§ 40 Verzeichnis von Verarbeitungstätigkeiten (Saechsisches-Justizvollzugsdatenschutzgesetz-18376)

(1)Die Justizvollzugsbehörden haben ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten zu führen, die in ihre Zuständigkeit fallen. Dieses Verzeichnis hat folgende Angaben zu enthalten:

1.den Namen und die Kontaktdaten der jeweiligen Justizvollzugsbehörde, des gegebenenfalls gemeinsam mit ihr Verantwortlichen sowie den Namen und die Kontaktdaten der oder des behördlichen Datenschutzbeauftragten,

2.die Zwecke der Verarbeitung,

3.die Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden sollen,

4.eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten,

5.gegebenenfalls die Verwendung von Profiling,

6.gegebenenfalls die Kategorien von Übermittlungen personenbezogener Daten an Stellen in einem Drittstaat oder an eine internationale Organisation,

7.Angaben über die Rechtsgrundlage der Verarbeitung,

8.die vorgesehenen Fristen für die Löschung oder die Überprüfung der Erforderlichkeit der Speicherung hinsichtlich der verschiedenen Kategorien personenbezogener Daten und

9.eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß § 41.

(2)Der Auftragsverarbeiter hat ein Verzeichnis aller Kategorien von Verarbeitungen zu führen, die er im Auftrag einer Justizvollzugsbehörde durchführt. Dieses Verzeichnis hat folgende Angaben zu enthalten:

1.den Namen und die Kontaktdaten des Auftragsverarbeiters, jeder Justizvollzugsbehörde, in dessen Auftrag der Auftragsverarbeiter tätig ist, und der oder des Datenschutzbeauftragten,

2.gegebenenfalls Übermittlungen von personenbezogenen Daten an Stellen in einem Drittstaat oder an eine internationale Organisation unter Angabe des Staates oder der Organisation und

3.eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß § 41.

(3)Die Verzeichnisse nach den Absätzen 1 und 2 sind nur für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten und für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, zu führen. Die Verzeichnisse sind schriftlich oder elektronisch zu führen.

(4)Die Justizvollzugsbehörden und Auftragsverarbeiter haben auf Anforderung ihre Verzeichnisse der oder dem Sächsischen Datenschutzbeauftragten zur Verfügung zu stellen.