Warum dürfen Unternehmen beim Profiling keine Art 9 DS GVO Daten verwenden?

Question

Warum dürfen Unternehmen beim Profiling keine Art 9 DS GVO Daten verwenden?

Antwort

Verwandte Fragen

Zustimmungstext nach DSVO für interaktive Formulare.

Kann eine Person aus den USA einen DSGVO-Auskunftsanspruch gegen ein EU-Unternehmen geltend machen?

Ist eine Dienstleistung zur Telefonnummernvalidierung eine Auftragsverarbeitung?

Ist E-Mail eine Verarbeitungstätigkeit?

Was ist das Trennkriterium für eine Verarbeitungstätigkeit nach DSGVO?

Welche IT-Prozesse zählen laut DSGVO als gleichartige Verarbeitungszwecke?

Welche Grundlagen für die Zulässigkeit der Verarbeitung nach DSGVO gibt es?

Welche Zwecke der Verarbeitung nennt die Datenschutzgrundverordnung?

Was müssen Mitarbeiter am Arbeitsplatz beachten, um DSGVO-konform zu arbeiten? (Checkliste)

Sind Verfahrensverzeichnis und Verzeichnis von Verarbeitungstätigkeiten nach DSGVO identisch?

Accepted Answer

Unternehmen dürfen beim Profiling keine Daten gemäß Artikel 9 der Datenschutz-Grundverordnung (DSGVO) verwenden, weil diese Daten als besonders sensibel gelten. Artikel 9 umfasst Informationen über rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer Person, Gesundheitsdaten und Daten zum Sexualleben oder zur sexuellen Orientierung. Die Verarbeitung dieser sensiblen Daten ist grundsätzlich verboten, es sei denn, es liegt eine ausdrückliche Einwilligung der betroffenen Person vor oder es gibt andere spezifische rechtliche Grundlagen, die eine solche Verarbeitung rechtfertigen. Der Schutz dieser Daten ist besonders wichtig, um Diskriminierung und Missbrauch zu verhindern. Daher ist es Unternehmen untersagt, diese Daten für Profiling-Zwecke zu verwenden, um die Privatsphäre und die Rechte der betroffenen Personen zu schützen.

Accepted Answer

Ein Zustimmungstext nach der Datenschutz-Grundverordnung (GVO) für ein interaktives Formular sollte klar und verständlich formuliert sein. Hier ist ein Beispiel für eine solche Formulie... [mehr]

Accepted Answer

Ein Zustimmungstext nach der Datenschutz-Grundverordnung (GVO) für ein interaktives Formular sollte klar und verständlich formuliert sein. Hier ist ein Beispiel für eine solche Formulierung: --- **Zustimmung zur Datenverarbeitung** Ich stimme zu, dass meine personenbezogenen Daten (z. B. Name, E-Mail-Adresse, Telefonnummer) zum Zweck der [konkreter Zweck, z. B. Bearbeitung meiner Anfrage, Zusendung von Informationen] verarbeitet werden. Ich habe die Datenschutzerklärung gelesen und verstanden. Mir ist bewusst, dass ich meine Einwilligung jederzeit widerrufen kann. [ ] Ich stimme zu. --- Achte darauf, dass der Text an die spezifischen Anforderungen und den Kontext deines Formulars angepasst wird. Es ist wichtig, dass die Nutzer klar verstehen, welche Daten verarbeitet werden und zu welchem Zweck.

Accepted Answer

Ja, das ist grundsätzlich möglich. Die Datenschutz-Grundverordnung (DSGVO) gilt für Unternehmen in der EU unabhängig davon, wo die betroffene Person lebt oder ihren gewöhnlich... [mehr]

Accepted Answer

Ja, das ist grundsätzlich möglich. Die Datenschutz-Grundverordnung (DSGVO) gilt für Unternehmen in der EU unabhängig davon, wo die betroffene Person lebt oder ihren gewöhnlichen Aufenthalt hat. Das bedeutet: Jeder, dessen personenbezogene Daten von einem Unternehmen mit Sitz in der EU verarbeitet werden, kann sich auf die Rechte der DSGVO berufen – also auch Personen aus den USA. Relevant ist dabei, dass das Unternehmen tatsächlich personenbezogene Daten der betroffenen Person verarbeitet und seinen Sitz in der EU hat oder die Verarbeitung im Zusammenhang mit der Tätigkeit einer Niederlassung in der EU steht. In diesem Fall hat die betroffene Person das Recht auf Auskunft nach Art. 15 DSGVO, unabhängig von ihrer Staatsangehörigkeit oder ihrem Wohnsitz. Weitere Informationen zur DSGVO findest du z.B. auf der offiziellen Seite der Europäischen Kommission: https://commission.europa.eu/law/law-topic/data-protection_de

Accepted Answer

Ob eine Dienstleistung mit Telefonnummernvalidierung eine Auftragsverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist, hängt davon ab, wie die Dienstleistung ausgestaltet ist und we... [mehr]

Accepted Answer

Ob eine Dienstleistung mit Telefonnummernvalidierung eine Auftragsverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist, hängt davon ab, wie die Dienstleistung ausgestaltet ist und welche Rolle der Dienstleister einnimmt. **Auftragsverarbeitung** liegt gemäß Art. 4 Nr. 8 und Art. 28 DSGVO immer dann vor, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen verarbeitet. **Konkret:** - Wenn du als Unternehmen einen externen Dienstleister beauftragst, Telefonnummern deiner Kunden zu validieren (z.B. auf Gültigkeit oder Format), und der Dienstleister diese Daten ausschließlich nach deinen Vorgaben verarbeitet, handelt es sich in der Regel um eine Auftragsverarbeitung. In diesem Fall muss ein Auftragsverarbeitungsvertrag (AVV) abgeschlossen werden. - Wenn der Dienstleister die Telefonnummern jedoch für eigene Zwecke verarbeitet oder die Daten mit anderen Datenquellen abgleicht, um eigene Produkte oder Services zu verbessern, ist er selbst Verantwortlicher oder ggf. gemeinsam Verantwortlicher. Dann liegt keine Auftragsverarbeitung vor. **Beispiel:** - Ein Dienstleister prüft im Auftrag deines Unternehmens, ob eine Telefonnummer existiert oder korrekt formatiert ist, und nutzt die Daten nicht für eigene Zwecke → Auftragsverarbeitung. - Ein Dienstleister sammelt Telefonnummern, wertet sie aus und nutzt sie für eigene Marketingzwecke → keine Auftragsverarbeitung. **Fazit:** In den meisten Fällen ist eine Dienstleistung zur Telefonnummernvalidierung eine Auftragsverarbeitung, sofern der Dienstleister die Daten ausschließlich im Auftrag und nach Weisung verarbeitet. Es sollte aber immer im Einzelfall geprüft werden, wie die Datenverarbeitung konkret erfolgt. Weitere Informationen findest du z.B. beim [BayLDA](https://www.lda.bayern.de/de/thema-auftragsverarbeitung.html) oder [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/dskb/2018_24_10_auftragsverarbeitung.pdf).

Accepted Answer

Ja, E-Mail ist im datenschutzrechtlichen Sinne eine Verarbeitungstätigkeit. Nach der Datenschutz-Grundverordnung (DSGVO) ist jede Tätigkeit, bei der personenbezogene Daten erhoben, gespeiche... [mehr]

Accepted Answer

Ja, E-Mail ist im datenschutzrechtlichen Sinne eine Verarbeitungstätigkeit. Nach der Datenschutz-Grundverordnung (DSGVO) ist jede Tätigkeit, bei der personenbezogene Daten erhoben, gespeichert, übermittelt oder anderweitig verarbeitet werden, eine Verarbeitungstätigkeit. Da beim Versenden, Empfangen und Speichern von E-Mails häufig personenbezogene Daten verarbeitet werden (z. B. Name, E-Mail-Adresse, Inhalte), gilt E-Mail-Kommunikation als Verarbeitungstätigkeit und muss entsprechend im Verzeichnis von Verarbeitungstätigkeiten dokumentiert werden.

Accepted Answer

Das Trennkriterium für eine Verarbeitungstätigkeit nach der Datenschutz-Grundverordnung (DSGVO) bezieht sich darauf, wie einzelne Verarbeitungsvorgänge voneinander abgegrenzt werden, um... [mehr]

Accepted Answer

Das Trennkriterium für eine Verarbeitungstätigkeit nach der Datenschutz-Grundverordnung (DSGVO) bezieht sich darauf, wie einzelne Verarbeitungsvorgänge voneinander abgegrenzt werden, um sie als eigenständige „Verarbeitungstätigkeit“ zu dokumentieren. Eine Verarbeitungstätigkeit im Sinne der DSGVO ist ein zusammenhängender Vorgang oder eine Gruppe von Vorgängen, bei denen personenbezogene Daten für einen bestimmten Zweck verarbeitet werden. Das zentrale Trennkriterium ist daher der **Zweck der Verarbeitung**. **Wichtige Aspekte:** - **Gleicher Zweck:** Alle Verarbeitungsvorgänge, die demselben Zweck dienen (z. B. Lohnabrechnung, Kundenverwaltung), werden als eine Verarbeitungstätigkeit betrachtet. - **Unterschiedliche Zwecke:** Werden Daten für verschiedene Zwecke verarbeitet (z. B. Personalverwaltung vs. Marketing), handelt es sich um getrennte Verarbeitungstätigkeiten. - **Technische oder organisatorische Trennung:** Auch unterschiedliche technische Systeme oder organisatorische Abläufe können ein Indiz für verschiedene Verarbeitungstätigkeiten sein, sind aber nachrangig gegenüber dem Zweck. **Beispiel:** - Die Verarbeitung von Mitarbeiterdaten zur Gehaltsabrechnung ist eine eigene Verarbeitungstätigkeit. - Die Verarbeitung derselben Daten für die Zutrittskontrolle ist eine andere Verarbeitungstätigkeit, da der Zweck ein anderer ist. **Fazit:** Das maßgebliche Trennkriterium für eine Verarbeitungstätigkeit nach DSGVO ist der **Verarbeitungszweck**. Jede Verarbeitung personenbezogener Daten für einen eigenständigen Zweck gilt als eigene Verarbeitungstätigkeit und muss entsprechend im Verzeichnis der Verarbeitungstätigkeiten dokumentiert werden. Weitere Informationen findest du z. B. beim [BfDI](https://www.bfdi.bund.de/DE/Datenschutz/Themen/Verarbeitungstaetigkeiten/Verarbeitungstaetigkeiten.html) oder bei der [BayLDA](https://www.lda.bayern.de/de/verarbeitungstaetigkeiten.html).

Accepted Answer

Laut Datenschutz-Grundverordnung (DSGVO) bezieht sich der Begriff „gleichartige Verarbeitungszwecke“ auf IT-Prozesse, die personenbezogene Daten zu ähnlichen oder identischen Zielen v... [mehr]

Accepted Answer

Laut Datenschutz-Grundverordnung (DSGVO) bezieht sich der Begriff „gleichartige Verarbeitungszwecke“ auf IT-Prozesse, die personenbezogene Daten zu ähnlichen oder identischen Zielen verarbeiten. Die DSGVO selbst definiert den Begriff nicht explizit, aber in der Praxis und im Kontext von Verzeichnissen von Verarbeitungstätigkeiten (Art. 30 DSGVO) oder Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) wird er verwendet, um Prozesse zu gruppieren, die vergleichbare Zwecke verfolgen. Beispiele für IT-Prozesse mit gleichartigen Verarbeitungszwecken sind: 1. **Personalverwaltung** - Lohn- und Gehaltsabrechnung - Verwaltung von Urlaubsanträgen - Zeiterfassung Alle diese Prozesse dienen der Verwaltung von Beschäftigten. 2. **Kundenmanagement (CRM)** - Verwaltung von Kundendaten - Versand von Newslettern - Bearbeitung von Kundenanfragen Diese Prozesse verfolgen das Ziel der Kundenbetreuung und -kommunikation. 3. **Bewerbermanagement** - Erfassung und Verwaltung von Bewerberdaten - Kommunikation mit Bewerbern - Durchführung von Bewerbungsgesprächen (z. B. per Videokonferenz) Sie dienen alle der Auswahl und Einstellung neuer Mitarbeiter. 4. **IT-Support** - Bearbeitung von Support-Tickets - Verwaltung von Benutzerkonten - Protokollierung von IT-Zugriffen Diese Prozesse unterstützen den Betrieb und die Sicherheit der IT-Infrastruktur. **Wichtig:** Gleichartige Verarbeitungszwecke bedeuten, dass die Datenverarbeitung auf denselben oder sehr ähnlichen rechtlichen Grundlagen und zu vergleichbaren Zielen erfolgt. Das ist z. B. relevant, wenn mehrere Verarbeitungstätigkeiten im Verzeichnis nach Art. 30 DSGVO zusammengefasst werden können. **Weitere Informationen:** - [DSGVO Art. 30 – Verzeichnis von Verarbeitungstätigkeiten](https://dsgvo-gesetz.de/art-30-dsgvo/) - [DSGVO Art. 35 – Datenschutz-Folgenabschätzung](https://dsgvo-gesetz.de/art-35-dsgvo/) Zusammengefasst: IT-Prozesse haben gleichartige Verarbeitungszwecke laut DSGVO, wenn sie personenbezogene Daten zu vergleichbaren Zielen und auf ähnlicher Rechtsgrundlage verarbeiten, wie z. B. Prozesse der Personalverwaltung, des Kundenmanagements oder des Bewerbermanagements.

Accepted Answer

Die Datenschutz-Grundverordnung (DSGVO) sieht in Art. 6 Abs. 1 sechs zentrale Rechtsgrundlagen für die Zulässigkeit der Verarbeitung personenbezogener Daten vor. Eine Verarbeitung ist nur da... [mehr]

Accepted Answer

Die Datenschutz-Grundverordnung (DSGVO) sieht in Art. 6 Abs. 1 sechs zentrale Rechtsgrundlagen für die Zulässigkeit der Verarbeitung personenbezogener Daten vor. Eine Verarbeitung ist nur dann rechtmäßig, wenn mindestens eine der folgenden Bedingungen erfüllt ist: 1. **Einwilligung** (Art. 6 Abs. 1 lit. a DSGVO): Die betroffene Person hat ihre freiwillige, informierte und unmissverständliche Einwilligung zur Verarbeitung ihrer personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben. 2. **Vertragserfüllung** (Art. 6 Abs. 1 lit. b DSGVO): Die Verarbeitung ist zur Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen. 3. **Rechtliche Verpflichtung** (Art. 6 Abs. 1 lit. c DSGVO): Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt. 4. **Lebenswichtige Interessen** (Art. 6 Abs. 1 lit. d DSGVO): Die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen. 5. **Wahrnehmung einer Aufgabe im öffentlichen Interesse oder Ausübung öffentlicher Gewalt** (Art. 6 Abs. 1 lit. e DSGVO): Die Verarbeitung ist zur Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. 6. **Berechtigte Interessen** (Art. 6 Abs. 1 lit. f DSGVO): Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen. Weitere Informationen findest du direkt im [Wortlaut von Art. 6 DSGVO](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679).

Accepted Answer

Die Datenschutz-Grundverordnung (DSGVO) nennt verschiedene Zwecke der Verarbeitung personenbezogener Daten, legt aber keine abschließende Liste fest. Grundsätzlich versteht die DSGVO unter... [mehr]

Accepted Answer

Die Datenschutz-Grundverordnung (DSGVO) nennt verschiedene Zwecke der Verarbeitung personenbezogener Daten, legt aber keine abschließende Liste fest. Grundsätzlich versteht die DSGVO unter „Zweck der Verarbeitung“ den Grund, warum personenbezogene Daten erhoben und verarbeitet werden. Die wichtigsten Zwecke ergeben sich aus Art. 6 Abs. 1 DSGVO, der die Rechtmäßigkeit der Verarbeitung regelt. Typische Zwecke sind: 1. **Vertragserfüllung** Verarbeitung ist erforderlich, um einen Vertrag zu erfüllen oder vorvertragliche Maßnahmen durchzuführen (z. B. Kaufabwicklung, Dienstleistungsvertrag). 2. **Erfüllung einer rechtlichen Verpflichtung** Verarbeitung ist notwendig, um gesetzlichen Pflichten nachzukommen (z. B. Aufbewahrungspflichten, Meldepflichten). 3. **Wahrung berechtigter Interessen** Verarbeitung dient den berechtigten Interessen des Verantwortlichen oder eines Dritten, sofern nicht die Interessen oder Grundrechte der betroffenen Person überwiegen (z. B. Direktwerbung, IT-Sicherheit). 4. **Einwilligung** Verarbeitung erfolgt auf Grundlage einer freiwilligen, informierten und unmissverständlichen Einwilligung der betroffenen Person (z. B. Newsletter-Versand). 5. **Schutz lebenswichtiger Interessen** Verarbeitung ist notwendig, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen (z. B. medizinische Notfälle). 6. **Wahrnehmung einer Aufgabe im öffentlichen Interesse oder Ausübung öffentlicher Gewalt** Verarbeitung ist erforderlich, um eine Aufgabe zu erfüllen, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt (z. B. behördliche Tätigkeiten). Jede Verarbeitung personenbezogener Daten muss einem klar definierten Zweck dienen, der vorab festgelegt und dokumentiert wird (Zweckbindung, Art. 5 Abs. 1 lit. b DSGVO). Weitere Informationen findest du direkt im Gesetzestext: [DSGVO – Art. 6 Rechtmäßigkeit der Verarbeitung](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679)

Accepted Answer

Hier ist eine Checkliste, was Mitarbeiter an ihrem Arbeitsplatz beachten sollten, um DSGVO-konform zu arbeiten: **Checkliste: DSGVO-konformes Arbeiten am Arbeitsplatz** 1. **Vertraulichkeit wahren**... [mehr]

Accepted Answer

Hier ist eine Checkliste, was Mitarbeiter an ihrem Arbeitsplatz beachten sollten, um DSGVO-konform zu arbeiten: **Checkliste: DSGVO-konformes Arbeiten am Arbeitsplatz** 1. **Vertraulichkeit wahren** - Keine personenbezogenen Daten offen liegen lassen (z. B. auf dem Schreibtisch, Drucker). - Bildschirmsperre aktivieren, wenn der Arbeitsplatz verlassen wird. - Gespräche über personenbezogene Daten nur in geschützten Bereichen führen. 2. **Zugriffsrechte beachten** - Nur auf Daten zugreifen, die für die eigene Arbeit notwendig sind (Need-to-know-Prinzip). - Keine Weitergabe von Zugangsdaten (Passwörter, Tokens) an Dritte. 3. **Sichere Passwörter verwenden** - Starke, individuelle Passwörter nutzen und regelmäßig ändern. - Passwörter niemals aufschreiben oder unverschlüsselt speichern. 4. **E-Mails und Datenübertragung** - Keine personenbezogenen Daten unverschlüsselt per E-Mail versenden. - Empfängeradressen sorgfältig prüfen (insbesondere bei sensiblen Daten). - Anhänge und Links in E-Mails auf Echtheit prüfen (Phishing-Gefahr). 5. **Datenträger und mobile Geräte** - USB-Sticks, Laptops und andere mobile Geräte verschlüsseln. - Geräte nicht unbeaufsichtigt lassen, insbesondere außerhalb des Büros. 6. **Dokumente und Akten** - Papierunterlagen mit personenbezogenen Daten sicher aufbewahren (z. B. in abschließbaren Schränken). - Nicht mehr benötigte Unterlagen datenschutzgerecht entsorgen (z. B. Schreddern). 7. **Software und Updates** - Nur genehmigte Software verwenden. - Regelmäßige Updates und Sicherheits-Patches installieren. 8. **Meldung von Datenschutzvorfällen** - Verdächtige Vorfälle oder Datenpannen sofort dem Datenschutzbeauftragten melden. 9. **Schulungen und Sensibilisierung** - An Datenschutz-Schulungen teilnehmen und aktuelle Informationen beachten. 10. **Transparenz und Betroffenenrechte** - Anfragen von Betroffenen (z. B. Auskunft, Löschung) an die zuständige Stelle weiterleiten. Weitere Informationen zur DSGVO findest du z. B. auf der offiziellen Seite der [Europäischen Kommission](https://ec.europa.eu/info/law/law-topic/data-protection_de).

Accepted Answer

Nein, ein Verfahrensverzeichnis und ein Verzeichnis aller Verarbeitungstätigkeiten nach DSGVO sind nicht exakt das Gleiche, werden aber oft synonym verwendet. **Hintergrund:** - Das „Verfa... [mehr]

Accepted Answer

Nein, ein Verfahrensverzeichnis und ein Verzeichnis aller Verarbeitungstätigkeiten nach DSGVO sind nicht exakt das Gleiche, werden aber oft synonym verwendet. **Hintergrund:** - Das „Verfahrensverzeichnis“ stammt aus dem alten Bundesdatenschutzgesetz (BDSG a.F.) und bezeichnete dort die Dokumentation der Verfahren, in denen personenbezogene Daten verarbeitet wurden. - Die Datenschutz-Grundverordnung (DSGVO) spricht hingegen vom „Verzeichnis von Verarbeitungstätigkeiten“ (Art. 30 DSGVO). **Unterschiede:** - Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist umfassender und moderner gefasst als das frühere Verfahrensverzeichnis. - Es muss bestimmte Angaben enthalten, z. B. Zwecke der Verarbeitung, Kategorien betroffener Personen und Daten, Empfänger, Übermittlungen in Drittländer, Löschfristen und technische sowie organisatorische Maßnahmen. **Fazit:** Im heutigen Datenschutzrecht nach DSGVO ist das „Verzeichnis von Verarbeitungstätigkeiten“ der korrekte und rechtlich relevante Begriff. Das „Verfahrensverzeichnis“ ist ein veralteter Begriff, der aber inhaltlich ähnlich ist. In der Praxis meinen viele mit „Verfahrensverzeichnis“ das nach DSGVO geforderte Verzeichnis, korrekt ist jedoch die Bezeichnung „Verzeichnis von Verarbeitungstätigkeiten“. Weitere Informationen findest du z. B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/dskb/2018_12_06_auslegung_verzeichnis_verarbeitungstaetigkeiten.pdf).