Der Datenschutzbeauftragte ist verantwortlich für die ordnungsgemäße Dokumentation des Umgangs mit den relevanten Daten. Hierzu erstellt der Datenschutzbeauftragte ein Verfahrensverzeichnis (auch Verfahrensübersicht genannt). Man unterscheidet zwischen dem internen Verfahrensverzeichnis und dem öffentlichen Verfahrensverzeichnis. Die Inhalte des Verfahrensverzeichnisses sind in § 4e BDSG genannt.
Internes Verfahrensverzeichnis
Der Inhalt des internen Verfahrensverzeichnisses ist in § 4 e BDSG aufgeführt. Danach muss das Verfahrenverzeichnis die folgenden Angaben enthalten:
- Name oder Firma der verantwortlichen Stelle,
- Inhaber, Vorstände, Geschäftsführer oder sonstige gesetzliche oder nach der Verfassung des Unternehmens berufene Leiter und die mit der Leitung der Datenverarbeitung beauftragten Personen,
- Anschrift der verantwortlichen Stelle,
- Zweckbestimmungen der Datenerhebung, -verarbeitung oder -nutzung,
- eine Beschreibung der betroffenen Personengruppen und der diesbezüglichen Daten oder Datenkategorien,
- Empfänger oder Kategorien von Empfängern, denen die Daten mitgeteilt werden können,
- Regelfristen für die Löschung der Daten,
- eine geplante Datenübermittlung in Drittstaaten,
- eine allgemeine Beschreibung, die es ermöglicht, vorläufig zu beurteilen, ob die Maßnahmen nach § 9 zur Gewährleistung der Sicherheit der Verarbeitung angemessen sind.
In Ziff. 9 verweist § 4 e BDSG auf § 9 BDSG. Danach ist anhand von technischen und organisatorischen Maßnahmen sicherzustellen, dass die Vorschriften des BDSG eingehalten werden. Dabei verweist § 9 BDSG auf eine Anlage zum BDSG. Insoweit sind die folgenden Vorgaben zu beachten bzw. im Verfahrensverzeichnis weitere Angaben zu dem nachfolgenden Punkten auszuführen:
- Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren (Zutrittskontrolle),
- zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können (Zugangskontrolle),
- zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können (Zugriffskontrolle),
- zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist (Weitergabekontrolle),
- zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind (Eingabekontrolle),
- zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können (Auftragskontrolle),
- zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle),
- zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können.
Gem. § 9 BDSG findet der Grundsatz der Verhältnismäßigkeit Anwendung. Maßnahmen sind nur dann erforderlich, wenn der Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht. Dies ist im Einzelfall zu beurteilen.
Neben den vorgenannten Angaben sollte das Verfahrensverzeichnis auch Ausführungen zu Zugangsberechtigungen enthalten. § 4 g Abs. 2 S 1 BDSG verpflichtet die verantwortliche Stelle insoweit, dem Datenschutzbeauftragten die erforderlichen Informationen zur Verfügung zu stellen.
Öffentliches Verfahrensverzeichnis.
Das öffentliche Verfahrensverzeichnis beinhaltet die Angaben nach § 4e S. 1 Nr. 1 bis 8 BDSG. Nicht Bestandteil sind damit Angaben zu technisch organisatorischen Maßnahmen gem. § 9 BDSG einschließlich der Angaben der Anlage zum BDSG.
