Verzeichnis der Verarbeitungstätigkeiten (VVT) intelligente Dokumentation

Leistungen

Intelligente Dokumentation mit Mehrwert

Sobald in Ihrem Unternehmen die Verarbeitung von personenbezogenen Daten nicht nur gelegentlich erfolgt, unterliegen Sie den Anforderungen von Art. 30 der DS-GVO. Hier wird eine Dokumentation für alle Prozesse gefordert, bei denen personenbezogene Daten erhoben, verarbeitet, gespeichert, offengelegt, verknüpft oder auch gelöscht werden. Auf Verlangen der Aufsichtsbehörden müssen Sie in der Lage sein, die Einhaltung der Vorschriften der DS-GVO in einem Verzeichnis der Verarbeitungstätigkeiten (VVT) nachzuweisen.

Schon bei mittelgroßen Unternehmen, kann dieses Verzeichnis sehr umfangreich werden und die Erstellung erfordert eine komplexe Analyse aller Unternehmensprozesse.

Doch bei allem Aufwand gilt zu bedenken: ein gut geführtes und umfassendes Verzeichnis der Verarbeitungstätigkeiten vereinfacht viele weitere datenschutzrelevante Notwendigkeiten wie:

Auskunftsersuchen
Datenschutz-Folgenabschätzung
Risikobewertung
Erfüllung der Informationspflichten
Interessensabwägung
Löschkonzept

Was ein gutes VVT ausmacht

Um einen echten Mehrwert aus dem Verzeichnis der Verarbeitungstätigkeiten zu erzielen und rechtskonform zu sein, sollte dieses mindestens folgende Angaben für jede Verarbeitungstätigkeit enthalten:

Zweck der Verarbeitung: z. B. Bewerbungsmanagement
Kategorien betroffener Personen: z. B. Bewerber
Kategorien betroffener Daten: z. B. Kontaktdaten, Lebenslauf, Zeugnisse
Empfänger der Daten: z. B. Personalabteilung, Betriebsrat, potentielle Vorgesetzte
Für die Verarbeitung verwendete Systeme: z. B. Bewerbungsmanagementtool
Maßnahmen zur Sicherstellung einer gesetzeskonformen Verarbeitung: z. B. Anonymisierung der Daten nach Bewerbungsabsage oder Einholung einer Einwilligung zur Aufnahme in den Bewerberpool
Löschung der Daten: z. B. automatisierte Löschung der Datensätze 120 Tage nach Ablehnung
Rechtsgrundlage für die Verarbeitung der Daten: z. B. Art. 88 DS-GVO i.V.m. § 26 Abs. 1 BDSG
Risikoanalyse: z. B. welche Schäden und Folgen sowie Eintrittswahrscheinlichkeiten dieser könnten einer sich bewerbenden Person, durch die Verarbeitung der Bewerbungsdaten, drohen
Erforderlichkeit einer etwaigen Datenschutz-Folgenabschätzung: z. B. bei automatisierten Entscheidungen und der Verarbeitung einer sehr großen Anzahl an Bewerbungsdatensätzen