Verarbeitungsverzeichnis DSGVO Österreich: Pflicht & Muster

Das Verzeichnis von Verarbeitungstätigkeiten, auch Verarbeitungsverzeichnis genannt, ist die schriftliche Bestandsaufnahme jeder Nutzung personenbezogener Daten in Ihrem Unternehmen. Artikel 30 DSGVO (Verordnung 2016/679) verpflichtet Verantwortliche, dieses Verzeichnis zu führen. In Österreich verlangt die Datenschutzbehörde (DSB) es bei einer Prüfung oder nach einer Beschwerde als Erstes.

Sie wissen nicht, welche Drittdienste Ihre Website lädt? Prüfen Sie Ihre Website kostenlos und erhalten Sie die Liste der Tracker und Skripte, bevor Sie das Verzeichnis ausfüllen.

Springen Sie direkt zum Muster für ein kleines Unternehmen, oder lesen Sie weiter für die Regeln.

Wer muss ein Verzeichnis führen?

Artikel 30 Absatz 5 DSGVO sieht eine Ausnahme für Unternehmen mit weniger als 250 Beschäftigten vor. Diese Ausnahme gilt nur, wenn alle drei Bedingungen gleichzeitig erfüllt sind:

• Die Verarbeitung erfolgt nur gelegentlich und nicht als regelmäßige Tätigkeit
• Die Verarbeitung birgt kein Risiko für die Rechte und Freiheiten der Betroffenen
• Es werden keine besonderen Daten verarbeitet (Gesundheit, Religion, Biometrie, Gewerkschaft, Sexualleben, Straftaten)

In der Praxis ist die Ausnahme sehr eng. Nahezu jedes Unternehmen mit Website, Beschäftigten oder Kundenstamm muss ein Verzeichnis führen. Das österreichische Datenschutzgesetz (DSG) ergänzt die DSGVO, ohne die Verzeichnispflicht zu ändern.

Was das Verzeichnis enthalten muss

Für einen Verantwortlichen dokumentiert jede Verarbeitung:

1. Name und Kontaktdaten des Verantwortlichen und eines etwaigen Vertreters
2. Name des Datenschutzbeauftragten, falls Sie einen benannt haben
3. Zwecke der Verarbeitung, etwa Bestellbestätigungen senden oder die Reichweite messen
4. Kategorien der Betroffenen, Kunden, Besucher, Beschäftigte oder Bewerber
5. Kategorien der Daten, Namen, E-Mails, IP-Adressen, Finanzdaten oder Gesundheitsdaten
6. Empfänger, jeder Dienstleister, der Daten erhält. Jeder Auftragsverarbeiter braucht einen Auftragsverarbeitungsvertrag nach Artikel 28
7. Drittlandübermittlungen, das Land und die anwendbare Garantie (Standardvertragsklauseln, Angemessenheitsbeschluss)
8. Aufbewahrungsfrist je Datenkategorie
9. Allgemeine Beschreibung der Sicherheitsmaßnahmen (Verschlüsselung, Zugriffskontrolle, Backups)

Das Muster der WKO

Sie müssen nicht bei null anfangen. Die Wirtschaftskammer Österreich (WKO) stellt Muster für das Verarbeitungsverzeichnis bereit, getrennt für Verantwortliche und Auftragsverarbeiter. Die Muster decken die Pflichtfelder aus Artikel 30 Absatz 1 ab.

Sie ersetzen die Beispiele durch Ihre Lage und haben in unter einer Stunde ein nutzbares Verzeichnis.

Muster für ein kleines Unternehmen

Hier eine Tabelle zum Anpassen. Jede Zeile steht für eine Verarbeitung.

Unternehmen: [Ihr Firmenname]
Firmenbuchnummer: [Ihre FN]
Kontakt: [E-Mail für Datenschutzfragen]
Letzte Aktualisierung: [Datum]

Aufbewahrungsfristen nach österreichischem Recht

Die Aufbewahrungsfrist ist das Feld, das die DSB zuerst prüft. Vermeiden Sie die Angabe "so lange wie nötig" und nennen Sie eine konkrete Frist mit Grundlage. Anders als in Deutschland gilt in Österreich für Belege eine einheitliche Frist von sieben Jahren.

Typische Fehler

Was die DSB mit dem Verzeichnis macht

Das Verzeichnis ist ein internes Dokument. Sie müssen es nicht veröffentlichen. Die Datenschutzbehörde kann es bei einer Prüfung oder nach einer Beschwerde verlangen. Ein fehlendes oder unvollständiges Verzeichnis ist selbst ein Verstoß und ein Anlass für eine tiefere Prüfung.

Ein gutes Verzeichnis belegt, dass Sie über Ihre Verarbeitungen nachgedacht haben und dass Ihre Datenschutzerklärung zur Realität passt.

Praktische Schritte zum Verzeichnis

1. Starten Sie mit dem WKO-Muster oder einer Tabellendatei
2. Listen Sie jedes Tool und jeden Dienst auf, der personenbezogene Daten berührt
3. Füllen Sie die Spalten je Verarbeitung anhand der Tabelle oben aus
4. Prüfen Sie Ihre Website auf Analyse, Karten, Chat-Widgets und weitere Skripte
5. Beziehen Sie Offline-Verarbeitungen ein, Papierformulare, Telefonnotizen, Videoüberwachung
6. Datieren Sie das Verzeichnis und setzen Sie eine Erinnerung für eine Prüfung alle 6 bis 12 Monate

Für die sichtbaren Punkte Ihrer Website starten Sie mit einer DSGVO-Checkliste.

Häufige Fragen

Muss ein kleines österreichisches Unternehmen ein Verzeichnis führen?

Meist ja. Artikel 30 Absatz 5 DSGVO befreit nur, wenn alle drei Bedingungen erfüllt sind: gelegentliche Verarbeitung, kein Risiko und keine besonderen Daten. Ein Unternehmen mit Website, Newsletter oder Beschäftigten bleibt verpflichtet.

Welche Behörde kontrolliert das Verzeichnis in Österreich?

Die Datenschutzbehörde (DSB) in Wien. Sie kann das Verzeichnis bei einer Prüfung oder nach einer Beschwerde verlangen.

Muss das Verzeichnis öffentlich sein?

Nein. Es ist ein internes Dokument. Nur die DSB auf Anfrage sowie Ihr etwaiger Datenschutzbeauftragter und die Geschäftsführung sehen es ein.

Dieser Artikel ist eine technische Analyse und keine Rechtsberatung. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an einen Anwalt.

Quellen

• Verordnung (EU) 2016/679 - Datenschutz-Grundverordnung (eur-lex.europa.eu)
• Datenschutzbehörde Österreich (dsb.gv.at)
• § 132 Bundesabgabenordnung (ris.bka.gv.at)
• § 212 Unternehmensgesetzbuch (ris.bka.gv.at)