Wann ist ein Verarbeitungsverzeichnis notwendig?

Nach Art. 30 der Datenschutz-Grundverordnung (DSGVO) muss jeder Verantwortliche ein Verzeichnis aller Verarbeitungstätikeiten, die Ihrer Zuständigkeit unterliegen, führen. Das Verzeichnis muss nicht öffentlich sein, aber auf Anfrage der Aufsichtsbehörde zur Verfügung gestellt werden. Grundsätzlich muss also jeder ein Verarbeitungsverzeichnis führen. Es gibt allerdings Ausnahmen für kleinere Unternehmen.

Was muss im Verarbeitungsverzeichnis stehen?

In dem Verzeichnis müssen – soweit vorhanden – folgende Angaben enthalten sein:

• Name und Kontaktdaten des Verantwortlichen, des gemeinsamen Verantwortlichen (nach Art. 26 DSGVO), des Vertreters und des Datenschutzbeauftragten
• Zwecke der Verarbeitung
• Kategorien betroffener Personen und Daten
• Kategorien von Empfängern
• Drittländer und internationale Organisationen, in die übermittelt wird, inkl. Dokumentierung geeigneter Garantien (nach Art. 49 DSGVO)
• Fristen für Löschung der verschiedenen Datenkategorien
• allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (nach Art. 32 DSGVO)

Wann muss kein Verarbeitungsverzeichnis erstellt werden?

Ausnahmen für die Erstellung eines Verarbeitungsverzeichnisses geben Erwägungsgrund 13 und Art. 30 Abs. 5 DSGVO. Einrichtungen oder Unternehmen, die weniger als 250 Mitarbeiter beschäftigen, müssen kein Verzeichnis führen. Die Ausnahme gilt allerdings nur, solange die Risiken für betroffene Personen nicht überwiegen, die Verarbeitung nur gelgentlich erfolgt und solange keine personenbezogenen Daten besonderer Kategorie verarbeitet werden. Personenbezogene Daten besonderer Kategorie sind sensible Daten, die Auskunft über rassische und ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gesundheit, sexuelle Orientierung und Gewerkschaftszugehörigkeit geben. Besondere Kategorien personenbezogener Daten sind auch genetische Daten und biometrische Daten.

—

Bildquelle(n): Giammarco Boscaro / Unsplash

Nils Wessel

In der IT aufgewachsen; im Marketing zuhause. Zertifizierter Datenschutzbeauftragter, Unternehmergeist und kreativer Content Creator.

business-mit-kopf.de