Source: https://www.ram-sued.de/Datenschutz.html
Timestamp: 2018-05-23 01:20:39
Document Index: 304340098

Matched Legal Cases: ['Art. 32', 'Art. 32', 'Art. 39', 'Art. 39', 'Art. 38', 'Art. 83', 'Art. 38', 'Art. 30', 'Art. 30', 'Art. 13', 'BGH', 'Art. 6', 'Art. 25', 'Art. 4', 'Art. 38', 'Art. 55', 'Art. 33', 'Art. 39', 'Art. 35', 'Art. 28', 'Art. 4', 'Art. 33', '§ 2', '§ 5', '§ 5', '§ 4', 'Art. 5']

Datenschutzbeauftragter für Kanzleien und Mittelstand
Datenschutz und IT-Sicherheit gewinnen immer mehr an Bedeutung. Insbesondere die rechtlichen Anforderungen, die an Unternehmen gestellt werden, die DS-GVO (Anpassung des Datenschutzes an europäisches Recht und Reformierung des BDSG im BDSG-neu) und die nach Art. 32 DS-GVO einhergendene Verpflichtung "Technische und Organisatorische Maßnahmen" (TOM) zum Schutz personenbezogender Daten vorzuhalten, stellen für viele kleinere Unternehmen eine große Herausforderung dar. Hierbei unterstützen wir Sie mit unseren kompetenten Mitarbeitern, die seit vielen Jahren ein umfangreiches Spektrum des technischen Datenschutzes bei einer Vielzahl zufriedener Kunden abdecken.
Wir legen neben Qualität und einem "Datenschutz mit Augenmaß" großen Wert auf entsprechende Zertifizierung und haben daher die Prüfung zum Datenschutzbeauftragten (TÜV) und IT-Sicherheitsbeauftragten (TÜV) erfolgreich absolviert.
Gerne beraten wir Sie mit unserem IT-Sicherheits- und Datenschutz "Ersthilfepaket", stehen ihrem internen Datenschutzbeauftragten zur Seite oder nehmen bei Bedarf die Funktion eines externen Datenschutzbeauftragten ein.
Thomas Keis - Tel. 08221 - 356 8020 oder 0711 - 45 99 89 0
TOM-Liste nach Art. 32 DSGVO der RA-MICRO Süd
Externer Datenschutzbeauftragter (TÜV) nach DSGVO
Viele Unternehmen greifen beim Thema Datenschutz auf professionelle Beratung von außen zurück.
Durch diese Zertifizierung können wir Ihnen einen externen Datenschutzbeauftragten stellen, der seine Aufgaben nach Art. 39 DSGVO wahrnimmt.
Darüber hinaus können unternehmenspezifisch weitere Leistungen angefordert werden.
Gerade für Mittelstandskunden, die nur einen „Datenschutzbeauftragter als Funktion in Teilzeit“ benötigen, ist die Outsourcing Lösung preislich oft sehr interessant.
Durch die Auslagerung der Funktion Datenschutzbeauftragter ist das Haftungsrisiko für das Unternehmen und somit der Geschäftführung klar geregelt.
Schonen Sie die Ressourcen in Ihrem Unternehmen und lassen datenschutzrelevante Themen von einer externen Kraft über einen Dienstleistungsvertrag regeln.
Übt der interne Datenschutzbeauftragte seine Pflichten und Aufgaben in tatsächlich vollständiger Unabhängigkeit aus?
Oder haben Sie sich schon mal die Frage gestellt ob nicht evtl. ein externer Beauftragter diesem eher nachkommt? (siehe Erwägungsgrund 97).
Unsere Aufgaben als Ihr "Externer Datenschutzbeauftragter":
Überwachung der Einhaltung DSGVO, anderer Datenschutzvorschriften
Wenn Sie in Art. 39 DS-GVO schauen, finden Sie eine Übersicht der mindestens vom Datenschutzbeaufragten wahrzunehmenden Aufgaben. Die Aufgabe „Führen des Verzeichnisses von Verarbeitungstätigkeiten“ suchen Sie dort vergebens. Aber: Nicht nur am Wörtchen „mindestens“ erkennen Sie, dass auch weitere Aufgaben übertragen werden können. Dass der Datenschutzbeauftragte weitere Aufgaben und Pflichten übernehmen kann, ist ausdrücklichin Art. 38 Abs. 6 Satz 1 DS-GVO erwähnt.
Sollen weitere Aufgaben übertragen werden, muss der Verantwortliche oder der Auftragsverarbeiter sicherstellen, dass diese Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen. Weil es sich beim Verzeichnis von Verarbeitungstätigkeiten in erster Linie um eine Dokumentationsaufgabe handelt, dürfte ein solcher Interessenkonflikt nicht bestehen.
Außerdem: Die Verantwortung für die Umsetzung und die Zulieferung der zutreffend en Verzeichnisinformationenliegt weiterhin beim Verantwortlichen bzw. dem Auftragsverarbeiter. Quelle: datenschutz-aktuell
Grundsätzlich kann dies dazu führen, dass der zur Führung eines Verzeichnisses verpflichtete Verantwortliche oder Auftragsverarbeiter ein Bußgeld riskiert. Der Bußgeldrahmen sollte nicht unterschätzt werden. So droht eine Geldbuße von bis zu 10 Mio. € oder von bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher der Beträge höher ist. Siehe auch Art. 83 DSGVO
Machen Sie auch Folgendes deutlich: Zwar dürfte auch in Zukunft die Datenschutzaufsichtsbehörde einen gewissen Spielraum bei der Frage haben, ob man ein Bußgeld wegen eines fehlenden Verzeichnisses verhängt. Allerdings soll das Bußgeld in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein. Das heißt: „Standardbußgelder“ dürfte es nicht geben. Je nach Einzelfall kann ein fehlendes Verzeichnis zu einem eher niedrigen oder hohen Bußgeld führen. Doch bei kleinen Unternehmen wird man auch ein niedriges Bußgeld eher nicht mehr aus der Portokasse zahlen können. Quelle: datenschutz-aktuell
Welchen Mehrwert bringt das Verzeichnis der Verarbeitungstätigkeiten dem Verantwortlichen?
Man kann das Verzeichnis der Verarbeitungstätigkeiten als unnötige Bürokratie ansehen. Doch eigentlich ist es mehr Hilfe und Unterstützung als Last. Schon bei der Erstellung des Verzeichnisses kann deutlich werden, wo Lücken im Datenschutz bestehen. Diese werden durch die verschiedenen Informationen sichtbar.
Das kann vor allem auch der IT-Abteilung helfen, geeignete Gegenmaßnahmen zu ergreifen. Und angemessene und vor allem umgesetzte Schutzmaßnahmen tragen nicht nur zum Datenschutz bei. Auch der Schutz sensibler Unternehmensinformationen (z. B. Entwicklungsdaten) wird sichergestellt.
Gespräche mit Verantwortlichen im Zuge einer Bestandandsaufnahme bzw. einer Erstbegehung erzeugen bei diesen eine hohes Maß der persönlichen Zufriedenheit sich jetzt mal selbst mit Themen der IT-Sicherheit beschäftigen zu dürfen, die bis dato keinerlei Bedeutung für ihn hatten. Er entwickelt dadurch oftmals sehr rasch eine hohes Bewusstsein für Schutzmaßnahmen und bringt sich im Rahmen seiner zeitlichen und technischen Möglichkeiten mit hohem Angagement in den Datenschutz mit ein. Prozesse werden optimiert und bisher "Alt eingefahrene" Gewohnheiten abgeschafft. Mitarbeiter werden befragt und deren Arbeit wird wieder wertgeschätzt, was wiederum zu einer höheren Mitarbeiterzufriedenheit führen kann.
Kann ich als Datenschutzbeauftragter Unterstützung anfordern bei der Verzeichniserstellung?
Sollte man Ihnen die Aufgabe übertragen, das Verzeichnis der Verarbeitungstätigkeiten zu erstellen, muss das nicht heißen, dass Sie in den nächsten Wochen und Monaten kaum noch zu etwas anderem kommen. Niemand sagt nämlich, dass Sie das Verzeichnis ausschließlich in Eigenregie erstellen müssen. Fordern Sie als Datenschutzbeauftragter die erforderliche Unterstützung ein.
Das ist heute Ihr gutes Recht und es wird auch in Zukunft Ihr gutes Recht bleiben (vgl. Art. 38 Abs. 2 DS-GVO). Geht es um die Unterstützung bei der Erstellung, können Sie folgende Optionen ins Spiel bringen:
Option 1: Die Informationen für das Verzeichnis werden von den Fachabteilungen zugeliefert.
Option 2: Ihnen werden Mitarbeiter zugeordnet.
Option 3: Sie bekommen Unterstützung durch Praktikanten.
Quelle: datenschtutz-aktuelll
Entspricht das Verzeichnis des Verantwortlichen dem des Auftragsverarbeiters?
Verpflichtet ist sowohl der Verantwortliche, als auch der Auftragsverarbeiter: beispielsweise ein IT-Dienstleister oder ein Lohnbüro.
Wenn Ihr Unternehmen nun solch ein Dienstleister ist, also als Aufragsverarbeiter personenbezogene Daten für andere Unternehmen (Verantwortliche) im Aufrag verarbeitet, muss das Verzeichnis der Verarbeitungstätigkeiten ebenfalls geführt werden (Der Dienstleister wird als Aufragnehmer in einer gesonderten Auftagsverarbeitungsvereinbarung bezeichnet).
Schauen Sie sich die Regelungen zu den beiden Verzeichnissen in Art. 30 Abs. 1 DS-GVO für den Verantwortlichen bzw. in Art. 30 Abs. 2 DS-GVO für den Auftragsverarbeiter an, stellen Sie schnell fest, dass diese in vielen Punkten identisch sind. Jedoch sind die Anforderungen an das Verzeichnis des Auftragsverarbeiters geringer. Es enthält z.B. keine Verarbeitungszwecke oder Löschfristen.
Internet/SocialMedia
Was hat die Datenschutzerklärung damit zu tun?
Das ergibt sich allein aus den Rechtsgrundlagen und den bereitzustellenden Informationen, die weitergehend als bislang sein werden. Beispielsweise ist künftig über die zu Grunde gelegten Rechtsgrundlagen ebenso zu informieren wie über die Erforderlichkeit für einen Vertragsabschluss oder ob eine andere Verpflichtung zur Bereitstellung der Daten besteht. Viele der durch das Gesetz verlangten Informationen müssen für jede Funktion der Website gesondert bewertet werden. Daher bleibt es nicht aus, dass der Umfang der Datenschutzerklärungen weiter zunehmen wird. Die Informationen müssen gem. Art. 13 Abs. 1 DS-GVO „bei Erhebung“ der personenbezogenen Daten gegeben werden. Daher sollte die Datenschutzerklärung – wie bislang – regelmäßig mit nur einem Klick erreichbar sein (Artikel–29-Datenschutzgruppe, Working Paper 260, S. 8; zum BDSG a.?F. bereits Wintermeier, ZD 2013, 21 (23?f.); beim Impressum sind hingegen zwei Klicks ausreichend, BGH, Urt. v. 20. 3. 2006 – I ZR 228/03, MMR 2007, 40). Dem kann durch die Aufnahme des Links im Header oder Footer neben dem Impressum nachgekommen werden.
Was muss bei Blogs, Foren und Webshops beachtet werden?
Beim Einsatz von Blog-Funktionen, WebShop, Portalen oder Foren muss darauf geachtet werden, dass Betreiber (künftig:Host-Provider) Informationen speichern, da diese dafür haften können. Zeitpunkt, Metadaten, wie IP-Adresse und Zeitpunkt müssen somit gespeichert werden. Rechtsgrundlagen müssen immer genannt werden. Diese wird i.d.R. oftmals in Art. 6 DSGVO zu finden sein.
Weisen Sie darauf hin, dass kein Klarnamenszwang besteht. Aus Art. 25 DS-GVO könnte sogar hergeleitet werden, dass ein Pseudonym die betroffene Person schützen kann. Allerdings kann dies wiederum in sozialen Netzwerken wie Xing oder LinkedIn, welche Angebote zur Kontaktaufnahme untereinander vorhalten, nicht immer in Einklang mit dem Zweck der Datenverarbeitung solcher Anbieter gebracht werden.
Besondere Nutzungsformen Mustervertrag mit Bausteinen
Was muss beim Einsatz von Web Analytics tools auf Internetseiten beachtet werden?
Die Nutzung von Analysen zur Nutzung der eigenen Website ist heutzutage Standard. Betreiber von Websites möchten bspw. wissen, wie viele Nutzer ihre Seite besuchen, welche Information am gefragtesten sind, wie Nutzer das Angebot auffinden. So können die Angebote nutzerfreundlich ausgestaltet werden und der Umsatz der Unternehmen erhöht werden. Gebräuchlich ist der Begriff Web Analytics, regelmäßig finden sich auch Begriffe wie Web-Tracking oder Datenverkehrsanalyse. Beschrieben wird damit jede Erhebung von Zugriffsdaten auf Websites und die Auswertung des Verhaltens der Besucher. Die Analyse-Tools erfordern die Ermittlung einzelner Besucher, um das individuelle Verhalten auswerten zu können. Eine persönliche Identifizierung ist hingegen grundsätzlich nicht erforderlich, da nur statistische Daten erstellt werden sollen. Üblich ist es daher, auch aufgrund des Vorgehens der Datenschutz-Aufsichtsbehörden, dass die IP-Adresse nur verkürzt erhoben und direkt um das letzte Oktett gekürzt wird, so dass die zuvor personenbezogenen Nutzerdaten direkt anonymisiert werden und keine Zuordnung zu einem individuellen Nutzer erfolgen kann. Die Datenschutzerklärung sollte entsprechend ergänzt werden.
Zusatz für Datenschutzerklärung mit Analytics
Einwilligung bei e-mail Newsletter
Die DSGVO verlangt eine aufgeklärte Willenserklärung des Users in die Datenerhebung und -verarbeitung. Die Einwilligung darf nicht pauschal, beispielsweise in Form einer Blanko-Einwilligung erfolgen. Diese sind möglichst genau zu bestimmen und müssen dem User eine informierte Entscheidung ermöglichen, seine Einwilligung im konkreten Fall zu erteilen oder zu versagen. Sie muss vielmehr erkennen lassen, welche personenbezogenen Daten zu welchem Zweck von wem verarbeitet werden. Die DS-GVO Definition Einwilligung in Art. 4 (Einwilligung“ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung...).
Opt-Out-Verfahren ist unzulässig
Für Newsletter-Marketing bedeutet dies wiederum nach der DS-GVO, dass das Opt-Out-Verfahren unzulässig ist Es ist eine eindeutig bestätigende Handlung notwendig, bei der die betroffene Person von sich aus tätig werden muss, etwa indem sie ein nicht vorangekreuztes Kästchen anklicken muss (Opt-in-Verfahren).
Worauf sollten gerade Newsletter-Verantwortliche ab Mai in Bezug auf Neukunden, aber auch hinsichtlich bereits bestehender Adresslisten, achten?
In der DSGVO sind eine Reihe von Gründe geregelt, die die Verarbeitung personenbezogener Daten, dazu gehören auch die verwendeten E-Mail-Adressen, zulassen. Im Rahmen von Newslettern ist in der Regel die Einwilligung des Empfängers der Grund, der die Verarbeitung zulässig werden lässt. Durch das DSGVO werden die Anforderungen an eine wirksame Einwilligung verschärft.
Der Verantwortliche muss nachweisen können, dass der Empfänger in die Verarbeitung seiner Daten eingewilligt hat, also auch, den Newsletter zu erhalten. Dies muss nicht schriftlich sein, eine Protokollierung elektronischer Einwilligungen ist sinnvoll.
Der Empfänger muss den Umfang der Daten, den Zweck, zu dem die Daten verarbeitet werden sollen, sowie die Folgen der Verweigerung einer Einwilligung kennen. Hierzu ist es erforderlich, dass das Ersuchen um die Einwilligung in leicht zugänglicher und verständlicher Form sowie in einer klaren und einfachen Sprache abgefasst ist. Der Empfänger ist schon bei der Einholung der Einwilligung auf die Möglichkeit des Widerrufs hinzuweisen. Eine nicht erforderliche Kopplung an eine Gegenleistung darf nicht erfolgen.
Bei in der Vergangenheit bereits wirksam gegebenen Einwilligungen ist es nicht erforderlich, dass diese wiederholt werden. Diese Einwilligungen sind jedoch trotzdem an den Wirksamkeitsvoraussetzungen der DS-GVO an eine Einwilligung zu messen. Verstößt eine früher gegebene Einwilligung allerdings gegen das Gebot der Freiwilligkeit, gilt sie nicht weiter fort und muss erneut eingeholt werden. Dies sollte tunlichst vor Inkrafttreten der DSGVO erfolgen.
Dieses Angebot dient der allgemeinen Information. Es stellt keine Rechtsberatung dar und kann diese auch im Einzelfall nicht ersetzen. Die im Rahmen dieses Internetauftritts zur Verfügung gestellten Informationen werden nach Möglichkeit vollständig und aktuell gehalten. Wir übernehmen jedoch keine Gewähr für die Richtigkeit, Vollständigkeit oder Aktualität der bereitgestellten Informationen.
Ziele, Aufbau und Grundregeln von DSGVO und BDSG-neu
Datengeheimnis, Straf- und Bußgeldvorschriften
Beantwortung der Fragen zum Mitarbeiterdatenschutz
Personalaktenrecht und Auskunftsrecht
IT-Sicherheitsmaßnahmen, technische und organisatorische Maßnahmen
IT-Sicherheitskonzept und Verfahrensverzeichnis
Umstellungshinweise zur EU-Datenschutz-Grundverordnung
IT-Security im Kontext des Datenschutzes
Datenschutz in Anwaltskanzleien in praktischer Umsetzung
Sensibilisierungsschulungen für Verantwortliche und Mitarbeiter
Fragen und Antworten zum (externen) Datenschutzbeauftragten
Welche Leistungen sind im Dienstvertrag des externen DSB über einen Pauschalbetrag i.d.R. abgegolten?
die Mitwirkung an der Bearbeitung der kalendermonatlich jeweils ersten [zehn] Auskunfts-, Löschungs-, Berichtigungs-, Beschränkungs-, Datenübertragungs- und Widerspruchsersuchen von betroffenen Personen, in Form der zielgerichtete Weiterleitung dieser an den Auftraggeber gerichteten Ersuchen an die zuständigen Mitarbeiter des Auftraggebers, welche der Auftraggeber auf jederzeitiges Verlangen benennen wird und einer Beratung des Auftraggebers in Bezug auf diese Ersuchen, falls im Einzelfall gewünscht
die Bearbeitung von oder, je nach Einzelfall, zielgerichtete Weiterleitung von datenschutzrechtlich relevanten Anfragen (Art. 38 Abs. 4 DS-GVO) an die zuständigen Mitarbeiter des Auftraggebers, welche der Auftraggeber auf jederzeitiges Verlangen dem Beauftragten benennen wird
die Kommunikation mit der gem. Art. 55, 56 DS-GVO zuständigen Aufsichtsbehörde, von der ausdrücklich diejenige im Zusammenhang mit Sachverhalten betreffend die Verletzungen des Schutzes personenbezogener Daten („Datenschutzverletzung“, Art. 33 DS-GVO) ausgenommen ist
die Bereitstellung und Pflege von Formularen und Mustern (z.B. standardisierte Antwortmuster für Anfragen betroffener Personen) sowie die Erstellung jährlicher Tätigkeitsberichte
Welche Leistungen sind im Dienstvertrag i.d.R. gesondert leistungsbezogen zu vergüten?
die Mitwirkung an der Bearbeitung von Auskunfts-, Löschungs-, Berichtigungs-, Datenübertragungs- und Widerspruchsersuchen von betroffenen Personen ab dem [elften] Ersuchen pro Kalendermonat
die Schulung der mit dem Umgang mit personenbezogenen Daten befassten Mitarbeiter des Auftraggebers bezüglich der Erfordernisse des Datenschutzes (Art. 39 Abs. 1 lit. b DS-GVO)
die Mitwirkung bei der Durchführung der Datenschutz-Folgenabschätzung bei Verarbeitungen, die voraussichtlich hohe Risiken für Rechte und Freiheiten von betroffenen Personen haben (Art. 35 DS-GVO)
die Mitwirkung bei der Erstellung betrieblicher Anweisungen und Richtlinien zum datenschutzkonformen Umgang mit personenbezogenen Daten, etwa hinsichtlich des Umgangs mit E-Mail und Internet am Arbeitsplatz
die Wahrnehmung von Besprechungen und anderen Terminen, die nicht am Sitz des Auftraggebers stattfinden
die Durchführung von Vor-Ort-Prüfungen („Audits“) bei Subunternehmern, Vorlieferanten oder anderen für den Auftraggeber tätigen Dienstleistern, insbesondere auch die Durchführung von Kontrollen im Rahmen von Auftragsverarbeitungsverhältnissen i.S.v. Art. 28 DS-GVO
alle Tätigkeiten im Zusammenhang mit Sachverhalten betreffend Verletzungen des Schutzes personenbezogener Daten („Datenschutzverletzungen i.S.v. Art. 4 Nr. 12 DS-GVO, Art. 33 DS-GVO), einschließlich vorbeugender Maßnahmen zur Verhinderung und vorbereitender Maßnahmen im Hinblick auf adäquate Reaktionen
die Beantwortung konkreter Anfragen von Beschäftigten oder der Unternehmensleitung zum Datenschutz jenseits des Tagesgeschäfts (z.?B. datenschutzrechtliche Machbarkeit neuer Geschäftsmodelle)
die datenschutzrechtliche Beurteilung von konkreten Marketing-, Werbe- oder Vertriebsmaßnahmen (z.?B. Durchführung von Gewinnspielen); sowie der Aufbau, die Bewertung oder Fortentwicklung eines etwaig vorhandenen, umfassenden Datenschutzmanagementsystems oder Teile desselben z.?B. nach den Empfehlungen der IT-Grundschutz-Kataloge des BSI.
Darf ein DSB Rechtsdienstleistungen anbieten?
Die Annahme, dass es sich bei Teilen der Tätigkeit eines externen DSB um eine Rechtsdienstleistung handelt, ist nicht fernliegend. Denn gem. § 2 Abs. 1 RDG fällt hierunter jede Tätigkeit in konkreten fremden Angelegenheiten, die eine rechtliche Prüfung des Einzelfalls erfordert.
Insoweit ist – außer für den internen DSB, der keine fremde Angelegenheit besorgt – fraglich, ob sich der externe DSB wegen der von ihm vorzunehmenden rechtlichen Prüfungen in Angelegenheiten seines Auftraggebers auf § 5 Abs. 1 S. 1 RDG berufen kann. Diese Norm erlaubt Rechtsdienstleistungen durch Nichtanwälte dann, wenn sie im Zusammenhang mit einer anderen Tätigkeit als Nebenleistungen zum Berufs- oder Tätigkeitsbild gehört. In einer die Gewerbesteuerpflichtigkeit der Tätigkeit eines externen DSB betreffenden Entscheidung hat der BFH entschieden, dass es sich bei der Tätigkeit des DSB um ein eigenständiges, neues Berufsbild handele, zu dessen Ausübung „umfangreiche juristische Kenntnisse“ erforderlich seien (BFH, Urt. v. 5. 6. 2003 – IV R 34/01, BB 2003, 2108). Ob in dieser juristischen Tätigkeit eine Nebenleistung liegt, ist gem. § 5 Abs. 1 S. 2 RDG nach ihrem Inhalt, Umfang und sachlichen Zusammenhang mit der Haupttätigkeit unter Berücksichtigung der Rechtskenntnisse zu beurteilen, die für die Haupttätigkeit erforderlich sind. Insoweit erkennt der BFH an, dass die Ausübung des Berufs des externen DSB „nicht nur vertiefte Kenntnisse der Regelungen des Bundes- und des jeweiligen Landesdatenschutzgesetzes, sondern auch Kenntnisse bzgl. der datenschutzrelevanten Spezialregelungen im Zivil-, Straf-, Steuer-, Sozial-, Arbeits- und Verwaltungsrecht voraussetzt“. Damit liegt es nahe, auch bei umfänglicheren oder schwierigeren juristischen Fragestellungen von einer zulässigen Nebenleistung des externen DSB auszugehen.
Quelle: Formularhandbuch Datenschutzrecht, 2. Auflage Koreng/Lachenmann
Jeder Verantwortliche und jeder Auftragsverarbeiter erstellen und führen ein Verzeichnis aller Verarbeitungstätigkeiten mit personenbezogenen Daten.
Die bisher als Verfahrensverzeichnis, Verfahrensbeschreibung oder Dateibeschreibung bekannten Dokumentationspflichten (§ 4g Abs. 2 Satz 1 Bundesdatenschutzgesetz (BDSG) bzw. jeweiliges Landesdatenschutzgesetz) werden hinfällig.
Das Verzeichnis von Verarbeitungstätigkeiten dient als wesentliche Grundlage für eine strukturierte Datenschutzdokumentation und hilft dem Verantwortlichen dabei, gemäß Art. 5 Abs. 2 Datenschutzgrundverordnung (DS-GVO) nachzuweisen, dass die Vorgaben aus der DS-GVO eingehalten werden (Rechenschaftspflicht).
Es stellt somit ein wesentliches Element für die Etablierung eines umfassenden Datenschutz- und Informationssicherheits-Managementsystems dar.
Die vollständige Fassung der DS-GVO finden Sie im Internet unter: http://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX:32016R0679.
Hinweise vom DAV zum Datenschutz lt. DSGVO
Hinweise-zum-Verzeichnis-von-Verarbeitungstaetigkeiten.pdf
Muster-Verarbeitungsverzeichnis-Verantwortlicher.pdf