.
- Sicherung der Dateiablage: Dateiablage → Datensicherung – Im Original gelöschte Dateien bleiben bis zum Ablauf der Sicherungsaufbewahrung in der Sicherung erhalten.
- Postfachsicherung: E-Mail-Postfächer → Datensicherung – Nur vorhanden, wenn eine Sicherung der Postfächer eingerichtet ist – bei Cloud-Postfächern ist das nicht automatisch der Fall.
- Sicherung des Buchhaltungsservers: Finanzbuchhaltung → Datensicherung – Sicherungen der Fachanwendung enthalten den vollständigen Datenbestand.
- Export aus dem CRM: Kundenverwaltung (CRM) → Dateiablage (Kontaktdaten) – Exportierte Kontaktlisten liegen danach in der Dateiablage – und werden mit ihr gesichert und synchronisiert.
- Synchronisierte Ordner: Dateiablage → Notebooks der Mitarbeitenden – Mit dem Notebook synchronisierte Ordner liegen zusätzlich lokal – auch der Personalordner, wenn die Synchronisation nicht eingeschränkt ist.
- Postfach-Zwischenspeicher: E-Mail-Postfächer → Notebooks der Mitarbeitenden – E-Mail-Programme halten Postfachinhalte lokal vor, damit sie ohne Verbindung verfügbar sind.
Systeminventar
Was wir technisch erfassen
Systeme und Anwendungen
Server, Cloud-Dienste, Fachanwendungen und Endgeräte – mit Zweck, Verantwortlichen und Betriebsform.
Schnittstellen
Welche Systeme Daten austauschen, automatisch oder per Export, und in welche Richtung.
Speicherorte
Wo Daten liegen – einschließlich Cloud-Regionen, Postfächern, Dateiablagen und Datensicherungen.
Zugriffe im Überblick
Welche Rollen und Gruppen auf welche Systeme zugreifen; Details im Berechtigungskonzept.
Dienstleister mit Zugriff
Wer Systeme betreibt, wartet oder Daten im Auftrag verarbeitet – als technische Angabe für Ihren Datenschutzbeauftragten.
Vorhandene Unterlagen
Bestehende Verzeichnisse, TOM-Beschreibungen und Konzepte, damit nichts doppelt entsteht.
Art. 30 DSGVO
Technische Vorbereitung des Verzeichnisses von Verarbeitungstätigkeiten
Art. 30 Abs. 1 DSGVO nennt die Angaben, die das Verzeichnis des Verantwortlichen enthält. Für jede Angabe zeigen wir, wer sie liefert. Das Verzeichnis führt Ihr Unternehmen. Wie die Rollen im technischen Datenschutz insgesamt verteilt sind, zeigt die Übersicht Technischer Datenschutz.
Name und KontaktdatenIhr Unternehmen
Buchstabe a: Verantwortlicher und gegebenenfalls Datenschutzbeauftragter – Angaben aus Ihrem Unternehmen.
Zwecke der VerarbeitungIhr Unternehmen, DSB
Buchstabe b: Zwecke legen Fachbereich und Verantwortlicher fest; wir ordnen die genutzten Systeme zu.
Betroffene Personen und Datenkategoriengemeinsam
Buchstabe c: Fachbereiche beschreiben, wir ergänzen technisch, welche Datenfelder die Systeme tatsächlich enthalten.
Kategorien von Empfängerntechnischer Beitrag
Buchstabe d: Aus Schnittstellen, Freigaben und Dienstleisterzugängen leiten wir ab, wer Daten erhält.
Übermittlungen in Drittländertechnisch · rechtlich
Buchstabe e: Wir zeigen, wo Daten technisch liegen und wohin sie fließen. Ob eine Übermittlung zulässig ist, bewerten Datenschutzbeauftragter und Rechtsberatung.
Vorgesehene LöschfristenFestlegung · Umsetzung
Buchstabe f: welche Fristen gelten, legt Ihr Unternehmen mit seiner Steuer- oder Rechtsberatung fest; wir dokumentieren, ob und wie sie technisch umgesetzt sind.
Technische und organisatorische Maßnahmentechnischer Beitrag
Buchstabe g: allgemeine Beschreibung der Maßnahmen nach Art. 32 – siehe technische und organisatorische Maßnahmen.
Vorgehen
In fünf Schritten zur belastbaren Übersicht
Umfang festlegen
Standorte, Systeme und Fachbereiche abgrenzen; Ansprechpersonen benennen.
Gespräche führen
Kurze Interviews mit IT, Fachbereichen und Dienstleistern.
Technisch erheben
Konfigurationen, Verwaltungsoberflächen und vorhandene Unterlagen auswerten – mit vereinbarten, möglichst lesenden Zugängen.
Datenflüsse zeichnen
Übersichten je Verarbeitung erstellen und mit den Beteiligten abstimmen.
Übergeben und pflegen
Ergebnisse an Ihr Datenschutzteam übergeben und bei Systemänderungen fortschreiben.
Häufige Fragen
Müssen auch kleinere Unternehmen ein Verzeichnis führen?
Die DSGVO sieht eine Ausnahme für Stellen mit weniger als 250 Beschäftigten vor, die aber nicht gilt, wenn die Verarbeitung etwa nicht nur gelegentlich erfolgt. Die Datenschutzkonferenz nennt als Beispiel die regelmäßige Verarbeitung von Kunden- oder Beschäftigtendaten (Kurzpapier Nr. 1). Was für Ihr Unternehmen gilt, klärt Ihr Datenschutzbeauftragter oder Ihre Rechtsberatung.
Gibt es eine Vorlage für das Verzeichnis?
Die deutschen Aufsichtsbehörden stellen ein Muster für Verantwortliche bereit. Wir richten unsere technischen Angaben so aus, dass sie in diese oder die von Ihrem Datenschutzbeauftragten genutzte Struktur passen.
Brauchen Sie Administratorzugänge zu unseren Systemen?
So wenig wie möglich. Lesende Zugänge oder gemeinsame Sitzungen mit Ihrer IT können genügen. Welche Zugänge wir erhalten, vereinbaren wir vorab und dokumentieren es.
Wie erfassen Sie Dienste, die niemand gemeldet hat?
Nicht vollständig, aber deutlich besser als mit Fragebögen allein. Wir kombinieren Gespräche mit den Fachbereichen mit technischen Hinweisen, soweit sie vorhanden sind – etwa Anmeldungen bei Cloud-Diensten über Ihr Firmenkonto, Weiterleitungen und Exporte, installierte Software und Zahlungen an Softwareanbieter. Was sich so nicht zeigt, etwa private Messenger, bleibt eine organisatorische Frage, die wir offen benennen.
Wie aktuell bleibt die Übersicht?
Nur so aktuell, wie sie gepflegt wird. Wir empfehlen, Änderungen an Systemen und Dienstleistern mit einer kurzen Aktualisierung der Übersicht zu verbinden – auf Wunsch unterstützen wir dabei.
Ihre Systemlandschaft sichtbar machen?
Wir besprechen Umfang und Beteiligte – gern gemeinsam mit Ihrem Datenschutzbeauftragten. Telefon 07131-618726-0.