Häufige Fragen
Wer muss ein Verzeichnis von Verarbeitungstätigkeiten führen?
Laut DSGVO ist ein Verzeichnis von Verarbeitungstätigkeiten nicht obligatorisch, wenn ein Unternehmen weniger als 250 Mitarbeiter hat.
Es gibt jedoch eine Anzahl von Ausnahmen und in der Regel sind nur wenige Unternehmen von dieser Pflicht ausgenommen. Wenn ein Unternehmen weniger als 250 Mitarbeiter hat, ist ein Verzeichnis unabhängig von der Anzahl der Mitarbeiter immer obligatorisch, wenn die Datenverarbeitung…
- vermutlich ein Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt
- im Zusammenhang mit Verurteilungen und Straftaten steht
- spezielle Kategorien von persönlichen Daten umfasst, die regelmäßig verarbeitet werden (angegeben in Artikel 9 des RGPD): rassische oder ethnische Herkunft, politische Ansichten, religiöse oder philosophische Überzeugungen, Gewerkschaftsmitgliedschaft, genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Daten über die Gesundheit oder Daten über das Sexualleben oder die sexuelle Orientierung einer natürlichen Person
- nur gelegentlich erfolgt
Durch die Gesetzesformulierung ist in der Praxis so gut wie kein Unternehmen von der Führung eines Verzeichnisses von Verarbeitungstätigkeiten ausgenommen. Ein Risiko besteht bei so gut wie jeder Verarbeitung personenbezogener Daten und es ist auch sehr wahrscheinlich, dass Daten (wie Kundendaten, Angestelltendaten etc.) nicht nur gelegentlich verarbeitet werden.
In welchem Format sollte ein Verzeichnis von Verarbeitungsätigkeiten geführt werden?
Das Verzeichnis von Verarbeitungstätigkeiten sollte immer in elektronischer Form geführt werden. Auch wenn das geschriebene Format nach DSGVO möglich wäre, so stellt es doch eine Herausforderung dar, dieses immer aktualisiert zu halten.
Wozu dient ein Verzeichnis von Verarbeitungstätigkeiten?
Das Verzeichnis gibt Ihnen einen Überblick über alle Datenverarbeitungtätigkeiten innerhalb Ihrer Organisation und ermöglichen es daher einfach zu kontrollieren, welche Art von Datenkategorien von wem (welche Abteilungen oder Geschäftsbereiche) und für welche Zwecke verarbeitet werden. Dieses Wissen ermöglicht es Organisationen, interne Verbindungen herzustellen oder Projekte mit gleichen oder gleichwertigen Zielen und/oder Herausforderungen zu verbinden und die Verarbeitungstätigkeiten besser unter Kontrolle zu haben. Das Verzeichnis bietet zudem einen Einblick in die Risiken und die notwendigen Maßnahmen zur Risikominderung, Somit ist es Organisationen möglich, verfügbare persönlichen Daten besser einzusetzen, ohne den Schutz dieser zu gefährden.
