Für viele Unternehmen immer noch ein Buch mit sieben Siegeln: Das Verfahrensverzeichnis. Was ist denn ein Verfahren? Wieso braucht man das überhaupt? Und was ist der Unterschied zwischen dem internen Verfahrensverzeichnis und dem öffentlichen?
MELDEPFLICHT
Die Notwendigkeit des Verfahrensverzeichnisses ergibt sich aus § 4d BDSG. Dieser Paragraph regelt, das jedes Verfahren das in einem Unternehmen eingesetzt wird und in dem personenbezogene Daten verarbeitet werden, der Meldepflicht unterliegt. Grundsätzlich sind all diese Verfahren noch VOR ihrer Inbetriebnahme der Aufsichtsbehörde – in Bayern z. B. dem BayLDA – zu melden. Die Meldepflicht an die Behörde entfällt, wenn das Unternehmen einen Datenschutzbeauftragten bestellt hat. ABER dann müssen die Verfahren trotzdem dem DSB gemeldet werden. Eine spezielle Meldepflicht besteht für Wirtschaftsauskunfteien, Adresshandelsunternehmen sowie für Markt-, Meinungs- und Sozialforschungsinstitute.
WAS PRÜFT DER DSB?
Der Datenschutzbeauftragte prüft nun anstelle der Aufsichtsbehörde jedes Verfahren bei dem personenbezogene Daten verarbeitet werden auf folgende 9 Punkte, wie sie in § 4e BDSG aufgeführt werden:
- Name oder Firma der verantwortlichen Stelle
- Inhaber, Vorstände, Geschäftsführer oder sonstige gesetzliche oder nach der Verfassung des Unternehmens berufene Leiter und die mit der Leitung der Datenverarbeitung beauftragten Personen,
- Anschrift der verantwortlichen Stelle
- Zweckbestimmungen der Datenerhebung, -verarbeitung oder -nutzung
- eine Beschreibung der betroffenen Personengruppen und der diesbezüglichen Daten oder Datenkategorien
- Empfänger oder Kategorien von Empfängern, denen die Daten mitgeteilt werden können
- Regelfristen für die Löschung der Daten
- eine geplante Datenübermittlung in Drittstaaten
- eine allgemeine Beschreibung, die es ermöglicht, vorläufig zu beurteilen, ob die Maßnahmen nach § 9 zur Gewährleistung der Sicherheit der Verarbeitung angemessen sind (Technische und Organisatorische Maßnahmen).
WAS GENAU IST EIN VERFAHREN?
Ein Verfahren ist im Grunde genommen die Verarbeitung oder eine Mehrzahl von Verarbeitungen zur Realisierung einer oder mehrerer verbundener Zweckbestimmungen. Der Landesbeauftragte für Datenschutz und die Informationsfreiheit NRW gibt für ein Verfahren folgendes schönes Beispiel an:
„So kann beispielsweise ein Datenverarbeitungszweck ‚Kontoführung‘ sein. Im entsprechenden Verfahren zur Kontoführung sind unter anderem alle Soft- und Hardwarekomponenten zu beschreiben – so zum Beispiel Word, Access oder Excel, wenn diese Programme für den Zweck ‚Kontoführung‘ eingesetzt werden. Daneben gibt es möglicherweise ein Verfahren ‚Kreditverwaltung‘ oder ein Verfahren ‚Immobilienfinanzierung‘, das dann jeweils entsprechend in der Verfahrensbeschreibung darzustellen ist.“
DIE VERFAHRENSVERZEICHNISSE
Laut § 4g Abs. 2 BDSG ist „dem Beauftragten für den Datenschutz (…) von der verantwortlichen Stelle eine Übersicht über die in § 4e Satz 1 genannten Angaben sowie über zugriffsberechtigte Personen zur Verfügung zu stellen. Der Beauftragte für den Datenschutz macht die Angaben nach § 4e Satz 1 Nr. 1 bis 8 auf Antrag jedermann in geeigneter Weise verfügbar.“ Diese Übersicht wird im Fachjargon als internes Vervahrensverzeichnis bezeichnet. Der Bereich der jedermann in geeigneter Weise zur Verfügung gestellt werden muss, also das öffentliche Verfahrensverzeichnis, entspricht inhaltlich dem internen Verfahrensverzeichnis JEDOCH OHNE die Angabe der Technischen und Organisatorischen Maßnahmen (TOMs). Es wäre ja auch wenig zielführend jedermann auf Anfrage darüber zu informieren, welche Schutzmaßnahmen man getroffen hat oder auch nicht.