Source: https://www.dataguard.de/datenschutzbeauftragter/verarbeitungsverzeichnis/
Timestamp: 2019-03-19 04:27:56+00:00

Document:
﻿Verarbeitungsverzeichnis - DataGuard
Gemäß Art. 30 DSGVO ist von den verantwortlichen Stellen ein neues Verarbeitungsverzeichnis über alle Verarbeitungstätigkeiten personenbezogener Daten zu erstellen. Das Verarbeitungsverzeichnis ersetzt dabei das vor dem Stichtag gültige Verfahrensverzeichnis gemäß § 4f Abs.2 BDSG a.F. i.V.m. § 4e BDSG a.F. Der Gesetzgeber verfolgt einen umfassenden Verbraucherschutz im Bereich der personenbezogenen Datenverarbeitung. Das Verarbeitungsverzeichnis dokumentiert sämtliche Verarbeitungsprozesse der verantwortlichen Stellen.
Das Herzstück der Datenschutz-Grundverordnung
Das Verarbeitungsverzeichnis (VVT) gemäß Art. 30 DSGVO ist das wichtigste Dokument im Bereich Datenschutz. Alle Unternehmen, die personenbezogene Daten verarbeiten, sind dazu verpflichtet, ihre Verarbeitungsprozesse in diesem Verzeichnis zu dokumentieren. Auf den ersten Blick scheint die DSGVO kleinere Unternehmen mit weniger als 250 Mitarbeitern von dieser Dokumentationspflicht zu befreien. Diese Befreiung gilt gemäß Art. 30 Abs. 5 jedoch nur im Fall der gelegentlichen personenbezogenen Datenverarbeitung. Auch wenn die Datenverarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt, sind Unternehmen mit weniger als 250 Mitarbeitern dazu verpflichtet, ein Verarbeitungsverzeichnis zu erstellen. Derselbe Grundsatz gilt, wenn besondere Datenkategorien gemäß Art. 9 Abs. 1 DSGVO, also Gesundheitsdaten, Angaben zur Religionszugehörigkeit, ethnischer Herkunft, usw. betroffen sind oder eine Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Artikels 10 DSGVO. Die Verpflichtung zur Erstellung eines Verarbeitungsverzeichnisses gilt darüber hinaus auch für Auftragsverarbeiter.
Jedes Unternehmen kann selbst über Form und Ausgestaltung des Verarbeitungsverzeichnisses (VVT) entscheiden. Diese Ausgestaltungs- und Formfreiheit bedeutet jedoch nicht, dass jedes Unternehmen auch über den Inhalt frei entscheiden kann (Art. 30 DSGVO). Wichtig ist jedoch, dass das Verarbeitungsverzeichnis und die einzelnen Dokumentationsschritte mit den Pflichtangaben aus sich heraus verständlich sind.
Idealerweise gibt das Verarbeitungsverzeichnis auf einen Blick preis, ob der Datenschutz in dem betreffenden Unternehmen rechtskonform aufgestellt ist. Dabei spielt es keine Rolle, ob das Verarbeitungsverzeichnis in Papierform geführt oder digital in Word- oder Excel-Dateien gespeichert wird. Aus Gründen der Effizienz empfiehlt sich jedoch ein elektronisches Verarbeitungsverzeichnis. Eine spezielle Datenschutz-Software oder ein Managementsystem für Informationssoftware bietet zahlreiche Vorteile und erleichtert die gesetzeskonforme Umsetzung.
Aufbau des Verarbeitungsverzeichnisses
Das Deckblatt enthält alle Angaben des betreffenden Unternehmens sowie die Kontaktdaten des benannten Datenschutzbeauftragten.
Der Hauptteil beschreibt die einzelnen Vorgänge der Datenverarbeitung. Die diesbezüglichen Geschäftsvorgänge der verantwortlichen Stelle, also des Unternehmens, werden analysiert und gemäß den Vorschriften der Datenschutz-Grundverordnung detailliert dokumentiert. Alle dokumentierten Prozessbeschreibungen bilden zusammen diesen Hauptteil.
Ein weiterer Teil beschreibt die technischen und organisatorischen Maßnahmen (TOM). Diese beinhalten den Aufbau der Gebäude- und IT-Sicherheit, Regelungen, Arbeitsanweisungen und Betriebsvereinbarungen, die dazu dienen ein adäquates Level der Datensicherheit gewährleisten.
Beschreibung der Kategorien und betroffenen Personen
Beschreibung der Empfänger, denen die personenbezogenen Daten zugänglich gemacht wurden
Wenn zutreffend, Übermittlung personenbezogener Daten in ein Drittland oder internationale Organisationen
Vorgesehene Fristen zur Löschung der personenbezogenen Daten und der entsprechenden Kategorien
Bei Verstößen gegen die zuvor genannten Datenschutzbestimmungen sieht Art. 84 DSGVO Sanktionen vor, die „verhältnismäßig und abschreckend“ sein müssen. Als Drohung steht die Summe von 20 Millionen Euro im Raum, beziehungsweise vier Prozent des internationalen Umsatzes, je nachdem, welcher der Beträge höher ist. Letzt genanntes Szenario soll vor allem Internet-Giganten wie Google und Amazon treffen. Angesichts der kurzen Zeit seit Einführung der Datenschutz-Grundverordnung und Übergangsfristen liegen in dieser Hinsicht noch keine Erfahrungswerte vor. Rechtsexperten weisen jedoch auf das Klagerecht der von dieser Verordnung geschützten natürlichen Personen hin.
Datenschutz-Dokumentation: Was TOM sind und wie sie Ihnen helfen Ihr Unternehmen besser zu schützen!
Wann der Abschluss eines Auftragsverarbeitungsvertrags nötig ist und was Sie dabei beachten müssen!
Datenschutz-Dokumentation: Welche Dokumentationspflicht Sie trifft und was Sie dabei beachten müssen!
DataGuard hat 4,85 von 5 Sternen | 51 Bewertungen auf ProvenExpert.com

References: Art. 30
 § 4
 § 4
 Art. 30
 Art. 30
 Art. 9
 Art. 84