| Beide Seiten der vorigen RevisionVorhergehende ÜberarbeitungNächste Überarbeitung | Vorhergehende Überarbeitung |
| verzeichnis_von_verarbeitungstaetigkeiten [2018/11/12 18:37] – Martin Neldner | verzeichnis_von_verarbeitungstaetigkeiten [2020/01/20 20:03] (aktuell) – Admin |
|---|
| Das **Verzeichnis von Verarbeitungstätigkeiten** oder kurz **VVT** wird geführt gemäß [[https://dejure.org/gesetze/DSGVO/30.html| Art. 30 Abs. 1]] [[DSGVO]] von [[Verantwortlichen]] für alle [[Verarbeitung| Verarbeitungstätigkeiten]] und gemäß [[https://dejure.org/gesetze/DSGVO/30.html| Art. 30 Abs. 2]] DSGVO von [[Auftragsverarbeitung| Auftragsverarbeitern]] alle Kategorien von Auftragsverarbeitungen. Die Mindestinhalte des VVT ergeben sich aus Art. 30 DSGVO. | ====== Verzeichnis von Verarbeitungstätigkeiten ====== |
| |
| ====== Verzeichnis von Verarbeitungstätigkeiten bei Verfolgung und Prävention von Straftaten ====== | Das **Verzeichnis von Verarbeitungstätigkeiten** oder kurz **VVT** ([[https://dejure.org/gesetze/DSGVO/Erwaegungsgruende.html|Erwägungsgrund]] 82 DSGVO spricht von **Verzeichnis der Verarbeitungstätigkeiten**) wird geführt gemäß [[https://dejure.org/gesetze/DSGVO/30.html|Art. 30 Abs. 1]] [[:dsgvo|DSGVO]] von [[:verantwortlichen|Verantwortlichen]] für alle [[:verarbeitung| Verarbeitungstätigkeiten]] und gemäß [[https://dejure.org/gesetze/DSGVO/30.html| Art. 30 Abs. 2]] DSGVO von [[:auftragsverarbeitung| Auftragsverarbeitern]] alle Kategorien von Auftragsverarbeitungen. Die Mindestinhalte des VVT ergeben sich aus Art. 30 DSGVO-siehe auch unten in der Tabelle die linke Spalte. |
| |
| Die DSGVO findet keine Anwendung bei der Verfolgung und Prävention von Straftaten. Hier gelten in Umsetzung der [[https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=uriserv%3AOJ.L_.2016.119.01.0089.01.DEU| Richtlinie (EU) 2016/680]] die §§ 31 ff. ThürDSG. Der maßgebliche § 50 ThürDSG weist (Art. 24 der Richtlinie (EU) 2016/680 folgend) Unterschiede zu den normalen Regeln auf. Dabei ist vor allem auffällig, dass in der DSGVO die Pflichtantgaben zu Profiling und Rechtsgrundlage im VVT fehlen. | Für die praktische Arbeit gibt es ein [[:vvt-beispiel|VVT-Beispiel]]. |
| | |
| | |
| | ===== Pflicht zur Erstellung von VVT ==== |
| | |
| | Grundsätzlich ist jede [[Verarbeitung]] [[personenbezogene Daten|personenbezogener Daten]] durch den [[Verantwortlicher|Verantwortlichen]] im VVT zu dokumentieren. |
| | |
| | Allerdings beschränkt der [[Anwendungsbereich der DSGVO]] gemäß [[https://dejure.org/gesetze/DSGVO/2.html| Art. 2]] Abs. 1 DSGVO die Pflicht zur Erstellung von VVT auf die "//die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen//". Zudem gelten die Ausnahmevorschriften gemäß [[https://dejure.org/gesetze/DSGVO/2.html| Art. 2]] Abs. 2 DSGVO und hier insbesondere nach Buchstabe c) die Ausnahme für (rein) persönliche oder familiäre Tätigkeiten, während bei den anderen Tatbeständen des Absatz 2 überwiegend Gegenausnahmen greifen. |
| | |
| | Das bedeutet, dass zumindest für Verarbeitungen personenbezogener Daten durch [[Verantwortlicher|Verantwortliche]] mittels IT-Systemen oder wenn die Daten letztlich in IT-Systeme überführt werden sollen, ein VVT zu erstellen ist. Dabei genügt es, wenn es für das IT-System beispielsweise personenbezogene Accounts gibt, die verwaltet werden müssen, was aus Gründen der IT-Sicherheit heutzutage die Regel ist und erst recht wenn es Logdateien gibt, die die Handlungen der personenbezogenen Accounts aufführen. Soweit inhaltlich keine weiteren personenbezogenen Daten verarbeitet werden, wofür ein denkbares Beispiel die Verwaltung nicht personenbezogener Messdaten wie Wetterdaten wäre, kann das VVT inhaltlich natürlich sehr knapp gehalten werden. Wenn es dagegen gerade auf die Verarbeitung personenbezogener Daten ankommt, steigt der erforderliche Aufwand zur Erstellung des VVT zum Teil ganz erheblich. |
| | |
| | Auch kleine Verantwortliche mit weniger als 250 Beschäftigten profitieren in der Praxis kaum von der sogenannten KMU-Ausnahme gemäß [[https://dejure.org/gesetze/DSGVO/30.html| Art. 30]] Abs. 5 DSGVO, da in vielen Fällen eine der drei Gegenausnahmen eingreifen werden.((Vgl. BeckOK DatenschutzR/Spoerr, 30. Ed. 1.11.2019, DS-GVO Art. 30 Rn. 14-26)) |
| | ===== Formales Vorgehen ===== |
| | |
| | Die DSGVO gibt nur relativ wenige formale Vorgaben. Geregelt ist in [[https://dejure.org/gesetze/DSGVO/30.html| Art. 30]] Abs. 3 DSGVO, dass das VVT schriftlich oder elektronisch zu führen ist. |
| | |
| | Zumindest aus der Pflicht, das Verzeichnis der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen ist([[https://dejure.org/gesetze/DSGVO/30.html| Art. 30]] Abs. 4 DSGVO), ergibt sich, dass das VVT von einer zentralen Stelle des Verantwortlichen geführt werden sollte. Der betriebliche oder behördliche [[Datenschutzbeauftragter|Datenschutzbeauftragte]], der das frühere Verfahrensverzeichnis geführt hatte, sollte das VVT nicht mehr führen.((Vgl. Paal/Pauly/Martini, 2. Aufl. 2018, DS-GVO Art. 30 Rn. 36-38.)) Dagegen spricht auch, dass der Datenschutzbeauftragte im Rahmen seiner Pflicht zur Überwachung der Einhaltung der DSGVO([[https://dejure.org/gesetze/DSGVO/30.html| Art. 39]] Abs. 1 lit. c DSGVO) sich selbst überwachen müsste. |
| | |
| | Bei einem schriftlich geführten VVT sollte ein einheitliches Formular zur Anwendung kommen. Das Formular für das VVT für die Verwendung an den Thüringer Hochschulen kann {{:formular_vvt_thuerhs_v0.71.docx|hier als Word-Datei}} heruntergeladen werden. |
| | |
| | Für größere Organisationen empfiehlt sich die Verwendung eines IT-Systems, dass auch eine größere Anzahl von Einträgen verwalten kann. |
| | |
| | ===== Inhaltliches Vorgehen ===== |
| | |
| | Wichtig ist, dass im VVT die **Verarbeitung** dokumentiert wird und **nicht** eine Software beziehungsweise ein IT-Dienst. Es geht also darum welche (personenbezogenen) Daten erhoben, gespeichert, verarbeitet (im engeren Sinne), übermittelt und gelöscht werden. Anders als nach der geübten (aber auch damals schon zweifelhaften) Praxis vor Inkrafttreten der DSGVO gibt es also KEINEN Automatismus mehr: Ein IT-System = Ein VVT-Eintrag. |
| | |
| | Wenn ein IT-System für mehrere Verarbeitungen genutzt wird, sind also grundsätzlich mehrere VVT anzulegen. Das bietet sich vor allem dann an, wenn die Verarbeitungen unterschiedliche Inhalte betreffen oder (innerorganisatorisch) unterschiedliche Stellen zuständig sind. |
| | |
| | Dagegen können inhaltlich eng zusammenhängende Verarbeitungen auch in einem einzigen VVT dokumentiert werden. Bei aufeinanderaufbauenden Verarbeitungen ist das sogar regelmäßig zu empfehlen: Das Erheben, Nutzen und Löschen eines Datensatzes sind drei Verarbeitungstätigkeiten, die aber als "Vorgangsreihe"([[https://dejure.org/gesetze/DSGVO/30.html| Art. 4]] Nr. 2 DSGVO)) sinnvollerweise nicht auseinandergerissen werden sollten. |
| | |
| | Die frühere Praxis der Strukturierung nach IT-Systemen kann Anlass sein, in geeigneten Fällen, vor allem mit vielen sehr unterschiedlichen Verarbeitungen durch das gleiche IT-System, gewissermaßen "Infrastruktur-VVT" anzulegen. Gemeint ist damit nicht eine besondere rechtliche Kategorie sondern ein rein praktisches Vorgehen: Dokumentiert werden in einem solchen Infrastruktur-VVT vor allem die technischen Gegebenheiten, die für alle Verarbeitungen gleich sind. Das betrifft insbesondere die Verwaltung personenbezogener Nutzeraccounts sowie die Erstellung, Nutzung und Löschung von Logdateien. Auch komplexe Sachverhalte zu (Unter-)Auftragsverarbeitungen, Technisch-organisatorische Maßnahmen (und deren Grundlagen) oder Grenzen des gewährleisteten Schutzbedarfs des IT-Systems lassen sich so einheitlich festlegen. |
| | |
| | ===== Verzeichnis von Verarbeitungstätigkeiten bei Verfolgung und Prävention von Straftaten ===== |
| | |
| | Die DSGVO findet KEINE Anwendung bei der Verfolgung und Prävention von Straftaten. Hier gelten in Umsetzung der [[https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=uriserv%3AOJ.L_.2016.119.01.0089.01.DEU| Richtlinie (EU) 2016/680]] die §§ 31 ff. ThürDSG. Der maßgebliche § 50 ThürDSG weist (Art. 24 der Richtlinie (EU) 2016/680 folgend) Unterschiede zu den normalen Regeln auf. Dabei ist vor allem auffällig, dass in der DSGVO die Pflichtantgaben zu Profiling und Rechtsgrundlage im VVT fehlen. |
| |
| ^ Art. 30 DSGVO ^ § 50 ThürDSG (zu Art. 24 Richtlinie (EU) 2016/680) ^ | ^ Art. 30 DSGVO ^ § 50 ThürDSG (zu Art. 24 Richtlinie (EU) 2016/680) ^ |
