Verzeichnis von Verarbeitungstätigkeiten: Was es wirklich nützlich macht

01

Was das Verzeichnis enthalten muss

• Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des gemeinsam Verantwortlichen, des Vertreters und des Datenschutzbeauftragten
• Die Zwecke der Verarbeitung
• Kategorien betroffener Personen und Kategorien personenbezogener Daten
• Kategorien von Empfängern, einschließlich solcher in Drittländern oder internationalen Organisationen
• Übermittlungen außerhalb der EU, Löschfristen und Sicherheitsmaßnahmen, soweit möglich

02

Wer es führen muss und in welcher Form

Die Pflicht betrifft sowohl den Verantwortlichen als auch den Auftragsverarbeiter, der ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten führt, die im Auftrag des Verantwortlichen durchgeführt werden. Beide Verzeichnisse müssen schriftlich, auch in elektronischer Form, geführt werden.

Die Pflichten gelten nicht für Unternehmen mit weniger als 250 Beschäftigten, außer die Verarbeitung birgt ein Risiko für die Rechte betroffener Personen, ist nicht nur gelegentlich oder betrifft besondere Datenkategorien oder strafrechtliche Verurteilungen.

03

Wie man das Verzeichnis Schritt für Schritt erstellt

Schritte

1. Verantwortlichen, gegebenenfalls gemeinsam Verantwortlichen, Vertreter und Datenschutzbeauftragten mit Kontaktdaten auflisten
2. Jeden Verarbeitungszweck einzeln dokumentieren
3. Kategorien betroffener Personen und Daten für jeden Zweck beschreiben
4. Empfänger und Übermittlungen in Drittländer mit geeigneten Garantien angeben
5. Löschfristen und technische sowie organisatorische Sicherheitsmaßnahmen ergänzen, soweit möglich

04

Hypothetisches Beispiel

Hypothese: Ein Unternehmen mit mehr als 250 Beschäftigten erfasst die Verarbeitung von Personaldaten zur Gehaltsabrechnung. Im Verzeichnis werden der Zweck, die betroffenen Mitarbeiterkategorien, der externe Lohnabrechnungsdienstleister als Empfänger sowie die Übermittlung der Daten an einen Cloud-Anbieter außerhalb der EU mit den entsprechenden Garantien angegeben.

Wird die Lohnabrechnung an einen externen Auftragsverarbeiter übertragen, legt der Vertrag Gegenstand und Dauer der Verarbeitung, deren Art und Zweck, die Art der Daten und Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen fest.

05

Prüfung vor der Fertigstellung

• Name und Kontaktdaten von Verantwortlichem, Vertreter und Datenschutzbeauftragtem sind enthalten
• Jeder Verarbeitungszweck ist einzeln dokumentiert
• Kategorien betroffener Personen, Daten, Empfänger und Übermittlungen sind angegeben
• Das Verzeichnis liegt in schriftlicher oder elektronischer Form vor und ist für die Aufsichtsbehörde bereit
• Verträge mit externen Auftragsverarbeitern enthalten die erforderlichen Elemente

06

Was in einer Verwaltungssoftware eingerichtet werden kann

Ein Unternehmen kann seinen Softwarepartner bitten, dedizierte Felder für Verantwortlichen, Zwecke, Datenkategorien, Empfänger und Übermittlungen einzurichten, damit die Informationen stets aktuell und durchsuchbar bleiben.

Es ist sinnvoll, unterschiedliche Rollen für die Erfassung und die Überprüfung der Einträge festzulegen, mit einer Änderungshistorie, um das Verzeichnis auf Anfrage der zuständigen Behörde vorlegen zu können.

07

Häufig gestellte Fragen zum Verzeichnis

Betrifft das Verzeichnis nur große Unternehmen? Nein: Es gilt für Verantwortliche und Auftragsverarbeiter, mit einer begrenzten Ausnahme für Organisationen unter 250 Beschäftigten, wenn die Verarbeitung nicht riskant oder nur gelegentlich ist.

Reicht eine elektronische Datei aus? Ja, die Schriftform, auch elektronisch, ist ausdrücklich von der Verordnung zugelassen.

Was passiert, wenn ein Element wie die Löschfristen fehlt? Die Verordnung verlangt diese Angaben 'soweit möglich', sie sollten also aufgenommen werden, wenn verfügbar.

08

Nächster praktischer Schritt

Überprüfen Sie Ihr aktuelles Verzeichnis anhand der in diesem Artikel aufgeführten Elemente und stellen Sie sicher, dass jeder Verarbeitungszweck einen vollständigen, aktuellen Eintrag hat.