Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO ist eine zentrale, aber aufwändige Aufgabe im Datenschutz. Unternehmen und Behörden müssen dokumentieren, in welchen Prozessen personenbezogene Daten verarbeitet werden – inklusive Angaben zu Zwecken, Empfängern und Speicherdauer. Besonders in großen Organisationen entsteht dabei ein erheblicher Aufwand, aber auch kleinere Unternehmen sind oft betroffen.
Trotz des Aufwands erfüllt das Verzeichnis wichtige Funktionen: Es schafft Transparenz, ermöglicht die rechtliche Bewertung von Verarbeitungen, unterstützt bei Sicherheitsprüfungen und hilft im Umgang mit Betroffenenanfragen oder Datenpannen. Vor allem dient es dem Nachweis der Einhaltung der DSGVO.
Zwar sieht Art. 30 Abs. 5 DSGVO eine Ausnahme für Unternehmen mit weniger als 250 Mitarbeitenden vor, doch diese gilt nicht, wenn regelmäßig oder risikobehaftet personenbezogene Daten verarbeitet oder besondere Kategorien betroffen sind. In der Praxis greifen diese Rückausnahmen fast immer, sodass die vermeintliche Entlastung ins Leere läuft.
Die EU-Kommission plant nun eine Reform: Die Schwelle soll auf 750 Mitarbeitende angehoben werden, und eine Pflicht zum Verzeichnis soll nur bei hohem Risiko im Sinne von Art. 35 DSGVO bestehen. Ob und wann die Reform kommt, ist noch unklar.
Näheres können Sie den verlinkten Bericht entnehmen: https://www.datenschutz-notizen.de/muessen-wir-bald-kein-verarbeitungsverzeichnis-mehr-fuehren-1854886/
Unsere Empfehlung
Auch wenn künftig Erleichterungen möglich sind, sollte jedes Unternehmen sein Datenschutzmanagement ernst nehmen und das Verzeichnis als zentrales Steuerungsinstrument nutzen – idealerweise unterstützt durch professionelle Beratung oder geeignete Tools.
