Checkliste: Berechtigte Interessen im Verzeichnis von Verarbeitungstätigkeiten dokumentieren

Art. 30 DSGVO gibt den Rahmen dafür vor, was Verantwortliche im Verzeichnis von Verarbeitungstätigkeiten (VVT) dokumentieren müssen. Obwohl Art. 30 DSGVO die Rechtsgrundlage der Datenverarbeitung nicht ausdrücklich nennt, empfiehlt es sich auch aus Sicht der Datenschutzkonferenz, sie in das Verzeichnis von Verarbeitungstätigkeiten aufzunehmen (siehe https://ogy.de/DSK-VVT, S. 2).

Während es bei anderen Rechtsgrundlagen genügt, rein den jeweiligen Artikel bzw. Paragrafen ggf. unter Verweis auf eine entsprechende Betriebsvereinbarung zu nennen, darf es bei Art. 6 Abs. 1 Buchst. f DSGVO, also dem berechtigten Interesse, „etwas mehr sein“.

Nicht zuletzt wird die lückenlose Dokumentation berechtigter Interessen im Verzeichnis von Verarbeitungstätigkeiten allen Verantwortlichen eine große Stütze sein, wenn z.B. die Datenschutzaufsichtsbehörde eine Kontrolle durchführt:

• Zum einen lässt sich damit nachweisen, dass der Verantwortliche auch über den eigentlichen Rahmen von Art. 30 DSGVO hinaus dokumentiert.
• Zum anderen ist der Ort, an dem das berechtigte Interesse dokumentiert ist, schnell und einfach auffindbar.

Jana Thieme