Die DSGVO führt Verpflichtungen zur Führung von Aufzeichnungen für Verantwortliche und Verarbeiter ein. Die inhaltlichen Anforderungen sind für beide sehr ähnlich. Die Aufzeichnungen sind schriftlich, auch in elektronischer Form, aufzubewahren. Sie sind auf Verlangen der Aufsichtsbehörde zur Verfügung zu stellen.
In Übereinstimmung mit Art. 30(1) DSGVO muss jeder Verantwortliche (oder sein Vertreter) ein Verzeichnis der Verarbeitungstätigkeiten führen, das die folgenden Informationen enthält:
- Name und Kontaktdaten des Verantwortlichen (und gegebenenfalls seines Vertreters, des gemeinsamen Verantwortlichen und des DSB)
- die Zwecke der Verarbeitung
- eine Beschreibung der Kategorien der betroffenen Personen und der personenbezogenen Daten
- die Kategorien von Empfängern, denen die Daten mitgeteilt wurden/werden
- Datenübermittlung an ein Drittland/ein internationales Unternehmen + Identifizierung dieses Drittlandes/des internationalen Unternehmens + Dokumentation geeigneter Schutzmaßnahmen
- soweit möglich: die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien
- nach Möglichkeit: eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen
In Übereinstimmung mit Art. 30(2) DSGVO muss jeder Verarbeiter (oder sein Vertreter) ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten führen, die im Auftrag eines Verantwortlichen durchgeführt werden und die folgenden Informationen enthalten:
- Name und Kontaktdaten des/der Verarbeiter(s) und jedes Verantwortlichen, in dessen Namen der Verarbeiter handelt, sowie des Vertreters des Verantwortlichen/Verarbeiters und des DSB.
- die Kategorien der Verarbeitung, die im Namen jedes Verantwortlichen durchgeführt werden
- Übermittlung personenbezogener Daten an ein Drittland/ein internationales Unternehmen + Identifizierung dieses Drittlandes/dieses internationalen Unternehmens + Dokumentation geeigneter Garantien
- nach Möglichkeit: eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen
Art. 30(5) sieht eine Befreiung von den Aufzeichnungspflichten für Unternehmen/Organisationen mit weniger als 250 Beschäftigten vor. Diese Freistellung gilt nur, wenn die Verarbeitung
- wahrscheinlich kein Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt,
- gelegentlich ist und
- es sich nicht um sensible Daten handelt
Für diese Freistellung müssen alle drei Voraussetzungen erfüllt sein.
