Verzeichnis der Verarbeitungstätigkeiten: Welche Elemente machen es wirklich nützlich

01

Die kurze Antwort

Ein Verzeichnis der Verarbeitungstätigkeiten wird zu einem nützlichen Instrument, wenn es für jede Tätigkeit die von der Verordnung (EU) 2016/679 vorgesehenen Elemente zusammenführt: Name und Kontaktdaten des Verantwortlichen, gegebenenfalls gemeinsam Verantwortlicher, des Vertreters des Verantwortlichen und des Datenschutzbeauftragten; die Zwecke der Verarbeitung; die Kategorien betroffener Personen und personenbezogener Daten; die Kategorien von Empfängern, einschließlich solcher in Drittländern; etwaige Übermittlungen außerhalb der EU mit den angewandten Garantien; die Löschfristen, soweit möglich; und eine allgemeine Beschreibung der getroffenen technischen und organisatorischen Sicherheitsmaßnahmen.

02

Wer führt es und in welcher Form

Die Pflicht betrifft sowohl den Verantwortlichen, der die unter seiner eigenen Verantwortung durchgeführten Tätigkeiten erfasst, als auch den Auftragsverarbeiter, der ein eigenes Verzeichnis der Kategorien von Verarbeitungen führt, die er im Auftrag jedes Verantwortlichen durchführt. Das Verhältnis zwischen beiden wird durch einen Vertrag oder ein anderes Rechtsdokument geregelt, das Gegenstand, Dauer, Art und Zweck der Verarbeitung festlegt. Das Verzeichnis muss schriftlich, auch elektronisch, geführt werden, und Unternehmen mit weniger als 250 Beschäftigten können davon befreit sein, sofern kein Risiko für die betroffenen Personen besteht, die Verarbeitung nicht nur gelegentlich erfolgt oder keine besonderen Datenkategorien betroffen sind.

03

So wird es Schritt für Schritt erstellt

Schritte

1. Listen Sie jede Verarbeitungstätigkeit auf und bestimmen Sie den Verantwortlichen, etwaige gemeinsam Verantwortliche, den Vertreter des Verantwortlichen und den Datenschutzbeauftragten.
2. Beschreiben Sie den Zweck jeder Verarbeitung sowie die betroffenen Kategorien von Personen und Daten.
3. Geben Sie die Kategorien von Empfängern an, einschließlich solcher in Drittländern oder internationalen Organisationen.
4. Dokumentieren Sie Übermittlungen außerhalb der EU und die angewandten geeigneten Garantien, falls vorhanden.
5. Vermerken Sie die vorgesehenen Löschfristen und die getroffenen technischen und organisatorischen Sicherheitsmaßnahmen.

04

Ein hypothetisches Beispiel

Hypothetisches Beispiel: Ein Unternehmen mit vierzig Beschäftigten erfasst die Verarbeitung der Personaldaten. Im Verzeichnis werden der Verantwortliche und seine Kontaktdaten angegeben, der Zweck (Verwaltung des Arbeitsverhältnisses), die Kategorien betroffener Personen (Beschäftigte) und Daten (Vertrags- und Gehaltsdaten), die Empfänger (externer Lohnbuchhalter), das Fehlen von Übermittlungen außerhalb der EU, eine an die Dauer des Arbeitsverhältnisses gebundene Aufbewahrungsfrist sowie die angewandten Sicherheitsmaßnahmen, wie die Verschlüsselung digitaler Archive.

05

Checkliste der vorgesehenen Elemente

• Name und Kontaktdaten des Verantwortlichen, etwaiger gemeinsam Verantwortlicher, des Vertreters des Verantwortlichen und des Datenschutzbeauftragten.
• Für jede erfasste Tätigkeit beschriebene Verarbeitungszwecke.
• Kategorien betroffener Personen und verarbeiteter personenbezogener Daten.
• Kategorien von Empfängern und, falls zutreffend, Übermittlungen in Drittländer mit den angewandten Garantien.
• Löschfristen, soweit möglich, und technische und organisatorische Sicherheitsmaßnahmen.

06

Einrichtung mit einem Softwarepartner

Ein Unternehmen kann sich für die Informationsstruktur, die das Verzeichnis unterstützt, auf einen Softwarepartner verlassen: eine einzige Liste der Verarbeitungstätigkeiten mit Feldern für Verantwortlichen und Auftragsverarbeiter, Kontakte, Kategorien betroffener Personen und Daten, Empfänger, Übermittlungen, Löschfristen und Sicherheitsmaßnahmen. Rollen und Bearbeitungsrechte nur denjenigen zuzuweisen, die das Verzeichnis aktualisieren, und eine Nachverfolgung der Änderungen im Zeitverlauf zu führen, sind operative Entscheidungen, die das Verzeichnis übersichtlich und mit der Pflicht zur schriftlichen, auch elektronischen Führung im Einklang halten.

07

Häufige Fragen

• Das Verzeichnis kann elektronisch geführt werden, nicht nur auf Papier.
• Unternehmen mit weniger als 250 Beschäftigten können befreit sein, sofern kein Risiko für die Rechte betroffener Personen besteht oder keine besonderen Datenkategorien betroffen sind.
• Auf Anfrage muss das Verzeichnis der zuständigen Aufsichtsbehörde zur Verfügung gestellt werden.

08

Der nächste sinnvolle Schritt

Listen Sie die bereits im Unternehmen laufenden Verarbeitungstätigkeiten auf und prüfen Sie einzeln, ob alle vorgesehenen Elemente vorhanden sind: Kontakte, Zwecke, Kategorien, Empfänger, Übermittlungen, Löschfristen und Sicherheitsmaßnahmen. Diese Prüfung ermöglicht es, schnell zu erkennen, was fehlt, und das Verzeichnis mit überprüfbaren Daten zu vervollständigen.