Nach Art. 30 DSGVO müssen jeder Verantwortliche und gegebenenfalls sein Vertreter ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen, führen. Das Verzeichnis fasst ohnehin vorzuhaltende Informationen, insbesondere nach den Art. 5, 6, 32, 37, 44–47 DSGVO, zusammen. Teilweise kann auch auf die Darstellungen der in §§ 4d, 4e BDSG-alt vorgesehenen Beschreibungen automatisierter Verfahren zurückgegriffen werden. Freilich erfasst das Verzeichnis der Verarbeitungstätigkeiten auch nicht-automatisierte Verfahren.

 

Das Verzeichnis der Verarbeitungstätigkeiten (VVT) besteht aus einer Mehrzahl von einzelnen Dokumentationen von Verarbeitungstätigkeiten, die zweckmäßigerweise als Einzelverzeichnisse bezeichnet werden (EVVT).

 

Sinn und Zweck des Verzeichnisses der Verarbeitungstätigkeiten:

1. Die Beschreibung der einzelnen Verarbeitungstätigkeit (EVVT)  ist die Quelle für die Informationsmitteilungen nach Art. 13, 14 DSGVO und für die Auskunftserteilung nach Art. 15 DSGVO. 
2. Die Beschreibung der einzelnen Verarbeitungstätigkeit (EVVT) bildet den Ansatzpunkt für die Abstimmung der TOM.
3. Die Beschreibung der einzelnen Verarbeitungstätigkeit (EVVT) bildet den Ansatzpunkt für die Prüfung der DSFA.
4. Die Beschreibung der einzelnen Verarbeitungstätigkeit (EVVT) ist der Ausgangspunkt für die Kontrolle durch die Datenschutzbehörden (siehe Erwägungsgrund 82).

 

Bildung und Gruppierung der Verarbeitungstätigkeiten:

Eine Verarbeitungstätigkeit ist ein bestimmter Prozess, bei dem personenbezogene Daten zu einem bestimmten Zweck verarbeitet werden. Für die Erstellung des jeweiligen Einzelverzeichnisses der Verarbeitungstätigkeit ist dabei die entscheidende Frage, wie viele einzelne Datenverarbeitungsvorgänge zu einem Einzelverzeichnis zusammengefasst werden dürfen. Die beiden Eckpfeiler der Festlegung eines EVVT sind also:

- was ist der Zweck der Datenverarbeitung?

- welche Tätigkeiten lassen sich zu einem Prozess der Verarbeitungstätigkeit zusammenfassen?

Dagegen sollte für die "Gruppenbildung" nicht darauf abgestellt werden, ob unterschiedliche TOM notwendig sind oder ob Teilprozesse DSFA-pflichtig sind.

 

Konsequenzen für die Arbeit in der Personalabteilung: 

In der Personalabteilung werden personenbezogene Daten zu Zwecken der Personalverwaltung und der Personalwirtschaft verarbeitet (s. Art. 103 BayBG), mithin für die Begründung, Durchführung, Beendigung oder Abwicklung des Dienstverhältnisses oder für die Durchführung organisatorischer, personeller oder sozialer Maßnahmen (s. § 106 BBG; beides zusammenfassend § 85 HmbGB). Mit dieser Zweckdefinition wird aber zugleich der Anwendungsbereich der Führung der Personalakte bestimmt. Es ist daher sachgerecht, als zentrale Verarbeitungstätigkeit der Personalabteilung die Führung der Personalakte zu definieren. Sie erfasst alle wesentlichen Tätigkeiten der Personalabteilung, weil alle diese Maßnahmen "am Schluss" Niederschlag in der Personalakte des Beamten finden müssen (s. § 50 BeamtStG). 

 

Flankiert wird die Verarbeitungstätigkeit "Führung der Personalakte" durch die Verarbeitungstätigkeit "Personalaktenbezugsvorgänge", in der alle Tätigkeiten zusammengefasst werden, die der Vorbereitung oder Durchführung einer Personalaktenmaßnahme dienen, z.B. ein Bewerbungsvorgang, ein Stellenbesetzungsvorgang, eine Fortbildungsmaßnahme oder die Zeiterfassung. Die entsprechenden Vorgänge sind nicht notwendiger Weise vollumfänglich in der Personalakte abgelegt. Vielmehr findet in der Regel nur das "Ergebnis", z.B. eine Ernennung, Eingang in die Personalakte, während die Vorbereitungshandlung, z.B. der Stellenbesetzungsvorgang, in einer Sachakte abgelegt ist. In Sachakten sind typischerweise abgelegt:

• Bewerbungen
• Stellenbesetzungsverfahren
• Stellungnahmen zu Petitionen oder Aufsichtsbeschwerden

Schließlich werden in aller Regel auch elektronische Personalverwaltungssysteme eingesetzt, die ein eigenes Instrument neben der Personalakte sind. Aufgrund der Fähigkeit dieser Systeme, Informationen in erheblichem Umfang unter bestimmten übergreifenden Gesichtspunkten zu "filtern" und zu aggregieren, ist ihre Beschreibung in einem Einzelverzeichnis notwendig.

 

In der Personalabteilung kommen demnach spezifisch die folgenden drei Verarbeitungstätigkeiten vor, die in drei EVVT abgebildet werden können (Muster):

 

I. Verarbeitungstätigkeit Personalverwaltungssystem

Diese Verarbeitungstätigkeit umfasst den Einsatz eines automatisierten Personalverwaltungssystems sowie die sonstige Listenführung (in elektronischer Form oder in Papierform) zur Überwachung von Personalmaßnahmen.

 

II. Verarbeitungstätigkeit Personalakte

Diese Verarbeitungstätigkeit beschreibt die Führung der Personalakte in elektronischer Form oder in Papierform.

 

III. Verarbeitungstätigkeit Personalaktenbezugsvorgänge

Diese Verarbeitungstätigkeit umfasst alle Maßnahmen, die der Vorbereitung und Umsetzung von personalrechtlichen Maßnahmen dienen, deren Ergebnis in der Personalakte festgehalten wird.

 

 

Die Alternative bestünde darin, jeweils konkrete, dem Geschäftsverteilungsplan nachgebildete Einzeltätigkeiten separat zu beschreiben, z.B. Ernennungen, Besoldung, Beihilfefestsetzung, Ruhestandsversetzung, Disziplinarverfahren, Zeiterfassung, Bewerbungen, Personaleinsatzplanung etc. Der Zweck eines solchen Vorgehens erschließt sich jedoch nicht, weil in allen diesen Einzelbeschreibungen immer die gleichen Zwecke und die gleichen Daten benannt werden - dann kann man sie aber auch offensichtlich zusammenfassen. Freilich neigen besonders arbeitsteilig organisierte Personalabteilungen zu einem solchen Vorgehen, weil dann jede Unterorganisationseinheit ihr eigenes Einzelverzeichnis besitzt.

 

 

Ansonsten kommt es in der Personalabteilung noch zu folgenden Verarbeitungstätigkeiten, die aber kein Spezifikum der Personalarbeit sind, sondern behördenweit vorkommen und deshalb zu dem jeweiligen behördenübergreifenden Einzelverzeichnis gehören: 

1. Verarbeitungstätigkeit Registratur
2. Verarbeitungstätigkeit Zusammenarbeit mit Behördenmitarbeitern und Vertretern anderer staatlicher Organe
3. Verarbeitungstätigkeit Besucher- und Veranstaltungsmanagement
4. Verarbeitungstätigkeit Zusammenarbeit mit externen Dienstleistern