plenty | no more missing links

Der Verfahrensdokumentation kommt insoweit eine besondere Bedeutung zu, als sie quasi die Arbeitsgrundlage der Tätigkeit darstellt. Die zwingend vorgeschriebene Erstellung der kompletten Dokumentation ist der reguläre Beginn der Tätigkeit der Datenschutzbeauftragten.

Die vorgeschriebene Dokumentation

Die Anfertigung des öffentlichen Verfahrensverzeichnisses ist eine relativ einfache Angelegenheit. Denkbar ist eine auf die Unternehmensart getrimmte Standardvorlage, beispielsweise in Excel, die mit dem Namen der Einrichtung, Anschrift und den Namen der fachverantwortlichen Personen ergänzt ausgefüllt wird. Im Bereich "HINTERGRUND: Downloads" habe ich für Sie Mustervorlagen bereitgestellt.

Rechtliche Grundlagen

Gemäß § 4g Abs. 2 Satz 2 BDSG macht der Datenschutzbeauftragte die Angaben nach § 4e Satz 1 Nrn. 1-8 BDSG auf Antrag Jedermann in geeigneter Weise verfügbar. Sofern ein Datenschutzbeauftragter nicht bestellt ist, obliegt diese Verpflichtung der verantwortlichen Stelle.

Begriffsdefinition

Verfahren ist ein Bündel von Verarbeitungen, die über eine vom Verantwortlichen definierte Zweckbestimmung verbunden sind (Begründung zu Art. 18 EG-Datenschutzrichtlinie). Verfahrensverzeichnis ist die zu veröffentlichende Übersicht für Jedermann (§ 4e Satz 1 Nrn. 1-8). Diese Bezeichnung wird z.B. auch im § 8 Abs. 1 des Brandenburgischen LDSG verwendet. Danach führt jede Daten verarbeitende Stelle, die Personen bezogene Daten verarbeitet, "ein Verzeichnis der automatisierten Verfahren (Verfahrensverzeichnis)".

Der Meldepflicht unterliegen nach § 4d Abs. 1 BDSG die Verfahren automatisierter Verarbeitungen. Da ein Verfahren aus mehreren Verarbeitungen bzw. Verarbeitungsgruppen besteht, kann die gesetzlich nach § 4d Abs. 6 Satz 2 BDSG zu erstellende Übersicht zum Zweck der Vorabkontrolle mit den Angaben nach § 4e Satz 1 Nr. 1-9 BDSG und den Angaben nach § 4g Abs. 2 BDSG über die zugriffsberechtigten Personen als Verarbeitungsübersicht bezeichnet werden. Die Verarbeitungsübersicht ist die Arbeitsgrundlage des Datenschutzbeauftragten.

Damit keine sensible Datenverarbeitung aus dem Raster der Vorabkontrolle herausfällt, ist zwangsläufig eine Übersicht aller geplanten personenbezogenen automatisierten Verarbeitungen nötig. Schon nach dem bisherigen § 37 Abs. 1 BDSG war der Beauftragte für den Datenschutz zum Zweck der Durchführung seiner Überwachungsaufgaben über (nicht nur sensible) Vorhaben der automatisierten Verarbeitung personenbezogener Daten rechtzeitig zu unterrichten. Der neue § 4g Abs. 1 Satz 3 Nr. 1 BDSG hat den gleichen Wortlaut.

Der Begriff "Automatisierte personenbezogene Verarbeitung" ist nach § 3 Abs. 2 BDSG "die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten unter Einsatz von Datenverarbeitungsanlagen". Zur Verdeutlichung sei noch aus Art. 2b EG-Datenschutzrichtlinie zitiert. Danach bezeichnet der Ausdruck "Verarbeitung personenbezogener Daten" ("Verarbeitung") jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Speichern, die Organisation, die Aufbewahrung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Benutzung, die Weitergabe durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung, die Kombination oder die Verknüpfung sowie das Sperren, Löschen oder Vernichten.