Wie erstelle ich ein Verarbeitungsverzeichnis?

Sobald du personenbezogene Daten erhebst, speicherst, bearbeitest, weiterleitest oder anderweitig verarbeitest, musst du ein Verarbeitungsverzeichnis führen. Das Verarbeitungsverzeichnis soll alle datenrelevanten Prozesse deiner Organisation abbilden und muss im Fall einer Kontrolle der Aufsichtsbehörde vorgelegt werden.

Mithilfe des DSGVO-Managers kannst du dein Verarbeitungsverzeichnis erstellen.

Wie erfasse ich meine Stammdaten?

Bevor du ein Verarbeitungsverzeichnis erstellst, musst du deine Stammdaten erfassen.

1. In deinen Legal-Account einloggen.
2. In der Hauptnavigation auf „DSGVO-Manager" () klicken. Anschließend auf „Jetzt zum DSGVO-Manager" () klicken. Der DSGVO-Manager erscheint.
   
3. In der Hauptnavigation auf „Organisation" () klicken. Die Übersicht deiner Stammdaten erscheint. Im Bereich „Stammdaten" den „Namen" (), die „Organisationsform" (), die „E-Mail-Adresse" (), die „Telefonnummer" (), die „Adresse" () sowie das „Land" () deiner Organisation in die entsprechenden Felder eingeben. Den „Link zu deinem Impressum" () eingeben. Anschließend auf „Speichern" () klicken.
   
4. Zum Bereich „Verantwortliche" scrollen. Den Namen (), die E-Mail-Adresse () und die Telefonnummer () der verantwortlichen Person für die Datenverarbeitung in die entsprechenden Felder eingeben. Anschließend auf „Speichern" () klicken.
   
5. Zum Bereich „Unternehmenstätigkeit" scrollen. Die Kerngeschäfte deiner Organisation in ein bis zwei Sätzen ins Feld „Beschreibung" () eingeben. Die Anzahl der Beschäftigten () in das entsprechende Feld eingeben und mithilfe des Dropdown-Menüs die Branche () deiner Organisation auswählen. Anschließend auf „Speichern" () klicken.
   
6. Zum Bereich „Datenschutzaufsichtsbehörde und Datenschutzbeauftragter" scrollen. Mithilfe des Dropdown-Menüs die für deine Organisation zuständige „Aufsichtsbehörde" () auswählen. Anschließend auf „Speichern" () klicken.
7. Hast du einen Datenschutzbeauftragten benannt? Dann die Daten der Person in die entsprechenden Felder im Bereich „Datenschutzbeauftragter" () eingeben. Anschließend auf „Speichern" () klicken.
   
8. Zum Bereich „Logo, Farbe und Signatur" scrollen. Auf das Feld „Primärfarbe" () klicken, um eine Farbe für das Layout deines Verarbeitungsverzeichnisses auszuwählen. Eine „E-Mail-Signatur" () in das Feld eingeben. Auf „Logo ändern" () klicken, um das Logo deiner Organisation im JPG- oder PNG-Format hochzuladen. Anschließend auf „Speichern" () klicken.
   

Damit hast du deine Stammdaten erfolgreich erfasst und kannst mit der Erstellung deines Verarbeitungsverzeichnisses beginnen.

Wie füge ich eine Verarbeitungstätigkeit zum Verzeichnis hinzu?

Trusted Shops hat bereits zahlreiche Verarbeitungstätigkeiten beschrieben und als Vorlagen im DSGVO-Manager für dich bereitgestellt. Sofern eine der beschriebenen Verarbeitungstätigkeiten in deiner Organisation genutzt wird, musst du nur die Vorlage auswählen und zu deinem Verzeichnis hinzufügen. Dadurch sparst du nicht nur Zeit, sondern grenzt auch dein Risiko ein, da Trusted Shops die Haftung für die bereitgestellten Vorlagen übernimmt.

1. In deinen Legal-Account einloggen.
2. In der Hauptnavigation auf „DSGVO-Manager" () klicken. Anschließend auf „Jetzt zum DSGVO-Manager" () klicken. Der DSGVO-Manager erscheint.
   
3. In der Hauptnavigation auf „Verarbeitungstätigkeiten" () klicken. Die Übersicht „Verzeichnis der Verarbeitungstätigkeiten" erscheint. Auf „+ Neuer Eintrag" () klicken.
   
4. Ein Pop-up erscheint. Die gewünschte Vorlage im Dropdown-Menü „Vorlage kopieren" () auswählen. Anschließend auf „Speichern" () klicken.
   
5. Die Übersicht der ausgewählten Verarbeitungstätigkeit erscheint. Soll die Verarbeitungstätigkeit automatisch aktualisiert werden, wenn Trusted Shops inhaltliche Änderungen an der Vorlage vornimmt? Dann den Schalter „Automatisch aktualisieren" aktivieren.
   

Damit hast du erfolgreich eine Verarbeitungstätigkeit zu deinem Verarbeitungsverzeichnis hinzugefügt.

Wie legst du eine neue Verarbeitungstätigkeit an?

Fehlt eine in deiner Organisation genutzte Verarbeitungstätigkeit in den Vorlagen? In diesem Fall kannst du eigene Verarbeitungstätigkeiten im DSGVO-Manager anlegen.

1. In deinen Legal-Account einloggen.
2. In der Hauptnavigation auf „DSGVO-Manager" () klicken. Anschließend auf „Jetzt zum DSGVO-Manager" () klicken. Der DSGVO-Manager erscheint.
   
3. In der Hauptnavigation auf „Verarbeitungstätigkeiten" () klicken. Die Übersicht „Verzeichnis der Verarbeitungstätigkeiten" erscheint. Auf „+ Neuer Eintrag" () klicken.

Alternativ kannst du deine Verarbeitungstätigkeiten auch mithilfe einer CSV-Datei importieren. Hierfür auf „CSV-Import" () klicken.

4. Ein Pop-up erscheint. Einen Namen für die Verarbeitungstätigkeit ins Feld „Bezeichnung" () eingeben. Anschließend auf „Speichern" () klicken.
   

Die Eingabemaske zur Erfassung der Verarbeitungstätigkeit erscheint. Innerhalb der Eingabemaske musst du nun alle Pflichtangaben ausfüllen. Die Pflichtangaben sind in der Eingabemaske mit einer kleinen 1 markiert.

Darüber hinaus kannst du ergänzende Angaben machen, die optional sind. Die ergänzenden Angaben sind mit einer kleinen 2 markiert.

Du kannst mithilfe der Eingabemaske Angaben in den folgenden Bereichen machen:

• Grundangaben
• Empfänger innerhalb deiner Organisation
• Empfänger außerhalb deiner Organisation
• Rechtsgrundlage und Sicherheitsmaßnahmen
• Informationspflicht
• Datenschutz-Folgenabschätzung
• Zusätzliche Nachweise und Dokumente

Die einzelnen Bereiche werden am linken Rand der Eingabemaske angezeigt. Alle Angaben, die vollständig hinterlegt wurden, werden mit einem grünen Haken gekennzeichnet. Angaben, deren Pflichtangaben vollständig sind, aber bei denen noch optionale Angaben fehlen, werden mit einem grünen Kreis gekennzeichnet. Angaben, die noch nicht hinterlegt wurden oder bei denen Pflichtangaben fehlen, werden mit einem roten Kreis gekennzeichnet.

Grundangaben erfassen

In den Grundangaben hinterlegst du die Basisdaten deiner Verarbeitungstätigkeit. Innerhalb der Dropdown-Menüs kannst du entweder voreingestellte Einträge verwenden oder fehlende Einträge manuell ergänzen. Ergänzte Einträge werden automatisch in die Voreinstellungen übernommen.

1. Die Übersicht „Grundangaben" () öffnen.
2. Einen Namen für die Verarbeitungstätigkeit ins Feld „Bezeichnung" () eingeben. Die „Zwecke der Datenverarbeitung" () auswählen. Anschließend mithilfe des Dropdown-Menüs „Kreis/Kategorie betroffener Personengruppen" () die von der Verarbeitungstätigkeit betroffenen Personen auswählen.
3. Die „Art der Daten/Datenkategorien" () auswählen. Anschließend mithilfe des Dropdown-Menüs „Besondere Datenkategorien" () auswählen, ob personenbezogene Date verarbeitet werden, die im Sinne von Art. 9 DSGVO besonders geschützt sind.
   
4. Optional kannst du die Verarbeitungstätigkeit im Feld „Beschreibung" () näher erläutern. Zudem kannst du optional die „Art der Verarbeitung" () auswählen.
5. Ergänzend kannst du zudem noch die „Quellen der Daten" () auswählen.
6. Falls die Daten im Auftrag eines Auftraggebers oder in gemeinsamer Verantwortung verarbeitet werden oder eine automatisierte Entscheidungsfindung einschließlich Profiling stattfindet, die entsprechenden Kästchen () markieren.
7. Auf „Speichern" () klicken.
   

Damit hast du die Grundangaben erfolgreich erfasst.

Empfänger innerhalb deiner Organisation erfassen

Die Empfänger innerhalb deiner Organisation zu erfassen, ist optional. Dennoch solltest du diese Informationen hinterlegen, damit der Datenfluss innerhalb deiner Organisation nachvollzogen werden kann.

1. Die Übersicht „Empfänger intern" () öffnen.
2. Mithilfe des Dropdown-Menüs „Empfänger intern" () auswählen, welche Abteilungen an der Verarbeitungstätigkeit beteiligt sind.
3. Die „Verantwortliche Abteilung" () auswählen, die als Ansprechpartner zum Datenschutz für diese Verarbeitungstätigkeit fungiert.
4. Auf „Speichern" () klicken.
   

Damit hast du die Empfänger innerhalb deiner Organisation erfolgreich erfasst.

Empfänger außerhalb deiner Organisation erfassen

Die Empfänger außerhalb deiner Organisation gehören zu den Pflichtangaben innerhalb des Verarbeitungsverzeichnisses. Damit kann der Datenfluss aus deiner Organisation heraus nachvollzogen werden.

1. Die Übersicht „Empfänger extern" () öffnen. Auf „+ Dienstleister hinzufügen" () klicken.
   
2. Ein Pop-up erscheint. Einen „Dienstleister" () auswählen. Anschließend auf „Speichern" () klicken.

3. Das Pop-up schließt sich. Auswählen, ob in diesem Fall eine „Auftragsverarbeitung" () vorliegt. Anschließend auf „Speichern" () klicken.
   
4. Mithilfe des Dropdown-Menüs „Übermittlung/Offenlegung gegenüber Dritten" () auswählen, gegenüber welchen Dritten die Daten gegebenenfalls offengelegt werden. Anschließend auf „Speichern" () klicken.
   

Damit hast du die Empfänger außerhalb deiner Organisation erfolgreich erfasst.

Rechtsgrundlage & Löschung erfassen

Während die Informationen zur Rechtsgrundlage und speziellen Sicherheitsmaßnahmen optional sind, sind die Angaben zu den Löschfristen der Daten verpflichtend.

1. Die Übersicht „Rechtsgrundlage & Löschung" () öffnen.
2. Zum Bereich „Aufbewahrung, Löschfristen & Löschprozesse" scrollen.
3. Die betroffenen „Datenkategorien" () auswählen. Anschließend die dazu gehörigen „Löschfristen" () auswählen.
   
4. Ergänzend kannst du Angaben zur „Gesetzlichen Grundlage für die Aufbewahrung" (), die „Zuständige Abteilung für die Löschung" () und „Spezielle Maßnahmen zur Löschung" () machen.
5. Darüber hinaus kannst du die „Art der Löschung" () auswählen und bestimmen, wie die Löschung dokumentiert () und kontrolliert () wird. Im Feld „Sonstige Erläuterungen zum Löschprozess" () kannst du weitere Informationen hinterlegen.
6. Auf „Speichern" () klicken.
   

Möchtest du auch Angaben zur Rechtsgrundlage und speziellen Sicherheitsmaßnahmen machen?

1. Dann zum Bereich „Rechtsgrundlage & Sicherheitsmaßnahmen" scrollen.
2. Die „Rechtsgrundlagen der Verarbeitung" () auswählen. Ergänzend kannst du weitere „Informationen zur Rechtsgrundlage" () und „Spezielle Sicherheitsmaßnahmen" () erfassen.
3. Auf „Speichern" () klicken.
   

Damit hast du die Informationen zur Rechtsgrundlage, zu speziellen Sicherheitsmaßnahmen und Löschfristen erfolgreich erfasst.

Informationspflicht erfassen

Je nach Rechtsgrundlage kann es gemäß Artikel 13 / 14 DSGVO notwendig sein, den betroffenen Personen weitere Informationen zur Verfügung zu stellen.

1. Die Übersicht „Informationspflicht" () öffnen.
2. Auswählen, wie die Betroffenen informiert werden ().
3. Auf „Speichern" () klicken.
   

Damit hast du die Angaben zur Informationspflicht erfolgreich erfasst.

Datenschutz-Folgenabschätzung erfassen

Mit dem DSGVO-Manager hast du die Möglichkeit, zu überprüfen, ob für die Verarbeitungstätigkeit eine Datenschutz-Folgenabschätzung (DSFA) erstellt werden muss.

1. Die Übersicht „Risikobewertung / DSFA" () öffnen.
2. Auf „Erforderlichkeitsprüfung starten" () klicken.
   
3. Ein Pop-up erscheint. Du wirst nun durch verschiedene Fragen geführt. Die Fragen beantworten und auf „Prüfung abschließen" klicken.
   
4. Das Ergebnis der Erforderlichkeitsprüfung erscheint. Auf „Ergebnis übernehmen" klicken.
5. Das Pop-up schließt sich. Das Ergebnis der Erforderlichkeitsprüfung wird automatisch in die passenden Felder eingefügt.
   

Sofern eine DSFA notwendig ist, erscheint im Feld „DS-Folgenabschätzung erforderlich" ein „Ja" (). In diesem Fall kannst du die DSFA mit dem DSGVO-Manager erstellen. Was du hierfür tun musst, erfährst du in diesem Artikel: Wie erstelle ich eine Datenschutz-Folgenabschätzung?

6. Auf „Speichern" () klicken.
   

Damit hast du erfolgreich erfasst, ob eine Datenschutz-Folgenabschätzung notwendig ist.

Dokumente zur Verarbeitungstätigkeit hochladen / erstellen

Du kannst weitere Dokumente hochladen oder auch neue Dokumente erstellen.

1. Die Übersicht „Nachweise und Dokumente" () öffnen.
2. Möchtest du ein bestehendes Dokument hochladen? Dann auf „Dateien hochladen" () klicken.
3. Möchtest du ein neues Dokument erstellen? Dann auf „Datei erstellen" () klicken.
   
4. Ein Pop-up erscheint. Einen Namen für das neue Dokument in das Feld „Bezeichnung" () eingeben. Mithilfe des Dropdown-Menüs „Klassifizierung" () über die Vertraulichkeit des Dokuments entscheiden. Die „Sprache der Datei" () definieren. Anschließend einen „Dateityp" () auswählen.

5. Auf „Speichern" () klicken. Dadurch wird das gewünschte Dokument geöffnet und du kannst es bearbeiten.
   

Damit hast du erfolgreich ein Dokument hochgeladen oder ein neues Dokument erstellt.

Wie kannst du die Verarbeitungstätigkeiten gruppieren und sortieren?

Sobald du mehrere Verarbeitungstätigkeiten angelegt hast, kann es schnell unübersichtlich werden. Daher hast du die Möglichkeit, die Verarbeitungstätigkeiten zu gruppieren und zu sortieren.

Eine neue Gruppe anlegen

1. In deinen Legal-Account einloggen.
2. In der Hauptnavigation auf „DSGVO-Manager" () klicken. Anschließend auf „Jetzt zum DSGVO-Manager" () klicken. Der DSGVO-Manager erscheint.
   
3. In der Hauptnavigation auf „Verarbeitungstätigkeiten" () klicken.
4. Die Übersicht „Verzeichnis der Verarbeitungstätigkeiten" erscheint. Auf „Gruppen und Sortierung" () klicken.
   
5. Die Übersicht „Gruppen und Sortierung" erscheint. Auf „+ Neue Gruppe" klicken.
   
6. Ein Pop-up erscheint. Einen Namen () und eine Beschreibung () für die Gruppe eingeben. Anschließend auf „Speichern" () klicken.
   

Damit hast du erfolgreich eine neue Gruppe angelegt.

Verarbeitungstätigkeiten gruppieren und sortieren

1. Die Übersicht „Gruppen und Sortierung" wie oben beschrieben öffnen.
2. Die gewünschte Verarbeitungstätigkeit mit der Maus im Drag-and-Drop-Verfahren der gewünschten Gruppe zuordnen und an der gewünschten Stelle platzieren.
   

Damit hast du erfolgreich eine Verarbeitungstätigkeit gruppiert und sortiert.

Wie kannst du das Verarbeitungsverzeichnis exportieren?

1. In deinen Legal-Account einloggen.
2. In der Hauptnavigation auf „DSGVO-Manager" () klicken. Anschließend auf „Jetzt zum DSGVO-Manager" () klicken. Der DSGVO-Manager erscheint.
   
3. In der Hauptnavigation auf „Cockpit" () klicken. Anschließend auf „Exporte" () klicken.
4. Ein Dropdown-Menü öffnet sich. Eine der Optionen „Datenschutzdokumentation" () auswählen, um das Verarbeitungsverzeichnis im PDF- oder Word-Format zu exportieren.
   

Damit hast du dein Verarbeitungsverzeichnis erfolgreich exportiert.