Was beinhaltet ein Verzeichnis aller Verarbeitungstätigkeiten gemäß Art. 30 DSGVO?

Question

Was beinhaltet ein Verzeichnis aller Verarbeitungstätigkeiten gemäß Art. 30 DSGVO?

Antwort

Verwandte Fragen

Sind Verfahrensverzeichnis und Verzeichnis von Verarbeitungstätigkeiten nach DSGVO identisch?

Welche Verarbeitungstätigkeiten fallen für die IT-Leitung nach DSGVO an?

Welche Beispiele für Verarbeitungstätigkeiten gibt es nach DSGVO?

Kann eine Person aus den USA einen DSGVO-Auskunftsanspruch gegen ein EU-Unternehmen geltend machen?

Ist eine Dienstleistung zur Telefonnummernvalidierung eine Auftragsverarbeitung?

Ist E-Mail eine Verarbeitungstätigkeit?

Was ist das Trennkriterium für eine Verarbeitungstätigkeit nach DSGVO?

Welche IT-Prozesse zählen laut DSGVO als gleichartige Verarbeitungszwecke?

Welche Grundlagen für die Zulässigkeit der Verarbeitung nach DSGVO gibt es?

Welche Zwecke der Verarbeitung nennt die Datenschutzgrundverordnung?

Accepted Answer

Ein Verzeichnis aller Verarbeitungstätigkeiten nach Art. 30 DSGVO (Datenschutz-Grundverordnung) ist ein zentrales Dokumentationsinstrument für Unternehmen und Organisationen, die personenbezogene Daten verarbeiten. Es dient dazu, die Einhaltung der Datenschutzvorschriften nachzuweisen und den Aufsichtsbehörden einen Überblick über die Datenverarbeitungsprozesse zu geben. Nach Art. 30 Abs. 1 DSGVO muss das Verzeichnis folgende Angaben enthalten: 1. **Name und Kontaktdaten** des Verantwortlichen (und ggf. seines Vertreters) sowie des Datenschutzbeauftragten. 2. **Zwecke der Verarbeitung** – also, warum die Daten verarbeitet werden. 3. **Beschreibung der Kategorien betroffener Personen** (z. B. Kunden, Mitarbeiter) und der **Kategorien personenbezogener Daten** (z. B. Name, Adresse, Kontodaten). 4. **Kategorien von Empfängern**, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, einschließlich Empfänger in Drittländern oder internationalen Organisationen. 5. **Übermittlungen von personenbezogenen Daten an ein Drittland** oder an eine internationale Organisation, einschließlich der Angabe des betreffenden Drittlands bzw. der internationalen Organisation und der Dokumentierung geeigneter Garantien. 6. **Vorgesehene Fristen für die Löschung** der verschiedenen Datenkategorien, soweit möglich. 7. **Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen** nach Art. 32 DSGVO (z. B. Verschlüsselung, Zugangskontrollen). Für Auftragsverarbeiter (Dienstleister, die im Auftrag Daten verarbeiten) sind die Anforderungen in Art. 30 Abs. 2 DSGVO geregelt. Das Verzeichnis muss dann insbesondere folgende Angaben enthalten: - Name und Kontaktdaten des Auftragsverarbeiters und ggf. jedes Verantwortlichen, in dessen Auftrag er tätig ist. - Die Kategorien von Verarbeitungen, die im Auftrag jedes Verantwortlichen durchgeführt werden. - Übermittlungen von Daten an Drittländer oder internationale Organisationen. - Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. Das Verzeichnis muss schriftlich geführt werden, auch in elektronischer Form ist zulässig, und ist der Aufsichtsbehörde auf Anfrage vorzulegen. Weitere Informationen findest du direkt im Gesetzestext: [Art. 30 DSGVO – Verzeichnis von Verarbeitungstätigkeiten](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679#d1e2207-1-1)

Accepted Answer

Nein, ein Verfahrensverzeichnis und ein Verzeichnis aller Verarbeitungstätigkeiten nach DSGVO sind nicht exakt das Gleiche, werden aber oft synonym verwendet. **Hintergrund:** - Das „Verfa... [mehr]

Accepted Answer

Nein, ein Verfahrensverzeichnis und ein Verzeichnis aller Verarbeitungstätigkeiten nach DSGVO sind nicht exakt das Gleiche, werden aber oft synonym verwendet. **Hintergrund:** - Das „Verfahrensverzeichnis“ stammt aus dem alten Bundesdatenschutzgesetz (BDSG a.F.) und bezeichnete dort die Dokumentation der Verfahren, in denen personenbezogene Daten verarbeitet wurden. - Die Datenschutz-Grundverordnung (DSGVO) spricht hingegen vom „Verzeichnis von Verarbeitungstätigkeiten“ (Art. 30 DSGVO). **Unterschiede:** - Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist umfassender und moderner gefasst als das frühere Verfahrensverzeichnis. - Es muss bestimmte Angaben enthalten, z. B. Zwecke der Verarbeitung, Kategorien betroffener Personen und Daten, Empfänger, Übermittlungen in Drittländer, Löschfristen und technische sowie organisatorische Maßnahmen. **Fazit:** Im heutigen Datenschutzrecht nach DSGVO ist das „Verzeichnis von Verarbeitungstätigkeiten“ der korrekte und rechtlich relevante Begriff. Das „Verfahrensverzeichnis“ ist ein veralteter Begriff, der aber inhaltlich ähnlich ist. In der Praxis meinen viele mit „Verfahrensverzeichnis“ das nach DSGVO geforderte Verzeichnis, korrekt ist jedoch die Bezeichnung „Verzeichnis von Verarbeitungstätigkeiten“. Weitere Informationen findest du z. B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/dskb/2018_12_06_auslegung_verzeichnis_verarbeitungstaetigkeiten.pdf).

Accepted Answer

Die IT-Leitung ist in Unternehmen häufig für verschiedene Verarbeitungstätigkeiten im Sinne der Datenschutz-Grundverordnung (DSGVO) verantwortlich. Verarbeitungstätigkeiten sind al... [mehr]

Accepted Answer

Die IT-Leitung ist in Unternehmen häufig für verschiedene Verarbeitungstätigkeiten im Sinne der Datenschutz-Grundverordnung (DSGVO) verantwortlich. Verarbeitungstätigkeiten sind alle Vorgänge im Zusammenhang mit personenbezogenen Daten, wie das Erheben, Speichern, Übermitteln, Löschen oder Auswerten dieser Daten. Typische Verarbeitungstätigkeiten der IT-Leitung nach DSGVO sind: 1. **Benutzer- und Zugriffsverwaltung** Verwaltung von Benutzerkonten, Passwörtern und Zugriffsrechten auf IT-Systeme, um sicherzustellen, dass nur berechtigte Personen Zugriff auf personenbezogene Daten haben. 2. **Betrieb von IT-Systemen und Netzwerken** Betrieb und Wartung von Servern, Datenbanken, E-Mail-Systemen und anderen IT-Infrastrukturen, auf denen personenbezogene Daten verarbeitet werden. 3. **Datensicherung und Backup** Durchführung und Verwaltung von Backups, um Datenverluste zu vermeiden und die Wiederherstellung personenbezogener Daten zu ermöglichen. 4. **IT-Support und Fehlerbehebung** Bearbeitung von Supportanfragen, bei denen personenbezogene Daten eingesehen oder verarbeitet werden können. 5. **Überwachung und Protokollierung** Einsatz von Monitoring- und Logging-Systemen zur Überwachung der IT-Infrastruktur, um Sicherheitsvorfälle zu erkennen und zu dokumentieren. 6. **Software- und Systemaktualisierungen** Durchführung von Updates und Patches, um Sicherheitslücken zu schließen und den Schutz personenbezogener Daten zu gewährleisten. 7. **Löschung und Vernichtung von Daten** Sicherstellung der datenschutzkonformen Löschung oder Vernichtung personenbezogener Daten, z. B. bei Aussonderung von Datenträgern. 8. **Verwaltung mobiler Geräte** Verwaltung und Absicherung von Laptops, Smartphones und anderen mobilen Endgeräten, auf denen personenbezogene Daten verarbeitet werden. 9. **Technische und organisatorische Maßnahmen (TOMs)** Umsetzung und Überwachung von Maßnahmen zum Schutz personenbezogener Daten gemäß Art. 32 DSGVO. **Dokumentationspflicht:** Nach Art. 30 DSGVO muss die IT-Leitung (bzw. das Unternehmen) ein Verzeichnis von Verarbeitungstätigkeiten führen, in dem alle relevanten Prozesse dokumentiert sind. **Beispiel für eine Verarbeitungstätigkeit im Verzeichnis:** - **Zweck:** Verwaltung von Benutzerkonten - **Kategorien betroffener Personen:** Mitarbeiter - **Kategorien personenbezogener Daten:** Name, Benutzername, E-Mail-Adresse, Zugriffsrechte - **Empfänger:** IT-Abteilung, ggf. externe IT-Dienstleister - **Löschfristen:** Nach Ausscheiden des Mitarbeiters, gemäß Löschkonzept - **Technische und organisatorische Maßnahmen:** Zugriffsbeschränkungen, Verschlüsselung, Protokollierung **Weitere Informationen:** - [DSGVO – Art. 30 Verzeichnis von Verarbeitungstätigkeiten](https://dsgvo-gesetz.de/art-30-dsgvo/) - [BfDI: Verarbeitungstätigkeiten](https://www.bfdi.bund.de/DE/Datenschutz/Themen/Verarbeitungstaetigkeiten/verarbeitungstaetigkeiten-node.html) Die konkrete Ausgestaltung hängt von der jeweiligen Organisation und den eingesetzten IT-Systemen ab.

Accepted Answer

Beispiele für Verarbeitungstätigkeiten nach DSGVO sind: 1. **Personalverwaltung**: Erfassung und Verwaltung von Mitarbeiterdaten (z.B. Lohnabrechnung, Urlaubsverwaltung). 2. **Kundenverwalt... [mehr]

Accepted Answer

Beispiele für Verarbeitungstätigkeiten nach DSGVO sind: 1. **Personalverwaltung**: Erfassung und Verwaltung von Mitarbeiterdaten (z.B. Lohnabrechnung, Urlaubsverwaltung). 2. **Kundenverwaltung**: Speicherung und Nutzung von Kundendaten für Bestellungen, Rechnungsstellung oder Kundenservice. 3. **Newsletter-Versand**: Erhebung und Nutzung von E-Mail-Adressen für den Versand von Newslettern. 4. **Videoüberwachung**: Aufzeichnung und Speicherung von Bilddaten zur Sicherung von Gebäuden. 5. **Bewerbermanagement**: Verarbeitung von Bewerberdaten im Rahmen von Bewerbungsverfahren. 6. **Zutrittskontrolle**: Erfassung von Daten zur Kontrolle des Zugangs zu Gebäuden oder IT-Systemen. 7. **Veranstaltungsmanagement**: Erhebung und Verwaltung von Teilnehmerdaten bei Veranstaltungen. 8. **Lieferantenverwaltung**: Speicherung und Nutzung von Daten von Lieferanten und Dienstleistern. 9. **Nutzerverwaltung von IT-Systemen**: Verwaltung von Benutzerkonten und Zugriffsrechten. 10. **Kundenbefragungen**: Erhebung und Auswertung von Daten im Rahmen von Umfragen. Jede dieser Tätigkeiten erfordert gemäß Art. 30 DSGVO ein Verzeichnis der Verarbeitungstätigkeiten. Weitere Informationen findest du direkt bei der [Europäischen Kommission](https://ec.europa.eu/info/law/law-topic/data-protection_de).

Accepted Answer

Ja, das ist grundsätzlich möglich. Die Datenschutz-Grundverordnung (DSGVO) gilt für Unternehmen in der EU unabhängig davon, wo die betroffene Person lebt oder ihren gewöhnlich... [mehr]

Accepted Answer

Ja, das ist grundsätzlich möglich. Die Datenschutz-Grundverordnung (DSGVO) gilt für Unternehmen in der EU unabhängig davon, wo die betroffene Person lebt oder ihren gewöhnlichen Aufenthalt hat. Das bedeutet: Jeder, dessen personenbezogene Daten von einem Unternehmen mit Sitz in der EU verarbeitet werden, kann sich auf die Rechte der DSGVO berufen – also auch Personen aus den USA. Relevant ist dabei, dass das Unternehmen tatsächlich personenbezogene Daten der betroffenen Person verarbeitet und seinen Sitz in der EU hat oder die Verarbeitung im Zusammenhang mit der Tätigkeit einer Niederlassung in der EU steht. In diesem Fall hat die betroffene Person das Recht auf Auskunft nach Art. 15 DSGVO, unabhängig von ihrer Staatsangehörigkeit oder ihrem Wohnsitz. Weitere Informationen zur DSGVO findest du z.B. auf der offiziellen Seite der Europäischen Kommission: https://commission.europa.eu/law/law-topic/data-protection_de

Accepted Answer

Ob eine Dienstleistung mit Telefonnummernvalidierung eine Auftragsverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist, hängt davon ab, wie die Dienstleistung ausgestaltet ist und we... [mehr]

Accepted Answer

Ob eine Dienstleistung mit Telefonnummernvalidierung eine Auftragsverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist, hängt davon ab, wie die Dienstleistung ausgestaltet ist und welche Rolle der Dienstleister einnimmt. **Auftragsverarbeitung** liegt gemäß Art. 4 Nr. 8 und Art. 28 DSGVO immer dann vor, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen verarbeitet. **Konkret:** - Wenn du als Unternehmen einen externen Dienstleister beauftragst, Telefonnummern deiner Kunden zu validieren (z.B. auf Gültigkeit oder Format), und der Dienstleister diese Daten ausschließlich nach deinen Vorgaben verarbeitet, handelt es sich in der Regel um eine Auftragsverarbeitung. In diesem Fall muss ein Auftragsverarbeitungsvertrag (AVV) abgeschlossen werden. - Wenn der Dienstleister die Telefonnummern jedoch für eigene Zwecke verarbeitet oder die Daten mit anderen Datenquellen abgleicht, um eigene Produkte oder Services zu verbessern, ist er selbst Verantwortlicher oder ggf. gemeinsam Verantwortlicher. Dann liegt keine Auftragsverarbeitung vor. **Beispiel:** - Ein Dienstleister prüft im Auftrag deines Unternehmens, ob eine Telefonnummer existiert oder korrekt formatiert ist, und nutzt die Daten nicht für eigene Zwecke → Auftragsverarbeitung. - Ein Dienstleister sammelt Telefonnummern, wertet sie aus und nutzt sie für eigene Marketingzwecke → keine Auftragsverarbeitung. **Fazit:** In den meisten Fällen ist eine Dienstleistung zur Telefonnummernvalidierung eine Auftragsverarbeitung, sofern der Dienstleister die Daten ausschließlich im Auftrag und nach Weisung verarbeitet. Es sollte aber immer im Einzelfall geprüft werden, wie die Datenverarbeitung konkret erfolgt. Weitere Informationen findest du z.B. beim [BayLDA](https://www.lda.bayern.de/de/thema-auftragsverarbeitung.html) oder [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/dskb/2018_24_10_auftragsverarbeitung.pdf).

Accepted Answer

Ja, E-Mail ist im datenschutzrechtlichen Sinne eine Verarbeitungstätigkeit. Nach der Datenschutz-Grundverordnung (DSGVO) ist jede Tätigkeit, bei der personenbezogene Daten erhoben, gespeiche... [mehr]

Accepted Answer

Ja, E-Mail ist im datenschutzrechtlichen Sinne eine Verarbeitungstätigkeit. Nach der Datenschutz-Grundverordnung (DSGVO) ist jede Tätigkeit, bei der personenbezogene Daten erhoben, gespeichert, übermittelt oder anderweitig verarbeitet werden, eine Verarbeitungstätigkeit. Da beim Versenden, Empfangen und Speichern von E-Mails häufig personenbezogene Daten verarbeitet werden (z. B. Name, E-Mail-Adresse, Inhalte), gilt E-Mail-Kommunikation als Verarbeitungstätigkeit und muss entsprechend im Verzeichnis von Verarbeitungstätigkeiten dokumentiert werden.

Accepted Answer

Das Trennkriterium für eine Verarbeitungstätigkeit nach der Datenschutz-Grundverordnung (DSGVO) bezieht sich darauf, wie einzelne Verarbeitungsvorgänge voneinander abgegrenzt werden, um... [mehr]

Accepted Answer

Das Trennkriterium für eine Verarbeitungstätigkeit nach der Datenschutz-Grundverordnung (DSGVO) bezieht sich darauf, wie einzelne Verarbeitungsvorgänge voneinander abgegrenzt werden, um sie als eigenständige „Verarbeitungstätigkeit“ zu dokumentieren. Eine Verarbeitungstätigkeit im Sinne der DSGVO ist ein zusammenhängender Vorgang oder eine Gruppe von Vorgängen, bei denen personenbezogene Daten für einen bestimmten Zweck verarbeitet werden. Das zentrale Trennkriterium ist daher der **Zweck der Verarbeitung**. **Wichtige Aspekte:** - **Gleicher Zweck:** Alle Verarbeitungsvorgänge, die demselben Zweck dienen (z. B. Lohnabrechnung, Kundenverwaltung), werden als eine Verarbeitungstätigkeit betrachtet. - **Unterschiedliche Zwecke:** Werden Daten für verschiedene Zwecke verarbeitet (z. B. Personalverwaltung vs. Marketing), handelt es sich um getrennte Verarbeitungstätigkeiten. - **Technische oder organisatorische Trennung:** Auch unterschiedliche technische Systeme oder organisatorische Abläufe können ein Indiz für verschiedene Verarbeitungstätigkeiten sein, sind aber nachrangig gegenüber dem Zweck. **Beispiel:** - Die Verarbeitung von Mitarbeiterdaten zur Gehaltsabrechnung ist eine eigene Verarbeitungstätigkeit. - Die Verarbeitung derselben Daten für die Zutrittskontrolle ist eine andere Verarbeitungstätigkeit, da der Zweck ein anderer ist. **Fazit:** Das maßgebliche Trennkriterium für eine Verarbeitungstätigkeit nach DSGVO ist der **Verarbeitungszweck**. Jede Verarbeitung personenbezogener Daten für einen eigenständigen Zweck gilt als eigene Verarbeitungstätigkeit und muss entsprechend im Verzeichnis der Verarbeitungstätigkeiten dokumentiert werden. Weitere Informationen findest du z. B. beim [BfDI](https://www.bfdi.bund.de/DE/Datenschutz/Themen/Verarbeitungstaetigkeiten/Verarbeitungstaetigkeiten.html) oder bei der [BayLDA](https://www.lda.bayern.de/de/verarbeitungstaetigkeiten.html).

Accepted Answer

Laut Datenschutz-Grundverordnung (DSGVO) bezieht sich der Begriff „gleichartige Verarbeitungszwecke“ auf IT-Prozesse, die personenbezogene Daten zu ähnlichen oder identischen Zielen v... [mehr]

Accepted Answer

Laut Datenschutz-Grundverordnung (DSGVO) bezieht sich der Begriff „gleichartige Verarbeitungszwecke“ auf IT-Prozesse, die personenbezogene Daten zu ähnlichen oder identischen Zielen verarbeiten. Die DSGVO selbst definiert den Begriff nicht explizit, aber in der Praxis und im Kontext von Verzeichnissen von Verarbeitungstätigkeiten (Art. 30 DSGVO) oder Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) wird er verwendet, um Prozesse zu gruppieren, die vergleichbare Zwecke verfolgen. Beispiele für IT-Prozesse mit gleichartigen Verarbeitungszwecken sind: 1. **Personalverwaltung** - Lohn- und Gehaltsabrechnung - Verwaltung von Urlaubsanträgen - Zeiterfassung Alle diese Prozesse dienen der Verwaltung von Beschäftigten. 2. **Kundenmanagement (CRM)** - Verwaltung von Kundendaten - Versand von Newslettern - Bearbeitung von Kundenanfragen Diese Prozesse verfolgen das Ziel der Kundenbetreuung und -kommunikation. 3. **Bewerbermanagement** - Erfassung und Verwaltung von Bewerberdaten - Kommunikation mit Bewerbern - Durchführung von Bewerbungsgesprächen (z. B. per Videokonferenz) Sie dienen alle der Auswahl und Einstellung neuer Mitarbeiter. 4. **IT-Support** - Bearbeitung von Support-Tickets - Verwaltung von Benutzerkonten - Protokollierung von IT-Zugriffen Diese Prozesse unterstützen den Betrieb und die Sicherheit der IT-Infrastruktur. **Wichtig:** Gleichartige Verarbeitungszwecke bedeuten, dass die Datenverarbeitung auf denselben oder sehr ähnlichen rechtlichen Grundlagen und zu vergleichbaren Zielen erfolgt. Das ist z. B. relevant, wenn mehrere Verarbeitungstätigkeiten im Verzeichnis nach Art. 30 DSGVO zusammengefasst werden können. **Weitere Informationen:** - [DSGVO Art. 30 – Verzeichnis von Verarbeitungstätigkeiten](https://dsgvo-gesetz.de/art-30-dsgvo/) - [DSGVO Art. 35 – Datenschutz-Folgenabschätzung](https://dsgvo-gesetz.de/art-35-dsgvo/) Zusammengefasst: IT-Prozesse haben gleichartige Verarbeitungszwecke laut DSGVO, wenn sie personenbezogene Daten zu vergleichbaren Zielen und auf ähnlicher Rechtsgrundlage verarbeiten, wie z. B. Prozesse der Personalverwaltung, des Kundenmanagements oder des Bewerbermanagements.

Accepted Answer

Die Datenschutz-Grundverordnung (DSGVO) sieht in Art. 6 Abs. 1 sechs zentrale Rechtsgrundlagen für die Zulässigkeit der Verarbeitung personenbezogener Daten vor. Eine Verarbeitung ist nur da... [mehr]

Accepted Answer

Die Datenschutz-Grundverordnung (DSGVO) sieht in Art. 6 Abs. 1 sechs zentrale Rechtsgrundlagen für die Zulässigkeit der Verarbeitung personenbezogener Daten vor. Eine Verarbeitung ist nur dann rechtmäßig, wenn mindestens eine der folgenden Bedingungen erfüllt ist: 1. **Einwilligung** (Art. 6 Abs. 1 lit. a DSGVO): Die betroffene Person hat ihre freiwillige, informierte und unmissverständliche Einwilligung zur Verarbeitung ihrer personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben. 2. **Vertragserfüllung** (Art. 6 Abs. 1 lit. b DSGVO): Die Verarbeitung ist zur Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen. 3. **Rechtliche Verpflichtung** (Art. 6 Abs. 1 lit. c DSGVO): Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt. 4. **Lebenswichtige Interessen** (Art. 6 Abs. 1 lit. d DSGVO): Die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen. 5. **Wahrnehmung einer Aufgabe im öffentlichen Interesse oder Ausübung öffentlicher Gewalt** (Art. 6 Abs. 1 lit. e DSGVO): Die Verarbeitung ist zur Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. 6. **Berechtigte Interessen** (Art. 6 Abs. 1 lit. f DSGVO): Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen. Weitere Informationen findest du direkt im [Wortlaut von Art. 6 DSGVO](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679).

Accepted Answer

Die Datenschutz-Grundverordnung (DSGVO) nennt verschiedene Zwecke der Verarbeitung personenbezogener Daten, legt aber keine abschließende Liste fest. Grundsätzlich versteht die DSGVO unter... [mehr]

Accepted Answer

Die Datenschutz-Grundverordnung (DSGVO) nennt verschiedene Zwecke der Verarbeitung personenbezogener Daten, legt aber keine abschließende Liste fest. Grundsätzlich versteht die DSGVO unter „Zweck der Verarbeitung“ den Grund, warum personenbezogene Daten erhoben und verarbeitet werden. Die wichtigsten Zwecke ergeben sich aus Art. 6 Abs. 1 DSGVO, der die Rechtmäßigkeit der Verarbeitung regelt. Typische Zwecke sind: 1. **Vertragserfüllung** Verarbeitung ist erforderlich, um einen Vertrag zu erfüllen oder vorvertragliche Maßnahmen durchzuführen (z. B. Kaufabwicklung, Dienstleistungsvertrag). 2. **Erfüllung einer rechtlichen Verpflichtung** Verarbeitung ist notwendig, um gesetzlichen Pflichten nachzukommen (z. B. Aufbewahrungspflichten, Meldepflichten). 3. **Wahrung berechtigter Interessen** Verarbeitung dient den berechtigten Interessen des Verantwortlichen oder eines Dritten, sofern nicht die Interessen oder Grundrechte der betroffenen Person überwiegen (z. B. Direktwerbung, IT-Sicherheit). 4. **Einwilligung** Verarbeitung erfolgt auf Grundlage einer freiwilligen, informierten und unmissverständlichen Einwilligung der betroffenen Person (z. B. Newsletter-Versand). 5. **Schutz lebenswichtiger Interessen** Verarbeitung ist notwendig, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen (z. B. medizinische Notfälle). 6. **Wahrnehmung einer Aufgabe im öffentlichen Interesse oder Ausübung öffentlicher Gewalt** Verarbeitung ist erforderlich, um eine Aufgabe zu erfüllen, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt (z. B. behördliche Tätigkeiten). Jede Verarbeitung personenbezogener Daten muss einem klar definierten Zweck dienen, der vorab festgelegt und dokumentiert wird (Zweckbindung, Art. 5 Abs. 1 lit. b DSGVO). Weitere Informationen findest du direkt im Gesetzestext: [DSGVO – Art. 6 Rechtmäßigkeit der Verarbeitung](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679)