Source: https://www.recht-freundlich.de/eu-datenschutz-grundverordnung/das-verarbeitungsverzeichnis-nach-art-30-der-dsgvo
Timestamp: 2018-01-24 11:54:30
Document Index: 186980767

Matched Legal Cases: ['§ 4', '§ 4', 'Art. 30', 'Art. 30', 'Art. 30', 'Art. 24', '§ 4', 'Art. 30', 'Art. 9', 'Art. 10', 'Art. 30']

In Kategorie(n): EU Datenschutz-Grundverordnung - 12. Januar 2017 von Ralitza Eneva, LL.M.
Schon unter dem BDSG bestand die Pflicht für Unternehmen, ein Verfahrensverzeichnis zu haben. Obwohl dieses Wort im Gesetz nicht direkt benutzt ist, verweist § 4g Abs. 2 BDSG auf eine „Übersicht“ über die in § 4e Satz 1 BDSG genannten Angeben, die der Verantwortliche dem betrieblichen Datenschutzbeauftragten zur Verfügung stellen muss. Die Führung eines Verfahrensverzeichnisses ist die Verantwortung des Datenschutzbeauftragten und wenn dieser fehlt, des Geschäftsführers oder des Vorstands. Dabei muss der Datenschutzbeauftragte dieses Verfahrensverzeichnis für Dritten nach Anforderung bereitstellen. Es wird zwischen einem internen und einem öffentlichen Verfahrensverzeichnis unterschieden, bei denen der Unterschied in der Menge der enthaltenen Angaben besteht.
In der DSGVO wird statt des unter dem BDSG verlangten Verfahrensverzeichnisses der Begriff Verarbeitungsverzeichnis benutzt. Art. 30 DSGVO enthält die Pflicht des Verantwortlichen, ein Verzeichnis der Verarbeitungstätigkeiten zu führen. Gemäß Art. 30 Abs. 2 DSGVO ist auch der Auftragsverarbeiter einer solchen Pflicht unterworfen, obwohl die Kriterien für den Inhalt unterschiedlich für beide sind.
Angaben des Verantwortlichen (Art. 30 Abs. 1 DSGVO)
Der Verzeichnis kann nicht nur in schriftlicher, sondern auch in elektronischer Form geführt werden und muss nach Anfrage der Aufsichtsbehörde ihr zur Verfügung gestellt werden. Einigermaßen erfüllt das Verarbeitungsverzeichnis die Dokumentationspflichten nach Art. 24 DSGVO. Weiterhin existiert nach der DSGVO nicht mehr ein allgemeines Recht auf Einsicht in dem Verarbeitungsverzeichnis und deshalb entfällt die Pflicht zur Führung eines öffentlichen Verzeichnisses nach § 4g Abs. 2 Satz 2 BDSG.
Die Pflicht zur Führung eines Verarbeitungsverzeichnisses ist nicht absolut und es besteht eine Ausnahmen dieser Regel. Gemäß Art. 30 Abs. 5 DSGVO gibt es eine teilweise Entlassung von kleineren Unternehmen von dieser Pflicht, wenn der Verantwortliche oder der Auftragsverarbeiter weniger als 250 Mitarbeiter besitzt. Ausgenommen davon sind die folgenden Fällen: die Verarbeitung trägt ein Risiko für die Rechte und Freiheiten betroffener Personen, sie erfolgt nicht nur gelegentlich oder es erfolgt eine Verarbeitung besonderer Datenkategorien (Art. 9 Abs. 1 DSGVO) bzw. die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO). Die Ausnahme in Art. 30 Abs. 5 DSGVO gilt dann nur für gelegentliche Verfahren und es gibt deshalb für alle Grundfunktionen des Unternehmens keine Änderung bei der Pflicht zur Verzeichnisführung.
Obwohl die Erstellung und regelmäßige Führung eines Verarbeitungsverzeichnisses einen erheblichen Aufwand für das Unternehmen darstellt, bringt sie bedeutende Vorteile mit sich. Einerseits erleichtert das Verzeichnis die Arbeit des Datenschutzbeauftragten, der dadurch leichter einen Übersicht über die Verarbeitungen personenbezogener Daten hat und seine Kontrolle ausüben kann. Anderseits wird damit auch die Zurverfügungstellung des Verzeichnisses der Aufsichtsbehörden beschleunigt, ohne das Auftreten unnötiger Verzögerungen.