--- name: verarbeitungen-erheben description: Ermittelt konkrete Verarbeitungstätigkeiten aus Betriebsabläufen, Verträgen und Systemlisten. Trennt Zwecke, Datenschutzrollen und Beleglücken und übergibt belastbare Angaben für das Verarbeitungsverzeichnis. --- # Verarbeitungstätigkeiten aus dem Betrieb erheben ## 1. Zweck und Anwendungsfall Übersetzen Sie den tatsächlichen Unternehmensalltag in abgegrenzte Verarbeitungstätigkeiten. Ein Verzeichnis ist weder eine Inventarliste aller Programme noch eine Sammlung jeder einzelnen E-Mail. Es beschreibt nachvollziehbare Abläufe mit bestimmten Zwecken und Verantwortlichkeiten. Eine Anwendung kann mehrere Tätigkeiten unterstützen; eine Tätigkeit kann mehrere Anwendungen und Papierablagen umfassen. Der Skill eignet sich für die erste Erhebung ebenso wie für einen bisher übersehenen Fachbereich. Er beginnt mit belastbaren vorhandenen Informationen und vermeidet wiederholte Fragebögen ohne Einfluss auf das Ergebnis. Liegt bereits ein Verzeichnis vor, erhalten bestehende Tätigkeiten ihre Kennung. Neue Namen allein begründen keine neue Tätigkeit. ## 2. Eingaben Benötigt werden Organigramm oder Zuständigkeitsliste, Leistungsangebot, Systeminventar, wesentliche Dienstleisterverträge und vorhandene Datenschutzunterlagen. Nützlich sind kurze Beschreibungen aus Personal, Vertrieb, Einkauf, Buchhaltung und IT. Fordern Sie keine vollständigen Patienten-, Personal- oder Kundenakten an, wenn Kategorien, Muster und ein beschränkter Ausschnitt genügen. Fragen Sie fachbereichsbezogen: „Welche Daten gehen ein, was machen Sie damit, wer erhält sie und wann endet die Nutzung?“ Ergänzen Sie nur fehlende Angaben zu realen Abläufen. Ein Geschäftsführer muss nicht zuerst jedes technische Detail beantworten; die technische Ansprechperson kann einen konkret bezeichneten Teil nachliefern. Halten Sie Auskunftsperson und Belegdatum fest. ## 3. Ablauf und Checkliste ### 3.1. Den rechtlichen und betrieblichen Rahmen erfassen Bestimmen Sie die Rechtsträger, für die das Verzeichnis geführt wird. Zwei verbundene GmbHs sind nicht automatisch ein Verantwortlicher. Erfassen Sie gemeinsame Dienste, Datenübergaben und tatsächliche Entscheidungen. Artikel 4 Nummern 7 und 8 sowie Artikel 26 und 28 DSGVO bestimmen die Rollen; die Vertragsüberschrift ist nur ein Indiz. Bei offenen Rollen bleiben beide denkbaren Einordnungen mit den entscheidenden Tatsachen sichtbar. Prüfen Sie, ob tatsächlich personenbezogene Daten vorliegen. Unternehmensdaten können durch Ansprechpartner, Einzelunternehmer oder Benutzerkennungen Personenbezug haben. Pseudonyme Konten sind nicht allein dadurch anonym. Wirklich anonyme Auswertungen können außerhalb des Verzeichnisses liegen; die vorausgehende Verarbeitung zur Anonymisierung muss dennoch betrachtet werden. Dokumentieren Sie die Abgrenzung, statt Einträge spurlos wegzulassen. ### 3.2. Tätigkeiten zweckbezogen zuschneiden Beginnen Sie mit einfachen, betrieblich verständlichen Bezeichnungen wie „Lohnabrechnung“, „Bewerbungen bearbeiten“, „Kundenaufträge abwickeln“ oder „Support im Auftrag der Kunden“. Trennen Sie Zwecke, wenn Rechtsgrundlagen, Datenkategorien, Empfänger oder Löschlogik wesentlich abweichen. Der Einsatz derselben Cloudsuite rechtfertigt keinen Sammelzweck „Digitalisierung“. Ein getrennter Newsletter darf nicht in der erforderlichen Vertragsabwicklung verschwinden. Bei einem Gesundheitsbetrieb trennen Sie Behandlung, Abrechnung, Terminorganisation und einen zusätzlichen KI-Pilot, soweit unterschiedliche Datenflüsse oder Zwecke bestehen. Bei Fahrzeugen unterscheiden Sie Disposition, Diebstahlschutz und personenbezogene Leistungsbewertung. Erfassen Sie auch Schattenablagen, Messenger, Privatgeräte, Testsysteme und Papier, wenn sie tatsächlich genutzt werden. Eine nur geplante Verarbeitung wird ausdrücklich als geplant beschrieben; sie wird nicht als bereits zulässig betrieben dargestellt. ### 3.3. Die beiden Verzeichnistypen unterscheiden Für Verantwortlichentätigkeiten erheben Sie Zwecke, Kategorien betroffener Personen, Datenkategorien, Empfängerkategorien, Drittlandsbezug, Löschlogik und technische sowie organisatorische Maßnahmen. Zusätzlich werden Verantwortlichenkontakt und gegebenenfalls gemeinsam Verantwortliche, Vertreter und Datenschutzbeauftragter zugeordnet. Eine Abteilung ist intern zuständig, aber nicht deshalb eine eigenständige verantwortliche juristische Person. Für Auftragsverarbeitung erheben Sie die Verarbeitungskategorien für jeden Auftraggeber sowie Namen und Kontaktdaten jedes Verantwortlichen. Kundengruppen dürfen als Übersicht dienen, ersetzen aber die nach Artikel 30 Absatz 2 notwendige Zuordnung nicht. Erfassen Sie Weisungszweck und Grenzen aus dem Vertrag, ohne eine eigene Rechtsgrundlage für die Kundenverarbeitung zu erfinden. Eigene Zwecke desselben Dienstleisters erhalten einen getrennten Eintrag nach Absatz 1. ### 3.4. Quellen, Lücken und Widersprüche strukturieren Ordnen Sie jedem Eintrag eine Quelle mit Dateiname, Abschnitt oder Auskunftsdatum zu. Trennen Sie „laut Vertrag“, „laut Interview“, „technisch nachgewiesen“ und „noch ungeklärt“. Erscheint ein Löschlauf im Vertrag, ist damit seine praktische Durchführung nicht belegt. Ein Werbeprospekt mit „EU-Hosting“ beweist keine Beschränkung sämtlicher Supportzugriffe auf den Europäischen Wirtschaftsraum. Bei Widersprüchen erstellen Sie eine konkrete Rückfrage. Beispiel: „Im AV-Vertrag ist ein Supportstandort außerhalb des EWR genannt; die IT-Liste enthält nur Frankfurt. Bitte bestätigen Sie, ob Beschäftigte oder Unterauftragnehmer am genannten Standort auf personenbezogene Daten zugreifen können.“ Bewahren Sie beide Belege. Ersetzen Sie fehlende Angaben nicht durch „nein“, eine Standardfrist oder eine vermeintlich übliche Schutzmaßnahme. ### 3.5. Den Aufwand sinnvoll begrenzen Nutzen Sie Musterprozesse als Gesprächshilfe, nicht als feststehende Tatsachen. Beginnen Sie bei wenigen Tätigkeiten mit einem nachvollziehbaren Kernbestand. Bei sehr vielen Fachbereichen legen Sie eine Erhebungsreihenfolge nach Datenempfindlichkeit und Änderungen fest. Eine Priorisierung macht unbearbeitete Bereiche sichtbar; sie darf nicht als vollständige Erfassung verkauft werden. Erheben Sie Umfang, Regelmäßigkeit, Personengruppen und besondere Datenarten so konkret wie verfügbar. Die Frage nach der Beschäftigtenzahl dient der rechtlichen Rahmenprüfung, ersetzt aber weder Risikoanalyse noch Pflichtenprüfung. Wiederkehrende Personalverwaltung ist kein gelegentlicher Vorgang, nur weil die Abrechnung monatlich stattfindet. Einzelne Verarbeitungstätigkeiten sind nachvollziehbar zu beurteilen. ### 3.6. Einträge an die Fachprüfung übergeben Geben Sie `erhebung` mit Kennungen, Entwurfsbezeichnungen, Rollenbefund, Datenflussbeschreibung und offenen Fragen an [Verzeichnis erstellen](../verzeichnis-erstellen/SKILL.md). Fragen zu Rechtsgrundlagen und Aufbewahrung gehen an [Rechtsgrundlagen und Löschung](../rechtsgrundlagen-loeschung-pruefen/SKILL.md); Empfänger- und Supportlücken an [Dienstleister, Transfers und TOM](../dienstleister-transfers-tom-pruefen/SKILL.md). Kennzeichnen Sie Hinweise auf Überwachung, Profilbildung und besondere Datenarten für [Risiken und DSFA](../risiken-dsfa-pruefen/SKILL.md). Die Rückgabe aus der Fachprüfung kann eine Tätigkeit teilen oder zusammenführen. Bewahren Sie dabei die Herkunft alter Kennungen und den Grund der Änderung. Löschen Sie einen begonnenen Eintrag nicht allein deshalb, weil eine Fachabteilung auf den Fragebogen noch nicht geantwortet hat. ## 4. Quellenpflicht Nutzen Sie die amtlich geöffneten Normen und die DSK-Hinweise in [Rechtsquellen](../../references/rechtsquellen.md). Die DSK-Muster für Verantwortliche und Auftragsverarbeiter sind Orientierung für unterschiedliche Pflichten, keine Garantie vollständiger betriebsspezifischer Erhebung. Beachten Sie [Zitierweise](../../references/zitierweise.md) und den dokumentierten Rechtsstand. Vorschläge zur Änderung der Verzeichnis-Ausnahme werden nicht vor ihrem tatsächlichen Inkrafttreten angewandt. ## 5. Ausgabeformat Erstellen Sie eine kompakte Tätigkeitsübersicht und je Tätigkeit einen verständlichen Erhebungsbogen. Auskünfte, Befunde und Rückfragen sind vollständig ausformuliert. Reine Schlagworte ersetzen keinen lesbaren Zweck und keine Erklärung eines Datenflusses. Berichte und Schreiben verwenden Times New Roman, 11 pt, dezimale Gliederung und ein getrenntes Quellenprotokoll. Strukturierte Tabellen haben höchstens vier Spalten pro dargestellter Ansicht. Das Ergebnis unterscheidet belegte Tätigkeiten, vorläufige Abgrenzungen und noch nicht erhobene Bereiche. Nennen Sie die nächste zuständige Person und die konkrete fehlende Information; behaupten Sie keine vollständige Bestandsaufnahme, wenn wesentliche Fachbereiche fehlen. ## 6. Beispiele Die IT liefert „Microsoft 365“ als einzigen Vorgang. Sie bilden daraus anhand tatsächlicher Nutzung getrennte Zwecke für interne Zusammenarbeit, Personalprozesse und Kundenkommunikation; dieselbe Systemreferenz kann mehrfach vorkommen. Eine automatische Annahme von Newsletterversand unterbleibt. Ein kleiner Dienstleister sagt „Wir besitzen die Daten nicht“. Sie prüfen die tatsächlichen Weisungen und Kundenverträge. Für Hosting im Auftrag entsteht ein Eintrag nach Artikel 30 Absatz 2; die eigene Kundenabrechnung bleibt eine selbst verantwortete Tätigkeit.