Aus dem Verfahrensverzeichnis bzw. der Verarbeitungsübersicht gemäß der §§ 4e und 4g BDSG/Artt. 18, 19 RL 95/46/EG wird künftig das Verzeichnis Verarbeitungstätigkeiten (VVT) gemäß Art. 30 DS-GVO. Nach Erwägungsgrund 82 der DS-GVO soll der Verantwortliche „zum Nachweis der Einhaltung dieser Verordnung“ das Verzeichnis von Verarbeitungstätigkeiten führen. Weiterhin kann die zuständige Aufsichtsbehörde die Vorlage verlangen, um die betreffenden Stellen hoheitlich zu kontrollieren. Bestehende Verarbeitungsübersichten nach den §§ 4e und 4g BDSG sind eine gute Grundlage für das VVT – müssen aber unter der DS-GVO angepasst werden.
In der Regel müssen alle Verantwortlichen (Unternehmen/Legaleinheiten/Behörden etc.) ein VVT führen. Gem. Art. 30 Abs. 5 DS-GVO ist diese Pflicht zwar beschränkt auf Unternehmen
- mit einer Größe ab 250 Mitarbeitern; oder
- mit einem besonderem Risiko bei der Verarbeitung; oder
- mit Verarbeitung von sensiblen Daten (Artt. 9 und 10 DS-GVO); oder
- einer nicht nur gelegentlichen Verarbeitung.
Der Information Commissioner (IC) ist der Datenschutzbeauftragte des Vereinigten Königreichs und leitet die britische Datenschutzbehörde, das Information Commissioner's Office (CIO). Der ICO hat nun auf seiner Seite eine umfangreiche Materialsammlung zum Thema Verzeichnis von Verarbeitungstätigkeiten nach Art: 30 DS-GVO online gestellt. Es werden zwei Muster zur Dokumentation angeboten:
Das erste Muster betrachtet die Verarbeitungen aus der Perspektive der für die Verarbeitung Verantwortlichen gem. Art. 30 Abs. 1 DS-GVO. Das zwei Muster richtet sich hingegen speziell an Auftragsverarbeiter und bemisst sich an Art. 30 Abs. 2 DS-GVO.
