Viele Wege führen nach Rom: Das Verzeichnis der Verarbeitungstätigkeiten

VVT

Was das sog. Verzeichnis der Verarbeitungstätigkeiten (VVT) angeht, dürften tatsächlich nicht ALLE Wege, aber doch zumindest VIELE Wege nach Rom führen. Obwohl ein VVT nicht erst seit Wirksamwerden der DS-GVO von den allermeisten Daten verarbeitenden Stelle (Verantwortlichen) geführt werden muss, gibt es doch immer noch viel Unwissen, Halbwissen und Missverständnisse zu diesem Thema. Dabei gehen die Meinungen auch bzgl. der tatsächlichen Erstellung eines VVT oft auseinander:
– Was gehört in ein VVT, wie detailliert muss es sein?
– Muss ich überhaupt ein VVT führen?
– Wer führt das VVT?

Nach Art. 30 Abs. 1 DS-GVO muss jeder Verantwortliche ein „Verzeichnis von Verarbeitungstätigkeiten“ (im Folgenden abgekürzt: „VVT“) führen. Das Verzeichnis enthält:
– einige allgemeine Angaben zum Verantwortlichen (Art. 30 Abs. 1 lit a DS-GVO),
– eine Auflistung aller „Verarbeitungen“ (Art. 4 Ziff. 2 DS-GVO), die in seinem Zuständigkeitsbereich liegen,
– mit spezifischen Angaben zu den einzelnen Verarbeitungstätigkeiten (Zwecke, Datenkategorien, Betroffenenkategorien, Empfänger, Drittlandübermittlungen, Löschfristen, technisch/organisatorische Maßnahmen Art. 30 Abs. 1 lit b – g DS-GVO).

Die deutschen Aufsichtsbehörden sehen das VVT als zentralen Bestandteil der Dokumentation und als „Herzstück jedes Datenschutzkonzeptes“ (vgl. https://lfd.niedersachsen.de/download/149301 , S.11) , mit dem insbesondere auch zusätzlich:
– die Festlegung der Verarbeitungszwecke nach Art. 5 Abs. 1 lit. b DS-GVO, – die geeigneten technischen und organisatorischen Maßnahmen nach Art. 24 Abs. 1 und Art. 32 DS-GVO,
– die Notwendigkeit und die Durchführung von Datenschutzfolgenabschätzung nach Art. 35 DS-GVO dokumentiert werden können und gehen damit über die Anforderungen des Art. 30 Abs. 1 DS-GVO hinaus.

Da ist es hilfreich, wenn Aufsichtsbehörden nicht nur Muster zur Verfügung stellen, die dem interessierten Neuling eine sinnvolle Herangehensweise vorstellen, was das Layout eines VVT angeht, sondern das Muster auch mit „Leben füllen“, damit der Leser ein „Gefühl“ bzgl. des Abstraktionsgrads, oder eben auch des Konkretisierungsgrads eines VVT bekommt.

Bereits zum Wirksamwerden der DS-GVO verhalf das BayLDA mit einer Vielzahl von „ausgefüllten Mustern“, die aus der Perspektive unterschiedlicher verantwortlicher Stellen ausgefüllt waren, für mehr Klarheit, wie ein VVT aussehen kann. Die Ausgestaltung in einer niederschwelligen Tabellenform zeigt zum einen, dass je nach Komplexität der Verarbeitungen auch Tabellen oder Excel eine Möglichkeit sein können, um sich und anderen einen Überblick über die wesentlichen Verarbeitungstätigkeiten zu verschaffen. Zum anderen lässt sich anhand der Muster recht gut erkennen, welche Granularität sich zumindest das BayLDA bei einem VVT vorstellt. Auch die Datenschutzstelle Liechtenstein hat ein ausgefülltes Muster für ein Unternehmen und einen Verein.

Spannend zu sehen ist es auch, wie der Europäische Datenschutzbeauftragte (EDSB) die Anforderungen des Art. 30 DS-GVO umgesetzt hat. Denn wie alle anderen Organe, Einrichtungen und sonstigen Stellen der EU (Organe und Einrichtungen der EU) verarbeitet auch der EDSB personenbezogenen Daten und hat daher ein VVT zu führen. Das VVT des EDSB ist ein schönes Beispiel dafür, wie das VVT auch per HTML und die Nutzung von Hyperlinks übersichtlich im Intranet eines Unternehmens umgesetzt werden könnte.

Auch in der Videoreihe des LfDI Baden-Württemberg werden die grundlegenden Informationen rund um das Thema VVT sehr konkret vermittelt und erläutert, wie ein VVT praktisch umgesetzt werden kann: Warum müssen Verantwortliche ein Verarbeitungsverzeichnis pflegen, welche Inhalte muss es haben und wieso kann ein sorgfältiges Verzeichnis sogar Arbeit sparen? Diese und weitere Fragen werden in dem Video beantwortet.

(Foto: Chris – stock.adobe.com)






Letztes Update:03.01.22

  • Verzeichnis von Verarbeitungstätigkeiten

    Verzeichnis von Verarbeitungstätigkeiten

    Seminar

    2022-09-15, 08:00 | Köln

    589.05 € Mehr erfahren
  • VW Kamerafahrt

    Millionen-Bußgeld wegen nicht datenschutzkonformer Forschungsfahrten

    Die Landesbeauftragte für den Datenschutz (LfD) Niedersachsen hat gegen die Volkswagen Aktiengesellschaft eine Geldbuße nach Art. 83 Datenschutz-Grundverordnung (DS-GVO) in Höhe von 1,1 Millionen Euro festgesetzt. Nach Angabe der LfD Niedersachsen sind Ursache des Bußgelds mehrere Verstöße gegen datenschutzrechtliche Bestimmungen in Zusammenhang mit dem Einsatz eines Dienstleisters bei Forschungsfahrten für ein Fahrassistenzsystem zur Vermeidung von

    Mehr erfahren
  • Wächter-Modus Tesla

    „Wächter-Modus“ von Tesla-Fahrzeugen in der Kritik

    Die Firma Tesla bewirbt ihre Fahrzeuge unter anderem damit, dass diese mehrere erweiterte Schutzfunktionen bieten, die einfach zu aktivieren sind. Über das Touchscreen des Fahrzeugs wird dem Fahrer bspw. Zugriff über „Fahrzeug“> „Sicherheit“ auf die einzelnen Funktionen gewährt, um sie einzuschalten.Eines dieser Funktionen ist der sog. „Wächter-Modus“, den Tesla auf seiner Webseite wie folgt beschreibt:„Der

    Mehr erfahren
  • Betroffenenrechte

    Handlungsoptionen und Erfolgsaussichten für Betroffene von Datenschutzverstößen

    Die Einführung der DS-GVO geht mit einer bewussten Stärkung der Betroffenenrechte einher. „Ein unionsweiter wirksamer Schutz personenbezogener Daten erfordert die Stärkung und präzise Festlegung der Rechte der betroffenen Personen“ heißt es daher ausdrücklich in Erwägungsgrund (ErwGr) Nr. 11. Hauptpfeiler der neuen Betroffenenrechte sind neben dem strengeren Haftungsregime und den neu eingeführten Einzelansprüchen vor allem die

    Mehr erfahren