Verzeichnis von Verarbeitungstätigkeiten
Verzeichnis von Verarbeitungstätigkeiten ist die dokumentierte Übersicht über datenschutzrelevante Abläufe eines Verantwortlichen oder Auftragsverarbeiters. Es enthält unter anderem Zwecke, Kategorien betroffener Personen und Daten, Empfänger, Drittlandübermittlungen, Löschfristen und eine allgemeine Beschreibung der Sicherheitsmaßnahmen. Das Verzeichnis muss schriftlich, auch elektronisch, geführt, aktuell gehalten und der Aufsichtsbehörde auf Anfrage vorgelegt werden. Die Ausnahme für kleine Organisationen greift nur unter engen Voraussetzungen.
Rechtliche Bedeutung
Das Verzeichnis schafft Transparenz über tatsächliche Prozesse und ist Grundlage für Risikoanalyse, Informationspflichten, Löschkonzept und Kontrollen. Maßgeblich sind Artikel 30 der DSGVO. Die unionsrechtliche Einordnung erläutern auch Europarecht FAQ und die Wörterbuchartikel zu Datenschutzrecht, Datenschutz-Grundverordnung, personenbezogene Daten und allgemeines Persönlichkeitsrecht.
Abgrenzung
Es ist ein internes Organisationsdokument und nicht mit der öffentlich zugänglichen Datenschutzerklärung gleichzusetzen.
Beispiel
Ein Verein führt getrennte Einträge für Mitgliederverwaltung, Newsletter, Veranstaltungsanmeldung und Videoüberwachung mit jeweiligen Zwecken und Fristen.
FAQ
Muss jede Software einen Eintrag erhalten?
Maßgeblich ist die Verarbeitungstätigkeit; mehrere Systeme können einen Prozess unterstützen und gemeinsam beschrieben werden.
Wer muss das Verzeichnis führen?
Grundsätzlich Verantwortliche und Auftragsverarbeiter, jeweils mit den für ihre Rolle vorgeschriebenen Angaben.
Ist eine bestimmte Form vorgeschrieben?
Nein. Es muss schriftlich, verständlich, aktuell und bei Bedarf vorlagefähig sein.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung.