Was muss das Verzeichnis der Bearbeitungstätigkeiten enthalten?
Das Datenschutzgesetz verlangt, dass Verantwortliche und Auftragsbearbeiter je ein Verzeichnis ihrer Bearbeitungstätigkeiten führen. Für Verantwortliche nennt das Gesetz Mindestangaben wie Identität, Bearbeitungszweck, Kategorien betroffener Personen und Personendaten, Empfängerinnen und Empfänger sowie, wenn möglich, Aufbewahrungsdauer, Datensicherheitsmassnahmen und bei Bekanntgabe ins Ausland den Staat und die Garantien.
Verantwortliche und Auftragsbearbeiter führen je ein Verzeichnis ihrer Bearbeitungstätigkeiten. Das Verzeichnis des Verantwortlichen enthält mindestens die Identität des Verantwortlichen, den Bearbeitungszweck, eine Beschreibung der Kategorien betroffener Personen und der Kategorien bearbeiteter Personendaten sowie die Kategorien der Empfängerinnen und Empfänger. Wenn möglich, enthält es zudem die Aufbewahrungsdauer der Personendaten oder die Kriterien zur Festlegung dieser Dauer sowie eine allgemeine Beschreibung der Massnahmen zur Gewährleistung der Datensicherheit nach Artikel 8. Falls Daten ins Ausland bekanntgegeben werden, enthält das Verzeichnis die Angabe des Staates sowie die Garantien nach Artikel 16 Absatz 2.[1]
Für Auftragsbearbeiter enthält das Verzeichnis Angaben zur Identität des Auftragsbearbeiters und des Verantwortlichen. Hinzu kommen Angaben zu den Kategorien von Bearbeitungen, die im Auftrag des Verantwortlichen durchgeführt werden. Ausserdem sind die Angaben aufzunehmen, die für Verantwortliche nach den Buchstaben f und g vorgesehen sind: wenn möglich eine allgemeine Beschreibung der Massnahmen zur Gewährleistung der Datensicherheit nach Artikel 8 sowie, falls Daten ins Ausland bekanntgegeben werden, die Angabe des Staates und die Garantien nach Artikel 16 Absatz 2. Bundesorgane melden ihre Verzeichnisse dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten.[1]
Der Bundesrat sieht Ausnahmen für Unternehmen vor, die weniger als 250 Mitarbeiterinnen und Mitarbeiter beschäftigen und deren Datenbearbeitung ein geringes Risiko von Verletzungen der Persönlichkeit der betroffenen Personen mit sich bringt. Vor dem Führen oder Weglassen eines Verzeichnisses ist deshalb zu prüfen, ob eine solche Ausnahme eingreift und welche Angaben im konkreten Verzeichnis enthalten sein müssen.[1]
Diese Antwort fasst den zitierten Gesetzestext zusammen, wie er auf Fedlex veröffentlicht ist. Prüfen Sie vor weiterem Handeln die aktuell geltende Fassung der massgebenden Bestimmung und jede spätere Änderung.[1]