Sobald die Aufgaben Datenschutz und Mandantendatenschutz organisatorisch eingerichtet und die intern Verantwortlichen sowie – aufgrund einer Verpflichtung oder freiwillig – ein DSB benannt sind, ist ein Verzeichnis von Verarbeitungstätigkeiten gem. Art. 30 DSGVO zu erstellen oder das ggf. bereits nach dem BDSG a.F. erstellte Verfahrensverzeichnis an die DSGVO-Anforderungen anzupassen.
Praxistipp:
Das Erstellen oder Überarbeiten des Verzeichnisses bietet Gelegenheit, alle relevanten Fragen und auch die Grundlagen für eine Datenschutzerklärung nach Art. 13 DSGVO an die Betroffenen abzuarbeiten. Aus diesem Grund ist das Erstellen zu empfehlen, selbst wenn keine Verpflichtung besteht.
Alle Kanzleien, die besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO oder Daten über Strafverfolgung oder Straftaten nach Art. 10 DSGVO verarbeiten, müssen ein Verzeichnis nach Art. 30 Abs. 5 DSGVO erstellen. Kanzleien mit weniger als 250 Mitarbeitern müssen auch dann ein Verzeichnis erstellen, wenn die von ihnen vorgenommene Verarbeitung von personenbezogenen Daten ein Risiko birgt oder die Verarbeitung nicht nur gelegentlich erfolgt. Auch in Art. 27 Abs. 2 a) DSGVO wird der nicht näher bestimmte Begriff der gelegentlichen Verarbeitung benutzt. Hier ist also für den Einzelfall zu bestimmen, ob die Verarbeitung in zeitlicher Hinsicht nur selten, vereinzelt, im Sinne von hin und wieder und keinesfalls als Kerntätigkeit ausgeführt wird. Hier kann es sich also nur um eine in zeitlicher Hinsicht begrenzte anwaltliche Nebentätigkeit handeln. Die Pflicht zur Erstellung des Verzeichnisses kann sich z.B. auch nur für Daten außerhalb der Mandatsdaten ergeben, beispielsweise für die regelmäßige Verarbeitung von Beschäftigtendaten. Letztlich wird davon auszugehen sein, dass hauptberufliche Kanzleien ein Verfahrensverzeichnis dokumentiert – schriftlich oder in Textform z.B. als Excel-Liste oder sonstige Tabelle oder elektronisches Verzeichnis – führen müssen (s. DAV-Musterverzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO: https://anwaltverein.de/de/praxis/datenschutz; vgl. auch https://www.datenschutz-bayern.de/datenschutzreform2018/verarbeitungsverzeichnis.pdf ).
Hinweis:
Im Unterschied zur alten Rechtslage unter dem BDSG a.F. besteht keine Verpflichtung, ein öffentliches Jedermann-Verfahrensverzeichnis auf Anforderung bereit zu stellen. Auch die Meldepflicht nach § 4d BDSG a.F. ist entfallen.
Art. 30 DSGVO listet in Absatz 1 die Themenbereiche auf, die das Verfahrensverzeichnis umfassen muss, und in Absatz 2 all die Angaben, die Auftragsverarbeiter in ihre Verzeichnisse aufzunehmen haben. Auftragsverarbeiter sind dabei alle Dienstleister, deren sich die Anwaltskanzlei zur Erfüllung ihrer Aufgaben technisch und organisatorisch bedient und die Kenntnis von personen-/mandatsbezogenen Daten im Rahmen ihrer Tätigkeit erlangen oder erlangen können (Non-legal-Outsourcing, vgl. auch Auer-Reinsdorff ZAP F. 23, S. 1035 ff.). Die erteilten Aufträge sind an den berufsrechtlichen Vorgaben zu prüfen und um eine datenschutzrechtliche Auftragsverarbeitungsvereinbarung (AVV) mit einer Anlage zu den Schutzmaßnahmen (technische und organisatorische Maßnahmen, TOM) sowie um eine Verpflichtungserklärung auf das Mandatsgeheimnis zu ergänzen (Klugmann/Leenen/Salz AnwBl 2018, 219; Zander Anwbl 2018, 266 f.).
Inhalt des Verfahrensverzeichnisses:
- Eingetragene Firma oder Namensbezeichnung der Kanzlei, Kontaktdaten der Vertretungsberechtigten, der Kanzleistandorte und ggf. des DSB;
- Zwecke der Verarbeitung: z.B. Führen von elektronischen Mandatsakten, Führen von Personalakten, Bewerbungsverfahren, Lohnbuchhaltung, Finanzbuchhaltung einschließlich Fahrtenbuch, Geschenkeliste und Bewirtungsnachweisen, Scannen von Akten zur Archivierung, Newsletter-Marketing, Pflege von Software und Anwendersupport per Fernzugriff, Adressverwaltung, Terminplanung, Aktenvernichtung, E-Mail-Kommunikation, Dateiaustausch, Nutzerverwaltung und Zugriffsberechtigung, Datensicherung, IT-Administration, etc.;
Kategorien der Betroffenen und (besonderer) personenbezogener Daten, z.B.:
- Mandanten – Kontaktdaten für die Mandatsbetreuung, E-Mail für den Newsletterbezug (freiwillig), weitere für das Mandat erforderliche Daten z.B. bei familienrechtlichen Mandaten: Familien- und Güterstand, Kinder, Einkommen, Vermögen; bei arbeitsrechtlichen Mandaten: Religions- und Gewerkschaftszugehörigkeit (besondere Kategorien), Gehalt, Betriebszugehörigkeit, Betriebsratstätigkeit und weitere Kriterien zur Sozialauswahl und zum Kündigungsschutz etc.;
- Gegner, Zeugen, Sachverständige – Kontaktdaten und mandatsbezogene Daten;
- Mitarbeiter – Kontaktdaten, Religionszugehörigkeit, Steuerdaten, Sozialversicherungsdaten, Qualifikation, Familienstand, Kontodaten, Urlaubsdaten, Informationen zur Einhaltung des Arbeits- und Mutterschutzes etc.;
Kategorien der Empfänger der Daten, z.B.:
- Mandatsdaten – Mitarbeiter, Gegner, Gerichte, Sachverständige, Versicherung, Ärzte, Kreditinstitut, Auftragsverarbeiter etc.;
- Mita...