Nach wie vor verfügen viele Unternehmen in Deutschland über keine vollständige DSGVO-Dokumentation – dabei besteht eine gesetzliche Pflicht. Wir zeigen, worauf es beim Verzeichnis von Verarbeitungstätigkeiten ankommt.
Die DSGVO verlangt von Verantwortlichen umfassende Dokumentationspflichten. Nach Erwägungsgrund 82 der DSGVO soll der Verantwortliche „zum Nachweis der Einhaltung dieser Verordnung" ein Verzeichnis von Verarbeitungstätigkeiten führen.
Neu in der DSGVO ist, dass Verantwortliche gemäß Art. 83 Abs. 4 DSGVO das Verzeichnis jederzeit und vollständig für die Aufsichtsbehörden vorhalten müssen. Bei einem Verstoß kann ein Bußgeld verhängt werden.
Zur Führung eines Verfahrensverzeichnisses dürften faktisch alle Unternehmen verpflichtet sein. Zwar beschränkt Art. 30 Abs. 5 DSGVO diese Pflicht dem Wortlaut nach auf Unternehmen ab einer Größe von 250 Mitarbeitern. Verpflichtet sind jedoch auch Unternehmen, die personenbezogene Daten verarbeiten, die mit einem besonderen Risiko verbunden sind, die sensible Daten verarbeiten, oder die personenbezogene Daten nicht nur gelegentlich verarbeiten.
Aus diesen Gründen dürften die Ausnahmeregelungen für die meisten Unternehmen nicht eingreifen – bei einer regelmäßigen Verarbeitung sind praktisch sämtliche Verantwortliche unabhängig von ihrer Mitarbeiterzahl zur Führung eines Verfahrensverzeichnisses verpflichtet.
Das Verfahrensverzeichnis ist durch den Verantwortlichen zu führen. Es mag naheliegen, es zentral führen zu wollen: Auch die Artikel-29-Datenschutzgruppe erachtet es für zulässig, den Datenschutzbeauftragten mit Erstellung, Führung und Pflege zu betrauen. Dabei muss jedoch stets klar sein, dass das Verzeichnis in der Verantwortung des Unternehmens liegt – die Angaben sind durch das Unternehmen bzw. die jeweiligen Fachbereiche beizubringen.
Während das alte Verfahrensverzeichnis in weiten Teilen auf Antrag jedermann zugänglich zu machen war, besteht diese Pflicht bei den Verzeichnissen von Verarbeitungstätigkeiten nur noch gegenüber den Aufsichtsbehörden. Zwischen internen und öffentlichen Verzeichnissen wird also nicht mehr unterschieden.
Die zuständige Aufsichtsbehörde kann die Vorlage verlangen, um die betreffenden Stellen hoheitlich zu kontrollieren. Die Verzeichnisse sind regelmäßig in deutscher Sprache zu führen, § 23 Abs. 1 und 2 Verwaltungsverfahrensgesetz (VwVfG). Zumindest muss das Unternehmen in der Lage sein, von der Aufsichtsbehörde angeforderte Verzeichnisse unverzüglich in deutscher Sprache vorzulegen. Die Verzeichnisse sind gemäß Art. 30 Abs. 3 DSGVO schriftlich zu führen; dies kann auch elektronisch erfolgen. Um Änderungen der Eintragungen nachvollziehen zu können (z. B. wer wann Verantwortlicher oder Datenschutzbeauftragter war), sollte eine Dokumentation der Änderungen mit einer Speicherfrist von einem Jahr erfolgen – dies lässt sich auch aus der Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO herleiten.
Unternehmen, die bereits ein nach §§ 4g Abs. 2, 4e BDSG (alt) vorgeschriebenes Verfahrensverzeichnis führen, können hierauf zurückgreifen und es an die Anforderungen der DSGVO anpassen. Fehlt eine Datenschutzdokumentation bislang vollständig, muss zunächst ermittelt werden, in welchen Fällen personenbezogene Daten von z. B. Kunden, Lieferanten oder Beschäftigten erhoben und verarbeitet werden. Als erster Anhaltspunkt bietet es sich an, alle innerhalb der Systemlandschaft des Unternehmens eingesetzten Anwendungen und Tools aufzulisten, in denen personenbezogene Daten gespeichert werden.
Vereinbaren Sie eine kostenlose Erstberatung – wir finden gemeinsam die passende Lösung.
Kostenlose Erstberatung vereinbaren