Kapitel 2: Verzeichnis von Verarbeitungstätigkeiten: leicht gemacht

I. Grundsatz

Zunächst die schlechte Nachricht: Ab dem 25.05.2018 muss quasi jede Stelle, die Daten verarbeitet, Ihre Steuerberatungskanzlei, Ihre Anwaltskanzlei, Ihr Unternehmen, ein - schriftliches oder elektronisches - Verzeichnis ihrer Datenverarbeitungstätigkeiten führen, Art. 30 Abs. 1 DSGVO. Der für den Datenschutz Verantwortliche (s. hierzu bereits Kap. 1, Ziff. III) hat der Aufsichtsbehörde auf Anfrage zur Kontrolle der Verarbeitungsvorgänge das Verzeichnis vorzulegen. Im Übrigen ist es nicht öffentlich, d.h., es ist zwar der Behörde auf Anforderung auszuhändigen, aber nicht den betroffenen Personen.

Kritik seitens der Anwaltschaft

Rechtsanwälte kritisieren die Vorlagepflicht scharf, denn sie konterkariert die - strafrechtlich bewehrte - anwaltliche Schweigepflicht (s. hierzu bereits Kap. 1, Ziff. I). Die Einsicht in das Verarbeitungsverzeichnis ermöglicht gleichzeitig Einblick in sensible Daten der Mandantschaft. Dies ändert nichts daran, dass die Vorlagepflicht zu beachten ist. Einzelfragen der Einsichtnahme wird die Rechtsprechung zu klären haben.

Herzstück der Reform

Das Verarbeitungsverzeichnis (bisher als "Verfahrensverzeichnis" nur für bestimmte Betriebe vorgesehen, § 4g BDSG a.F.) ist das Herzstück der Reform und steht im Zentrum der Dokumentationspflicht des Verantwortlichen, was seine Datenverarbeitung angeht. Es hat zwei Funktionen:

1.