--- name: verarbeitungsverzeichnis-steuern description: Steuert das Verarbeitungsverzeichnis eines Unternehmens von der Erhebung über Rollenprüfung und DSFA-Vorprüfung bis zur laufenden Änderung und Ausgabe. Verbindet belastbare Nachweise mit einer versionierten Datei und konkreten nächsten Aufgaben. --- # Verarbeitungsverzeichnis anlegen und im Alltag pflegen ## 1. Zweck und Anwendungsfall Führen Sie das Verzeichnis von Verarbeitungstätigkeiten als gepflegten Arbeitsbestand. Ziel ist ein nachvollziehbarer Überblick darüber, wer personenbezogene Daten zu welchem Zweck verarbeitet, welche Schutzmaßnahmen bestehen und was als Nächstes zu klären ist. Beginnen Sie mit vorhandenen Unterlagen und liefern Sie bereits belegbare Einträge. Eine lange Datenschutzbelehrung vor der ersten brauchbaren Datei hilft dem Unternehmen nicht. Die Arbeitsweise richtet sich an kleinere und mittlere Unternehmen mit überschaubaren Zuständigkeiten. Die Unternehmensgröße ist keine pauschale rechtliche Freistellung und keine technische Kapazitätsgarantie. Bei vielen Gesellschaften, parallelen Bearbeitern oder komplexen Genehmigungsverfahren benennen Sie den Bedarf an einer geeigneten Mehrbenutzerlösung. Das Plugin ist weder Zertifizierung noch behördliche Genehmigung und übernimmt nicht die Rolle eines benannten Datenschutzbeauftragten. ## 2. Eingaben Ermitteln Sie Unternehmen, Niederlassungen, Branche, verantwortliche Leitung, vorhandenen Datenschutzbeauftragten und den gewünschten Arbeitsort. Fragen Sie nur fehlende entscheidende Angaben. Die Zahl der Beschäftigten und die Zahl der regelmäßig ständig automatisiert verarbeitenden Personen sind unterschiedliche Informationen. Lesen Sie vorhandene Verzeichnisse, Systemlisten, Verträge, Datenschutzhinweise, Löschkonzepte und jüngste Änderungen. Zugangsdaten und Einzeldaten von Kunden gehören grundsätzlich nicht in das Verzeichnis. Klären Sie bei offenem Auftrag: „Möchten Sie zunächst den aktuellen Stand mit offenen Aufgaben sehen, ein Verzeichnis neu anlegen oder eine konkrete Änderung einpflegen?“ Ein beantworteter Auftrag gilt für die notwendigen internen Arbeitsschritte weiter. Dokumentieren Sie den maßgeblichen Sachstand und die führende Registerdatei; in einer reinen Chatumgebung weisen Sie ausdrücklich auf den fehlenden dauerhaften Dateizugriff hin. ## 3. Ablauf und Checkliste ### 3.1. Rolle und drei verschiedene Pflichten klären Prüfen Sie zuerst die tatsächlich ausgeübte Rolle je Tätigkeit. Eigene Personalverwaltung gehört regelmäßig zum Verantwortlichenverzeichnis nach Artikel 30 Absatz 1 DSGVO. Kundenhosting kann daneben ein Auftragsverarbeiterverzeichnis nach Absatz 2 erfordern. Eine Gesellschaft kann beide Rollen haben. Gemeinsame Verantwortlichkeit ist anhand gemeinsamer Entscheidungen über Zwecke und Mittel zu prüfen, nicht anhand eines Dateinamens „AVV“. Trennen Sie sodann Verzeichnisführung, Datenschutz-Folgenabschätzung und Benennung eines Datenschutzbeauftragten. Artikel 30 Absatz 5 DSGVO enthält im geprüften Rechtsstand keine pauschale Freistellung für Unternehmen unter 250 Beschäftigten: Insbesondere regelmäßige Verarbeitung, einschlägige Risiken oder besondere Datenkategorien können die Ausnahme ausschließen. Der diskutierte Schwellenwert 750 ist nach dem dokumentierten Gesetzgebungsstand noch kein geltendes Recht. Prüfen Sie Änderungen vor einer späteren Anwendung erneut. ### 3.2. Einen vollständigen Arbeitslauf organisieren Leiten Sie die Bestandserhebung an [Verarbeitungen erheben](../verarbeitungen-erheben/SKILL.md) weiter. Dessen Produkt `erhebung` enthält abgegrenzte Tätigkeiten, Quellen und offene Tatsachen. [Rechtsgrundlagen und Löschung](../rechtsgrundlagen-loeschung-pruefen/SKILL.md) liefert `rechts-und-loeschpruefung`; [Dienstleister, Transfers und TOM](../dienstleister-transfers-tom-pruefen/SKILL.md) liefert `dienstleisterpruefung`. Diese Produkte beziehen sich immer auf dieselben stabilen Tätigkeitskennungen. [Verzeichnis erstellen](../verzeichnis-erstellen/SKILL.md) führt die belegten Angaben im `register` zusammen. [Risiken und DSFA](../risiken-dsfa-pruefen/SKILL.md) erstellt `dsfa-vorpruefung` und gegebenenfalls einen begründeten Auftrag zur vollständigen Folgenabschätzung. [Änderungen nachhalten](../aenderungen-nachhalten/SKILL.md) pflegt `aenderungsprotokoll`, offene Maßnahmen und neue Prüfstände. [Verzeichnis ausgeben](../verzeichnis-ausgeben/SKILL.md) erzeugt abgestimmte Excel-, Word-, JSON- und XML-Fassungen. Die [Arbeitsweise](../../references/arbeitsweise.md) beschreibt Übergaben und Rückgaben. ### 3.3. Pflegestand statt Scheinsicherheit zeigen Das Cockpit nennt Tätigkeiten mit fehlender Rolle, offenen Pflichtangaben, fälliger Wiedervorlage, geänderter Risikobewertung oder fehlender dokumentierter DSFA-Entscheidung. Ein ausgefülltes Feld ist nicht automatisch belegt. Halten Sie Quellenstand, fachliche Entscheidung und technische Dateiprüfung auseinander. Verwenden Sie nur dann „geprüft“, wenn erkennbar ist, was tatsächlich geprüft wurde und wer die Bewertung getragen hat. Prioritäten 1 bis 3 können Aufgaben sortieren; kennzeichnen Sie sie als interne Organisationshilfe. Eine niedrige Priorität oder ein rechnerisch niedriger Wert hebt weder Artikel 35 DSGVO noch einen einschlägigen Eintrag auf der maßgeblichen DSFA-Liste auf. Offene Tatsachen bleiben offen und werden keiner günstigen Risikoklasse zugeschlagen. Besonders bei Gesundheitsdaten, Beschäftigtenüberwachung und KI-Personenbewertung ist der konkrete Zweck entscheidend. ### 3.4. Verantwortlichkeit und Aktualisierung verankern Die Unternehmensleitung beziehungsweise die zuständige verantwortliche Stelle trägt Entscheidungen über Verarbeitung und Maßnahmen. Der Datenschutzbeauftragte berät und überwacht entsprechend seiner gesetzlichen Aufgaben; er ersetzt nicht automatisch die Leitung als Freigabestelle. Für jede offene Frage benennen Sie Zuständigkeit, benötigten Nachweis und Termin. Eine interne Wiedervorlage ist als Organisationsentscheidung kenntlich zu machen, nicht als erfundene gesetzliche Monatsfrist. Neue Software, geänderte Zwecke, zusätzliche Datenkategorien, neue Empfänger, Supportländer, Überwachungsfunktionen, Löschfristen oder Vorfälle lösen einen gezielten Abgleich aus. Die bloße Erhöhung der Registerrevision ist keine erneute materielle Prüfung. Eine veraltete DSFA-Bewertung darf nach einer wesentlichen Sachänderung nicht unverändert als gültig erscheinen. Arbeiten Sie an unbelasteten Tätigkeiten weiter, während einzelne Fragen auf fachliche Entscheidung warten. ### 3.5. Dateiarbeit tatsächlich ausführen Bei verfügbarem Dateizugriff verwenden Sie den dokumentierten Helfer [vvt.py](../../scripts/vvt.py) und lesen zunächst dessen Hilfe. Die kanonische JSON-Datei ist maßgeblich. Prüfen Sie vor dem Import von Excel-Änderungen Registerkennung und Ausgangsrevision. Bei Konflikten erzeugen Sie eine Vergleichsliste, keine stille Überschreibung. Ohne Dateiwerkzeuge liefern Sie einen gekennzeichneten Datenentwurf und behaupten weder Speicherung noch Synchronisation oder laufende Überwachung. Externe Behördenvorlagen, Nachrichten an Dienstleister oder produktive Systemänderungen werden erst nach konkret vorliegendem Auftrag beziehungsweise Freigabe ausgeführt. Das bloße Anlegen des Verzeichnisses aktiviert keine dauernde Hintergrundaufgabe. Stellen Sie fest, ob ein eingerichteter Termin tatsächlich besteht, bevor Sie eine Erinnerung zusagen. ## 4. Quellenpflicht Verwenden Sie [Rechtsquellen](../../references/rechtsquellen.md) und [Zitierweise](../../references/zitierweise.md). Prüfen Sie Artikel 30, 35 bis 39 DSGVO und § 38 BDSG am aktuellen amtlichen Text. Belegen Sie Ausnahmen, Rollen und Risikofolgen einzeln. Quellen können einen rechtlichen Maßstab tragen; sie beweisen nicht die Angaben des Unternehmens. Eine ungeöffnete Quelle oder eine Herstellerwerbung ersetzt keinen Prüfvermerk. ## 5. Ausgabeformat Liefern Sie das verlangte Verzeichnis, eine kurze Bestandsübersicht und konkrete nächste Aufgaben. Erläuterungen, Entscheidungen und Anschreiben müssen vollständig ausformuliert sein; Skelette und Halbsätze sind kein Endprodukt. Strukturierte Registerfelder bleiben zulässig. Formatierte Berichte verwenden Times New Roman, 11 pt und dezimale Gliederung. Bei Chat-Ausgabe steht der Formatwunsch in einem getrennten Exporthinweis. Der Abschlussstatus enthält Registerkennung, Revision, führenden Dateipfad, geprüfte Tätigkeiten, offene Entscheidungen und das nächste Produkt. Ungeklärte DSFA- oder Transferfragen dürfen nicht unter einer allgemeinen Erfolgsmeldung verschwinden. ## 6. Beispiele Ein Handwerksbetrieb erklärt, unter 250 Beschäftigten brauche er nichts. Sie erfassen zunächst regelmäßige Lohnabrechnung und Kundenverwaltung, dokumentieren die Ausnahmeprüfung und bearbeiten den neu geplanten GPS-Einsatz gesondert. Eine vollständige Mitarbeiterliste wird dafür nicht unnötig in den Chat kopiert. Ein Cloudanbieter übernimmt seinen Kundenvertrag in das Verzeichnis. Sie trennen Kundenhosting als Auftragsverarbeitung von eigener Abrechnung als Verantwortlicher, fordern die tatsächlichen Supportländer nach und geben bereits eine verwendbare Registerfassung mit offenem Transferbefund aus.