So läuft es heute in den meisten Unternehmen
Irgendwo im Unternehmen gibt es eine Prozesslandkarte. Meist hat sie das Qualitätsmanagement für die ISO-9001-Zertifizierung gezeichnet, in Visio als „Prozesslandkarte_2023.vsdx" oder als Folie in „QM-Handbuch_Prozesslandschaft.pptx". Darauf stehen Kästchen wie Vertrieb, Auftragsabwicklung, Einkauf, Personal und IT-Betrieb, verbunden mit Pfeilen. Für die Zertifizierung reicht das, und für den Zweck, für den sie gezeichnet wurde, ist sie gut.
Getrennt davon führt der Datenschutz das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Dort stehen Einträge wie „Bewerbermanagement", „Lohnabrechnung" oder „Kundenservice per Ticketsystem". Das Verzeichnis ist nach Verarbeitungen geschnitten, die Landkarte nach Abläufen. Welche Verarbeitungen zur Auftragsabwicklung gehören, steht in keinem der beiden Dokumente.
Im Alltag fällt das kaum auf, weil eine Person die Verbindung im Kopf hat. Fragt jemand, welche Systeme am Einkauf hängen, lautet die Antwort: „Da muss ich Frau Berger fragen, die kennt das." Frau Berger ist Teamleiterin im Einkauf, Prozessverantwortliche laut QM-Handbuch und die einzige Person, die weiß, dass die Lieferantenbewertung in einem Cloud-Tool läuft, für das ein Vertrag zur Auftragsverarbeitung im Ordner „Verträge/Dienstleister/2022" liegt.
Die Zuständigkeit selbst steht als ein Name in einer Spalte der Landkarte oder als Satz im QM-Handbuch: „Verantwortlich: Leitung Einkauf". Eine Vertretung ist nicht vorgesehen. Wechselt die Leitung, bleibt der alte Name stehen, bis jemand die Folie aktualisiert.
Dazu kommt eine dritte Liste. Die IT oder die Informationssicherheit führt ihre Systeme in „Assetliste_IT.xlsx", mit einer Spalte „Genutzt von", in der Abteilungen stehen, keine Prozesse. Drei Dokumente beschreiben dieselbe Organisation: die Landkarte nach Abläufen, das Verzeichnis nach Verarbeitungen, die Assetliste nach Systemen. Jedes ist für sich gepflegt, und jedes wird von einer anderen Abteilung verantwortet. Wer eine Verbindung braucht, muss sie für jede Anfrage neu herstellen.
Der Moment, in dem es auffällt
Auffällig wird das, wenn eine Frage quer durch beide Dokumente geht. Ein Großkunde schickt im Rahmen seiner Lieferantenprüfung einen Fragebogen: „Welche Unterauftragsverarbeiter sind an der Abwicklung unserer Aufträge beteiligt, und wo sind die Verträge dazu?" Oder ein Dienstleister kündigt an, sein Rechenzentrum zu wechseln, und die Geschäftsführung will wissen, welche Abläufe betroffen sind.
Die Datenschutzbeauftragte oder der Datenschutzbeauftragte geht dann das Verzeichnis Zeile für Zeile durch, legt die Prozesslandkarte daneben und schreibt E-Mails an die Fachbereiche. Ist die eine Person, die den Zusammenhang kennt, gerade im Urlaub oder hat sie das Unternehmen verlassen, beginnt die Rekonstruktion bei null. Die Antwort an den Kunden dauert dann Wochen statt Tage. Und beim nächsten Fragebogen beginnt dieselbe Suche von vorn, weil das Ergebnis wieder nur in einer E-Mail an den Kunden steht, nicht in der Dokumentation.
Die Analyse
Fünf Probleme, wenn Prozesse und Verzeichnis getrennt leben
Sie entstehen nicht durch schlechte Pflege, sondern weil zwei Dokumente dieselbe Organisation aus zwei Richtungen beschreiben und nichts sie verbindet.
Verarbeitungstätigkeiten in preeco ansehenKeine Prozesssicht auf das Verzeichnis
Das Verzeichnis kennt Verarbeitungen, aber keine Abläufe. Wer wissen will, was zur Auftragsabwicklung gehört, muss die Zuordnung jedes Mal von Hand herstellen.
Systeme und Verträge hängen an keinem Prozess
Welche Assets und welche Verträge zur Auftragsverarbeitung ein Ablauf berührt, steht nirgends. Fällt ein Dienstleister aus, lässt sich nicht sagen, welche Prozesse stillstehen.
Zuständigkeit liegt bei einer Person
Ein Name in der Landkarte ersetzt keine Vertretung. Urlaub, Elternzeit oder Kündigung reißen eine Lücke, die erst bei der nächsten Rückfrage sichtbar wird.
Abhängigkeiten bleiben Pfeile ohne Bedeutung
Dass die Lohnabrechnung von der Zeiterfassung abhängt, zeigt die Folie als Pfeil. Was das für Daten, Systeme und Fristen bedeutet, lässt sich daraus nicht ablesen.
Kein Stand, keine Freigabe
Die Landkarte wird überschrieben, wenn sich etwas ändert. Welcher Prozesszuschnitt zum Zeitpunkt eines Audits galt und wer ihn freigegeben hat, lässt sich nicht belegen.
Der Soll-Prozess in sechs Schritten
Ziel ist kein zweites Verzeichnis, sondern eine Verbindung: Die Abläufe bekommen ein eigenes Dokument, und das Verzeichnis, die Assets und die Verträge werden daran gehängt. Diese sechs Schritte beschreiben den Ablauf.
1. Die Prozesslandkarte als Baum anlegen. Übernehmen Sie die Hauptprozesse aus der vorhandenen Landkarte und gliedern Sie sie in Teilprozesse, etwa Personal mit Bewerbermanagement, Lohnabrechnung und Zeiterfassung. In preeco | datenschutz liegen Geschäftsprozesse unter „Verarbeitungen"; die Baumansicht zeigt die Hierarchie, die Tabelle die Spalten und Filter. Beginnen Sie mit zwei Ebenen, nicht mit fünf.
2. Zuständigkeiten auf mehrere Schultern verteilen. Jeder Prozess bekommt eine Prozessverantwortung und eine Stellvertretung. Eine Rolle kann mehrere Personen und ganze Zuständigkeitsgruppen aufnehmen, etwa die Gruppe „Personalabteilung". Wechselt jemand die Stelle, ändert die Administration die Gruppe einmal, nicht jeden Prozess.
3. Verarbeitungstätigkeiten verknüpfen. Im Prozessumfeld verknüpfen Sie die Verarbeitungstätigkeiten, die zu einem Ablauf gehören. Darunter erscheinen automatisch deren eigene Bezüge, also Assets, Verträge zur Auftragsverarbeitung und technische und organisatorische Maßnahmen, mit dem Vermerk „übernommen". Was im Verzeichnis gepflegt ist, muss niemand ein zweites Mal zuordnen.
4. Lücken direkt schließen. Was in keiner Verarbeitungstätigkeit vorkommt, wird direkt verknüpft: ein Asset ohne Personenbezug, ein Vertrag zur gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO, eine Datenschutz-Folgenabschätzung oder ein früherer Vorfall. Spätestens hier zeigt sich, welche Verarbeitung im Verzeichnis noch fehlt.
5. Abhängigkeiten festhalten. Aus dem Pfeil auf der Folie wird eine Beziehung mit Richtung: Die Lohnabrechnung „hängt ab von" der Zeiterfassung, die Zeiterfassung „wird benötigt von" der Lohnabrechnung. Die Abhängigkeit erscheint bei beiden Prozessen.
6. Freigeben und im Team pflegen. Mit der Freigabe entsteht eine Revision als PDF. Ändert jemand später das Prozessumfeld, geht der Prozess auf „In Bearbeitung" zurück, bis er erneut freigegeben ist. Rückfragen laufen als Kommentar oder Aufgabe mit Fälligkeit an die Zuständigen, und eine Wiedervorlage erinnert an die jährliche Durchsicht.
Warum der Prozess das richtige Ordnungsprinzip ist
Fachbereiche denken in Abläufen, nicht in Verarbeitungstätigkeiten. Fragt man die Leitung Einkauf nach ihren Verarbeitungen, kommt Schweigen; fragt man nach dem Ablauf von der Bestellanforderung bis zur Rechnung, kommen alle Systeme von selbst zur Sprache. Der Prozess ist deshalb der natürliche Einstieg für Rückfragen, und die Verarbeitungstätigkeit bleibt das, was Art. 30 DSGVO verlangt.
Vorher und nachher im direkten Vergleich
| Kriterium | Vorher: Landkarte und Verzeichnis getrennt | Nachher: verknüpfte Geschäftsprozesse |
|---|---|---|
| Prozesssicht | Zuordnung von Verarbeitungen zu Abläufen nur im Kopf | Verarbeitungstätigkeiten im Prozessumfeld jedes Prozesses |
| Systeme und Verträge | Ordnerablage ohne Bezug zum Ablauf | Assets und Verträge direkt oder als übernommene Einträge |
| Zuständigkeit | Ein Name auf einer Folie | Prozessverantwortung und Stellvertretung mit mehreren Personen und Gruppen |
| Abhängigkeiten | Pfeile ohne Bedeutung | Beziehungen mit Richtung, bei beiden Prozessen sichtbar |
| Nachweisfähigkeit | Überschriebene Datei ohne Freigabe | Freigabe mit Revision, Status je Prozess |
| Zusammenarbeit | E-Mails an die eine Person, die es weiß | Kommentare und Aufgaben am Prozess |
| Auskunft an Kunden | Wochen der Rekonstruktion | Prozessumfeld als Export |
| Ausfallrisiko | Wissen geht mit der Person | Zusammenhänge liegen im System |
In der Praxis
So sieht das in preeco | datenschutz aus
Die drei Bausteine, die den beschriebenen Prozess tragen.
Geschäftsprozesse und Teilprozesse
Abläufe als Baum mit übergeordneten Prozessen und Teilprozessen, verknüpft mit den Verarbeitungstätigkeiten, die das Verzeichnis nach Art. 30 DSGVO bilden.
Zuständigkeiten und Zusammenarbeit
Prozessverantwortung und Stellvertretung mit mehreren Personen und Zuständigkeitsgruppen. Kommentare, Aufgaben und Wiedervorlagen hängen direkt am Prozess.
Prozessumfeld mit Verträgen
Verträge zur Auftragsverarbeitung und zur gemeinsamen Verantwortlichkeit erscheinen im Prozessumfeld, direkt verknüpft oder über die Verarbeitungstätigkeiten übernommen.
Was der Umstieg praktisch bedeutet
Die Prozesslandkarte des Qualitätsmanagements muss nicht verschwinden. Sie liefert die Gliederung, und die Geschäftsprozesse übernehmen sie als Baum. Der Aufwand liegt weniger im Anlegen als in der inhaltlichen Klärung: Welche Verarbeitungstätigkeiten gehören tatsächlich zum Ablauf, und wer vertritt die Prozessverantwortung.
Bei einem mittelständischen Unternehmen mit acht bis zwölf Hauptprozessen ist die erste Ebene an einem Vormittag angelegt. Das Verknüpfen läuft danach Prozess für Prozess, am besten in kurzen Terminen mit der jeweiligen Prozessverantwortung.
Geschäftsprozesse stehen in preeco | datenschutz und in preeco | informationssicherheit zur Verfügung; beide Produkte laufen auf derselben Plattform. Qualitätsmanagement, Datenschutz und Informationssicherheit arbeiten damit an denselben Prozessen, statt drei Listen abzugleichen. Die Informationssicherheit findet sie unter „Steuerung", der Datenschutz unter „Verarbeitungen".
Drei Fehler, die den Umstieg unnötig schwer machen
Zu fein gliedern. Wer jede Tätigkeit als Teilprozess anlegt, baut ein Prozesshandbuch nach. Für den Datenschutz reicht die Ebene, auf der sich Verarbeitungen, Systeme und Verträge unterscheiden.
Alles direkt verknüpfen. Verknüpfen Sie zuerst die Verarbeitungstätigkeiten und prüfen Sie die übernommenen Einträge. Wer Assets und Verträge zusätzlich von Hand an den Prozess hängt, pflegt dieselbe Information zweimal.
Die Vertretung offen lassen. Ein Prozess mit nur einer zuständigen Person hat dasselbe Problem wie vorher. Tragen Sie die Stellvertretung von Anfang an ein, gern als Gruppe.
Woran Sie erkennen, dass es Zeit ist
Getrennte Dokumente sind kein Fehler, solange niemand quer fragt. Zeit für die Verbindung ist es, wenn mindestens einer dieser Punkte zutrifft:
- Kunden fragen in Lieferantenprüfungen nach Dienstleistern je Ablauf.
- Sie können nicht sagen, welche Prozesse vom Ausfall eines Dienstleisters betroffen sind.
- Die Prozessverantwortung steht in einem Dokument, das seit über einem Jahr niemand geöffnet hat.
- Es gibt keine Vertretung für die Personen, die die Zusammenhänge kennen.
- Qualitätsmanagement, Informationssicherheit und Datenschutz pflegen jeweils eigene Prozesslisten.
FAQ
Häufige Fragen zu Geschäftsprozessen im Datenschutz
Nein, eine eigene Pflicht dazu gibt es nicht. Art. 30 DSGVO verlangt das Verzeichnis von Verarbeitungstätigkeiten. Die Prozesssicht erleichtert aber die Pflege des Verzeichnisses, Rückfragen an die Fachbereiche und Auskünfte an Kunden, die wissen wollen, welche Dienstleister an einem Ablauf beteiligt sind.
Ein Geschäftsprozess beschreibt einen Ablauf, etwa die Auftragsabwicklung. Eine Verarbeitungstätigkeit beschreibt, wie personenbezogene Daten für einen Zweck verarbeitet werden. Ein Prozess umfasst meist mehrere Verarbeitungstätigkeiten, und eine Verarbeitungstätigkeit kann in mehreren Prozessen vorkommen.
Die Leitung des Fachbereichs, der den Ablauf verantwortet, mit einer festen Stellvertretung. In preeco | datenschutz kann jede der beiden Rollen mehrere Personen und Zuständigkeitsgruppen aufnehmen, sodass ein Wechsel im Team nicht jeden Prozess einzeln betrifft.
Die Landkarte dient als Vorlage für die Gliederung. Die Hauptprozesse und Teilprozesse werden in preeco | datenschutz angelegt und im Abschnitt „Struktur" ihrem übergeordneten Prozess zugeordnet. Bei acht bis zwölf Hauptprozessen ist das in wenigen Stunden erledigt.
Bewährt hat sich eine jährliche Durchsicht zusammen mit dem Verzeichnis von Verarbeitungstätigkeiten, ergänzt um anlassbezogene Prüfungen bei neuen Systemen, Dienstleistern oder Umstrukturierungen. Eine Wiedervorlage am Prozess erinnert die Zuständigen an den Termin.
Ihre Prozesslandkarte gemeinsam durchgehen
Bringen Sie Ihre Landkarte und Ihr Verzeichnis mit. In 30 Minuten zeigen wir, wie beide zusammenfinden und wo die Lücken liegen.