Welche Daten verarbeiten Sie wofür, wer bekommt sie, wann werden sie gelöscht? Bauen Sie einen Eintrag für Ihr Verzeichnis der Verarbeitungstätigkeiten Schritt für Schritt und sehen Sie den Datenfluss dabei als Bild.
01a verantwortlicher → name, kontakt, dsb02b zwecke → wofür? + rechtsgrundlage03c betroffene/daten → wer, was, art. 9?04d empfänger → intern, avv, extern05e drittland → nein · oder ja + garantie06f löschfristen → je dokumentart07g tom → allgemein, art. 32
Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO hält fest, welche personenbezogenen Daten Ihre Einrichtung wofür verarbeitet, wer sie bekommt und wann sie gelöscht werden. Auf Anfrage stellen Sie es der Aufsichtsbehörde zur Verfügung. Oft wird es als lästiges Formular geführt. Dabei ist es das Inhaltsverzeichnis Ihres Datenschutzes, und vieles andere baut darauf auf.
Ein Blick genügt, um zu sehen, welche Daten wo liegen, wer sie bekommt und wofür. Das hilft bei Auskunftsersuchen, bei Datenpannen und wenn neue Kolleginnen oder Kollegen den Datenschutz übernehmen.
Ob eine Datenschutz-Folgenabschätzung nötig ist, lässt sich nur beurteilen, wenn klar ist, welche Daten wohin fließen. Das Verzeichnis liefert genau das.
Wer pro Tätigkeit Systeme und Fristen kennt, kann fristgerecht löschen, statt alles aufzuheben. Weniger Altdaten heißt auch weniger Risiko.
Jeder Hoster, jede Fernwartung, jede App taucht als Empfänger auf. So fällt auf, wo ein AVV fehlt oder Daten die EU verlassen.
Für Einrichtungen im Gesundheitswesen ist das Verzeichnis praktisch immer Pflicht, weil regelmäßig Gesundheitsdaten verarbeitet werden. Dieses Werkzeug ist vereinfacht und ersetzt keine Prüfung durch Ihre Datenschutzbeauftragten und keine Rechtsberatung.
Wählen Sie ein fiktives Beispiel oder beginnen Sie leer. In neun Schritten füllen Sie die Angaben aus, rechts bzw. darunter entsteht der Datenfluss als Bild: Betroffene, Ihre Einrichtung, Empfänger, Löschung. Jedes Beispiel hat eine typische Lücke eingebaut. Finden Sie sie mit dem Lücken-Check.
Ein Eintrag beschreibt eine Tätigkeit, nicht ein Programm. Dazu Name und Kontakt des Verantwortlichen und, falls benannt, der Datenschutzbeauftragten.
Tipp: Ein Klick auf einen Bereich im Bild führt direkt zum passenden Schritt. Ihr Eintrag bleibt in diesem Browser gespeichert und wird nicht an uns übertragen.
Art. 30 Abs. 1 nennt sieben Angaben für Verantwortliche. Rechtsgrundlage und Systeme sind nicht ausdrücklich verlangt, stehen aber in den meisten guten Verzeichnissen, weil sie die Arbeit damit leichter machen.
Name und Kontaktdaten Ihrer Einrichtung, gegebenenfalls auch gemeinsam Verantwortlicher, eines Vertreters und der oder des Datenschutzbeauftragten.
So konkret wie möglich: „Dokumentation des Wundverlaufs“ statt „Patientenverwaltung“. Klare Zwecke machen jede spätere Prüfung leichter.
Nicht ausdrücklich verlangt, aber der Kern jeder Prüfung. Für Gesundheitsdaten braucht es neben Art. 6 eine Ausnahme nach Art. 9 Abs. 2, in der Versorgung meist lit. h.
Kategorien statt einzelner Personen. Markieren Sie besondere Kategorien nach Art. 9: Gesundheitsdaten, aber auch Wundfotos oder Krankmeldungen von Mitarbeitenden.
Alle Stellen, denen Daten offengelegt werden: Kassen, Ärztinnen und Ärzte, aber auch Auftragsverarbeiter wie Hoster oder Fernwartung, mit AVV.
Ob Daten die EU bzw. den EWR verlassen, wohin und auf welcher Grundlage. Auch Support- und Sicherungswege zählen.
Wo möglich, die vorgesehenen Fristen. Sie hängen von der Dokumentart ab, z. B. Patientenakte in der Regel mindestens 10 Jahre nach Abschluss der Behandlung (§ 630f BGB).
Wo möglich, eine allgemeine Beschreibung: Berechtigungen, Verschlüsselung, Protokollierung, Datensicherung. Die Einzelheiten stehen im TOM-Dokument.
Wer weiß, in welchem Programm Daten liegen, kann sie fristgerecht löschen und Anbieter gezielt prüfen.
Hoster, Labor, Steuerberatung: Wer Daten von Ihnen bekommt, ist nicht automatisch Auftragsverarbeiter. Entscheidend ist, wer über Zwecke und Mittel der Verarbeitung bestimmt. Davon hängt ab, ob Sie einen AVV brauchen, eine Vereinbarung über gemeinsame Verantwortung oder eine Rechtsgrundlage für die Übermittlung.
Ziehen Sie die Karte auf einen Korb oder tippen Sie den Korb an. Ihre Einrichtung ist die Verantwortliche.
1 / 8Betreibt die Server, auf denen Ihre Wunddokumentation läuft.
Die Zuordnungen gelten in der Regel. Im Einzelfall entscheiden der Vertrag und wie die Zusammenarbeit tatsächlich läuft. Im Zweifel fragen Sie Ihre Datenschutzbeauftragten.
Wir nehmen Ihre Systeme und Datenflüsse auf, Tätigkeit für Tätigkeit. Daraus entstehen, gemeinsam mit Ihren Datenschutzbeauftragten, ein Entwurf Ihres Verzeichnisses und eine Liste der Lücken: fehlende AVV, unklare Fristen, Datenwege außerhalb der EU.
Beim Umzug in die EU-Cloud wandert das Verzeichnis mit: Neue Systeme, Hoster und Fristen stehen drin, bevor Daten fließen. Schrittweise und mit dem Einverständnis und der Akzeptanz Ihrer Mitarbeitenden.
Jede KI-Funktion bekommt ihren eigenen Eintrag: Zweck, Daten, Modellbetreiber als Auftragsverarbeiter, Standort. Wo nötig, prüfen wir mit Ihnen, ob eine DSFA nach Art. 35 erforderlich ist.
In aller Regel ja. Die Ausnahme für Organisationen mit weniger als 250 Beschäftigten gilt nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt oder besondere Kategorien wie Gesundheitsdaten betrifft. Für Einrichtungen im Gesundheitswesen ist das Verzeichnis praktisch immer Pflicht, weil regelmäßig Gesundheitsdaten verarbeitet werden.
Einen pro Verarbeitungstätigkeit, nicht pro Programm. Typisch sind Einträge für Dokumentation, Abrechnung, Terminvergabe, Bewerbungen, Dienstplanung, Lohnabrechnung, Website und E-Mail. Wie fein Sie schneiden, stimmen Sie am besten mit Ihren Datenschutzbeauftragten ab.
Er ist ein strukturierter Entwurf. Prüfen Sie ihn mit Ihren Datenschutzbeauftragten, ergänzen Sie Einzelheiten wie die Fristen je Dokumentart und halten Sie ihn aktuell. Das Verzeichnis ist schriftlich zu führen, ein elektronisches Format genügt, und auf Anfrage stellen Sie es der Aufsichtsbehörde zur Verfügung.
Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt (Art. 35), etwa bei umfangreicher Verarbeitung von Gesundheitsdaten oder beim Einsatz neuer Technologien. Das Verzeichnis ist dafür der Ausgangspunkt.
Nur in Ihrem Browser, nicht bei uns. Verwenden Sie im Werkzeug am besten Platzhalter statt echter Namen. Mit „Neu starten“ löschen Sie den gespeicherten Eintrag wieder.
Sie möchten Ihr Verzeichnis gemeinsam mit uns durchgehen? Erstgespräch vereinbaren