TL;DR
Art. 30 Abs. 5 befreit Unternehmen mit weniger als 250 Beschäftigten — außer wenn die Verarbeitung ein Risiko birgt, ODER nicht nur gelegentlich erfolgt, ODER besondere Kategorien bzw. Daten zu Straftaten umfasst. Die drei Bedingungen sind Alternativen. Lohnabrechnung ist nicht gelegentlich und enthält Gesundheitsdaten: damit greifen zwei davon auf einmal.
Der Fehler liegt im Wörtchen «oder»
Art. 30 Abs. 5 DSGVO nimmt Unternehmen mit weniger als 250 Beschäftigten von der Verzeichnispflicht aus — «sofern die von ihnen vorgenommene Verarbeitung nicht ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, die Verarbeitung nicht nur gelegentlich erfolgt oder eine Verarbeitung besonderer Datenkategorien gemäß Artikel 9 Absatz 1 bzw. die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Artikels 10 einschließt». Drei Bedingungen, verbunden mit «oder». Die Artikel-29-Datenschutzgruppe hat das in ihrem Positionspapier vom 19. April 2018 ausdrücklich klargestellt: es handelt sich um Alternativen, und schon das Zutreffen einer einzigen lässt die Befreiung entfallen.
«Nicht nur gelegentlich» erledigt die Ausnahme praktisch immer
Gelegentlich ist eine Verarbeitung, die nicht regelmäßig stattfindet, nicht Teil des gewöhnlichen Geschäftsbetriebs ist und keine Dauerhaftigkeit aufweist. Lohn- und Gehaltsabrechnung findet jeden Monat statt. Kundenverwaltung läuft ununterbrochen. Bewerbungen kommen das ganze Jahr. Keine dieser Verarbeitungen ist gelegentlich — und damit ist die Befreiung schon weg, ganz unabhängig von der Beschäftigtenzahl. Kommen Krankmeldungen hinzu, greift zusätzlich die Rückausnahme für besondere Kategorien nach Art. 9 Abs. 1.
- Die Befreiung ist nie vollständig: sie gilt allenfalls für die Verarbeitungen, die keine der drei Bedingungen erfüllen. Für alle übrigen bleibt das Verzeichnis Pflicht — ein Unternehmen führt also entweder ein unvollständiges oder ein vollständiges.
- Art. 30 Abs. 1 nennt den Mindestinhalt: Name und Kontaktdaten, Zwecke, Kategorien betroffener Personen und Daten, Empfängerkategorien, Drittlandsübermittlungen samt Garantien, Löschfristen und eine allgemeine Beschreibung der Maßnahmen nach Art. 32 Abs. 1.
- Auch Auftragsverarbeiter führen ein eigenes Verzeichnis (Art. 30 Abs. 2) — mit anderem Inhalt: dort stehen die Auftraggeber, nicht die Zwecke.
- Art. 30 Abs. 4: das Verzeichnis ist der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen. In der Praxis ist es das erste Dokument, das angefordert wird.
Was ein Muster nicht leistet
Ein Muster liefert die Spalten, nicht die Inhalte. Die beiden Felder, an denen Verzeichnisse regelmäßig scheitern, lassen sich nicht abschreiben: die Löschfrist, die je Datenkategorie und Rechtsordnung verschieden ist, und die Maßnahmen nach Art. 32, die zur tatsächlichen Technik passen müssen. Ein Verzeichnis, in dem überall «gesetzliche Aufbewahrungsfristen» steht, beantwortet die Frage nicht, sondern weicht ihr aus.
Der praktische Rat für die Beratung: die Diskussion über die 250 gar nicht erst führen. Sie kostet eine halbe Stunde und endet ohnehin immer gleich. Sinnvoller ist die Frage, welche Verarbeitungen es gibt und wie lange die Daten jeweils bleiben — denn genau dort fehlt die Antwort, und genau danach fragt die Behörde.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
