- Verzeichnisse von Verarbeitungstätigkeiten müssen nicht nur erstellt, sondern regelmässig gepflegt und aktuell gehalten werden.
- Verantwortliche dürfen eine globale, weniger granulare Darstellung wählen, müssen aber Änderungen prüfen und Einträge bei neuen Tätigkeiten anpassen.
- Die Pflege des Verzeichnisses ist eine ernsthafte Pflicht, keine sinnlose Arbeitsbeschaffung; fehlende Aktualität weist auf ungenügende Datenschutzorganisation hin.
Das Bayrische Landesamt für Datenschutz (BayLDA) hat eine “Kurz-Information” mit dem Titel “Frühjahrsputz im Verarbeitungsverzeichnis” veröffentlicht, mit einem Fokus auf die Verzeichnisse von Behörden. Kernaussage ist, dass ein Verarbeitungsverzeichnis nicht nur angelegt, sondern auch regelmässig gepflegt werden muss.
Aus den Ausführungen geht u.a. hervor, dass der Verantwortliche “eine eher globale Betrachtung” wählen kann, d.h. die Granularität der Einträge relativ niedrig halten darf. Er muss aber auch dann prüfen, ob sich eine neue Tätigkeit auf den Eintrag auswirkt, z.B. weil eine neue Kategorie von Empfängern dazu kommt.
Schön ist auch folgende Aussage:
Bedenken Sie immer: das Aktuell-Halten des Verarbeitungsverzeichnisses ist weder für das Verarbeitungsverzeichnis führende behördliche Datenschutzbeauftragte noch für datenschutzverantwortliche Führungskräfte eine sinnbefreite Arbeitsbeschaffungsmaßnahme. Entsteht ein anderer Eindruck, ist die Datenschutzorganisation bei dem betreffenden Verantwortlichen noch nicht ausreichend optimiert.