Source: https://www.projekt29.de/datenschutz-grundlagen-meldepflicht-und-verfahrensverzeichnisse/
Timestamp: 2020-07-06 23:03:01
Document Index: 321804656

Matched Legal Cases: ['§ 4', '§ 4', '§ 9', '§ 4', '§ 4', '§ 4']

Datenschutz Grundlagen – Meldepflicht und Verfahrensverzeichnisse – Projekt 29 GmbH & Co. KG
Für viele Unternehmen immer noch ein Buch mit sieben Siegeln: Das Verfahrensverzeichnis. Was ist denn ein Verfahren? Wieso braucht man das überhaupt? Und was ist der Unterschied zwischen dem internen Verfahrensverzeichnis und dem öffentlichen?
Die Notwendigkeit des Verfahrensverzeichnisses ergibt sich aus § 4d BDSG. Dieser Paragraph regelt, das jedes Verfahren das in einem Unternehmen eingesetzt wird und in dem personenbezogene Daten verarbeitet werden, der Meldepflicht unterliegt. Grundsätzlich sind all diese Verfahren noch VOR ihrer Inbetriebnahme der Aufsichtsbehörde – in Bayern z. B. dem BayLDA – zu melden. Die Meldepflicht an die Behörde entfällt, wenn das Unternehmen einen Datenschutzbeauftragten bestellt hat. ABER dann müssen die Verfahren trotzdem dem DSB gemeldet werden. Eine spezielle Meldepflicht besteht für Wirtschaftsauskunfteien, Adresshandelsunternehmen sowie für Markt-, Meinungs- und Sozialforschungsinstitute.
WAS PRÜFT DER DSB?
Der Datenschutzbeauftragte prüft nun anstelle der Aufsichtsbehörde jedes Verfahren bei dem personenbezogene Daten verarbeitet werden auf folgende 9 Punkte, wie sie in § 4e BDSG aufgeführt werden:
eine allgemeine Beschreibung, die es ermöglicht, vorläufig zu beurteilen, ob die Maßnahmen nach § 9 zur Gewährleistung der Sicherheit der Verarbeitung angemessen sind (Technische und Organisatorische Maßnahmen).
WAS GENAU IST EIN VERFAHREN?
Ein Verfahren ist im Grunde genommen die Verarbeitung oder eine Mehrzahl von Verarbeitungen zur Realisierung einer oder mehrerer verbundener Zweckbestimmungen. Der Landesbeauftragte für Datenschutz und die Informationsfreiheit NRW gibt für ein Verfahren folgendes schönes Beispiel an:
„So kann beispielsweise ein Datenverarbeitungszweck ‚Kontoführung‘ sein. Im entsprechenden Verfahren zur Kontoführung sind unter anderem alle Soft- und Hardwarekomponenten zu beschreiben – so zum Beispiel Word, Access oder Excel, wenn diese Programme für den Zweck ‚Kontoführung‘ eingesetzt werden. Daneben gibt es möglicherweise ein Verfahren ‚Kreditverwaltung‘ oder ein Verfahren ‚Immobilienfinanzierung‘, das dann jeweils entsprechend in der Verfahrensbeschreibung darzustellen ist.“
Laut § 4g Abs. 2 BDSG ist „dem Beauftragten für den Datenschutz (…) von der verantwortlichen Stelle eine Übersicht über die in § 4e Satz 1 genannten Angaben sowie über zugriffsberechtigte Personen zur Verfügung zu stellen. Der Beauftragte für den Datenschutz macht die Angaben nach § 4e Satz 1 Nr. 1 bis 8 auf Antrag jedermann in geeigneter Weise verfügbar.“ Diese Übersicht wird im Fachjargon als internes Vervahrensverzeichnis bezeichnet. Der Bereich der jedermann in geeigneter Weise zur Verfügung gestellt werden muss, also das öffentliche Verfahrensverzeichnis, entspricht inhaltlich dem internen Verfahrensverzeichnis JEDOCH OHNE die Angabe der Technischen und Organisatorischen Maßnahmen (TOMs). Es wäre ja auch wenig zielführend jedermann auf Anfrage darüber zu informieren, welche Schutzmaßnahmen man getroffen hat oder auch nicht.