Muster für eine Verarbeitungsmeldung

Die Verarbeitungsmeldungen dienen dazu, die Verarbeitungen personenbezogener Daten mit den erforderlichen Angaben zur Erfüllung der Nachweispflichten i.S.d. Art. 5, 24 DSGVO aufzunehmen und zu dokumentieren. Die Angaben können in eine eigenständige Übersicht überführt werden (Verzeichnis von Verarbeitungstätigkeiten = VVT) oder aber die Sammlung sämtlicher Verarbeitungsmeldungen stellt in ihrer Gesamtheit selbst das Verzeichnis von Verarbeitungstätigkeiten dar.

Verarbeitungsmeldung

Angaben für das Verzeichnis von Verarbeitungstätigkeiten gem. Art. 30 Abs. 1 DSGVO

0. Verantwortlicher:

Klicken Sie hier, um Text einzugeben.

1. Bezeichnung der Verarbeitungstätigkeit:

Klicken Sie hier, um Text einzugeben.

2. Verantwortlicher Bereich/sonstige Zuordnungskennzeichen:

Klicken Sie hier, um Text einzugeben.

3. Bei gemeinsamer Verantwortlichkeit:

Name und Kontaktdaten des/der weiteren Verantwortlichen:

Klicken Sie hier, um Text einzugeben.

4. Zwecke der Verarbeitungen/der Verarbeitungstätigkeit:

Klicken Sie hier, um Text einzugeben.

5. Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten (Art. 30 Abs. 1 lit. c DSGVO)

Kategorien betroffener Personen	Kategorien personenbezogener Daten
Klicken Sie hier, um Text einzugeben.	Klicken Sie hier, um Text einzugeben.

6. Kategorien von Empfängern (interne, externe (inkl. Dienstleister/Auftragsverarbeiter)), denen die Daten offengelegt worden sind oder noch offengelegt werden:

Klicken Sie hier, um Text einzugeben.

7. Datenübermittlungen in Drittländer oder internationale Organisationen (Art. 30 Abs. 1 lit. e DSGVO)

Übermittlung: ☐ Ja / ☐ Nein

Name des Drittlandes/der internationalen Organisation:

Klicken Sie hier, um Text einzugeben.

Falls zutreffend, Angaben zu geeigneten Garantien bei Datenübermittlungen auf der Grundlage von Art. 49 Abs. 1 UAbs. 2 DSGVO:

Klicken Sie hier, um Text einzugeben.

8. Vorgesehene Fristen für die Löschung der verschiedenen Datenkategorien (Art. 30 Abs. 1 lit. f DSGVO)

Zeitraum/-punkt, Bedingungen (ggfs. Verweis auf ein Löschkonzept):

Klicken Sie hier, um Text einzugeben.

9. Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOM; Art. 30 Abs. 1 lit. g i.V.m. Art. 32 Abs. 1 DSGVO)

Ggf. Maßnahmenbeschreibungen einfügen oder verlinken, ggf. Bezugnahme auf Maßnahmenbeschreibung des Dienstleisters (Auftragsverarbeiters).

Klicken Sie hier, um Text einzugeben.

Weitergehende Angaben zur Verarbeitung zur Erfüllung der Rechenschaftspflichten gem. Art. 5 Abs. 2 DSGVO

10. Datum und Art der Meldung

Datum: Klicken Sie hier, um ein Datum einzugeben.

☐ Neumeldung ☐ Änderung ☐ Löschung

11. (Geplanter) Beginn der Verarbeitung

Datum: Klicken Sie hier, um ein Datum einzugeben.

12. Ergänzende Dokumente und Unterlagen (ggf. Anlagen einbinden/verlinken)

Klicken Sie hier, um Text einzugeben.

13. Verarbeitung von besonderen Kategorien personenbezogener Daten

☐ Es werden besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) oder Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) verarbeitet.

14. Rechtsgrundlage der Verarbeitungstätigkeit

☐ Vertrag oder Vertragsanbahnung mit dem Betroffenen (Art. 6 Abs. 1 b) DSGVO.

Klicken Sie hier, um Text einzugeben.

☐ Berechtigtes Interesse des Verantwortlichen oder eines Dritten (Art. 6 Abs. 1 f) DSGVO):

Klicken Sie hier, um Text einzugeben.

☐ Erfüllung einer rechtlichen Verpflichtung:

Klicken Sie hier, um Text einzugeben.

☐ Einwilligung des Betroffenen (Art. 6 Abs. 1 a) DSGVO:

Klicken Sie hier, um Text einzugeben.

☐ Sonstiges:

Klicken Sie hier, um Text einzugeben.

15. Weitere Angaben bei gemeinsamer Verantwortlichkeit gem. Art. 26 DSGVO

Besteht eine Vereinbarung der gemeinsam Verantwortlichen? ☐ Ja / ☐ Nein

Sofern die Vereinbarung der gemeinsam Verantwortlichen die Antworten auf die folgenden Fragen beinhaltet, genügt eine Bezugnahme/Verlinkung auf diese.

Auf welche Vorgänge bezieht sich die gemeinsame Verantwortlichkeit?

Klicken Sie hier, um Text einzugeben.

Wie erfolgt die Erfüllung der Informationspflichten und Betroffenenrechte?

Klicken Sie hier, um Text einzugeben.

16. Empfänger, denen die Daten offengelegt worden sind oder noch offengelegt werden

an Empfänger innerhalb des Verantwortlichen (Bereiche):

Empfänger	Empfänger-Kategorie (s. Pkt. 6)	EU/EWR/Drittland

an Empfänger außerhalb des Verantwortlichen (keine Auftragsverarbeiter!):

Empfänger	Empfänger-Kategorie (s. Pkt. 6)	EU/EWR/Drittland

an eingebundene Dienstleister/Auftragsverarbeiter:

Empfänger	Auftragsverarbeiter	EU/EWR/Drittland
☐ Ja / ☐ Nein

Ggfs. vertragliche Vereinbarungen:

Klicken Sie hier, um Text einzugeben.

17. Garantien im Falle von Datenübermittlungen in Drittländer oder an internationale Organisationen (vgl. Pkt. 17)

☐ Anerkannter Drittstaat

☐ EU-Standarddatenschutzklauseln Controller/Controller

☐ EU-Standarddatenschutzklauseln Controller/Processor

☐ Aufsichtsbehördlich genehmigter Vertrag

☐ BCR gem. Art. 47 DSGVO

☐ Andere getroffene Garantien (Art. 49 Abs. 1. UAbs. 2 DSGVO):

18. Beteiligte IT-Systeme

☐ DV-Anlagen:

Klicken Sie hier, um Text einzugeben.

☐ Software (und ggf. Unterprogramme):

Klicken Sie hier, um Text einzugeben.

☐ Schnittstellen:

Klicken Sie hier, um Text einzugeben.

☐ Sonstige Programme, Anwendungen und IT:

Klicken Sie hier, um Text einzugeben.

Alternativ ist auch der Verweis auf externe Dokumentation möglich (ggfs. Link hier einfügen):

Klicken Sie hier, um Text einzugeben.

19. Informationspflichten

Wie werden die Informationspflichten erfüllt?

☐ Im Rahmen des Aufnahmeantrags/Mitgliedsvertrags, der Einwilligung

☐ Im Rahmen der Vereinssatzung

☐ Durch ein separat ausgehändigtes Dokument

☐ Durch Aushang

☐ Via E-Mail

☐ Auf der Vereins-Webseite

☐ Sonstige: Klicken Sie hier, um Text einzugeben.

Bitte ggfs. Datenschutzinformation hier einfügen/verlinken:

Klicken Sie hier, um Text einzugeben.

Zu welchem Zeitpunkt erfolgt die Information?

Klicken Sie hier, um Text einzugeben.

20. Durchführung der Verarbeitung für weitere Verantwortliche als Dienstleistung

Wird die Verarbeitung auch dienstleistend für weitere Verantwortliche z.B. innerhalb einer überregionalen Gesamtorganisation durchgeführt?

☐ Ja, auf Grundlage folgender vertraglicher Vereinbarungen:

Klicken Sie hier, um Text einzugeben.

☐ Nein

21. Risiko der Verarbeitung und Datenschutz-Folgenabschätzung

Wurde eine Bewertung der Datenschutz-Risiken durchgeführt (z.B. unter Berücksichtigung der Blacklists der Datenschutz-Aufsichtsbehörden)?

☐ Ja, mit folgendem Ergebnis:

Klicken Sie hier, um Text einzugeben.

☐ Nein

Falls im Rahmen der Risikobewertung ein hohes Risiko ermittelt wurde, bitte die erforderliche Dokumentation der Risiken und der ergriffenen Schutzmaßnahmen in Form einer Datenschutz-Folgenabschätzung hier einbetten/verlinken:

Klicken Sie hier, um Text einzugeben.

Erläuterungen

0. Verantwortlicher

Benennung der für die Datenverarbeitung verantwortlichen Stelle (Verein).

Diese Angabe wiederholt sich in allen Verarbeitungsmeldungen.

1. Bezeichnung der Verarbeitungstätigkeit

Eindeutige Bezeichnung der dokumentierten Verarbeitungstätigkeit. Es sollte eine im Verein geläufige Bezeichnung gewählt werden.

Empfehlung: Der Name der Verarbeitung sollte unabhängig von einzelnen IT-Tools sein, die ggfs. im Rahmen der Verarbeitung/des Prozesses zum Einsatz kommen.

Beispiele:

Allgemeine Mitgliederverwaltung

Newsletter

2. Verantwortlicher Bereich/sonstige Zuordnungskennzeichen

Angabe, um vereinsintern die Zuordnung der dokumentierten Verarbeitungstätigkeit im VVT zu einem bestimmten Bereich (z.B. Verwaltung, Öffentlichkeitsarbeit) und ggf. dessen erweiterter Dokumentation herstellen zu können. Sofern es solcher Bereiche nicht gibt, kann die Angabe entfallen.

3. Bei gemeinsamer Verantwortlichkeit

Falls mehrere Verantwortliche gemeinsam für die Verarbeitungstätigkeiten verantwortlich sind, sind hier Name und Kontaktdaten (ladungsfähige Anschrift) des oder der weiteren Verantwortlichen anzugeben (Art. 30 Abs. 1 lit. a DSGVO, Art. 26 Abs. 1 DSGVO).

4. Zwecke der Verarbeitungen/der Verarbeitungstätigkeit

Kurze Beschreibung des Zwecks bzw. der Zwecke, der/die mit der vorliegenden Verarbeitungstätigkeit verfolgt wird/werden.

5. Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten (Art. 30 Abs. 1 lit. c DSGVO)

Als betroffene Personengruppen kommen beispielsweise Vereinsmitglieder, (Websiten-)Besucher, Mitarbeiter oder Lieferanten in Betracht.

Den einzelnen Personengruppen sind die jeweils auf sie bezogenen verwendeten Daten oder Datenkategorien zuzuordnen. Es ist nicht erforderlich – wenngleich zulässig -, die genauen Datenbezeichnungen (z.B. Vorname, Nachname) aufzuführen. Bei der Verwendung von Datenkategorien (z.B. Adressdaten, Bankverbindung) müssen diese jedoch ausreichend konkret sein, so dass klar wird, welche Daten sich dahinter verbergen.

6. Kategorien von Empfängern, denen die Daten offengelegt worden sind oder noch offengelegt werden (Art. 30 Abs. 1 lit. d DSGVO)

Empfängerkategorien sind insbesondere am Prozess beteiligte weitere Gruppen von Personen oder Stellen, die Daten - ggf. über Schnittstellen - erhalten; z.B. in den Prozess eingebundene weitere Bereiche/Abteilungen des Vereins, Vertragspartner, Lieferanten, Behörden, Versicherungen, Auftragsverarbeiter (z.B. Dienstleistungsrechenzentrum, Call-Center, Datenvernichter, Anwendungsentwicklung, Cloud Service Provider).

Die Angaben können als Kategorien aus den detaillierteren Angaben unter Pkt. 16 übernommen werden.

7. Datenübermittlungen in Drittländer oder internationale Organisationen (Art. 30 Abs. 1 lit. e DSGVO)

Es sind hier Datenübermittlungen in Drittländer oder an internationale Organisationen anzugeben.

Drittländer sind solche außerhalb der EU/des EWR.

Beispiele für internationale Organisationen: Institutionen der UNO, der EU.

Es ist die Angabe des betreffenden Drittlandes erforderlich.

Lediglich in Ausnahmefällen wird es erforderlich sein, Angaben zu geeigneten Garantien anzugeben: nämlich dann, wenn keine der genannten Garantien vorliegt, sind hier andere getroffene Garantien zu dokumentieren (Art. 49 Abs. 1. UAbs. 2 DSGVO). Falls es sich bspw. um ein Drittland mit Angemessenheitsbeschluss der EU-Kommission handelt, EU-Standarddatenschutzklauseln abgeschlossen wurden oder verbindliche interne Datenschutzvorträge vorliegen, sind nähere Angaben zu den Garantien nicht erforderlich.

Detailliertere Angaben zu internen Nachweiszwecken erfolgen unter Pkt. 17.

8. Vorgesehene Fristen für die Löschung der verschiedenen Datenkategorien (Art. 30 Abs. 1 lit. f DSGVO)

Anzugeben sind hier die konkreten Aufbewahrungs-/Löschfristen, die für die Verarbeitungstätigkeiten implementiert sind. Falls für einzelne Verarbeitungsschritte, unterschiedliche Fristen gelten, ist dies jeweils zu dokumentieren.

Soweit die Fristen in einem Löschkonzept dokumentiert sind, reicht der konkrete Verweis auf dieses vorhandene und in der Verarbeitungstätigkeit umgesetzte Löschkonzept aus.

9. Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOM) (Art. 30 Abs. 1 lit. g i. V. m. Art. 32 Abs. 1 DSGVO)

Soweit für die vorliegende Verarbeitung die im Rahmen einer separaten TOM-Dokumentation aufgeführten Maßnahmen Anwendung finden, kann hierauf verwiesen werden. Eventuelle Abweichungen/Ergänzungen sind zusätzlich zum Verweis zu dokumentieren.

Soweit sich die technischen und organisatorischen Maßnahmen aus anderen vorhandenen Sicherheitsrichtlinien/Konzepten/Zertifizierungen, z.B. aus dem Sicherheitskonzept eines eingebundenen Auftragsverarbeiters, ergeben, ist ein konkreter Verweis hierauf ausreichend. Eventuelle Abweichungen/Ergänzungen sind zusätzlich zum Verweis zu dokumentieren.

Soweit für die technischen und organisatorischen Maßnahmen keine der vorgenannten Dokumentationen vorliegen, sind sie hier im Einzelnen zu dokumentieren.

Ein Verweis auf das Vorhandensein einer Datenschutz-Folgenabschätzung ist eine sinnvolle optionale Angabe, um darüber aufzuzeigen, dass eine individuelle Betrachtung der Risiken erfolgt ist und angemessene (zusätzliche) Sicherheitsvorkehrungen ergriffen und dokumentiert wurden.

Weitergehende Angaben zur Verarbeitung zur Erfüllung der Rechenschaftspflichten gem. Art. 5 (2) DSGVO.

10. Datum und Art der Meldung

Es ist das Datum anzugeben, an dem die Verarbeitungsmeldung ausgefüllt wurde.

Es ist darüber hinaus anzugeben, ob es sich um die Meldung einer neuen Verarbeitung handelt, oder um die Änderung oder Löschung einer bestehenden Verarbeitung.

11. Geplanter Beginn der Verarbeitung von personenbezogenen Daten oder tatsächlicher Beginn

Dabei ist schon die erstmalige Übertragung oder Speicherung von personenbezogenen Daten relevant.

12. Ergänzende Dokumente und Unterlagen

Hier können sämtliche ggfs. relevanten ergänzenden Dokumente wie Datenflusspläne, Handbücher, Produktbeschreibungen, Internet-Adressen zu Produkten, Angaben zu Datenquellen und Schnittstellen etc. beigefügt oder verlinkt werden.

13. Verarbeitung von besonderen Kategorien personenbezogener Daten

Hier sollte noch einmal gesondert dargestellt werden, ob in der Verarbeitungstätigkeit besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) oder Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) verarbeitet werden.

14. Rechtsgrundlage der Verarbeitungstätigkeit

Die zutreffende Rechtsgrundlage sollte angekreuzt und erläutert werden. Es können innerhalb einer Verarbeitungsmeldung auch mehrere Rechtsgrundlagen für unterschiedliche Daten oder Verarbeitungsschritte zutreffen.

Erfüllung einer rechtlichen Verpflichtung: Benennung von Vorschrift, Paragraph, Absatz, Satz.

Einwilligung des Betroffenen (Art. 6 Abs. 1a DSGVO): Erläuterung der Einwilligungsklausel und des Einwilligungsmechanismus.

Vertrag oder Vertragsanbahnung mit dem Betroffenen (Art. 6 Abs. 1b DSGVO): Benennung des Vertrags.

Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten (Art. 6 Abs. 1f DSGVO): Benennung der berechtigten Interessen.

Sonstiges (bspw. Art. 6 Abs. 1d und e DSGVO)

15. Weitere Angaben bei gemeinsamer Verantwortlichkeit gem. Art. 26 DSGVO

Falls eine gemeinsame Verantwortlichkeit vorliegt, sollten hier weitere Angaben gemacht werden.

So ist darzulegen, auf welche Vorgänge innerhalb der Verarbeitungstätigkeit sich die gemeinsame Verantwortlichkeit bezieht. Darüber hinaus sollten die Verträge zur gemeinsamen Verantwortlichkeit hier einsehbar/abrufbar sein, und es sollten Angaben zur Erfüllung der Informationspflichten, sowie weiterer relevanter Aspekte im Einzelfall (z.B. zur Erfüllung der Betroffenenrechte) gemacht werden.

16. Empfänger, denen die Daten offengelegt worden sind oder noch offengelegt werden

Es sind getrennt alle Stellen innerhalb und außerhalb des Verantwortlichen anzugeben, die im Rahmen der Verarbeitungstätigkeit personenbezogene Daten erhalten. Ob es sich um schriftliche oder IT-technische Datenweitergabe handelt, ist nicht entscheidend.

Es werden hier folgende Empfänger unterschieden:

Empfänger innerhalb des Verantwortlichen: z.B. Vereinsabteilungen.

Empfänger (Dritte) außerhalb des Verantwortlichen: Empfänger, die nicht zum Verantwortlichen gehören und bei denen es sich nicht um Auftragsverarbeiter handelt (z.B. Behörde, Versanddienstleister).

Mittels Auftragsverarbeitung beauftragte Dienstleister (z.B. Rechenzentren, Newsletter-Versender, Druckdienstleister)

Die hier dokumentierten Empfänger werden dabei jeweils einer Kategorie zugeordnet. Diese Kategorien sind in einer Liste unter Pkt. 6 aufzuführen.

17. Garantien im Falle von Datenübermittlungen in Drittländer oder internationale Organisationen (vgl. Nr. 7)

Im Falle von Datenweitergaben außerhalb von EU/EWR sind geeignete Garantien beim Empfänger grundsätzlich erforderlich und hier anzugeben, falls für das betreffende Land kein Angemessenheitsbeschluss der EU-Kommission gem. Art. 45 Abs. 3 DSGVO vorliegt. Solche Garantien können gem. Art. 46 DSGVO durch verbindliche interne Datenschutzvorschriften (BCR) oder EU-Standarddatenschutzklauseln erbracht werden.

Darüber hinaus müssen hier - falls die Datenübermittlungen nicht auf anderem Wege (wie in Art. 45-47 DSGVO beschrieben) abgesichert sind - geeignete Garantien bei Datenübermittlungen auf der Grundlage von Art. 49 Abs. 1 UAbs. 2 DSGVO angegeben werden.

18. Beteiligte IT-Systeme

An dieser Stelle sollte eine knappe Beschreibung der technischen Infrastruktur angegeben werden, um ein besseres Verständnis der allgemeinen Beschreibung der technischen und organisatorischen Maßnahmen zu ermöglichen.

Darüber hinaus kann die Beschreibung zur Identifikation von Dienstleistern mit Auftragsverarbeitungs-Relevanz dienen (vgl. Pkt. 16).

19. Wie und zu welchem Zeitpunkt werden die Informationspflichten erfüllt?

Hier ist zu dokumentieren, wie die Informationspflichten nach Art. 12-14 DSGVO erfüllt werden.

20. Wird die Verarbeitung auch dienstleistend für weitere Verantwortliche durchgeführt?

Wenn diese Verarbeitung (auch) dienstleistend für andere Verantwortliche (z.B. andere Vereine) in Form einer Auftragsverarbeitung durchgeführt wird, dann ist dies mittels eines Vertrags zur Auftragsverarbeitung (in der Rolle des Dienstleisters) abzusichern und separat im sog. „Verzeichnis von Verarbeitungstätigkeiten des Auftragsverarbeiters“ gem. den Anforderungen aus Art. 30 Abs. 2 DSGVO zu dokumentieren.

21. Risiko der Verarbeitung und Datenschutz-Folgenabschätzung

Das von der DSGVO geforderte „risikoorientierte“ Vorgehen setzt voraus, dass eine Transparenz über das Risiko der einzelnen Verarbeitungen vorliegt. Daher ist es geboten, jede Verarbeitung hinsichtlich des Datenschutz-Risikos zu bewerten, und - im Falle des Vorliegens eines hohen Risikos - ggfs. eine Datenschutz-Folgenabschätzung durchzuführen.

Stand: 21.06.2021

Quelle: Deutscher Imkerbund e.V. www.deutscherimkerbund.de info@imkerbund.de