Verzeichnis von Verarbeitungstätigkeiten

Verzeichnis von Verarbeitungstätigkeiten ist die dokumentierte Übersicht über datenschutzrelevante Abläufe eines Verantwortlichen oder Auftragsverarbeiters. Es enthält unter anderem Zwecke, Kategorien betroffener Personen und Daten, Empfänger, Drittlandübermittlungen, Löschfristen und eine allgemeine Beschreibung der Sicherheitsmaßnahmen. Das Verzeichnis muss schriftlich, auch elektronisch, geführt, aktuell gehalten und der Aufsichtsbehörde auf Anfrage vorgelegt werden. Die Ausnahme für kleine Organisationen greift nur unter engen Voraussetzungen.

Rechtliche Bedeutung

Das Verzeichnis schafft Transparenz über tatsächliche Prozesse und ist Grundlage für Risikoanalyse, Informationspflichten, Löschkonzept und Kontrollen. Maßgeblich sind Artikel 30 der DSGVO. Die unionsrechtliche Einordnung erläutern auch Europarecht FAQ und die Wörterbuchartikel zu Datenschutzrecht, Datenschutz-Grundverordnung, personenbezogene Daten und allgemeines Persönlichkeitsrecht.

Abgrenzung

Es ist ein internes Organisationsdokument und nicht mit der öffentlich zugänglichen Datenschutzerklärung gleichzusetzen.

Beispiel

Ein Verein führt getrennte Einträge für Mitgliederverwaltung, Newsletter, Veranstaltungsanmeldung und Videoüberwachung mit jeweiligen Zwecken und Fristen.

FAQ

Muss jede Software einen Eintrag erhalten?

Maßgeblich ist die Verarbeitungstätigkeit; mehrere Systeme können einen Prozess unterstützen und gemeinsam beschrieben werden.

Wer muss das Verzeichnis führen?

Grundsätzlich Verantwortliche und Auftragsverarbeiter, jeweils mit den für ihre Rolle vorgeschriebenen Angaben.

Ist eine bestimmte Form vorgeschrieben?

Nein. Es muss schriftlich, verständlich, aktuell und bei Bedarf vorlagefähig sein.

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung.