Dokumentationspflichten (DSGVO)

Zusammenfassung

1 Übersicht

Umfang der Dokumentationspflichten

2 Verzeichnis der Verarbeitungstätigkeiten

2.1 Grundätze

Als Teil der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO ist ein Verzeichnis der Verarbeitungstätigkeiten zu führen. Dieses Verzeichnis betrifft alle automatisierten und auch die nicht automatisierten Verarbeitungen personenbezogener Daten. Zunächst sind deshalb alle Verarbeitungsprozesse personenbezogener Daten im Unternehmen zu ermitteln. Um die Übersichtlichkeit zu wahren, empfiehlt es sich, für jedes Verfahren eine eigene Übersicht anzufertigen.

Nach Art. 30 Abs. 5 DSGVO haben Unternehmen mit weniger als 250 Mitarbeitern kein Verzeichnis der Verarbeitungstätigkeiten zu führen. Dies gilt aber nicht, wenn

• Verarbeitungen personenbezogener Daten erfolgen, die besondere Datenkategorien gemäß Art. 9 Abs. 1 DSGVO (dazu gehören z. B. Daten zur Religion) betreffen, oder
• die Verarbeitung personenbezogener Daten nicht nur gelegentlich erfolgt oder
• die Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt.

Die Ausnahmen von der Verpflichtung laufen wohl regelmäßig ins Leere. Die Verarbeitung von personenbezogenen Daten erfolgt bei nahezu allen Unternehmen nicht nur gelegentlich. Dazu kommt, dass in Deutschland alle Unternehmen, die Arbeitnehmer beschäftigen, wegen des Kirchensteuerabzugs Religionsdaten zu verarbeiten haben. Genossenschaften und Unternehmen, die Gewinnausschüttungen an natürliche Personen vornehmen,...