noch Anlage 15
II. Adressat der Erstellungspflicht
Adressat der in § 4g Abs. 2 Satz 1 BDSG normierten Verpflichtung zur Erstellung und Führung eines Verfahrensverzeichnisses ist allein die verantwortlichen Stelle. Diese hat dem behördlichen Datenschutzbeauftragten
das Verzeichnis „zur Verfügung zu stellen“. Es ist daher nicht Aufgabe des behördlichen Datenschutzbeauftragten, die erforderlichen Angaben selbst zusammenzutragen und in dem Verfahrensverzeichnis zusammenzufassen. Ebenso wenig ist es seine Aufgabe, das Verfahrensverzeichnis zu aktualisieren. Beides, sowohl Erstellung
als auch Aktualisierung obliegt der jeweiligen Behörde und kann am besten von den Fachreferaten und Organisationseinheiten geleistet werden, die mit den jeweiligen Datenverarbeitungsverfahren befasst sind.
III. Inhalt des Verfahrensverzeichnisses
Der gesetzliche Inhalt des Verfahrensverzeichnisses ergibt sich aus § 4e Satz 1 Nr. 1 bis 9 BDSG i.V.m. § 18
Abs. 2 Satz 1 BDSG. Die Sätze 2 und 3 des § 18 Abs. 2 BDSG erweitern den Inhalt des Verfahrensverzeichnisses in der Bundesverwaltung um die Nennung der Rechtsgrundlage der Datenverarbeitung, sehen andererseits
aber auch Vereinfachungen vor: So sind allgemeinen Verwaltungszwecken dienende automatisierte Verarbeitungen unter bestimmten Voraussetzungen nicht zwingend in das Verzeichnis aufzunehmen.
§ 4e Satz 1 Nr. 1 bis 9 BDSG zählt folgende Pflichtangaben für das Verfahrensverzeichnis auf:
Nr. 1
Name oder Firma der verantwortlichen Stelle,
Nr. 2
Inhaber, Vorstände, Geschäftsführer oder sonstige gesetzliche oder nach der Verfassung des Unternehmens berufene Leiter und die mit der Leitung der Datenverarbeitung beauftragten Personen,
Nr. 3
Anschrift der verantwortlichen Stelle,
Nr. 4
Zweckbestimmungen der Datenerhebung, -verarbeitung oder -nutzung,
Nr. 5
eine Beschreibung der betroffenen Personengruppen und der diesbezüglichen Daten oder Datenkategorien,
Nr. 6
Empfänger oder Kategorien von Empfängern, denen die Daten mitgeteilt werden können,
Nr. 7
Regelfristen für die Löschung der Daten,
Nr. 8
eine geplante Datenübermittlung in Drittstaaten und
Nr. 9
eine allgemeine Beschreibung, die es ermöglicht, vorläufig zu beurteilen, ob die Maßnahmen nach
§ 9 zur Gewährleistung der Sicherheit der Verarbeitung angemessen sind.
In Ergänzung hierzu sind gemäß § 4g Abs. 2 Satz 1 BDSG die zugriffsberechtigten Personen zu benennen.
In das Verfahrensverzeichnis aufzunehmen sind auch Verfahren, die von anderen Stellen im Wege der Auftragsdatenverarbeitung durchgeführt werden.
– 268 –
BfDI 25. Tätigkeitsbericht 2013-2014