Bin ich verpflichtet ein VVT zu führen?
Nach Art. 30 Abs. 1 DSGVO sind alle Verantwortlichen, die personenbezogene Daten verarbeiten, dazu verpflichtet ein Verarbeitungsverzeichnis zu führen. Verantwortliche*r ist in diesem Kontext die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
Gibt es Ausnahmen von der Pflicht zur Führung eines VVT?
Von der Pflicht ausgenommen sind Unternehmen, die weniger als 250 Mitarbeiter*innen beschäftigen. Die Pflicht besteht in diesem Fall nur dann, wenn:
- Die Verarbeitung nicht nur gelegentlich erfolgt,
- Die Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen darstellen könnte,
- Besondere Kategorien personenbezogener Daten (z.B. Gesundheitsdaten, Daten zur ethnischen Herkunft oder strafrechtliche Verurteilungen) verarbeitet werden.
Da in einem Online-Shop die Verarbeitung personenbezogener Daten regelmäßig und in großem Umfang erfolgt, greift diese Ausnahme in der Regel nicht. Selbst kleine und mittlere Online-Shops sollten daher unbedingt ein Verarbeitungsverzeichnis führen.
Warum ist die Erstellung eines VVT wichtig?
Das Verarbeitungsverzeichnis bietet eine Übersicht über alle Datenverarbeitungsprozesse in Ihrem Unternehmen und somit einen Nachweis der DSGVO-Konformität.
Im Falle einer Überprüfung durch die Aufsichtsbehörde ist das Verarbeitungsverzeichnis eines der ersten Dokumente, das angefordert wird. Auf Grund dessen, dass das Verarbeitungsverzeichnis digital geführt und gepflegt wird, kann dieses schnellstmöglich zur Verfügung gestellt werden. Die korrekte Führung eines Verarbeitungsverzeichnisses kann Sie dabei unterstützen, Bußgelder und andere rechtliche Konsequenzen zu vermeiden.
Welche Informationen muss ein VVT enthalten?
Das Verarbeitungsverzeichnis muss gem. Art. 30 Abs. 1 S. 2 DSGVO folgende Angaben enthalten:
- Name und Kontaktdaten des Verantwortlichen
- Zweck der Verarbeitung
- Welche Personen von der Verarbeitung betroffen sind
- Welche personenbezogene Daten verarbeitet werden
- Wer die personenbezogenen Daten erhält (intern und extern)
- Übermittlung in Drittländer und Sicherheitsvorkehrungen
- Geplante Löschfristen
- Technische und organisatorische Maßnahmen
Wie oft muss das VVT aktualisiert werden?
Das Verarbeitungsverzeichnis sollte regelmäßig überprüft und aktuell gehalten werden, insbesondere, wenn sich Prozesse im Unternehmen ändern oder neue Datenverarbeitungen stattfinden. Somit kann eine aktuelle und vollständige Übersicht der Datenverarbeitungsprozesse gewährleistet werden.
