(1) Die verantwortliche Stelle hat ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten zu führen, die in ihre Zuständigkeit fallen. Dieses Verzeichnis hat hinsichtlich der Datenverarbeitung zu Zwecken der Richtlinie (EU) 2016/680 die folgenden Angaben zu enthalten:

1. 1.

   den Namen und die Kontaktdaten der verantwortlichen Stelle und gegebenenfalls der gemeinsam mit ihr verantwortlichen Stellen sowie den Namen und die Kontaktdaten der oder des behördlichen Datenschutzbeauftragten,

2. 2.

   die Zwecke und die Rechtsgrundlagen der Verarbeitung,

3. 3.

   die Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden sollen,

4. 4.

   eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten,

5. 5.

   gegebenenfalls die Verwendung von Profiling,

6. 6.

   gegebenenfalls die Kategorien von Übermittlungen personenbezogener Daten an Staaten und Stellen nach § 39d Absatz 1, einschließlich deren Bezeichnung,

7. 7.

   die Prüffristen nach § 45a oder die Aufbewahrungs- oder Speicherungsdauer und

8. 8.

   eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach den §§ 46d bis 46i.

Bei automatisierten Verfahren gemäß § 42 sind im Verzeichnis alle verantwortlichen Stellen zu benennen. Ferner ist bei Vorliegen einer Vereinbarung nach § 42 Absatz 3 zu ergänzen, für welchen konkreten Bereich der Datenverarbeitung jede der beteiligten Stellen verantwortlich ist.

(2) Der Auftragsverarbeiter hat ein Verzeichnis aller Kategorien von Verarbeitungen, die er im Auftrag einer verantwortlichen Stelle durchführt, zu führen, das hinsichtlich der Datenverarbeitung zu Zwecken der Richtlinie (EU) 2016/680 Folgendes zu enthalten hat:

1. 1.

   den Namen und die Kontaktdaten des Auftragsverarbeiters, jeder verantwortlichen Stelle, in deren Auftrag der Auftragsverarbeiter tätig ist, sowie gegebenenfalls der oder des behördlichen Datenschutzbeauftragten,

2. 2.

   gegebenenfalls Übermittlungen von personenbezogenen Daten an Staaten und Stellen nach § 39d Absatz 1, einschließlich deren Bezeichnung,

3. 3.

   eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach den §§ 46d bis 46i.

(3) Die in den Absätzen 1 und 2 genannten Verzeichnisse sind elektronisch zu führen. Dies gilt auch für die nach Artikel 30 der Verordnung (EU) 2016/679 zu führenden Verzeichnisse.

(4) Die verantwortlichen Stellen und die Auftragsverarbeiter haben auf Anforderung ihre Verzeichnisse der oder dem Landesbeauftragten für den Datenschutz zur Verfügung zu stellen.