Verzeichnis von Verarbeitungstätigkeiten: Was es wirklich nützlich macht

01

Die Elemente, die ein Verzeichnis von Verarbeitungstätigkeiten nützlich machen

Ein Verzeichnis von Verarbeitungstätigkeiten ist nützlich, wenn es für jede Tätigkeit enthält: Name und Kontaktdaten des Verantwortlichen, des gemeinsam Verantwortlichen, des Vertreters und des Datenschutzbeauftragten; die Zwecke der Verarbeitung; die Kategorien betroffener Personen und personenbezogener Daten; die Kategorien von Empfängern, einschließlich solcher in Drittländern; etwaige Übermittlungen außerhalb der EU mit den getroffenen Garantien; die vorgesehenen Fristen für die Löschung der Daten, soweit möglich; eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen.

02

Wofür es konkret dient

Das Verzeichnis muss schriftlich, auch in elektronischer Form, geführt und der Aufsichtsbehörde auf Anfrage zur Verfügung gestellt werden. Unternehmen mit weniger als 250 Mitarbeitern können von der Pflicht ausgenommen sein, sofern die Verarbeitung kein Risiko für die Rechte der betroffenen Personen darstellt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien bzw. Daten über strafrechtliche Verurteilungen betrifft.

03

Wie man ein nutzbares Verzeichnis aufbaut

Schritte

1. Identifizieren Sie den Verantwortlichen, den etwaigen gemeinsam Verantwortlichen, den Vertreter und den Datenschutzbeauftragten mit ihren Kontaktdaten.
2. Beschreiben Sie Zwecke, Kategorien betroffener Personen und Kategorien personenbezogener Daten für jede Tätigkeit.
3. Listen Sie die Kategorien von Empfängern auf, einschließlich solcher in Drittländern oder internationalen Organisationen.
4. Dokumentieren Sie Übermittlungen außerhalb der EU und die getroffenen Garantien, soweit anwendbar.
5. Wenn Sie Auftragsverarbeiter einsetzen, formalisieren Sie einen schriftlichen Vertrag, der Gegenstand, Dauer, Art und Zweck der Verarbeitung festlegt.

04

Hypothetisches Beispiel

Ein hypothetisches HR-Dienstleistungsunternehmen erfasst eine Verarbeitungstätigkeit für die Bewerberverwaltung: Verantwortlicher und DSB mit Kontaktdaten, Zweck 'Personalauswahl', Kategorie betroffene Personen 'Bewerber', Datenkategorie 'Identifikationsdaten und Lebensläufe', Empfänger 'Personalabteilung', keine Übermittlung außerhalb der EU, Löschung nach der vorgesehenen Aufbewahrungsfrist, allgemein beschriebene Sicherheitsmaßnahmen.

05

Checkliste der Pflichtelemente

• Name und Kontaktdaten des Verantwortlichen, des gemeinsam Verantwortlichen, des Vertreters und des DSB, soweit anwendbar.
• Für jede Tätigkeit angegebene Verarbeitungszwecke.
• Kategorien betroffener Personen und Kategorien verarbeiteter personenbezogener Daten.
• Kategorien von Empfängern, einschließlich Drittländer oder internationale Organisationen.
• Allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen.

06

Wie man das Verzeichnis in einer Verwaltungssoftware einrichtet

Ein Unternehmen kann zusammen mit seinem Softwarepartner ein Modul konfigurieren, das Folgendes erfasst: Kontaktdaten des Verantwortlichen und der Auftragsverarbeiter, Zwecke für jede Tätigkeit, Kategorien von Daten und betroffenen Personen, Empfänger, etwaige Übermittlungen außerhalb der EU und entsprechende Garantien, Löschfristen und Sicherheitsmaßnahmen. Es ist sinnvoll, unterschiedliche Rollen für Dateneingabe und -überprüfung vorzusehen, mit einer Änderungshistorie zur Sicherstellung von Nachvollziehbarkeit und regelmäßigen Überprüfungen.

07

Häufig gestellte Fragen

Das Verzeichnis wird vom Verantwortlichen und, soweit anwendbar, vom Auftragsverarbeiter für die unter ihrer Verantwortung durchgeführten Tätigkeiten geführt.

Das Format kann elektronisch sein, sofern der Inhalt vollständig bleibt und der Aufsichtsbehörde auf Anfrage zur Verfügung steht.

08

Nächster Schritt

Prüfen Sie, welche Verarbeitungstätigkeiten in Ihrer Organisation noch keine vollständige Beschreibung gemäß den aufgeführten Elementen haben, und planen Sie deren Dokumentation.