Verzeichnis von Verarbeitungstätigkeiten

Art. 30 DSGVO verpflichtet jeden datenschutzrechtlich Verantwortlichen sowie jeden Auftragsverarbeiter, ein Verzeichnis der von ihm durchgeführten Verarbeitungstätigkeiten zu führen. Für Immobilienmakler bedeutet das: Sämtliche Vorgänge, bei denen personenbezogene Daten von Interessenten, Mietern, Eigentümern oder Mitarbeitern verarbeitet werden – etwa die Erstellung von Exposés, die Organisation von Besichtigungen, die Bonitätsprüfung von Mietinteressenten, die Führung der Kundenkartei im CRM-System oder der Abgleich mit Sanktionslisten im Rahmen der Geldwäscheprävention – müssen im Verzeichnis dokumentiert werden.

Zu den inhaltlichen Mindestangaben zählen unter anderem: Name und Kontaktdaten des Verantwortlichen (und ggf. des Datenschutzbeauftragten), die Zwecke der Verarbeitung, die Kategorien betroffener Personen und personenbezogener Daten, die Kategorien von Empfängern (z. B. Auftragsverarbeiter, Behörden), etwaige Übermittlungen in Drittländer, vorgesehene Löschfristen sowie – soweit möglich – eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen. Das Verzeichnis ist schriftlich zu führen, wobei auch eine elektronische Form zulässig ist.

Das Verzeichnis muss den Aufsichtsbehörden auf Anfrage vorgelegt werden können; es dient dabei nicht nur der behördlichen Kontrolle, sondern auch als internes Steuerungsinstrument, um Datenschutzrisiken systematisch zu erfassen. Verstöße gegen die Pflicht zur Führung des Verzeichnisses können nach Art. 83 DSGVO mit Bußgeldern geahndet werden. Eine Ausnahme von der Verzeichnispflicht besteht nach Art. 30 Abs. 5 DSGVO nur für Unternehmen mit weniger als 250 Mitarbeitern, sofern die Verarbeitung kein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, nicht nur gelegentlich erfolgt oder keine besonderen Kategorien personenbezogener Daten betrifft – Bedingungen, die bei einem Maklerbüro angesichts der Verarbeitung sensibler Bonitäts- und Identitätsdaten in der Praxis regelmäßig nicht vorliegen.

Ein Maklerbüro legt für seine Geschäftstätigkeit ein Verarbeitungsverzeichnis an, in dem unter anderem die Verarbeitungen „Interessentenverwaltung im CRM", „Bonitätsprüfung bei Mietinteressenten" und „Geldwäscheprüfung bei Kaufinteressenten" jeweils mit Zweck, betroffenen Personengruppen, Datenkategorien und Löschfristen dokumentiert sind. Bei einer Prüfung durch die Datenschutzaufsichtsbehörde legt das Büro dieses Verzeichnis vor.