Muss eine selten durchgeführte Verarbeitungstätigkeit im Verarbeitungsverzeichnis stehen?

Question

Muss eine selten durchgeführte Verarbeitungstätigkeit im Verarbeitungsverzeichnis stehen?

Antwort

Verwandte Fragen

Müssen alle Verarbeitungstätigkeiten ins Verarbeitungsverzeichnis aufgenommen werden oder gibt es Ausnahmen?

Welche Fragen sind zur Erhebung einer Verarbeitungstätigkeit nach DSGVO notwendig?

Ist E-Mail eine Verarbeitungstätigkeit?

Was ist das Trennkriterium für eine Verarbeitungstätigkeit nach DSGVO?

Was ist eine Verarbeitungstätigkeit nach DSGVO?

Wie werden Nachweise zur Bearbeitung von Auskunfts-, Berichtigungs- oder Löschanfragen nach DSGVO geführt?

Was muss in einen DSGVO-Ordner für Prüfungen aufgenommen werden?

Kann ein Kunde der Datenübermittlung an ein Inkassounternehmen widersprechen und gemäß DSGVO Auskunft zu den übermittelten Daten verlangen?

Was bedeutet der Begriff Verarbeitung im Sinne der DSGVO?

Welche Arbeitspakete sind zur Erstellung eines Verarbeitungsverzeichnisses erforderlich?

Accepted Answer

Ja, auch Verarbeitungstätigkeiten, die nur gelegentlich oder alle paar Jahre durchgeführt werden, müssen im Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO aufgeführt werden. Die DSGVO macht keine Ausnahme für seltene oder unregelmäßige Verarbeitungsvorgänge. Entscheidend ist, dass personenbezogene Daten verarbeitet werden – unabhängig von der Häufigkeit. Das Verzeichnis soll einen vollständigen Überblick über alle Verarbeitungstätigkeiten geben, um Transparenz und Nachvollziehbarkeit zu gewährleisten. Auch seltene Vorgänge, wie z.B. eine alle fünf Jahre stattfindende Mitarbeiterbefragung, müssen daher dokumentiert werden.

Accepted Answer

Nach Art. 30 DSGVO (Datenschutz-Grundverordnung) müssen grundsätzlich alle Verarbeitungstätigkeiten, bei denen personenbezogene Daten verarbeitet werden, in das sogenannte Verzeichnis v... [mehr]

Accepted Answer

Nach Art. 30 DSGVO (Datenschutz-Grundverordnung) müssen grundsätzlich alle Verarbeitungstätigkeiten, bei denen personenbezogene Daten verarbeitet werden, in das sogenannte Verzeichnis von Verarbeitungstätigkeiten aufgenommen werden. Es gibt jedoch eine Ausnahme: **Kleine Unternehmen und Organisationen** mit weniger als 250 Mitarbeitern müssen kein Verzeichnis führen, **es sei denn**: - Die Verarbeitung erfolgt nicht nur gelegentlich, - es werden besondere Kategorien personenbezogener Daten verarbeitet (z. B. Gesundheitsdaten, Daten zur ethnischen Herkunft, religiöse Überzeugungen), - oder die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen. In der Praxis bedeutet das: Die meisten Unternehmen und Organisationen müssen ein Verzeichnis führen, da die Ausnahmen sehr eng gefasst sind. Sobald regelmäßig personenbezogene Daten verarbeitet werden (z. B. Lohnbuchhaltung, Kundenverwaltung), ist ein Verzeichnis erforderlich. **Weitere Informationen:** [Art. 30 DSGVO – Verzeichnis von Verarbeitungstätigkeiten](https://dsgvo-gesetz.de/art-30-dsgvo/)

Accepted Answer

Zur Erhebung einer Verarbeitungstätigkeit nach DSGVO (Datenschutz-Grundverordnung) werden typischerweise folgende Fragen gestellt, um die Anforderungen insbesondere aus Art. 30 DSGVO (Verzeichnis... [mehr]

Accepted Answer

Zur Erhebung einer Verarbeitungstätigkeit nach DSGVO (Datenschutz-Grundverordnung) werden typischerweise folgende Fragen gestellt, um die Anforderungen insbesondere aus Art. 30 DSGVO (Verzeichnis von Verarbeitungstätigkeiten) zu erfüllen: 1. **Wer ist Verantwortlicher?** - Name und Kontaktdaten des Verantwortlichen und ggf. des Vertreters. 2. **Wer ist ggf. Auftragsverarbeiter?** - Name und Kontaktdaten des Auftragsverarbeiters. 3. **Wer ist Datenschutzbeauftragter?** - Name und Kontaktdaten des Datenschutzbeauftragten. 4. **Wie heißt die Verarbeitungstätigkeit?** - Titel/Bezeichnung der Verarbeitungstätigkeit. 5. **Was ist der Zweck der Verarbeitung?** - Beschreibung der Zwecke, zu denen die Daten verarbeitet werden. 6. **Welche Kategorien betroffener Personen gibt es?** - Z. B. Kunden, Mitarbeiter, Lieferanten, Nutzer. 7. **Welche Kategorien personenbezogener Daten werden verarbeitet?** - Z. B. Name, Adresse, Kontaktdaten, Bankdaten, Gesundheitsdaten. 8. **Wer sind die Empfänger der Daten?** - Interne und externe Empfänger, z. B. Dienstleister, Behörden. 9. **Werden Daten in Drittländer übermittelt?** - Falls ja: In welche Länder und auf welcher Rechtsgrundlage? 10. **Wie lange werden die Daten gespeichert?** - Angaben zu Löschfristen oder Kriterien für die Festlegung der Speicherdauer. 11. **Welche technischen und organisatorischen Maßnahmen werden getroffen?** - Beschreibung der Maßnahmen zum Schutz der Daten (z. B. Verschlüsselung, Zugriffskontrolle). 12. **Gibt es eine Rechtsgrundlage für die Verarbeitung?** - Z. B. Einwilligung, Vertragserfüllung, gesetzliche Verpflichtung, berechtigtes Interesse. 13. **Gibt es eine automatisierte Entscheidungsfindung oder Profiling?** - Falls ja: Beschreibung und Auswirkungen. Diese Fragen helfen, alle relevanten Informationen für das Verzeichnis der Verarbeitungstätigkeiten gemäß DSGVO zu erfassen. Das Verzeichnis muss auf Anfrage der Aufsichtsbehörde vorgelegt werden können. Weitere Informationen findest du direkt im [Wortlaut von Art. 30 DSGVO](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679).

Accepted Answer

Ja, E-Mail ist im datenschutzrechtlichen Sinne eine Verarbeitungstätigkeit. Nach der Datenschutz-Grundverordnung (DSGVO) ist jede Tätigkeit, bei der personenbezogene Daten erhoben, gespeiche... [mehr]

Accepted Answer

Ja, E-Mail ist im datenschutzrechtlichen Sinne eine Verarbeitungstätigkeit. Nach der Datenschutz-Grundverordnung (DSGVO) ist jede Tätigkeit, bei der personenbezogene Daten erhoben, gespeichert, übermittelt oder anderweitig verarbeitet werden, eine Verarbeitungstätigkeit. Da beim Versenden, Empfangen und Speichern von E-Mails häufig personenbezogene Daten verarbeitet werden (z. B. Name, E-Mail-Adresse, Inhalte), gilt E-Mail-Kommunikation als Verarbeitungstätigkeit und muss entsprechend im Verzeichnis von Verarbeitungstätigkeiten dokumentiert werden.

Accepted Answer

Das Trennkriterium für eine Verarbeitungstätigkeit nach der Datenschutz-Grundverordnung (DSGVO) bezieht sich darauf, wie einzelne Verarbeitungsvorgänge voneinander abgegrenzt werden, um... [mehr]

Accepted Answer

Das Trennkriterium für eine Verarbeitungstätigkeit nach der Datenschutz-Grundverordnung (DSGVO) bezieht sich darauf, wie einzelne Verarbeitungsvorgänge voneinander abgegrenzt werden, um sie als eigenständige „Verarbeitungstätigkeit“ zu dokumentieren. Eine Verarbeitungstätigkeit im Sinne der DSGVO ist ein zusammenhängender Vorgang oder eine Gruppe von Vorgängen, bei denen personenbezogene Daten für einen bestimmten Zweck verarbeitet werden. Das zentrale Trennkriterium ist daher der **Zweck der Verarbeitung**. **Wichtige Aspekte:** - **Gleicher Zweck:** Alle Verarbeitungsvorgänge, die demselben Zweck dienen (z. B. Lohnabrechnung, Kundenverwaltung), werden als eine Verarbeitungstätigkeit betrachtet. - **Unterschiedliche Zwecke:** Werden Daten für verschiedene Zwecke verarbeitet (z. B. Personalverwaltung vs. Marketing), handelt es sich um getrennte Verarbeitungstätigkeiten. - **Technische oder organisatorische Trennung:** Auch unterschiedliche technische Systeme oder organisatorische Abläufe können ein Indiz für verschiedene Verarbeitungstätigkeiten sein, sind aber nachrangig gegenüber dem Zweck. **Beispiel:** - Die Verarbeitung von Mitarbeiterdaten zur Gehaltsabrechnung ist eine eigene Verarbeitungstätigkeit. - Die Verarbeitung derselben Daten für die Zutrittskontrolle ist eine andere Verarbeitungstätigkeit, da der Zweck ein anderer ist. **Fazit:** Das maßgebliche Trennkriterium für eine Verarbeitungstätigkeit nach DSGVO ist der **Verarbeitungszweck**. Jede Verarbeitung personenbezogener Daten für einen eigenständigen Zweck gilt als eigene Verarbeitungstätigkeit und muss entsprechend im Verzeichnis der Verarbeitungstätigkeiten dokumentiert werden. Weitere Informationen findest du z. B. beim [BfDI](https://www.bfdi.bund.de/DE/Datenschutz/Themen/Verarbeitungstaetigkeiten/Verarbeitungstaetigkeiten.html) oder bei der [BayLDA](https://www.lda.bayern.de/de/verarbeitungstaetigkeiten.html).

Accepted Answer

Eine Verarbeitungstätigkeit nach DSGVO bezeichnet jeden Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, unabhängig davon, ob sie mit oder ohne Hilfe automatisier... [mehr]

Accepted Answer

Eine Verarbeitungstätigkeit nach DSGVO bezeichnet jeden Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, unabhängig davon, ob sie mit oder ohne Hilfe automatisierter Verfahren ausgeführt wird. Dazu zählen insbesondere das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, der Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung von Daten. Die DSGVO (Datenschutz-Grundverordnung) definiert den Begriff „Verarbeitung“ in Art. 4 Nr. 2 DSGVO. Eine Verarbeitungstätigkeit ist also jede Aktivität, bei der personenbezogene Daten genutzt werden – zum Beispiel das Führen einer Kundenliste, das Versenden von Newslettern oder die Speicherung von Mitarbeiterdaten. Unternehmen und Organisationen sind verpflichtet, ein Verzeichnis aller Verarbeitungstätigkeiten zu führen (Art. 30 DSGVO), um Transparenz und Nachvollziehbarkeit im Umgang mit personenbezogenen Daten zu gewährleisten.

Accepted Answer

Nachweise über die Bearbeitung von Anfragen auf Auskunft, Berichtigung oder Löschung nach DSGVO werden in der Regel durch eine sorgfältige Dokumentation geführt. Die DSGVO verpflic... [mehr]

Accepted Answer

Nachweise über die Bearbeitung von Anfragen auf Auskunft, Berichtigung oder Löschung nach DSGVO werden in der Regel durch eine sorgfältige Dokumentation geführt. Die DSGVO verpflichtet Verantwortliche, die Einhaltung der Datenschutzgrundsätze nachweisen zu können (Art. 5 Abs. 2 DSGVO, Rechenschaftspflicht). Das bedeutet konkret: 1. **Erfassung der Anfrage:** Jede eingehende Anfrage (z. B. per E-Mail, Brief, Online-Formular) sollte mit Datum, Art der Anfrage (Auskunft, Berichtigung, Löschung) und Identität des Anfragenden dokumentiert werden. 2. **Bearbeitungsprozess:** Die einzelnen Bearbeitungsschritte (z. B. Identitätsprüfung, Prüfung der Daten, interne Kommunikation, Entscheidung über die Anfrage) werden mit Datum und verantwortlicher Person festgehalten. 3. **Ergebnis und Antwort:** Die ergriffenen Maßnahmen (z. B. Daten wurden berichtigt, gelöscht oder Auskunft erteilt) sowie die Form und das Datum der Antwort an die betroffene Person werden dokumentiert. Auch eine eventuelle Ablehnung mit Begründung sollte festgehalten werden. 4. **Aufbewahrung der Nachweise:** Die Dokumentation sollte so aufbewahrt werden, dass sie im Falle einer Prüfung durch die Aufsichtsbehörde vorgelegt werden kann. Die Aufbewahrungsdauer richtet sich nach den allgemeinen Verjährungsfristen und dem Grundsatz der Datenminimierung. **Typische Dokumentationsformen:** - Datenschutzmanagement-Software - Tabellen (z. B. Excel) - Protokolle oder Aktenvermerke - Einträge im Ticketsystem **Wichtig:** Die Dokumentation darf keine sensiblen Daten enthalten, die über das zur Nachweisführung Erforderliche hinausgehen. **Rechtliche Grundlage:** - Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) - Art. 12 Abs. 3 DSGVO (Fristen und Nachweis der Bearbeitung) Weitere Informationen findest du z. B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/) oder beim [BfDI](https://www.bfdi.bund.de/).

Accepted Answer

Ein DSGVO-Ordner dient dazu, bei Prüfungen durch Aufsichtsbehörden nachzuweisen, dass die Anforderungen der Datenschutz-Grundverordnung (DSGVO) eingehalten werden. Folgende Dokumente und Nac... [mehr]

Accepted Answer

Ein DSGVO-Ordner dient dazu, bei Prüfungen durch Aufsichtsbehörden nachzuweisen, dass die Anforderungen der Datenschutz-Grundverordnung (DSGVO) eingehalten werden. Folgende Dokumente und Nachweise sollten typischerweise enthalten sein: 1. **Verzeichnis von Verarbeitungstätigkeiten** Nach Art. 30 DSGVO ist dies für die meisten Unternehmen Pflicht. Es listet alle Prozesse auf, bei denen personenbezogene Daten verarbeitet werden. 2. **Datenschutzrichtlinien und -konzepte** Interne Richtlinien, wie mit personenbezogenen Daten umgegangen wird. 3. **Auftragsverarbeitungsverträge (AVV)** Verträge mit Dienstleistern, die personenbezogene Daten im Auftrag verarbeiten (z.B. IT-Dienstleister, Cloud-Anbieter). 4. **Technische und organisatorische Maßnahmen (TOMs)** Dokumentation der Maßnahmen zum Schutz personenbezogener Daten (z.B. Zutrittskontrolle, Verschlüsselung, Backup). 5. **Mitarbeiterschulungen und -verpflichtungen** Nachweise über Datenschutzschulungen und Verpflichtungserklärungen der Mitarbeiter auf das Datengeheimnis. 6. **Informationspflichten und Einwilligungen** Muster und Nachweise für die Erfüllung der Informationspflichten gegenüber Betroffenen (z.B. Datenschutzerklärungen, Einwilligungsformulare). 7. **Meldung von Datenschutzverletzungen** Dokumentation von Datenschutzvorfällen und deren Meldung an die Aufsichtsbehörde (Art. 33 DSGVO). 8. **Betroffenenrechte** Nachweise über die Bearbeitung von Anfragen auf Auskunft, Berichtigung, Löschung etc. 9. **Datenschutz-Folgenabschätzungen (DSFA)** Falls erforderlich, Dokumentation der DSFA für risikoreiche Verarbeitungen. 10. **Kontakt zum Datenschutzbeauftragten** Benennung und Kontaktdaten des Datenschutzbeauftragten (sofern erforderlich). 11. **Sonstige relevante Dokumente** Z.B. Löschkonzepte, Protokolle von Datenschutz-Audits, Verfahrensanweisungen. **Tipp:** Der Ordner kann sowohl physisch als auch digital geführt werden. Wichtig ist die Aktualität und Vollständigkeit der Unterlagen. Weitere Informationen findest du z.B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/) oder dem [BfDI](https://www.bfdi.bund.de/).

Accepted Answer

Ja, das ist möglich und rechtlich zulässig. Nach der Datenschutz-Grundverordnung (DSGVO) hat jede betroffene Person das Recht auf Auskunft darüber, ob und welche personenbezogenen Daten... [mehr]

Accepted Answer

Ja, das ist möglich und rechtlich zulässig. Nach der Datenschutz-Grundverordnung (DSGVO) hat jede betroffene Person das Recht auf Auskunft darüber, ob und welche personenbezogenen Daten über sie verarbeitet oder an Dritte (wie z.B. ein Inkassounternehmen) übermittelt wurden (Art. 15 DSGVO). **Widerspruch gegen die Datenübermittlung:** Ein Kunde kann der Übermittlung seiner Daten an ein Inkassounternehmen widersprechen. Allerdings ist ein solcher Widerspruch nicht immer wirksam, wenn die Übermittlung zur Wahrung berechtigter Interessen des Unternehmens erforderlich ist (z.B. zur Durchsetzung offener Forderungen, Art. 6 Abs. 1 lit. f DSGVO). Der Widerspruch muss geprüft werden, kann aber die Übermittlung nicht grundsätzlich verhindern, wenn ein berechtigtes Interesse vorliegt. **Auskunftsanspruch:** Der Kunde kann Auskunft verlangen, welche Daten an das Inkassounternehmen übermittelt wurden. Du bist verpflichtet, ihm mitzuteilen: - Welche personenbezogenen Daten übermittelt wurden, - an welches Inkassounternehmen die Daten übermittelt wurden, - zu welchem Zweck die Übermittlung erfolgte, - auf welcher Rechtsgrundlage die Übermittlung erfolgte. **Fazit:** Der Kunde kann also sowohl widersprechen (was aber nicht immer zur Unterlassung der Übermittlung führt) als auch eine DSGVO-Auskunft verlangen. Die Auskunft musst du erteilen. Weitere Informationen zur DSGVO findest du z.B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/) oder beim [Bundesbeauftragten für den Datenschutz und die Informationsfreiheit](https://www.bfdi.bund.de/).

Accepted Answer

Der Begriff „Verarbeitung“ im Sinne der DSGVO (Datenschutz-Grundverordnung) ist in Art. 4 Nr. 2 DSGVO definiert. Verarbeitung bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren... [mehr]

Accepted Answer

Der Begriff „Verarbeitung“ im Sinne der DSGVO (Datenschutz-Grundverordnung) ist in Art. 4 Nr. 2 DSGVO definiert. Verarbeitung bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang im Zusammenhang mit personenbezogenen Daten. Dazu gehören insbesondere das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, der Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Kurz gesagt: Verarbeitung umfasst praktisch jeden Umgang mit personenbezogenen Daten, von der Erhebung bis zur Löschung.

Accepted Answer

Für die Erstellung eines Verarbeitungsverzeichnisses gemäß Art. 30 DSGVO können folgende Arbeitspakete sinnvoll sein: 1. **Projektvorbereitung und Zieldefinition** - Verantwor... [mehr]

Accepted Answer

Für die Erstellung eines Verarbeitungsverzeichnisses gemäß Art. 30 DSGVO können folgende Arbeitspakete sinnvoll sein: 1. **Projektvorbereitung und Zieldefinition** - Verantwortlichkeiten festlegen - Ziele und Umfang des Verzeichnisses definieren 2. **Informationssammlung** - Erhebung aller Geschäftsprozesse, in denen personenbezogene Daten verarbeitet werden - Identifikation der verantwortlichen Abteilungen und Ansprechpartner 3. **Prozesserhebung und -dokumentation** - Detaillierte Erfassung der einzelnen Verarbeitungstätigkeiten (Zweck, Kategorien betroffener Personen und Daten, Empfänger, Übermittlungen in Drittländer, Löschfristen, technische und organisatorische Maßnahmen) - Nutzung von Fragebögen oder Interviews zur Datenerhebung 4. **Strukturierung und Erstellung des Verzeichnisses** - Zusammenführung und Strukturierung der gesammelten Informationen - Erstellung des Verzeichnisses in der geforderten Form (z. B. Excel, spezielle Software) 5. **Abstimmung und Validierung** - Überprüfung der Inhalte mit den Fachabteilungen - Korrekturen und Ergänzungen einarbeiten 6. **Freigabe und Dokumentation** - Endgültige Freigabe durch die verantwortliche Stelle (z. B. Datenschutzbeauftragter) - Ablage und Sicherstellung der Verfügbarkeit für Aufsichtsbehörden 7. **Schulung und Sensibilisierung** - Information und Schulung der Mitarbeitenden über das Verarbeitungsverzeichnis und deren Mitwirkungspflichten 8. **Regelmäßige Aktualisierung** - Festlegung eines Prozesses zur regelmäßigen Überprüfung und Aktualisierung des Verzeichnisses Diese Arbeitspakete können je nach Unternehmensgröße und Komplexität angepasst werden.