Das Verzeichnis muss für jedermann verfügbar gemacht werden

Gemäß § 4g Abs. 2 S. 2 BDSG ist das Verfahrensverzeichnis eines Betriebes (mit Ausnahme der Angaben zu § 9 BDSG) auf Antrag jedermann zur Verfügung zu stellen. "Jedermann" in diesem Sinne ist nicht nur der Betroffene selbst, sondern jede natürliche Person, die den Zugang begehrt. Ein "berechtigtes Interesse" oder ähnliches ist nicht nachzuweisen.

Was passiert, wenn das Verfahrensverzeichnis nicht ordnungsgemäß geführt wird?

Wird das Verfahrensverzeichnis nicht oder nicht ordnungsgemäß geführt, ist mit einem Einschreiten der Aufsichtsbehörden zu rechnen, die häufig von Dritten informiert werden, wenn ein Unternehmen auf Anfrage kein Verfahrensverzeichnis vorlegen kann. Die Aufsichtsbehörden haben ausweislich des § 38 Abs. 4 BDSG einen Anspruch auf Einsicht des Verfahrensverzeichnisses. Die von der Aufsichtsbehörde mit der Kontrolle beauftragten Personen sind hierzu notfalls befugt, während der Betriebs- und Geschäftszeiten Grundstücke und Geschäftsräume der Stelle zu betreten und dort Prüfungen und Besichtigungen vorzunehmen. Liegt kein ordnungsgemäßes Verfahrensverzeichnis vor kann dies je nach Aufsichtsbehörde auch die Verhängung eines Zwangsgeldes zur Folge haben, um die Erstellung eines Verzeichnisses zu veranlassen.

Darüber hinaus hat ein ordnungsgemäßes Verfahrensverzeichnis auch direkte Vorteile für den eigenen Betrieb. So benötigt der Datenschutzbeauftragte zur Erfüllung seiner gesetzlichen Aufgaben einen Überblick über die Struktur der einzelnen Datenverarbeitungsprozesse des Betriebes. Dazu muss ihm eine Übersicht unter anderem über die Datenverarbeitungshardware und -software zur Verfügung stehen, damit er durch eine Gesamtbetrachtung der Vorgänge die Gesetzeskonformität aller Datenverarbeitungsvorgänge fördern kann.

Fazit

Ein Verfahrensverzeichnis muss erstellt werden, um Auseinandersetzungen mit der Datenschutz-Aufsichtsbehörde zu vermeiden. Das Führen eines ordnungsgemäßen Verfahrensverzeichnisses hat darüber hinaus direkte Vorteile für den Betrieb, da die Transparenz erhöht und die Arbeit des Datenschutzbeauftragten erleichtert wird. (oe)

Kontakt:

Der Autor Dr. Sebastian Kraska ist Rechtsanwalt und externer Datenschutzbeauftragter im IITR Institut für IT-Recht - Kraska GmbH. Die Autorin Alma Lena Fritz ist Rechtsassessorin. IITR Institut für IT-Recht - Kraska GmbH, Eschenrieder Straße 62c, 82194 Gröbenzell, Tel.: 089 5130392-0, E-Mail: skraska@iitr.de, Internet: www.iitr.de