Datenschutz im Marketing

S. 106VIII. Das Verarbeitungsverzeichnis

126. Was ist ein Verarbeitungsverzeichnis und wozu dient es?

Nach Art 30 DSGVO haben der Verantwortliche, gegebenenfalls sein Vertreter und Auftragsverarbeiter, alle Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen, in ein Verzeichnis aufzunehmen. Dieses Verzeichnis ist schriftlich zu führen, was auch in einem elektronischen Format erfolgen kann.

Mit der Verpflichtung des Verantwortlichen, ein Verarbeitungsverzeichnis zu führen, soll sichergestellt werden, dass er die Bestimmungen der DSGVO einhält. Nach alter Rechtslage mussten Datenverarbeitungsverfahren lediglich zur Eintragung in das Datenverarbeitungsregister gemeldet werden. Insofern wird dem Verantwortlichen ein mitunter bedeutend größerer Aufwand auferlegt als bisher, um seine Verarbeitungstätigkeiten datenschutzrechtskonform zu gestalten.

Mit der Erstellung eines Verarbeitungsverzeichnisses geht der positive Nebeneffekt einher, sich einen Überblick über alle seine Verarbeitungstätigkeiten verschaffen zu müssen. Dadurch wird es leichter, die weiteren erforderlichen Schritte zur Anpassung der eigenen Datenverarbeitungen an die Bestimmungen des geltenden Datenschutzrechts zu setzen.

Schließlich handelt es sich beim Verarbeitungsverzeichnis in der Regel um das erste Dokument, das die Aufsichtsbehörde abfragt, wenn es zu Kontrollen kommt. Es lohnt sich auch vor diesem Hintergrund dieses besonders sorgfältig auszuarbeiten. Da der Verantwortliche und Auftragsverarbeiter ihr Verarbeitungsverzeichnis auf Anfrage der Aufsichtsbehörde (nicht jedoch von betroffenen Personen) zur Verfügung stellen müssen und gemäß Art 31 DSGVO im Fall einer solchen Anfrage die Pflicht zur Zusammenarbeit besteht, sollte – schon angesichts der möglichen hohen Geldbußen (Art 83 Abs 4 lit a DSGVO) – ein Verarbeitungsverzeichnis erstellt werden.