Obwohl wir manchmal den Satz „Ich verarbeite keine personenbezogenen Daten“ hören, stellt sich heraus, dass er in den meisten Fällen unzutreffend ist. Durch ihre Arbeit verarbeiten Experten täglich Daten und wissen oft nicht, wie viele es sind.
Die Betreiber sollten sich der Menge und der Konsistenz der von ihnen verarbeiteten Daten bewusst sein, denn Daten konkurrieren stark mit Öl um die Position der „wertvollsten Währung“.
Wer muss den Überblick über die Prozesse in der Verarbeitung behalten?
Artikel 30 der Datenschutz-Grundverordnung sieht vor, dass diese Betreiber verpflichtet sind, unter ihrer Verantwortung Protokolle über die Verarbeitungen zu führen. Für Betreiber mit weniger als 250 Beschäftigten ist diese Bestimmung nicht erforderlich, es sei denn, die von ihnen durchgeführte Verarbeitung könnte eine Gefahr für die Interessen und Freiheiten der Betroffenen darstellen, die Verarbeitung erfolgt nicht gelegentlich oder die Verarbeitung betrifft besondere Arten von Daten oder personenbezogene Daten im Zusammenhang mit Strafverfolgung und Straftaten.
Selbst wenn sie weniger als 250 Arbeitnehmer beschäftigen, können die Betreiber daher allein aufgrund der Tatsache, dass die Verarbeitung nicht nur gelegentlich erfolgt, Aufzeichnungen führen. In den meisten Fällen ist die Datenverarbeitung nicht gelegentlich, insbesondere wenn es auch Arbeitnehmer gibt, deren Daten im Rahmen von Arbeitsverhältnissen und Arbeitsverträgen kontinuierlich verarbeitet werden.
Wenn jedoch durch die Verarbeitung ein Risiko, das nicht von Natur aus hoch ist, entstehen kann, muss dies in einem Register festgehalten werden. So könnte beispielsweise die Verarbeitung einzelner Verbraucherdaten durch einen Dritten (Dienstleister) ein Risiko darstellen, da die Datenübermittlung selbst risikoreich ist.
Unternehmen mit weniger als 250 Beschäftigten müssen außerdem ihre Tätigkeiten genau prüfen, um diejenigen zu klassifizieren, bei denen die Erhebung von Daten erforderlich ist, die eine Gefahr für die Rechte und Freiheiten der betroffenen Personen darstellen können und die nicht nur gelegentlich auftreten oder Kategorien umfassen: Informationen oder personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten.
Was ist das Datenzuordnungsregister
Die oben genannten Verarbeitungen müssen in das Register eingetragen werden, das in der Regel als „Mapping-Register“ bezeichnet wird.
Diese enthält die Angaben gemäß Art. 30 Abs. 1 DSGVO, die wir auflisten werden: die Kommunikationsdaten des Betreibers, die Kategorien der verarbeiteten Daten, die Kategorien der betroffenen Personen, die Ziele der Verarbeitung usw.
Das Register muss regelmäßig überprüft und überarbeitet werden, und jeder neue Verarbeitungsvorgang muss darin eingetragen werden.