Verzeichnis von Verarbeitungstätigkeiten

GMDS Arbeitsgruppe
„Datenschutz und IT-Sicherheit im Gesundheitswesen“ (DIG)

Datenschutzhinweise Cookie-Hinweise Impressum Kontakt Sitemap
Veranstaltungskalender

Beispiel: Verzeichnis von Verarbeitungstätigkeiten

Verzeichnis von Verarbeitungstätigkeiten: Verantwortlicher

1. Stammdaten

1.1 Namen und die Kontaktdaten des Auftragnehmers⁽¹⁾

1.2 Persönliche Nennung der verantwortlichen Personen

1.2.1 Geschäftsführung

1.2.2 Stellvertretende Geschäftsführung

1.2.3 Leitung der Datenverarbeitung⁽⁵⁾

1.2.4 Angaben zur Person des Datenschutzbeauftragten⁽⁶⁾

2 Angaben zur Verarbeitungstätigkeit

2.1 Organisatorische Angaben

2.1.1 Ansprechpartner / Verfahrensverantwortliche

2.1.2 Zeitangaben

2.2 Zweck der Verarbeitung

2.2.1 Bezeichnung des Verfahrens

2.2.2 Zweckbestimmung⁽⁾

2.2.3 Rechtsgrundlage

2.2.3.1 Verarbeitung von Daten, die nicht zu besonderen Kategorien gemäß Art. 9 Abs. 1 DS-GVO zählen

Rechtsgrundlage EU DS-GVO⁽⁸⁾
	Einwilligung⁽⁹⁾ (Art. 6 Abs. 1 lit. a)
	Zur Vertragserfüllung notwendig (Art. 6 Abs. 1 lit. b)
	Zur Erfüllung einer rechtlichen Verpflichtung, welcher der Verantwortliche unterliegt, erforderlich (Art. 6 Abs. 1 Lit c)
	Erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen (Art. 6 Abs. 1 lit. d)
	Verarbeitung liegt im öffentlichen Interesse oder erfolgt in Ausübung öffentlicher Gewalt (Art. 6 Abs. 1 lit. e)
	Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich und die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen nicht (Art. 6 Abs. 1 lit. f)

2.3.2 Verarbeitung besondere Kategorien personenbezogener Daten⁽¹⁰⁾

Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten

Beschreibung der Kategorien betroffener Personen

2.3.2 Beschreibung der Kategorien personenbezogener Daten19

Kategorien betroffener Personen	Beschreibung
Patienten
Mitarbeiter, Angestellte, Rentner, Bewerber, Auszubildende, Praktikanten, gewerbliche Mitarbeiter
Lieferanten sowie andere Geschäftspartner, sofern diese zur Erfüllung der in Abschnitt 2.2.2 genannten Zwecke erforderlich sind
Kunden, Mitarbeiter von Kunden,

Kategorien betroffener Personen	Beschreibung
Daten der Patientenbehandlung, insbesondere namnestische Daten Diagnosedaten Therapie- u. Versorgungsdaten Nachsorgedaten
Angaben zur Person (des Betroffenen) Name Anschrift Geburtsdatum Religion schwerbehindert oder dem gleichgestellt
Adressdaten
Lieferantendaten
Kundendaten
Bestell- und Abrechnungsdaten
Logistikdaten
Mitarbeiterdaten zur Personalverwaltung, insbesondere: Kostenstelle Vorgesetzter Schicht Vollzeit/Teilzeit Dauer Betriebszugehörigkeit Tätigkeiten im Unternehmen Fehlzeiten
Mitarbeiterdaten zur Lohn- und Gehaltsabrechnung, insbesondere: Personalstammdaten Zeiterfassungsdaten
Bewerberdaten, insbesondere Name Anschrift Kontaktdaten Ausbildung Qualifikation Stelle, auf die sich beworben wurde

2.4 Kategorien von Empfängern⁽¹⁴⁾

2.4.1 Interne Empfänger

2.4.2 Externe Empfänger

Empfänger/th>	Rechtsgrundlage⁽¹⁵⁾
...

Empfänger/th>	Rechtsgrundlage⁽¹⁶⁾
...

2.5 Übermittlungen an ein Drittland oder an eine internationale Organisation⁽¹⁷⁾

2.6 Fristen für die Löschung

2.7 Getroffene technische und organisatorische Maßnahmen⁽¹⁹⁾

2.7.1 Pseudonymisierung personenbezogener Daten⁽²⁰⁾

2.7.2 Verschlüsselung personenbezogener Daten

2.7.3 Beschreibung des Verfahrens zur Gewährleistung der Verfügbarkeit der personenbezogenen Daten

2.7.4 Beschreibung des Verfahrens zur Gewährleistung Zugang zu personenbezogenen Daten bei einem physischen oder technischen Zwischenfall, rasch wiederherzustellen

2.7.5 Beschreibung des Verfahrens zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit von technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung

(1) Hinweis: siehe hierzu auch Working Paper 169 "Stellungnahme 1/2010 zu den Begriffen ???für die Verarbeitung Verantwortlicher??? und ???Auftragsverarbeiter??? der Artikel-29-Datenschutzgruppe

(3) Es muss eine ladungsfähige Anschrift angegeben werden; die Angabe eines Postfachs ist nicht ausreichend, kann aber natürlich als Zusatzinformation angegeben werden.

(5) Freiwillige Angabe, jedoch ist es für eine Aufsichtsbehörde im Prüfungsfall nützlich zu wissen, wer hier der zuständige Ansprechpartner ist.

(6) Sofern vorhanden, müssen die Kontaktdaten des Datenschutzbeauftragten zwingend angegeben werden.

(7) Hinweis: Working Paper "Opinion 03/2013 on purpose limitation" der Artikel-29-Datenschutzgruppe berücksichtigen.

(9) Hinweis: siehe zum Thema "Einwilligung" auch Working Paper 187 "Stellungnahme 15/2011 zur Definition von Einwilligung" der Artikel-29-Datenschutzgruppe.

(10) Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetische Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person ,Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person.

(11) Hinweis: siehe zum Thema "Einwilligung" auch Working Paper 187 "Stellungnahme 15/2011 zur Definition von Einwilligung" der Artikel-29-Datenschutzgruppe.

(12) Angabe einer nationalen gesetzlichen Regelung zwingend für die gelb markierten Feldern erforderlich, da ohne diese kein wirksamer Erlaubnistatbestand entsprechend DS-GVO vorliegt.

(13) Hinweis: in Working Paper 131 "Arbeitspapier Verarbeitung von Patientendaten in elektronischen Patientenakten (EPA)" der Artikel-29-Datenschutzgruppe wird hinsichtlich der "lebenswichtigen Interessen der betroffenen Person" Stellung bezogen

(15) Rechtsgrundlage für die Offenlegung, z.B. AV-Vertrag oder ein nationales Gesetz.

(16) Rechtsgrundlage für die Offenlegung, z.B. Auftragsverarbeitungs-Vertrag oder ein nationales Gesetz.

(19) Hier kann auf bestehende Dokumente wie bspw. ein IT-Sicherheitskonzept verwiesen werden, in welchem die die im Verfahren verwendeten Daten schützenden Maßnahmen konkret beschrieben sind

(20) Hinweis: bzgl. Abgrenzung Anonymisierung/Pseudonymisierung siehe auch Working Paper 216 "Stellungnahme 5/2014 zu Anonymisierungstechniken" der Artikel-29-Datenschutzgruppe.

Name/Bezeichnung der datenverarbeitenden Stelle⁽²⁾
Straße Hausnummer⁽³⁾
PLZ / Ort
Telefon
Telefax⁽⁴⁾
E-Mail-Adresse⁽⁴⁾
Internet-Adresse⁽⁴⁾

Rechtsform der Gesellschaft/td>
Handelsregisternummer⁽⁴⁾
Umsatzsteueridentifikationsnummer⁽⁴⁾
Wirtschafts-Identifikationsnummer⁽⁴⁾

Vollständiger Name (n)
Straße Hausnummer⁽³⁾
PLZ / Ort
Telefon
Telefax⁽⁴⁾
E-Mail-Adresse⁽⁴⁾
Internet-Adresse⁽⁴⁾

Vollständiger Name (n)
Straße Hausnummer⁽³⁾
PLZ / Ort
Telefon
Telefax⁽⁴⁾
E-Mail-Adresse⁽⁴⁾
Internet-Adresse⁽⁴⁾

Vollständiger Name (n)
Straße Hausnummer⁽³⁾
PLZ / Ort
Telefon
Telefax⁽⁴⁾
E-Mail-Adresse⁽⁴⁾
Internet-Adresse⁽⁴⁾

Datum der Einführung
Datum der Erstbeschreibung⁽³⁾
Datum der letzten Änderung

	Rechtsgrundlage EU DS-GVO	Ergänzende national-gesetzliche Regelung
	Einwilligung⁽¹¹⁾(Art. 9 Abs. 2 lit. a)
	Patientenbehandlung⁽¹²⁾ (Art. 9 Abs. 2 lit. h)
	Weitergabe von Daten an Mit-/Nachbehandler⁽¹²⁾ (Art. 9 Abs. 2 lit. h)
	Verarbeitung ist zum Schutz lebenswichtiger Interessen⁽¹³⁾ der betroffenen Person oder einer anderen natürlichen Person erforderlich und die betroffene Person ist aus körperlichen oder rechtlichen Gründen außerstande, ihre Einwilligung zu geben Art. 9 Abs. 2 lit. c)
	Abrechnung von Leistungen (Art. 9 Abs. 2 lit. f)
	Qualitätssicherung der Patientenversorgung⁽¹²⁾ (Art. 9 Abs. 2 Lit i)
	Gesetzlich geregelte Krankheitsregister⁽¹²⁾ (Art. 9. Abs. 2 lit. h)
	Gesundheitsstatistik des Bundes und der Länder⁽¹²⁾ (Art. 9 Abs. 2 lit. j in Verbindung mit Art. 89 Abs. 1)
	Arbeitsmedizinische Untersuchung⁽¹²⁾ (Art. 9 Abs. 2 Lit h in Verbindung mit Art. 9. Abs. 3)
	Untersuchung durch Gesundheitsamt⁽¹²⁾ (Art. 9. Abs. 2 Lit i)
	Impfungen in Schule usw. durch Ämter⁽¹²⁾ (Art. 9. Abs. 2 Lit i)
	Verteidigung der behandelnden Person vor Gericht⁽¹²⁾ (Art. 9 Abs. 2. lit. f)
	Wissenschaftliche u. historische Forschung⁽¹²⁾ (Art. 9 Abs. 2 lit. j in Verbindung mit Art. 89 Abs. 1)
	Gesetzlich vorgeschriebene Archivierung zu hist. Zwecken⁽¹²⁾ (Art. 9 Abs. 2 lit. j in Verbindung mit Art. 89 Abs. 1)
	Verarbeitung von seitens der betroffenen Person öffentlich zugänglich gemachten Daten (Art. 9 Abs. 2 lit. e)
	...

Name des Drittstaates
Empfänger oder Kategorien von Empfängern
Art der Daten oder Datenkategorien
Rechtsgrundlage
Angabe der geeigneten Garantien⁽¹⁸⁾

Verzeichnis von Verarbeitungstätigkeiten

Beispiel: Verzeichnis von Verarbeitungstätigkeiten