Muss ich eine Verarbeitung Dokumentieren?

Grundsätzlich ist für jede Verarbeitung von personenbezogenen und personenbeziehbaren Daten eine Dokumentation der Verarbeitungstätigkeit zu erstellen und im Verzeichnis der Verarbeitungstätigkeiten zu dokumentieren.

Um einen pragmatischen Umgang mit dieser Vorgabe zu finden, ist es sinnvoll vorerst die Verarbeitungen zu dokumentieren, in denen größere Mengen an personenbezogen Daten verarbeitet werden. Dies können z.B. Personalwirtschaft, Stellenverfahren, Haushalt, Campusmanagement, Forschungsvorhaben, Befragungen u.ä. sein. Die nach DSGVO im engeren Sinne auch zu dokumentierenden Verarbeitungen wie z.B. Verarbeitungen im täglichen Büroalltag, können zunächst nachrangig behandelt werden.

Die UHH wird hierzu eine grundsätzliche Klärung mit der Datenschutzaufsichtsbehörde (HmbBfDI) anstreben um eine abschließende Rechtsmeinung abzustimmen.

Zu den Verarbeitungen im täglichen Büroalltag zählen:

• Adressbücher in der elektronischen Kommunikation (Outlook u.a.)
• Protokolle von Besprechungen, Sitzungen usw.
• E-Mail-Kommunikation im persönlichen Bereich (ausgenommen Verteilerlisten, Mailinglisten u.ä.)
• Nicht automatisiert verarbeitbare Schriftstücke (z.B. Word, PDF etc.)