führt das Unternehmen ein Verzeichnis der Verarbeitungstätigkeiten?

Verzeichnis von Verarbeitungstätigkeiten: häufig gefragt, unterschiedlich begründet

Ob das Unternehmen ein Verzeichnis von Verarbeitungstätigkeiten führt, ist von Unternehmen zu Unternehmen unterschiedlich und hängt von der tatsächlichen Situation in der Lieferkettendatei ab: manchmal ist dies bereits als Antwort aus einer früheren Frageliste festgestellt, manchmal fehlt das Nachweisstück noch. Dies ist eine Frage, die standardmäßig in Fragelisten über Datenschutz und Datenschutz vorkommt, meist im gleichen Block wie die Fragen zu Verarbeitungsverträgen und Datenpannen. Der Kunde, der diese Frage stellt, möchte normalerweise wissen, ob ein Dokument existiert — nicht wie vollständig es ist.

Wenn die Antwort "ja" lautet, muss ein konkretes Nachweisstück dazugehören: das Verzeichnis selbst oder ein Auszug davon mit den Verarbeitungstätigkeiten, die für die Beziehung zu diesem Kunden relevant sind. Fehlt dieses Stück, dann ist "nein" oder "unbekannt" die ehrliche Antwort — ein Verzeichnis beanspruchen, ohne dass das System eines findet, führt bei einer Stichprobe des Kunden zu mehr Fragen als ein nein. Diese Frage steht oft in der gleichen Reihe wie die Frage ob das Unternehmen Verarbeitungsverträge mit seinen Dienstleistern abschließt, und die beiden Antworten müssen untereinander konsistent sein: ein Verzeichnis ohne Verarbeitungsverträge oder umgekehrt fällt demjenigen auf, der die Liste durchliest.

Warum diese Frage inhaltlich nicht aus der CSRD folgt

Die in dieser Datei bereitgestellte Quelle ist die Richtlinie (EU) 2022/2464 (CSRD), die sich auf Nachhaltigkeitsberichterstattung bezieht und nicht auf ein Verzeichnis von Verarbeitungstätigkeiten — dieser Begriff stammt aus der DSGVO, nicht aus der CSRD. Es gibt daher keinen Artikel dieser Richtlinie, der als Begründung für diese Frage dient; die Antwort muss aus der Lieferkettendatei des Unternehmens selbst stammen, nicht aus dieser Quelle. Wer diese Frage zusammen mit anderen Datenschutzfragen erhält, erkennt oft die gleiche Herkunft wie bei der Frage nach dem Gesellschaftsnamen des Unternehmens: ein fester Block von Basisdaten, der von nahezu jedem Kundenportal abgefragt wird, unabhängig davon, ob die zugrunde liegende Regelgeving tatsächlich für dieses Unternehmen verpflichtend ist.