Die Einschätzung der Cyber Academy
Das ROPA ist das dokumentierte Verzeichnis der Verarbeitungstätigkeiten gemäß GDPR Artikel 30. Verantwortliche führen Zweck, Kategorien, Empfänger, Speicherfristen und Übermittlungen auf; Auftragsverarbeiter listen die vertretenen Verantwortlichen, Kategorien und Übermittlungen. Die meisten Organisationen unterschätzen den Pflegeaufwand. Die Aufsichtsbehörde fordert das ROPA als Erstes an, wenn eine Untersuchung beginnt.
Was das Verzeichnis von Verarbeitungstätigkeiten (ROPA) wirklich ist
Das Verzeichnis von Verarbeitungstätigkeiten ist die Landkarte von allem, was eine Organisation mit personenbezogenen Daten tut. Es ist keine Richtlinie und kein Versprechen; es ist ein aktuell gehaltenes Inventar, das es ermöglicht, für jeden einzelnen Verarbeitungsvorgang eine einfache Frage zu beantworten: welche Daten, zu welchem Zweck, auf welcher Rechtsgrundlage, wer hat Zugriff, wohin gehen sie und wie lange werden sie aufbewahrt. Die GDPR macht dieses Verzeichnis nach Artikel 30 zur Pflicht und teilt die Verantwortung nach Rolle auf.
Ein Verantwortlicher dokumentiert seine eigenen Verarbeitungstätigkeiten; ein Auftragsverarbeiter dokumentiert die Kategorien von Verarbeitungen, die er im Auftrag der von ihm betreuten Verantwortlichen durchführt. Die beiden Verzeichnisse überschneiden sich, sind aber nicht dasselbe, und eine Organisation, die sowohl als Verantwortlicher als auch als Auftragsverarbeiter handelt, muss beide führen.
In der Praxis ist das ROPA das Fundament, auf dem der Rest eines Datenschutzprogramms steht. Sie können keine sinnvolle DSFA durchführen, keinen Antrag einer betroffenen Person beantworten, keine Datenpanne eingrenzen und keinen Auftragsverarbeitungsvertrag verhandeln, ohne zuvor zu wissen, dass die Verarbeitung existiert und wo die Daten liegen. Deshalb verlangt die Aufsichtsbehörde das ROPA als Erstes, wenn eine Untersuchung eröffnet wird. Es ist für eine Aufsichtsbehörde der schnellste Weg, einzuschätzen, ob eine Organisation ihre eigenen Daten tatsächlich versteht, und ein dürftiges oder veraltetes Verzeichnis signalisiert, dass der Rest des Programms wahrscheinlich ebenfalls dürftig ist.
Was hineingehört: Verantwortlicher gegenüber Auftragsverarbeiter
Die beiden Versionen des Verzeichnisses enthalten unterschiedliche Felder, weil die beiden Rollen unterschiedliche Fragen beantworten. Ein Verantwortlicher entscheidet, warum und wie Daten verarbeitet werden, daher muss sein Verzeichnis jeden Zweck rechtfertigen. Ein Auftragsverarbeiter handelt nur auf Weisung, daher beschreibt sein Verzeichnis die erbrachte Dienstleistung, nicht die dahinterstehende Begründung.
| Element | Verzeichnis des Verantwortlichen | Verzeichnis des Auftragsverarbeiters |
|---|---|---|
| Identität und Kontakt | Verantwortlicher, etwaige gemeinsam Verantwortliche, Vertreter, DPO | Auftragsverarbeiter, Vertreter, DPO, und jeder betreute Verantwortliche |
| Zwecke | Zweck jeder Verarbeitungstätigkeit | Nicht erforderlich; der Auftragsverarbeiter handelt auf Weisung |
| Betroffene Personen und Kategorien | Kategorien von Personen und von personenbezogenen Daten | Kategorien von Verarbeitungen je betreutem Verantwortlichen |
| Empfänger | An wen die Daten offengelegt werden | Ebenso, soweit für die Dienstleistung relevant |
| Übermittlungen | Übermittlungen außerhalb der EU und die verwendeten Garantien | Übermittlungen außerhalb der EU und die verwendeten Garantien |
| Aufbewahrung | Vorgesehene Löschfristen, soweit möglich | Nicht gesondert erforderlich |
| Sicherheit | Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen | Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen |
Die Felder wirken administrativ, doch jedes einzelne trägt Last. Aufbewahrungsfristen steuern Ihre Löschworkflows. Empfängerlisten speisen Ihr Auftragsverarbeiter-Inventar und Ihre Übermittlungs-Folgenabschätzungen. Die Datenkategorien zeigen an, wo die Verarbeitung besonderer Kategorien eine DPO-Pflicht oder eine DSFA auslöst. Ehrlich ausgefüllt ist das ROPA ein funktionierendes Diagnosewerkzeug; als bloße Pflichtübung zum Abhaken ausgefüllt, ist es schlimmer als nutzlos, weil es eine falsche Sicherheit vermittelt.
Wer eines führen muss und wie es zusammenhängt
Die GDPR formuliert die Pflicht aus Artikel 30 mit einer Ausnahme für Organisationen mit weniger als 250 Beschäftigten, doch die Ausnahme ist eng genug, dass die meisten dennoch ein Verzeichnis benötigen. Sie entfällt, sobald die Verarbeitung nicht nur gelegentlich erfolgt, voraussichtlich ein Risiko für Personen mit sich bringt oder besondere Kategorien beziehungsweise strafrechtlich relevante Daten betrifft, was die routinemäßige Verarbeitung nahezu jedes funktionierenden Unternehmens abdeckt. Aufsichtsbehörden, darunter die CNIL, behandeln das ROPA als erwartete Praxis statt als seltene Pflicht, und die CNIL veröffentlicht eine kostenlose Vorlage, um die Einstiegshürde zu senken.
Das Verzeichnis steht nicht für sich allein. Es ist das Rückgrat, an das sich die DSFA, die DPO-Funktion und der Prozess der Reaktion auf Datenpannen anschließen. Der DPO nutzt es, um die Einhaltung zu überwachen und zum Risiko zu beraten; eine DSFA beginnt damit, den einschlägigen Eintrag herauszuziehen; eine Pannenbewertung nutzt es, um einzugrenzen, welche Daten und welche Personen betroffen sind. Organisationen, die auf ISO 27701 hinarbeiten, werden im ROPA im Wesentlichen das Datenschutz-Informationsmanagementsystem erkennen, das dasselbe Inventar verlangt, weshalb reife Teams ein einziges Verzeichnis führen und es mehreren Regelwerken dienen lassen, statt parallele Listen zu pflegen.
Häufig gestellte Fragen
01Wer muss ein ROPA führen?
Sowohl Verantwortliche als auch Auftragsverarbeiter, jeweils mit ihrer eigenen Version. Die Ausnahme für weniger als 250 Beschäftigte ist eng und greift selten, weil sie entfällt, sobald die Verarbeitung regelmäßig oder riskant ist oder besondere Kategorien von Daten betrifft, was nahezu jedes aktive Unternehmen beschreibt.
02Was ist der Unterschied zwischen dem Verzeichnis des Verantwortlichen und dem des Auftragsverarbeiters?
Das Verzeichnis des Verantwortlichen dokumentiert Zweck und Rechtsgrundlage jeder Tätigkeit, da der Verantwortliche entscheidet, warum Daten verarbeitet werden. Das Verzeichnis des Auftragsverarbeiters beschreibt die Kategorien von Verarbeitungen, die er für jeden betreuten Verantwortlichen durchführt, weil ein Auftragsverarbeiter nur auf Weisung handelt und den Zweck nicht festlegt.
03Wie oft sollte das ROPA aktualisiert werden?
Immer dann, wenn sich die Verarbeitung ändert, nicht nach einem festen Kalender. Der verlässliche Ansatz besteht darin, Aktualisierungen aus realen Ereignissen auszulösen, etwa dem Onboarding eines neuen Dienstleisters, dem Start einer Funktion oder der Unterzeichnung eines Auftragsverarbeitungsvertrags, statt sich auf eine jährliche Überprüfung zu verlassen.
04Warum verlangt die Aufsichtsbehörde das ROPA als Erstes?
Weil es der schnellste Hinweis darauf ist, ob eine Organisation ihre eigenen Daten versteht. Ein vollständiges, aktuelles Verzeichnis zeigt ein funktionierendes Programm; ein dürftiges oder veraltetes signalisiert, dass auch die umfassendere Compliance-Haltung wahrscheinlich schwach ist.
05Ist das ROPA dasselbe wie eine DSFA?
Nein. Das ROPA ist ein dauerhaftes Inventar aller Verarbeitungstätigkeiten. Eine DSFA ist eine tiefergehende Risikobewertung für bestimmte risikoreiche Verarbeitungen und beginnt in der Regel damit, den einschlägigen Eintrag aus dem ROPA herauszuziehen.