Source: http://ruw.e-bookshelf.de/products/reading-epub/product-id/10053238/title/EU-Datenschutz-Grundverordnung.html
Timestamp: 2018-03-23 03:34:30+00:00

Document:
Die EU-Datenschutz-Grundverordnung (DSGVO) gilt ab dem 25.5.2018. Setzen Unternehmen die Vorgaben der DSGVO nicht hinreichend um, drohen hohe Bußgelder, Schadensersatzprozesse und weitere Nachteile. Das vorliegende Handbuch soll Unternehmen dabei helfen, sich auf die Anforderungen der DSGVO vorzubereiten.
Die Autoren sind Praktiker aus Unternehmen und Beratung und verfügen über teilweise langjährige Erfahrung im Datenschutzrecht und Datenschutz-Management. Das vorliegende Handbuch gibt Empfehlungen zur Auslegung und Umsetzung der Anforderungen der DSGVO. Der Schwerpunkt der Darstellung liegt dabei auf der praktischen Arbeit im Datenschutz. Weder soll das Handbuch eine wissenschaftliche Abhandlung noch eine an die Rechtswissenschaft gerichtete Kommentierung ersetzen, es ist vielmehr eine Arbeitshilfe für Projekte zur Umsetzung der DSGVO und zur Schaffung der hierfür erforderlichen Prozesse und Strukturen. Dementsprechend liegt der Schwerpunkt der Darstellung auf den für die Wirtschaft wichtigen Themen, andere Aspekte, wie etwa die Mechanismen zur Zusammenarbeit und der Abstimmung zwischen den Aufsichtsbehörden, werden nur am Rande angesprochen.
Auch das derzeit in Bundestag und Bundesrat verhandelte Datenschutz-Anpassungs- und Umsetzungsgesetz-EU (DSAnpUG-EU) wird in dem vorliegenden Buch nicht berücksichtigt. Zwar scheint sich immer klarer abzuzeichnen, dass das DSAnpUG-EU und das darin geregelte neue BDSG wohl noch in dieser Legislaturperiode verabschiedet werden. Allerdings hat der Bundesrat den vorgelegten Entwurf teilweise massiv kritisiert und viele Änderungen gefordert, vgl. BR-Drucks. 110/17 (Beschluss). Daher ist nach wie vor offen, welche Regelungen des Entwurfs die Parlamentarier verabschieden und in welcher Form. Zudem bewerten die Aufsichtsbehörden für den Datenschutz einige Regelungen als europarechtswidrig, etwa die geplante Einschränkung der Betroffenenrechte. Einige Behörden haben angekündigt, diese Regelungen selbst dann nicht anzuwenden, wenn der Gesetzgeber sie im Rahmen der beabsichtigten Neufassung des BDSG tatsächlich beschließen sollte. Auch vor diesem Hintergrund beschränkt sich das vorliegende Handbuch auf die Anforderungen der DSGVO.
Viele Vorschriften der DSGVO sind auslegungsbedürftig. Das vorliegende Handbuch gibt Vorschläge zur Anwendung dieser Vorschriften. Es bleibt abzuwarten, in welchen Fällen Gerichte und Behörden den hier vorgeschlagenen Auslegungsansätzen folgen werden und in welchen Fällen nicht. Ebenso sind bei der ersten Auflage eines Handbuchs zu einem derart komplexen Gebilde wie der DSGVO Fehler und Ungenauigkeiten leider unabwendbar. Die Autoren, der Verlag und der Herausgeber würden sich daher sehr über entsprechende Hinweise und Verbesserungsvorschläge freuen.
Kronberg, im März 2017
Bausewein, Dr. Christoph
Rechtsanwalt und Syndikusrechtsanwalt, Konzerndatenschutzbeauftragter mit internationalem Zuständigkeitsbereich bei einem US-amerikanischen Technologieunternehmen
Böhm, Dr. Wolf-Tassilo
Rechtsanwalt, Senior Associate – Hogan Lovells International LLP, Frankfurt am Main
Draf, Dr. Oliver
Rechtsanwalt (Syndikusrechtsanwalt), Leiter Datenschutz – Allianz Deutschland AG, München
Ettig, Dr. Diana, LL.M.
Rechtsanwältin – DAMM | Rechtsanwälte, Frankfurt am Main
Fladung, Armin
Rechtsanwalt, Compliance-Officer (TÜV), Ressortleiter Arbeitsrecht und Compliance – CAD-Institut und Arbeitgeberverband Chemie Rheinland-Pfalz, Ludwigshafen
Hanßen, Dr. Henrik
Rechtsanwalt, Associate – Hogan Lovells International LLP, Hamburg
Krätschmer, Dr. Stefan
Rechtsanwalt (Syndikusrechtsanwalt), Data Privacy Officer, Europe – IBM, Ehningen
Pflüger, Dr. Martin
Rechtsanwalt, Counsel – Hogan Lovells International LLP, München
Pötters, Dr. Stephan, LL.M. (Cambridge)
Rechtsanwalt – Seitz Rechtsanwälte Steuerberater Partnerschaftsgesellschaft mbB, Köln
Rauer, Dr. Nils, MJI
Rechtsanwalt, Partner – Hogan Lovells International LLP, Frankfurt am Main
Schreibauer, Dr. Marcus
Rechtsanwalt, Partner, Fachanwalt für Informationstechnologierecht – Hogan Lovells International LLP, Düsseldorf
Schuppert, Dr. Stefan, LL.M. (Harvard)
Rechtsanwalt, Partner – Hogan Lovells International LLP, München
Wissenschaftlicher Mitarbeiter, Hogan Lovells International LLP, Frankfurt am Main
Spittka, Jan
Rechtsanwalt, Senior Associate – DLA Piper UK LLP, Köln
Steinhaus, Jörg, M.A., LL.M.
Datenschutzbeauftragter – Fresenius SE & Co. KGaA, Bad Homburg
Ströbel, Dr. Lukas
Rechtsanwalt, Associate – Hogan Lovells International LLP, Frankfurt am Main
Tinnefeld, Dr. Christian
Rechtsanwalt, Counsel – Hogan Lovells International LLP, Hamburg
Rechtsanwalt, Fachanwalt für Arbeitsrecht, Partner – Hogan Lovells International LLP, Frankfurt am Main
Business Continuity Management (englisch, = Betriebliches Kontinuitätsmanagement)
Binding Corporate Rule (englisch, = Verbindliche Unternehmensregel)
Berliner BfDI
Controller-to-Controller (englisch, = Verantwortlicher zu Verantwortlichem)
Controller-to-Processor (englisch, = Verantwortlicher zu Verarbeiter)
Compliance Berater (Zeitschrift)
Computer Emergency Response Team (englisch, = Informationssicherheit-Krisenreaktionsteam
Computer und Recht (Zeitschrift)
Datenschutznachrichten (Zeitschrift)
data loss leakage (detection and) prevention (englisch, = Datenverlustprävention)
(data) privacy management system (englisch, = Datenschutz Management System)
DSRITB
Deutsche Stiftung für Recht und Informatik Tagungsband
Datenschutzrichtlinie (95/46/EG)
Ausschuss für Beschäftigung und soziale Angelegenheiten des Europäischen Parlaments
Gesetz über die Elekrizitäts- und Gasversorgung (Energiewirtschaftsgesetz)
Foreign Intelligence Surveillance Act (englisch, = Gesetz zur Überwachung in der Auslandsaufklärung)
Federal Trade Commission (englisch, = Bundeshandelskommission)
HaagBewÜbK
Haager Beweisüberkommen
HessDSG
International Chambers of Commerce (englisch, = internationale Handelskammer)
IT-Rechts-Berater (Zeitschrift)
Kommunikation & Recht (Zeitschrift)
LFD Baden-Württemberg
Ausschuss für bürgerliche Freiheiten, Justiz und Inneres des Europäischen Parlaments
litera (lateinisch, = Buchstabe)
LT-Drucks.
MultiMedia und Recht (Zeitschrift)
Richtlinie (EU) 2016/1148 des Europäischen Parlaments und des Rates vom 6. Juli 2016 über die Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union
Privacy Emergency Response Team (englisch, = Datenschutz-Krisenreaktionsteam)
Privacy Impact Assessment (englisch, = Datenschutz-Folgenabschätzung)
Privacy Key Performance Indicators (englisch, = Datenschutzleistungskennzahlen)
Privacy Key Risk Indicators (englisch, = Datenschutzrisikoindikatoren)
Privacy Risk Exposure (englisch, = Datenschutzgefährdungsmaßstab)
Prüfungsstandard (z.B. des IDW)
Recht der Datenverarbeitung (Zeitschrift)
Return of Investment (englisch, = Kapitalrendite)
Return on (Privacy) Investments (englisch, = Rentabilität der Datenschutzinvestitionen)
Return on Security Investments (englisch, = Rentabilität der Sicherheitsinvestitionen)
EU Standard Contractual Clauses (englisch, = EU-Standardvertragsklauseln)
Schl.-Hl. LDSG
Schleswig-Holsteinisches Gesetz zum Schutz personenbezogener Informationen (Landesdatenschutzgesetz)
Service Level Agreement (englisch, = Dienstgütevereinbarung)
UAbs.
United States (of America) (englisch, = Vereinigte Staaten [von Amerika])
United States of America (englisch, = Vereinigte Staaten von Amerika)
Very important persons (englisch, = sehr wichtige Personen)
Anhang: Mustersammlung
Maßnahmen zur Umsetzung der DSGVO im Unternehmen
Die Anforderungen der Datenschutz-Grundverordnung (DSGVO) müssen bis zum 25.5.2018 umgesetzt sein. Die Umsetzung der Vorgaben der DSGVO erfordert eine ganze Reihe von Maßnahmen. Diese Maßnahmen werden im Folgenden erläutert und in der Anlage 1 priorisiert. Der Ablaufplan (Rn. 403 ff.) richtet sich an Unternehmen und nicht an Behörden oder sonstige Verantwortliche. Er ist lediglich beispielhaft zu verstehen. Der endgültige Ablaufplan für das jeweilige Unternehmen wird aufgrund unterschiedlicher Unternehmensstrukturen und Bedingungen im Einzelfall von dem vorliegenden Muster für einen Ablaufplan abweichen. Dies betrifft insbesondere die nach dem Plan zu treffenden Maßnahmen sowie die Priorisierung (vgl. Anlage Rn. 420). Ausführliche Erläuterungen zur Umsetzung der DSGVO im Unternehmen finden sich in der Einleitung unter Rn. 322 ff. Das vorliegende Grobschema für einen Ablaufplan zur Umsetzung der Vorgaben der DSGVO über wesentliche Arbeitsschritte eines Implementierungsprojekts kann dem für die Umsetzung der DSGVO verantwortlichen Projektteam die Projektplanung erleichtern und Anregungen geben.
Grobschema für einen Ablaufplan zur Umsetzung der DSGVO
1. Verzeichnis aller Verarbeitungsvorgänge
Das Unternehmen, bzw. das mit der Planung der Umsetzung der DSGVO beauftragte Projektteam, erstellt (ggf. unter Mithilfe des Datenschutzbeauftragten des Unternehmens) ein Verzeichnis aller Verarbeitungstätigkeiten nach Art. 30 DSGVO. Neben der Erfüllung der Pflicht aus Art. 30 DSGVO verschafft sich das Unternehmen so einen Überblick darüber, welche Datenverarbeitungen es überhaupt durchführt [vgl. Muster zum Verarbeitungsverzeichnis Rn. 421 ff. sowie Kommentierung zu Art. 30 DSGVO Rn. 15 ff.].
2. Rechtmäßigkeitsgrundlagen
Das Unternehmen prüft für jede Verarbeitung personenbezogener Daten, ob diese auch nach der DSGVO rechtmäßig ist. Stützt sich eine Datenverarbeitung auf eine Einwilligungserklärung oder eine Betriebsvereinbarung, prüft das Unternehmen, ob diese den teilweise erhöhten Anforderungen der DSGVO entsprechen.
Das Unternehmen führt eine Bestandsaufnahme hinsichtlich des aktuellen datenschutzrechtlichen Zustands durch. Dabei vergleicht man den datenschutzrechtlichen Ist-Zustand mit dem Soll-Zustand nach der DSGVO. Das Unternehmen bestimmt dann den konkreten Handlungsbedarf um den Anforderungen der DSGVO nachzukommen. Im Rahmen einer Risikoanalyse entscheidet das Unternehmen, welche der Anforderungen es bis zur Geltung der DSGVO umsetzen kann und möchte.
4. Schulung und Sensibilisierung der Mitarbeiter
Das Unternehmen führt zusammen mit dem Datenschutzbeauftragten (vgl. Art. 39 Abs. 1 lit. b) DSGVO, sowie Kommentierung zu Art. 39 DSGVO Rn. 20 f.) zielgruppengerechte Schulungen der an der Datenverarbeitung beteiligten Mitarbeiter des Unternehmens durch. Dadurch sollen die Mitarbeiter für datenschutzrechtliche Probleme sensibilisiert und für die Neuerungen durch die Einführung der DSGVO geschult werden. Für eine dauerhafte Sicherstellung der Mitarbeiterschulung implementiert das Unternehmen ein Schulungskonzept im Datenschutz-Management-System (siehe unten Punkt 5.9).
5. Datenschutz-Management-System
Das Unternehmen führt ein Datenschutz-Management-System („DMS“) ein. Das DMS umfasst die Gesamtheit aller dokumentierten und implementierten Regelungen, Prozesse und Maßnahmen, mit denen der datenschutzkonforme Umgang mit personenbezogenen Daten im Unternehmen systematisch gesteuert und kontrolliert wird. Als Grundlage für das DMS kann das Unternehmen beispielweise das im Muster „Datenschutz-Folgenabschätzung“ näher beschriebene Standard-Datenschutzmodell heranziehen. Das DMS umfasst zumindest die folgenden Prozesse und Regelungen:
5.1 Zweckfestlegung und -änderung
Das Unternehmen legt ein Verfahren fest, nach dem vor jeder Datenverarbeitung deren Zwecke festgelegt und dokumentiert werden. Auch für Verarbeitungen zu einem anderen Zweck als demjenigen, zu dem die Daten erhoben wurden, etabliert das Unternehmen ein Verfahren, welches den Anforderungen des Art. 6 Abs. 4 DSGVO zur Zweckänderung gerecht wird [vgl. Kommentierung zu Art. 6 DSGVO Rn. 51 ff.].
5.2 Löschkonzept
In einem umfassenden Löschkonzept legt der Verantwortliche Speicherfristen für personenbezogene Daten fest, Art. 17 Abs. 1 DSGVO [vgl. die Kommentierung zu Art. 17 DSGVO Rn. 44 f.].
5.3 Datenschutz-Folgenabschätzung
Sowohl für die Durchführung von Datenschutz-Folgenabschätzungen gemäß Art. 35 DSGVO als auch für die daraufhin ggf. notwendige Konsultation mit der Aufsichtsbehörde, legt das Unternehmen entsprechende Verfahren fest [vgl. Muster 3 zur Datenschutz-Folgenabschätzung (Rn. 441 ff.) sowie Kommentierung zu Art. 35 DSGVO Rn. 59].
5.4 Sicherheit der Verarbeitung
Das Unternehmen legt Verfahren fest, die die Sicherheit der Datenverarbeitung gem. Art. 32 DSGVO gewährleisten. Dazu gehören auch Kontrollen der technischen Maßnahmen zum Schutz der personenbezogenen Daten [vgl. Kommentierung zu Art. 32 DSGVO Rn. 35]. Es kann empfehlenswert für Unternehmen sein, die Datensicherheit etwa mithilfe einer Zertifizierung nachzuweisen [vgl. Art. 24 Abs. 3 DSGVO].
5.5 Aktualisierung Verarbeitungsverzeichnis
Das bereits zur Einführung der DSGVO erstellte Verzeichnis aller Verarbeitungstätigkeiten gem. Art. 30 DSGVO [vgl. Punkt 1] muss das Unternehmen bei neuen Verarbeitungen personenbezogener Daten aktualisieren. Teil des DMS ist ein Verfahren, das sicherstellt, dass das Verarbeitungsverzeichnis stets auf dem aktuellen Stand ist [vgl. auch das Muster zum Verzeichnis aller Verarbeitungstätigkeiten sowie die Kommentierung zu Art. 30 DSGVO Rn. 51 f.].
Betroffene haben nach der DSGVO umfassende Rechte [vgl. dazu im Detail die Kommentierung zu Art. 12 bis 15 DSGVO]. Die Gewährleistung dieser Rechte stellt das Unternehmen durch die Einführung entsprechender Maßnahmen im Rahmen des DMS sicher. Dies umfasst insbesondere:
• Festgelegte Verfahrensweisen, wie das Unternehmen Betroffene gem. den Art. 13 und Art. 14 DSGVO informiert und wie es Auskunftsverlangen gem. Art. 15 DSGVO erfüllt.
• Maßnahmen, wie die Mitarbeiter des Unternehmens verfahren müssen, wenn ein Betroffener sein Recht auf Berichtigung (Art. 16 DSGVO), auf Löschung (Art. 17 Abs. 1 DSGVO) und auf Einschränkung der Verarbeitung (Art. 18 DSGVO) geltend macht.
• Ein Konzept, mit dem das Unternehmen das Recht auf Vergessenwerden des Betroffenen gem. Art. 17 Abs. 2 DSGVO gewährleistet. Dies umfasst neben einem Verzeichnis, welche Daten öffentlich gemacht wurden, jeweils einen Plan, wie das Unternehmen die für die Datenverarbeitung Verantwortlichen informieren kann.
• Betroffene haben gem. Art. 20 DSGVO ein Recht auf Datenübertragbarkeit. Das Unternehmen legt fest, wie es die Daten ggf. in einem strukturierten, gängigen und maschinenlesbaren Format an den Betroffenen oder einen anderen Verantwortlichen weiterleiten kann [vgl. Kommentierung zu Art. 20 DSGVO Rn. 14].
• Stützt das Unternehmen die Datenverarbeitung auf die Einwilligung des Betroffenen, muss es beachten, dass diese gem. Art. 21 DSGVO jederzeit widerrufen werden kann. Das Unternehmen führt ein Verfahren ein, das sicherstellt, dass die Betroffenen auf dieses Recht ausdrücklich hingewiesen werden. Für den Fall der Ausübung des Widerrufs muss das Unternehmen Vorkehrungen treffen, wie es die Verarbeitung der entsprechenden personenbezogenen Daten unverzüglich stoppen kann.
5.7 Verfahren bei Datenschutzverletzungen
Gemäß den Art. 33 und Art. 34 DSGVO muss das Unternehmen Datenschutzverletzungen ggf. an die zuständige Aufsichtsbehörde, bzw. an den Betroffenen melden [vgl. Muster 5 Ablaufplan bei Datenschutzverletzungen in Unternehmen Rn. 542 ff. sowie die Kommentierung zu Art. 33 DSGVO Rn. 47].
5.8 Datentransfers in Drittländer
Nach den Art. 45 ff. DSGVO ist die Zulässigkeit der Übermittlung personenbezogener Daten an Stellen in einem Land, das weder Mitglied der Europäischen Union, noch des Europäischen Wirtschaftsraums ist, an bestimmte Voraussetzungen geknüpft. Im DMS legt das Unternehmen fest, auf welche Weise eine solche Datenübermittlung in ein Drittland zulässig gestaltet werden soll.
5.9 Schulungskonzept
Das DMS beinhaltet auch ein Konzept zur Sicherstellung regelmäßiger Schulungen der an der Verarbeitung personenbezogener Daten beteiligten Mitarbeiter.
5.10 Dokumentation
Die DSGVO legt dem Verantwortlichen in Art. 5 Abs. 2 DSGVO und Art. 24 Abs. 1 DSGVO weitreichende Dokumentationspflichten auf. Im DMS legt der Verantwortliche fest, wie diese Dokumentationspflichten zu erfüllen sind [vgl. Kommentierung zu Art. 5 DSGVO Rn. 39 sowie Kommentierung zu Art. 24 DSGVO Rn. 20, 33].
Gemäß Art. 28 Abs. 3 DSGVO erfolgt jede Verarbeitung durch einen Auftragsverarbeiter auf Grundlage eines Vertrages. Das Unternehmen prüft daher, ob es mit allen Dienstleistern, die personenbezogene Daten von ihm verarbeiten, einen den aktuellen Anforderungen entsprechenden Auftragsverarbeitungsvertrag abgeschlossen hat. Anschließend prüft es, inwiefern die bestehenden Auftragsdatenverarbeitungsverträge den Anforderungen der DSGVO und insbesondere von Art. 28 Abs. 3 DSGVO gerecht werden. Ggf. schließt das Unternehmen neue Verträge ab oder passt die bestehenden Verträge an [vgl. Muster 4 Anlage Auftragsverarbeitung zum Vertrag Rn. 469 ff. und die Kommentierung zu Art. 28 DSGVO Rn. 46].
7. Gemeinsam Verantwortliche
Gem. Art. 26 DSGVO gibt es die Möglichkeit, dass mehrere Verantwortliche für die Verarbeitung gemeinsam verantwortlich sind. Das Unternehmen prüft, ob ein solches Modell in Frage kommt und schließt ggf. entsprechende Vereinbarungen [vgl. Kommentierung zu Art. 26 DSGVO Rn. 27 ff.].
Priorisierung der Maßnahmen (Beispiel)
Um die Vielzahl der zur Umsetzung der DSGVO nötigen Maßnahmen effektiv verwirklichen zu können, entwickelt das Unternehmen einen konkreten Umsetzungsplan. Hierfür ordnet es die Maßnahmen beispielhaft einer Priorität zu. Dabei berücksichtigt es einerseits, ob die Maßnahmen der Verwirklichung von grundlegenden Datenschutzprinzipien dienen und andererseits, welche Umsetzungsschwierigkeiten (wie z.B. Zeitaufwand, Kosten oder technische Probleme) sie mit sich bringen.
Der tatsächliche Projektplan und die konkrete Priorisierung sind stark einzelfallabhängig. Entsprechend enthält die folgende Tabelle lediglich eine beispielhafte Veranschaulichung. Das Unternehmen prüft die Priorität einzelner Maßnahmen in Abstimmung mit Datenschutzexperten und den eigenen Vorgaben zum Risikomanagement im Datenschutz.
– Erstellung eines Verarbeitungsverzeichnisses (s. Maßnahme Nr. 1)
– Überprüfung der Rechtmäßigkeit (s. Maßnahme Nr. 2)
– Einführung eines DMS (s. Maßnahme Nr. 4), insbesondere
• Zweckfestlegung und -änderung (Nr. 4.1)
• Vornehmen der Datenschutz-Folgenabschätzung (Nr. 4.3)
• Sicherstellung von Betroffenenrechten (Nr. 4.6), insbes.
◦ Informations- und Auskunftsrechte
◦ Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung
◦ Recht auf Vergessenwerden
• Dokumentation (Nr. 4.10)
– Anpassung/Überprüfung der Auftragsdatenverarbeitung (s. Maßnahme Nr. 5)
– Gemeinsame Verantwortliche (s. Maßnahme Nr. 6)
• Festlegung eines Löschkonzepts (Nr. 4.2)
• Sicherheit der Verarbeitung (Nr. 4.4)
– Schulung der Mitarbeiter (s. Maßnahme Nr. 3)
• Aktualisierung des Verarbeitungsverzeichnisses (Nr. 4.5)
◦ Informationen und Vorkehrungen bzgl. Widerruf
• Verfahren bei Datenschutzverletzungen (Nr. 4.7)
• Datentransfers in Drittländer (Nr. 4.8)
• Entwicklung eines Schulungskonzeptes (Nr. 4.9)
Verarbeitungsverzeichnis für Unternehmen (Art. 30 Abs. 1 DSGVO)
Nach Art. 30 Abs. 1 Satz 1 DSGVO müssen der Verantwortliche oder sein Vertreter ein Verzeichnis aller ihrer Verarbeitungstätigkeiten führen, die ihrer Zuständigkeit unterliegen. Verstöße gegen diese Verpflichtung können Bußgelder von bis zu EUR 10 Mio. oder bis zu zwei Prozent des globalen Umsatzes nach sich ziehen. Das vorliegende Muster bietet erste Anhaltspunkte für die Erstellung eines Verarbeitungsverzeichnisses, das den gesetzlichen Vorgaben nach Art. 30 Abs. 1 Satz 2 DSGVO entspricht.
Darüber hinaus kann ein erweitertes Verarbeitungsverzeichnis auch ein effektives Mittel zur Dokumentation geeigneter Maßnahmen im Sinne von Art. 24 Abs. 1 DSGVO – und damit ein wichtiger Bestandteil eines effektiven Datenschutz-Management-Systems sein. In jedem Falle sollten Unternehmen im Rahmen von DSGVO-Umsetzungsprojekten genau überlegen, wie sie ihr Verarbeitungsverzeichnis strukturieren und wie sie dieses Verzeichnis in ihre sonstigen Dokumentationsprozesse einbinden.
Entscheidet sich ein Unternehmen dazu, ein über die gesetzlichen Pflichtangaben hinausgehendes erweitertes Verarbeitungsverzeichnis zu führen, sollte es gründlich prüfen, welche weiteren Angaben es an dieser Stelle zweckmäßigerweise dokumentiert. Dabei sollte das Unternehmen die Pflichtangaben nach Art. 30 Abs. 1 Satz 2 DSGVO von sonstigen Informationen klar abgrenzen können. Denn auf Anfrage der Aufsichtsbehörde muss der Verantwortliche gem. Art. 30 Abs. 4 DSGVO das Verarbeitungsverzeichnis zur Verfügung stellen. In einem solchen Fall sollte der Verantwortliche organisatorisch in der Lage sein, nur die Pflichtangaben nach Art. 30 Abs. 1 Satz 2 DSGVO zur Verfügung zu stellen – und weitere Informationen nur dann offenzulegen, wenn dies im Einzelfall zweckmäßig ist.
Ggf. URL des Datenschutzauftritts des Unternehmens im Internet
Name, bei externen Datenschutzbeauftragten ggf. auch Bezeichnung ihres
Weitere Ansprechpartner Datenschutz
Funktion im Unternehmen, z.B. Leiter Recht und Datenschutz
Ggf. Hinweis auf gemeinsame Verantwortlichkeiten gemäß Art. 26 DSGVO
Ggf. Vertreter nach Art. 27 DSGVO
Name der Verarbeitungstätigkeit
Datum des Eintrags/der Aktualisierung
[Name der Verarbeitung]
Beispiel für eine Anlage zur Beschreibung einzelner Verarbeitungen
[Name der Verarbeitung, z.B. Personaldatenverarbeitung, Kundendatenbank, Videoüberwachung, Telefonanlage]
1. Kurzbeschreibung der Verarbeitung
Kurze, aussagekräftige Beschreibung der Funktionen der Verarbeitung unter möglichst klarer und präziser Bezeichnung der maßgeblichen IT-Systeme. Hierfür sollten Fachabteilungen und IT-Abteilung nach Möglichkeit eng zusammenarbeiten.
Beschreibung der Zwecke der Verarbeitung (warum betreibt das Unternehmen diese Datenverarbeitung). Im Hinblick auf den Zweckbindungsgrundsatz ist darauf zu achten, die Zwecke möglichst umfassend und vollständig

References: Art. 30
 Art. 30
 Art. 30
 Art. 39
 Art. 39
 Art. 6
 Art. 6
 Art. 17
 Art. 17
 Art. 35
 Art. 35
 Art. 32
 Art. 32
 Art. 24
 Art. 30
 Art. 30
 Art. 12
 Art. 13
 Art. 14
 Art. 15
 Art. 17
 Art. 20
 Art. 20
 Art. 21
 Art. 33
 Art. 34
 Art. 33
 Art. 45
 Art. 5
 Art. 24
 Art. 5
 Art. 24
 Art. 28
 Art. 28
 Art. 28
 Art. 26
 Art. 26
 Art. 30
 Art. 30
 Art. 24
 Art. 30
 Art. 30
 Art. 30
 Art. 26
 Art. 27