Im Rahmen der Blog-Reihe „Ein Spaziergang durch die DS-GVO“ betrachten wir die einzelnen Artikel der Datenschutz-Grundverordnung aus einem etwas anderen Blickwinkel. Ziel ist kein x-ter Kommentar, es soll eher ein Datenschutz-Feuilleton entstehen, mit Anmerkungen und Überlegungen auch zu Artikeln, die Sie im Datenschutz-Alltag vielleicht noch nie gelesen haben. Heute wieder eine längere Etappe und eine ziemlich bekannte: Das Verarbeitungsverzeichnis. Wir versuchen, trotzdem nicht nur ausgetretene Pfade zu gehen, sondern auch Neues zu besichtigen.
Vom Verfahrensverzeichnis zur Verarbeitungstätigkeit
Schon vor der DS-GVO im Datenschutz Aktive haben sich noch jahrelang verplaudert und mit der alten Terminologie vom „Verfahrensverzeichnis“ gesprochen. Besser war der frühere Begriff allemal – jedenfalls im Deutschen. Aus „arbeiten“ und „tätig sein“ ein (!) Substantiv zu bilden, ist eine echte juristokratische Leistung. Die Verarbeitungstätigkeit. Wer so spricht, hat den Kontakt zum Leben verloren und ist echter Experte.
Wer Datenschutz gestalten will, muss ihn erst aufschreiben
Artikel 30 hat auch ansonsten oft das Image einer Bürokratie-Aufgabe. Dabei ist die Grundidee einleuchtend: Nur wer seine Datenverarbeitung kennt, kann sie gestalten und Daten schützen. Und wo die Wissenslücken liegen, merkt man am besten beim Aufschreiben. Deshalb wird Textform verlangt… aber der Reihe nach. Laufen wir – wie so oft bewährt – wieder rückwärts durch die Landschaft:
Absatz 5 am besten vergessen und weglassen. Die Ausnahmen von der VVT-Pflicht sind so verworren und eng, dass sich das Lesen nicht lohnt. Nur eine Selbstverständlichkeit angemerkt: Auch bei weniger als 250 Datenverarbeitern greift die VVT-Pflicht natürlich – es sei denn, wir haben eine „nur gelegentliche“ Verarbeitung (Excel-Datei für den Betriebsausflug). Ich erwähne es nur, weil mir gerade wieder ein Datenschutzbeauftragter (Anwalt) begegnete, der auch nach 10 Jahren nie weitergelesen hatte als bis 250 Mitarbeiter. Die danach folgenden Rückausnahmen machen Absatz 5 überflüssig. Vielleicht bringt der „Daten-Omnibus“ der EU dazu Änderungen. Abwarten.
Absatz 4 – auch überflüssig. Art. 31 (nächster Spaziergang!) ergibt dasselbe und in Artikel 58 Abs. 1 lit. a) steht es noch einmal…
Absatz 3 verlangt für´s VVT (ein bisschen umständlich formuliert) Textform.
In den Absätzen 1 und 2 spielt die Musik; zuerst für die Verantwortlichen, dann für die Auftragsverarbeiter. Die Melodie ist sehr ähnlich.
Erste Strophe (Verantwortliche):
Wer verarbeitet?
Wofür?
Welche Daten von welchen Personen?
An wen werden die Daten übermittelt, insbesondere in welche Drittstaaten?
Wann werden die Daten gelöscht und wie werden sie bis dahin geschützt?
Zweite Strophe (kürzer, für Auftragsverarbeiter):
Wer erledigt für wen?
Welche Auftragsdatenverarbeitung?
Was wird in Drittstaaten übermittelt?
Wie werden die Daten geschützt?
Praktisch ist, das VVT gleich zu verbinden mit der (dokumentierten) Vorabprüfung, ob eine Folgenabschätzung nötig ist (Artikel 35, für uns bald in Sicht) und mit der Information an Betroffene (der Kanon in Art. 13, 14 singt sich ja mit ganz ähnlichem Text).
Und sinnvoll ist natürlich, das VVT nicht in Tinte zu schreiben, sondern elektronisch, mit einem Formular, dass die ewig gleichbleibenden Themen schon enthält, vor allem a) und großteils g) (Angaben zum Verantwortlichen und TOM).
Klassische Praxis-Probleme bei Artikel 30:
- Woher bekomme ich als Verantwortlicher denn die Infos?
Genau wegen dieser Frage hat der Gesetzgeber das VVT vorgeschrieben – Datenverarbeitung soll „wissend“ erfolgen. Wer die DV-Verfahren nicht kennt, kann als Verantwortlicher natürlich keine Daten schützen. Was logisch und einfach klingt, ist in der Praxis schwer. Nicht jeder Verantwortliche ist z.B. Experte für MS365. Trotzdem setzen es die meisten Verantwortlichen ein. Es bleibt also eine Dauer-(Pflicht)-Aufgabe, die eigene Datenverarbeitung kennenzulernen.
- Worauf bezieht man das VVT sinnvoller Weise? Was ist also eine „Verarbeitungstätigkeit“? MS 365? Oder Outlook? Oder „Projektmanagement“?
Die DS-GVO beantwortet das nicht. Positiv betrachtet: Es darf selbst entschieden, also eine sinnvolle Struktur angewendet werden. Perfektion wird nicht verlangt und ist wohl auch nicht möglich. Wichtig: Alle Daten-Verarbeitungen sollen jedenfalls erfasst werden. Also besser „Überschneidungen“, als „Lücken“. - Datenübermittlungen: Wie soll der Verantwortliche den Überblick bekommen (und behalten) bei den vielen Auftragsverarbeitern mit jeweils eigenen Sub-Auftragsverarbeitern mit jeweils vielen Sub-Sub-Auftragsverarbeitern mit jeweils …? Siehe erster Anstrich, eine ewige Anstrengung.
- Wann genau werden die Daten gelöscht?
Häufig steht im VVT: Nach Erledigung des Verarbeitungszwecks und Ablauf gesetzlicher Aufbewahrungspflichten. (Oder so ähnlich.) Das ist nicht falsch, aber natürlich nur eine „Hülle“ fast ohne Informationsgehalt. Verantwortliche sollten die Chance nutzen, sich über die konkreten Löschfristen klar zu werden und sie dann auch mutig aufschreiben.
Auf Wiedersehen!
Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz sowie Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.
