Dies hilft – in Kombination mit einem Löschkonzept -, einen Überblick darüber zu haben, wie lange man welche Daten vom Gesetz her zu speichern hat. Verlangt ein Betroffener Auskunft über die Verarbeitung seiner Daten, kann ein Verantwortlicher das Verzeichnis von Verarbeitungstätigkeiten zur Beantwortung zu Hilfe ziehen. Falls die Datenschutzbehörde nachfragt, hat ein Verantwortlicher dies vorzulegen – es sei denn, er kann entsprechend belegen, dass er nicht zur Führung dessen verpflichtet ist. Er kann es auch so gestalten, dass es als allgemeine Übersicht dient, während es dennoch den Vorschriften der DSGVO entspricht. Eventuell hilft das Verzeichnis von Verarbeitungstätigkeiten sogar, einen Datenschutzvorfall oder zumindest ein hohes Bußgeld zu vermeiden. Tritt solch ein Vorfall doch ein und die Behörde fragt nach, kann ein Unternehmen mit dem Verzeichnis von Verarbeitungstätigkeiten nachweisen, dass es sich aktiv mit dem Datenschutz beschäftigt und versucht, genau solche Vorfälle abzuwehren.
Nach Art. 30 DS-GVO haben künftig nicht nur Verantwortliche, sondern auch Auftragsverarbeiter ein Verzeichnis aller Verarbeitungstätigkeiten mit personenbezogenen Daten zu erstellen. Dieses Verzeichnis ist von den Verantwortlichen bereitzuhalten und der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen. NEUE BEZEICHNUNG Die bisher in Deutschland durch das BDSG verpflichtenden öffentlichen und internen Verfahrensverzeichnisse wird es so unter der DS-GVO nicht mehr geben. Stattdessen heißt das "Kind" dann "Verzeichnis aller Verarbeitungstätigkeiten mit personenbezogenen Daten". Dieses muss dann grundsätzlich jeder Verantwortliche (z. B. Unternehmen, Freiberufler, Verein) und -neu- auch ein Auftragsverarbeiter erstellen und führen. "Dieses Verzeichnis wird in der Praxis wegen der Unterschiede bei den eingesetzten Verfahren notwendigerweise oft aus einer Reihe von Einzel-Verzeichnissen bestehen müssen", so die Einschätzung der Bayerischen Aufsichtsbehörde in Ihrem Whitepaper "Verzeichnis von Verarbeitungstätigkeiten nach Art.
Hierzu hat das Bayerische Landesamt für Datenschutzaufsicht nun ein entsprechendes Muster veröffentlicht. Hier finden Sie die Handreichungen des Bayerischen Landesamt für Datenschutzaufsicht. Hinweis: Diese Informationen sollen nur erste Hinweise in übersichtlicher Form geben und erheben daher keinen Anspruch auf Vollständigkeit. Obwohl sie mit größtmöglicher Sorgfalt erstellt wurden, kann eine Haftung für die inhaltliche Richtigkeit nicht übernommen werden. Stand: April 2018
Unternehmen, die zurzeit auf US-Anbietern setzen und die Datenübermittlung auf Standardvertragsklauseln stützen, sollten zumindest die obige Abwägung durchführen und dokumentieren. Rechtssicherheit bietet freilich auch diese Abwägung nicht. Anzumerken sei auch noch, dass selbst Anbieter mit Sitz in der EU problematisch sein können, wenn diese Sub-Dienstleister in den USA nutzen. Über den Autor Volljurist Datenschutz betrifft nahezu jeden Lebensbereich und beeinflusst somit in einem hohen Maße die Entwicklung unserer Gesellschaft. Dies macht die Auseinandersetzung mit diesem Rechtsgebiet nicht nur relevant, sondern auch äußerst spannend. mehr → intersoft consulting services AG Als Experten für Datenschutz, IT-Sicherheit und IT-Forensik beraten wir deutschlandweit Unternehmen. Informieren Sie sich hier über unser Leistungsspektrum: Internationaler Datenschutz Haben Sie Themen- oder Verbesserungsvorschläge? Kontaktieren Sie uns anonym hier.