© FM Forum Business Solutions GmbH
A-1200 Wien, Dresdner Straße 45
E-Mail: kundenservice@forum-media.at
Neu
Dokument-ID: 988941
Besteht für Datenverarbeitungen eine Dokumentationspflicht?
- Die DSGVO sieht eine Meldung an das Datenverarbeitungsregister (DVR) nicht mehr vor.
- Stattdessen sind Verzeichnisse über die Datenverarbeitung zu führen, die beim Verantwortlichen folgende Inhalte aufweisen sollen:
- Insbesondere sind in einem Verzeichnis über sämtliche Verarbeitungstätigkeiten festzuhalten:
- Namen und Kontaktdaten des bzw der Verantwortlichen, des Vertreters des Verantwortlichen sowie eines etwaigen Datenschutzbeauftragten
- Zweck der Datenverarbeitung
- Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten (zB Kunden und Lieferanten; Rechnungsdaten, Adressdaten)
- Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden (zB Sozialversicherung, Finanzamt, Rechtsanwalt, Steuerberater), einschließlich Empfänger in Drittländern oder internationalen Organisationen (zB Konzernmutter in USA)
- Allenfalls: Übermittlungen von personenbezogenen Daten an ein Drittland (zB USA) oder an eine internationale Organisation, einschließlich der Angaben des betreffenden Drittlands oder der betreffenden internationalen Organisation (uU ist auch die Dokumentierung geeigneter Garantien erforderlich)
- Nach Möglichkeit: die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien
- Allgemeine Beschreibung der technischen und organisatorischen Datensicherheitsmaßnahmen
- Beim Auftragsverarbeiter ist die Dokumentationspflicht im Verhältnis zum Verantwortlichen geringer; hier hat das Verzeichnis folgende Inhalte zu haben:
- Name und Kontaktdaten des Auftragverarbeiters und jedes Verantwortlichen, in dessen Auftrag der Auftragsverarbeiter tätig ist, sowie gegebenenfalls des Vertreters des Verantwortlichen oder des Auftragverarbeiters und eines etwaigen Datenschutzbeauftragten
- Kategorien von Verarbeitungen, die im Auftrag jedes Verantwortlichen durchgeführt werden
- Allenfalls Übermittlungen von personenbezogenen Daten an ein Drittland oder eine internationale Organisation, einschließlich der Angabe des betreffenden Drittlands oder der betreffenden internationalen Organisation (uU ist auch die Dokumentierung geeigneter Garantien erforderlich)
- Allgemeine Beschreibung der technischen und organisatorischen Datensicherheitsmaßnahmen