Verzeichnis der Verarbeitungstätigkeiten: Was ist bei der Pflege zu beachten?
Behörden und Unternehmen müssen grundsätzlich ein Verzeichnis über ihre Verarbeitungstätigkeiten (VVT) führen (Art. 30 DS-GVO). Um das Erstellen dieser Verzeichnisse zu erleichtern, hat die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) einheitliche Hinweise herausgegeben und entsprechende Musterformulare für Verantwortliche und für Auftragsverarbeiter entwickelt. Zudem hat die DSK ein Kurzpapier veröffentlicht, welches die wichtigsten Punkte zusammenfasst. Der LfDI Baden-Württemberg hat gar ein Video-Anleitung zum Thema. Auch Datenschutzverbände wie die GDD, aber auch Branchenverbände wie der BITKOM bieten Hilfestellung zum Thema.
Der Zweck für die Erstellung und das Führen eines ergibt sich aus dem Erwägungsgrund 82 zu Art. 30 DS-GVO. Hiernach sollen der Verantwortliche und der Auftragsverarbeiter „zum Nachweis der Einhaltung dieser Verordnung“ ein Verzeichnis der Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen, führen. Dieses Verzeichnis betrifft sämtliche ganz oder teilweise automatisierte Verarbeitungen sowie nichtautomatisierte Verarbeitungen personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Für jede einzelne Verarbeitungstätigkeit ist eine Beschreibung nach Maßgabe des Art. 30 DS-GVO anzufertigen. Als Verarbeitungstätigkeit wird im Allgemeinen ein Geschäftsprozess auf geeignetem Abstraktionsniveau verstanden.
Nachdem nun fast 5 Jahre ins Land gegangen sind, seit dem die Verantwortlichen (hoffentlich) ein VVT nach Maßgabe des Art. 30 DS-GVO erstellt haben, erläutert der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) im Rahmen seiner fortlaufen Reihe „Aktuelle Kurz-Information“, was Verantwortliche (und auch Auftragsverarbeiter) bei der „Pflege und Aktualisierung“ eines VVT beachten sollten. Das Verzeichnis der Verarbeitungstätigkeiten will nämlich regelmäßig gepflegt werden.
Das aktuelle Papier des BayLfD zeigt auf, worauf dabei zu achten ist.
Dabei geht der BayLfD auch auf Themen ein, wie bspw. wer eigentlich für „die Verwaltung“ eines VVT zuständig ist. Oft geht unter, dass Verantwortliche ihren Datenschutzbeauftragten zwar die zentrale Verwaltung des Verarbeitungsverzeichnisses zur Aufgabe machen können, also das reine „Befüllen“ der Felder eines – analog oder digital – vorgehaltenen Formulars – Die Inhalte jedoch muss der Verantwortliche aber selbst erarbeiten (lassen).
(Foto: FAMILY STOCK – stock.adobe.com)
Verwandte Produkte
Das könnte Sie auch interessieren
-
Folge 96: Legal AI zwischen Vollkornbrot und Burger: Warum generative KI nicht alles ist
„Es kommt darauf an.“ Das ist eine Lieblingsantwort von Juristen. Sie ist oft unbefriedigend, aber ebenso oft richtig.Bei der Frage, ob und wofür man in der Rechtsberatung ein digitales Hilfsmittel einsetzt – etwa ein sogenanntes deterministisches Expertensystem, das sich mit Vollkornbrot vergleichen lässt, oder eine generative KI, die eher einem „AI-Burger“ entspricht –, kommt es
Mehr erfahren -
Umgang mit E-Mail-Postfächern bei Abwesenheit und Ausscheiden von Beschäftigten
Der Umgang mit personalisierten E-Mail-Konten ausgeschiedener oder länger abwesender Mitarbeitender zählt zu den häufig nachgefragten Beratungsthemen im Beschäftigtendatenschutz. Im Zentrum steht die Frage, ob und unter welchen Voraussetzungen Arbeitgeber:innen auf betroffene Postfächer zugreifen dürfen. Prävention durch klare Prozesse Verantwortliche sollten datenschutzrechtlichen Konflikten bereits durch organisatorische Weichenstellungen vorbeugen. Zu prüfen ist zunächst, ob personalisierte Postfächer überhaupt
Mehr erfahren -
Auskunftsrecht nach Art. 15 DS-GVO gegenüber Rechtsanwält:innen
Beschwerden über unbeantwortete oder unvollständig beantwortete Auskunftsersuchen gegenüber Kanzleien und Einzelanwält:innen gehören zu den regelmäßig auftretenden Fallkonstellationen der Aufsichtspraxis. Im Fokus steht zumeist die Frage der Reichweite des Auskunftsrechts betroffener Personen gegenüber Berufsgeheimnisträger:innen. Grundsatz: DS-GVO gilt auch für Rechtsanwält:innen Rechtsanwält:innen unterliegen als Verantwortliche im Sinne der DS-GVO grundsätzlich uneingeschränkt deren Vorgaben und müssen geeignete Maßnahmen
Mehr erfahren
