Wer Weiterbildungsmaßnahmen nach AZAV organisiert, führt keine bloße Sammlung einzelner Dokumente. Teilnehmerlisten, Förderunterlagen, Anwesenheitsnachweise, Abbruchmeldungen, Lehrkräfteeinsatz und Qualitätsnachweise entstehen in geregelten Abläufen. Gerade weil diese Unterlagen für Abrechnung, Maßnahmendokumentation und Audits benötigt werden, sollte der Datenschutz dieselben Abläufe nachvollziehbar beschreiben.
Das Verzeichnis von Verarbeitungstätigkeiten, oft kurz VVT oder Verarbeitungsverzeichnis genannt, ist dafür das Arbeitsverzeichnis nach Artikel 30 Datenschutz Grundverordnung, DSGVO. Es beantwortet nicht nur die Frage, wo Daten liegen. Es dokumentiert, warum ein Träger Daten verarbeitet, wer Zugriff erhält, wann Unterlagen gelöscht werden sollen und welche Schutzmaßnahmen tatsächlich gelten. Dieser Grundlagenbeitrag wurde von unserem Autor für Datenschutz und Maßnahmenorganisation verfasst.
Eine Verarbeitungstätigkeit ist ein wiederkehrender Datenvorgang
Artikel 4 Nummer 2 DSGVO versteht unter Verarbeitung jeden Vorgang im Zusammenhang mit personenbezogenen Daten. Dazu gehören insbesondere das Erheben, Erfassen, Ordnen, Speichern, Auslesen, Verwenden, Übermitteln, Einschränken, Löschen und Vernichten. Ob der Vorgang digital, auf Papier oder in einer Mischform erfolgt, spielt keine Rolle.
Für einen Weiterbildungsträger beginnt die Verarbeitung häufig schon bei einer Anfrage. Kontaktdaten werden in einer Interessentenliste notiert, Unterlagen für die Teilnahme geprüft, Termine geplant und Nachrichten versandt. Nach Eintritt folgen die Führung der Teilnehmerakte, der Nachweis von Anwesenheiten, Dokumentationen zum Kursverlauf und gegebenenfalls Angaben zu Fehlzeiten oder einem Abbruch.
Vom Einzelfall zum geregelten Ablauf
Eine Verarbeitungstätigkeit beschreibt keinen einzelnen Datensatz und auch nicht nur ein bestimmtes Programm. Gemeint ist ein wiederkehrender, organisatorisch abgrenzbarer Vorgang mit einem eigenen Zweck. Die Tätigkeit „Teilnehmerverwaltung“ kann daher Daten aus Formularen, E Mails, Tabellen, Papierakten und einer Fachanwendung umfassen.
Hilfreich ist die Frage: Würde eine neue Mitarbeiterin oder ein neuer Mitarbeiter diesen Ablauf nach derselben Regel wiederholen? Wenn ja, spricht dies für eine Verarbeitungstätigkeit. Ein einmaliger Sonderfall kann dokumentiert werden müssen, ist aber nicht zwingend eine eigene Tätigkeit im Verzeichnis.
Bei AZAV Trägern sind Kursorganisation und Nachweisführung regelmäßig wiederkehrend. Wer Anwesenheiten führt, Teilnehmerdaten an Lehrkräfte weitergibt oder Nachweise für Abrechnung und Prüfung bereitstellt, verarbeitet personenbezogene Daten in strukturierten Abläufen. Wie unterschiedliche Nachweiswege die tägliche Dokumentation prägen, erläutert der Beitrag Anwesenheit nachweisen: Papier, Tabelle oder Maßnahmenakte.
Verantwortlicher und Auftragsverarbeiter haben verschiedene Rollen
Verantwortlicher ist nach Artikel 4 Nummer 7 DSGVO die Stelle, die allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung entscheidet. Der Weiterbildungsträger entscheidet typischerweise, welche Daten für Aufnahme, Durchführung, Dokumentation und Abrechnung einer Maßnahme benötigt werden. Er ist deshalb für diese Verarbeitung regelmäßig Verantwortlicher.
Auftragsverarbeiter ist nach Artikel 4 Nummer 8 DSGVO eine Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Das kann etwa ein Anbieter sein, der eine Teilnehmerverwaltungssoftware technisch betreibt, ein Hostingdienstleister oder ein Dienstleister für die sichere Aktenvernichtung. Entscheidend ist nicht die Bezeichnung im Vertrag, sondern die tatsächliche Rolle.
Verarbeitung im Auftrag vertraglich regeln
Liegt Auftragsverarbeitung vor, verlangt Artikel 28 Absatz 3 DSGVO einen Vertrag oder ein anderes Rechtsinstrument mit den dort genannten Mindestinhalten. Der Vertrag muss unter anderem Gegenstand und Dauer der Verarbeitung, Art und Zweck, Datenarten, Kategorien betroffener Personen sowie Rechte und Pflichten des Verantwortlichen festlegen. Weisungen, Vertraulichkeit, Sicherheitsmaßnahmen, Unterstützung und Regelungen zu Unterauftragnehmern gehören ebenfalls in diese Vereinbarung.
Nicht jede externe Stelle ist Auftragsverarbeiter. Eine fachkundige Stelle, ein Kostenträger oder eine Behörde verarbeitet Daten häufig für eigene gesetzliche oder institutionelle Aufgaben. Auch eine Lehrkraft kann je nach Einbindung Beschäftigte, selbstständig tätige Person mit eigenen Pflichten oder Dienstleister sein. Die Einordnung hängt vom Vertrag, den tatsächlichen Entscheidungen und dem konkreten Datenfluss ab.
Der Verantwortliche bleibt auch bei beauftragter Technik in der Pflicht. Er muss wissen, welche Dienstleister welche Daten erhalten und in welchem Land sie verarbeitet werden. Diese Angaben gehören anschließend in das Verzeichnis von Verarbeitungstätigkeiten.
Artikel 30 DSGVO nennt die Pflichtangaben des Verzeichnisses
Artikel 30 Absatz 1 DSGVO verlangt vom Verantwortlichen ein Verzeichnis der Verarbeitungstätigkeiten. Es muss schriftlich geführt werden, auch elektronisch ist dies möglich, und der Aufsichtsbehörde auf Anfrage zur Verfügung stehen. Ein Dokument, das nur vor einem Audit zusammengestellt und danach nicht gepflegt wird, erfüllt diesen Zweck nicht dauerhaft.
Die Angaben je Verarbeitungstätigkeit
Für jede Tätigkeit sollte ein verständlicher Eintrag angelegt werden. Artikel 30 Absatz 1 DSGVO nennt insbesondere folgende Angaben:
- Name und Kontaktdaten des Verantwortlichen, gegebenenfalls gemeinsam Verantwortlicher, eines Vertreters sowie, soweit vorhanden, des Datenschutzbeauftragten.
- Die Zwecke der Verarbeitung, beispielsweise Durchführung einer Weiterbildungsmaßnahme, Nachweis der Teilnahme oder Abrechnung.
- Kategorien betroffener Personen und Kategorien personenbezogener Daten.
- Kategorien von Empfängern, gegenüber denen Daten offengelegt werden oder offengelegt werden können.
- Übermittlungen in ein Drittland oder an internationale Organisationen einschließlich der erforderlichen Angaben zu geeigneten Garantien, soweit solche Übermittlungen stattfinden.
- Vorgesehene Fristen für die Löschung der verschiedenen Datenkategorien.
- Eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Artikel 32 Absatz 1 DSGVO.
Kleine Organisationen sollten sich nicht vorschnell auf die Ausnahme des Artikel 30 Absatz 5 DSGVO berufen. Sie gilt nur unter engen Voraussetzungen. Sie greift insbesondere nicht, wenn die Verarbeitung ein Risiko für Rechte und Freiheiten betroffener Personen birgt, nicht nur gelegentlich erfolgt oder besondere Kategorien nach Artikel 9 Absatz 1 DSGVO beziehungsweise Daten über strafrechtliche Verurteilungen und Straftaten nach Artikel 10 DSGVO umfasst. Regelmäßige Teilnehmerverwaltung ist keine gelegentliche Verarbeitung.
| Pflichtangabe | Beispiel für die Teilnehmerverwaltung |
|---|---|
| Zweck | Aufnahme, Organisation, Durchführung und Dokumentation der Teilnahme |
| Betroffene Personen | Interessenten, Teilnehmer, Ansprechpartner bei Kostenträgern |
| Datenkategorien | Stammdaten, Kontaktdaten, Förderbezug, Anwesenheiten, Kommunikationsdaten |
| Empfänger | Zuständige Beschäftigte, Lehrkräfte im erforderlichen Umfang, beauftragte IT Dienstleister, berechtigte Stellen |
| Löschung | Nach den festgelegten Fristen des Löschkonzepts, soweit keine Aufbewahrungspflicht oder Rechtsverteidigung entgegensteht |
Teilnehmerverwaltung und Kursdurchführung können getrennte Tätigkeiten sein
Ein gutes Verzeichnis ist weder eine unübersichtliche Liste jeder Bildschirmmaske noch eine einzige Sammelzeile für den gesamten Betrieb. Tätigkeiten werden so geschnitten, dass Zweck, Personenkreis, Datenarten, Empfänger und Löschung nachvollziehbar bleiben. Wo diese Merkmale deutlich voneinander abweichen, sind getrennte Einträge sinnvoll.
Mögliche Bezeichnungen für einen AZAV Träger
Je nach Organisation kommen beispielsweise die Tätigkeiten „Interessentenverwaltung“, „Teilnehmerverwaltung“, „Durchführung von Weiterbildungsmaßnahmen“, „Abrechnung von Fördermaßnahmen“ und „Personalverwaltung“ in Betracht. Die Bezeichnungen sind keine gesetzlich vorgeschriebenen Muster. Sie müssen zur tatsächlichen Arbeitsweise des Trägers passen.
Die Interessentenverwaltung kann Anfragen, Beratungstermine und eingereichte Unterlagen bis zur Entscheidung über eine Teilnahme abdecken. Die Teilnehmerverwaltung kann Aufnahme, Vertragsunterlagen, Stammdaten und Kommunikation enthalten. In der Durchführung von Weiterbildungsmaßnahmen lassen sich Anwesenheiten, Lernfortschritte, Fehlzeiten, Kursverlauf, Unterrichtsdokumentation und notwendige Kontakte mit Lehrkräften beschreiben.
Eine Abrechnungstätigkeit kann sinnvoll getrennt sein, wenn Daten gezielt für Kostenträger, Rechnungsstellung und Nachweise verarbeitet werden. Auch Abbruchgründe verdienen eine genaue Prüfung: Sie können für die Maßnahmendokumentation erforderlich sein, dürfen aber nicht pauschal ausführlicher erfasst werden, als der Zweck verlangt. Praktische Hinweise bietet der Beitrag Maßnahmeabbruch dokumentieren, melden und ablegen.
Die Trennung ist keine Schönheitsfrage. Sie erleichtert es, Empfänger und Zugriffsrechte präzise zu benennen. Lehrkräfte benötigen etwa regelmäßig Informationen für den Unterricht und die Anwesenheitsführung, aber nicht ohne Anlass vollständige Unterlagen aus einer Personal oder Abrechnungsakte.
Besondere Kategorien personenbezogener Daten brauchen besondere Prüfung
Artikel 9 Absatz 1 DSGVO untersagt grundsätzlich die Verarbeitung besonderer Kategorien personenbezogener Daten. Dazu zählen Daten über rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten zur eindeutigen Identifizierung, Gesundheitsdaten sowie Daten zum Sexualleben oder zur sexuellen Orientierung.
Im Weiterbildungsalltag können Gesundheitsdaten schneller vorkommen als erwartet. Eine ausführliche Begründung für Fehlzeiten, Angaben zu Behinderungen, ärztliche Unterlagen oder Informationen zu Unterstützungsbedarfen können solche Daten enthalten. Die bloße Kennzeichnung einer Abwesenheit ist nicht automatisch ein Gesundheitsdatum, eine Diagnose oder Krankheitsursache jedoch regelmäßig schon.
Erforderlichkeit, Rechtsgrundlage und Datenminimierung
Für jede Verarbeitung personenbezogener Daten ist zunächst eine Rechtsgrundlage nach Artikel 6 Absatz 1 DSGVO erforderlich. Bei besonderen Kategorien muss zusätzlich eine Ausnahme nach Artikel 9 Absatz 2 DSGVO passen. Welche Ausnahme tragfähig ist, hängt vom konkreten Zweck, einer gesetzlichen Grundlage und den Umständen des Einzelfalls ab. Eine Einwilligung ist nicht automatisch die beste Lösung, weil sie freiwillig, informiert und jederzeit widerrufbar sein muss.
Der praktische erste Schritt lautet daher: Nicht benötigte Gesundheitsangaben gar nicht abfragen und keine Diagnosen in Freitextfelder übernehmen. Wenn ein Nachteilsausgleich oder eine konkrete Unterstützung organisiert werden muss, sind Zweck, Berechtigung, Zugriff und Löschung besonders genau festzulegen. Der Eintrag im Verzeichnis sollte diese Datenkategorie und die Schutzvorkehrungen sichtbar machen.
Eine Datenschutz Folgenabschätzung nach Artikel 35 DSGVO ist erforderlich, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen zur Folge hat. Ob dies vorliegt, ist anhand der konkreten Verarbeitung zu prüfen. Listen der Datenschutzaufsichtsbehörden können bei dieser Bewertung zusätzliche Orientierung geben.
Das Verzeichnis muss der tatsächlichen Ablage folgen
Ein Verzeichnis ist nur belastbar, wenn es mit dem gelebten Verfahren übereinstimmt. Deshalb sollte der Träger nicht bei einer Musterdatei beginnen, sondern den Weg einer Teilnehmerakte verfolgen: vom ersten Kontakt über Aufnahme und Kursdurchführung bis zu Abrechnung, Archivierung und Löschung. Dabei zeigen sich oft parallele Ablagen in Papierordnern, E Mail Postfächern, Netzlaufwerken, Tabellen und Fachsoftware.
Abgleich in festen Arbeitsschritten
Prüfen Sie für jede Tätigkeit, welche Anwendung eingesetzt wird, welche Papierakte geführt wird und welche Personen Zugriff haben. Vergleichen Sie das Ergebnis mit dem Berechtigungskonzept: Mitarbeitende, Lehrkräfte und externe Dienstleister dürfen nur die Daten erhalten, die sie für ihre Aufgabe benötigen. Kontrollieren Sie außerdem, ob die im Verzeichnis genannten Empfänger und Auftragsverarbeiter mit Verträgen, tatsächlichen Zugängen und Einstellungen übereinstimmen.
Das Löschkonzept muss die im Verzeichnis vorgesehenen Löschfristen konkret umsetzbar machen. Aufbewahrungspflichten können sich je nach Unterlage aus unterschiedlichen Rechtsbereichen ergeben. Für AZAV Nachweise, steuerliche Unterlagen, arbeitsrechtliche Dokumente und Förderunterlagen gelten nicht zwingend dieselben Regeln. Auch Vorgaben von Kostenträgern oder Verträgen sind von gesetzlichen Aufbewahrungspflichten zu unterscheiden und im Einzelfall zu prüfen.
Besonders wichtig ist der Abgleich vor Audit oder Abrechnung, aber nicht nur dann. Der Beitrag AZAV Dokumentationspflichten im Maßnahmenalltag einordnen zeigt, warum eine laufende Ordnung besser funktioniert als das nachträgliche Zusammentragen. Ändern sich Software, Dienstleister, Kursabläufe oder Datenarten, muss auch das Verzeichnis aktualisiert werden.
Ein gepflegtes Verzeichnis verbindet Datenschutz, Audit und Ablage
Ein Verzeichnis von Verarbeitungstätigkeiten macht die Datenarbeit eines AZAV Trägers prüfbar: wiederkehrende Abläufe werden benannt, Verantwortlichkeiten geklärt, Datenarten begrenzt, Empfänger dokumentiert und Löschung planbar gemacht. Es ersetzt weder die Rechtsgrundlage noch den Auftragsverarbeitungsvertrag oder das Berechtigungskonzept. Es verbindet diese Unterlagen jedoch zu einem nachvollziehbaren Gesamtbild.
Bewährt hat sich das alte Handwerk einer vollständigen Akte, ergänzt um eine Ablage, die Zuständigkeiten und Fristen sichtbar hält. Maßnahmenakte unterstützt dabei, Teilnehmerakte, Anwesenheit und Maßnahmendokumentation für Audit und Abrechnung ohne Nachtschicht zu führen. Wenn Sie eine Vorführung oder frühen Zugang wünschen, nutzen Sie das Kontaktformular auf der Kontaktseite.
