Dass es ein Verzeichnis der Verarbeitungstätigkeiten für jedes Unternehmen geben sollte ist allgemein Bekannt.

Als Auftragsverarbeiter kommen hier weitreichendere Dokumentationspflichten auf die Unternehmen zu.

Zusätzlich zum eigenen Verzeichnis der Verarbeitungstätigkeiten muss jeder Auftragsverarbeiter laut Art. 30 DSGVO ein eigenes Verarbeitungsverzeichnis für die Kunden führen.

In der Praxis stellt sich die Frage ob ein Auftragsverarbeiter für jeden Kunden ein eigenes Verzeichnis von Verarbeitungstätigkeiten führt, oder ob die verschiedenen Verzeichnisse zusammengefasst werden können.

Bis die Rechtslage hier eindeutig geklärt ist, folgen wir der Rechtsauffassung, aufgrund der Vorlage vom LDI NRW, dass für jeden Kunden ein eigenes Verzeichnis von Verarbeitungstätigkeiten geführt werden muss. In der Praxis lässt sich dies anhand von vorbereiteten Vorlagen bestens realisieren. Da in der Dokumentationspflicht auch keine Schriftform also Ausdrucke etc. vorgeschrieben ist, reicht hier auch diese Verarbeitungen lediglich digital ab zu speichern.

Was ist nun der Unterschied zwischen den beiden Verarbeitungsverzeichnissen?

Bei den Ersten 5 Punkten, geht es regulär nur um Kontaktdaten, diese haben wir hier nun eher mal ausgelassen. Ab dem 6. Punkt gehen wir genauer ein, da hier doch spezifischere Angaben gefordert werden.