Das hat es mit dem Verzeichnis auf sich
Ihr Unternehmen muss seine Verarbeitungstätigkeiten dokumentieren. Dazu sind alle Verarbeitungstätigkeiten mit bestimmten Informationen zu erfassen.
Für das Verzeichnis eines Verantwortlichen ergibt sich der Inhalt aus Art. 30 Abs. 1 DSGVO. Auftragsverarbeiter brauchen daneben noch ein Verzeichnis mit den von Art. 30 Abs. 2 DSGVO vorgegebenen Inhalten.
Dabei ist wichtig: Es muss nicht jede Verarbeitung erfasst werden. Es geht um Verarbeitungstätigkeiten, sprich ein Bündel von Verarbeitungen, das einem gemeinsamen Zweck dient oder einen Verarbeitungsvorgang bzw. -prozess abbildet.
Ein gutes Verzeichnis macht Ihnen das Leben leichter
Klar ist: Beim Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO handelt es sich nicht einfach nur um eine Sammlung von Informationen zur Verarbeitung personenbezogener Daten in Ihrem Unternehmen.
Vielmehr handelt es sich dabei um ein Arbeitsmittel für Sie als Datenschutzbeauftragten. Das Verzeichnis von Verarbeitungstätigkeiten erfüllt viele Zwecke und hilft Ihnen insbesondere in den folgenden Situationen:
- Es unterstützt Sie beim Beraten
Als Datenschutzbeauftragter sollen Sie Ihr Unternehmen und die Beschäftigten in Datenschutzfragen beraten.
Das ergibt sich aus Art. 39 Abs. 1 Buchst. a DSGVO. Mit einem vollständigen und gut gepflegten Verzeichnis können Sie schnell einen Überblick gewinnen und leichter Ihrem Beratungsauftrag nachkommen.
Schließlich können Sie besser nachvollziehen, wer warum welche personenbezogenen Daten wie verarbeitet. - Die Datenschutz-Folgenabschätzung unterstützen
Gibt es in Ihrem Unternehmen Verarbeitungen mit besonderen Risiken für die Betroffenen, muss eventuell eine Datenschutz- Folgenabschätzung nach Art. 35 DSGVO durchgeführt werden.
In diesem Zusammenhang müssen Sie zwecks Beratung eingebunden werden (vgl. Art. 35 Abs. 2 DSGVO, Art. 39 Abs. 1 Buchst. c DSGVO).
Auch bei angedachten oder geplanten Verarbeitungen sind die für das Verzeichnis erforderlichen Angaben Grundlage für eine durchzuführende Folgenabschätzung. - Sie können Risiken für den Datenschutz leichter identifizieren
Mit den Informationen des Verzeichnisses können Sie schnell erkennen, wo etwa besondere Risiken bei der Verarbeitung personenbezogener Daten lauern können.
Denken Sie hier an die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO (z. B. Gesundheitsdaten) oder die Verarbeitung der personenbezogenen Daten in Drittstaaten ohne angemessenes Schutzniveau. - Sie setzen bei Kontrollen die richtigen Schwerpunkte
Es zählt zu Ihren Aufgaben, die Einhaltung der Regelungen zum Datenschutz zu kontrollieren (Art. 39 Abs. 1 Buchst. b DSGVO).
Mit dem Verzeichnis fällt es Ihnen leichter, die richtigen Schwerpunkte zu setzen. Risikoorientiert Schwerpunkte zu setzen, wird immer eine besondere Herausforderung sein, schließlich haben die meisten Datenschutzbeauftragten nur begrenzte Zeit und Mittel. - Die Betroffenenrechte können effektiver umgesetzt werden
Zwar sind die Umsetzung und die Erfüllung der Betroffenenrechte eigentlich Sache des Verantwortlichen. Meist werden Sie als Datenschutzbeauftragter jedoch beratend unterstützen müssen.
Damit etwa ein Auskunfts- oder Löschanspruch vollständig erfüllt werden kann, hilft oft ein Blick in das Verzeichnis von Verarbeitungstätigkeiten. - Ihr Unternehmen erfüllt gesetzliche Anforderungen
Zwar soll es bei der Pflicht zum Führen des Verzeichnisses irgendwann ggf. Anpassungen geben und insofern die DSGVO überarbeitet werden.
Bis dahin muss Ihr Unternehmen der Verpflichtung nachkommen. Macht es das nicht, kann das zu einigem Ärger führen. Und teuer kann es auch werden, falls es zu einem Bußgeld kommt.
Die Qualität muss stimmen
Wie hilfreich und nützlich ein Verzeichnis für Sie als Datenschutzbeauftragten ist, hängt von dessen Inhalten ab, sprich von zutreffenden und vollständigen Angaben sowie von deren Aktualität..
Ob Sie ein gutes Hilfsmittel haben oder ob es Nachbesserungsbedarf gibt, sollten Sie ab und an prüfen. Dazu können Sie die folgende Checkliste verwenden.
Prüfen Sie zunächst für sich selbst und klären Sie anschließend relevante oder offene Fragen mit den zuständigen Personen.
