Verarbeitungsverzeichnis
Was verlangt die Datenschutz-Grundverordnung (DSGVO) von einem Verarbeitungsverzeichnis? Welchen Inhalt muss es haben, damit verantwortliche Unternehmen und Behörden ihren Dokumentationspflichten im Datenschutz gerecht werden?
Die DSGVO selbst spricht übrigens vom „Verzeichnis von Verarbeitungstätigkeiten“ (Art. 30 DSGVO). Im Alltag hat sich jedoch das kürzere „Verarbeitungsverzeichnis“ durchgesetzt. Gebräuchlich ist auch „Verzeichnis der Verarbeitungstätigkeiten“. Und wenn Sie auf den Begriff „Verfahrensverzeichnis“ stoßen, ist im Prinzip das gleiche gemeint: „Verfahrensverzeichnis“ ist der Begriff, den das alte Bundesdatenschutzgesetz (BDSG-alt) verwendet hat.
Was ist ein Verarbeitungsverzeichnis?
Zweck des Verarbeitungsverzeichnisses
Das Verarbeitungsverzeichnis dient dazu, der Aufsichtsbehörde für den Datenschutz, wenn sie anfragt, einen schnellen Überblick über die Verarbeitungstätigkeiten in einer Organisation zu verschaffen. Es kann auch dabei helfen, selbst eine Übersicht über die Datenverarbeitungen zu haben. Außerdem unterstützt es den Datenschutzbeauftragten (DSB) in seiner Arbeit. Und das Verzeichnis von Verarbeitungstätigkeiten ist schließlich Teil der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
Das Instrument ist also nicht nur eine gesetzliche Verpflichtung, um es bei einer Prüfung der Datenschutzaufsicht vorzulegen. Es ist auch ein wichtiges Werkzeug für interne Datenschutz-Kontrollen und die Information von Dritten, also von betroffenen Personen, Stichwort „Informationspflichten“.
So gibt ein Verarbeitungsverzeichnis insbesondere darüber Auskunft,
- welche personenbezogenen Daten
- unter Verwendung welcher automatisierten Verfahren
- auf welche Weise verarbeitet werden und
- welche Datenschutzmaßnahmen die Prozesse schützen.
Damit hilft das Verzeichnis der Verarbeitungstätigkeiten auch dabei, die Betroffenenrechte umzusetzen, etwa das Recht auf Auskunft.
Denn nur so bekommt ein Verantwortlicher wirklich einen Überblick, an welcher Stelle er welche personenbezogenen Daten wie verarbeitet.
Form des Verarbeitungsverzeichnisses
Das Verarbeitungsverzeichnis muss schriftlich geführt werden. Ein elektronisches Format ist ebenfalls zulässig (Art. 30 Abs. 3 DSGVO).
Verarbeitungsverzeichnis DSGVO-konform führen und nachweisen
In kurzer Zeit erstellen Sie mit der Software „WEKA Manager Verarbeitungstätigkeiten“ eine lückenlose, rechtssichere Dokumentation über alle Verarbeitungstätigkeiten (inkl. 100 Muster-Tätigkeiten & DSFA-Tool)
Kein öffentliches Verfahrensverzeichnis mehr
Im Gegensatz zum früheren Verfahrensverzeichnis muss das Verzeichnis von Verarbeitungstätigkeiten nicht veröffentlicht werden. Mit der DSGVO entfällt die Pflicht, jedermann das (öffentliche) Verfahrensverzeichnis auf Antrag in geeigneter Weise verfügbar zu machen. Es gibt in der DSGVO kein öffentliches Verfahrensverzeichnis mehr.
Auch besitzt niemand das Recht, Einblick einzufordern – mit Ausnahme der Aufsichtsbehörde (Art. 30 Abs. 4 DSGVO).
Wer erstellt das Verarbeitungsverzeichnis?
Die Verarbeitungsübersicht erstellt der Verantwortliche, das heißt der Geschäftsführer oder die Leiterin der öffentlichen oder nicht öffentlichen Stelle. Er kann die Aufgabe delegieren, zum Beispiel an die jeweiligen Fachabteilungen oder an den Datenschutzbeauftragten bzw. an die Datenschutzbeauftragte. Er muss auch dafür sorgen, dass das Verarbeitungsverzeichnis aktuell bleibt.
Wer muss ein Verarbeitungsverzeichnis führen?
Ein Verarbeitungsverzeichnis nach DSGVO müssen sowohl Verantwortliche für den Datenschutz als auch Auftragsverarbeiter erstellen und pflegen.
Auftragsverarbeiter sind natürliche oder juristische Personen, Behörden, Einrichtungen oder andere Stellen, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten.
Achtung: Es ist nicht der Datenschutzbeauftragte, der sich darum kümmern muss, sondern der Verantwortliche. Sonst besteht die Gefahr, dass sich der DSB selbst kontrolliert.
Wann muss kein Verarbeitungsverzeichnis geführt werden?
Es gibt einige Ausnahmen von der Pflicht (Artikel 30 Abs. 5 DSGVO). Doch für die meisten Unternehmen und Behörden greifen diese Ausnahmen nicht.
Wenn das Unternehmen oder die Einrichtung weniger als 250 Mitarbeiter beschäftigt, besteht eigentlich keine Pflicht, ein Verarbeitungsverzeichnis zu führen (Art. 30 Abs. 5 DSGVO). Das Gesetz nennt jedoch im Anschluss Ausnahmen von der Ausnahme:
- Die Datenverarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen,
- die Verarbeitung erfolgt „nicht nur gelegentlich“, oder
- es werden besondere Kategorien personenbezogener Daten verarbeitet.
Trifft auch nur einer dieser Fälle zu, muss der Verantwortliche dennoch ein Verarbeitungsverzeichnis haben.
Im Endergebnis gilt die Pflicht fast ausnahmslos
Weil eine Datenverarbeitung im geschäftlichen Umfeld fast immer dauerhaft erfolgt (und nicht nur gelegentlich) und weil fast immer besondere Kategorien personenbezogener Daten verarbeitet werden (z.B. Krankheitstage oder Schwerbehinderteneigenschaft), ist auch fast immer ein Verarbeitungsverzeichnis im Sinne von Artikel 30 DSGVO nötig – also auch dann, wenn eine Einrichtung weniger als 250 Mitarbeiter beschäftigt.
Was muss im Verzeichnis von Verarbeitungstätigkeiten stehen?
Das gehört in das Verarbeitungsverzeichnis bei Verantwortlichen
Als Bestandteile für eine Übersicht, die ein Unternhemen oder eine Behörde führt, nennt die DSGVO in Art. 30 Abs. 1:
- Namen und Kontaktdaten des Verantwortlichen und gegebenenfalls des gemeinsam mit ihm Verantwortlichen, des Vertreters des Verantwortlichen sowie eines etwaigen Datenschutzbeauftragten
- Zwecke der Verarbeitung
- Kategorien betroffener Personen und Kategorien personenbezogener Daten
- Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, einschließlich Empfänger in Drittländern oder in internationalen Organisationen
- gegebenenfalls Übermittlungen von personenbezogenen Daten an ein Drittland und die Dokumentierung geeigneter Garantien für den Datenschutz
- wenn möglich, vorgesehene Fristen für die Löschung der verschiedenen Datenkategorien
- wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. Wie detailliert diese Beschreibung sein muss, lässt sich der DSGVO nicht unmittelbar entnehmen. Jedenfalls sollte die Beschreibung der Maßnahmen nach Art. 32 DSGVO so konkret erfolgen, dass die Aufsichtsbehörden eine erste Schlüssigkeitsüberprüfung vornehmen können.
Das gehört in das Verarbeitungsverzeichnis bei Auftragsverarbeitern
Auftragsverarbeiter müssen ebenfalls eine Übersicht haben. Der Inhalt ergibt sich aus allen durchgeführten Verarbeitungen personenbezogener Daten im Auftrag eines externen Unternehmens.
Als Bestandteile dieses Verfahrensverzeichnisses nennt die DSGVO in Art. 30 Abs. 2 insbesondere:
- den Namen und die Kontaktdaten des Auftragsverarbeiters und jedes Verantwortlichen, in dessen Auftrag der Auftragsverarbeiter tätig ist, sowie gegebenenfalls des Vertreters des Verantwortlichen oder des Auftragsverarbeiters und eines etwaigen Datenschutzbeauftragten,
- die Kategorien von Verarbeitungen, die im Auftrag jedes Verantwortlichen durchgeführt werden,
- gegebenenfalls Übermittlungen von personenbezogenen Daten an ein Drittland oder an eine internationale Organisation sowie die Dokumentierung geeigneter Garantien für den Datenschutz,
- wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOMs).
Wie erstelle ich ein Verarbeitungsverzeichnis in sieben Schritten?
- Zuerst geht es um einen Überblick über alle Zwecke, zu denen ein Verantwortlicher Daten verarbeitet. Denn die Datenverarbeitungszwecke führen zu den jeweiligen automatisierten Verfahren.
- Dann geht es darum, eine Liste aller Fachverfahren und Software-Anwendungen aufzustellen, die personenbezogene Daten verarbeiten.
- Im dritten Schritt erfolgt eine Verknüpfung zwischen Fachverfahren, Softwareapplikation und Datenverarbeitungszwecken.
- Sodann geht es darum, die jeweils betroffenen Personengruppen und Datenkategorien festzustellen,
- mögliche Datenempfänger zu ermitteln,
- die Löschfristen zu definieren
- und geplante Datenübermittlungen an Drittstaaten festzuhalten.
Jetzt loslegen!
Wollen Sie mühelos ein lückenloses Verarbeitungsverzeichnis erstellen? Dann sind Sie mit der Software „WEKA Manager Verarbeitungstätigkeiten“ gut beraten.
Die Software führt Sie Schritt für Schritt durch den Prozess und überzeugt durch praktische Tools, etwa zur Datenschutz-Folgenabschätzung, sowie einer großen Zahl von vorgefertigten Muster-Verarbeitungstätigkeiten.
Auf Knopfdruck lässt sich das Verzeichnis exportieren und der Datenschutzaufsicht vorlegen. Wichtig für externe DSB: Sie können auch mehrere Unternehmen anlegen.
Verarbeitungsverzeichnis DSGVO-konform führen und nachweisen
In kurzer Zeit erstellen Sie mit der Software „WEKA Manager Verarbeitungstätigkeiten“ eine lückenlose, rechtssichere Dokumentation über alle Verarbeitungstätigkeiten (inkl. 100 Muster-Tätigkeiten & DSFA-Tool)
… und die Pflege nicht vergessen
Es darf nicht in Vergessenheit geraten, das Verarbeitungsverzeichnis regelmäßig zu pflegen. Die verantwortliche Stelle muss aktiv bleiben, um die Aufstellung aktuell zu halten.
Genauso wie Unternehmen die Prozesse im Qualitätsmanagement oder Sicherheitsmanagement regelmäßig überprüfen und aktualisieren müssen, ist dies auch mit den Verarbeitungstätigkeiten im Datenschutz.
Damit sich Änderungen der Eintragungen nachvollziehen lassen – wer war zu einem bestimmten Zeitpunkt der verantwortliche Unternehmensleiter, wer war Datenschutzbeauftragter usw. –, halten die Aufsichtsbehörden für den Datenschutz eine Dokumentation der Änderungen mit einer Speicherfrist von einem Jahr – das ist die übliche Speicherfrist auch für sonstige Datenspeicherungen zu Datenschutz-Kontrollzwecken – für erforderlich.
Welche Folgen hat es, kein Verarbeitungsverzeichnis zu erstellen?
Verstöße aufgrund eines fehlenden oder nicht vollständigen Verarbeitungsverzeichnisses oder das Nichtvorlegen nach Aufforderung durch die Aufsichtsbehörde für den Datenschutz können nach Art. 83 Abs. 4 Buchst. a DSGVO mit einer Geldbuße von bis zu 10 Mio. € oder bis zu 2 Prozent des weltweiten Jahresumsatzes sanktioniert werden.