Aufgrund der Rechenschaftspflicht Art. 5 Abs. 2 DSGVO hat die Datenschutz-Dokumentation einen im Vergleich zur alten Rechtslage einen deutlich höheren Stellenwert erlangt. Herzstück bildet hier das Verzeichnis von Verarbeitungstätigkeiten (VVT) oder kurz: das Verarbeitungsverzeichnis gem. Art. 30 DSGVO. In welcher Form das VVT geführt wird, spielt nur eine Nebenrolle, d.h. es kann auf Papier, in Form von Word- bzw. Excel-Dateien oder auch mit Hilfe von Spezialsoftware umgesetzt werden.
Praxistipp:
Wer sich einen Überblick über die unterschiedliche, am Markt erhältliche Datenschutz-Spezialsoftware verschaffen will, wird auf dem Youtube-Kanal "mth training" fündig ( www.youtube.com/mthtraining ).
1. Verzeichnis von Verarbeitungstätigkeiten
Wichtiger als die Form ist der Umstand, dass die in Art. 30 Abs. 1 DSGVO genannten Pflichtangaben im VVT enthalten sind.
Es müssen somit zumindest die folgenden Informationen aufgenommen werden:
- Name und Kontaktdaten des Verantwortlichen und ggf. des Datenschutzbeauftragten;
- Zwecke der Verarbeitung;
- Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten;
- Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt werden, einschließlich Empfänger in Drittländern oder internationalen Organisationen;
- ggf. Übermittlungen von personenbezogenen Daten an ein Drittland oder an eine internationale Organisation;
- vorgesehene Fristen für die Löschung der verschiedenen Datenkategorien;
- allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOMs).
Praxistipp:
Auf der Website des Deutschen AnwaltVereins wird auch eine Vorlage für ein typisches "Anwalts-VVT" bereitgestellt ( www.anwaltverein.de/de/praxis/datenschutz ). Diese kann naturgemäß nur als Orientierungshilfe dienen und muss an die eigenen Belange angepasst werden.
Die Pflichtangaben gem. Art. 30 Abs. 1 S. 1 lit. b)-f) DSGVO sind im VVT für jede einzelne Verarbeitungstätigkeit anzugeben. Eine Verarbeitungstätigkeit ergibt sich aus Zweck und Rechtsgrundlage für einen Datenverarbeitungsvorgang. Beispielsweise werden Mandantendaten in aller Regel zur Erfüllung des Mandatsvertrages verarbeitet (Art. 6 Abs. 1 S. 1 lit. b) DSGVO), Daten von Beschäftigten hingegen auf Basis von § 26 BDSG. Typische Verarbeitungstätigkeit in einer Kanzlei sind daher z.B. die Aktenführung, das Bewerbermanagement, die Finanzbuchhaltung, der Betrieb der Kanzlei-Website oder auch das Fuhrparkmanagement.
Zusätzlich zu den oben genannten gesetzlich geforderten Pflichtinhalten sind weitere Angaben im VVT sinnvoll, wie etwa die jeweilige Rechtsgrundlage oder eine Risikoeinstufung.
Anzumerken sei noch, dass das VVT ein rein internes Dokument ist, welches nur der Datenschutz-Aufsichtsbehörde auf Anfrage auszuhändigen ist. Dritte haben keinen Anspruch auf Einsicht, auch nicht i.R.d. Ausübung von Betroffenenrechten (z.B. gem. Art. 15 DSGVO).
2. Technische und organisatorische Maßnahmen
Art. 30 Abs. 1 S. 2 lit. g) DSGVO verlangt eine allgemeine Beschreibung der TOMs, die von der verantwortlichen Stelle umzusetzen sind. In Art. 32 Abs. 1 DSGVO werden diesbzgl. folgende Gewährleistungsziele genannt:
- Pseudonymisierung;
- Verschlüsselung;
- dauerhafte Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung;
- Fähigkeit zur raschen Wiederherstellung der Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall;
- Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der TOMs zur Gewährleistung der Sicherheit der Verarbeitung.
Leider nennt das Gesetz hier keine konkreten Einzelmaßnahmen, die zur Erreichung der genannten Ziele umgesetzt werden können. Einzige Ausnahmen bilden hier die Pseudonymisierung und die Verschlüsselung, die jedoch nicht bei jeder Datenverarbeitung im Anwaltsalltag in Frage kommen. Hieraus ergibt sich aber auch keine Pflicht zur Verschlüsselung oder zur Pseudonymisierung von Daten. Allerdings ist es ratsam, diese beiden Methoden zwecks Absicherung von Daten einzusetzen, sofern möglich und sinnvoll.
Ein Blick in § 64 BDSG bringt mehr Licht ins Dunkel, denn in dessen Abs. 3 werden insgesamt 14 Einzelmaßnahmen näher beschrieben. Es sei jedoch darauf hingewiesen, dass § 64 BDSG weder auf die allgemeine unternehmerische noch speziell auf die anwaltliche Tätigkeit Anwendung findet. Denn diese Vorschrift befindet sich in Teil 3 des BDSG und ist somit nur auf Strafverfolgungsbehörden o.Ä. anzuwenden. Gleichwohl spricht nichts dagegen, sich von dieser Norm Anregungen für die eigenen TOMs zu holen. Denn darin werden im Hinblick auf die Anforderungen an die Sicherheit der Datenverarbeitung folgende Maßnahmen beschrieben:
- Verwehrung des Zugangs zu Verarbeitungsanlagen, mit denen die Verarbeitung durchgeführt wird, für Unbefugte (Zugangskontrolle);
- Verhinderung des unbefugten Lesens, Kopierens, Veränderns oder Löschens von Datenträgern (Datenträgerkontrolle);
- Verhinderung der unbefugten Eingabe von personenbezogenen Daten sowie...