computerwoche.de

Compliance & Recht

Datenschutzgesetz

Das Wichtigste zum Verfahrensverzeichnis

01.04.2011
Von 


Renate Oettinger war Diplom-Kauffrau Dr. rer. pol. und arbeitete als freiberufliche Autorin, Lektorin und Textchefin in München. Ihre Fachbereiche waren Wirtschaft, Recht und IT. Zu ihren Kunden zählten neben den IDG-Redaktionen CIO, Computerwoche, TecChannel und ChannelPartner auch Siemens, Daimler und HypoVereinsbank sowie die Verlage Campus, Springer und Wolters Kluwer. Am 29. Januar 2021 ist Renate Oettinger verstorben.
Alle Posts des Autors Email:
Was nach dem Bundesdatenschutzgesetz strafbar ist oder eine Ordnungswidrigkeit darstellt, sagen Dr. Sebastian Kraska und Alma Lena Fritz.

Nach dem Bundesdatenschutzgesetz (BDSG) werden an den betrieblichen Datenschutz klare Anforderungen gestellt, damit personenbezogene Daten vor unbefugtem Zugriff geschützt werden. Das BDSG sieht in § 4g Abs. 2 BDSG zu diesem Zweck eine Dokumentation der Datenhaltung und eine Überwachung der Rechtmäßigkeit der Datenverarbeitungsvorgänge in Form eines sog. Verfahrensverzeichnisses vor, um die Überprüfung des Datenschutzes durch die diversen Kontrollinstanzen zu ermöglichen.

Was ist ein Verfahrensverzeichnis?

Generell kann das betriebliche Verfahrensverzeichnis als Sammlung aller Verfahrensbeschreibungen der bei Unternehmen aktuell eingesetzten automatisierten Verfahren bezeichnet werden. Es soll dabei die Datenverarbeitung sowohl nach innen als auch nach außen transparent gestalten. Gleichzeitig dient es der besseren Überwachung eines Unternehmens durch die Aufsichtsbehörden und die Öffentlichkeit.

Sinn des Verfahrensverzeichnisses ist letztlich der Persönlichkeitsschutz der Betroffenen

Sinn der Regelung in § 4g Abs. 2 BDSG ist es, dem Datenschutzbeauftragten ein erstes verlässliches Bild der konkreten Verarbeitungsbedingungen und ihres organisatorischen Rahmens zu vermitteln. Das Verfahrensverzeichnis dient somit der Vorbereitung der Arbeit des Datenschutzbeauftragten durch die Unternehmensleitung.

Unternehmensleitung ist für das Verfahrensverzeichnis verantwortlich

Gemäß § 4g Abs. 2 BDSG ist es Aufgabe der Unternehmensleitung, das Verfahrensverzeichnis zu erstellen. Diese bleibt auch nach der Übergabe der Übersicht an den Datenschutzbeauftragten zur Aktualisierung verpflichtet.

Was muss im Verfahrensverzeichnis aufgeführt werden?

Gemäß § 4e BDSG müssen in das Verfahrensverzeichnis die folgenden Angaben aufgenommen werden:

  • Der Name oder die Firma der verantwortlichen Stelle, welche personenbezogene Daten für sich selbst verarbeitet oder durch andere im Auftrag verarbeiten lässt, inklusive der Nennung der Inhaber, Vorstände, Geschäftsführer oder sonstigen gesetzlichen oder nach der Verfassung des Unternehmens berufenen Leiter und die mit der Leitung der Datenverarbeitung beauftragten Personen. Zusätzlich muss die Anschrift der verantwortlichen Stelle genannt werden.

  • Die Zweckbestimmungen der Datenerhebung, -verarbeitung oder -nutzung; diese muss vorher bestimmt und schriftlich dokumentiert werden (Beispiel "Personalverwaltung"). Tritt eine Änderung des Zwecks ein, so muss auch dies dokumentiert werden.

  • Eine Beschreibung der betroffenen Personengruppen und der diesbezüglichen Daten oder Datenkategorien; Zweck ist insoweit eine Abgrenzung hinsichtlich "sensibler Daten" (§ 3 Abs. 9 BDSG).

  • Empfänger oder Kategorien von Empfängern, denen die Daten mitgeteilt werden können. Zusätzlich sind ergänzende Angaben erforderlich, wenn Daten in Drittstaaten übermittelt werden sollen.

  • Regelfristen für die Löschung der Daten. Diese hat die verantwortliche Stelle bei der Festlegung der Verarbeitungszwecke zu treffen.

  • Eine allgemeine Beschreibung die es ermöglicht zu beurteilen, ob die Maßnahmen nach § 9 BDSG ("Technische und organisatorische Maßnahmen") zur Gewährleistung der Sicherheit der Verarbeitung angemessen sind.

  • Anmerkung: Gemäß § 4g Abs. 2 S. 1 BDSG muss dem betrieblichen Datenschutzbeauftragten von der Unternehmensleitung zudem eine Übersicht der Personen zur Verfügung gestellt werden, die Zugriff auf personenbezogene Daten nehmen können. Zugriffsberechtigte Personen sind dabei nur die Beschäftigten der verantwortlichen Stelle, die auf Grund ihrer Position oder Funktion Zugang zu den relevanten Daten haben. Bei Nennung der Positionen kann auf eine namentliche Nennung verzichtet werden.