Verarbeitungsaktivitäten

Das Verzeichnis der Verarbeitungstätigkeiten (VVT) ist die zentrale Anforderung des Datenschutzrechts. In diesem Kapitel lernst du, wie du Verarbeitungsaktivitäten erstellst und verwaltest.

Was sind Verarbeitungsaktivitäten?

Eine Verarbeitungsaktivität dokumentiert einen konkreten Vorgang der Datenverarbeitung in deinem Unternehmen. Beispiele:

• Lohnbuchhaltung
• Kundendatenverwaltung im CRM
• Newsletter-Versand
• Bewerbermanagement
• Zeiterfassung

Jede Aktivität beschreibt:

• Was verarbeitet wird (Datenkategorien, Datenfelder)
• Warum es verarbeitet wird (Zweck, Rechtsgrundlage)
• Wie es verarbeitet wird (Anwendungen, TOMs)
• Wer betroffen ist (betroffene Personen)
• Wohin die Daten gehen (Empfänger, Untervertragspartner)

Verarbeitungsaktivitäten-Liste

Zugriff

1. Navigiere zum Datenschutzsystem
2. Klicke auf “Verarbeitungsaktivitäten”

Übersicht

Die Liste zeigt alle erfassten Aktivitäten mit:

Eine neue Verarbeitungsaktivität erstellen

Schritt 1: Formular öffnen

1. Navigiere zu Verarbeitungsaktivitäten
2. Klicke auf "+ Verarbeitungsaktivität"

Schritt 2: Grunddaten erfassen

Pflichtfelder:

• Name: Eindeutige Bezeichnung der Verarbeitung

  • Beispiel: “Lohnbuchhaltung”, “Newsletter-Versand”, “Kundenverwaltung CRM”

• Beschreibung: Detaillierte Beschreibung der Verarbeitung

  • Was genau wird gemacht?
  • In welchem Kontext findet die Verarbeitung statt?

Optionale Felder:

• Zweck der Verarbeitung: Warum werden die Daten verarbeitet?

  • Beispiel: “Erfüllung arbeitsrechtlicher Pflichten”, “Marketing und Kundenbindung”

• Art der Verarbeitung: Automatisch oder Manuell

  • Automatisch: Verarbeitung durch IT-Systeme
  • Manuell: Händische Verarbeitung (z.B. Papierakten)

Schritt 3: Daten-Abschnitt

Verknüpfe die Aktivität mit den relevanten Stammdaten:

• Verarbeitungsaktionen: Art der Verarbeitung (z.B. Erheben, Speichern, Übermitteln)
• Datenkategorien: Welche Arten von Daten werden verarbeitet?
• Datenfelder: Konkrete Datenfelder (z.B. Name, Adresse, Geburtsdatum)
• Speicherfristen: Wie lange werden die Daten aufbewahrt?
• Anwendungen: Welche IT-Systeme werden genutzt?
• Rechtsgrundlagen: Rechtliche Basis für die Verarbeitung
• Untervertragspartner: Externe Dienstleister, die Daten verarbeiten

Schritt 4: Empfänger

• Empfänger: Organisationen oder Personen, die Daten erhalten

Schritt 5: Folgenabschätzung

• DSFAs: Verknüpfung mit Datenschutz-Folgenabschätzungen (falls vorhanden)

Schritt 6: Massnahmen

• Massnahmen zur Risikominderung: Spezifische Schutzmassnahmen
• TOMs: Technische und Organisatorische Massnahmen

Schritt 7: Verknüpfungen

Verbinde die Aktivität mit anderen ELIZA-Modulen:

• Risiken: Verknüpfung mit Risikoeinschätzungen
• Prozesse: In welchen Geschäftsprozessen findet die Verarbeitung statt?
• Verantwortliche Stelle: Zuständige Organisationseinheit
• Betroffene Personen: Welche Personengruppen sind betroffen?

Schritt 8: Speichern

Klicke auf “Speichern”, um die Aktivität anzulegen.

Verarbeitungsaktivität bearbeiten

1. Öffne die Verarbeitungsaktivität durch Klick auf den Namen
2. Klicke auf das Bearbeiten-Symbol (Stift-Icon)
3. Nimm die gewünschten Änderungen vor
4. Klicke auf “Speichern”

Verarbeitungsaktivität löschen

1. Öffne die Verarbeitungsaktivität
2. Klicke auf das Löschen-Symbol (Papierkorb-Icon)
3. Bestätige die Löschung

Achtung: Gelöschte Aktivitäten können nicht wiederhergestellt werden!

Verarbeitungsaktionen

Was sind Verarbeitungsaktionen?

Verarbeitungsaktionen beschreiben die Art der Datenverarbeitung. Typische Aktionen sind:

• Erheben
• Erfassen
• Speichern
• Verändern
• Auslesen
• Übermitteln
• Verknüpfen
• Löschen

Verarbeitungsaktionen verwalten

1. Navigiere zum Datenschutzsystem
2. Klicke auf “Verarbeitungsaktionen”
3. Erstelle neue Aktionen oder bearbeite bestehende

Word-Export

Das Datenschutz-Modul ermöglicht den Export als Word-Dokument.

Export durchführen

1. Navigiere zum Datenschutzsystem
2. Klicke auf “Export”
3. Das System generiert ein Word-Dokument mit allen Verarbeitungsaktivitäten

Das exportierte Dokument enthält:

• Alle Aktivitäten mit Beschreibung
• Zweck der Verarbeitung
• Rechtsgrundlagen
• Betroffene Personengruppen

Best Practices

Empfehlungen

• Vollständigkeit: Dokumentiere alle Datenverarbeitungen im Unternehmen
• Granularität: Nicht zu grob (z.B. “IT-Betrieb”), nicht zu fein (z.B. jede einzelne E-Mail)
• Aktualität: Aktualisiere bei Änderungen an Prozessen oder Systemen
• Verknüpfungen: Nutze die Verknüpfungen zu Prozessen und Anwendungen

Häufige Fehler

• Unvollständig: Nicht alle Verarbeitungen erfasst
• Veraltet: Änderungen nicht nachgeführt
• Zu grob: Wichtige Details fehlen
• Fehlende Rechtsgrundlagen: Jede Verarbeitung braucht eine Rechtsgrundlage

Beispiel: Lohnbuchhaltung

Name: Lohnbuchhaltung

Beschreibung: Verarbeitung von Mitarbeiterdaten für die monatliche Lohnabrechnung und Sozialversicherungsmeldungen.

Zweck: Erfüllung arbeitsrechtlicher Verpflichtungen, Lohnzahlung an Mitarbeitende

Art: Automatisch

Datenkategorien:

• Stammdaten (Name, Adresse)
• Finanzdaten (Kontonummer, Lohn)
• Sozialversicherungsdaten

Rechtsgrundlagen:

• Arbeitsvertrag (Art. 6 Abs. 1 lit. b DSGVO)
• Gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO)

Anwendungen:

• Lohnbuchhaltungssoftware
• HR-System

Empfänger:

• Sozialversicherungsträger
• Steuerbehörden

Speicherfristen:

• 10 Jahre nach Ende des Arbeitsverhältnisses (gesetzliche Aufbewahrungspflicht)

TOMs:

• Zugriffsbeschränkung auf HR-Abteilung
• Verschlüsselung der Datenübertragung

Nächste Schritte

Im nächsten Kapitel lernst du alles über Stammdaten - die Grundlage für deine Verarbeitungsaktivitäten.