Verarbeitungsverzeichnis (Records of Processing Activities / RoPA)

Das Verarbeitungsverzeichnis (Records of Processing Activities) ist gemäß Art. 30 DSGVO von jedem Verantwortlichen zu führen und dokumentiert alle Datenverarbeitungstätigkeiten mit Angaben zu Zweck, Datenkategorien, Empfängern, Löschfristen und technisch-organisatorischen Maßnahmen. Bei der Beauftragung externer IT-Dienstleister müssen Auftraggeber sicherstellen, dass neue Datenverarbeitungen korrekt im Verarbeitungsverzeichnis erfasst werden. In IT-Vergaben sollten Auftraggeber bereits in der Ausschreibung die datenschutzrechtliche Einordnung der geplanten Verarbeitung vornehmen und im AVV-Anhang dokumentieren.