Verzeichnis für Verarbeitungstätigkeiten nach Art. 30 DS-GVO
Glossar

Auftragsverarbeiter (Art. 4 Nr. 8 DS-GVO)
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Er kann eine natürliche oder juristische Person, ein Verein oder eine Behörde sein. Er hat grundsätzlich die gleichen Pflichten wie der Verantwortliche.

Auftragsverarbeitung/Auftrag (Art. 28 DS-GVO)
Jede Auftragsverarbeitung bedarf eines Vertrags. Hauptgegenstand des Vertrags muss die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter sein, also z.B. die Erhebung, die Speicherung oder die Löschung von Daten. Dabei sind die Weisungen des Verantwortlichen maßgeblich. Eine Auftragsverarbeitung liegt nicht vor, wenn zur Auftragserfüllung personenbezogene Informationen durch den Vertragspartner verwendet werden, deren Verarbeitung aber nicht die vertragliche Hauptleistungspflicht darstellt. Dies ist z.B. bei einer Beauftragung von externen Laboren oder Hilfsmittelherstellern der Fall, denn Hauptgegenstand des jeweiligen Vertrags ist dann die Untersuchung von Blut oder die Herstellung von Prothesen und nicht die Verarbeitung von Daten.

besondere Kategorien personenbezogener Daten (Art. 9 DS-GVO)
Darunter fallen Informationen über die rassische und ethnische Herkunft, politische Meinungen, Überzeugungen, religiöse oder weltanschauliche Überzeugungen, die Zugehörigkeit zu einer Gewerkschaft, genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person (Fingerabdruck), Gesundheitsdaten sowie Informationen über das Sexualleben oder die sexuelle Orientierung. Die Daten sind besonders schutzbedürftig und dürfen nur unter den engen Voraussetzungen des Art. 9 Abs. 2 DS-GVO verarbeitet werden.

betroffene Person (Art. 4 Nr. 1 DS-GVO)
Eine identifizierte oder identifizierbare natürliche Person, auf die sich konkrete Informationen beziehen.

Datenschutzbeauftragter (Art. 37 – 39 DS-GVO)
Der Datenschutzbeauftragte (DSB) wird von dem Verantwortlichen benannt. Er soll aufgrund seiner Expertise die Einhaltung des Datenschutzes bei dem Verantwortlichen unterstützen und kontrollieren. Maßnahmen im Zusammenhang mit der Verarbeitung personenbezogener Daten trifft nicht er sondern der Verantwortliche selbst. Deshalb haftet der DSB auch nicht für bestehende Defizite. Manche Stellen sind verpflichtet, einen DSB zu benennen. (Weiterführende Informationen dazu finden Sie hier). Auch ohne DSB sind immer die Vorgaben des Datenschutzes einzuhalten. Der DSB muss nicht zwingend beim Verantwortlichen beschäftigt sein.

Datenschutz-Ansprechpartner
Sofern der Verantwortliche formell keinen DSB benennen muss oder will, kann er dennoch eine Beschäftigte oder einen Beschäftigten bitten, sich als Datenschutz-Ansprechpartner vertieft um die Einhaltung der datenschutzrechtlichen Vorgaben im Praxisbetrieb zu kümmern. Auch in großen Einrichtungen mit mehreren Betriebsstätten oder Organisationseinheiten kann es sinnvoll sein, neben dem DSB noch andere Datenschutz-Ansprechpartner zu installieren.

Empfänger in Drittländern oder internationalen Organisationen (Art. 30 Abs. 1 lit. e DS-GVO)
Alle Personen oder Institutionen außerhalb der EU bzw. des Europäischen Wirtschaftsraums oder internationale Organisationen, an die personenbezogene Daten weitergeleitet werden.

Kategorien betroffener Personen (Art. 30 Abs. 1 lit. c DS-GVO)
Gruppen betroffener Personen, denen aufgrund bestimmter Merkmale einzelne Personen zugeordnet werden können (z.B. Patienten, Geschäftspartner, Beschäftigte). 

Kategorien personenbezogener Daten (Art. 30 Abs. 1 lit. c DS-GVO)
Typisierte Zusammenfassung personenbezogener Daten (z.B. Beschäftigtendaten, Kundendaten, Patientendaten).

Kategorien von Empfängern (Art. 30 Abs. 1 lit. d DS-GVO)
Gruppen von Personen oder Stellen, gegenüber denen personenbezogene Daten offengelegt werden.

Löschfristen (Art. 30 Abs. 1 lit. f DS-GVO)
Fristen, nach deren Ablauf die von dem Verantwortlichen zulässigerweise gespeicherten Kategorien personenbezogenen Daten gelöscht werden müssen. Sie bestimmen sich grundsätzlich danach, ob die Daten noch für die Zwecke, für die sie erhoben bzw. verarbeitet wurden, erforderlich sind (Art. 17 DS-GVO). Hierzu gehört neben dem eigentlichen Verarbeitungszweck z.B. eine angemessene Beweissicherung zur Abwendung drohender Zivilrechtsstreitigkeiten oder die Vorhaltung von Unterlagen zur Durchführung von Rechnungsprüfungen. Darüber hinaus kann sich die Aufbewahrungsfrist auch unmittelbar aus gesetzlichen Bestimmungen einschließlich der Berufsordnungen ergeben. Es empfiehlt sich, die einzelnen Fristen für die Aufbewahrung der von dem Verantwortlichen verarbeiteten Datenkategorien in einem Löschkonzept zu dokumentieren. Dabei sollten neben der Dauer auch der Beginn der Frist benannt werden.

Offenlegung (Art. 30 Abs. 1 lit. d DS-GVO)
Sobald Dritten die Möglichkeit eingeräumt wird, personenbezogene Daten zur Kenntnis zu nehmen. 

personenbezogene Daten (Art. 4 Nr. 1 DS-GVO)
Alle jene Daten, mit denen man eine natürliche Person direkt oder mit einem noch vertretbaren Aufwand identifizieren kann. Aus den Daten muss sich eine Aussage über eine identifizierte oder identifizierbare natürliche Person ergeben.

Rechenschaftspflicht (Art. 5 Abs. 2 /Art. 30 Abs. 4 DS-GVO)
Dem Verantwortlichen obliegt hiernach die Pflicht zum Nachweis, alle Vorgaben des Datenschutzes eingehalten zu haben. Dem kommt insbesondere bei einer Datenschutzkontrolle durch die zuständige Datenschutzaufsicht eine wichtige Bedeutung zu. Ein aktuelles und vollständiges Verzeichnis von Verarbeitungstätigkeiten ist ein wesentlicher Baustein bei der Erfüllung der Rechenschaftspflicht (vgl. Vorlagepflicht, Art. 30 Abs. 4 DS-GVO).

Risiko für Rechte und Freiheiten der betroffenen Personen (Art. 30 Abs. 5/Art. 32 Abs. 1/Art. 33 Abs. 1/Art. 34 Abs. 1 DS-GVO)
Im Datenschutzrecht bezieht sich das Risiko für Rechte und Freiheiten der betroffenen Personen auf den Schaden, den diese erleiden würden, wenn eine Verarbeitung der sie betreffenden Daten defizitär wäre, sowie auf die Wahrscheinlichkeit des Schadenseintritts. Schäden können z.B. der Verlust an Kreditwürdigkeit oder eine drohende Diskriminierung sein. Die Kombination aus Schaden und Eintrittswahrscheinlichkeit bestimmt den Grad des Risikos.

technisch-organisatorische Maßnahmen (Art. 30 Abs. 1 lit. g/Art. 32 DS-GVO)
Der Verantwortliche hat nach Art. 32 DS-GVO für angemessene technische und organisatorische Maßnahmen (TOM) zum Schutz der personenbezogenen Daten bei ihrer Verarbeitung zu sorgen. Diese können sowohl technischer (z.B. IT-Maßnahmen, Abschließen von Räumen) als auch organisatorischer Natur (z.B. Dienstanweisung, Zugriffsrechtekonzept, Zuständigkeitsverteilung) sein. Maßstab für die zu treffenden Vorkehrungen ist u.a. der Stand der Technik, die Kosten für die Bereitstellung dieser Technologie, die Risiken für die Betroffenen und deren Wahrscheinlichkeit. Ggf. muss eine Datenschutz-Folgeabschätzung (Art. 35 DS-GVO) durchgeführt werden. Nähere allgemeine Informationen zur Datenschutz-Folgenabschätzung finden Sie hier.

Verantwortlicher (Art. 4 Nr. 7/Art. 30 Abs. 1 DS-GVO)
Die Person oder Stelle, die die Art und Weise sowie die Zwecke einer Verarbeitung personenbezogener Daten festlegt. Der Verantwortliche hat die Entscheidungsgewalt über die Daten bzw. deren Verarbeitung.

Verarbeitung personenbezogener Daten (Art. 4 Nr. 2 DS-GVO)
Datenverarbeitung ist allgemein das Verwenden von Daten zu einem bestimmten Zweck. Die Verarbeitung kann dabei automatisiert (z.B. maschinell) oder nicht automatisiert erfolgen. Formen der Verarbeitung sind z.B. die Erhebung, die Speicherung, die Übermittlung und die Löschung. 

Verarbeitungstätigkeit (Art. 30 Abs. 1 DS-GVO)
Die Summe einzelner Datenverarbeitungen, die zu einem bestimmten Zweck oder für mehrere miteinander zusammenhängende Zwecke durchgeführt werden. Maßgeblich für die Festlegung einzelner Verarbeitungstätigkeiten sind also die bei einem Verantwortlichen bestehenden und voneinander abgrenzbaren Geschäftsprozesse. Eine Verarbeitungstätigkeit wird dagegen nicht durch den Einsatz eines einzelnen technischen Verfahrens oder der Verwendung eines Softwareprodukts wie beispielsweise die Nutzung eines Praxisverwaltungssystems oder eines Kommunikationsdienstes bestimmt.

Zweck der Verarbeitung (Art. 5 Abs. 1 lit. b/30 Abs. 1 lit. b DS-GVO)
Der Zweck einer Verarbeitung personenbezogener Daten muss vor der Verarbeitung eindeutig festgelegt werden. Dies kann entweder durch den Verantwortlichen selbst oder durch eine rechtliche Vorgabe erfolgen. Der Verarbeitungszweck muss legitim sein.