Das Verzeichnis der Bearbeitungstätigkeiten hält fest, welche Personendaten Ihre Organisation wozu bearbeitet: nach Art. 12 DSG und, wenn Ihre Organisation die DSGVO gewählt hat, nach Art. 30 DSGVO. Sie finden es unter Datenschutz › Verzeichnis. Varmo schlägt Angaben aus Ihren Assets vor; gespeichert wird nur, was Sie übernehmen. Dieser Artikel richtet sich an ISMS-Verantwortliche, an die Datenschutzberatung und an alle, die das Verzeichnis führen.

Bevor Sie beginnen

  • Lesen darf das Verzeichnis, wer das Recht Verzeichnis der Bearbeitungstätigkeiten ansehen hat; führen, wer Verzeichnis der Bearbeitungstätigkeiten führen hat. Neue Organisationen geben beides den Fachrollen ISMS-Verantwortliche/r und Datenschutzberater/in. Eigentümer eines Prozesses sehen die Einträge, die an ihrem Prozess verankert sind.
  • Welche Gesetze gelten und welche Art Ihre Organisation hat, legen Sie unter ISMS-Einstellungen › Assets › Schutzbedarfsanalyse im Abschnitt Datenschutz fest. Danach richtet sich, nach welchen Gesetzen Sie verzeichnen und welche Prüfung der Pflicht gilt.
  • Das Verzeichnis ist in allen Paketen enthalten.
  1. Verzeichnis führenPflicht prüfen

    Je Gesetz, mit Vorschlägen aus den Analysen.

  2. Verzeichnis führenEinträge erfassen

    Aus Prozessen anlegen und vervollständigen.

  3. DatenschutzFreigeben (freiwillig)

    Nie, wer eingereicht hat.

Bundesorgan

Bearbeitungen als Bundesorgan melden Sie zusätzlich in DataReg und halten den Stand im Eintrag fest.

Vom Prozess zum freigegebenen Verzeichnis

Zuerst prüfen Sie je Gesetz, ob Ihre Organisation zum Verzeichnis verpflichtet ist. Dann erfassen Sie die Angaben zum Verantwortlichen und die Bearbeitungstätigkeiten, am einfachsten aus Ihren Prozessen mit Personendaten. Fehlende Angaben zeigt Varmo je Eintrag. Freiwillig reichen Sie das vollständige Verzeichnis als Fassung ein; die Stelle Bestätigung durch den Datenschutz gibt sie frei.

So prüfen Sie die Pflicht

Unter Pflicht zum Verzeichnis beantworten Sie je Gesetz die Fragen zur Befreiung. Varmo schlägt „Ja“ vor, wenn eine genehmigte Schutzbedarfsanalyse es nahelegt, etwa bei besonders schützenswerten Personendaten. Weichen Sie vom Vorschlag ab, begründen Sie das. Eine Prüfung lässt sich nicht ändern; Sie prüfen bei Bedarf erneut.

  • Nach DSG (Art. 24 DSV): Unternehmen und andere privatrechtliche Organisationen mit weniger als 250 Mitarbeitenden am 1. Januar sind befreit, ausser sie bearbeiten besonders schützenswerte Personendaten in grossem Umfang oder führen ein Profiling mit hohem Risiko durch. Die Prüfung gilt für das laufende Jahr.
  • Nach DSGVO (Art. 30 Abs. 5 DSGVO): Organisationen mit weniger als 250 Mitarbeitenden sind befreit, ausser eine Verarbeitung birgt ein Risiko, erfolgt nicht nur gelegentlich oder betrifft besondere Kategorien bzw. Daten über Straftaten. Trifft das zu, gilt die Pflicht für diese Verarbeitungen. Regelmässige Verarbeitungen wie die Lohnbuchhaltung erfolgen nicht nur gelegentlich; befreit sind darum nur wenige Organisationen. Die Prüfung gilt ein Jahr.
  • Bundesorgane sind nie befreit. Kantone und Gemeinden prüfen nicht nach Art. 24 DSV; für sie gilt das kantonale Recht, das Verzeichnis dient als Vorlage.

So erfassen Sie die Einträge

  1. Erfassen Sie unter Angaben zum Verantwortlichen die Anschrift und, wenn die DSGVO gilt, die Kontaktdaten. Geben Sie an, ob Ihre Organisation Personendaten im Auftrag anderer bearbeitet; dann führen Sie dafür Einträge als Auftragsbearbeiter.
  2. Wählen Sie Aus Prozessen anlegen: Je ausgewählter Information bzw. jedem Prozess mit Personendaten entsteht ein Eintrag mit Name, Zweck aus der Beschreibung und den verknüpften Assets. Oder erfassen Sie einen Eintrag einzeln mit Bearbeitungstätigkeit erfassen.
  3. Ergänzen Sie im Eintrag die betroffenen Personen, die Kategorien der Personendaten, die Empfänger, die Aufbewahrung, die Massnahmen der Datensicherheit und die Bekanntgabe ins Ausland mit der Garantie je Staat. Vorschläge aus den verknüpften Assets übernehmen Sie mit Vorschlag übernehmen.
  4. Varmo zeigt bei jedem Eintrag unter Noch offen, welche Pflichtangaben fehlen.

Export und Freigabe

  • Unter Verzeichnis nach DSG bzw. nach DSGVO öffnen Sie die Druckansicht (als PDF über Drucken) und die CSV-Datei je Gesetz.
  • Freiwillig reichen Sie das vollständige Verzeichnis mit Zur Freigabe einreichen als Fassung ein. Die Stelle Bestätigung durch den Datenschutz gibt sie frei oder weist sie mit Begründung zurück. Wer eingereicht hat, gibt nie selbst frei. Der Export zeigt den Stand der jüngsten freigegebenen Fassung.

Bundesorgane: DataReg

Bundesorgane melden ihre Bearbeitungstätigkeiten dem EDÖB über DataReg. Varmo übermittelt nichts an DataReg. Im Eintrag halten Sie unter DataReg die Phase, das Datum der Meldung und die Registernummer fest. Angaben für DataReg zeigt die Felder in der Reihenfolge der Erfassungsmaske zum Kopieren. Ändern Sie den Eintrag später, erhalten Sie die Pendenz Meldung in DataReg nachführen.

Häufige Fragen

Muss eine befreite Organisation ein Verzeichnis führen?

Nein. Ein Verzeichnis hilft trotzdem bei Auskunftsbegehren und Audits; Sie können es freiwillig führen.

Was gilt bei einer Privaten Organisation mit öffentlichen Aufgaben des Bundes?

Erfassen Sie gemischte Bearbeitungen als zwei Einträge, einen für die private Tätigkeit und einen für die Bundesaufgabe. Für die Bundesaufgabe gelten die Pflichten der Bundesorgane: Rechtsgrundlage und Meldung in DataReg.