§ 12 Datenschutzrecht / b) Verarbeitungsverzeichnis

Rz. 6

Zusätzlich ist nach Art. 30 DSGVO eine Dokumentation sämtlicher Datenverarbeitungsprozesse im Unternehmen erforderlich. Neben den allgemeinen Angaben zum Verantwortlichen muss das Unternehmen aufzeigen, welche Datenverarbeitungsprozesse bestehen. Im Rahmen der internen Dokumentation muss angegeben werden, welche Daten für welche Zwecke verarbeitet und an wen sie weitergegeben werden. Es sind sowohl interne Stellen als auch Stellen außerhalb des Verantwortlichen zu benennen. Zudem sind die Löschregeln für die verwendeten Daten vorzugeben. Diese Übersicht stellt eine Basisdokumentation der Datenverarbeitungstätigkeiten im Unternehmen dar und ermöglicht dem Verantwortlichen und ggf. dem Datenschutzbeauftragten eine Erstbewertung.^[4] Die Dokumentation der Verfahren ist allerdings keine Zulässigkeitsvoraussetzung für die Datenverarbeitung.^[5] Ihr Fehlen kann aber von Aufsichtsbehörden mit einem Bußgeld geahndet werden.^[6]

Rz. 7

Die Schwierigkeit in der Praxis besteht regelmäßig darin, die einzelnen Verarbeitungsprozesse strukturiert aufzubereiten und voneinander abzugrenzen. Erfolgt diese Abgrenzung zu granular und wird ein zusammenhängender Datenverarbeitungsprozess in zu viele Einzelschritte unterteilt, ermöglicht das Verarbeitungsverzeichnis nicht mehr den erforderlichen komprimierten Überblick zu den Datenverarbeitungsverfahren im Unternehmen. Erfolgt dagegen die Einordnung von Verfahren zu undifferenziert, können die mit der Datenverarbeitung für die Betroffenen verbundenen Risiken nicht mehr konkret bewertet werden.

Rz. 8

Zusätzlich zur Dokumentation der Verfahren muss eine erste Risikobewertung des Verfahrens erfolgen.^[7] Das Unternehmen muss festlegen, welcher potenzielle Schaden für die Rechte und Freiheiten der Betroffenen aufgrund der unternehmensinternen Daten...