Source: https://www.datenschutzbeauftragter-info.de/verfahrensverzeichnis-nur-eine-laestige-verpflichtung/
Timestamp: 2018-01-19 22:53:02
Document Index: 32914307

Matched Legal Cases: ['§ 4', '§ 4', '§ 4', '§ 4', '§ 4', '§ 4']

Verfahrensverzeichnis - nur eine lästige Verpflichtung?
9. August 2011 |	6 Kommentare | Von Dr. Datenschutz
Sollten Sie bei dem Zuruf des Stichworts „Verfahrensverzeichnis“ jetzt stolz die (echte oder elektronische) Schublade öffnen und ein aktuelles Verzeichnis hervorziehen, könnten Sie theoretisch aufhören zu lesen.
Reicht Ihre Reaktion jetzt aber von einem fragenden „Häh?“ bis zu einem vernuschelten „Ja, ja, mach‘ ich noch“, ist die nachfolgende Information vielleicht doch ganz interessant für Sie – und im besten Fall eine Diskussionsgrundlage für die Sinnhaftigkeit von derartigen Verzeichnissen.
Die Grundlage für das Führen von Verfahrensverzeichnissen liegt im BDSG, genauer in § 4g Abs. 2
Der erste Satz enthält zwei Informationen zu dem sog. internen Verfahrensverzeichnis:
1. Es ist von der verantwortlichen Stelle zur Verfügung zu stellen.
Dies bedeutet eigentlich, dass entweder der/die Leiter/in – z.B. ein Geschäftsführer – einer rechtlich selbstständigen Einheit, die personenbezogene Daten erhebt, verarbeitet oder nutzt, diese Übersicht erstellt, oder diese Aufgabe delegiert – z.B. an einen IT-Leiter. In der Praxis werden sich diese Personen jetzt hilfesuchend an den betrieblichen Datenschutzbeauftragten (bDSB) wenden, der – hoffentlich – beim Erstellen hilft. Sollten Sie dieser bDSB sein, kennen Sie die lästige Pflicht sicher schon.
In einigen Firmen hat sich diesbezüglich ein regelrechtes Katz-und-Maus-Spiel entwickelt, nach dem Schema:
bDSB an GF: Wo ist meine Übersicht?
GF an bDSB: Frag den IT-Leiter!
bDSB an IT-L: Wo ist meine Übersicht?
IT-L an bDSB: Kann ich nicht, keine Zeit, frag den GF!
Manchmal bleibt dem bDSB nichts anderes übrig, als die Übersicht einmal selbst zu erstellen und nur den erforderlichen Input von den jeweiligen Fachverantwortlichen einzuholen. Trotz dieses in der Praxis häufig anzutreffenden Umgangs mit dem Thema, sollte betont werden, dass es nach dem Wortlaut des BDSG nicht dem bDSB obliegt, selbst diese „Übersicht“ zu erstellen; sie ist ihm vielmehr unaufgefordert bereitzustellen.
2. Es hat die Angaben aus § 4e Satz 1 BDSG sowie über zugriffsberechtigte Personen zu enthalten.
Nun gut, dies sind zumindest klare Anforderungen und Punkte, die man mit entsprechendem Know-how und ein wenig Geduld abarbeiten kann.
Doch halt, schon taucht die erste Frage auf: Was ist überhaupt ein „Verfahren“? Vielleicht hilft ein Blick in den Kommentar – hier Gola/Schomerus, BDSG, 10. Aufl. § 4d Rnr. 9a:
Das Gesetz definiert den Begriff des Verfahrens nicht. Mit dem Begriff soll sichergestellt werden, dass nicht einzelne Verarbeitungsvorgänge, d. h. das Erheben oder Übermitteln bestimmter Daten, sondern einer bestimmten Zweckbestimmung dienende „Verarbeitungspakete“ (…) erfasst und bewertet werden. Beispiele sind Mitglieder- oder Personalverwaltung, Telefondatenerfassung, Videoüberwachung, Kundenbetreuung (…)
Auch hier hat sich in der Praxis gezeigt, dass selbst in mittelständigen Unternehmen eine ganze Reihe dieser Verfahren zum Einsatz kommen. Hier offenbart sich der erste der drei Vorteile von Verfahrensverzeichnissen: Man kann sich damit im wahrsten Sinne des Wortes eine Übersicht über die laufenden Verarbeitungen von personenbezogenen Daten verschaffen. Während die Verfahrensübersicht zur Orientierung reicht, sollte dennoch ergänzend ein komplettes Verzeichnis erstellt werden, in dem die erforderlichen Angaben zu den jeweiligen Verfahren detailliert aufgelistet werden. Nur dort, wo sinnvoll zusammengefasst werden kann, sollte dies auch geschehen, z.B. bei den Angaben zu § 4e Nr. 1, 2 und 3 sowie bei einigen Angaben zu Nr. 9.
Im Gesetz brauchen Sie nach diesem Begriff nicht zu suchen – der Begriff hat sich unabhängig davon eingebürgert. Ausgangspunkt ist der o.g. § 4g Abs. 2 Satz 2 BDSG. Auch hier sind wieder zwei Informationen enthalten:
1. Es enhält die Angaben nach § 4e Satz 1 Nr. 1 bis 8
Was im Gegensatz zum internen Verzeichnis fehlt, sind also die allgemeinen Beschreibungen der technischen und organisatorischen Maßnahmen und der zugriffsberechtigten Personen. Dies ist nicht nur sinnvoll sondern auch erforderlich, denn diese Information sollte auf jeden Fall innerhalb einer organisatorischen Einheit bleiben.
2. Die Übersicht ist jedermann auf Antrag verfügbar zu machen
„Jedermann“ bedeutet genau das – damit sind auch Sie gemeint. Machen Sie die Probe aufs Exempel und beantragen Sie mal ein solches Verzeichnis beim Online-Versender etc. Ihrer Wahl. Sie dürfen uns gerne von Ihren Erfahrungen berichten…
Beim öffentlichen Verfahrensverzeichnis zeigt sich, dass zumindest ein guter bDSB dieses sehr wohl in der eingangs erwähnten Schublade haben sollte – der zweite Vorteil eines Verfahrensverzeichnisses. Hier reicht wiederum eine Übersicht – eine detaillierte Auflistung muss nicht sein, es sollte aber zusammengefasst alle Verfahren beinhalten.
Bleibt noch der dritte Vorteil:
Bei einer Prüfung durch die zuständige Aufsichtsbehörde für den Datenschutz sind regelmäßig beide Verfahrensverzeichnisse vorzulegen.
Bleiben die Nachteile:
Es ist ein nicht zu unterschätzender bürokratischer Aufwand, die Verzeichnisse sowohl zu erstellen wie zu pflegen. In der Praxis ist dies manchmal kaum zu schaffen und geht in der täglichen Arbeit oft unter. Doch überlegen Sie selbst, angesichts der beschriebenen Vorteile, ob es sich nicht lohnt, auch hierfür Ressourcen bereitzustellen – vielleicht auch unter Zuhilfenahme eines externen Beraters?
Veröffentlicht am: 9. August 2011 | Von Dr. Datenschutz	| Kategorie: Fachbeitrag
Tags: Aufsichtsbehörde, internes Verfahrensverzeichnis, öffentliches Verfahrensverzeichnis, Verfahrensübersicht
Bei der Erstellung des Verfahrensverzeichnis hat mir die Veröffentlichung der Bitkom sehr viel geholfen.
Hier zu finden: http://www.bitkom.org/de/publikationen/38336_45921.aspx
MS am 20. Juni 2013, 11:57 Uhr
Es ist für mich aus dem Artikel nicht ersichtlich, wer das detaillierte interne Verzeichnis eines Verfahrens außer der Aufsichtsbehörde erhalten bzw. einsehen darf. „Jedermann“ bezieht sich wohl nur auf die Einsicht des Öffentlichen Verzeichnisses. Ich frage als Betriebsrat. Danke für eine Rückmeldung.
KBR am 10. September 2015, 13:36 Uhr
Wie sie vermutet haben, sind die Informationen des internen Verfahrensverzeichnisses nicht für die Öffentlichkeit bestimmt. Ein Einsichtsrecht besteht nur für das öffentliche Verfahrensverzeichnis.
Dr. Datenschutz am 23. September 2015, 10:40 Uhr
Auch Betroffene haben das Recht, sich das interne Verfahrensverzeichnisch anzuschauen. Persönlich habe ich das in der Praxis mehrfach erlebt.
tomtom am 25. Oktober 2016, 01:25 Uhr
„Bei einer Prüfung durch die zuständige Aufsichtsbehörde für den Datenschutz sind regelmäßig beide Verfahrensverzeichnisse vorzulegen.“
Gibt es eigentlich hier irgendwo eine Liste aller Dokumente, die Pflicht sind? Also bei denen auch Strafe droht, wenn man sie nicht vorzeigen kann? Was ist, wenn man bspw. nach Richtlinien für die MA gefragt wird und diese nicht vorzeigen möchte?
mhp am 16. November 2015, 17:56 Uhr
Darf ein Spediteur die Übermittlung des Führerscheines eines Fahrers verlangen, um den Fahrer zwecks Entladung an der Entladestelle (hier KKW Krümmel) anzumelden, weil der Betreiber des KKW dies verlangt (3 Tage im voraus) ergo darf das KKW dies eigentlich verlangen?
G.Berres am 19. August 2016, 08:23 Uhr