§ 7 Sicherungsmechanismen zur Einhaltung der DSGVO / 1. Abweichungen zum bisherigen Recht

Rz. 61

Bereits nach bisherigem deutschen Datenschutzrecht war der Verantwortliche verpflichtet, eine Übersicht über seine Verarbeitungstätigkeiten zu erstellen (sog. Verfahrensverzeichnis). Das Verfahrensverzeichnis nach deutschem Recht gliederte sich dabei in einen öffentlichen, auf Verlangen jedermann zur Verfügung zu stellenden, und einen nicht-öffentlichen Teil, der lediglich der zuständigen Datenschutzaufsicht auf deren Verlangen hin auszuhändigen war.^[90] Diese Verpflichtung ist flankiert durch die bislang in § 4d BDSG normierte Meldepflicht, nach der grundsätzlich alle Verfahren^[91] automatisierter Verarbeitungen personenbezogener Daten bei der Datenschutzaufsichtsbehörde gemeldet werden müssen.^[92] Die DSGVO verzichtet nicht nur auf die Beibehaltung einer generellen Meldepflicht für jede automatisierte Verarbeitung, sondern auch auf die Verpflichtung des Verantwortlichen, sein Verfahrensverzeichnis auf Anfrage jedermann zugänglich zu machen. Das sog. Jedermannverzeichnis oder öffentliche Verfahrensverzeichnis wird damit ab dem 25.5.2018 Geschichte sein. Auf den ersten Blick sieht es aus, als sei damit eine Herabsetzung des bisherigen Datenschutzniveaus verbunden; dies ist jedoch tatsächlich nicht der Fall. Der Verzicht auf die Zurverfügungstellung des Jedermannverzeichnisses erfährt ebenso wie der Verzicht auf die – auch bislang in den Fällen, in denen der Verantwortliche einen Datenschutzbeauftragten bestellt hatte, ohnehin nicht zur Anwendung gelangte – Verpflichtung zur Meldung gegenüber der Datenschutzbehörde ihre Kompensation in den in Art. 13 und 14 DSGVO normierten aktiven Informationspflichten des Verantwortlichen gegenüber der betroffenen Person, die unbeschadet einer entsprechenden Anfrage des Betroffenen entstehen und zu erfüllen sind. Wie bereits ausführlich dargestellt (siehe § 5), gehen die Informationspflichten der DSGVO dabei z.T. weit über das hinaus, was bislang mit dem öffentlichen Teil des Verfahrensverzeichnisses gegenüber der betroffenen Person bekannt zu geben war, so dass mit Wirksamwerden der DSGVO tatsächlich ein gleichwertiges, wenn nicht sogar höheres Datenschutzniveau etabliert wird.

Rz. 62

Das Verfahrensverzeichnis, wie man es bisher, auch aus Art. 18 der Datenschutzrichtlinie kannte, verschwindet nicht gänzlich aus dem Regelungskomplex der DSGVO, sondern bleibt als sog. Verzeichnis über Verarbeitungstätigkeiten gem. Art. 30 DSGVO weiterhin – wenn auch "nur" zum Zwecke der Einsichtnahme durch die Datenschutzaufsichtsbehörden – existent.^[93]

[90] § 4g Abs. 2 und § 4e BDSG.

[91] "Unter Verfahren ist die Gesamtheit an Verarbeitungen zu verstehen, mit denen eine oder mehrere miteinander verbundene Zweckbestimmung(en) realisiert werden sollen. Daher kann ein Verfahren eine Vielzahl von DV-Dateien umfassen", Merkblatt zur Meldepflicht verantwortlicher nicht-öffentlicher Stellen bei der Aufsichtsbehörde für den Datenschutz nach § 4d BDSG, abrufbar unter: https://www.datenschutz-wiki.de/Merkblatt_zur_Meldepflicht.

[92] Zu den Ausnahmen von der Meldepflicht, siehe das Merkblatt zur Meldepflicht verantwortlicher nicht-öffentlicher Stellen bei der Aufsichtsbehörde für den Datenschutz nach § 4d BDSG, abrufbar unter: https://www.datenschutz-wiki.de/Merkblatt_zur_Meldepflicht.

[93] Licht, ITRB 2017, 65, 67; Art. 30 Abs. 4 DSGVO.