Dokumentationspflicht: Das Verarbeitungsverzeichnis

Quelle: iStock.com/AndreyPopov

Welche Unternehmen haben Verarbeitungsverzeichnis zu führen und wie ist dieses zu führen

Aus Artikel 30 Absatz 3 ergibt sich, dass ein Verarbeitungsverzeichnis schriftlich zu führen ist, aber Die Führung auch in einem elektronischen Format stattfinden darf. Zulässig ist demnach ein Verarbeitungsverzeichnis, dass anhand einer Datenschutzmanagement-Software im PDF-Format generiert wird. Eben diese Variante wird durch DATENDO umgesetzt.

Weitere Voraussetzungen sind Artikel 30 Absatz 5 DSGVO zu entnehmen. Danach gilt die Pflicht zur Führung eines Verarbeitungsverzeichnisses nicht für Unternehmen oder Einrichtungen die weniger als 250 Mitarbeiter beschäftigen, es sei denn die von ihnen vorgenommene Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen, die Verarbeitung erfolgt nicht nur gelegentlich oder es erfolgt eine Verarbeitung besonderer Datenkategorien gemäß Artikel 9 Absatz 1 bzw. die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Artikels 10.

Diese Formulierung wirkt auf den ersten Blick so, als hätten nur Unternehmen und Einrichtungen mit weniger als 250 Mitarbeitern ein Verarbeitungsverzeichnis zu führen. In der Praxis dürfte es jedoch so sein, dass auch in kleineren Unternehmen die allermeisten Verarbeitungen nicht nur gelegentlich stattfinden. Dies wiederum führt dazu, dass auch Unternehmen mit weniger als 250 Mitarbeitern in den allermeisten Fällen ein Verarbeitungsverzeichnis zu führen haben.

Die Pflicht zur Führung eines Verarbeitungsverzeichnisses trifft dann auch nicht nur den Verantwortlichen, sondern gemäß Artikel 30 Absatz 2 DSGVO auch jeden Auftragsverarbeiter im Hinblick auf alle Kategorien der von ihm im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung. Im Ergebnis dient ein Verarbeitungsverzeichnis zur Erfüllung der Dokumentationspflicht im Sinne der DSGVO.

Inhalt eines Verarbeitungsverzeichnisses

Mit einem Verarbeitungsverzeichnis werden die wesentlichen Angaben zur Verarbeitung personenbezogener Daten aufgeführt. Hierzu zählen der Name und die Kontaktdaten des Verantwortlichen sowie des etwaigen Datenschutzbeauftragten. Daneben ist der Zweck der Verarbeitung und eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten festzuhalten. Aus einem Verarbeitungsverzeichnis sind außerdem die Kategorien von Empfängern der personenbezogenen Daten zu entnehmen. Erfolgt eine Übermittlung der verarbeiteten personenbezogenen Daten in ein Drittland Komma ist auch dies im Verarbeitungsverzeichnis zu vermerken. Gleiches gilt für die vorgesehenen Fristen zur Löschung. Abschließend beinhaltet es auch nach Möglichkeit eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. Im Detail ergibt sich der Inhalt des Verarbeitungsverzeichnisses aus Artikel 30 Absatz 1 Satz 2 DSGVO.

Zweck eines Verarbeitungsverzeichnisses

Ein Verarbeitungsverzeichnis wird aus Gründen der Transparenz erstellt. Es dient als Nachweis, dass die Pflichten der DSGVO durch den Verantwortlichen eingehalten werden.

Einsicht in das Verarbeitungsverzeichnis durch die Aufsichtsbehörde

Auf Anfrage ist das Verarbeitungsverzeichnis der zuständigen Aufsichtsbehörde zur Einsicht zur Verfügung zu stellen.