{"id":3132,"date":"2016-05-01T22:17:25","date_gmt":"2016-05-01T21:17:25","guid":{"rendered":"http:\/\/www.cr-online.de\/blog\/?p=3132"},"modified":"2016-05-03T01:28:50","modified_gmt":"2016-05-03T00:28:50","slug":"dsgvo-was-wird-aus-den-verfahrensverzeichnissen","status":"publish","type":"post","link":"https:\/\/www.cr-online.de\/blog\/2016\/05\/01\/dsgvo-was-wird-aus-den-verfahrensverzeichnissen\/","title":{"rendered":"DSGVO: Was wird aus den Verfahrensverzeichnissen?"},"content":{"rendered":"<p><em>Die DSGVO\u00a0in der betrieblichen Praxis<\/em><em>. Das neue Buch erscheint in K\u00fcrze und beantwortet mehr als 120 Fragen zum neuen europ\u00e4ischen Datenschutzrecht, das Mitte 2018 in Kraft tritt.\u00a0In diesem Blog werden vorab einige Fragen ver\u00f6ffentlicht (<a href=\"http:\/\/www.otto-schmidt.de\/datenschutz-grundverordnung.html\" target=\"_blank\"><em>H\u00e4rting, <\/em><\/a><\/em><a href=\"http:\/\/www.otto-schmidt.de\/datenschutz-grundverordnung.html\" target=\"_blank\">Datenschutz<\/a><a href=\"http:\/\/www.otto-schmidt.de\/datenschutz-grundverordnung.html\" target=\"_blank\">&#8211;<\/a><a href=\"http:\/\/www.otto-schmidt.de\/datenschutz-grundverordnung.html\" target=\"_blank\">Grundverordnung, Juni 2016<\/a><em><em><em>)<\/em><\/em><\/em><em>.<\/em><\/p>\n<p>Selbst in kleineren Unternehmen ist es nicht immer einfach, den \u00dcberblick \u00fcber die eigenen Datenverarbeitungsprozesse zu behalten. Dies umso mehr als einzelne Prozesse in die Cloud verlagert werden. Wenn Terminkalender und die Kundendatenbank in der Cloud gef\u00fchrt werden, sind die Daten auf den Unternehmensservern nicht mehr sichtbar. Bei einem Datenschutz-Audit kann es leicht passieren, dass derartige Prozesse \u00fcbersehen werden.<\/p>\n<p><strong>Geltendes Recht zu Verfahrensverzeichnissen<\/strong><\/p>\n<p>Nach geltendem Recht wird die Transparenz der Datenverarbeitungsprozesse durch Verfahrensverzeichnisse gesichert. Die F\u00fchrung eines Verfahrensverzeichnisses nach \u00a7 4 g Abs. 2 Satz 1 i. V. m. \u00a7 4 e Satz 1 BDSG geh\u00f6rt zu den Kernaufgaben des betrieblichen Datenschutzbeauftragten (siehe <a href=\"https:\/\/www.juris.de\/jportal\/portal\/t\/eq7\/page\/jurisw.psml?doc.hl=1&amp;doc.id=samson-ovsBDSGD00190508&amp;documentnumber=4&amp;numberofresults=6&amp;doctyp=Kommentar%3Aovs-k&amp;showdoccase=1&amp;doc.part=C&amp;paramfromHL=true#focuspoint\" target=\"_blank\"><span id=\"zvs\"><i>v. d. Bussche<\/i> in: Plath, BDSG, \u00a7 4g Rn. 20 &#8211; 24<\/span><\/a>).<\/p>\n<p>Bei den Verfahrensverzeichnissen geht es weniger um Software als um Prozesse, beispielsweise um Kundendatenbanken, die Verwaltung der Mitarbeiterdaten in der Personalabteilung, um den Internetauftritt, den Terminkalender und die Finanzbuchhaltung. Jeder dieser Prozesse muss in einem Verfahrensverzeichnis in Grundz\u00fcgen beschrieben werden.<\/p>\n<p>\u00a7 4e Abs. 1 Satz 1 BDSG schreibt folgende Angaben vor (siehe <a href=\"https:\/\/www.juris.de\/jportal\/portal\/t\/fb8\/page\/jurisw.psml?doc.hl=1&amp;doc.id=samson-ovsBDSGD0017&amp;documentnumber=2&amp;numberofresults=4&amp;doctyp=Kommentar%3Aovs-k&amp;showdoccase=1&amp;doc.part=C&amp;paramfromHL=true#focuspoint\" target=\"_blank\"><span id=\"zvs\"><i>v. d. Bussche<\/i> in: Plath, BDSG, \u00a7 4e Rn. 5 &#8211; 15<\/span><\/a>):<\/p>\n<ul>\n<li>Name, Firma und Anschrift der verantwortlichen Stelle;<\/li>\n<li>Inhaber, Vorst\u00e4nde, Gesch\u00e4ftsf\u00fchrer oder sonstige gesetzliche oder nach der Verfassung des Unternehmens berufene Leiter oder die mit der Leitung der Datenverarbeitung beauftragten Personen;<\/li>\n<li>Zweckbestimmungen der Datenerhebung, -verarbeitung oder \u2013nutzung;<\/li>\n<li>Beschreibung der betroffenen Personengruppen und der diesbez\u00fcglichen Daten oder Datenkategorien;<\/li>\n<li>Empf\u00e4nger oder Kategorien von Empf\u00e4ngern, denen die Daten mitgeteilt werden k\u00f6nnen;<\/li>\n<li>Regelfristen f\u00fcr die L\u00f6schung der Daten;<\/li>\n<li>Daten\u00fcbermittlung in Drittstaaten, falls geplant;<\/li>\n<li>eine allgemeine Beschreibung, die es erm\u00f6glicht, vorl\u00e4ufig zu beurteilen, ob die technischen und organisatorischen Ma\u00dfnahmen nach \u00a7 9 BDSG zur Gew\u00e4hrleistung der Sicherheit der Verarbeitung angemessen sind.<\/li>\n<\/ul>\n<p><strong>\u00c4nderungen durch die DSGVO<\/strong><\/p>\n<p>Art. 30 Abs. 1 DSGVO entspricht \u00a7 4 e Satz 1 BDSG und listet die Angaben auf, die ein Verfahrensverzeichnis enthalten muss:<\/p>\n<blockquote><p><em>\u201eJeder Verantwortliche und gegebenenfalls sein Vertreter f\u00fchren ein Verzeichnis aller Verarbeitungst\u00e4tigkeiten, die ihrer Zust\u00e4ndigkeit unterliegen. Dieses Verzeichnis enth\u00e4lt s\u00e4mtliche folgenden Angaben:<\/em><\/p>\n<p><em>a) den Namen und die Kontaktdaten des Verantwortlichen und gegebenenfalls des gemeinsam mit ihm Verantwortlichen, des Vertreters des Verantwortlichen sowie eines etwaigen Datenschutzbeauftragten;<\/em><\/p>\n<p><em>b) die Zwecke der Verarbeitung;<\/em><\/p>\n<p><em>c) eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten;<\/em><\/p>\n<p><em>d) die Kategorien von Empf\u00e4ngern, gegen\u00fcber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, einschlie\u00dflich Empf\u00e4nger in Drittl\u00e4ndern oder internationalen Organisationen;<\/em><\/p>\n<p><em>e) gegebenenfalls \u00dcbermittlungen von personenbezogenen Daten an ein Drittland oder an eine internationale Organisation, einschlie\u00dflich der Angabe des betreffenden Drittlands oder der betreffenden internationalen Organisation, sowie bei den in Artikel 49 Absatz 1 Unterabsatz 2 genannten Daten\u00fcbermittlungen die Dokumentierung geeigneter Garantien;<\/em><\/p>\n<p><em>f) wenn m\u00f6glich, die vorgesehenen Fristen f\u00fcr die L\u00f6schung der verschiedenen Datenkategorien;<\/em><\/p>\n<p><em>g) wenn m\u00f6glich, eine allgemeine Beschreibung der technischen und organisatorischen Ma\u00dfnahmen gem\u00e4\u00df Artikel 32 Absatz 1.\u201d<\/em><\/p><\/blockquote>\n<ul>\n<li><strong>Teilweise Befreiung von Pflicht zu Verfahrensverzeichnissen<\/strong><\/li>\n<\/ul>\n<p style=\"padding-left: 60px;\">Anders als nach bisherigem Recht gibt es eine (teilweise) Befreiung von der Pflicht zu Verfahrensverzeichnissen f\u00fcr <strong>kleinere Unternehmen<\/strong> (Art. 30 Abs.\u00a05 DSGVO):<\/p>\n<blockquote>\n<p style=\"padding-left: 60px;\">\u201cDie in den Abs\u00e4tzen 1 und 2 genannten Pflichten gelten nicht f\u00fcr Unternehmen oder Einrichtungen, die weniger als 250 Mitarbeiter besch\u00e4ftigen, sofern die von ihnen vorgenommene Verarbeitung nicht ein Risiko f\u00fcr die Rechte und Freiheiten der betroffenen Personen birgt, die Verarbeitung nicht nur gelegentlich erfolgt oder nicht die Verarbeitung besonderer Datenkategorien gem\u00e4\u00df Artikel 9 Absatz 1 bzw. die Verarbeitung von personenbezogenen Daten \u00fcber strafrechtliche Verurteilungen und Straftaten im Sinne des Artikels 10 einschlie\u00dft.\u201c<\/p>\n<\/blockquote>\n<p style=\"padding-left: 30px;\">Unternehmen mit <strong>weniger als 250 Besch\u00e4ftigten<\/strong> m\u00fcssen somit nicht f\u00fcr jedes Verarbeitungsverfahren ein Verzeichnis anlegen, sondern nur f\u00fcr Verfahren, die<\/p>\n<ul>\n<li>mit einem erheblichen Risiko f\u00fcr die Betroffenen verbunden sind (z.B. Video\u00fcberwachung) oder<\/li>\n<li>nicht nur gelegentlich angewendet werden oder<\/li>\n<li>sensitive Daten (z.B. Gesundheitsdaten oder Daten aus einem Strafregister) umfassen.<\/li>\n<\/ul>\n<p><span style=\"color: #ff0000;\"><strong>Merke:<\/strong><\/span><\/p>\n<p style=\"padding-left: 60px;\"><span style=\"color: #ff0000;\">Die Ausnahme gilt nur f\u00fcr \u201egelegentliche\u201c Verfahren. Daher gibt es f\u00fcr <strong>alle Grundfunktionen<\/strong> des Unternehmens (z.B. Finanzbuchhaltung; Personalakten; Kundendatenbank) <strong>keine \u00c4nderung<\/strong>. Es bleibt bei der Verpflichtung zur F\u00fchrung von Verfahrensverzeichnissen.<\/span><\/p>\n<p><strong>Verantwortung f\u00fcr, Einsicht in\u00a0und Transfer von Verfahrensverzeichnissen<\/strong><\/p>\n<p>Art. 30 DSGVO weist drei weitere Besonderheiten gegen\u00fcber dem geltenden Recht auf:<\/p>\n<ul>\n<li><strong>Verantwortung:<\/strong> Anders als nach der bisherigen Praxis ist die <strong>Unternehmensleitung<\/strong> und nicht der betriebliche Datenschutzbeauftragte f\u00fcr die Verfahrensverzeichnisse verantwortlich (Art. 30 Abs. 1 DSGVO).<\/li>\n<li><strong>Verantwortung:<\/strong> Auch der <strong>Auftragsverabeiter<\/strong> ist nach Art. 30 Abs. 2 DSGVO zur F\u00fchrung von Verfahrensverzeichnissen verpflichtet.<\/li>\n<li><strong>Keine allgemeine Einsicht:<\/strong> Nach der DSGVO gibt es kein \u201eJedermanns-Recht\u201c auf Einsicht in die Verfahrensverzeichnisse. Die <strong>F\u00fchrung externer Verzeichnisse<\/strong> zur Erf\u00fcllung der Verpflichtung nach \u00a7 4 g Abs. 2 Satz 2 BDSG wird <strong>entbehrlich.<\/strong><\/li>\n<li><strong>Datentransfer:<\/strong> Bei einem Datentransfer<strong> in einen Drittstaat<\/strong> auf der Grundlage des Art. 49 Abs.\u00a01 Satz 2\u00a0DSGVO sind die Risikoabsch\u00e4tzung und die ergriffenen Schutzma\u00dfnahmen nach Art. 28 DSGVO zu dokumentieren (Art. 49 Abs. 6 DSGVO). Bei einem neuen Verarbeitungsverfahren ist somit ein neues Verzeichnis zu erstellen, anderenfalls ist das bereits bestehende Verzeichnis um die durch Art. 49 Abs. 6 DSGVO vorgeschriebenen Angaben zu erg\u00e4nzen.<\/li>\n<\/ul>\n<p><strong><span style=\"color: #ff0000;\">Merke:<\/span><\/strong><\/p>\n<p style=\"padding-left: 60px;\"><span style=\"color: #ff0000;\">Bei der Funktion der Verzeichnisse gem\u00e4\u00df Art. 30 DSGVO l\u00e4sst sich eine leichte <strong>Akzentverschiebung<\/strong> beobachten: <\/span><\/p>\n<p style=\"padding-left: 60px;\"><span style=\"color: #ff0000;\">Geht es in \u00a7 4 g Abs. 2 Satz 1 i. V. m. \u00a7 4 e Satz 1 BDSG ma\u00dfgeblich um ein jeweils aktuelles Bild der Datenverarbeitungsverfahren, die im Unternehmen praktiziert werden (<a style=\"color: #ff0000;\" href=\"https:\/\/www.juris.de\/jportal\/portal\/t\/eq7\/page\/jurisw.psml?doc.hl=1&amp;doc.id=samson-ovsBDSGD00190508&amp;documentnumber=4&amp;numberofresults=6&amp;doctyp=Kommentar%3Aovs-k&amp;showdoccase=1&amp;doc.part=C&amp;paramfromHL=true#focuspoint\" target=\"_blank\"><span id=\"zvs\"><i>v. d. Bussche<\/i> in: Plath, BDSG, \u00a7 4g Rn. 20 ff.<\/span><\/a>), kommt durch Art. 30 DSGVO eine <strong>historische Komponente<\/strong> hinzu. Art. 30 DSGVO soll den Aufsichtsbeh\u00f6rden auch f\u00fcr die Vergangenheit die M\u00f6glichkeit er\u00f6ffnen, Datenverarbeitungsverfahren zu untersuchen.<\/span><\/p>\n<p style=\"padding-left: 60px;\"><span style=\"color: #ff0000;\">Wegen der historischen Komponente erscheint es ratsam, die jeweils aktuellen Verfahrensverzeichnisse in ein <strong>umfassendes Dokumentationssystem<\/strong> einzubinden. Alle \u00c4nderungen und Erg\u00e4nzungen sowie die Neuanlegung und Schlie\u00dfung von Verzeichnissen sollten l\u00fcckenlos unter Verwendung von <strong>Zeitstempeln<\/strong> dokumentiert sein.<\/span><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Die DSGVO\u00a0in der betrieblichen Praxis. Das neue Buch erscheint in K\u00fcrze und beantwortet mehr als 120 Fragen zum neuen europ\u00e4ischen Datenschutzrecht, das Mitte 2018 in Kraft tritt.\u00a0In diesem Blog werden vorab einige Fragen ver\u00f6ffentlicht (H\u00e4rting, Datenschutz&#8211;Grundverordnung, Juni 2016). Selbst in kleineren Unternehmen ist es nicht immer einfach, den \u00dcberblick \u00fcber die eigenen Datenverarbeitungsprozesse zu behalten. [&hellip;]<\/p>\n","protected":false},"author":3,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[1,34,9,51],"tags":[504,145,515,550],"_links":{"self":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/3132"}],"collection":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/comments?post=3132"}],"version-history":[{"count":10,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/3132\/revisions"}],"predecessor-version":[{"id":3155,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/3132\/revisions\/3155"}],"wp:attachment":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/media?parent=3132"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/categories?post=3132"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/tags?post=3132"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}