Welche Beispiele für Verarbeitungstätigkeiten gibt es nach DSGVO?

Question

Welche Beispiele für Verarbeitungstätigkeiten gibt es nach DSGVO?

Antwort

Verwandte Fragen

Sind Verfahrensverzeichnis und Verzeichnis von Verarbeitungstätigkeiten nach DSGVO identisch?

Was beinhaltet ein Verzeichnis aller Verarbeitungstätigkeiten gemäß Art. 30 DSGVO?

Welche Verarbeitungstätigkeiten fallen für die IT-Leitung nach DSGVO an?

Wie werden Nachweise zur Bearbeitung von Auskunfts-, Berichtigungs- oder Löschanfragen nach DSGVO geführt?

Was muss in einen DSGVO-Ordner für Prüfungen aufgenommen werden?

Kann ein Kunde der Datenübermittlung an ein Inkassounternehmen widersprechen und gemäß DSGVO Auskunft zu den übermittelten Daten verlangen?

Muss eine selten durchgeführte Verarbeitungstätigkeit im Verarbeitungsverzeichnis stehen?

Müssen alle Verarbeitungstätigkeiten ins Verarbeitungsverzeichnis aufgenommen werden oder gibt es Ausnahmen?

Was bedeutet der Begriff Verarbeitung im Sinne der DSGVO?

Bezieht sich die Erhebung von Verarbeitungstätigkeiten nur auf systemgestützte Verarbeitung?

Accepted Answer

Beispiele für Verarbeitungstätigkeiten nach DSGVO sind: 1. **Personalverwaltung**: Erfassung und Verwaltung von Mitarbeiterdaten (z.B. Lohnabrechnung, Urlaubsverwaltung). 2. **Kundenverwaltung**: Speicherung und Nutzung von Kundendaten für Bestellungen, Rechnungsstellung oder Kundenservice. 3. **Newsletter-Versand**: Erhebung und Nutzung von E-Mail-Adressen für den Versand von Newslettern. 4. **Videoüberwachung**: Aufzeichnung und Speicherung von Bilddaten zur Sicherung von Gebäuden. 5. **Bewerbermanagement**: Verarbeitung von Bewerberdaten im Rahmen von Bewerbungsverfahren. 6. **Zutrittskontrolle**: Erfassung von Daten zur Kontrolle des Zugangs zu Gebäuden oder IT-Systemen. 7. **Veranstaltungsmanagement**: Erhebung und Verwaltung von Teilnehmerdaten bei Veranstaltungen. 8. **Lieferantenverwaltung**: Speicherung und Nutzung von Daten von Lieferanten und Dienstleistern. 9. **Nutzerverwaltung von IT-Systemen**: Verwaltung von Benutzerkonten und Zugriffsrechten. 10. **Kundenbefragungen**: Erhebung und Auswertung von Daten im Rahmen von Umfragen. Jede dieser Tätigkeiten erfordert gemäß Art. 30 DSGVO ein Verzeichnis der Verarbeitungstätigkeiten. Weitere Informationen findest du direkt bei der [Europäischen Kommission](https://ec.europa.eu/info/law/law-topic/data-protection_de).

Accepted Answer

Nein, ein Verfahrensverzeichnis und ein Verzeichnis aller Verarbeitungstätigkeiten nach DSGVO sind nicht exakt das Gleiche, werden aber oft synonym verwendet. **Hintergrund:** - Das „Verfa... [mehr]

Accepted Answer

Nein, ein Verfahrensverzeichnis und ein Verzeichnis aller Verarbeitungstätigkeiten nach DSGVO sind nicht exakt das Gleiche, werden aber oft synonym verwendet. **Hintergrund:** - Das „Verfahrensverzeichnis“ stammt aus dem alten Bundesdatenschutzgesetz (BDSG a.F.) und bezeichnete dort die Dokumentation der Verfahren, in denen personenbezogene Daten verarbeitet wurden. - Die Datenschutz-Grundverordnung (DSGVO) spricht hingegen vom „Verzeichnis von Verarbeitungstätigkeiten“ (Art. 30 DSGVO). **Unterschiede:** - Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist umfassender und moderner gefasst als das frühere Verfahrensverzeichnis. - Es muss bestimmte Angaben enthalten, z. B. Zwecke der Verarbeitung, Kategorien betroffener Personen und Daten, Empfänger, Übermittlungen in Drittländer, Löschfristen und technische sowie organisatorische Maßnahmen. **Fazit:** Im heutigen Datenschutzrecht nach DSGVO ist das „Verzeichnis von Verarbeitungstätigkeiten“ der korrekte und rechtlich relevante Begriff. Das „Verfahrensverzeichnis“ ist ein veralteter Begriff, der aber inhaltlich ähnlich ist. In der Praxis meinen viele mit „Verfahrensverzeichnis“ das nach DSGVO geforderte Verzeichnis, korrekt ist jedoch die Bezeichnung „Verzeichnis von Verarbeitungstätigkeiten“. Weitere Informationen findest du z. B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/dskb/2018_12_06_auslegung_verzeichnis_verarbeitungstaetigkeiten.pdf).

Accepted Answer

Ein Verzeichnis aller Verarbeitungstätigkeiten nach Art. 30 DSGVO (Datenschutz-Grundverordnung) ist ein zentrales Dokumentationsinstrument für Unternehmen und Organisationen, die personenbez... [mehr]

Accepted Answer

Ein Verzeichnis aller Verarbeitungstätigkeiten nach Art. 30 DSGVO (Datenschutz-Grundverordnung) ist ein zentrales Dokumentationsinstrument für Unternehmen und Organisationen, die personenbezogene Daten verarbeiten. Es dient dazu, die Einhaltung der Datenschutzvorschriften nachzuweisen und den Aufsichtsbehörden einen Überblick über die Datenverarbeitungsprozesse zu geben. Nach Art. 30 Abs. 1 DSGVO muss das Verzeichnis folgende Angaben enthalten: 1. **Name und Kontaktdaten** des Verantwortlichen (und ggf. seines Vertreters) sowie des Datenschutzbeauftragten. 2. **Zwecke der Verarbeitung** – also, warum die Daten verarbeitet werden. 3. **Beschreibung der Kategorien betroffener Personen** (z. B. Kunden, Mitarbeiter) und der **Kategorien personenbezogener Daten** (z. B. Name, Adresse, Kontodaten). 4. **Kategorien von Empfängern**, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, einschließlich Empfänger in Drittländern oder internationalen Organisationen. 5. **Übermittlungen von personenbezogenen Daten an ein Drittland** oder an eine internationale Organisation, einschließlich der Angabe des betreffenden Drittlands bzw. der internationalen Organisation und der Dokumentierung geeigneter Garantien. 6. **Vorgesehene Fristen für die Löschung** der verschiedenen Datenkategorien, soweit möglich. 7. **Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen** nach Art. 32 DSGVO (z. B. Verschlüsselung, Zugangskontrollen). Für Auftragsverarbeiter (Dienstleister, die im Auftrag Daten verarbeiten) sind die Anforderungen in Art. 30 Abs. 2 DSGVO geregelt. Das Verzeichnis muss dann insbesondere folgende Angaben enthalten: - Name und Kontaktdaten des Auftragsverarbeiters und ggf. jedes Verantwortlichen, in dessen Auftrag er tätig ist. - Die Kategorien von Verarbeitungen, die im Auftrag jedes Verantwortlichen durchgeführt werden. - Übermittlungen von Daten an Drittländer oder internationale Organisationen. - Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. Das Verzeichnis muss schriftlich geführt werden, auch in elektronischer Form ist zulässig, und ist der Aufsichtsbehörde auf Anfrage vorzulegen. Weitere Informationen findest du direkt im Gesetzestext: [Art. 30 DSGVO – Verzeichnis von Verarbeitungstätigkeiten](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679#d1e2207-1-1)

Accepted Answer

Die IT-Leitung ist in Unternehmen häufig für verschiedene Verarbeitungstätigkeiten im Sinne der Datenschutz-Grundverordnung (DSGVO) verantwortlich. Verarbeitungstätigkeiten sind al... [mehr]

Accepted Answer

Die IT-Leitung ist in Unternehmen häufig für verschiedene Verarbeitungstätigkeiten im Sinne der Datenschutz-Grundverordnung (DSGVO) verantwortlich. Verarbeitungstätigkeiten sind alle Vorgänge im Zusammenhang mit personenbezogenen Daten, wie das Erheben, Speichern, Übermitteln, Löschen oder Auswerten dieser Daten. Typische Verarbeitungstätigkeiten der IT-Leitung nach DSGVO sind: 1. **Benutzer- und Zugriffsverwaltung** Verwaltung von Benutzerkonten, Passwörtern und Zugriffsrechten auf IT-Systeme, um sicherzustellen, dass nur berechtigte Personen Zugriff auf personenbezogene Daten haben. 2. **Betrieb von IT-Systemen und Netzwerken** Betrieb und Wartung von Servern, Datenbanken, E-Mail-Systemen und anderen IT-Infrastrukturen, auf denen personenbezogene Daten verarbeitet werden. 3. **Datensicherung und Backup** Durchführung und Verwaltung von Backups, um Datenverluste zu vermeiden und die Wiederherstellung personenbezogener Daten zu ermöglichen. 4. **IT-Support und Fehlerbehebung** Bearbeitung von Supportanfragen, bei denen personenbezogene Daten eingesehen oder verarbeitet werden können. 5. **Überwachung und Protokollierung** Einsatz von Monitoring- und Logging-Systemen zur Überwachung der IT-Infrastruktur, um Sicherheitsvorfälle zu erkennen und zu dokumentieren. 6. **Software- und Systemaktualisierungen** Durchführung von Updates und Patches, um Sicherheitslücken zu schließen und den Schutz personenbezogener Daten zu gewährleisten. 7. **Löschung und Vernichtung von Daten** Sicherstellung der datenschutzkonformen Löschung oder Vernichtung personenbezogener Daten, z. B. bei Aussonderung von Datenträgern. 8. **Verwaltung mobiler Geräte** Verwaltung und Absicherung von Laptops, Smartphones und anderen mobilen Endgeräten, auf denen personenbezogene Daten verarbeitet werden. 9. **Technische und organisatorische Maßnahmen (TOMs)** Umsetzung und Überwachung von Maßnahmen zum Schutz personenbezogener Daten gemäß Art. 32 DSGVO. **Dokumentationspflicht:** Nach Art. 30 DSGVO muss die IT-Leitung (bzw. das Unternehmen) ein Verzeichnis von Verarbeitungstätigkeiten führen, in dem alle relevanten Prozesse dokumentiert sind. **Beispiel für eine Verarbeitungstätigkeit im Verzeichnis:** - **Zweck:** Verwaltung von Benutzerkonten - **Kategorien betroffener Personen:** Mitarbeiter - **Kategorien personenbezogener Daten:** Name, Benutzername, E-Mail-Adresse, Zugriffsrechte - **Empfänger:** IT-Abteilung, ggf. externe IT-Dienstleister - **Löschfristen:** Nach Ausscheiden des Mitarbeiters, gemäß Löschkonzept - **Technische und organisatorische Maßnahmen:** Zugriffsbeschränkungen, Verschlüsselung, Protokollierung **Weitere Informationen:** - [DSGVO – Art. 30 Verzeichnis von Verarbeitungstätigkeiten](https://dsgvo-gesetz.de/art-30-dsgvo/) - [BfDI: Verarbeitungstätigkeiten](https://www.bfdi.bund.de/DE/Datenschutz/Themen/Verarbeitungstaetigkeiten/verarbeitungstaetigkeiten-node.html) Die konkrete Ausgestaltung hängt von der jeweiligen Organisation und den eingesetzten IT-Systemen ab.

Accepted Answer

Nachweise über die Bearbeitung von Anfragen auf Auskunft, Berichtigung oder Löschung nach DSGVO werden in der Regel durch eine sorgfältige Dokumentation geführt. Die DSGVO verpflic... [mehr]

Accepted Answer

Nachweise über die Bearbeitung von Anfragen auf Auskunft, Berichtigung oder Löschung nach DSGVO werden in der Regel durch eine sorgfältige Dokumentation geführt. Die DSGVO verpflichtet Verantwortliche, die Einhaltung der Datenschutzgrundsätze nachweisen zu können (Art. 5 Abs. 2 DSGVO, Rechenschaftspflicht). Das bedeutet konkret: 1. **Erfassung der Anfrage:** Jede eingehende Anfrage (z. B. per E-Mail, Brief, Online-Formular) sollte mit Datum, Art der Anfrage (Auskunft, Berichtigung, Löschung) und Identität des Anfragenden dokumentiert werden. 2. **Bearbeitungsprozess:** Die einzelnen Bearbeitungsschritte (z. B. Identitätsprüfung, Prüfung der Daten, interne Kommunikation, Entscheidung über die Anfrage) werden mit Datum und verantwortlicher Person festgehalten. 3. **Ergebnis und Antwort:** Die ergriffenen Maßnahmen (z. B. Daten wurden berichtigt, gelöscht oder Auskunft erteilt) sowie die Form und das Datum der Antwort an die betroffene Person werden dokumentiert. Auch eine eventuelle Ablehnung mit Begründung sollte festgehalten werden. 4. **Aufbewahrung der Nachweise:** Die Dokumentation sollte so aufbewahrt werden, dass sie im Falle einer Prüfung durch die Aufsichtsbehörde vorgelegt werden kann. Die Aufbewahrungsdauer richtet sich nach den allgemeinen Verjährungsfristen und dem Grundsatz der Datenminimierung. **Typische Dokumentationsformen:** - Datenschutzmanagement-Software - Tabellen (z. B. Excel) - Protokolle oder Aktenvermerke - Einträge im Ticketsystem **Wichtig:** Die Dokumentation darf keine sensiblen Daten enthalten, die über das zur Nachweisführung Erforderliche hinausgehen. **Rechtliche Grundlage:** - Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) - Art. 12 Abs. 3 DSGVO (Fristen und Nachweis der Bearbeitung) Weitere Informationen findest du z. B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/) oder beim [BfDI](https://www.bfdi.bund.de/).

Accepted Answer

Ein DSGVO-Ordner dient dazu, bei Prüfungen durch Aufsichtsbehörden nachzuweisen, dass die Anforderungen der Datenschutz-Grundverordnung (DSGVO) eingehalten werden. Folgende Dokumente und Nac... [mehr]

Accepted Answer

Ein DSGVO-Ordner dient dazu, bei Prüfungen durch Aufsichtsbehörden nachzuweisen, dass die Anforderungen der Datenschutz-Grundverordnung (DSGVO) eingehalten werden. Folgende Dokumente und Nachweise sollten typischerweise enthalten sein: 1. **Verzeichnis von Verarbeitungstätigkeiten** Nach Art. 30 DSGVO ist dies für die meisten Unternehmen Pflicht. Es listet alle Prozesse auf, bei denen personenbezogene Daten verarbeitet werden. 2. **Datenschutzrichtlinien und -konzepte** Interne Richtlinien, wie mit personenbezogenen Daten umgegangen wird. 3. **Auftragsverarbeitungsverträge (AVV)** Verträge mit Dienstleistern, die personenbezogene Daten im Auftrag verarbeiten (z.B. IT-Dienstleister, Cloud-Anbieter). 4. **Technische und organisatorische Maßnahmen (TOMs)** Dokumentation der Maßnahmen zum Schutz personenbezogener Daten (z.B. Zutrittskontrolle, Verschlüsselung, Backup). 5. **Mitarbeiterschulungen und -verpflichtungen** Nachweise über Datenschutzschulungen und Verpflichtungserklärungen der Mitarbeiter auf das Datengeheimnis. 6. **Informationspflichten und Einwilligungen** Muster und Nachweise für die Erfüllung der Informationspflichten gegenüber Betroffenen (z.B. Datenschutzerklärungen, Einwilligungsformulare). 7. **Meldung von Datenschutzverletzungen** Dokumentation von Datenschutzvorfällen und deren Meldung an die Aufsichtsbehörde (Art. 33 DSGVO). 8. **Betroffenenrechte** Nachweise über die Bearbeitung von Anfragen auf Auskunft, Berichtigung, Löschung etc. 9. **Datenschutz-Folgenabschätzungen (DSFA)** Falls erforderlich, Dokumentation der DSFA für risikoreiche Verarbeitungen. 10. **Kontakt zum Datenschutzbeauftragten** Benennung und Kontaktdaten des Datenschutzbeauftragten (sofern erforderlich). 11. **Sonstige relevante Dokumente** Z.B. Löschkonzepte, Protokolle von Datenschutz-Audits, Verfahrensanweisungen. **Tipp:** Der Ordner kann sowohl physisch als auch digital geführt werden. Wichtig ist die Aktualität und Vollständigkeit der Unterlagen. Weitere Informationen findest du z.B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/) oder dem [BfDI](https://www.bfdi.bund.de/).

Accepted Answer

Ja, das ist möglich und rechtlich zulässig. Nach der Datenschutz-Grundverordnung (DSGVO) hat jede betroffene Person das Recht auf Auskunft darüber, ob und welche personenbezogenen Daten... [mehr]

Accepted Answer

Ja, das ist möglich und rechtlich zulässig. Nach der Datenschutz-Grundverordnung (DSGVO) hat jede betroffene Person das Recht auf Auskunft darüber, ob und welche personenbezogenen Daten über sie verarbeitet oder an Dritte (wie z.B. ein Inkassounternehmen) übermittelt wurden (Art. 15 DSGVO). **Widerspruch gegen die Datenübermittlung:** Ein Kunde kann der Übermittlung seiner Daten an ein Inkassounternehmen widersprechen. Allerdings ist ein solcher Widerspruch nicht immer wirksam, wenn die Übermittlung zur Wahrung berechtigter Interessen des Unternehmens erforderlich ist (z.B. zur Durchsetzung offener Forderungen, Art. 6 Abs. 1 lit. f DSGVO). Der Widerspruch muss geprüft werden, kann aber die Übermittlung nicht grundsätzlich verhindern, wenn ein berechtigtes Interesse vorliegt. **Auskunftsanspruch:** Der Kunde kann Auskunft verlangen, welche Daten an das Inkassounternehmen übermittelt wurden. Du bist verpflichtet, ihm mitzuteilen: - Welche personenbezogenen Daten übermittelt wurden, - an welches Inkassounternehmen die Daten übermittelt wurden, - zu welchem Zweck die Übermittlung erfolgte, - auf welcher Rechtsgrundlage die Übermittlung erfolgte. **Fazit:** Der Kunde kann also sowohl widersprechen (was aber nicht immer zur Unterlassung der Übermittlung führt) als auch eine DSGVO-Auskunft verlangen. Die Auskunft musst du erteilen. Weitere Informationen zur DSGVO findest du z.B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/) oder beim [Bundesbeauftragten für den Datenschutz und die Informationsfreiheit](https://www.bfdi.bund.de/).

Accepted Answer

Ja, auch Verarbeitungstätigkeiten, die nur gelegentlich oder alle paar Jahre durchgeführt werden, müssen im Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO... [mehr]

Accepted Answer

Ja, auch Verarbeitungstätigkeiten, die nur gelegentlich oder alle paar Jahre durchgeführt werden, müssen im Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO aufgeführt werden. Die DSGVO macht keine Ausnahme für seltene oder unregelmäßige Verarbeitungsvorgänge. Entscheidend ist, dass personenbezogene Daten verarbeitet werden – unabhängig von der Häufigkeit. Das Verzeichnis soll einen vollständigen Überblick über alle Verarbeitungstätigkeiten geben, um Transparenz und Nachvollziehbarkeit zu gewährleisten. Auch seltene Vorgänge, wie z.B. eine alle fünf Jahre stattfindende Mitarbeiterbefragung, müssen daher dokumentiert werden.

Accepted Answer

Nach Art. 30 DSGVO (Datenschutz-Grundverordnung) müssen grundsätzlich alle Verarbeitungstätigkeiten, bei denen personenbezogene Daten verarbeitet werden, in das sogenannte Verzeichnis v... [mehr]

Accepted Answer

Nach Art. 30 DSGVO (Datenschutz-Grundverordnung) müssen grundsätzlich alle Verarbeitungstätigkeiten, bei denen personenbezogene Daten verarbeitet werden, in das sogenannte Verzeichnis von Verarbeitungstätigkeiten aufgenommen werden. Es gibt jedoch eine Ausnahme: **Kleine Unternehmen und Organisationen** mit weniger als 250 Mitarbeitern müssen kein Verzeichnis führen, **es sei denn**: - Die Verarbeitung erfolgt nicht nur gelegentlich, - es werden besondere Kategorien personenbezogener Daten verarbeitet (z. B. Gesundheitsdaten, Daten zur ethnischen Herkunft, religiöse Überzeugungen), - oder die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen. In der Praxis bedeutet das: Die meisten Unternehmen und Organisationen müssen ein Verzeichnis führen, da die Ausnahmen sehr eng gefasst sind. Sobald regelmäßig personenbezogene Daten verarbeitet werden (z. B. Lohnbuchhaltung, Kundenverwaltung), ist ein Verzeichnis erforderlich. **Weitere Informationen:** [Art. 30 DSGVO – Verzeichnis von Verarbeitungstätigkeiten](https://dsgvo-gesetz.de/art-30-dsgvo/)

Accepted Answer

Der Begriff „Verarbeitung“ im Sinne der DSGVO (Datenschutz-Grundverordnung) ist in Art. 4 Nr. 2 DSGVO definiert. Verarbeitung bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren... [mehr]

Accepted Answer

Der Begriff „Verarbeitung“ im Sinne der DSGVO (Datenschutz-Grundverordnung) ist in Art. 4 Nr. 2 DSGVO definiert. Verarbeitung bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang im Zusammenhang mit personenbezogenen Daten. Dazu gehören insbesondere das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, der Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Kurz gesagt: Verarbeitung umfasst praktisch jeden Umgang mit personenbezogenen Daten, von der Erhebung bis zur Löschung.

Accepted Answer

Nein, bei der Erhebung von Verarbeitungstätigkeiten im Sinne der Datenschutz-Grundverordnung (DSGVO) geht es nicht nur um systemgestützte (also elektronische) Verarbeitung. Die DSGVO erfasst... [mehr]

Accepted Answer

Nein, bei der Erhebung von Verarbeitungstätigkeiten im Sinne der Datenschutz-Grundverordnung (DSGVO) geht es nicht nur um systemgestützte (also elektronische) Verarbeitung. Die DSGVO erfasst grundsätzlich **alle Arten der Verarbeitung personenbezogener Daten**, unabhängig davon, ob sie automatisiert (z. B. durch IT-Systeme) oder nicht automatisiert (z. B. in Papierakten) erfolgt, **sofern die Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen**. Das bedeutet: Auch manuelle, papierbasierte Verarbeitungsvorgänge, bei denen personenbezogene Daten in einer strukturierten Ablage (z. B. Aktenordner, Karteikarten) geführt werden, müssen im Verzeichnis von Verarbeitungstätigkeiten dokumentiert werden. Relevant ist also nicht nur die IT-gestützte Verarbeitung, sondern jede strukturierte Verarbeitung personenbezogener Daten. Weitere Informationen findest du z. B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/dskb/2018_04_26_auslegung_verzeichnis_von_verarbeitungstaetigkeiten.pdf) oder direkt in [Art. 30 DSGVO](https://dsgvo-gesetz.de/art-30-dsgvo/).