Verfahrensverzeichnis

Verfahrensverzeichnis nach DSGVO: eine Pflicht für jedes Unternehmen

Schnellnavigation zu Informationsabschnitten und weiteren Sonderthemen

Was ist ein Verfahrensverzeichnis?

Mit dem Begriff Verfahrensverzeichnis wird ein Element des Datenschutzmanagements bezeichnet, das Verantwortliche und Datensverarbeiter dazu verpflichtet Verarbeitungen von personenbezogenen Daten zu dokumentieren.

Wer muss ein Verfahrensverzeichnis führen?

In der DSGVO gibt es nun eine (teilweise) Befreiung von der Führung der Verfahrensverzeichnisse für kleine Unternehmen. Kleine Unternehmen unter 250 Mitarbeitern müssen nicht mehr jedes Verfahren wo personenbezogene Daten involviert sind beschreiben. Es müssen nur noch Verzeichnisse erstellt werden, die folgende Kriterien erfüllen:

Verfahren, die ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt
Verfahren, die nicht nur gelegentlich erfolgen
Verfahren, deren Verarbeitung besondere Datenkategorien nach Artikel 9 Abs. 1 und die Verarbeitung von pb Daten über strafrechtliche Verurteilungen und Straftaten nach Artikel 10 einschließen.

Was sind die Bestandteile des Verfahrensverzeichnisses in der DSGVO?

In Artikel 30 Abs. 1 der DSGVO ist beschrieben welche Bestandteile ein entsprechendes Verfahrensverzeichnis haben muss:

Name und Kontaktdaten des Verantwortlichen und falls vorhanden andere mit ihm gemeinsam Verantwortliche, der Vertreter des
Verantwortlichen und fallsvorhanden der jeweilige Datenschutzbeauftragte
Zweck der Verarbeitung
Beschreibung der Kategorien der betroffenen Personen und der Kategorien der personenbezogenen Daten
Die Kategorien der Empfänger, denen die Daten offengelegt werden bzw. offen gelegt worden. Dies inkludiert auch Empfänger in Drittstaaten oder internationalen Organisationen.
Die Übermittlung von personenbezogenen Daten in ein Drittland bzw. an eine internationale Organisation inkl. Angbae des Landes bzw. der Organisation. Dazu müssen Angaben entsprechend Artikel 49 Abs. 1 Unterabsatz 2 zu der Datenübermittlung gemacht werden und eine Dokumentation der geeigneten Garantien muss erfolgen.
Lösch- und Sperrfristen
Technische und Organisatorische Maßnahmen entsprechend Artikel 32 Abs. 1.

Wer ist verantwortlich für die Verfahrensverzeichnisse?

Nach Artikel 30 Abs. 1 der DSGVO ist geregelt, dass die Unternehmensleitung die Verantwortung für die Verfahrensverzeichnisse trägt und nicht der betriebliche Datenschutzbeauftragte

Auftragsverarbeiter (Dienstleister, die personenbezogene Daten verarbeiten)

Die Auftragsverarbeiter sind in der DSGVO nach Artikel 30 Abs. 2 dazu verpflichtet Verfahrensverzeichnisse zu erstellen, in denen beschrieben wird, wie sie die Daten für ihre Kunden verarbeiten. Wer unter „Auftragsverarbeiter“ fällt erfahren sie hier.

Dabei muss jedoch nicht für jeden Kunden ein separates Verfahrensverzeichnis erstellt werden. Wenn die Prozesse bei den Kunden identisch sind ist ein Verzeichnis mit dem beschriebenen Prozess ausreichend.

Versionierung bzw. Historie

Durch den Artikel 30 gibt es eine weitere relevante Veränderung gegenüber dem BDSG. Wo es nach BDSG in §4g Abs. 2 Satz 1 i.V.m. §4e Satz 1 grundsätzlich um den aktuellen Stand geht, soll nun den Aufsichtsbehörden die Möglichkeit gegeben werden auch die Historie zu untersuchen.

Dementsprechend ist eine Versionierung unumgänglich und die Verfahrensverzeichnisse sollten in ein umfassendes Dokumentationssystem einfließen.

Verfahrensverzeichnisse einfach erstellen

Mit DSM-Online, der umfangreichen Software für kleine und mittelständische Unternehmen, wird Datenschutzmanagement zum Kinderspiel! Setzen Sie der mühevollen Erstellung eines Verzeichnisses von Verarbeitungstätigkeiten ein Ende. Überzeugen Sie sich selbst und testen Sie DSM-Online 14 lang kostenlos und unverbindlich!

www.dsm-online.eu