Diese Lektion behandelt die Inhalte, die für das Verzeichnis der Verarbeitungstätigkeiten relevant sind.

Der Verantwortliche

Das bist in der Regel du selbst. Bei einer GmbH ist es das Unternehmen und dessen Geschäftsführer.

Der gemeinsam Verantwortliche

In Ausnahmefällen entscheidest nicht nur du allein über Zweck und Art der Verarbeitung. Ein zweiter Verantwortlicher hat dieselben Rechte und Pflichten. In diesem Fall muss er hier genannt werden. Das ist allerdings die Ausnahme.

Der Zweck der Verarbeitung

muss genannt werden. Was bedeutet das für dich? Personenbezogene Daten unterliegen der Zweckbindung. Das heißt, sie dürfen nur für einen bestimmten, zuvor definierten Zweck verarbeitet werden. Beschreibe deshalb den Zweck der Verarbeitung genau. Dieser muss selbstverständlich mit dem Zweck übereinstimmen, den du dem Betroffenen genannt hast. Der Zweck darf nur mit Zustimmung des Betroffenen geändert werden.

Die Kategorien betroffener Personen

haben wir bereits besprochen. Hier noch ein paar weitere Beispiele: Franchisenehmer, Freiberufler, Geschädigte, Gesellschafter, Interessenten, Internet-Besucher, Kreditoren, Lieferanten und so weiter.

Die Kategorien personenbezogene Daten

umfassen zum Beispiel "Arbeitszeitdaten" bei der Projekterfassung oder für den Fall, dass du Mitarbeiter oder Freelancer suchst, auch "Bewerberdaten".

Selbstverständlich fallen bei beschäftigten Mitarbeitenden Gehaltsdaten an.

Dein Webserver speichert in der Regel Internetnutzungsdaten und dein CRM-System bzw. deine Adressdatenbank die Kontaktdaten deiner Kunden, Interessenten und sonstiger Personen.

Die Kategorien von Empfängern

Diese Kategorie ist nicht ganz einfach, denn es sind nicht nur Empfänger außerhalb deines Unternehmens gemeint, sondern auch interne Empfänger oder Dritte. Hier ein paar Beispiele:

Zu deinen internen Empfängern zählen unter anderem: Die Personalabteilung, der Einkauf, die Marketing- oder Werbeabteilung, die Buchhaltung.

Externe Empfänger sind in der Regel Auftragsverarbeiter. Du musst mit ihnen einen Auftragsverarbeitungsvertrag abschließen. Als Beispiel kann Folgendes genannt werden:

Ein externer IT-Support für dich oder deine Kunden, der Hosting-Dienstleister deiner Webiste, ein Lohnbüro oder jemand, der für die Webentwicklung zuständig ist – all das sind externe Empfänger. Auch ein Callcenter oder Clouddienstleister ist ein externer Empfänger.

Dritte sind beispielsweise Banken, Behörden, Versicherungen, Steuerberater, Ärzte oder das Finanzamt. Das heißt, es sind Gruppierungen, die die Daten in eigener Verantwortung verarbeiten und mit denen du keinen AVV abschließen musst.

Datenübermittlungen in Drittländer oder internationale Organisationen

Hier sollte möglichst stehen: "Die Daten werden nicht in ein Drittland übertragen."

Wenn Daten in ein Drittland, zum Beispiel die USA, übertragen werden, muss die Rechtsgrundlage der Übertragung klar benannt werden.

Fristen der Löschung & technisch-organisatorischen Maßnahmen

Du kannst bei den Fristen der Löschung und bei den technisch-organisatorischen Maßnahmen auf getrennte Dokumente verweisen. Das hat den Vorteil, dass du bei einer Änderung der Löschfristen oder der TOMs nur das entsprechende Dokument ändern musst und nicht jede Verarbeitung.

Bei einer Verarbeitung durch einen Auftragsverarbeiter genügt der Hinweis "Es gelten die technisch-organisatorischen Maßnahmen des Auftragsverarbeiters". Dieser Hinweis muss auch in den getrennten TOMs aufgeführt werden.

Das Verzeichnis der Verarbeitungstätigkeiten erstellen.

Sie müssen sich anmelden, um den Kurs zu starten.