Verzeichnis von Verarbeitungstätigkeiten – Pflicht oder Kür?

In diesem Beitrag mit dem Titel „Verzeichnis von Verarbeitungstätigkeiten – Pflicht oder Kür?“ geht es um die Bedeutung und Notwendigkeit des Führens eines Verzeichnisses der Verarbeitungstätigkeiten (VVT). Wir werfen einen genauen Blick auf die rechtlichen Grundlagen, die Zusammenarbeit mit den Aufsichtsbehörden und die Rolle des VVT im Rahmen der Rechenschaftspflicht. Außerdem werden wir uns mit den Inhalten eines VVT befassen. Abschließend zeigen wir anhand eines Beispiels, wie ein solches Verzeichnis aussehen kann. Dieser Artikel richtet sich an Unternehmensverantwortliche und alle Interessierten am Thema Datenschutz.

Die Bedeutung des Verzeichnisses von Verarbeitungstätigkeiten

Das Führen eines Verzeichnisses der Verarbeitungstätigkeiten (VVT) ist für Unternehmen eine gesetzliche Pflicht. Es dient dazu, einen Überblick über alle Datenverarbeitungsprozesse zu erhalten und die Einhaltung der Datenschutzbestimmungen sicherzustellen. Es gibt Ausnahmen für kleine und mitteständische Unternehmen, welche aber in vielen Fällen nicht gelten, da bereits Verarbeitungen im Bereich der Personalverwaltung Risiken für die Rechte und Freiheiten der betroffenen Personen vorhanden sein können, die einer Datenschutzfolgenabschätzung – DSFA unterliegen.

Rechtliche Grundlagen

In der Europäischen Union regelt die Datenschutz-Grundverordnung (DSGVO) das Führen eines VVT. Gemäß Artikel 30 der DSGVO müssen Unternehmen bestimmte Informationen über ihre Datenverarbeitungsaktivitäten dokumentieren. Dies umfasst unter anderem Angaben zur Zweckbestimmung, zu den Kategorien der betroffenen Personen und der verarbeiteten Daten sowie zu den Empfängern der Daten und Löschfristen.

Zusammenarbeit mit den Aufsichtsbehörden

Das VVT spielt auch eine wichtige Rolle bei der Zusammenarbeit mit den Datenschutz-Aufsichtsbehörden. Im Falle einer Prüfung oder eines Vorfalls können die Behörden das Verzeichnis einsehen und prüfen, ob das Unternehmen seine datenschutzrechtlichen Pflichten erfüllt.

Inhalte eines Verzeichnisses von Verarbeitungstätigkeiten

Ein VVT sollte alle relevanten Informationen über die Datenverarbeitungsprozesse eines Unternehmens enthalten. Dazu gehören u.a.:

• • Die Zwecke, für die die Daten verarbeitet werden,
  • die Kategorien der betroffenen Personen,

• • die Art der verarbeiteten Daten,

• • die Empfänger der Daten,

• • die geplanten Löschfristen für die Daten,

• • Technische und organisatorische Maßnahmen zum Schutz der Daten.