Source: https://www.datenschutz-informationen.de/verzeichnis-von-verarbeitungstaetigkeiten
Timestamp: 2019-11-13 04:24:47+00:00

Document:
Verzeichnis von Verarbeitungstätigkeiten – Datenschutz Informationen
Mit Inkrafttreten der Datenschutz-Grundverordnung (DS-GVO) am 25.05.2018 wird das bisher bekannte Verfahrensverzeichnis gem. § 4e Bundesdatenschutzgesetz (BDSG) abgelöst durch ein Verzeichnis von Verarbeitungstätigkeiten gem. Art. 30 GS-GVO. Hiermit entfällt auch gleichzeitig das sog. Jedermannverzeichnis, d.h. die öffentliche, für Jedermann zur Verfügung zu stellende Version des Verfahrensverzeichnisses.
Grundlage für das Datenschutzmanagement
Das Verzeichnis von Verarbeitungstätigkeiten ist eine der wichtigsten Grundlagen zum Aufbau eines wirkungsvollen Datenschutzmanagementsystems. Dies ist leicht nachvollziehbar, da eine Kenntnis aller Verarbeitungstätigkeiten die Grundlage für alles Weitere im Datenschutz ist. Man kann Datenschutz nur wirkungsvoll betreiben, wenn man die eigenen Verarbeitungen kennt.
Daher ist das Verzeichnis von Verarbeitungstätigkeiten auch immer ein guter erster Ansatzpunkt bei Prüfungen durch die zuständigen Datenschutz-Aufsichtsbehörden. Ebenfalls kann ich mir keine Möglichkeit vorstellen, wie man gem. Art. 5 Abs. 2 DS-GVO die Rechtmäßigkeit der Verarbeitung nachweisen kann, wenn ein entsprechendes Verzeichnis nicht zur Verfügung steht.
Pflicht zur Führung des Verzeichnisses
Wer ist verpflichtet ein Verzeichnis von Verarbeitungstätigkeiten zu führen? Hier hilft ein Blick in Art. 30 Abs. 5 DS-GVO. Dort ist festgelegt, dass Unternehmen mit weniger als 250 Mitarbeitern von der Pflicht befreit sind. Aber halt, bitte nicht zu früh freuen! Es gibt auch hier wieder Ausnahmen von der Ausnahme:
Das Verzeichnis ist auch mit weniger als 250 Mitarbeitern verpflichtend, wenn:
die vorgenommene Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt
die Verarbeitung nicht nur gelegentlich erfolgt (Achtung: auch Gehaltszahlungen erfolgen nicht nur gelegentlich!!!)
eine Verarbeitung besonderer Datenkategorien gemäß Artikel 9 Absatz 1 DS-GVO erfolgt. Diese erfolgt übrigens auch, wenn Gehaltsabrechnungen durchgeführt werden, da hier auch die Religionszugehörigkeit verarbeitet wird und somit besondere Datenkategorien verarbeitet werden.
die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Artikels 10 GS-GVO erfolgt
Die DS-GVO macht keine konkreten Formvorschriften für das Verzeichnis von Verarbeitungstätigkeiten. Nach altem Recht gab es teilweise spezielle Vorgaben der Aufsichtsbehörden. Von einigen Aufsichtsbehörden (z.B. Niedersachsen) gibt es einen eigenen Vordruck für ein Verfahrensverzeichnis.
Doch dies ist mit Inkrafttreten der DS-GVO Geschichte. Die DS-GVO gibt ledigleich Vorgaben für den Inhalt. Da keine entsprechenden Öffnungsklauseln vorhanden sind, können die jeweiligen EU-Staaten auch keine eigenen Vorschriften hierzu erlassen.
Folgende Inhalte müssen gem. Art. 30 Abs. 1 DS-GVO enthalten sein:
Was ist ein Verfahren ?
In vielen Betrieben / Behörden entsteht schon ein Problem bei der Erstellung des Verzeichnisses. Hier kommt oft die Frage auf, was eigentlich als „Verfahren“ zu bezeichnen ist. Ein weit verbreitetes Mißverständnis besteht darin, dass hier einfach alle IT-Verfahren aufgelistet werden, welche im jeweiligen Betrieb / Behörde eingesetzt werden. Dies ist natürlich nicht der Sinn eines Verzeichnisses gem. Art. 30 DS-GVO.
Es sind sämtliche Verarbeitungen von personenbezogenen Daten aufzuführen. Dabei ist es unerheblich, ob die Verarbeitung maschinell erfolgt oder z.B. in Papierform. Ein paar einfache Beispiele wären:
Gehaltsabrechnung der Beschäftigten
Urlaubskartei der Beschäftigten
Bearbeitung von Bewerberdaten
Wie man hier schon sieht, ist das Verzeichnis sehr detailliert zu erstellen. Der hierfür entstehende Aufwand sollte nicht unterschätzt werden, da sämtliche Verarbeitungen im Unternehmen bekannt sein müssen. Für jedes Verfahren müssen alle oben genannten Punkte gem. Art. 30 DS-GVO enthalten sein. Hier empfiehlt es sich in vielen Fällen, eine Projektgruppe mit der Sammlung und Zusammenstellung der Verarbeitungen zu beauftragen.
Ein Verstoß gegen die oben genannten Vorschriften kann gem. Art. 83 Abs. 4 DS-GVO mit einem Bußgeld von bis zu 10.000.000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher der Beträge höher ist, geahndet werden.
Datenschutz 31. Dezember 2017 17. April 2018 Verzeichnis von Verarbeitungstätigkeiten
Informationspflichten →

References: § 4
 Art. 30
 Art. 5
 Art. 30
 Art. 30
 Art. 30
 Art. 30
 Art. 83