Source: https://www.controlling21.de/firma/artikel/vvt-verzeichnis-von-verarbeitungstaetigkeiten.htm
Timestamp: 2018-04-20 16:20:51
Document Index: 382765325

Matched Legal Cases: ['§ 70', '§ 26', '§ 38', 'in dubio', '§ 70', '§ 70']

VVT, Verzeichnis von Verarbeitungstätigkeiten - Artikel 30 - DSGVO, Datenschutz-Grundverordnung, deutsches Bundesdatenschutzgesetz
VVT, Verzeichnis von Verarbeitungstätigkeiten gemäß Artikel 30 der DSGVO
Hier erfahren Sie alles Wichtige über das zu erstellende VVT = das Verzeichnis von Verarbeitungstätigkeiten gemäß Artikel 30 der DSGVO, resp. § 70 des deutschen Bundesdatenschutzgesetzes.
Selbständige, Handwerker, Kleinunternehmer und mittelständische Unternehmer (KMU) erfahren hier ganz konkret und verständlich, was Sie bezüglich der DSGVO und des neuen Bundesdatenschutzgesetzes in das VVT (das Verzeichnis von Verarbeitungstätigkeiten) eintragen müssen - mit einfacher Einbauanleitung zum sofortigen kostenlosen Umsetzen.
Ein Inhaltsverzeichnis mit direkten Sprungmarken und Überblick über alle bei VVT - Verzeichnis von Verarbeitungstätigkeiten gemäß DSGVO, Datenschutz-Grundverordnung und dem deutschen Bundesdatenschutzgesetz - behandelten Themenbereiche finden Sie als Pop-Up.
Da ich praktisch täglich (manchmal sogar mehrfach täglich) Ergänzungen zu diesem Artikel eintrage, verzichte ich auf die Datumsangabe. Der Artikel ist aktuell.
Bitte beachten Sie, dass die beiden anderen Anforderungen an Sie und Ihre Firma in zwei separaten Artikeln behandelt werden:
Pflichten zur Veröffentlichung der allgemeinen Datenschutzhinweise z.B. im Internet - inklusive Hintergründe und Theorie. Das Wissen sollten Sie unbedingt bereits besitzen, da es hier aus Platzgründen nicht mehr wiederholt und erklärt wird.
Schriftliche Auskunftserteilung an jeden einzeln anfragenden Auskunftssuchenden. Siehe den hierzu eigenständigen Artikel Auskunftspflicht.
Externe Helfer und Hilfen, Verantwortung sowie Pflicht
Selbstverständlich steht es Ihnen frei, zahlreiche externe Helfer für das Erstellen des VVT (des Verzeichnisses von Verarbeitungstätigkeiten) zu beschäftigen.
Rechtsanwälte, Beratungsfirmen, selbsternannte Datenschutzbeauftragte und Abzocker diversester Art bieten Ihnen für drei- bis vierstellige Summen gerne ein bereits ausgefülltes VVT an. Die Haftung dieser oberflächlichen und fast immer falschen Formulare bleibt jedoch komplett bei Ihnen.
Derzeit besteht für jeden - und sei die Firma oder Verein etc. noch so klein - die Pflicht, ein VVT zu führen. Alle geplanten und vorgesehenen Regelungen der DSGVO für kleine Firmen laufen ins Leere.
Artikel 30 - Verzeichnis von Verarbeitungstätigkeiten - VVT
In der DSGVO finden sich einige sich scheinbar widersprechende Artikel, die jedoch im Detail etwas Unterschiedliches meinen. Dazu gehört auch Artikel 30. Das hier genannte interne Verzeichnis von Verarbeitungstätigkeiten (kurz VVT) müssen Sie als Firma intern führen. Es entspricht jedoch in vielen Punkten der im einleitenden Artikel erklärten öffentlich (z.B. im Internet) zu publizierenden Liste.
Allgemeine Forderungen an das VVT
Artikel 30 legt fest, dass Firmen ein Verzeichnis aller Verarbeitungstätigkeiten anzulegen haben.
Nehmen Sie das nicht zu leicht. Die Ausnahmen scheinen auch für Kleinstfirmen und Selbständige nicht zu greifen.
Es entspricht inhaltlich auf den ersten Blick weitgehend den Angaben zu Ihrer Datenschutz-Bekanntmachung in Internet, ist jedoch bezüglich der Adressdaten der jeweiligen datenverarbeitenden Stellen genauer.
D.h. hier müssen Sie dann die Dritten / externen Dienstleister angeben und können sich nicht pauschal und vage hinter Geschäftsgeheimnissen verstecken.
Ferner müssen Sie alle datenschutzrelevanten Vorgänge prozessorientiert auflisten.
Das klingt jedoch komplizierter, als es ist.
Eine Gruppe könnte z.B. Allgemeine Kundenverwaltung lauten. Darunter fielen dann Prozesse wie: Auftragsbearbeitung, Buchhaltung, Inkasso .
Die Obergruppe Customer-Relationship-Management (früher nannte man so etwas verständlich Kundenpflege oder Kundenbetreuung) enthielte dann z.B.: Dokumentation und Verwaltung von Kundenbeziehungen, Marketing, Neukundenakquise, Kundenbindungsmaßnahmen, Kundenberatung, Beschwerdemanagement, Kündigungsprozess etc.
Auch die Details zur Datenerhebung müssen hier sehr genau sein.
So muss man u.a. bei Kunden wirklich alle erfassten personenbezogenen Daten angeben.
Z.B.: Adressdaten, Kontaktkoordinaten (ggf. einschließlich. Telefon-, Fax-und E-Mail-Daten), Geburtsdatum, Vertragsdaten, Bonitätsdaten, Betreuungsinformationen, Kundenentwicklung, Produkt- bzw. Vertragsinteresse, Statistikdaten, Abrechnungs- und Leistungsdaten, Bankverbindung etc.
Falls Sie eigene Mitarbeiter beschäftigen kommen weitere Angaben hinzu, wie z.B.:
Beschäftigtendaten (z.B. Lohn und / oder Gehalt); Kontaktdaten der Angestellten, deren Bankverbindung, Sozialversicherungsdaten usw.
Das Recht dazu besitzen Sie als Arbeitgeber gemäß § 26 BDSG (NEU) Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses.
Es ist bisher umstritten, ob Sie letztere Angaben zu Mitarbeitern sowie deren erhobenen Daten auch im Internet machen müssen. Persönlich halte ich das für überzogen, da Ihre Mitarbeiter mit Ihnen firmenintern kommunizieren und nicht mit oder über Ihrem Internet-Auftritt.
Aber es bleibt der Umstand, dass Sie in diesem internen VVT = Verzeichnis von Verarbeitungstätigkeiten wirklich alles angeben müssen, das im Zusammenhang mit personenbezogenen Daten steht.
Ferner sollten Sie diese datenschutzrechtlichen Dinge im / zusätzlich zum Arbeitsvertrag schriftlich regeln.
Spezifische Forderungen des VVT
Das Verzeichnis von Verarbeitungstätigkeiten umfasst laut DSGVO Artikel 30 im Detail:
Das sollte in etwa so aussehen: Verantwortliche/r: Herr / Frau, Titel, Vorname, Nachname, Straße, PLZ, Ort.
Derzeit ist noch umstritten, ob weitere Kontaktdaten hinzukommen müssen.
Ich empfehle zur beiderseitigen Arbeitserleichterung die eigene E-Mail-Adresse.
Von der Telefonnummer rate ich ab, da damit bereits Missbrauch getrieben wurde. Sie sind nicht in der Lage, einen Anrufer mit Sicherheit zu identifizieren. D.h. jeder kann sich als Mitarbeiter der Aufsichtsbehörde ausgeben. Wenn Sie dann Personendaten am Telefon den Falschen preisgeben, haben Sie bereits eine schwere Datenschutzverletzung begangen.
Einen Datenschutzbeauftragten benötigen Sie in Deutschland gemäß Bundesdatenschutzgesetz NEU § 38 Datenschutzbeauftragte nichtöffentlicher Stellen nur: soweit sie in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.
Damit sind 10 Büroangestellte gemeint, die sich nur um Datenverarbeitung kümmern, keine Außendienstmitarbeiter, Handwerker etc.
(2) fordert in etwa Dasselbe für Auftragsverarbeiter
Gemeint ist eine schriftliche offizielle Anfrage Ihrer Landesbehörde oder des Bundesdatenschutzbeauftragten - kein dubioses Telefonat einer nicht identifizierbaren Person. Bestehen Sie unbedingt auf Schriftform und überprüfen Sie die Forderungen, Adressen, unterzeichnenden Personen.
Für viele kleine Firmen (unter 250 Mitarbeiter) ließe sich nun trefflich über die Details (Risiko, gelegentlich) streiten. Aber das wird vermutlich erst vor Gericht ausgefochten.
Fakt ist laut EU-Auskunft derzeit: Jeder muss es ausfüllen.
VVT gemäß Bundesdatenschutzgesetz
Das BDSG NEU definiert dies ziemlich ähnlich in § 70 Verzeichnis von Verarbeitungstätigkeiten.
Wer aufmerksam liest, erkennt die Unterschiede. U.a. fordert BDSG NEU in 7. auch die Rechtsgrundlagen der Datenerhebung.
Vor allem entfällt das in der DSGVO noch vage wenn möglich . D.h. alles ist Pflicht.
Wer bei den Punkten der öffentlichen Informationspflichten z.B. im Internet (siehe Artikel DSGVO) sehr sauber gearbeitet hat, kann diese direkt hier übernehmen.
Wer in der öffentlichen Liste etwas pauschaler argumentiert, um z.B. Geschäftsgeheimnisse zu wahren, muss jedoch in dieser firmeninternen Liste für die Aufsichtsbehörde in die Details gehen und etwas mehr Farbe bekennen.
Auch Firmen, welche Akten, CDs, DVS, Festplatten etc. für Sie vernichten, sind hier als Dritte aufzulisten, an welche Sie Daten weitergeben.
Aber jede Firma muss ihren eigenen Schutzbedarf analysieren. So ist die Lieferliste eines Pizza-Services sicherlich in Punkto Schutzbedarf als gering einzustufen, die medizinischen Daten von HIV-Patienten jedoch als hoch.
Für die Gefahrenermittlung resp. die Schutzbedarfsfeststellung im eigenen Betrieb wird zukünftig vermutlich das Standard-Datenschutzmodell an Bedeutung gewinnen. Die Universität Bielefeld hat ein Dokument zur Schutzbedarfsfeststellung veröffentlicht.
Meine Empfehlung ist zwar, sich bald mit dieser VVT zu beschäftigen.
Wichtig bleibt: Der Verantwortliche stellt diese interne Liste = VVT gemäß europäischer DSGVO der Aufsichtsbehörde das Verzeichnis auf Anfrage zur Verfügung. - Das wäre die/der Landesdatenschutzbeauftrage Ihres Bundeslandes. BDSG NEU § 70 (4) regelt, dass das Verzeichnis von Verarbeitungstätigkeiten auf Aufforderung auch der oder dem Bundesbeauftragten zur Verfügung zu stellen ist.
Aus diesem Grund besteht kein Grund zur Panik oder wilden Hektik. D.h. Sie können sich noch etwas Zeit lassen. Beide Stellen werden 2018 in andere Arbeit untergehen.
Nochmals: Händigen Sie dieses VVT = Verzeichnis von Verarbeitungstätigkeiten niemals an andere = Unbefugte weiter. Das geht niemand etwas an und gefährdet in falschen Händen sowohl Ihre Firma als evtl. auch die bei Ihnen gespeicherten Personendaten.
Fehler oder Fehlendes in der VVT
Kein VVT anzulegen ist zumindest eine Ordnungswidrigkeit. Also müssen Sie tätig werden.
Juristen und IT-Experten sowie Akademiker sollten sich bezüglich der VVT nicht allzu dumm oder unwissend stellen.
Aber Handwerker und sonstiger kleine Unternehmer brauchen - zumindest am Anfang - keine Strafen zu befürchten, falls etwas nicht perfekt formuliert oder missverständlich ist.
Bisher wurde von offiziellen Stellen verlautbart, dass man zuerst beratend zur baldigen Nachbesserung auffordern wird.
D.h. ganz konkret: Sie müssen als Handwerker oder Selbständiger ohne IT- und Jura-Kenntnisse keine teuren externen (angeblichen) Fachkräfte dazu beauftragen. Es reicht auch hier einfaches Deutsch.
Zumindest 2018 befindet sich alles noch in der sogenannten Findungsphase. Alle - auch die Aufsichtsbehörden - müssen sich erst an die neue Situation gewöhnen.
Höflichkeit und der Wille zu umgehenden Nachbesserung sollten Ihnen auf jeden Fall zu einem konstruktiven Kompromiss weiterhelfen.
Muster / Beispiel VVT
Ein leeres Beispiel der GDD: Verzeichnis von Verarbeitungstätigkeiten = VVT.
In den kommenden Tagen werden ich ein komplett ausgefülltes Muster eines VVT hier einstellen.
Sofern Sie die folgenden Bedingungen erfüllen...
Sie haben den obigen Artikel vollständig gelesen,
Sie haben zu Ihren Fragen bereits das Inhaltsverzeichnis dieses Artikels verwendet, um dort die bereits vorhandenen Antworten zu suchen.
Sie haben bei Ihren Fragen die Stichwortsuche Ihres Browsers (STRG-Taste und Buchstabe f) in diesem Artikel verwendet, um das Stichwort und seine Synonyme bereits im ganzen Artikel unter den vorhandenen Antworten zu suchen.
Sie haben in diesem Artikel für Sie unverständliche Fachausdrücke mit der Suchmaschine Ihres Vertrauens sowie bei Wikipedia bereits nachgeschlagen und sich selbst erklärt.
Ihre Fragen sind kurz, präzise, sachlich und betreffen einen spezifischen Punkt der DSGVO resp. deren Umsetzung.
... bin ich gerne bereit, Ihre Fragen per Kontaktformular kostenlos zu beantworten.
... erfolgen hier im Artikel durch neutrale (d.h. u.a. anonyme) Beschreibungen zu dem Thema, so dass es für alle Anwender gilt.
... erfolgen je nach E-Mail-Aufkommen und Aufwand der Bearbeitung. - Ich bitte um etwas Geduld.
... erfolgen an Sie nur in Kurzform per E-Mail mit einem Verweis - Direktlink - auf die neue Stelle im Artikel.
Gerne dürfen Sie mir auch einen Dienstleistungs-Auftrag zur Umsetzung der DSGVO bei Ihnen erteilen.
Aufträge genießen selbstverständlich Priorität.
Dann können auch komplexe Fragestellungen zu Ihrer vollsten Zufriedenheit gelöst werden.
Das Dienstleistungsangebot reicht von der Beratung bis hin zur konkreten Umsetzung.
VERORDNUNG (EU) 2016/679 DES EUROPÄISCHEN PARLAMENTS UND DES RATES - vom 27. April 2016, zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (Text von Bedeutung für den EWR)
Vorsicht: direkt im Anschluss - unten dran - befindet sich RICHTLINIE (EU) 2016/680 DES EUROPÄISCHEN PARLAMENTS UND DES RATES, vom 27. April 2016, die Behörden betrifft. Letzterer ist für Firmen nicht gemeint.
Neues Bundesdatenschutzgesetzes (BDSG) - gültig ab 25.05.2018 (=Bundesdatenschutzgesetzes V2 - nicht immer funktioniert jeder Link.)
Neues Bundesdatenschutzgesetzes Einzelparagrafen (BDSG) - gültig ab 25.05.2018
Neues Bundesdatenschutzgesetzes (BDSG) - gültig ab 25.05.2018
Da ich bewusst von niemandem irgendwelche Zuwendungen jeglicher Art für das Verfassen der absolut unabhängigen Artikel annehme, um meine völlige Neutralität zumindest auf dem hier beschriebenen Feld wahren zu können, verdiene ich mit diesen Artikeln kein Geld. Auch von Zeitschriften oder Magazinen aus dem IT-Bereich erhalte ich keinerlei Zuwendungen.
Deshalb freue ich mich, wenn Sie mein unabhängiges Engagement für Sie durch einen gelegentlichen Kauf bei Amazon über die hier angegebenen Links unterstützen. Dadurch erhalte ich ggf. eine sehr kleine prozentuale Prämie, welche mir hilft, die hohen Kosten bei der Erstellung der Artikel zumindest teilweise zu decken.
Ja, ich möchte die Unabhängigkeit dieser Seite unterstützen und den Autor durch eine kleine private Zuwendung unterstützen.