Mit diesem Beitrag beschäftigen wir uns mit dem Verzeichnis von Verarbeitungstätigkeiten.
Vielen Datenschutzbeauftragt:innen ist nicht bewusst, dass das Verzeichnis von Verarbeitungstätigkeiten (VVT) auch als das „Herzstück des Datenschutzmanagements“ bezeichnet werden kann. Das Verzeichnis dient dem Nachweis der Einhaltung der Datenschutzgrundverordnung (DSGVO).
Der/die Datenschutzbeauftragte/r ist nur beratend tätig.
Demnach können ihm/ihr bezüglich des Verzeichnisses nur administrative Funktionen übertragen werden; d.h. die Verantwortung für das Verzeichnis von Verarbeitungstätigkeiten kann nicht auf den/die Datenschutzbeauftragte/n übertragen werden.
Der/die Datenschutzbeauftragte wirkt auf ein vollständiges und aktuelles Verzeichnis für Verarbeitungstätigkeiten (VVT) hin, da dies ein wesentlicher Dokumentationsschwerpunkt zur Erfüllung von Aufgaben ist.
Wir als externe Datenschutzbeauftragte der werning.com GmbH haben für unsere Kund:innen eine Vorgehensweise entwickelt, um die Führung und Pflege des Verzeichnisses zu vereinfachen.
Hierfür nutzen wir unser eigens entwickeltes Datenschutz-Tool.
Mit diesem Tool werden viele erforderliche Schritte für ein geordnetes Datenschutzmanagement abgedeckt; von dem Verzeichnis von Verarbeitungstätigkeiten bis hin zur Risikobeurteilung.
Woher bekomme ich als Datenschutzbeauftragte/r notwendige Informationen und wie gehe ich weiter vor?
Im ersten Schritt erhält die Geschäftsführung eine Übersicht, in der „Standard-Verfahren“ (die einzelnen Verarbeitungsvorgänge nennen sich Verfahren) aufgelistet sind.
Diese Liste ist dann von der Geschäftsleitung oder von dem/der verantwortlichen Person um fehlende Verfahren zu ergänzen und die verfahrensverantwortlichen Personen (inklusive zugehöriger Abteilung) sind zu benennen.
Durch das Benennen von verfahrensverantwortlichen Personen wird die Geschäftsleitung nicht von der Verantwortung zur Einhaltung der Datenschutzgrundverordnung (DSGVO) entbunden!
Die verantwortliche Stelle ist in der Datenschutzgrundverantwortung (DSGVO) definiert und wird von der Geschäftsleitung entsprechend vertreten.
Nachdem die Verantwortlichkeiten je Verfahren festgelegt sind, werden die einzelnen verantwortlichen Personen mittels eines „Erfassungsbogens“ gebeten die Verarbeitungsvorgänge zu beschreiben.
Aus diesem Bogen muss u.a. hervorgehen:
Anschließend werden diese Informationen in das Verzeichnis von Verarbeitungstätigkeiten eingearbeitet; bei evtl. fehlenden Angaben wird bei der zuständigen verantwortlichen Person nachgefasst.
Sobald alle Angaben vorliegen wird eine Risikobewertung durchgeführt.
Hier wird das Schadenspotenzial anhand der Datenkategorien geprüft (Einteilung der Datenkategorien in Schutzstufen, um die Schwere von möglichen Folgen ermitteln zu können, wenn die benannten verarbeiteten Daten nicht ausreichend geschützt werden).
Im gleichen Schritt wird die Eintrittswahrscheinlichkeit des Schadens aufgrund der angegebenen und angewendeten technisch organisatorischen Maßnahmen (kurz TOM) beurteilt.
Die ist erforderlich, um die Angemessenheit der Datenverarbeitung und des Schutzes zu bewerten.
Im nächsten Schritt werden alle Datenweitergaben geprüft (auf Rechtsgrundlagen sowie auf Erforderlichkeit, Vollständigkeit und Vorhandensein von evtl. Verträgen).
Nähere Informationen und Tipps zur Überprüfung der Datenweitergaben erhalten Sie in einem unserer nächsten Blog-Beiträge.
Das Verzeichnis ist regelmäßig durch die Verfahrensverantwortlichen zu prüfen und ggf. zu aktualisieren.
Wann ist ein Verzeichnis von Verarbeitungstätigkeiten vollständig?
Das Verzeichnis von Verarbeitungstätigkeiten ist vollständig, wenn alle o.g. Angaben erfasst wurden.
Es ist jedoch wichtig, das Verzeichnis in regelmäßigen Abständen zu aktualisieren und ggf. bei Änderungen zu ergänzen.
Wir empfehlen Ihnen, die Mitarbeitenden einmal jährlich um die Überprüfung der einzelnen Verfahren zu bitten und Ihnen eventuelle Neuerungen mitzuteilen.
Grundsätzlich sind Verarbeitungen (und auch wesentliche Änderungen) vor der Umsetzung auf Datenschutzkonfomität zu prüfen und zu bewerten.
Haben Sie weitere Fragen oder gar Themenwünsche, die wir in unserer Reihe „Coaching für Datenschutzbeauftragte“ aufnehmen sollten?
Melden Sie sich gerne oder besuchen Sie auch unsere regelmäßige offene Datenschutzsprechstunde.
Vielleicht sehen wir uns auch bei einem 1:1 Datenschutzcoaching?
