Eine Vorlage für das Verzeichnis der Bearbeitungstätigkeiten nutzen - das klingt nach einer administrativen Abkürzung. Für Schweizer KMU ist es vor allem die Chance, Datenbearbeitungen sichtbar zu machen, Zuständigkeiten zu klären und bei Kundenanfragen oder internen Prüfungen nicht bei null anzufangen. Entscheidend ist jedoch nicht, möglichst viele Tabellenfelder auszufüllen. Die Vorlage muss die tatsächlichen Prozesse Ihres Unternehmens abbilden.
Weshalb eine Vorlage allein nicht genügt
Das Verzeichnis der Bearbeitungstätigkeiten, oft kurz Bearbeitungsverzeichnis genannt, dokumentiert, welche Personendaten ein Unternehmen bearbeitet, wofür dies geschieht und wie die Daten geschützt werden. Es ist damit keine Datenschutzerklärung und auch kein einmaliges Projekt für die Ablage. Es ist die Arbeitsgrundlage, um Datenschutzpflichten im Alltag strukturiert zu steuern.
Ob ein Unternehmen ein formelles Verzeichnis führen muss, hängt nach aktuellem Schweizer DSG unter anderem von Unternehmensgrösse, Art und Risiko der Datenbearbeitungen ab. Auch wenn keine umfassende formelle Pflicht besteht, ist eine schlanke Dokumentation häufig sinnvoll. Wer Mitarbeitendendaten, Kundendaten, Bewerbungen, Videoaufnahmen, Gesundheitsangaben oder Daten in einem CRM bearbeitet, gewinnt mit einem sauberen Überblick an Sicherheit und Effizienz.
Eine leere Excel-Datei ist deshalb nur der Startpunkt. Sie zeigt noch nicht, welche Datenflüsse tatsächlich existieren. Eine gute Vorlage lenkt die Fragen in die richtige Richtung, muss aber anschliessend an Organisation, Systeme und Verantwortlichkeiten angepasst werden.
Verzeichnis Bearbeitungstätigkeiten Vorlage nutzen: der richtige Start
Beginnen Sie nicht bei den einzelnen Softwarelösungen, sondern bei den Geschäftsprozessen. Eine Bearbeitungstätigkeit beschreibt einen nachvollziehbaren Zweck, etwa Personalverwaltung, Bewerbungsmanagement, Kundenbetreuung, Rechnungsstellung, Marketing oder Zutrittskontrolle. Zu jedem Prozess gehören die beteiligten Daten, Personen, Systeme und Rollen.
Für ein KMU kann der Einstieg etwa so aussehen: Die Personaladministration bearbeitet Stammdaten, Lohn- und Abwesenheitsdaten von Mitarbeitenden. Der Zweck liegt in Arbeitsverhältnis, Lohnabrechnung und Personalplanung. Die Bearbeitung erfolgt durch HR und allenfalls die Geschäftsleitung, unterstützt durch eine Lohnsoftware oder einen externen Treuhänder. Bereits aus dieser Beschreibung ergeben sich Fragen zu Zugriffsrechten, Aufbewahrung und Auftragsbearbeitung.
Eine Tätigkeit wie Kundenverwaltung ist getrennt zu erfassen, auch wenn dieselbe Person oder Software beteiligt ist. Der Zweck ist ein anderer: Angebote erstellen, Aufträge erfüllen, Leistungen erbringen und Rechnungen verwalten. Diese Trennung hilft später, wenn Prozesse geändert werden oder eine betroffene Person Auskunft verlangt.
Die Mindestinformationen in der Vorlage
Eine praxistaugliche Vorlage sollte pro Tätigkeit mindestens den Namen des Prozesses, den Bearbeitungszweck, die betroffenen Personengruppen und Datenkategorien erfassen. Hinzu kommen Empfängerinnen und Empfänger, eingesetzte Auftragsbearbeiter, mögliche Datenbekanntgaben ins Ausland, Aufbewahrungsfristen sowie technische und organisatorische Massnahmen - kurz TOMs.
Bei TOMs genügt kein allgemeiner Eintrag wie «IT-Sicherheit vorhanden». Aussagekräftiger sind konkrete Schutzmassnahmen, die zur Tätigkeit passen: rollenbasierte Berechtigungen, Mehrfaktor-Authentisierung, Verschlüsselung, Protokollierung, geregelte Ein- und Austritte von Mitarbeitenden, Datensicherungen oder ein Verfahren für Sicherheitsvorfälle. Die Vorlage darf dabei auf ein separates TOM-Dokument verweisen, wenn die Verknüpfung eindeutig ist.
Ergänzen Sie eine verantwortliche Fachstelle pro Tätigkeit. Datenschutz wird dadurch nicht allein zu einer Aufgabe von IT oder Administration. HR kennt den Personalprozess, Vertrieb die Kundenkontakte und IT die Systeme sowie Berechtigungen. Die zentrale Koordination stellt sicher, dass die Einträge nach derselben Logik geführt werden.
So erheben Sie die Informationen ohne Grossprojekt
Der schnellste Weg ist meist ein kurzer, vorbereiteter Workshop mit den Prozessverantwortlichen. Legen Sie die Vorlage vor und arbeiten Sie sich anhand konkreter Fragen durch: Welche Personendaten kommen in den Prozess? Woher stammen sie? Wer kann darauf zugreifen? In welchen Anwendungen liegen sie? Werden sie an Dritte weitergegeben? Wann werden sie gelöscht oder archiviert?
Wichtig ist, die Antworten nicht zu abstrakt zu übernehmen. «Wir bearbeiten Kundendaten» ist zu wenig präzise. «Kontaktdaten, Korrespondenz, Bestellungen und Rechnungsdaten von Ansprechpersonen bei Geschäftskunden» lässt sich dagegen einem Zweck, einem System und einer Aufbewahrungsregel zuordnen.
Bei kleineren Unternehmen reichen oft wenige, sauber beschriebene Tätigkeiten. Es wäre wenig hilfreich, jeden einzelnen Klick im CRM als eigenen Eintrag zu dokumentieren. Umgekehrt werden grosse Sammelpositionen wie «Administration» schnell unbrauchbar, wenn darin Personal, Buchhaltung, Marketing und Lieferantenverwaltung verschwimmen. Die passende Granularität hängt vom Prozess, vom Datenumfang und vom Risiko ab.
Externe Dienstleister nicht vergessen
Viele Lücken entstehen an Unternehmensgrenzen. Cloud-Speicher, Lohnbuchhaltung, Newsletter-Versand, IT-Support, Buchhaltung, Recruiting-Plattformen oder Fernwartung können personenbezogene Daten bearbeiten. Diese Stellen gehören in die Bestandsaufnahme, auch wenn der Dienstleister seinen Sitz in der Schweiz hat.
Prüfen Sie pro Dienstleister, welche Daten er im Auftrag bearbeitet, welche vertraglichen Regelungen bestehen und ob Daten in andere Länder übermittelt oder von dort aus zugänglich gemacht werden. Für internationale Konstellationen braucht es eine sorgfältige Einordnung. Eine Vorlage kann solche Fälle markieren und damit sicherstellen, dass sie nicht im Tagesgeschäft übersehen werden.
Typische Fehler beim Ausfüllen
Der erste Fehler ist Copy-and-paste. Allgemeine Mustertexte passen selten zu einer konkreten Organisation. Werden Zwecke, Datenkategorien oder Systeme zu pauschal beschrieben, fehlt im entscheidenden Moment die Orientierung.
Zweitens wird das Verzeichnis oft nur aus Sicht der IT erstellt. IT liefert wesentliche Informationen zu Systemen, Schnittstellen und Schutzmassnahmen. Den geschäftlichen Zweck, die Aufbewahrung und die tatsächliche Nutzung kennen aber meist die Fachbereiche besser. Eine gemeinsame Erhebung verhindert blinde Flecken.
Drittens bleiben alte Einträge bestehen, obwohl sich die Realität verändert hat. Ein neues HR-Tool, ein Wechsel des Hosting-Anbieters, ein Kundenportal oder eine neue Marketingkampagne verändern Datenbearbeitungen. Auch ein Prozess, der eingestellt wurde, sollte im Verzeichnis nicht jahrelang weitergeführt werden.
Ein weiterer häufiger Fehler betrifft die Aufbewahrung. «Unbegrenzt» ist keine brauchbare Regel. Besser ist eine nachvollziehbare Frist oder ein dokumentiertes Kriterium, etwa die Dauer eines Vertragsverhältnisses zuzüglich einer begründeten Archivierungsperiode. Wo gesetzliche oder geschäftliche Aufbewahrungsvorgaben greifen, sollten diese intern konsistent umgesetzt werden.
Aus der Vorlage ein steuerbares Arbeitsinstrument machen
Ein Bearbeitungsverzeichnis entfaltet seinen Nutzen erst, wenn es mit anderen Datenschutzunterlagen verbunden ist. Eine Tätigkeit mit besonders schützenswerten Personendaten oder erhöhtem Risiko kann eine vertiefte Prüfung auslösen. Ein neuer Dienstleister verweist auf die Auftragsbearbeitung. Ein Löschkonzept konkretisiert die im Verzeichnis festgehaltenen Aufbewahrungsregeln. Und die Datenschutzerklärung sollte die relevanten Datenbearbeitungen für betroffene Personen verständlich erklären.
Für die laufende Pflege empfiehlt sich ein einfacher Auslöserprozess. Bei der Einführung neuer Software, bei Prozessänderungen, beim Onboarding eines Dienstleisters oder bei der Entwicklung eines neuen Angebots sollte geprüft werden, ob ein Eintrag angepasst oder ergänzt werden muss. Eine jährliche Überprüfung schafft zusätzlich einen festen Zeitpunkt, offene Punkte zu bereinigen.
In einer zentralen Plattform wie DSMS+ lassen sich Bearbeitungstätigkeiten, TOMs, Dienstleister, Datenschutz-Folgenabschätzungen und Verantwortlichkeiten miteinander verknüpfen. Das reduziert doppelte Erfassung und erleichtert die Aktualisierung. Für sehr kleine, überschaubare Organisationen kann eine gut gepflegte Vorlage ausreichen. Sobald mehrere Fachbereiche, Systeme oder externe Partner beteiligt sind, wird eine strukturierte Lösung in der Regel deutlich effizienter.
Mit einer brauchbaren ersten Version beginnen
Warten Sie nicht darauf, alle Sonderfälle vollständig geklärt zu haben. Erfassen Sie zuerst die Kernprozesse, die regelmässig Personendaten bearbeiten: Personal, Kunden, Lieferanten, Finanzen, IT-Betrieb und Kommunikation. Danach ergänzen Sie besondere Fälle wie Bewerbungen, Videoüberwachung, Gesundheitsdaten oder digitale Kundenportale.
Eine Vorlage soll nicht Dokumentationsarbeit erzeugen, sondern Entscheidungen erleichtern. Wenn sie bei einer neuen Anwendung sofort zeigt, wer zuständig ist, welche Daten betroffen sind und welche Abklärungen anstehen, erfüllt sie ihren Zweck: Datenschutz wird vom abstrakten Pflichtenthema zu einem nachvollziehbaren Teil Ihrer Unternehmensprozesse.