Verzeichnis von Verarbeitungstätigkeiten

Verarbeitungstätigkeiten erfassen: essenziell für Datenschutz

Wer sich mit Datenschutz befasst, landet schnell bei Art. 30 DSGVO “Verzeichnis von Verarbeitungstätigkeiten”. Was verbirgt sich eigentlich hinter dem Begriff? Das sogenannte VVT wurde gemeinsam mit der Datenschutz-Grundverordnung (DSGVO) im Jahr 2018 ins Leben gerufen. Es stellt zum einen sicher, dass die Daten, die ein Unter­nehmen sammelt, verwendet und speichert, geschützt und sicher sind. Zum anderen sorgt es dafür, dass die Rechte der Einzelnen, deren Daten betroffen sind, gewahrt werden. Die Verarbeitungs­tätigkeiten an sich sind eine wesentliche Vorgabe der DSGVO, aber das Verzeichnis muss beständig angepasst und überwacht werden. Wer muss Auskunft geben und worüber?

Kann ein Unternehmen selbst entscheiden, ob es ein VVT führt? Nein, denn die Führung eines Verzeich­nisses von Verarbeitungstätigkeiten ist gesetzlich im Rahmen der europäi­schen Daten­schutz-Grundverordnung vorgeschrieben. Verantwortliche für die Verarbeitung personen­bezogener Daten sind verpflichtet, Verarbeitungstätigkeiten festzuhalten. Dies gilt für Unter­neh­men, Organisationen und öffentliche Stellen, die personenbezogene Daten sammeln, verarbeiten und speichern. Das beinhaltet auch Drittanbieter, die im Namen eines Verant­wortlichen Daten verarbeiten, wie beispielsweise Cloud-Service-Provider, Marketing­agenturen und Datenanalytik-Unternehmen.

Gibt es Ausnahmen? Unternehmen mit weniger als 250 Mitarbeitenden, die keine komplex­en Datenverarbeitungstätigkeiten ausführen, müssen im Prinzip kein VVT führen. Hier­bei gibt es jedoch auch Abweichungen. Denn grundsätzlich sind auch kleinere Unternehmen verpflichtet, den gelten­den Datenschutz­gesetzen zu entsprechen und per­son­enbezogene Daten angemessen zu schützen. In bestimmten Fällen, wie z. B. bei der Verarbeitung sensi­bler personenbe­zogener Daten, kann es also trotzdem erforderlich sein, ein VVT zu führen. Denn in fast jedem Unternehmen werden Personalakten geführt, Kunden­datenbanken verwaltet oder Newsletter versendet. Somit werden personenbezogene Daten verarbeitet, für die eine Verpflichtung zur Erfassung im Sinne des VVT besteht.

Das Verzeichnis der Verarbeitungstätigkeiten muss über folgende Informationen Auskunft geben:

1. Art der verarbeiteten personenbezogenen Daten: z. B. Kontaktdaten, Finanzdaten usw.
2. Zweck der Verarbeitung: Warum werden die Daten verarbeitet und wofür werden sie genutzt?
3. Kategorien der betroffenen Personen: Wer sind die Personen, deren Daten verarbeitet werden?
4. Empfänger der personenbezogenen Daten: An wen werden die Daten weitergegeben?
5. Dauer der Aufbewahrung: Wie lange werden die Daten aufbewahrt?
6. Maßnahmen zum Schutz der Daten: Welche Sicherheitsmaßnahmen werden ergriffen, um die Daten vor Verlust oder Missbrauch zu schützen?
7. Rechtsgrundlagen: Auf welcher rechtlichen Grundlage werden die Daten verarbeitet?

Mehr Sicherheit, weniger Risiko

Das Verzeichnis von Verarbeitungstätigkeiten ist das Kernstück einer jeden Datenschutz­dokumentation und gibt Auskunft darüber, welche Verarbeitungsvorgänge im Unterneh­men stattfinden. Zudem ergibt sich ein Überblick über die Prozesse. Sind diese noch zeit­gemäß und sind eventuell Anpassungen notwendig?

Durch die Dokumentation von Verarbeitungstätigkeiten kann das Unternehmen sicher­stellen, dass es den gelt­en­den Datenschutzgesetzen entspricht und dass personenbezogene Daten angemessen geschützt werden. Außerdem kann die Überwachung dabei helfen, Datenschutzrisiken zu identifizieren und zu minimieren.

Erst durch ein akkurates VVT ist es also möglich, die in einem Unternehmen stattfindenden Verarbeitungsvorgänge zu überschauen, zu kontrollieren, auf ihre Zulässigkeit hin zu über­prüfen und damit alle verbundenen Risiken zu bewerten. So lässt sich Handlungs­bedarf erkennen und in angemessener Art umsetzen. 

Datenschutz – Aus der Praxis für die Praxis

Auf der CARMAO Datenschutz Conference am 25.4.2023 von 9:30 bis 16:30 Uhr erfahren Sie, wie Sie Datenschutz in Ihrer Organisation ganz praktisch und einfach umsetzen können. An konkreten Beispielen, in kurzen Workshop-Sessions und praxisnahen Vorträgen beleuchten unsere CARMAO-Experten, wie Sie den Überblick über die vielfältigen Aufgaben im Bereich der Verarbeitungstätigkeiten behal­ten.

Sprechen Sie uns an unter: 06431-2196-0 oder kontakt@carmao.de.