Das Verzeichnis von Verarbeitungstätigkeiten, auch Verarbeitungsverzeichnis genannt, ist die in Artikel 30 DSGVO geregelte Dokumentation der Verarbeitungstätigkeiten, für die ein Verantwortlicher zuständig ist, sowie der Kategorien von Tätigkeiten der Verarbeitung, die ein Auftragsverarbeiter im Auftrag eines Verantwortlichen durchführt.
Auf einen Blick
Zur Führung sind Verantwortliche, Auftragsverarbeiter und gegebenenfalls ihre Vertreter verpflichtet; Unternehmen oder Einrichtungen mit weniger als 250 Mitarbeitern sind nur ausgenommen, wenn die Verarbeitung kein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, nur gelegentlich erfolgt und weder besondere Datenkategorien noch Daten über strafrechtliche Verurteilungen und Straftaten einschließt; die Pflicht besteht bereits, wenn mindestens eine dieser drei Fallgruppen erfüllt ist (Art. 30 Abs. 1, 2 und 5 DSGVO; Kurzpapier Nr. 1 der DSK).
Das Verzeichnis ist schriftlich zu führen, was auch in einem elektronischen Format erfolgen kann (Art. 30 Abs. 3 DSGVO).
Nach Kurzpapier Nr. 1 der Datenschutzkonferenz können eine fehlende oder nicht vollständige Führung oder das Nichtvorlegen nach Aufforderung durch die Aufsichtsbehörde nach Art. 83 Abs. 4 lit. a DSGVO mit einer Geldbuße sanktioniert werden.
Was ist Verzeichnis von Verarbeitungstätigkeiten?
Das Verzeichnis eines Verantwortlichen erfasst alle Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen, das eines Auftragsverarbeiters alle Kategorien von im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung. Zur Führung sind nach Art. 30 Abs. 1 und 2 DSGVO Verantwortliche und Auftragsverarbeiter sowie gegebenenfalls ihre Vertreter verpflichtet; nach Art. 30 Abs. 5 DSGVO gilt das nicht für Unternehmen oder Einrichtungen, die weniger als 250 Mitarbeiter beschäftigen, aber nur, wenn die Verarbeitung kein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, nur gelegentlich erfolgt und weder besondere Datenkategorien nach Art. 9 Abs. 1 noch Daten über strafrechtliche Verurteilungen und Straftaten einschließt; nach Kurzpapier Nr. 1 der Datenschutzkonferenz besteht die Pflicht bereits, wenn mindestens eine dieser Fallgruppen erfüllt ist.
Das Verzeichnis ist nach Art. 30 Abs. 3 DSGVO schriftlich zu führen, was auch in einem elektronischen Format erfolgen kann. Nach den Hinweisen der Datenschutzkonferenz ist es das Ziel, dass die Aufsichtsbehörde die Verarbeitungsvorgänge anhand dieser Verzeichnisse kontrollieren kann. Ein Versicherer dokumentiert im Verzeichnis von Verarbeitungstätigkeiten unter anderem die Verarbeitung von Antrags- und Schadensdaten und stellt das Verzeichnis der Aufsichtsbehörde auf Anfrage zur Verfügung.
Wie funktioniert Verzeichnis von Verarbeitungstätigkeiten?
Im Verzeichnis eines Verantwortlichen stehen nach Art. 30 Abs. 1 DSGVO unter anderem die Zwecke der Verarbeitung, eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten sowie, wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien. Der Auftragsverarbeiter führt ein Verzeichnis zu allen Kategorien von im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung (Art. 30 Abs. 2 DSGVO).
Auf Anfrage stellen der Verantwortliche oder der Auftragsverarbeiter sowie gegebenenfalls der Vertreter des Verantwortlichen oder des Auftragsverarbeiters der Aufsichtsbehörde das Verzeichnis zur Verfügung (Art. 30 Abs. 4 DSGVO). Beschränkt die Aufsichtsbehörde ihre Untersuchungen auf bestimmte Verarbeitungstätigkeiten, sind nach den Hinweisen der Datenschutzkonferenz nach Maßgabe der Erforderlichkeit nur die dafür relevanten Abschnitte des Verzeichnisses vorzulegen. Eine Möglichkeit für jedermann, in das Verzeichnis Einsicht zu nehmen, ist nach der DSGVO nicht vorgesehen, wie das Kurzpapier Nr. 1 der Datenschutzkonferenz festhält. Das aus dem bisherigen BDSG bekannte Verfahrensverzeichnis (§ 4g Abs. 2 und 2a BDSG) wird nach demselben Kurzpapier mit der DSGVO durch das Verzeichnis aller Verarbeitungstätigkeiten abgelöst.
Wer muss ein Verzeichnis von Verarbeitungstätigkeiten führen?
| Adressat oder Fall | Was das bedeutet |
|---|---|
| Verantwortlicher (Art. 30 Abs. 1 DSGVO) | Jeder Verantwortliche und gegebenenfalls sein Vertreter führen ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen. |
| Auftragsverarbeiter (Art. 30 Abs. 2 DSGVO) | Jeder Auftragsverarbeiter und gegebenenfalls sein Vertreter führen ein Verzeichnis zu allen Kategorien von im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung. |
| Ausnahme (Art. 30 Abs. 5 DSGVO) | Die Pflichten gelten nicht für Unternehmen oder Einrichtungen, die weniger als 250 Mitarbeiter beschäftigen, sofern keine der drei Rückausnahmen zutrifft. |
| Rückausnahmen (Art. 30 Abs. 5 DSGVO) | Die Ausnahme gilt nicht, wenn die Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien nach Art. 9 Abs. 1 bzw. Daten über strafrechtliche Verurteilungen und Straftaten einschließt. |
| Reichweite der Rückausnahmen (Kurzpapier Nr. 1 der DSK) | Die Pflicht zur Führung eines Verzeichnisses besteht bereits dann, wenn mindestens eine der genannten Fallgruppen erfüllt ist. |
Beispiele aus der Praxis
- Ein Auftragsverarbeiter führt nach Art. 30 Abs. 2 DSGVO ein Verzeichnis zu den im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung.
- Beschränkt die Aufsichtsbehörde ihre Untersuchungen auf bestimmte Verarbeitungstätigkeiten, sind nach den Hinweisen der Datenschutzkonferenz nur die dafür relevanten Abschnitte des Verzeichnisses vorzulegen, und zwar nach Maßgabe der Erforderlichkeit.
- Ein Versicherer hält im Verzeichnis von Verarbeitungstätigkeiten unter anderem die Verarbeitung von Antrags- und Schadensdaten fest und stellt das Verzeichnis der Aufsichtsbehörde auf Anfrage zur Verfügung.
