Datenschutzreform 2018

Die bereitgestellten Informationen sollen die bayerischen öffentlichen Stellen bei der Umstellung auf die Datenschutz-Grundverordnung unterstützen.
Sie wollen einen Beitrag zum Verständnis des neuen Rechts leisten, nehmen aber keine Verbindlichkeit in Anspruch.

Das Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 Datenschutz-Grundverordnung (DSGVO)

1. Vom Verfahrensverzeichnis zum Verarbeitungsverzeichnis

Bislang müssen bayerische öffentliche Stellen, die automatisierte Verfahren zur Verarbeitung personenbezogener Daten einsetzen, ein Verfahrensverzeichnis nach Art. 27 Bayerisches Datenschutzgesetz (BayDSG) führen. Zuständig hierfür ist der jeweilige behördliche Datenschutzbeauftragte (Art. 27 Abs. 1 BayDSG).

Ab dem 25. Mai 2018 gilt für bayerische öffentliche - insbesondere staatliche und kommunale - Stellen allerdings ein neuer Rechtsrahmen:

Das bisherige Bayerische Datenschutzgesetz wird abgelöst durch die dann unmittelbar geltende Datenschutz-Grundverordnung (DSGVO) sowie eine Neufassung des Bayerischen Datenschutzgesetzes (Landtags-Drucksache Nummer 17/19628, im Folgenden: BayDSG-E).

Die gesetzlich vorgesehene Pflicht zur Führung eines Verfahrensverzeichnisses nach Art. 27 BayDSG wird ab diesem Zeitpunkt hinfällig. Stattdessen sieht Art. 30 DSGVO künftig vor, dass jeder Verantwortliche (Art. 30 Abs. 1 DSGVO) und jeder Auftragsverarbeiter (Art. 30 Abs. 2 DSGVO) ein Verzeichnis von Verarbeitungstätigkeiten (im Folgenden: Verarbeitungsverzeichnis) zu führen hat.

2. Das alte und das neue Recht im Vergleich

Nachfolgend werden in einem Überblick die wesentlichen Unterschiede zwischen dem bisherigen Verfahrensverzeichnis nach Art. 27 BayDSG und dem künftigen Verarbeitungsverzeichnis nach Art. 30 DSGVO dargestellt.

Was ist in das Verzeichnis aufzunehmen?
- Verfahrensverzeichnis: automatisierte Verfahren;
- Verarbeitungsverzeichnis: (ganz oder teilweise) automatisierte Verarbeitungstätigkeiten sowie nichtautomatisierte Verarbeitungstätigkeiten, soweit personenbezogene Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen (vgl. Art. 2 Abs. 1 DSGVO, Art. 2 BayDSG-E).
Wer führt das Verzeichnis?
- Verfahrensverzeichnis: der behördliche Datenschutzbeauftragte (Art. 27 Abs. 1 BayDSG);
- Verarbeitungsverzeichnis: jeder "Verantwortliche" (Art. 30 Abs. 1 DSGVO) und jeder "Auftragsverarbeiter" (Art. 30 Abs. 2 DSGVO). Der behördliche Datenschutzbeauftragte erhält allerdings Zugang zum Verarbeitungsverzeichnis (Art. 12 Abs. 1 Satz 1 Nr. 1 BayDSG-E).
Welchen Pflichtinhalt hat das Verzeichnis?
- Verfahrensverzeichnis: Für jedes automatisierte Verfahren sind die Angaben nach Art. 26 Abs. 2 BayDSG festzuhalten (Art. 27 Abs. 2 BayDSG);
- Verarbeitungsverzeichnis: Das Verarbeitungsverzeichnis des Verantwortlichen hat die in Art. 30 Abs. 1 DSGVO aufgeführten Angaben zu enthalten. Im Anwendungsbereich der Richtlinie (EU) 2016/680 (im Folgenden: Datenschutz-Richtlinie für Polizei und Strafjustiz) ist insbesondere Art. 31 Satz 1 BayDSG-E zu beachten, der die Aufnahme zusätzlicher Angaben in das Verarbeitungsverzeichnis vorgibt. Der Inhalt des Verarbeitungsverzeichnisses eines Auftragsverarbeiters richtet sich nach Art. 30 Abs. 2 DSGVO.
Wer kann Einsicht in das Verzeichnis nehmen?
- Verfahrensverzeichnis: Dieses kann von jedem kostenfrei eingesehen werden (Art. 27 Abs. 3 Satz 1 BayDSG).
- Verarbeitungsverzeichnis: Ein allgemeines Einsichtsrecht sieht Art. 30 DSGVO dagegen nicht vor. Das Verarbeitungsverzeichnis ist allerdings der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen (Art. 30 Abs. 4 DSGVO).

3. Welche bayerischen öffentlichen Stellen sind zur Führung eines Verarbeitungsverzeichnisses verpflichtet?

Die Pflicht, ein Verarbeitungsverzeichnis zu führen, trifft jede bayerische öffentliche Stelle, welche personenbezogene Daten (ganz oder teilweise) automatisiert verarbeitet oder - im Fall einer nichtautomatisierten Verarbeitung - personenbezogene Daten in einem Dateisystem speichert oder dies beabsichtigt (Art. 2 Abs. 1 DSGVO, Art. 2 BayDSG-E). Die Ausnahmeregelung des Art. 30 Abs. 5 DSGVO ist auf öffentliche Stellen - wie Art. 31 Satz 2 BayDSG-E ausdrücklich klarstellt - nicht anwendbar.

4. Sinn und Zweck des Verarbeitungsverzeichnisses

Das Verarbeitungsverzeichnis dient in erster Linie dem Nachweis, dass die Verarbeitung personenbezogener Daten durch den Verantwortlichen oder den Auftragsverarbeiter im Einklang mit den datenschutzrechtlichen Vorgaben erfolgt.

In diesem Zusammenhang soll es der Aufsichtsbehörde eine erste Rechtmäßigkeitskontrolle ermöglichen (vgl. Erwägungsgrund - ErwGr - 82 DSGVO). Das Verarbeitungsverzeichnis ist somit Grundlage und wesentlicher - jedoch nicht einziger - Baustein, um der in Art. 5 Abs. 2 DSGVO allgemein normierten "Rechenschaftspflicht" des Verantwortlichen nachzukommen.

5. In welcher Form ist das Verarbeitungsverzeichnis zu führen?

Das Verarbeitungsverzeichnis ist schriftlich zu führen; dies kann auch in einem elektronischen Format erfolgen (Art. 30 Abs. 3 DSGVO). Die Form der Verzeichnisführung muss es der Aufsichtsbehörde allerdings ermöglichen, anhand des Verarbeitungsverzeichnisses eine erste Rechtmäßigkeitskontrolle durchzuführen (siehe bereits oben unter Nr. 4). Bei einem elektronisch geführten Verzeichnis kann dies - im Rahmen der Verhältnismäßigkeit - die Vorlage von Ausdrucken erforderlich machen.

6. Aktualisierungspflicht

Um der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO Genüge zu tun, ist das Verzeichnis aktuell zu halten und somit im erforderlichen Umfang fortlaufend zu aktualisieren.

Die öffentliche Stelle sollte daher interne Regelungen vorsehen, die insbesondere sicherstellen, dass die das Verzeichnis führende Organisationseinheit zeitnah von der Einführung neuer oder von Änderungen bereits etablierter Verarbeitungstätigkeiten erfährt. Solche Regelungen können etwa Bestandteil einer umfassenden Datenschutz-Dienstanweisung sein.

7. Das Verarbeitungsverzeichnis des Verantwortlichen (Art. 30 Abs. 1 DSGVO)

Der Verantwortliche hat ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen, zu führen (Art. 30 Abs. 1 Satz 1 DSGVO).

Zum Begriff der "Verarbeitungstätigkeit":
Der Begriff "Verarbeitungstätigkeit" umfasst alle Verarbeitungsvorgänge und Vorgangsreihen, die einem gemeinsamen, festgelegten Zweck dienen. Ausgehend von Sinn und Zweck des Verarbeitungsverzeichnisses sollte dieses alle Verarbeitungstätigkeiten hinreichend konkret, andererseits aber auch nicht zu kleinteilig abbilden, um der Aufsichtsbehörde - aber auch dem Verantwortlichen - eine erste Rechtmäßigkeitskontrolle anhand des Verzeichnisses zu ermöglichen.

Ausreichend, aber auch erforderlich ist demnach ein zusammenfassender Verzeichniseintrag für die jeweilige Verarbeitungstätigkeit. Ausgehend von ihrem jeweiligen Zweck sollte diese Verarbeitungstätigkeit verständlich und hinreichend konkret bezeichnet werden.

Beispiele: "Personalaktenführung", "Zeiterfassung", "Führung des Melderegisters".
Die Beschreibung der jeweiligen Verarbeitungstätigkeit:
Zu jeder Verarbeitungstätigkeit ist eine Beschreibung zu erstellen, welche jedenfalls die in Art. 30 Abs. 1 Satz 2 DSGVO - und im Anwendungsbereich der Datenschutz-Richtlinie für Polizei und Strafjustiz zusätzlich die in Art. 31 Satz 1 BayDSG-E - genannten Angaben enthält.

Gegenüber dem bisherigen Verfahrensverzeichnis in das Verarbeitungsverzeichnis zusätzlich aufzunehmen sind dabei insbesondere der Name und die Kontaktdaten des behördlichen Datenschutzbeauftragten, die Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder offengelegt werden, (Art. 30 Abs. 1 Satz 2 Buchst. d DSGVO) sowie eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß Art. 32 Abs. 1 DSGVO.

Über diesen Pflichtinhalt hinaus kann der Verantwortliche das Verarbeitungsverzeichnis um weitere, zusätzliche Angaben ergänzen, um seiner Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO noch wirkungsvoller nachzukommen. Sinnvoll sind in diesem Zusammenhang insbesondere Angaben zur Rechtsgrundlage (im Anwendungsbereich der Datenschutz-Richtlinie für Polizei und Strafjustiz ist dies nach Art. 31 Satz 1 BayDSG-E ohnehin verpflichtend) sowie zur Notwendigkeit einer Datenschutz-Folgenabschätzung.

Das Verarbeitungsverzeichnis stellt somit die Summe der Beschreibungen der einzelnen Verarbeitungstätigkeiten dar.
Muster für die Beschreibung einer Verarbeitungstätigkeit:
Um die bayerischen öffentlichen Stellen bei der praktischen Umsetzung der Datenschutz-Grundverordnung zu unterstützen, hat das Bayerische Staatsministerium des Innern, für Bau und Verkehr unter meiner Beteiligung ein mit Erläuterungen versehenes Musterformular für die Beschreibung einer Verarbeitungstätigkeit entwickelt.

Dieses Musterformular ist auf dem Internetauftritt des Innenministeriums unter https://www.stmi.bayern.de/sus/datensicherheit/datenschutz/reform_arbeitshilfen (externer Link) abrufbar.

Ich empfehle den bayerischen öffentlichen Stellen, ihr jeweiliges Verarbeitungsverzeichnis unter Verwendung dieses Musters zu erstellen bzw. - bei einer elektronischen Verzeichnisführung - sich inhaltlich an diesem Muster zu orientieren.

8. Das Verarbeitungsverzeichnis des Auftragsverarbeiters (Art. 30 Abs. 2 DSGVO)

Jeder Auftragsverarbeiter hat ein Verarbeitungsverzeichnis mit dem in Art. 30 Abs. 2 DSGVO normierten Inhalt zu führen.

Im Unterschied zum Verarbeitungsverzeichnis des Verantwortlichen nach Art. 30 Abs. 1 DSGVO bezieht sich dieses Verzeichnis jedoch nicht auf die einzelnen Verarbeitungstätigkeiten, sondern auf die Kategorien von Tätigkeiten der Verarbeitung, die im Auftrag eines Verantwortlichen durchgeführt werden. Der in Art. 30 Abs. 2 DSGVO vorgegebene Katalog an Pflichtangaben zu den einzelnen "Verarbeitungskategorien" ist zudem weniger umfangreich als derjenige nach Art. 30 Abs. 1 Satz 2 DSGVO.