Source: https://www.dataguard.de/magazin/verzeichnis-von-verarbeitungstaetigkeiten/
Timestamp: 2019-12-07 03:44:02+00:00

Document:
Verzeichnis von Verarbeitungstätigkeiten, das Herz der DSGVO | DataGuard Magazin
Gemäß Art. 30 DSGVO ist von den verantwortlichen Stellen ein neues Verzeichnis von Verarbeitungstätigkeiten über alle Verarbeitungstätigkeiten personenbezogener Daten zu erstellen. Das Verzeichnis von Verarbeitungstätigkeiten ersetzt dabei das alte Verfahrensverzeichnis nach §4f Abs.2 BDSG. Das Verzeichnis von Verarbeitungstätigkeiten dokumentiert sämtliche Verarbeitungsprozesse der verantwortlichen Stellen. Damit soll eine umfassende TransparenzEin Grundsatz der DSGVO, wonach die Verarbeitung personenbezogener Daten für die betroffene Person nachvollziehbar sein muss. Danach muss die betroffene Person vor Beginn der Verarbeitung umfassend über Zwecke und Umfang der Verarbeitung ihrer personenbezogenen Daten, sowie über die mit der Verarbeitung verbundenen Risiken und über ihre Rechte aufgeklärt werden. Die Aufklärung muss präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst sein. über die VerarbeitungJeder mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. von personenbezogenen Daten hergestellt werden.
Das Verzeichnis von Verarbeitungstätigkeiten (VVT) gemäß Art. 30 DSGVO ist das wichtigste Dokument im Bereich Datenschutz. Alle Unternehmen, die personenbezogene Daten verarbeiten, sind dazu verpflichtet, ihre Verarbeitungsprozesse in diesem Verzeichnis zu dokumentieren. Auf den ersten Blick scheint die DSGVO kleinere Unternehmen mit weniger als 250 Mitarbeitern von dieser Dokumentationspflicht zu befreien. Diese Befreiung gilt gemäß Art. 30 Abs. 5 jedoch nur im Fall der gelegentlichen personenbezogenen Datenverarbeitung. Auch wenn die Datenverarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt, sind Unternehmen mit weniger als 250 Mitarbeitern dazu verpflichtet, ein Verzeichnis von Verarbeitungstätigkeiten zu erstellen. Derselbe Grundsatz gilt, wenn besondere Datenkategorien gemäß Art. 9 Abs. 1 DSGVO, also GesundheitsdatenPersonenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen., Angaben zur Religionszugehörigkeit, ethnischer Herkunft, usw. betroffen sind oder eine VerarbeitungJeder mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Artikels 10 DSGVO. Die Verpflichtung zur Erstellung eines Verzeichnisses von Verarbeitungstätigkeiten gilt darüber hinaus auch für AuftragsverarbeiterEine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet..
Jedes Unternehmen kann selbst über Form und Ausgestaltung des Verzeichnisses von Verarbeitungstätigkeiten (VVT) entscheiden. Diese Ausgestaltungs- und Formfreiheit bedeutet jedoch nicht, dass jedes Unternehmen auch über den Inhalt frei entscheiden kann (Art. 30 DSGVO). Wichtig ist jedoch, dass das Verzeichnis von Verarbeitungstätigkeiten und die einzelnen Dokumentationsschritte mit den Pflichtangaben aus sich heraus verständlich sind.
Idealerweise gibt das Verzeichnis von Verarbeitungstätigkeiten auf einen Blick preis, ob der Datenschutz in dem betreffenden Unternehmen rechtskonform aufgestellt ist. Dabei spielt es keine Rolle, ob das Verzeichnis von Verarbeitungstätigkeiten in Papierform geführt oder digital gespeichert wird. Aus Gründen der Effizienz empfiehlt sich jedoch ein elektronisches Verzeichnis von Verarbeitungstätigkeiten. Eine spezielle Datenschutz-Software oder ein Managementsystem für Informationssoftware bietet zahlreiche Vorteile und erleichtert die gesetzeskonforme Umsetzung.
Aufbau des Verzeichnisses von Verarbeitungstätigkeiten
Ein weiterer Teil beschreibt die technischen und organisatorischen Maßnahmen (TOM). Diese beinhalten den Aufbau der Gebäude- und IT-Sicherheit, Regelungen, Arbeitsanweisungen und Betriebsvereinbarungen, die dazu dienen ein adäquates Level der DatensicherheitBezeichnet den Schutzzustand von Systemen im Hinblick auf die Sicherstellung der Vertraulichkeit, Integrität und Verfügbarkeit von Daten sowie ihrer Belastbarkeit. gewährleisten.
Für jede VerarbeitungstätigkeitDie Summe der in ihrem Ablauf logisch verbundenen Verarbeitungen, die zu einem Zweck geordnet sind und zur Gänze, teilweise oder nicht automatisiert erfolgen. müssen nach Art. 30 Abs. 1 folgende Angaben in dem Verzeichnis aufgenommen werden:
ZweckEin bestimmtes, vor Beginn der Verarbeitung festzulegendes Ergebnis bzw. Ziel, das der Verantwortliche mit der Verarbeitung personenbezogener Daten erreichen will. der Datenverarbeitung
Beschreibung der EmpfängerEine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger; die Verarbeitung dieser Daten durch die genannten Behörden erfolgt im Einklang mit den geltenden Datenschutzvorschriften gemäß den Zwecken der Verarbeitung., denen die personenbezogenen Daten zugänglich gemacht wurden
Wenn zutreffend, Übermittlung personenbezogener Daten in ein DrittlandEin Land, das kein Mitgliedsstaat der Europäischen Union ist. oder internationale Organisationen
Vorgesehene Fristen zur LöschungDie dauerhafte und unumkehrbare Entfernung von elektronisch gespeicherten Daten, sowie die Vernichtung in Papierform dokumentierter Daten. der personenbezogenen Daten und der entsprechenden Kategorien
Das Verzeichnis der VerarbeitungstätigkeitenDas von Verantwortlichen bzw. Auftragsverarbeitern gemäß Art 30 DSGVO zu führende Verzeichnis, in welchem sämtliche Verarbeitungstätigkeiten zu dokumentieren sind. ist nicht öffentlich und muss auch nicht dem Betroffenen zugänglich gemacht werden. Lediglich die Datenschutzaufsichtsbehörden können das Verzeichnis anfordern. Sollten die Behörden dann feststellen, dass es nicht oder nicht ausreichend geführt ist, drohen Bußgelder, die im schlimmsten Fall bis zu 20 Millionen Euro oder vier Prozent des weltweiten Vorjahresumsatzes betragen können (Art. 84 DSGVO).

References: Art. 30
 §4
 Art. 30
 Art. 30
 Art. 9
 Art. 30