Source: https://www.treysse.com/2018/02/28/dsgvo-in-der-anwaltskanzlei-verzeichnis-von-verarbeitungstaetigkeiten/
Timestamp: 2018-11-15 06:45:37
Document Index: 161609185

Matched Legal Cases: ['Art. 30', 'Art. 30', 'Art. 2', 'Art. 30', 'Art. 30', 'Art. 30', 'Art. 30']

DSGVO in der Anwaltskanzlei (Verzeichnis von Verarbeitungstätigkeiten) - Organisationsberatung Treysse
Wer sich bisher mit dem BDSG beschäftigt hat, kennt noch die sogenannten „Verfahrensverzeichnisse „. Soweit Sie diese geführt haben, können Sie diese gerne als Grundlage für das Verzeichnis von Verarbeitungstätigkeiten nehmen und letzteres nur anpassen.
Lassen Sie mich bitte zuerst darauf eingehen, ob in einer Anwaltskanzlei ein Verzeichnis von Verarbeitungstätigkeiten geführt werden muss.
Maßgeblich ist Art. 30 Abs. 1 DSGVO. Abs. 2 können wir erst einmal außer Betracht lassen, da dieser die Vorschriften für den Auftragsverarbeiter enthält.
1) Jeder Verantwortliche und gegebenenfalls sein Vertreter führen ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen. Dieses Verzeichnis enthält sämtliche folgenden Angaben:
Wie das Verzeichnis zu führen ist, ergibt sich aus Abs. 3
3) Das in den Absätzen 1 und 2 genannte Verzeichnis ist schriftlich zu führen, was auch in einem elektronischen Format erfolgen kann.
Die Pflicht zur Vorlage auf Anforderung der Aufsichtsbehörde ergibt sich aus Abs. 4 in Verbindung mit Artikel 5 Abs. 2 DSGVO (Rechenschaftspflicht)
Ausnahmen von der Führungspflicht
Art. 30 Abs. 5 DSGVO enthält die entsprechenden Ausnahmen
Kleinstunternehmen und KMU
Nun könnte man auf den Gedanken kommen, dass in Kanzleien mit weniger als 250 Mitarbeitern ein solches Verzeichnis nicht geführt werden müsste.
Wie immer, sollte man bei der Bearbeitung die Erwägungsgründe heranziehen. Maßgeblich für die Frage der Berücksichtigung von Kleinstunternehmen sowie kleinen und mittleren Unternehmen ist Erwägungsgrund 13. Bezüglich Kleinstunternehmen und KMU wird auf die Definition von „Kleinstunternehmen sowie kleine und mittlere Unternehmen „ in Art. 2 des Anhangs zur Empfehlung 2003/361/EG verwiesen.
“Mitarbeiterzahlen und finanzielle Schwellenwerte zur Definition der Unternehmensklassen
(3) Innerhalb der Kategorie der KMU wird ein Kleinstunternehmen als ein Unternehmen definiert, das weniger als 10 Personen beschäftigt und dessen Jahresumsatz bzw. Jahresbilanz 2 Mio. EUR nicht überschreitet.”
Sie werden mir zustimmen, dass danach eine Vielzahl von Anwaltskanzleien zur Führung des Verzeichnisses nach Art. 30 DS GVO nicht verpflichtet wären.
Diese Ausschliesungsgründe gelten jedoch nicht bei
Risiko für Rechte und Freiheit
Risiko für die Rechte und Freiheiten der betroffenen Person ist ein weites Thema.
Aber auch dieser Punkt wird für Anwaltskanzleien nicht maßgeblich sein.
Nur gelegentliche Verarbeitung
Hier kommen wir der Sache schon näher. Soweit Mandatsakten geführt werden, werden Daten des Mandanten und Daten Dritter verarbeitet
insoweit kann nicht von einer gelegentlichen Verarbeitung gesprochen werden, sodass bereits aus diesem Grunde das Verzeichnis in einer Anwaltskanzlei zu führen ist.
1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschafts”zugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.”.
Zeigen Sie mir eine Kanzlei, in der keine Gesundheitsdaten oder Daten religiöser Überzeugungen verarbeitet werden. Bereits aus der Kennzeichnung zur Abführung der Kirchensteuer lässt sich eine religiöse Überzeugung herleiten.
Fazit: in einer Anwaltskanzlei ist grundsätzlich das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 die DSGVO zu führen.
Nach dem dieses geklärt ist, können wir zum praktischen Teil übergehen.
Art. 30 Abs. 1 Satz 2 lit. a) bis g) DSGVO enthält die eindeutigen Vorgaben, wie das Verzeichnis zu führen ist.
Der Gesetzgeber hat sie mit diesen Anforderungen nicht alleine gelassen.
Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder DSK (ein Gremium das sich mit aktuellen Fragen des Datenschutzes in Deutschland befasst und zu diesen Stellung nimmt) gibt grundsätzlich entsprechende Hinweise. Diese Konferenz besteht aus dem Bundesdatenschutzbeauftragten, den Landesdatenschutzbeauftragten der 16 Bundesländer und dem Präsidenten des Bayerischen Landesamtes für Datenschutzaufsicht.
Die Informationen der DSK finden Sie immer auf der Seite des bayerischen Landesamts für Datenschutzaufsicht (BayLDS)
Zurzeit finden Sie dort Hinweise der DSK zum
Verzeichnis von Verarbeitungstätigkeiten, welches zwar sehr umfangreich ist aber keine Fragen offen lässt und natürlich
ein Muster zum Verarbeitungsverzeichnis für verantwortliche Stellen.
Kommen wir kurz zu dem Muster des Verzeichnisses von Verarbeitungstätigkeiten.
Aus praktischer Sicht würde ich die Angaben
zum Vertreter des Verantwortlichen und
als Vorblatt für alle Verarbeitungstätigkeiten einmal ausfüllen.
Als dann würde ich mit Blatt 2 des Musters (Verarbeitungstätigkeit) beginnen, da die Angaben zum Verantwortlichen, zum Vertreter des Verantwortlichen zum Datenschutzbeauftragten jeweils gleich bleiben sollten. Letzteres sollte zu jeder Verarbeitungstätigkeit ausgefüllt werden.
Wenn Sie sich einmal die DSK-Hinweise zu Ziffer 6.2 ansehen, werden Sie feststellen, dass die DSK eine Vielzahl von Beispielen für Verarbeitungstätigkeiten in einem Unternehmen aufgeführt hat. Davon wird es auch in ihrer Kanzlei einige geben wie zum Beispiel Personalaktenführung, Arbeitszeiterfassung, Urlaubsdatei. etc. Hinzu kommen natürlich die in einer Kanzlei spezifisch anfallenden Verarbeitungstätigkeiten.
Der einfachste Weg, diese festzustellen ist es, ein Organigramm der Kanzlei zu erstellen und hieraus die Verarbeitungstätigkeiten zu ermitteln.
Vielleicht hilft Ihnen auch die Prozessbeschreibung aus einem meiner Artikel.
Probleme bereiten zuweilen die Angaben zu Art. 30 Abs. 1 Satz 2 lit. g DSGVO, also Angaben zu technischen und organisatorischen Maßnahmen (sogenannte TOM)
Diese werden Gegenstand eines weiteren Artikels sein.
Wie immer, wenn Sie Probleme zu diesem Thema haben, können Sie mich gerne ansprechen. Hierfür steht Ihnen auch mein Kontaktformular zur Verfügung.
Vorheriger BeitragDSGVO in der Anwaltskanzlei (erste Massnahmen)Nächster BeitragDSGVO in der Anwaltskanzlei (Verzeichnis TOM)
Ein Gedanke zu „DSGVO in der Anwaltskanzlei (Verzeichnis von Verarbeitungstätigkeiten)“
Pingback: DSGVO in der Anwaltskanzlei (Verzeichnis TOM) - Organisationsberatung Treysse