Ist eine Dienstleistung zur Telefonnummernvalidierung eine Auftragsverarbeitung?

Question

Ist eine Dienstleistung zur Telefonnummernvalidierung eine Auftragsverarbeitung?

Antwort

Verwandte Fragen

Was muss ein DSGVO-Auftragskataster enthalten?

Ist ein Whistleblower-Anbieter ein Auftragsverarbeiter?

Wann ist eine Datenverarbeitung im öffentlichen Dienst nach DSGVO rechtmäßig?

Nach welchen DSGVO-Vorschriften sind Einwilligungen von Kunden im Maklerbüro erforderlich?

Sind IaaS und PaaS Auftragsverarbeitung?

Ist der Transport unverschlüsselter Festplatten mit personenbezogenen Daten ohne Datenverarbeitung eine Auftragsverarbeitung?

Gilt der Transport eines medizintechnischen Geräts mit personenbezogenen Daten als Auftragsverarbeitung, wenn das Gerät nicht versiegelt ist?

Gilt der Transport eines medizintechnischen Geräts mit personenbezogenen Daten als Auftragsverarbeitung?

Wie werden Nachweise zur Bearbeitung von Auskunfts-, Berichtigungs- oder Löschanfragen nach DSGVO geführt?

Was muss in einen DSGVO-Ordner für Prüfungen aufgenommen werden?

Accepted Answer

Ob eine Dienstleistung mit Telefonnummernvalidierung eine Auftragsverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist, hängt davon ab, wie die Dienstleistung ausgestaltet ist und welche Rolle der Dienstleister einnimmt. **Auftragsverarbeitung** liegt gemäß Art. 4 Nr. 8 und Art. 28 DSGVO immer dann vor, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen verarbeitet. **Konkret:** - Wenn du als Unternehmen einen externen Dienstleister beauftragst, Telefonnummern deiner Kunden zu validieren (z.B. auf Gültigkeit oder Format), und der Dienstleister diese Daten ausschließlich nach deinen Vorgaben verarbeitet, handelt es sich in der Regel um eine Auftragsverarbeitung. In diesem Fall muss ein Auftragsverarbeitungsvertrag (AVV) abgeschlossen werden. - Wenn der Dienstleister die Telefonnummern jedoch für eigene Zwecke verarbeitet oder die Daten mit anderen Datenquellen abgleicht, um eigene Produkte oder Services zu verbessern, ist er selbst Verantwortlicher oder ggf. gemeinsam Verantwortlicher. Dann liegt keine Auftragsverarbeitung vor. **Beispiel:** - Ein Dienstleister prüft im Auftrag deines Unternehmens, ob eine Telefonnummer existiert oder korrekt formatiert ist, und nutzt die Daten nicht für eigene Zwecke → Auftragsverarbeitung. - Ein Dienstleister sammelt Telefonnummern, wertet sie aus und nutzt sie für eigene Marketingzwecke → keine Auftragsverarbeitung. **Fazit:** In den meisten Fällen ist eine Dienstleistung zur Telefonnummernvalidierung eine Auftragsverarbeitung, sofern der Dienstleister die Daten ausschließlich im Auftrag und nach Weisung verarbeitet. Es sollte aber immer im Einzelfall geprüft werden, wie die Datenverarbeitung konkret erfolgt. Weitere Informationen findest du z.B. beim [BayLDA](https://www.lda.bayern.de/de/thema-auftragsverarbeitung.html) oder [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/dskb/2018_24_10_auftragsverarbeitung.pdf).

Accepted Answer

Ein DSGVO-Auftragskataster (auch Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO genannt) muss bestimmte Angaben enthalten, um den Anforderungen der-Grundver (DSGVO zu entsprechen. Fo... [mehr]

Accepted Answer

Ein DSGVO-Auftragskataster (auch Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO genannt) muss bestimmte Angaben enthalten, um den Anforderungen der-Grundver (DSGVO zu entsprechen. Folgende Inhalte sindend: 1 **Name und Konttdaten des Verantwort** und ggf. des gemeinsamen Verantwortlichen, des Vertreters des Verantwortlichen sowie des Datenschutzbeauftragten). 2. **Zwecke der Verarbeitung** Beschreibung, zu welchen Zwecken die personenbezogenen Daten verarbeitet werden. 3. **Beschreibung der Kategorien betroffener Personen** Zum Beispiel: Kunden, Mitarbeiter, Lieferanten. 4. **Beschreibung der Kategorien personenbezogener Daten** Zum Beispiel: Name, Adresse, Kontaktdaten, Bankdaten. 5. **Kategorien von Empfängern** An wen werden die Daten weitergegeben? (z.B. IT-Dienstleister, Steuerberater). 6. **Übermittlungen in Drittländer** Falls Daten außerhalb der EU/des EWR übermittelt werden: Angabe des Landes und ggf. der Garantien nach Art. 46 DSGVO. 7. **Vorgesehene Fristen für die Löschung der verschiedenen Datenkategorien** Wie lange werden die Daten gespeichert? 8. **Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen** Maßnahmen zum Schutz der Daten (z.B. Verschlüsselung, Zugangskontrollen). **Hinweis:** Auftragsverarbeiter müssen ein ähnliches Verzeichnis führen, das sich auf die im Auftrag durchgeführten Verarbeitungstätigkeiten bezieht. Weitere Informationen findest du direkt im Gesetzestext: [Art. 30 DSGVO – Verzeichnis von Verarbeitungstätigkeiten](https://dsgvo-gesetz.de/art-30-dsgvo/) Das Auftragskataster ist ein zentrales Element für die Rechenschaftspflicht nach DSGVO und sollte regelmäßig aktualisiert werden.

Accepted Answer

Ob ein Whistleblower-Anbieter als Auftragsverarbeiter im Sinne der Datenschutz-Grundverordnung (DSGVO) gilt, hängt davon ab, wie die Dienstleistung ausgestaltet ist. **Grundsätzliches:** Ei... [mehr]

Accepted Answer

Ob ein Whistleblower-Anbieter als Auftragsverarbeiter im Sinne der Datenschutz-Grundverordnung (DSGVO) gilt, hängt davon ab, wie die Dienstleistung ausgestaltet ist. **Grundsätzliches:** Ein Auftragsverarbeiter ist nach Art. 4 Nr. 8 DSGVO eine Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Der Verantwortliche (z. B. ein Unternehmen, das ein Hinweisgebersystem einführt) entscheidet über Zweck und Mittel der Datenverarbeitung. **Typischer Fall:** Ein externer Whistleblower-Anbieter stellt meist eine technische Plattform (z. B. ein Hinweisgebersystem) zur Verfügung und verarbeitet dabei personenbezogene Daten (z. B. Name des Hinweisgebers, beschuldigte Personen, Inhalte der Meldung) im Auftrag des Unternehmens. In diesem Fall ist der Anbieter in der Regel ein Auftragsverarbeiter, da er die Daten nur im Auftrag und nach Weisung des Unternehmens verarbeitet. **Ausnahme:** Handelt der Anbieter eigenverantwortlich, z. B. indem er selbst über die Zwecke und Mittel der Datenverarbeitung entscheidet (etwa bei einer anonymen Ombudsstelle, die eigenständig Fälle prüft und entscheidet, ob und wie sie weitergeleitet werden), könnte er als (gemeinsamer) Verantwortlicher gelten. **Fazit:** In den meisten Fällen ist ein Whistleblower-Anbieter ein Auftragsverarbeiter im Sinne der DSGVO. Es sollte jedoch immer im Einzelfall geprüft werden, wie die Rollenverteilung konkret ausgestaltet ist. Weitere Informationen: - [Art. 4 Nr. 8 DSGVO – Definition Auftragsverarbeiter](https://dsgvo-gesetz.de/art-4-dsgvo/) - [Hinweise der Datenschutzkonferenz zu Whistleblowing-Systemen (PDF)](https://www.datenschutzkonferenz-online.de/media/dskb/2022_24_Whistleblowing.pdf)

Accepted Answer

Eine Datenverarbeitung im öffentlichen Dienst ist nach der Datenschutz-Grundverordnung (DSGVO) rechtmäßig, wenn mindestens eine der in Art. 6 Abs. 1 DSGVO genannten Bedingungen erf&uum... [mehr]

Accepted Answer

Eine Datenverarbeitung im öffentlichen Dienst ist nach der Datenschutz-Grundverordnung (DSGVO) rechtmäßig, wenn mindestens eine der in Art. 6 Abs. 1 DSGVO genannten Bedingungen erfüllt ist. Für Behörden und öffentliche Stellen sind insbesondere folgende Rechtsgrundlagen relevant: 1. **Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO):** Die Verarbeitung ist rechtmäßig, wenn sie zur Erfüllung einer gesetzlichen Pflicht erforderlich ist, der die Behörde unterliegt. 2. **Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt (Art. 6 Abs. 1 lit. e DSGVO):** Die Verarbeitung ist zulässig, wenn sie zur Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die der Behörde übertragen wurde. Die jeweilige Aufgabe muss durch ein Gesetz oder eine andere Rechtsvorschrift festgelegt sein. 3. **Einwilligung der betroffenen Person (Art. 6 Abs. 1 lit. a DSGVO):** Auch im öffentlichen Dienst kann eine Verarbeitung auf einer freiwilligen, informierten und eindeutigen Einwilligung der betroffenen Person beruhen. Weitere Voraussetzungen: - Die Verarbeitung muss auf das notwendige Maß beschränkt sein (Datenminimierung). - Es müssen angemessene technische und organisatorische Maßnahmen zum Schutz der Daten getroffen werden. - Die Betroffenenrechte (z. B. Auskunft, Berichtigung, Löschung) müssen gewährleistet sein. **Zusätzlich:** In Deutschland konkretisieren das Bundesdatenschutzgesetz (BDSG) und die jeweiligen Landesdatenschutzgesetze die Vorgaben der DSGVO für öffentliche Stellen. **Fazit:** Im öffentlichen Dienst ist eine Datenverarbeitung rechtmäßig, wenn sie auf einer gesetzlichen Grundlage, einer öffentlichen Aufgabe oder einer Einwilligung beruht und die weiteren Vorgaben der DSGVO eingehalten werden. Weitere Informationen findest du direkt bei der [DSGVO](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679) und beim [BfDI](https://www.bfdi.bund.de/DE/Home/home_node.html).

Accepted Answer

Nach der Datenschutz-Grundverordnung (DSGVO) ist die Einwilligung der Kunden im Maklerbüro insbesondere in folgenden Fällen und nach bestimmten Vorschriften erforderlich: **1. Artikel 6 DSG... [mehr]

Accepted Answer

Nach der Datenschutz-Grundverordnung (DSGVO) ist die Einwilligung der Kunden im Maklerbüro insbesondere in folgenden Fällen und nach bestimmten Vorschriften erforderlich: **1. Artikel 6 DSGVO – Rechtmäßigkeit der Verarbeitung:** Die Verarbeitung personenbezogener Daten ist nur dann rechtmäßig, wenn mindestens eine der in Art. 6 Abs. 1 DSGVO genannten Bedingungen erfüllt ist. Die Einwilligung ist eine dieser Bedingungen (Art. 6 Abs. 1 lit. a DSGVO). Das bedeutet: Immer dann, wenn keine andere Rechtsgrundlage (z.B. Vertragserfüllung, gesetzliche Verpflichtung, berechtigtes Interesse) greift, ist eine ausdrückliche Einwilligung der betroffenen Person erforderlich. **2. Artikel 7 DSGVO – Bedingungen für die Einwilligung:** Hier werden die Anforderungen an die Einwilligung geregelt. Sie muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben werden. Die betroffene Person muss ihre Einwilligung jederzeit widerrufen können. **3. Artikel 9 DSGVO – Verarbeitung besonderer Kategorien personenbezogener Daten:** Für die Verarbeitung besonderer Kategorien personenbezogener Daten (z.B. Gesundheitsdaten) ist grundsätzlich eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO erforderlich, sofern keine andere Ausnahme greift. **Typische Anwendungsfälle im Maklerbüro:** - Weitergabe von Kundendaten an Dritte (z.B. Banken, Versicherungen, andere Makler), sofern dies nicht zur Vertragserfüllung notwendig ist. - Nutzung von Kundendaten zu Werbezwecken (z.B. Newsletter, Angebote). - Veröffentlichung von Kundendaten (z.B. Referenzobjekte mit Kundennamen). - Verarbeitung besonderer Kategorien personenbezogener Daten (z.B. Gesundheitsdaten bei Versicherungsanfragen). **Wichtige Hinweise:** - Die Einwilligung muss dokumentiert werden. - Sie muss jederzeit widerrufbar sein. - Die Information über die Datenverarbeitung muss transparent und verständlich erfolgen (Art. 13 und 14 DSGVO). **Weitere Informationen:** [DSGVO im Volltext (eur-lex.europa.eu)](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679) Zusammengefasst: Die Einwilligung ist immer dann erforderlich, wenn keine andere Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten besteht oder wenn besondere Datenkategorien betroffen sind. Die maßgeblichen Vorschriften sind Art. 6, Art. 7 und ggf. Art. 9 DSGVO.

Accepted Answer

Ob IaaS (Infrastructure as a Service) und PaaS (Platform as a Service) als Auftragsverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) gelten, hängt davon ab, wie diese Dienste genutzt... [mehr]

Accepted Answer

Ob IaaS (Infrastructure as a Service) und PaaS (Platform as a Service) als Auftragsverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) gelten, hängt davon ab, wie diese Dienste genutzt werden und welche Rolle der Anbieter dabei spielt. **Grundsätzliches zur Auftragsverarbeitung:** Auftragsverarbeitung liegt vor, wenn ein Dienstleister (Auftragsverarbeiter) personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen verarbeitet (Art. 4 Nr. 8, Art. 28 DSGVO). **IaaS und PaaS im Kontext der Auftragsverarbeitung:** - **IaaS:** Hier stellt der Anbieter Infrastruktur (z.B. Server, Speicher, Netzwerke) zur Verfügung. Der Kunde installiert und betreibt darauf eigene Anwendungen und verarbeitet ggf. personenbezogene Daten. Der IaaS-Anbieter hat in der Regel keinen Zugriff auf die Daten, kann aber technisch darauf zugreifen (z.B. im Rahmen von Wartung oder Support). Daher wird IaaS meist als Auftragsverarbeitung eingestuft, sofern personenbezogene Daten verarbeitet werden. - **PaaS:** Hier stellt der Anbieter eine Plattform (z.B. Datenbanken, Entwicklungsumgebungen) bereit, auf der der Kunde eigene Anwendungen betreibt. Auch hier verarbeitet der Anbieter ggf. personenbezogene Daten im Auftrag des Kunden. Daher ist auch PaaS in der Regel als Auftragsverarbeitung zu betrachten. **Wichtige Voraussetzung:** Entscheidend ist, dass der Anbieter im Auftrag und nach Weisung des Kunden handelt und keinen eigenen Zweck bei der Datenverarbeitung verfolgt. **Fazit:** In den meisten Fällen sind IaaS- und PaaS-Anbieter als Auftragsverarbeiter zu qualifizieren, wenn sie im Auftrag des Kunden personenbezogene Daten verarbeiten. Es muss dann ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen werden. **Weitere Informationen:** - [IaaS bei Wikipedia](https://de.wikipedia.org/wiki/Infrastructure_as_a_Service) - [PaaS bei Wikipedia](https://de.wikipedia.org/wiki/Platform_as_a_Service) - [Art. 28 DSGVO – Auftragsverarbeiter](https://dsgvo-gesetz.de/art-28-dsgvo/) Eine genaue Bewertung kann im Einzelfall aber von der konkreten Ausgestaltung des Dienstes abhängen.

Accepted Answer

Der reine Transport von unverschlüsselten Festplatten mit personenbezogenen Daten – ohne dass der Transporteur selbst auf die Daten zugreift oder sie verarbeitet – gilt in der Regel *... [mehr]

Accepted Answer

Der reine Transport von unverschlüsselten Festplatten mit personenbezogenen Daten – ohne dass der Transporteur selbst auf die Daten zugreift oder sie verarbeitet – gilt in der Regel **nicht** als Auftragsverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO). **Begründung:** Auftragsverarbeitung nach Art. 4 Nr. 8 und Art. 28 DSGVO liegt vor, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet. Der reine Transport (z.B. durch ein Kurierunternehmen), bei dem keine inhaltliche Kenntnisnahme oder Verarbeitung der Daten erfolgt, ist grundsätzlich keine Verarbeitung im Sinne der DSGVO, sondern eine reine Transportdienstleistung. **Wichtig:** - Der Transporteur darf keinen Zugriff auf die Daten nehmen. - Die Festplatten sollten idealerweise verschlüsselt sein, um das Risiko eines Datenverlusts oder -missbrauchs zu minimieren. - Es empfiehlt sich, mit dem Transporteur eine Vertraulichkeitsvereinbarung zu schließen und technische sowie organisatorische Maßnahmen zum Schutz der Daten zu treffen. **Quellen und weitere Informationen:** - [Datenschutzkonferenz: Orientierungshilfe Auftragsverarbeitung](https://www.datenschutzkonferenz-online.de/media/oh/20180524_oh_auftragsverarbeitung.pdf) (siehe insbesondere S. 6, Punkt 2.2) - [BayLDA: FAQ zur Auftragsverarbeitung](https://www.lda.bayern.de/media/FAQ_Auftragsverarbeitung.pdf) **Fazit:** Der reine Transport unverschlüsselter Festplatten mit personenbezogenen Daten ist in der Regel keine Auftragsverarbeitung, solange keine Datenverarbeitung im Sinne der DSGVO erfolgt.

Accepted Answer

Der reine Transport eines medizintechnischen Geräts, auf dem sich personenbezogene Daten befinden, stellt in der Regel **keine Auftragsverarbeitung** im Sinne von Art. 4 Nr. 8 und Art. 28 DSGVO d... [mehr]

Accepted Answer

Der reine Transport eines medizintechnischen Geräts, auf dem sich personenbezogene Daten befinden, stellt in der Regel **keine Auftragsverarbeitung** im Sinne von Art. 4 Nr. 8 und Art. 28 DSGVO dar – unabhängig davon, ob das Gerät versiegelt ist oder nicht. **Begründung:** - **Auftragsverarbeitung** liegt vor, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet (z.B. speichert, verändert, löscht). - Beim reinen Transport wird das Gerät lediglich von A nach B befördert, ohne dass der Transporteur aktiv auf die Daten zugreift oder sie verarbeitet. - Das Fehlen einer Versiegelung ändert daran grundsätzlich nichts. Allerdings erhöht es das Risiko eines unbefugten Zugriffs, was datenschutzrechtlich zu berücksichtigen ist (Stichwort: technische und organisatorische Maßnahmen nach Art. 32 DSGVO). **Wichtig:** Sollte der Transporteur jedoch die Möglichkeit haben, auf die Daten zuzugreifen (z.B. weil das Gerät nicht verschlüsselt oder nicht versiegelt ist), kann dies ein Risiko darstellen. In diesem Fall ist zu prüfen, ob zusätzliche Schutzmaßnahmen erforderlich sind (z.B. Verschlüsselung, vertragliche Regelungen). **Fazit:** Der Transport selbst ist keine Auftragsverarbeitung, solange keine Datenverarbeitung im Sinne der DSGVO erfolgt. Die Sicherheit der Daten muss aber dennoch gewährleistet sein. Weitere Informationen zur Auftragsverarbeitung findest du z.B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/dskb/2018_12_05_auslegung_auftragsverarbeitung.pdf).

Accepted Answer

Der reine Transport eines medizintechnischen Geräts, auf dem sich personenbezogene Daten befinden, stellt in der Regel **keine Auftragsverarbeitung** im Sinne der Datenschutz-Grundverordnung (DSG... [mehr]

Accepted Answer

Der reine Transport eines medizintechnischen Geräts, auf dem sich personenbezogene Daten befinden, stellt in der Regel **keine Auftragsverarbeitung** im Sinne der Datenschutz-Grundverordnung (DSGVO) dar. **Begründung:** Eine Auftragsverarbeitung nach Art. 28 DSGVO liegt vor, wenn ein Dienstleister im Auftrag und nach Weisung des Verantwortlichen personenbezogene Daten verarbeitet. Beim Transport wird das Gerät (und damit die Daten) lediglich physisch befördert, ohne dass der Transporteur selbst auf die Daten zugreift oder sie verarbeitet (z.B. einliest, speichert, verändert oder löscht). **Wichtig:** - Der Transporteur darf keinen Zugriff auf die Daten nehmen. - Es müssen geeignete technische und organisatorische Maßnahmen getroffen werden, um die Daten während des Transports zu schützen (z.B. Verschlüsselung, versiegelte Verpackung). **Ausnahme:** Sollte der Transporteur im Rahmen des Transports tatsächlich Zugriff auf die Daten erhalten oder diese in irgendeiner Form verarbeiten (z.B. zur Wartung, Reparatur, Auslesen der Daten), wäre eine Auftragsverarbeitung gegeben und ein entsprechender Vertrag nach Art. 28 DSGVO erforderlich. **Fazit:** Solange der Transporteur keinen Zugriff auf die Daten hat und diese nicht verarbeitet, handelt es sich nicht um eine Auftragsverarbeitung. Es ist jedoch ratsam, dies im Einzelfall zu prüfen und die Schutzmaßnahmen zu dokumentieren. Weitere Informationen zur Auftragsverarbeitung findest du z.B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/dskb/2018_12_05_auftragsverarbeitung.pdf).

Accepted Answer

Nachweise über die Bearbeitung von Anfragen auf Auskunft, Berichtigung oder Löschung nach DSGVO werden in der Regel durch eine sorgfältige Dokumentation geführt. Die DSGVO verpflic... [mehr]

Accepted Answer

Nachweise über die Bearbeitung von Anfragen auf Auskunft, Berichtigung oder Löschung nach DSGVO werden in der Regel durch eine sorgfältige Dokumentation geführt. Die DSGVO verpflichtet Verantwortliche, die Einhaltung der Datenschutzgrundsätze nachweisen zu können (Art. 5 Abs. 2 DSGVO, Rechenschaftspflicht). Das bedeutet konkret: 1. **Erfassung der Anfrage:** Jede eingehende Anfrage (z. B. per E-Mail, Brief, Online-Formular) sollte mit Datum, Art der Anfrage (Auskunft, Berichtigung, Löschung) und Identität des Anfragenden dokumentiert werden. 2. **Bearbeitungsprozess:** Die einzelnen Bearbeitungsschritte (z. B. Identitätsprüfung, Prüfung der Daten, interne Kommunikation, Entscheidung über die Anfrage) werden mit Datum und verantwortlicher Person festgehalten. 3. **Ergebnis und Antwort:** Die ergriffenen Maßnahmen (z. B. Daten wurden berichtigt, gelöscht oder Auskunft erteilt) sowie die Form und das Datum der Antwort an die betroffene Person werden dokumentiert. Auch eine eventuelle Ablehnung mit Begründung sollte festgehalten werden. 4. **Aufbewahrung der Nachweise:** Die Dokumentation sollte so aufbewahrt werden, dass sie im Falle einer Prüfung durch die Aufsichtsbehörde vorgelegt werden kann. Die Aufbewahrungsdauer richtet sich nach den allgemeinen Verjährungsfristen und dem Grundsatz der Datenminimierung. **Typische Dokumentationsformen:** - Datenschutzmanagement-Software - Tabellen (z. B. Excel) - Protokolle oder Aktenvermerke - Einträge im Ticketsystem **Wichtig:** Die Dokumentation darf keine sensiblen Daten enthalten, die über das zur Nachweisführung Erforderliche hinausgehen. **Rechtliche Grundlage:** - Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) - Art. 12 Abs. 3 DSGVO (Fristen und Nachweis der Bearbeitung) Weitere Informationen findest du z. B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/) oder beim [BfDI](https://www.bfdi.bund.de/).

Accepted Answer

Ein DSGVO-Ordner dient dazu, bei Prüfungen durch Aufsichtsbehörden nachzuweisen, dass die Anforderungen der Datenschutz-Grundverordnung (DSGVO) eingehalten werden. Folgende Dokumente und Nac... [mehr]

Accepted Answer

Ein DSGVO-Ordner dient dazu, bei Prüfungen durch Aufsichtsbehörden nachzuweisen, dass die Anforderungen der Datenschutz-Grundverordnung (DSGVO) eingehalten werden. Folgende Dokumente und Nachweise sollten typischerweise enthalten sein: 1. **Verzeichnis von Verarbeitungstätigkeiten** Nach Art. 30 DSGVO ist dies für die meisten Unternehmen Pflicht. Es listet alle Prozesse auf, bei denen personenbezogene Daten verarbeitet werden. 2. **Datenschutzrichtlinien und -konzepte** Interne Richtlinien, wie mit personenbezogenen Daten umgegangen wird. 3. **Auftragsverarbeitungsverträge (AVV)** Verträge mit Dienstleistern, die personenbezogene Daten im Auftrag verarbeiten (z.B. IT-Dienstleister, Cloud-Anbieter). 4. **Technische und organisatorische Maßnahmen (TOMs)** Dokumentation der Maßnahmen zum Schutz personenbezogener Daten (z.B. Zutrittskontrolle, Verschlüsselung, Backup). 5. **Mitarbeiterschulungen und -verpflichtungen** Nachweise über Datenschutzschulungen und Verpflichtungserklärungen der Mitarbeiter auf das Datengeheimnis. 6. **Informationspflichten und Einwilligungen** Muster und Nachweise für die Erfüllung der Informationspflichten gegenüber Betroffenen (z.B. Datenschutzerklärungen, Einwilligungsformulare). 7. **Meldung von Datenschutzverletzungen** Dokumentation von Datenschutzvorfällen und deren Meldung an die Aufsichtsbehörde (Art. 33 DSGVO). 8. **Betroffenenrechte** Nachweise über die Bearbeitung von Anfragen auf Auskunft, Berichtigung, Löschung etc. 9. **Datenschutz-Folgenabschätzungen (DSFA)** Falls erforderlich, Dokumentation der DSFA für risikoreiche Verarbeitungen. 10. **Kontakt zum Datenschutzbeauftragten** Benennung und Kontaktdaten des Datenschutzbeauftragten (sofern erforderlich). 11. **Sonstige relevante Dokumente** Z.B. Löschkonzepte, Protokolle von Datenschutz-Audits, Verfahrensanweisungen. **Tipp:** Der Ordner kann sowohl physisch als auch digital geführt werden. Wichtig ist die Aktualität und Vollständigkeit der Unterlagen. Weitere Informationen findest du z.B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/) oder dem [BfDI](https://www.bfdi.bund.de/).