Verzeichnis der Verarbeitungstätigkeiten: Was ist bei der Pflege zu beachten?
Behörden und Unternehmen müssen grundsätzlich ein Verzeichnis über ihre Verarbeitungstätigkeiten (VVT) führen (Art. 30 DS-GVO). Um das Erstellen dieser Verzeichnisse zu erleichtern, hat die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) einheitliche Hinweise herausgegeben und entsprechende Musterformulare für Verantwortliche und für Auftragsverarbeiter entwickelt. Zudem hat die DSK ein Kurzpapier veröffentlicht, welches die wichtigsten Punkte zusammenfasst. Der LfDI Baden-Württemberg hat gar ein Video-Anleitung zum Thema. Auch Datenschutzverbände wie die GDD, aber auch Branchenverbände wie der BITKOM bieten Hilfestellung zum Thema.
Der Zweck für die Erstellung und das Führen eines ergibt sich aus dem Erwägungsgrund 82 zu Art. 30 DS-GVO. Hiernach sollen der Verantwortliche und der Auftragsverarbeiter „zum Nachweis der Einhaltung dieser Verordnung“ ein Verzeichnis der Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen, führen. Dieses Verzeichnis betrifft sämtliche ganz oder teilweise automatisierte Verarbeitungen sowie nichtautomatisierte Verarbeitungen personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Für jede einzelne Verarbeitungstätigkeit ist eine Beschreibung nach Maßgabe des Art. 30 DS-GVO anzufertigen. Als Verarbeitungstätigkeit wird im Allgemeinen ein Geschäftsprozess auf geeignetem Abstraktionsniveau verstanden.
Nachdem nun fast 5 Jahre ins Land gegangen sind, seit dem die Verantwortlichen (hoffentlich) ein VVT nach Maßgabe des Art. 30 DS-GVO erstellt haben, erläutert der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) im Rahmen seiner fortlaufen Reihe „Aktuelle Kurz-Information“, was Verantwortliche (und auch Auftragsverarbeiter) bei der „Pflege und Aktualisierung“ eines VVT beachten sollten. Das Verzeichnis der Verarbeitungstätigkeiten will nämlich regelmäßig gepflegt werden.
Das aktuelle Papier des BayLfD zeigt auf, worauf dabei zu achten ist.
Dabei geht der BayLfD auch auf Themen ein, wie bspw. wer eigentlich für „die Verwaltung“ eines VVT zuständig ist. Oft geht unter, dass Verantwortliche ihren Datenschutzbeauftragten zwar die zentrale Verwaltung des Verarbeitungsverzeichnisses zur Aufgabe machen können, also das reine „Befüllen“ der Felder eines – analog oder digital – vorgehaltenen Formulars – Die Inhalte jedoch muss der Verantwortliche aber selbst erarbeiten (lassen).
(Foto: FAMILY STOCK – stock.adobe.com)
Verwandte Produkte
Das könnte Sie auch interessieren
-
Interessenkonflikte bei DSB in (zusätzlich) leitender Funktion
Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) hat zwei Fälle geprüft, in denen betriebliche Datenschutzbeauftragte gleichzeitig in leitenden Positionen innerhalb ihrer Unternehmen tätig waren. Konkret handelte es sich um Funktionen als Leiter der IT-Abteilung bzw. der Konzernsicherheit. Beide Fälle wurden aufgrund von Beschwerden geprüft und im Rahmen aufsichtsbehördlicher Verfahren behandelt. Rechtlicher Hintergrund Nach Art. 37
Mehr erfahren -
Datenschutzrechtliche Anforderungen an Rauchwarnmelder mit Klima-Monitoring
Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) hat berreits Ende 2024 Stellung zu Rauchwarnmeldern mit integrierter Klimaüberwachung bezogen. Diese Geräte erfassen neben Rauchentwicklung auch Raumtemperatur und Luftfeuchtigkeit und übermitteln die Daten an externe Dienstleister, die sie analysieren und den Bewohner*innen beispielsweise Lüftungsempfehlungen geben. Zentrale Datenschutzaspekte: Empfehlungen der LDI NRW: Auch die Sächsische Datenschutz-
Mehr erfahren -
Data Act: Neue Anforderungen an Datenzugang und Datenschutz
Am 12. September 2025 wird der Data Act der Europäischen wirksam. Ziel der Verordnung ist es, den Zugang zu und die Nutzung von Daten, insbesondere aus vernetzten Geräten, zu fördern. Hersteller und Anbieter entsprechender Produkte werden künftig verpflichtet, sowohl nicht-personenbezogene als auch personenbezogene Daten Dritten auf Anforderung bereitzustellen – etwa Nutzenden oder Dienstleistern. Dies betrifft
Mehr erfahren
