Beispielhafter Eintrag aus Sicht einer fiktiven verantwortlichen Organisation. Er zeigt ausgewählte Felder und Arbeitsfragen, keine vollständige Vorlage nach Artikel 30. Angaben in eckigen Klammern benötigen reale Projektinformationen.
Beispiel: Personalauswahl für eine offene Stelle
Trennen Sie die Verarbeitungsbeschreibung von einzelnen Bewerbungen. Dieser Eintrag beschreibt die Tätigkeit, keine Kandidatenliste.
- Organisation und Kontaktdaten
- [Name und Kontaktdaten des Verantwortlichen; gegebenenfalls Vertretung und Datenschutzbeauftragte.]
- Zweck
- Bewerbungen prüfen und eine Person für eine ausgeschriebene Stelle auswählen.
- Personen und Datenkategorien
- Bewerbende; Kontaktdaten, Lebensläufe, beruflicher Werdegang und Gesprächsnotizen.
- Empfänger
- Recruiting-Team, einstellende Führungskraft und Anbieter des Bewerbungsdienstes. Prüfen Sie die tatsächlichen Kategorien und deren Zugriffe.
- Internationale Übermittlungen
- [Prüfen Sie Anbieterstandorte und Supportzugriffe; erfassen Sie gegebenenfalls relevante Zielländer und Garantien.]
- Aufbewahrung
- [Tragen Sie die geprüfte Aufbewahrungsfrist oder die Kriterien für diesen Auswahlzweck ein.] Ein Talentpool ist gesondert zu betrachten.
- Sicherheitsmaßnahmen
- Zu prüfende Beispielmaßnahmen: Zugriff nur für das Recruiting-Team und Überprüfung der Rechte bei Änderungen der Teamzusammensetzung.
Feldreferenz: EDSA-Leitlinien zum Verzeichnis von Verarbeitungstätigkeiten. ↗
Fragen für einen VVT-Fragebogen
- 01
Personalabteilung: Wie beginnt und endet der Prozess?
Erfassen Sie Bewerbungsquellen, nutzende Personen und die Schritte nach Schließung der Stelle.
- 02
IT und Einkauf: Welche Dienste sind beteiligt?
Prüfen Sie Anbieter, Speicherung, Zugriffe und relevante Vertragsinformationen. Verknüpfen Sie den Diensteintrag, statt seine Beschreibung in jede Tätigkeit zu kopieren.
- 03
Datenschutzfachperson: Was muss noch geprüft werden?
Prüfen Sie Zweck, geltende Rechtsgrundlage, Aufbewahrung und Übermittlungen. Halten Sie offene Fragen sichtbar; ein ausgefülltes Formular beantwortet sie nicht automatisch.
Das VVT bei Veränderungen aktuell halten
Überprüfen Sie den Eintrag, wenn sich Prozess, Geschäftsbedingungen, Gesetze oder interne Anforderungen ändern. Prüfen Sie weiterhin Zweck, Beteiligte, Risiken und Maßnahmen, nicht nur das Dokument.
Ein neuer Bewerbungsdienst
Prüfen Sie System, Anbieter, Empfänger und Übermittlungen erneut. In LogicPrivacy können konfigurierte Regeln zugehörige Einträge anhand der eingegebenen Informationen aktualisieren.
Änderungen an Anforderungen und Standards
Ändern sich Anforderungen oder ein konzernweiter Aufbewahrungsstandard, lassen Sie die Fachperson die Folgen für jedes beteiligte Unternehmen bewerten. Aktualisieren Sie den betreffenden Prozess, Risiken, Maßnahmen und Dokumente.
Ein Risiko, das eine Maßnahme erfordert
Halten Sie das Problem mit dem Ursprungsprozess verbunden. Prüfen Sie den konfigurierten Risikoeintrag und wählen Sie eine geeignete Maßnahme; die Akzeptanz eines Risikos erfüllt keine unerfüllte Anforderung.