DSGVO
Verzeechnes vun den Traitementer (DSGVO) zu Lëtzebuerg: Verflichtungen an Inhalt
Séier Äntwert
D'Verzeechnes vun den Traitementer, dat am Art. 30 DSGVO virgesinn ass, erfaasst all d'Veraarbechtungsoperatioune vu perséinlechen Donnéeë vun enger Organisatioun. Zu Lëtzebuerg ass et am Prinzip obligatoresch fir all Verantwortleche fir d'Veraarbechtung an all Veraarbechter. D'Ausnam fir manner wéi 250 Salariéen ass ganz limitéiert a befreit bal ni dovun, et ze féieren.
D'Verzeechnes vun den Traitementer ass dat zentraalt Dokument vun der DSGVO-Konformitéit: et kartografiéiert all Traitement vu perséinlechen Donnéeë mat senge Zwecker, senge Rechtsgrondlagen, sengen Empfänger a senger Opbewahrungsdauer. Et ass am Art. 30 DSGVO virgesinn a gëllt fir de Verantwortleche fir d'Veraarbechtung grad esou wéi fir de Veraarbechter. D'Ausnam fir Organisatioune mat manner wéi 250 Salariéen ass a Wierklechkeet enk a fält ewech, soubal et e reegelméissegen Traitement oder sensibel Donnéeë gëtt. Dëse Guide beschreift den obligatoreschen Inhalt, d'Method fir den Opbau, d'Aktualiséierung, de Bezuch zur Analys vun den Auswierkungen op den Dateschutz (AIPD) an d'Kontroll vun der CNPD. Fir eng Begleedung kuckt eis Säit Affekot fir d'DSGVO an eis Consultatioun beim Affekot.
Kuerz gesot
- Kontrolléiert, ob Dir Verantwortleche fir d'Veraarbechtung oder Veraarbechter sidd: a béide Fäll gëtt e Verzeechnes erwaart.
- Iwwerschätzt d'Ausnam fir manner wéi 250 Salariéen net: si fält ewech, soubal et e reegelméissegen Traitement oder sensibel Donnéeë gëtt.
- Gitt fir all Traitement d'Zwecker, Rechtsgrondlagen, Kategorie vun Donnéeën a vu Persounen, Empfänger an Opbewahrungsdauer un.
- Dokumentéiert d'Transferten ausserhalb vun der Europäescher Unioun an déi Garantien, déi dozou gehéieren.
- Verbannt d'Verzeechnes mat der Analys vun den Auswierkungen op den Dateschutz (AIPD) fir d'Traitementer mat héijem Risiko.
- Haalt d'Verzeechnes um neiste Stand a sidd an der Lag, et der CNPD bei enger Kontroll virzeleeën.
| Rubrik | Erwaarten Inhalt |
|---|---|
| Identitéit | Numm a Kontaktinformatioune vum Verantwortlechen, vum Vertrieder a vum DPO, am gegebene Fall |
| Zwecker | Zil vun all Traitement (Pai, Rekrutéierung, Prospektioun, asw.) |
| Betraffe Persounen | Kategorie vu Persounen: Salariéen, Clienten, potenziell Clienten, Fournisseuren |
| Veraarbecht Donnéeën | Kategorie vun Donnéeën: Identitéit, Kontaktinformatiounen, finanziell Donnéeën, sensibel Donnéeën |
| Empfänger | Kategorie vun internen an externen Empfänger |
| Transferten ausserhalb vun der EU | Betraffen Drëttstaaten a Garantien, déi den Transfert ofsécheren |
| Opbewahrungsdauer | Virgesinn Dauer fir all Kategorie vun Donnéeën |
| Sécherheet | Allgemeng Beschreiwung vun den techneschen an organisatoresche Moossnamen |
Wat ass d'Verzeechnes vun den Traitementer (Art. 30 DSGVO)
D'Verzeechnes vun de Veraarbechtungsaktivitéiten ass dat Dokument, dat op eng strukturéiert Manéier all d'Operatiounen erfaasst, mat deenen eng Organisatioun perséinlech Donnéeë veraarbecht. Et ass am Art. 30 DSGVO (RGPD) virgesinn an ass déi konkret Ëmsetzung vum Prinzip vun der Rechenschaftspflicht (responsabilité): d'Organisatioun muss d'Reglementatioun net nëmme respektéieren, mä och an der Lag sinn, dat ze beweisen.
Konkret kartografiéiert d'Verzeechnes all Traitement: d'Gestioun vun der Pai, d'Rekrutéierung, d'kommerziell Prospektioun, d'Videoiwwerwaachung, d'Gestioun vun de Clienten oder och d'IT-Sécherheet. Fir all eenzelen Traitement gëtt et un, firwat d'Donnéeë veraarbecht ginn, op wéi enger Rechtsgrondlag, wéi eng Persounen a wéi eng Kategorie vun Donnéeë betraff sinn, u wien d'Donnéeë weidergeleet ginn a wéi laang se opbewuert ginn.
D'Verzeechnes ass keng einfach administrativ Formalitéit: et ass d'Steierungsinstrument vun Ärer Konformitéit. Wann et gutt gefouert gëtt, erlaabt et, d'Traitementer mat Risiko z'identifizéieren, eng eventuell Analys vun den Auswierkungen (analyse d'impact) virzebereeden a séier op eng Kontroll vun der CNPD oder op eng Ufro fir d'Ausübung vu Rechter z'äntwerten. En Affekot fir d'DSGVO hëlleft, et esou ze strukturéieren, datt et Är Aktivitéit getrei erëmgëtt.
Wien muss e Verzeechnes vun den Traitementer féieren
D'Verflichtung zum Verzeechnes gëllt souwuel fir de Verantwortleche fir d'Veraarbechtung (responsable de traitement), dat heescht d'Organisatioun, déi d'Zwecker an d'Mëttele vum Traitement bestëmmt, wéi och fir de Veraarbechter (sous-traitant), deen d'Donnéeën am Numm vun engem aneren veraarbecht. Zu Lëtzebuerg falen bal all Entreprisen, Associatiounen an ëffentlech Entitéiten an eng vun dëse Kategorien.
Den Inhalt vum Verzeechnes ass jee no Ärer Roll anescht. De Verantwortleche fir d'Veraarbechtung dokumentéiert seng eege Traitementer an hir Zwecker. De Veraarbechter féiert dogéint e Verzeechnes vun de Kategorie vu Veraarbechtungsaktivitéiten, déi hien am Numm vu senge Clienten, de Verantwortlechen, ausféiert. Eng an déi selwecht Entreprise kann iwwerdeems béid Rollen hunn, jee no den Traitementer, ëm déi et geet.
Är Qualifikatioun richteg ze bestëmmen ass e juristesche Schrëtt fir sech, well se Är Verflichtungen an Är Haftung bestëmmt. Dës Analys deckt sech dacks mat där, déi bei der Redaktioun vun engem Dateveraarbechtungskontrakt gemaach gëtt, deen och DSGVO-konform muss sinn.
D'Ausnam fir manner wéi 250 Salariéen an hir Grenzen
Den Art. 30 DSGVO gesäit eng scheinbar Befreiung fir Organisatioune mat manner wéi 250 Salariéen vir. Vill Geschäftsféierer schléissen dorauser, zu Onrecht, datt si guer kee Verzeechnes musse féieren. D'Realitéit ass ganz anescht, well dës Ausnam u kumulativ Bedingunge gebonnen ass, déi hir dat meescht vun hirer Tragwäit huelen.
D'Befreiung gëllt nëmmen, wann den Traitement kee Risiko fir d'Rechter a Fräiheete vun de Persoune mat sech brénge kann, wann e geleeëntlech ass a wann e sech weder op besonnesch Kategorie vun Donnéeën (Gesondheet, Meenungen, biometresch Donnéeën, asw.) nach op Donnéeën iwwer strofrechtlech Veruerteelungen bezitt. Soubal eng Entreprise awer d'Pai, Aarbechtskontrakter oder e Clientefichier geréiert, mécht si reegelméisseg Traitementer: d'Ausnam fält ewech.
An der Praxis mussen also bal all Organisatiounen e Verzeechnes féieren, op d'mannst fir hir widderkéierend Traitementer. Amplaz ze probéieren, sech op eng fragil Befreiung ze beruffen, ass et besser, e Verzeechnes opzestellen, dat zur eegener Aktivitéit proportional ass. En Affekot fir d'DSGVO séchert dës Analys of a verhënnert e falschen Androck vu Konformitéit.
Den obligatoreschen Inhalt vum Verzeechnes vum Verantwortleche fir d'Veraarbechtung
Fir de Verantwortleche fir d'Veraarbechtung leet den Art. 30 eng präzis Lëscht vun Erwänunge fest. D'Verzeechnes muss den Numm an d'Kontaktinformatioune vum Verantwortlechen uginn an, am gegebene Fall, déi vum Vertrieder a vum Dateschutzbeoptragten (délégué à la protection des données, DPO). Fir all Traitement gëtt et d'Zwecker un, déi verfollegt ginn, zum Beispill d'Gestioun vun de Ressources humaines oder d'Facturatioun.
D'Verzeechnes beschreift duerno d'Kategorie vu betraffene Persounen (Salariéen, Clienten, potenziell Clienten, Fournisseuren) an d'Kategorie vun Donnéeën, déi veraarbecht ginn (Identitéit, Kontaktinformatiounen, finanziell Donnéeën, am gegebene Fall Gesondheetsdonnéeën). Et lëscht d'Kategorie vun Empfänger op, intern an extern, souwéi déi eventuell Transferten an Drëttstaaten an d'Garantien, déi se ofsécheren.
Zwou Erwänunge vervollstännegen dat Ganzt: d'Opbewahrungsdauer, déi fir all Kategorie vun Donnéeë virgesinn ass, an eng allgemeng Beschreiwung vun den techneschen an organisatoreschen Sécherheetsmoossnamen. D'Tabell méi ënnen hëlt all dës Rubriken op, fir den Opbau vun Ärem Verzeechnes ze erliichteren.
Den Inhalt vum Verzeechnes vum Veraarbechter
De Veraarbechter muss d'Zwecker, déi seng Cliente bestëmmen, net dokumentéieren, mä hie muss säin eegent Verzeechnes vun de Kategorie vu Veraarbechtungsaktivitéiten féieren, déi hien am Numm vun all Verantwortlechen ausféiert. Dëst Verzeechnes erwäänt seng Identitéit, déi vun all Verantwortlechen, fir deen hien handelt, an am gegebene Fall déi vu sengem DPO a sengem Vertrieder.
Fir all Client gëtt de Veraarbechter d'Kategorie vun Traitementer un, déi ausgefouert ginn, déi eventuell Transferten ausserhalb vun der Europäescher Unioun an d'Garantien, déi dozou gehéieren, souwéi eng allgemeng Beschreiwung vun de Sécherheetsmoossnamen, déi ëmgesat ginn. Dës Informatioune mussen dem Dateveraarbechtungskontrakt entspriechen, dee mam Verantwortlechen ofgeschloss gouf.
Dëse Bezuch tëscht dem Verzeechnes an dem Kontrakt ass wesentlech: den Dateveraarbechtungskontrakt reegelt d'Relatioun juristesch, d'Verzeechnes dokumentéiert hir operationell Realitéit. En Affekot fir Kontrakter passt op, datt déi zwee Dokumenter openeen ofgestëmmt sinn.
Wéi ee säi Verzeechnes vun den Traitementer opbaut
Den Opbau vun engem Verzeechnes fänkt mat engem Inventaire vun den Traitementer un. Et geet drëm, all Service (Ressources humaines, Commercial, Comptabilitéit, IT) ze befroen, fir d'Operatiounen z'erfaassen, déi mat perséinlechen Donnéeë gemaach ginn. Dës éischt Kartografie ass déi ufuerderendst Etapp, well se dacks vergiessen Traitementer un d'Liicht bréngt.
Fir all identifizéierten Traitement ginn duerno d'Rubrike vum Art. 30 ausgefëllt: Zweck, Rechtsgrondlag, Kategorie vu Persounen a vun Donnéeën, Empfänger, Transferten, Opbewahrungsdauer a Sécherheetsmoossnamen. D'Wiel vun der Rechtsgrondlag (Zoustëmmung, Kontrakt, gesetzlech Verflichtung, berechtegten Interessi) ass en delikate juristesche Punkt, deen eng opmierksam Iwwerpréiwung verdéngt.
Software-Tools kënnen d'Féiere vum Verzeechnes ënnerstëtzen a seng Aktualiséierung méi flësseg maachen, mä si ersetzen d'juristesch Analys net. D'Qualifikatioun vun den Traitementer, d'Wiel vun de Rechtsgrondlagen an d'Bewäertung vun de Risike sinn Saach vun der Beroodung vun engem Affekot, an déi digital Tools ënnerstëtzen nëmmen d'Dokumentatioun. Fir d'Virgoen ze cadréieren, kënnt Dir en Devis ufroen.
Aktualiséierung vum Verzeechnes a Bezuch zur Analys vun den Auswierkungen (AIPD)
D'Verzeechnes ass e lieweg Dokument: et muss bei all Ännerung an der Organisatioun aktualiséiert ginn. All neien Traitement, all Ännerung vum Zweck, all neien Déngschtleeschter oder neit IT-Tool muss dran erëmzefanne sinn. E Verzeechnes, dat stoe bleift, gëtt séier ongenau a verléiert seng Beweiskraaft géintiwwer der CNPD.
D'Verzeechnes ass och den Ufankspunkt vun der Analys vun den Auswierkungen op den Dateschutz (AIPD). Wann en Traitement en héije Risiko fir d'Rechter a Fräiheete vun de Persoune mat sech brénge kann (systematesch Iwwerwaachung, Traitement vu sensibelen Donnéeën a grousser Mooss, Profiling), verlaangt d'DSGVO, datt eng AIPD gemaach gëtt, ier den Traitement ëmgesat gëtt.
D'Verzeechnes erlaabt et, déi betraffen Traitementer z'identifizéieren an d'AIPD zum richtege Moment auszeléisen. D'Analys vun den Auswierkunge bewäert d'Risiken a leet d'Moossname fest, fir se ze reduzéieren. Dës zwee Dokumenter ergänzen sech: d'Verzeechnes kartografiéiert, d'AIPD geet méi déif op déi sensibel Traitementer an. En Affekot fir d'DSGVO séchert hire Bezuch openeen of.
Kontroll vun der CNPD a Roll vum Affekot
Zu Lëtzebuerg ass d'Iwwerwaachungsautoritéit d'Commission nationale pour la protection des données (CNPD). Bei enger Kontroll betrëfft eng vun den éischten Ufroen d'Verzeechnes vun den Traitementer: et muss ouni Verzuch virgeluecht kënne ginn an d'Traitementer, déi wierklech gemaach ginn, getrei erëmginn. E Verzeechnes, dat feelt, onvollstänneg oder iwwerholl ass, ass e Verstouss géint den Art. 30.
D'Verzeechnes ass also gläichzäiteg en Instrument vun der Konformitéit an en Element vun der Verteidegung. E Verzeechnes, dat rigoréis gefouert gëtt, weist de gudde Glawe vun der Organisatioun an hir Konformitéitsdémarche, wat bei der Bewäertung vun engem eventuelle Verstouss berécksiichtegt gëtt. Ëmgekéiert schwächt säi Feelen déi ganz Positioun vun der Entreprise géintiwwer der CNPD.
D'Roll vum Affekot ass et, d'Qualifikatioun vun den Traitementer, d'Wiel vun de Rechtsgrondlagen an d'Bewäertung vun de Risiken zouverlässeg ze maachen an d'Organisatioun duerno op eng eventuell Kontroll virzebereeden. D'Affekotebüro Cerno Law Firm, dat am Barreau de Luxembourg ageschriwwen ass, begleet dës Démarche am Kader vun enger Consultatioun beim Affekot oder vun engem spezifesche Mandat fir d'Konformitéit.
| Kritär | Verantwortleche fir d'Veraarbechtung | Veraarbechter |
|---|---|---|
| Gegenstand | Seng eege Traitementer | Kategorie vun Aktivitéite fir all Client |
| Zwecker | Ze dokumentéieren | Vum Verantwortleche bestëmmt |
| Transferten ausserhalb vun der EU | Ze dokumentéieren | Ze dokumentéieren |
| Sécherheetsmoossnamen | Ze dokumentéieren | Ze dokumentéieren |
| Kontraktuelle Bezuch | Intern Politik | DSGVO-Dateveraarbechtungskontrakt |
Jee no Ärem Profil
Lëtzebuerger KMU
Och mat manner wéi 250 Salariéen mécht eng KMU, déi d'Pai, Aarbechtskontrakter an e Clientefichier geréiert, reegelméisseg Traitementer: d'Ausnam gëllt net an e Verzeechnes gëtt fir dës widderkéierend Traitementer erwaart.
Déngschtleeschter als Veraarbechter
Wann Dir Donnéeën am Numm vu Cliente veraarbecht (Hosting-Ubidder, Agence, Software-Editeur), musst Dir e Verzeechnes vun de Kategorie vu Veraarbechtungsaktivitéite pro Client féieren, dat Ären Dateveraarbechtungskontrakter entsprécht.
Associatioun oder ASBL
Eng Associatioun veraarbecht Donnéeë vu Memberen, Donateuren oder Begënschtegten. Si muss dës Traitementer erfaassen, hir Rechtsgrondlagen an hir Opbewahrungsdauer festhalen an e Verzeechnes féieren, dat zu hirer Aktivitéit proportional ass.
Entitéit aus dem Gesondheetssecteur
Den Traitement vu Gesondheetsdonnéeë fält ënner déi besonnesch Kategorie vun Donnéeën: d'Ausnam fir manner wéi 250 Salariéen gëllt net an eng Analys vun den Auswierkungen ass dacks zousätzlech zum Verzeechnes erfuerderlech.
Offiziell Quellen
Historique vun den Aktualiséierungen
- : Bedingunge vun der Befreiung vum Verzeechnes aus dem Artikel 30, Paragraph 5, vun der DSGVO präziséiert: geleeëntlechen Traitement, kee Risiko, weder sensibel Donnéeën nach Donnéeën iwwer strofrechtlech Veruerteelungen.