Die DSGVO und das Verzeichnis von Verarbeitungstätigkeiten: Warum, wer, was und wie

Seit Wochen, teils sogar seit Monaten hören Sie davon, und nun ist die Datenschutz-Grundverordnung (DSGVO) am 25. Mai 2018 wirksam geworden. Zu den neuen Maßnahmen, die diese EU-Verordnung vorschreibt, gehört die Pflicht für Verantwortliche oder ihre Auftragsverarbeiter, ein Verzeichnis von Verarbeitungstätigkeiten zu führen.

Warum ein Verzeichnis von Verarbeitungstätigkeiten führen?

Zunächst, weil das Verzeichnis die bisherige Pflicht zur vorherigen Meldung ersetzt: Bislang mussten Verarbeitungen vorab bei der Aufsichtsbehörde (z. B. der DPA in Belgien, der CNIL in Frankreich, der Autoriteit Persoonsgegevens in den Niederlanden, der AEPD in Spanien usw.) gemeldet werden, was einen übermäßigen Verwaltungsaufwand verursacht. Laut DSGVO können Verantwortliche oder ihre Auftragsverarbeiter mit einem ordnungsgemäß geführten Verzeichnis etwa bei einer Prüfung nachweisen, dass ihre Verarbeitungstätigkeiten den Grundsätzen der Verordnung entsprechen. Ab sofort liegt der Schwerpunkt auf der Verantwortung der verarbeitenden Stelle (auch beauftragter Auftragsverarbeiter). Führt sie dieses Verzeichnis korrekt, hat sie einen Überblick über ihre Verarbeitungsvorgänge und kann so selbst überwachen und sicherstellen, dass sie die neuen gesetzlichen Pflichten erfüllt. Das Verzeichnis von Verarbeitungstätigkeiten ist daher ein wertvolles Instrument, um Compliance sicherzustellen, und ganz allgemein ein guter Ausgangspunkt für den Compliance-Prozess.

Wer muss ein Verzeichnis von Verarbeitungstätigkeiten führen?

Grundsätzlich gilt die Pflicht zum Führen eines Verzeichnisses von Verarbeitungstätigkeiten für alle Verantwortlichen (und gegebenenfalls ihre Vertreter) sowie für ihre Auftragsverarbeiter. Die Verordnung sieht allerdings eine Ausnahme vor, die in der Praxis sehr begrenzt ist: Unternehmen oder Organisationen mit weniger als 250 Beschäftigten müssen kein Verzeichnis führen, außer in folgenden Fällen:

• Die Verarbeitung erfolgt nicht nur gelegentlich, also regelmäßig. Laut den jüngsten Empfehlungen der belgischen Datenschutzbehörde fallen unter „regelmäßig“ zum Beispiel Datenverarbeitungen im Zusammenhang mit Kundenverwaltung, Lieferantenverwaltung und sogar Personalverwaltung (Human Resources)
• Die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen
• Die Verarbeitung betrifft sensible Daten (etwa Gesundheitsdaten, Daten zur sexuellen Orientierung, zu religiösen, weltanschaulichen oder politischen Überzeugungen usw.)
• Die Verarbeitung betrifft strafrechtlich relevante Daten (z. B. strafrechtliche Verurteilungen)

In den meisten Fällen ist das Verzeichnis von Verarbeitungstätigkeiten also Pflicht. In jedem Fall ist es dringend zu empfehlen, denn es hilft im Compliance-Prozess sicherzustellen, dass alle gesetzlichen Pflichten erfüllt sind.

Was muss das Verzeichnis enthalten?

Welche Angaben das Verzeichnis enthalten muss, hängt davon ab, ob Sie als „Verantwortlicher“ oder als „Auftragsverarbeiter“ handeln. Wenn Sie „gemeinsam Verantwortlicher“ für die Verarbeitung sind, muss Ihr Verzeichnis mindestens folgende Angaben enthalten:

• Ihren Namen und Ihre Kontaktdaten sowie die des Datenschutzbeauftragten (DSB)
• Eine Beschreibung der Zwecke der Verarbeitung, also der Gründe, aus denen die Daten verarbeitet werden (z. B. Kundenverwaltung, Personalverwaltung usw.)
• Eine Beschreibung der Kategorien verarbeiteter Daten (z. B. Identifikationsdaten, Finanzdaten, Standortdaten usw.)
• Eine Beschreibung der Kategorien von Personen, deren Daten verarbeitet werden (z. B. Kundinnen und Kunden, Website-Besucher, Kaufinteressierte, Beschäftigte, Dienstleister, Minderjährige usw.)
• Die Empfänger, denen die Daten offengelegt wurden (einschließlich Empfängern in Ländern außerhalb der EU)
• Gegebenenfalls Übermittlungen der Daten an ein Drittland sowie die Dokumentation geeigneter Garantien für jede Übermittlung
• Die Aufbewahrungsfrist für jede Datenkategorie
• Eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen

Wenn Sie „Auftragsverarbeiter“ sind, muss Ihr Verzeichnis mindestens folgende Angaben enthalten:

• Ihren Namen und Ihre Kontaktdaten sowie die des Verantwortlichen, in dessen Auftrag Sie tätig sind, und gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten (DSB)
• Die Kategorien von Verarbeitungen, die im Auftrag des Verantwortlichen durchgeführt werden
• Gegebenenfalls Übermittlungen der Daten an ein Drittland sowie die Dokumentation geeigneter Garantien für jede Übermittlung
• Eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen

Dies sind die Mindestangaben. Sie können also durchaus weitere Elemente aufnehmen (etwa die Rechtsgrundlage, das Ergebnis der Folgenabschätzung (falls erforderlich) usw.).

Wie wird das Verzeichnis in der Praxis geführt?

Derzeit gibt es kein verbindliches Standardmodell, Sie entscheiden also selbst, wie Sie Ihr Verzeichnis führen. Es muss allerdings schriftlich vorliegen, was auch ein elektronisches Format einschließt. Es muss klar, verständlich und lesbar sein. Die belgische Aufsichtsbehörde (DPA, Data Protection Authority) hat eine Vorlage für das Verzeichnis und einige Empfehlungen auf ihrer Website veröffentlicht.

Was passiert, wenn Sie kein korrektes Verzeichnis führen?

Neben ihren üblichen Befugnissen als Kontrollinstanz (Verwarnungen aussprechen, Datenverarbeitung vorübergehend oder dauerhaft einschränken, Zertifizierungen widerrufen usw.) kann die Aufsichtsbehörde eine Geldbuße von bis zu 10.000 € oder bis zu 2 % Ihres weltweiten Jahresumsatzes verhängen.

Wie wirkt sich die DSGVO auf Ihr Marketing und Ihre Datenerhebung aus?

Die neue europäische Gesetzgebung kommt bald. Da sie beeinflusst, wie Sie Marketing betreiben und Daten erheben, sollten Sie sich und Ihr Unternehmen auf diese große Veränderung vorbereiten. Vorsicht ist besser als Nachsicht!

Demo anfragen