Du nutzt wahrscheinlich gerade mehrere Tools für dein kleines Business, ohne genau zu wissen, was mit den Daten passiert, die du damit sammelst. Diese Frage hat mich letzten Winter wochenlang beschäftigt, als ich mich als Einzelunternehmerin aus Leipzig an mein Verfahrensverzeichnis nach DSGVO gesetzt habe. Ich dachte, nach Impressum und AGB hätte ich das Gröbste hinter mir. Falsch gedacht, dieses eine Dokument hat mich noch mal komplett aus der Bahn geworfen.
Mitte November: Die DSGVO-Tabelle, vor der ich zurückschreckte
In meinem Tagebuch vom 14. November steht nur ein Wort in Großbuchstaben: HILFE. Der Bildschirm war die einzige Lichtquelle im Zimmer, und der Cursor blieb über der Formulierung zu Artikel 30 DSGVO stehen, während ich versuchte zu verstehen, was ein Verfahrensverzeichnis überhaupt von mir verlangt. Ich hatte geglaubt, diese Pflicht greife erst ab einer bestimmten Unternehmensgröße. Ein Irrtum, der mich fast beruhigt hätte, wenn er nicht komplett falsch gewesen wäre. Sobald man regelmäßig Daten verarbeitet, und sei es nur die IP-Adresse im Server-Log oder die E-Mail-Adresse aus dem Kontaktformular, greift die Ausnahme für Kleinunternehmen laut Datenschutz-Grundverordnung in den meisten Fällen nicht. Der Artikel 30 verpflichtet uns dazu, schriftlich festzuhalten, was wir mit welchen Daten machen.
Um halb elf klingelte an diesem Abend das Telefon, und für zwei Sekunden dachte ich, es sei schon die Kanzlei am anderen Ende, bevor überhaupt eine Abmahnung bei mir hätte ankommen können. Es war nur meine Mutter, die wissen wollte, ob ich zu Weihnachten koche. Ich habe aufgelegt und mich sofort wieder hingesetzt, weil mir in dem Moment klar wurde, wie sehr mich diese Angst schon im Griff hatte. Und weil ich in diesem Tagebuch nichts beschönigen will: Ich hatte Monate vorher einen Facebook-Pixel auf meiner Seite eingebunden, ohne vorher eine Einwilligung der Besucherinnen und Besucher einzuholen, weil ich dachte, das sei technisches Kleingedrucktes, um das ich mich später kümmern könnte. Genau dieser Pixel war die erste Zeile, die ich für mein Verzeichnis wieder rausnehmen musste, bevor ich überhaupt anfangen konnte, ehrlich aufzulisten, was ich eigentlich mache.
Diese Unsicherheit kam mir bekannt vor. Die absoluten Grundlagen der DSGVO hatte ich mir da schon angeeignet, aber ich hatte mir auch schon einmal die Frage gestellt, was eigentlich ins Impressum gehört und was in die Datenschutzerklärung, bevor ich mein Impressum und meine Datenschutzerklärung automatisieren konnte. Das Verfahrensverzeichnis war jetzt aber noch mal eine andere Hausnummer — kein Text für die Website, sondern eine interne Liste, die ich nur im Ernstfall vorzeigen muss, wenn eine Behörde oder eine Kundin danach fragt.
Zwischen den Jahren: Wo fange ich mit all den Tools an?
Zwischen den Jahren, wenn Leipzig in diese eigenartige, stille Pause zwischen den Feiertagen fällt, habe ich mich noch mal drangesetzt, weil ich das Thema nicht mit ins neue Jahr schleppen wollte. Auf der Suche nach einem System bin ich auf den dsgvo-schritt-generator gestoßen, der die Fragen so gestellt hat, dass ich sie tatsächlich beantworten konnte, ohne jedes zweite Wort nachzuschlagen. Ich habe angefangen, meine Tools aufzulisten, und war selbst überrascht, wie viele es waren: der E-Mail-Anbieter, die Buchhaltungssoftware, das Hosting, der Newsletter-Dienst mit seinem Double-Opt-in, sogar die eingebetteten YouTube-Videos auf meiner Über-mich-Seite. Für jedes Tool musste ich klären, warum ich die Daten überhaupt habe und wie lange ich sie behalte. Genau in dieser Woche schrieb mir Renée, eine Grafikdesignerin aus Hamburg, die ich aus einer DSGVO-Facebook-Gruppe kenne. Sie postet solche Themen immer in derselben Reihenfolge: erst die Frage, dann ihr Lösungsversuch, dann das Ergebnis. Diesmal ging es um genau denselben Generator, und ihre Liste sah trotzdem komplett anders aus als meine, obwohl wir beide Solopreneurinnen sind — das hat mir gezeigt, dass es kein universelles Template geben kann, das für jeden passt.
Für die Buchhaltungssoftware kam noch eine andere Sache dazu: Laut Abgabenordnung gelten für Buchungsbelege gesetzliche Aufbewahrungsfristen, die deutlich länger laufen als bei den meisten anderen Daten, die ich sonst so sammle. Die musste ich getrennt von meinen üblichen Löschfristen dokumentieren, was mir am Anfang überhaupt nicht klar war.
Ich erinnerte mich, wie hilfreich es war, damals zu verstehen, warum ich als Solopreneurin für jedes Tool einen AV-Vertrag brauche. Das Verfahrensverzeichnis ist für mich die Landkarte, auf der all diese Verträge und Prozesse eingezeichnet sind. Ohne diese Landkarte hätte ich mich im eigenen Daten-Dschungel komplett verlaufen.
Woche acht: Die Tool-Liste bekommt Struktur
Acht Wochen nach dem Start mit dem Generator war meine Liste zu weit mehr als der Hälfte fertig, auch wenn sich das an manchen Abenden nicht so angefühlt hat. An einem regnerischen Dienstagnachmittag im März bin ich eine Runde um die Spinnerei in Plagwitz gelaufen, nur um rauszukommen, bevor ich mich wieder an die letzten Einträge gesetzt habe. Draußen war es kalt und nass, drinnen wartete noch die Frage vom Vortag: Wie detailliert muss so ein Verzeichnis eigentlich sein, damit es taugt?
Es gibt diese Annahme in manchen Foren, dass ein Verfahrensverzeichnis für Einzelunternehmerinnen besonders umfangreich sein muss, um wirklich abgesichert zu sein. Ich habe beim Durcharbeiten gelernt, dass eher das Gegenteil stimmt. Ein zu detailliertes Dokument, das Abläufe beschreibt, die ich in der Praxis gar nicht zu hundert Prozent so einhalte, schafft mir selbst eine Angriffsfläche. Schreibe ich zum Beispiel, dass ich Daten nach 30 Tagen lösche, tue es aber tatsächlich erst später, habe ich mich mit meinen eigenen Worten selbst widersprochen. Weniger ist hier oft mehr, solange es ehrlich und vollständig bleibt. Es ist wie beim Kofferpacken vor einer Reise: Wer zu viel unnötigen Kram einpackt, verliert am Ende den Überblick, und irgendwas platzt garantiert im unpassendsten Moment.
Ich bin keine Juristin, das nur nebenbei — alles hier ist mein Weg als lernende Texterin, kein Rechtsrat. Für Cookie-Einwilligung, die passende Google-Fonts-Einbindung oder meine eigenen AGB habe ich an anderer Stelle schon ausführlicher geschrieben, deshalb bleibt es hier bei der kurzen Erwähnung, dass all das am Ende auch im Verfahrensverzeichnis auftaucht, weil jedes dieser Themen mit einem Tool oder Prozess zusammenhängt, der irgendwo Daten verarbeitet. Bei einer Formulierung, bei der ich mir unsicher war, habe ich sogar kurz bei der Datenschutzbehörde hier in Sachsen nachgefragt. Die Antwort kam überraschend freundlich und schnell.
Anfang Juni: Die Liste ist fertig, eine Lektion bleibt
Jetzt, Anfang Juni, liegt das Dokument fertig auf meiner Festplatte, mit einer verschlüsselten Kopie im Backup. Kein juristisches Meisterwerk, aber ein ehrliches Abbild meiner Arbeit. Ich weiß jetzt genau, wohin die Daten meiner Kundinnen und Kunden fließen, und dieses Gefühl von Überblick ist schwer in Worte zu fassen. Es fühlt sich ein bisschen so an, wie wenn man endlich Ordnung im Keller geschafft hat: Man hofft, dass man so schnell nicht wieder runter muss, findet aber sofort die Taschenlampe, falls doch.
Vor ein paar Tagen schrieb mir Manfred, ein ehemaliger PR-Berater und heute Life-Coach, der meine Beiträge seit dem allerersten liest — er hat den Eintrag zum Verfahrensverzeichnis gleich in seinem eigenen Coaching-Netzwerk weiterempfohlen, weil ihm die Schritt-für-Schritt-Sicht gefehlt hatte. Solche Nachrichten holen mich runter, wenn ich mal wieder zweifle, ob zwei Jahre Website-Erfahrung überhaupt reichen, um über sowas zu schreiben. Reichen tun sie, glaube ich, gerade weil ich noch genau weiß, wie sich der erste Blick auf Artikel 30 DSGVO angefühlt hat.
Der Weg war am Ende nicht annähernd so steinig, wie er im November wirkte. Man muss nur aufhören, das Verfahrensverzeichnis als einen einzigen riesigen Berg zu sehen, und anfangen, es als eine Reihe kleiner Hügel zu betrachten — Tool für Tool, Woche für Woche. Falls du gerade erst startest: Schau dir auch an, wie ich damals den richtigen Anbieter für meine Seite gefunden habe, denn das war der erste Dominostein, bevor ich mich überhaupt an das Verzeichnis gewagt habe. Wie ich endlich ein DSGVO-konformes Hosting für meine Website fand, war ein Meilenstein für sich. Die eine Lektion, die bei mir hängen geblieben ist: Ein gutes Verfahrensverzeichnis muss nicht beeindruckend aussehen, es muss nur stimmen — lieber eine ehrliche, kurze Liste als ein perfekt formatiertes Dokument voller Sätze, die mit der Realität nichts zu tun haben.
Rechtlicher Hinweis: Die Inhalte dieser Webseite dienen ausschließlich der allgemeinen Information und stellen keine individuelle medizinische, finanzielle oder rechtliche Beratung dar. Eine fachkundige Beurteilung Ihres Einzelfalls kann nur durch eine qualifizierte Fachperson erfolgen -- bitte konsultieren Sie diese vor wesentlichen Entscheidungen.