Die Erstellung des Verzeichnisses von Verarbeitungstätigkeiten (VVT) stellt eine zentrale Anforderung der Datenschutz-Grundverordnung (DSGVO) dar, wird jedoch oftmals als belastend empfunden. Der hohe Arbeitsaufwand, der mit der Erstellung und Pflege des Verzeichnisses einhergeht, ist hierfür ein wesentlicher Grund. Verantwortlichkeiten verteilen sich oft auf verschiedene Abteilungen, wodurch die Abstimmung erschwert wird. Zudem wird das VVT häufig als rein bürokratische Pflicht angesehen, ohne erkennbaren Mehrwert für strategische oder operative Ziele. Diese Wahrnehmung führt dazu, dass andere dringlichere Aufgaben das VVT auf der Prioritätenliste verdrängen.
Ein weiterer Hemmschuh ist der kulturelle Widerstand, da das VVT den Fokus von der Aufbauorganisation auf die Ablauforganisation lenkt. Dies verdeutlicht ein grundlegendes Defizit im Verständnis für Datenschutz, der nicht als Schutzmaßnahme, sondern als Hindernis wahrgenommen wird. Um diese Herausforderungen zu bewältigen, bedarf es Ansätzen, die sowohl die Akzeptanz für das VVT steigern als auch die Erstellung erleichtern. Ein solcher Ansatz kann durch die Verknüpfung von Prozessmanagement (PM) und VVT geschaffen werden.
Bedeutung des Prozessmanagements
Prozessmanagement ist ein strukturierter Ansatz, der Geschäftsprozesse steuert und optimiert. Es wird als „integriertes System aus Führung, Organisation und Controlling zur zielgerichteten Steuerung und Optimierung von Geschäftsprozessen“ definiert, das „auf die Erfüllung der Bedürfnisse der Kunden sowie anderer […] Stakeholder ausgerichtet“ (Schmelzer/Sesselmann 2020: S. 12) ist und die Ziele der Organisation unterstützt. Die Hauptziele des Prozessmanagements sind die Vorbereitung zur Prozessdigitalisierung, die Ressourcenschonung durch Optimierungen und die Dokumentation für ein effektives Wissensmanagement.
Die Methodik des Prozessmanagements folgt einem zyklischen Ansatz. Arbeitsprozesse werden modelliert, analysiert, optimiert und anschließend kontrolliert. Der PM-Zyklus beginnt mit der Identifikation von Prozessen. Dazu werden Prozesse voneinander abgegrenzt, und relevante Informationen werden systematisch erfasst. In diesem Kontext ist die Erstellung eines Prozessregisters zentral. Dieses Register dokumentiert alle Arbeitsabläufe einer Organisation und bildet die Grundlage für die Entwicklung einer Prozesslandkarte, die Zusammenhänge und Verantwortlichkeiten visualisiert.
Verknüpfung von Prozessmanagement und VVT
Das Prozessregister und die darauf aufbauende Prozesslandkarte bilden eine solide Basis für die Erstellung des VVT. Die systematische Erfassung von Prozessen dokumentiert bereits viele der für das VVT benötigten Informationen im Rahmen des Prozessmanagements. Dieser Ansatz nutzt die Synergien beider Systeme, was die Arbeit am VVT erheblich erleichtert.
Ein solcher Ansatz ermöglicht auch die Harmonisierung der Begriffe „Prozess“ und „Verarbeitungstätigkeit“, die in diesem Kontext entscheidend sind. Geschäftsprozesse definieren sich als „funktionsübergreifende Abfolge wertschöpfender Aktivitäten, die von Kunden erwartete Leistungen erzeugen und die […] Prozessziele erfüllen“ (Schmelzer/Sesselmann 2020: S. 64). Diese sogenannten End-to-End-Prozesse beginnen und enden beim Kunden und umfassen somit die Leistungserstellung. Verarbeitungstätigkeiten hingegen, gemäß Art. 4 Nr. 2 DSGVO, beschreiben jeden Vorgang oder Prozess, bei dem personenbezogene Daten erhoben, gespeichert, bearbeitet, genutzt oder gelöscht werden – unabhängig davon, ob dies mit oder ohne technische Hilfsmittel erfolgt.
Organisationen sollten End-to-End-Prozesse eng mit den entsprechenden VVT-Einträgen verknüpfen. Im Regelfall genügt es, das Prozessregister um spezifische datenschutzrechtliche Informationen zu erweitern, die für die Erstellung des VVT notwendig sind. Dieser Schritt entfällt jedoch bei Teilprozessen, die keine personenbezogenen Daten verarbeiten. Ebenso gilt dies für Führungs- und Unterstützungsprozesse, sofern keine datenschutzrelevanten Informationen betroffen sind. Das Ergebnis ist ein Prozessregister, das sowohl die Daten des Prozessmanagements als auch die Anforderungen des VVT integriert. Die Prozessidentifikation fungiert hierbei als entscheidender Verbindungspunkt.
Die Integration des VVT in das Prozessmanagement schafft nicht nur Transparenz über die Verarbeitung personenbezogener Daten, sondern steigert auch die Akzeptanz für den Datenschutz. Die strukturierte Prozessdarstellung verdeutlicht, wie Daten verarbeitet werden und in welchen Zusammenhängen diese stehen. Führungskräfte und Mitarbeitende erhalten dadurch ein besseres Verständnis für die Bedeutung des Datenschutzes. Das VVT wird somit nicht mehr als isolierte Zusatzaufgabe wahrgenommen, sondern als integraler Bestandteil des Prozessmanagements etabliert, was die Effizienz der gesamten Organisation steigert.
Schlussfolgerung
Die Verknüpfung von PM und VVT bietet eine effektive Lösung für datenschutzrechtliche Herausforderungen. Prozessmanagement dokumentiert systematisch Prozesse und liefert bereits viele für das VVT notwendige Informationen. Diese Synergien erleichtern die Erstellung des VVT und fördern die Integration datenschutzrechtlicher Anforderungen in die Organisationsstruktur.
Die Verbindung von End-to-End-Prozessen mit VVT-Einträgen stärkt das Verständnis für die Bedeutung des Datenschutzes. Eine strukturierte Prozessdarstellung zeigt klar, wie personenbezogene Daten verarbeitet werden, und schärft das Bewusstsein für deren Schutz. Führungskräfte und Mitarbeitende erkennen Datenschutz dadurch als integralen Teil eines effizienten Prozessmanagements statt als zusätzliche Pflicht.
Die Integration des VVT in das Prozessmanagement hilft, gesetzliche Vorgaben zu erfüllen und die Organisation zu optimieren. Dieser Ansatz überwindet kulturelle Widerstände und etabliert Datenschutz als strategischen Vorteil in einer prozessorientierten Organisation.
