Verarbeitungsverzeichnis und Löschkonzept

Dieser Artikel erklärt Zusammenhänge und ersetzt keine Rechtsberatung. Die Bewertung Ihres konkreten Falls gehört an Ihren Datenschutzbeauftragten oder einen Fachanwalt.

Was Art. 30 DSGVO verlangt – und warum die Ausnahme selten greift

Art. 30 DSGVO verlangt ein Verzeichnis der Verarbeitungstätigkeiten. Gemeint ist keine Liste von Dateien und keine Systemübersicht, sondern eine Aufstellung von Vorgängen: Lohnabrechnung, Bewerbungsverfahren, Kundenverwaltung, Kameraüberwachung des Betriebshofs, Newsletterversand. Zu jedem dieser Vorgänge sind unter anderem festzuhalten:

• Zweck der Verarbeitung sowie Name und Kontaktdaten des Verantwortlichen und gegebenenfalls des Datenschutzbeauftragten
• Kategorien betroffener Personen und Kategorien personenbezogener Daten
• Kategorien von Empfängern, denen die Daten offengelegt werden, einschließlich Empfängern in Drittländern
• gegebenenfalls Übermittlungen in Drittländer mit den dafür geeigneten Garantien
• wenn möglich die vorgesehenen Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen

Das Verzeichnis ist schriftlich zu führen, elektronisch genügt, und es ist der Aufsichtsbehörde auf Anfrage vorzulegen. Genau das ist sein praktischer Zweck: Es ist das erste Dokument, nach dem gefragt wird, und es entscheidet den Eindruck der ersten halben Stunde.

Oft wird auf die Ausnahme in Art. 30 Abs. 5 DSGVO verwiesen, die für Unternehmen mit weniger als 250 Beschäftigten gilt. Sie greift allerdings nur, wenn drei Bedingungen zugleich erfüllt sind: Die Verarbeitung birgt kein Risiko für die Rechte und Freiheiten der Betroffenen, sie erfolgt nur gelegentlich, und es werden weder besondere Kategorien nach Art. 9 noch Daten zu Straftaten nach Art. 10 verarbeitet. Die zweite Bedingung erledigt die Ausnahme in fast allen Fällen: Wer Löhne abrechnet, Kunden verwaltet oder Bewerbungen bearbeitet, verarbeitet nicht gelegentlich, sondern regelmäßig. Für einen Sondermaschinenbauer mit sechzig Beschäftigten, eine Spedition oder ein Küchenstudio bedeutet das: Das Verzeichnis ist zu führen.

Warum das Verzeichnis veraltet, sobald es fertig ist

Der übliche Verlauf ist bekannt. Ein Betrieb setzt sich zusammen, arbeitet sich über Wochen durch die Abteilungen, erstellt ein ordentliches Verzeichnis und legt es ab. Zwei Jahre später stimmt es in wesentlichen Teilen nicht mehr.

Das liegt nicht an Nachlässigkeit, sondern an der Bauart der Sache. Ein Verzeichnis bildet einen Zustand ab, aber der Zustand ändert sich, ohne dass jemand es meldet. Ein neues Bewerbermanagement wird eingeführt, weil die Personalabteilung damit schneller ist. Eine Fachabteilung abonniert einen Cloud-Dienst zur Terminplanung. Der Steuerberater wechselt das Portal, über das Belege ausgetauscht werden. Die Werkstatt führt ein Tablet zur Arbeitszeiterfassung ein. Keiner dieser Schritte fühlt sich nach Datenschutz an, jeder ist eine neue oder geänderte Verarbeitung.

Daraus folgt ein praktischer Grundsatz: Ein Verzeichnis ist kein Projekt, sondern ein Prozess, und es braucht einen Auslöser, der ihn anstößt. Der wirksamste Auslöser ist die Beschaffung. Wer festlegt, dass keine Software eingeführt wird, ohne dass vorher drei Fragen beantwortet sind – welche personenbezogenen Daten, welcher Zweck, welcher Dienstleister –, hält das Verzeichnis nebenbei aktuell. Wer stattdessen jährlich eine Bestandsaufnahme ansetzt, macht jedes Jahr dieselbe mühsame Archäologie.

Ohne Verzeichnis kein Löschkonzept

Art. 5 Abs. 1 lit. e DSGVO verlangt Speicherbegrenzung: Personenbezogene Daten dürfen nur so lange in identifizierbarer Form aufbewahrt werden, wie es für den Zweck erforderlich ist. Art. 17 gibt Betroffenen das Recht, die Löschung zu verlangen. Beides setzt voraus, dass ein Betrieb weiß, wo welche Daten liegen.

Ein Löschkonzept beantwortet vier Fragen je Datenart: Wann beginnt die Frist, wie lang ist sie, wer führt die Löschung durch, und wie wird sie nachgewiesen. Die erste Frage ist die unterschätzte. Eine Frist beginnt selten am Tag der Erhebung, sondern mit einem Ereignis – Vertragsende, letzte Rechnung, Ablehnung der Bewerbung, Ende des Kalenderjahres. Dieses Ereignis muss im System überhaupt erkennbar sein, sonst ist die Frist nicht automatisierbar und wird in der Praxis nicht eingehalten.

Der Zusammenhang zum Verzeichnis ist unmittelbar. Das Verzeichnis listet die Verarbeitungen samt vorgesehener Löschfristen; das Löschkonzept macht daraus eine Handlungsanweisung. Wer mit dem Löschkonzept beginnt, ohne ein Verzeichnis zu haben, entscheidet über Daten, deren Existenz er nicht kennt – und übersieht dabei regelmäßig die Nebenorte: Dateiablagen, Postfächer, Sicherungskopien, Auswertungen in Tabellen auf lokalen Rechnern, Exporte, die jemand für ein Projekt gezogen hat. Genau dort liegen die Daten, die bei einer Auskunftsanfrage nach Art. 15 nicht auftauchen und später peinlich werden.

Die Fristen, die dagegenstehen

Löschen ist nicht immer erlaubt. Handels- und steuerrechtliche Aufbewahrungspflichten – insbesondere aus dem Handelsgesetzbuch und der Abgabenordnung – verlangen, bestimmte Unterlagen über Jahre aufzubewahren. Je nach Unterlagenart liegen die Fristen im Bereich von etwa sechs bis zehn Jahren; die Zuordnung einzelner Belegarten ist zuletzt gesetzlich bewegt worden, weshalb der aktuelle Stand beim Steuerberater zu erfragen und nicht aus älteren Übersichten zu übernehmen ist. Verlässlich und praktisch wichtig ist dagegen der Fristbeginn: Er knüpft regelmäßig an das Ende des Kalenderjahres an, in dem der Vorgang abgeschlossen wurde, nicht an das Datum des Belegs.

Daneben stehen weitere Pflichten, die branchenabhängig sind: Aufzeichnungen aus Lohn und Sozialversicherung, Dokumentation in der Pflege, technische Dokumentation und Rückverfolgbarkeit im Maschinenbau und in der Lebensmittelproduktion, Nachweise aus dem Arbeitsschutz. Für Bewerbungsunterlagen gibt es keine Aufbewahrungspflicht, wohl aber Klagefristen, die eine befristete Aufbewahrung rechtfertigen können – die Dauer sollte arbeitsrechtlich abgestimmt und dann einheitlich angewandt werden.

Der Konflikt zwischen Speicherbegrenzung und Aufbewahrungspflicht wird nicht dadurch gelöst, dass man eine Seite ignoriert, sondern durch Trennung. Daten, deren ursprünglicher Zweck erfüllt ist, die aber aufbewahrt werden müssen, gehören aus dem laufenden Zugriff genommen und nur noch für den Aufbewahrungszweck vorgehalten – mit engem Berechtigungskreis und ohne weitere Nutzung. Dieses Sperren statt Löschen ist der Normalfall in einem funktionierenden Löschkonzept und der Punkt, an dem Standardsoftware am häufigsten nicht mitspielt.

Warum KI das Thema dringend macht

Bis vor kurzem war das Verzeichnis für viele Betriebe eine Pflichtübung mit überschaubarer Dynamik. Mit dem Einsatz von KI-Werkzeugen ändert sich das, und zwar aus einem strukturellen Grund: Jedes neue Werkzeug legt eine neue Verarbeitung an, und diese Werkzeuge werden schnell, oft und dezentral eingeführt.

Drei Effekte kommen zusammen. Erstens entsteht mit jedem Dienst ein neuer Empfänger, oft mit Sitz oder Zugriff außerhalb der EU – Auftragsverarbeitung und Drittlandfrage sind dann zu dokumentieren, wie in Datenschutz beim KI-Einsatz beschrieben. Zweitens entstehen Kopien: Wer eigene Unterlagen für einen Assistenten aufbereitet, erzeugt einen durchsuchbaren Index, der personenbezogene Inhalte enthält und im Löschkonzept eigens zu berücksichtigen ist – wird ein Dokument im Original gelöscht, ist es im Index nicht automatisch verschwunden. Wie solche Indizes entstehen, steht in Eigene Unterlagen nutzbar machen. Drittens beschleunigt sich die Einführung: Ein Fachbereich kann einen Dienst in zehn Minuten in Betrieb nehmen, und niemand in der Organisation erfährt davon, solange keine Regel das vorschreibt. Welche Regel das ist, steht in KI-Leitplanken: die Betriebsregelung.

Praktisch heißt das: Ein aktuelles Verzeichnis ist die Voraussetzung dafür, KI überhaupt geordnet einzuführen – nicht eine Nacharbeit danach.

Was das im Mentoring bedeutet

Der Stand von Verzeichnis und Löschkonzept wird im KI-Readiness-Check der Phase START erhoben, weil er darüber entscheidet, welche Anwendungsfälle realistisch sind. In der Phase UMSETZUNG wird der Prozess festgelegt, der neue Verarbeitungen bei der Beschaffung erfasst, statt sie jährlich nachträglich zu suchen. Der Mapper wird als Fremdsoftware weiterverkauft und nimmt Ihnen die Erfassung und Fortschreibung technisch ab, nicht die fachliche Entscheidung. Die rechtliche Bewertung bleibt Aufgabe Ihres Datenschutzbeauftragten oder Fachanwalts.