Das Verzeichnis von Verarbeitungstätigkeiten ist ein Pflichtdokument nach der DSGVO, in dem ein Unternehmen alle Verarbeitungen personenbezogener Daten auflistet. Es enthält Angaben zu Zweck, Datenkategorien, Empfängern und Löschfristen. Es dient der Transparenz und als Grundlage für die Datenschutz-Governance.
Definition
Das Verzeichnis von Verarbeitungstätigkeiten ist ein zentrales Dokument des Datenschutzes nach Artikel 30 DSGVO. Es dokumentiert systematisch alle Verarbeitungsvorgänge personenbezogener Daten im Unternehmen. Für jede Verarbeitung werden der Zweck, die betroffenen Personengruppen, die Datenkategorien, die Empfänger, Übermittlungen in Drittländer, Löschfristen und die technisch-organisatorischen Maßnahmen erfasst. Das Verzeichnis muss aktuell gehalten werden und der Aufsichtsbehörde auf Anfrage vorgelegt werden können. Es schafft Transparenz über die Datenflüsse im Unternehmen und bildet die Grundlage für Datenschutz-Folgenabschätzungen und die Erfüllung der Rechenschaftspflicht. Auch wenn Unternehmen unter bestimmten Voraussetzungen von der Pflicht befreit sind, ist das Verzeichnis für die meisten KMU sinnvoll.
Praxisbezug
Ein Logistikunternehmen erstellt sein Verzeichnis der Verarbeitungstätigkeiten. Es listet die Verarbeitung von Mitarbeiterdaten in der Personalabteilung, Kundendaten im Warenwirtschaftssystem und Bewerberdaten auf. Für jede Verarbeitung werden Zweck, Datenkategorien und Löschfristen erfasst. Der Datenschutzbeauftragte aktualisiert das Verzeichnis regelmäßig und stellt es der Aufsichtsbehörde auf Anfrage zur Verfügung.
Normbezug
DSGVO Artikel 30