Neue Anforderungen im Datenschutzrecht: DSGVO Verarbeitungsverzeichnis

Warum brauche ich ein Verarbeitungsverzeichnis?

Die Pflicht zur Führung eines Verarbeitungsverzeichnisses und welche Angaben dort zu machen sind, ergibt sich aus Art. 30 Abs. 1 Satz 1 DSGVO:

Welchen Zweck hat ein Verarbeitungsverzeichnis?

Der Zweck des Verarbeitungsverzeichnisses liegt darin, dass

1. alle Verarbeitungsvorgänge nachvollzogen werden können und
2. jeder Verantwortliche/jeder Auftragsverarbeiter nachweisen können soll, dass er die strengen Voraussetzungen der DSGVO einhält.

Umschrieben sind die Pflichten auch in Nummer 82 Satz 1 der Erwägungsgründe zur DSGVO:

„Zum Nachweis der Einhaltung dieser Verordnung sollte der Verantwortliche oder der Auftragsverarbeiter ein Verzeichnis der Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen, führen. Jeder Verantwortliche und jeder Auftragsverarbeiter sollte verpflichtet sein, mit der Aufsichtsbehörde zusammenzuarbeiten und dieser auf Anfrage das entsprechende Verzeichnis vorzulegen, damit die betreffenden Verarbeitungsvorgänge anhand dieser Verzeichnisse kontrolliert werden können.“

Der Nachweis dient einerseits dem in der DSGVO verankerten „Transparenzgebot“. Die Vorgänge, die im Rahmen einer Verarbeitung personenbezogener Daten durchgeführt werden, sollen für die Betroffenen nachvollziehbar und verständlich sein.

Anderseits sollen Verantwortliche und Auftragsverarbeiter auch in der Lage sein Rechenschaft gegenüber den für sie zuständigen Aufsichtsbehörden abzulegen. Es soll nachgewiesen werden können, dass den Anforderungen der DSGVO entsprochen wird.

Welche Vorgänge müssen im Verarbeitungsverzeichnis aufgeführt werden?

In dem Verzeichnis müssen alle ganz oder teilweise automatisierte Verarbeitungen sowie nichtautomatisierte Verarbeitungen personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, aufgeführt werden.

Verantwortliche müssen wissen, dass jede Tätigkeit, die im Zusammenhang mit der Verarbeitung personenbezogener Daten steht, dort hinterlegt werden muss.

Für jede einzelne Verarbeitungstätigkeit muss eine neue Beschreibung angefertigt werden. Findet also eine Verarbeitung bereits bekannter personenbezogenen Daten unter einem anderen Zweck statt, so muss dies in einem neuen Vorgang notiert werden.

Wer muss ein Verfahrensverzeichnis führen?

Die Pflicht zum Führen eines Verfahrensverzeichnisses trifft grds. jeden „Verantwortlichen“. Dies betrifft sowohl Behörden und Unternehmen, als auch natürliche Personen und Vereine, wenn eine Verarbeitung personenbezogener Daten durchgeführt wird.

Auch Auftragsverarbeiter nach Art. 4 Nr.8 DSGVO, also diejenigen, die im Auftrag für Sie personenbezogene Daten verarbeiten, müssen nach Art. 30 Abs. 2 DSGVO ein Verfahrensverzeichnis führen.

Für Sie als Verantwortliche gilt: Verantwortliche und Auftragsverarbeiter müssen ein solches Verzeichnis selbst erstellen und führen. Dies ist gerade nicht Aufgabe eines internen oder externen Datenschutzbeauftragten.

Gibt es Ausnahmen von der Pflicht zur Führung eines Verfahrensverzeichnisses?

Ja, es gibt enge umschriebene Ausnahmen, die von dieser Pflicht befreien.

Die DSGVO sieht bestimmte Eigenschaften vor bei deren Erfüllung ein Verfahrensverzeichnis geführt werden muss. Liegt eine der Eigenschaften vor, so muss ein Verfahrensverzeichnis zwingend geführt werden:

Ein Verfahrensverzeichnis muss nach Art. 30 Abs. 5 DSGVO nur geführt werden, wenn

1. mindestens 250 Mitarbeiter beschäftigt werden oder
2. die Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt (bspw.: Bonitätsscoringverfahren, Betrugspräventionsverfahren, Videoüberwachung) oder
3. eine Verarbeitung besonders sensibler Daten nach Artikel 9 Absatz 1 erfolgt (bspw. Religionszugehörigkeit, sexuelle Orientierung etc.) oder
4. eine Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Artikels 10 erfolgt
5. die Verarbeitung nicht nur gelegentlich erfolgt.

Das größte Problem für Privatpersonen und kleinere Unternehmen ergibt sich daraus, dass sie nicht sicher sein können, wann eine Verarbeitung personenbezogener Daten gelegentlich oder bereits regelmäßig erfolgt.

Wann liegt eine gelegentliche oder regelmäßige Datenverarbeitung vor?

Von einer gelegentlichen Datenverarbeitung spricht man, wenn

• die Verarbeitung in großen Zeitabständen erfolgt oder
• die Verarbeitung als unvorhersehbare Folge des eigentlichen Betriebs erfolgt.

Von einer regelmäßigen Datenverarbeitung spricht man, wenn

• fortlaufend oder in bestimmten Abständen während eines bestimmten Zeitraums Daten verarbeitet werden oder
• Daten immer wieder oder wiederholt zu bestimmten Zeitpunkten verarbeitet werden oder
• Daten ständig verarbeitet werden.

Können Sie einen der letztgenannten Punkte bejahen, liegt eine regelmäßige Datenverarbeitung vor.

Folge: Ein Verfahrensverzeichnis muss geführt werden.

Wie muss ein Verfahrensverzeichnis aussehen?

1. a) Formelle Anforderungen

• Schrift: In Deutschland gilt, dass das Verzeichnis in deutscher Sprache erstellt werden muss.

• Form: 30 Abs. 3 DSGVO: das Verzeichnis muss schriftlich geführt werden; dies schließt aber nicht aus, dass es auch nur elektronisch geführt werden darf (§ 3a Abs. 2 Satz 1VwVfG).

• Um Änderungen nachvollziehen zu können (Änderung des Verantwortlichen, Änderung des Datenschutzbeauftragten etc.), sollten Sie Änderungen ebenfalls in einer

Änderungshistorie festhalten.

1. b) Inhaltliche Anforderungen

Darüber hinaus muss das Verfahrensverzeichnis eines Verantwortlichen die folgenden Angaben enthalten:

Das Verfahrensverzeichnis eines Auftragsverarbeiters muss folgende Angaben enthalten:

Welche Schritte sind vorab notwendig, um ein Verfahrensverzeichnis zu erstellen?

Ohne sich zuvor im Klaren zu sein auf welche Weise und in welchem Umfang bei Ihnen personenbezogene Daten verarbeitet werden, kann ein Verfahrensverzeichnis nicht erstellt werden. Die folgende Checkliste hilft Ihnen bei der Informationssammlung:

• Nutze ich Auftragsverarbeitungsverträge? Entsprechen diese der DSGVO?
• Welche Anwendungen setze ich ein bei denen es zu einer Verarbeitung personenbezogener Daten kommt?
• Sind meine Dokumentationssysteme zuverlässig? Erfolgt die Dokumentation vollständig? Bestehen mögliche Sicherheitsrisiken?
• Übertrage ich personenbezogene Daten in Drittländer?

Wann liegen Verstöße vor?

Verstöße liegen vor, wenn

1. ein Verfahrensverzeichnis nicht oder nicht vollständig geführt wird, obwohl die Pflicht dazu besteht oder
2. ein Verfahrensverzeichnis trotz Aufforderung durch die Aufsichtsbehörde nicht vorgelegt wird.

Was droht mir im Falle eines Verstoßes?

Im Fall eines Verstoßes drohen Geldbußen in Höhe von bis zu 10.000.000 € oder bis zu 2% des erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres.

Verarbeitungsverzeichnis: viel Arbeit ohne Nutzen?

Ganz klar: das Verfahrensverzeichnis bedeutet zusätzliche Arbeit.

Durch den großen Umfang an Angaben, die dort hinterlegt werden müssen, bietet das Verzeichnis darüber hinaus auch eine Möglichkeit für jeden Verantwortlichen:

Sie können das Verarbeitungsverzeichnis nutzen, um gleichzeitig weitere durch die DSGVO auferlegte Pflichten zu erfüllen.

Dies ist möglich, indem Sie die dort zwingend geforderten Angaben möglichst ausführlich darlegen und zusätzlich weitere Angaben in das Verzeichnis aufnehmen. Dies ist nicht schädlich, sondern kann Arbeit ersparen.

Voraussetzung dafür ist, dass das Verzeichnis entsprechend ausführlich gestaltet wird.

Folgende Pflichten können darin zusätzlich erfüllt werden:

• Pflicht zur Darlegung der Verarbeitungszwecke, Art. 5 Abs. 1 lit. b) DSGVO
• Nachweis der Rechtmäßigkeit der Verarbeitung, Art. 5 Abs. 1 lit. a) DSGVO
• Nachweis der Datenminimierung, Art. 5 Abs. 1 lit. c) DSGVO
• Nachweis der Richtigkeit und Aktualität der Daten Art. 5 Abs. 1 lit. d) DSGVO
• Pflicht zur Darlegung der Betroffenenrechte, Art. 12 DSGVO
• Nachweis über geeignete technische und organisatorische Maßnahmen, Art. 24 Abs. 1, Art. 32 DSGVO

Anhand des Verfahrensverzeichnis kann auch abgeleitet werden, ob es einer Datenschutzfolgenabschätzung nach Art. 35 DSGVO bedarf und das Verzeichnis kann dem Datenschutzbeauftragten als Basis für seine Aufgabenerfüllung dienen.

Fazit

In den meisten Fällen muss ein Verfahrensverzeichnis geführt werden. Dabei soll das Verzeichnis nicht nur als Pflicht, sondern als Gelegenheit gesehen werden, um sich Arbeit zu ersparen.

Wir helfen Ihnen hierbei und bieten Ihnen Muster und ausführliche Anleitungen, mit denen Sie Ihr eigenes Verfahrensverzeichnis erstellen können.