Daten verarbeitende Stellen (z. B. deren Fachbereiche oder IT-Servicestellen) haben für jedes von ihnen betriebene Verfahren zur automatisierten Verarbeitung personenbezogener Daten eine Verfahrensbeschreibung zu erstellen und aktuell zu halten. Um Transparenz und Auskunftsfähigkeit gegenüber Betroffenen sowie Revisionsfähigkeit zu erreichen, ist darin zu dokumentieren, welche personenbezogenen Daten mit Hilfe welcher automatisierter Verfahren auf welche Weise verarbeitet werden und welche Datenschutzmaßnahmen dabei getroffen wurden. Die Verfahrensbeschreibung dient dem behördlichen Datenschutzbeauftragten als Prüfungsunterlage für die Vorabkontrolle und ist diesem zwecks Aufnahme in das Verfahrensverzeichnis (vgl. §8a Abs.2 S.5 NDSG) zur Kenntnis zuzuleiten.

Ausnahmen von der Beschreibungspflicht bestehen u. a. für Verfahren, deren personenbezogene Daten ausschließlich zu Zwecken der Datenschutzkontrolle, der Datensicherung oder zur Sicherstellung des ordnungsgemäßen Betriebs einer Datenverarbeitungsanlage gespeichert und genutzt. Ausgenommen sind auch Verfahren, deren Daten nur vorübergehend und zu einem anderen Zweck als dem der inhaltlichen Auswertung gespeichert werden. Als vorübergehend ist eine Speicherung anzusehen, wenn die Daten innerhalb von 3 Monaten nach ihrer Erstellung gelöscht werden. Ausgenommen sind ferner öffentliche Register sowie Verfahren, von denen keine Beeinträchtigungen des Rechts auf informationelle Selbstbestimmung zu erwarten sind.

Weitere Einzelheiten bitte ich den Erläuterungen zu §8 NDSG zu entnehmen, vgl. rechte Infospalte, pdf-Datei unter dem Titel "Text §8 NDSG".

Eine makro-gesteuerte Word-Vorlage finden Sie in der rechten Infospalte als Download.