Was muss in einem Verarbeitungsregister stehen?

Was im Verarbeitungsverzeichnis eingetragen ist

Ein Verarbeitungsverzeichnis beschreibt für jede Verarbeitung personenbezogener Daten durch eine Organisation, wer wofür verantwortlich ist und was mit den Daten geschieht. Konkret geht es um den Namen und die Kontaktdaten der Organisation (und des Datenschutzbeauftragten, falls vorhanden), die Zwecke der Datenverarbeitung, die Kategorien betroffener Personen und Kategorien personenbezogener Daten, die Kategorien von Empfängern, an die Daten weitergegeben werden, ob Daten außerhalb der EU verarbeitet werden und unter welchen Garantien, die Aufbewahrungsdauer oder das Kriterium für deren Festlegung, sowie eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen.

Eine Organisation, die selbst als Auftragsverarbeiter tätig ist — also personenbezogene Daten im Auftrag einer anderen Partei verarbeitet — führt ein vergleichbares, aber etwas eingeschränkteres Verzeichnis, das sich auf die Kategorien von Verarbeitungen für jeden Auftraggeber konzentriert. Für kleinere Organisationen sieht Artikel 30 der DSGVO eine Ausnahme vor: Wer weniger als 250 Personen beschäftigt, muss dieses Verzeichnis nicht führen, es sei denn, die Verarbeitung stellt ein Risiko für die Rechte und Freiheiten betroffener Personen dar, ist nicht gelegentlich oder betrifft besondere Kategorien personenbezogener Daten oder Daten über strafrechtliche Verurteilungen. In der Praxis betrifft diese Ausnahme weniger KMU-Unternehmen, als sie zu versprechen scheint, weil die regelmäßige Verarbeitung von Kunden- oder Personaldaten schnell nicht mehr als gelegentlich gilt.

Rechtsgrundlage: Artikel 30 DSGVO

Diese Elemente sind in Artikel 30 Absätze 1 und 2 der DSGVO aufgelistet, wobei die Ausnahme für kleinere Organisationen in Absatz 5 desselben Artikels enthalten ist; die Autoriteit Persoonsgegevens erläutert auf ihrer Website, wie sie dies in der niederländischen Praxis bewertet.