Bearbeitungsverzeichnis: Neue Vorgaben im Datenschutz
KURZ ZUSAMMENGEFASST
Seit dem 1. September 2023 müssen Unternehmen gemäss dem revidierten Bundesgesetz über den Datenschutz (revDSG) ihre Datenbearbeitungen systematisch dokumentieren. Ein solches Bearbeitungsverzeichnis dient als zentrale Übersicht über bearbeitete Personendaten, Zwecke und Empfänger. Obwohl die Führungspflicht nicht für alle Organisationen gilt, wird die Erstellung auch auf freiwilliger Basis dringend empfohlen, um Transparenz zu schaffen und Auskunftspflichten effizient zu erfüllen.
Die wichtigsten Punkte:
- Das revDSG verlangt eine Dokumentation der Bearbeitungstätigkeiten als Verzeichnis.
- Pflicht besteht für Unternehmen mit über 250 Mitarbeitern oder bei Bearbeitung besonders schützenswerter Daten.
- Das Verzeichnis kann in beliebiger Form (Papier, Word, Excel, Software) geführt werden.
- Mindestinhalte umfassen Identität des Bearbeiters, Zwecke, Kategorien betroffener Personen und Datenempfänger.
- Eine regelmässige Pflege ist notwendig, um den aktuellen Stand der Datenbearbeitungen abzubilden.
Florian Müller, RA MLaw Notar, Informatiker EFZ
Florian Müller, RA, MLaw, Informatiker EFZ ist Partner bei LEXcellence AG. Er berät als erfahrener Technologie-Anwalt nationale und internationale Unternehmen in den Bereichen IT-, Datenschutz-, Immaterialgüterrecht (IP) sowie weiteren wirtschaftsrechtlichen Bereichen. Er hat weitere Dozentenaufträge an der FHNW sowie HSLU im Bereich IT- und Datenschutzrecht.
Passende Arbeitshilfen
Welche Anforderungen stellt das revDSG an ein Bearbeitungsverzeichnis und wann besteht eine Führungspflicht?
Neue Dokumentationspflichten - Bearbeitungsverzeichnis
Das revidierte Bundesgesetz über den Datenschutz (revDSG) ist am 1. September 2023 in Kraft getreten. Zu den verschiedenen Datenschutzthemen, denen sich Unternehmen neu anzunehmen haben, gehört auch die mögliche Führung eines Verzeichnisses der Bearbeitungstätigkeiten («Bearbeitungsverzeichnis»). Das Bearbeitungsverzeichnis soll als zentrale Dokumentation über die im Unternehmen vorhandenen Datenbearbeitungen dienen, aus welchem die bearbeiteten Personendaten, Bearbeitungszwecke sowie mögliche Datenempfänger entnommen werden können. Welche Informationen im Bearbeitungsverzeichnis enthalten sein müssen, wie ein solches erstell wird, wer zur Führung eines solchen Bearbeitungsverzeichnis verpflichtet ist und weshalb es sich lohnt ein solches allenfalls auf freiwilliger Basis zu erstellen, soll nachfolgend beleutet werden.
Inhalt und Form eines Bearbeitungsverzeichnisses
In Art. 12 revDSG wird festgehalten, dass ein Datenbearbeiter (entweder als Verantwortlicher oder Auftragsbearbeiter) ein Verzeichnis seiner Bearbeitungstätigkeiten zu führen hat. Die Mindestanforderungen an den Inhalt des Bearbeitungsverzeichnisses sind in Art. 12 Abs. 2 revDSG aufgeführt. Es steht den Datenbearbeitern frei, über die Mindestinhalte hinaus weitere Angaben ins Bearbeitungsverzeichnis aufzunehmen, wenn dies für die internen Zwecke dienlich ist. Insbesondere sind die Identität des Datenbearbeiters, die Nennung des jeweiligen Bearbeitungszwecks, eine kategorisierte Beschreibung der betroffenen Personen und bearbeiteten Personendaten sowie Kategorie der möglichen Dritten, welche die Personendaten erhalten.
Als Bearbeiten gilt fast jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten von Daten (siehe dazu auch Art. 5 lit. d revDSG). Wird also eine dieser Handlungen durch einen Datenbearbeiter vorgenommen, gehört die Tätigkeit grundsätzlich ins Bearbeitungsverzeichnis. In der Botschaft zum revDSG wurde ausgeführt, «Verzeichnis ist mithin eine schriftliche Darstellung der wesentlichen Informationen zu allen Datenbearbeitungen eines Verantwortlichen oder Auftragsbearbeiters». Nicht notwendig ist entsprechend einen einzelnen Unternehmensprozess in kleine Datenbearbeitungsschritte aufzuteilen und diese einzeln im Bearbeitungsverzeichnis zu erfassen. So ist davon auszugehen, dass es betreffend Kommunikation mit Kunden genügt, einen Bearbeitungstätigkeit «Kommunikation mit Kunden» zu führen, und darin sämtliche Kommunikationskanäle zu erfassen.
Für die Bearbeitung der Lohnbuchhaltung könnten die Informationen beispielhaft so aussehen: Erfüllung der gesetzlichen Lohnpflichten (Zweck), persönliche Kontaktdaten inkl. Bankverbindungen der Mitarbeiter (Kategorie betroffener Personen und Personendaten) sowie Bank des Arbeitgebers als Empfänger der Personendaten.
In welcher Form das Bearbeitungsverzeichnis geführt wird, liegt im Ermessen des Führenden. Bereits ausreichend wäre die Führung eines entsprechenden Dokumentes auf Papier. In der Praxis haben sich für einfachere Sachverhalte Bearbeitungsverzeichnisse als Word- oder auch als Excel-Dokumente etabliert. Für grössere Unternehmen oder bei komplexeren Bearbeitungstätigkeiten können sich spezifische Software-Programme anbieten, welche die Verknüpfung von Informationen erleichtern, sowohl innerhalb des Dokumentes oder gar mit anderen Unternehmenssystemen. Die elektronische Führung ermöglicht es die Informationen beliebig zu ergänzen und abzuändern. Dies ist insbesondere wichtig, da das Bearbeitungsverzeichnis jeweils den aktuellen Stand der Bearbeitungstätigkeiten abbilden soll und deshalb von Zeit zu Zeit überprüft werden muss.
Passende Produkt-Empfehlungen
Erstellung und Pflege des Bearbeitungsverzeichnisses
Nachdem eine Vorlage mit den entsprechend notwendigen Mindestinformationen erstellt wurde, gilt es die entsprechenden Informationen innerhalb der eigenen Organisation zu sammeln. In der Praxis haben sich hierbei die Durchsicht von internen Prozessbeschrieben und Verträgen sowie strukturierte Interviews mit den Abteilungsleitern (schriftlich oder mündlich) als effektive Methoden etabliert. Gerade während den persönlichen Interaktionen ergeben sich oft Diskussionen welche weitere Datenbeareitung enthüllen.
Abhängig von der grösse der Organisation kann das Bearbeitungsverzeichnis durch eine einzelne verantwortliche Person oder durch ein Team erarbeitet werden. Gerade bei mehreren Zuständigen kann der initiale Aufwand der Informationsbeschaffung beschleunigt werden.
Nach der Informationsbeschaffung sind die Informationen zu ordnen, zu kategorisieren und die Beschreibungen zu vereinheitlichen, um die zukünftige Handhabung des Bearbeitungsverzeichnisses zu erleichtern. Das Bearbeitungsverzeichnis sollte im Anschluss zentral abgelegt werden.
Checkliste
- Prüfen, ob die Führungspflicht aufgrund der Mitarbeiterzahl oder Art der Daten besteht.
- Sämtliche internen Prozesse und Verträge auf Datenbearbeitungen durchsuchen.
- Strukturierte Interviews mit Abteilungsleitern durchführen, um verborgene Datenflüsse zu identifizieren.
- Die gesammelten Informationen in einheitliche Kategorien (Zweck, Personen, Daten, Empfänger) gliedern.
- Eine geeignete Form für das Verzeichnis wählen (z. B. Excel für KMU, Software für komplexe Strukturen).
- Verantwortlichkeiten für die zentrale Ablage und den Zugriff festlegen.
- Regelmässige Intervalle für die Aktualisierung des Verzeichnisses definieren.
- Prüfen, ob alte Bearbeitungstätigkeiten noch relevant sind oder gelöscht werden müssen.
- Sicherstellen, dass neue Datenbearbeitungen sofort im Verzeichnis erfasst werden.
- Das Verzeichnis als Basis für die Erfüllung von Auskunftspflichten gegenüber betroffenen Personen nutzen.
Um die Aktualität des Bearbeitungsverzeichnisses sicher zu stellen, müssen intern die jeweiligen Verantwortlichkeiten für die Pflege festgelegt werden. Wie bei der Erstellung kann die Verantwortung bei einer zentralen Funktion liegen oder gar bei den für die verschiedenen Bearbeitungstätigkeiten verantwortlichen Personen. Bei der Pflege ist insbesondere zu prüfen ob sämtliche Bearbeitungsätigkeiten überhaupt noch durchgeführt werden, neue Bearbeitungen aufgenommen werden müssen, weitere Personendaten bei einzelnen Tätigkeiten dazugekommen sowie ob die Empfänger der Personendaten noch korrekt und vollständig sind.
Wichtige Hinweise:
- Form des Verzeichnisses nicht vorgegeben
- Gesetzliche Mindestinhalte bei Erstellungspflicht
- Fortlaufende Pflege des Verzeichnisses notwendig
- Freiwillige Erstellung wird empfohlen
Erstellungspflicht mit Ausnahmen
Wie einleitend bereits angedeutet, bestehen Ausnahmen von der Pflicht zur Erstellung eines Bearbeitungsverzeichnisses: Dies dann, wenn das Unternehmen anfangs Jahr weniger als 250 Mitarbeiter beschäftigt. Ausnahme von dieser Grundregel ist, dass trotzdem ein Bearbeitungsverzeichnis erstellt werden muss, wenn besonders schützenswerte Personendaten (vgl. Art. 5 lit. c revDSG) in grossem Umfang bearbeitet werden oder wenn ein Profiling mit hohem Risiko durchgeführt wird.
Entgegen der europäischen Datenschutzgesetzgebung, wo grundsätzlich sämtliche Datenbearbeiter ein Bearbeitungsverzeichnis zu führen haben, werden in der Schweiz weniger Organisationen zur Führung eines solchen verpflichtet sein.
Aufgrund der Rechte, welche den von der Bearbeitung betroffenen Personen zustehenen, ist es fast unumgänglich, eine Übersicht der vorhandenen Bearbeitungstätigkeiten sowie Personendaten zu haben. Schliesslich kann eine Auskunft nur erfolgen, wenn ich die entsprechenden Informationen finde oder gerade auch nicht. Sind keine Informationen in der Organisation vorhanden, so kann die Auskunft auch lauten, dass keine Personendaten vorhanden sind. Ebenfalls ist die Einhaltung des Datenschutzes beim Einsatz von Cloud-Software nur möglich, wenn ich überhaupt weiss, welche entsprechenden Produkte eingesetzt werden. Weiter dient das Bearbeitungsverzeichnis ebenfalls als Grundlage zur Erfüllung der Informationspflichten gegenüber den betroffenen Personen.
Hat eine Organisation den Überblick über ihre Bearbeitungstätigkeit, ist es deutlich einfacher, die Einhaltung des Datenschutzes zu gewährleisten und agil auf neue Herausforderungen zu reagieren. Aus diesen Gründen bietet es sich gerade an, ein Bearbeitungsverzeichnis, sei es zumindest für die wichtigsten Bearbeitungstätigkeiten, freiwillig zu erstellen.
Fazit
Auch wenn keine gesetzliche Pflicht zur Erstellung eines Bearbeitungsverzeichnisses für Ihre Organisation besteht, empfiehlt es sich, zumindest im Kleinformat ein solches zur Orientierung erstellen. Es erleichtert den Überblick und schafft Transparenz. Besteht eine Pflicht zur Erstellung, lohnt sich ein Blick ins Gesetz, welchem die Mindestangaben entnommen werden können. Auch wenn die Aufgabe zu Beginn allenfalls überwältigend wirkt, ist die Erstellung des Bearbeitungsverzweichnisses keine Hexerei und kann bei guter Planung und Vorbereitung zeitnah durchgeführt werden.
FAQ: Bearbeitungsverzeichnis
Wer ist gemäss revDSG verpflichtet, ein Bearbeitungsverzeichnis zu führen?
Die Pflicht besteht grundsätzlich für Organisationen mit mehr als 250 Mitarbeitern. Eine Ausnahme gilt für kleinere Unternehmen, wenn sie besonders schützenswerte Personendaten in grossem Umfang bearbeiten oder ein Profiling mit hohem Risiko durchführen.
Welche Mindestinformationen müssen im Bearbeitungsverzeichnis enthalten sein?
Gemäss Art. 12 Abs. 2 revDSG sind die Identität des Datenbearbeiters, der Bearbeitungszweck, eine kategorisierte Beschreibung der betroffenen Personen und der bearbeiteten Personendaten sowie die Kategorie der möglichen Datenempfänger erforderlich.
In welcher Form darf das Bearbeitungsverzeichnis geführt werden?
Das Gesetz schreibt keine spezifische Form vor. Es reicht aus, das Verzeichnis auf Papier, als Word- oder Excel-Dokument oder in einer speziellen Software zu führen, solange die Informationen aktuell und abrufbar sind.
Sollte ein Unternehmen ohne Führungspflicht dennoch ein Verzeichnis erstellen?
Ja, eine freiwillige Erstellung wird empfohlen. Sie schafft Transparenz, erleichtert die Einhaltung von Datenschutzgrundsätzen und ermöglicht eine schnelle und korrekte Beantwortung von Auskunftsersuchen betroffener Personen.
Wie oft muss das Bearbeitungsverzeichnis aktualisiert werden?
Es gibt keinen festen gesetzlichen Turnus, jedoch muss das Verzeichnis den aktuellen Stand der Bearbeitungstätigkeiten widerspiegeln. Eine regelmässige Überprüfung, etwa bei Prozessänderungen oder neuen Dienstleistern, ist notwendig.
