Zunächst müssen Sie die Verarbeitung personenbezogener Daten in Ihrem Unternehmen ermitteln und Datenkategorien und Systeme dokumentieren, in denen sie verarbeitet werden. Wir haben dies in unserem Blog besprochen: Eine “Verarbeitungsaktivität” kann als eine Reihe von Verarbeitungsschritten verstanden werden, die einem einzelnen, übergeordneten Zweck dienen, z. B. einem bestimmten Geschäftsprozess oder einem IT-Tool. Beachten Sie, dass Aufzeichnungen über Verarbeitungstätigkeiten ein Ausgangspunkt für die Prüfung durch die Aufsichtsbehörde sein werden. Manchmal werden die Aufzeichnungen der Verarbeitungsaktivitäten mit Checklisten vermischt, um die DSGVO-Konformität der Datenverarbeitung zu bewerten. Ich persönlich empfehle, die Aufzeichnungen der Datenverarbeitungsaktivitäten (reine Dokumentation) und die Überprüfung der Datenverarbeitungsaktivitäten klar voneinander zu trennen. Bei der Feststellung, ob bestimmte Verarbeitungsvorgänge eine Hauptverarbeitungstätigkeit oder mehrere kleinere Verarbeitungstätigkeiten darstellen, können folgende Aspekte berücksichtigt werden: Bei dem Datensatz handelt es sich um ein internes Dokument. Sie trägt dazu bei, ein Gesamtbild der Verarbeitung personenbezogener Daten zu erstellen, und zeigt ihrerseits, dass die personenbezogenen Daten in Übereinstimmung mit den Datenschutzgesetzen verarbeitet werden. Tatsächlich ist die Aufzeichnung ein integraler Bestandteil des Nachweises der Rechenschaftspflicht der Organisation.
Sehr einfache Beispiele und Vorlagen für Dieaufzeichnungen über die Verarbeitungstätigkeit von Kleinbetrieben der bayerischen Datenschutzbehörde (für Vereine, Kfz-Werkstatt, Handwerk, Arztpraxis, Onlineshop, Beherbergungsbetrieb): www.lda.bayern.de/de/kleine-unternehmen.html Die Verpflichtung zur Erstellung einer Aufzeichnung der Verarbeitungsaktivitäten gilt für alle Organisationen mit mehr als 250 Mitarbeitern. Kleinere Organisationen sind auch verpflichtet, das Protokoll zu erstellen, wenn es sich bei der Aufzeichnung der Verarbeitungstätigkeiten um eine schriftliche Beschreibung der Verarbeitung personenbezogener Daten durch Organisationen handelt. Sie müssen Aufzeichnungen über Verarbeitungsaktivitäten führen, wenn Ihr Unternehmen 250 oder mehr Mitarbeiter beschäftigt. Beispiel: Sollten Sie eine Verarbeitungsaktivität “Verwaltung von Bewertungsinterviews” oder zwei Verarbeitungsaktivitäten “Zielvereinbarung” und “Messung der Zielerreichung” haben? Die Aufzeichnungen über die Verarbeitungstätigkeiten sind jedoch auch ein zentraler Bestandteil eines Datenschutzmanagementsystems, um die Einhaltung des Datenschutzrechts zu gewährleisten.
