3 Fragen zu Verarbeitungsverzeichnis

Das Verarbeitungsverzeichnis und die Datenschutzfolgeabschätzung sind zentrale Elemente des Datenschutzrechts, insbesondere im Rahmen der Datenschutz-Grundverordnung (DSGVO). 1. **Verarbeitungsverzeichnis**: Ein Verarbeitungsverzeichnis ist ein Dokument, das von Verantwortlichen und Auftragsverarbeitern geführt werden muss. Es enthält Informationen über alle Verarbeitungstätigkeiten, die personenbezogene Daten betreffen. Zu den erforderlichen Angaben gehören unter anderem der Zweck der Verarbeitung, die Kategorien von betroffenen Personen und Daten, die Empfänger der Daten, die Speicherdauer sowie eine Beschreibung der technischen und organisatorischen Maßnahmen zum Schutz der Daten. Das Verzeichnis dient der Transparenz und Nachvollziehbarkeit der Datenverarbeitung und ist ein wichtiges Instrument zur Einhaltung der Datenschutzvorschriften. 2. **Datenschutzfolgeabschätzung (DSFA)**: Eine Datenschutzfolgeabschätzung ist ein Verfahren, das durchgeführt werden muss, wenn eine Verarbeitung von personenbezogenen Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen zur Folge hat. Die DSFA dient dazu, die Risiken der Datenverarbeitung zu identifizieren, zu bewerten und gegebenenfalls Maßnahmen zur Risikominderung zu ergreifen. Sie umfasst eine Beschreibung der geplanten Verarbeitung, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung sowie eine Einschätzung der Risiken und der geplanten Maßnahmen zur Risikominderung. Die DSFA ist ein wichtiges Instrument, um proaktiv Datenschutzrisiken zu managen und die Rechte der betroffenen Personen zu schützen.

Nach Art. 30 DSGVO (Datenschutz-Grundverordnung) müssen grundsätzlich alle Verarbeitungstätigkeiten, bei denen personenbezogene Daten verarbeitet werden, in das sogenannte Verzeichnis von Verarbeitungstätigkeiten aufgenommen werden. Es gibt jedoch eine Ausnahme: **Kleine Unternehmen und Organisationen** mit weniger als 250 Mitarbeitern müssen kein Verzeichnis führen, **es sei denn**: - Die Verarbeitung erfolgt nicht nur gelegentlich, - es werden besondere Kategorien personenbezogener Daten verarbeitet (z. B. Gesundheitsdaten, Daten zur ethnischen Herkunft, religiöse Überzeugungen), - oder die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen. In der Praxis bedeutet das: Die meisten Unternehmen und Organisationen müssen ein Verzeichnis führen, da die Ausnahmen sehr eng gefasst sind. Sobald regelmäßig personenbezogene Daten verarbeitet werden (z. B. Lohnbuchhaltung, Kundenverwaltung), ist ein Verzeichnis erforderlich. **Weitere Informationen:** [Art. 30 DSGVO – Verzeichnis von Verarbeitungstätigkeiten](https://dsgvo-gesetz.de/art-30-dsgvo/)

Ja, auch Verarbeitungstätigkeiten, die nur gelegentlich oder alle paar Jahre durchgeführt werden, müssen im Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO aufgeführt werden. Die DSGVO macht keine Ausnahme für seltene oder unregelmäßige Verarbeitungsvorgänge. Entscheidend ist, dass personenbezogene Daten verarbeitet werden – unabhängig von der Häufigkeit. Das Verzeichnis soll einen vollständigen Überblick über alle Verarbeitungstätigkeiten geben, um Transparenz und Nachvollziehbarkeit zu gewährleisten. Auch seltene Vorgänge, wie z.B. eine alle fünf Jahre stattfindende Mitarbeiterbefragung, müssen daher dokumentiert werden.