22. Die in Artikel 24 Absatz 1 des Richtlinienvorschlags enthaltene Protokollierungs- und Dokumentationspflicht erscheint als zu weitgehend und führt jedenfalls bei nicht automatisierter Datenverarbeitung zu einem unverhältnismäßig hohen Verwaltungsaufwand, der durch einen geringen bis nicht ersichtlichen Mehrwert, der sich aus dieser Dokumentationspflicht ergibt, nicht gerechtfertigt ist.
Im nationalen Recht ist für automatisierte Verfahren durch die Vorschrift des § 10 Absatz 2 BDSG festgelegt, dass die beteiligten Stellen zu gewährleisten haben, dass die Zulässigkeit des Abrufverfahrens kontrolliert werden kann. Hierzu haben sie Anlass und Zweck des Abrufverfahrens, Dritte, an die übermittelt wird, Art der zu übermittelnden Daten und nach § 9 BDSG erforderliche technische und organisatorische Maßnahmen schriftlich festzulegen. Im öffentlichen Bereich können die erforderlichen Festlegungen auch durch die Fachaufsichtsbehörden getroffen werden.
Für die nicht automatisierte Datenverarbeitung und -übermittlung ist eine über die eigentliche Verarbeitungs- und Übermittlungstätigkeit, welche aufgrund entsprechender Verfügungen oder Ähnlichem veranlasst wird, hinausgehende Dokumentationspflicht ein zusätzlicher Aufwand, der deshalb nicht sinnvoll ist, weil weitergehende Informationen, die der Überprüfung der Rechtmäßigkeit der Datenverarbeitung dienlich sein könnten, in entsprechenden Dokumentationen nicht enthalten sein werden.
Mit dem BDSG und den darin enthaltenen weitreichenden Möglichkeiten (Gleiches gilt für die Landesdatenschutzgesetze, sofern deren Anwendungsbereich eröffnet ist), die Beachtung der Vorschriften einerseits überprüfen und andererseits Verstöße ahnden zu können, steht bereits ein umfassendes Kontrollinstrumentarium zur Verfügung, das als ausreichend erachtet wird.