Warum ist Datenlöschung gemäß DSGVO wichtig?

Question

Warum ist Datenlöschung gemäß DSGVO wichtig?

Antwort

Verwandte Fragen

Verpflichtet der Datenschutz dazu, intime Beobachtungen wie das Sehen eines Penis im Arbeitsumfeld zu verschweigen?

Ist ein Whistleblower-Anbieter ein Auftragsverarbeiter?

Wann ist eine Datenverarbeitung im öffentlichen Dienst nach DSGVO rechtmäßig?

Nach welchen DSGVO-Vorschriften sind Einwilligungen von Kunden im Maklerbüro erforderlich?

Wie werden Nachweise zur Bearbeitung von Auskunfts-, Berichtigungs- oder Löschanfragen nach DSGVO geführt?

Was muss in einen DSGVO-Ordner für Prüfungen aufgenommen werden?

Wie erstellt man ein Löschkonzept?

Kann ein Kunde der Datenübermittlung an ein Inkassounternehmen widersprechen und gemäß DSGVO Auskunft zu den übermittelten Daten verlangen?

Muss eine selten durchgeführte Verarbeitungstätigkeit im Verarbeitungsverzeichnis stehen?

Müssen alle Verarbeitungstätigkeiten ins Verarbeitungsverzeichnis aufgenommen werden oder gibt es Ausnahmen?

Accepted Answer

Die Datenlöschung gemäß der Datenschutz-Grundverordnung (DSGVO) ist aus mehreren Gründen wichtig: 1. **Recht auf Vergessenwerden**: Die DSGVO gibt Einzelpersonen das Recht, die Löschung ihrer personenbezogenen Daten zu verlangen, wenn diese nicht mehr notwendig sind oder unrechtmäßig verarbeitet wurden. Dies stärkt die Kontrolle der Nutzer über ihre eigenen Daten. 2. **Schutz der Privatsphäre**: Durch die Löschung nicht mehr benötigter Daten wird das Risiko von Datenmissbrauch und Identitätsdiebstahl verringert. Weniger gespeicherte Daten bedeuten weniger Angriffsfläche für Cyberkriminelle. 3. **Rechtliche Verpflichtungen**: Unternehmen sind gesetzlich verpflichtet, personenbezogene Daten nur so lange zu speichern, wie es für den Zweck der Verarbeitung erforderlich ist. Eine ordnungsgemäße Datenlöschung hilft, rechtliche Konsequenzen und Bußgelder zu vermeiden. 4. **Vertrauen der Kunden**: Transparente und verantwortungsvolle Datenpraktiken, einschließlich der Datenlöschung, fördern das Vertrauen der Kunden in ein Unternehmen. Dies kann sich positiv auf die Kundenbindung und das Unternehmensimage auswirken. 5. **Datenminimierung**: Die DSGVO fördert das Prinzip der Datenminimierung, das besagt, dass nur die notwendigsten Daten erhoben und gespeichert werden sollten. Regelmäßige Datenlöschung unterstützt dieses Prinzip und hilft, die Datenmenge zu reduzieren. Insgesamt trägt die Datenlöschung zur Einhaltung der DSGVO bei und schützt die Rechte und Freiheiten der betroffenen Personen.

Accepted Answer

Der Datenschutz im rechtlichen Sinne bezieht sich auf den Schutz personenbezogener Daten, also Informationen, die sich auf eine identifizierbare Person beziehen. Das bloße Beobachten oder Wahrne... [mehr]

Accepted Answer

Der Datenschutz im rechtlichen Sinne bezieht sich auf den Schutz personenbezogener Daten, also Informationen, die sich auf eine identifizierbare Person beziehen. Das bloße Beobachten oder Wahrnehmen einer intimen Situation, wie das Sehen des Penis einer Person im Arbeitsrahmen, fällt nicht direkt unter den Datenschutz, solange diese Information nicht in irgendeiner Form gespeichert, verarbeitet oder weitergegeben wird. Allerdings gibt es andere rechtliche und ethische Verpflichtungen, die in solchen Fällen greifen können: 1. **Schweigepflicht und Persönlichkeitsrechte:** In vielen Berufen, insbesondere im medizinischen, pflegerischen oder sozialen Bereich, besteht eine Schweigepflicht. Intime Beobachtungen sind vertraulich zu behandeln und dürfen nicht unbefugt weitergegeben werden. 2. **Arbeitsrecht und Diskretion:** Auch außerhalb klassischer Schweigepflichtberufe ist Diskretion am Arbeitsplatz wichtig. Das Weitererzählen oder Verbreiten intimer Beobachtungen kann als Verletzung des Persönlichkeitsrechts oder als Mobbing gewertet werden und arbeitsrechtliche Konsequenzen haben. 3. **Datenschutz:** Erst wenn solche Beobachtungen dokumentiert oder in irgendeiner Form gespeichert werden (z.B. in einer Patientenakte), greift der Datenschutz im Sinne der DSGVO, da es sich dann um besonders schützenswerte personenbezogene Daten handelt. Fazit: Der Datenschutz allein verpflichtet nicht direkt zum Verschweigen einer intimen Beobachtung, aber andere rechtliche und ethische Grundsätze (Schweigepflicht, Persönlichkeitsrechte, Diskretion) tun dies sehr wohl. Das Weitergeben solcher Informationen ist in der Regel unzulässig und kann rechtliche Konsequenzen haben.

Accepted Answer

Ob ein Whistleblower-Anbieter als Auftragsverarbeiter im Sinne der Datenschutz-Grundverordnung (DSGVO) gilt, hängt davon ab, wie die Dienstleistung ausgestaltet ist. **Grundsätzliches:** Ei... [mehr]

Accepted Answer

Ob ein Whistleblower-Anbieter als Auftragsverarbeiter im Sinne der Datenschutz-Grundverordnung (DSGVO) gilt, hängt davon ab, wie die Dienstleistung ausgestaltet ist. **Grundsätzliches:** Ein Auftragsverarbeiter ist nach Art. 4 Nr. 8 DSGVO eine Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Der Verantwortliche (z. B. ein Unternehmen, das ein Hinweisgebersystem einführt) entscheidet über Zweck und Mittel der Datenverarbeitung. **Typischer Fall:** Ein externer Whistleblower-Anbieter stellt meist eine technische Plattform (z. B. ein Hinweisgebersystem) zur Verfügung und verarbeitet dabei personenbezogene Daten (z. B. Name des Hinweisgebers, beschuldigte Personen, Inhalte der Meldung) im Auftrag des Unternehmens. In diesem Fall ist der Anbieter in der Regel ein Auftragsverarbeiter, da er die Daten nur im Auftrag und nach Weisung des Unternehmens verarbeitet. **Ausnahme:** Handelt der Anbieter eigenverantwortlich, z. B. indem er selbst über die Zwecke und Mittel der Datenverarbeitung entscheidet (etwa bei einer anonymen Ombudsstelle, die eigenständig Fälle prüft und entscheidet, ob und wie sie weitergeleitet werden), könnte er als (gemeinsamer) Verantwortlicher gelten. **Fazit:** In den meisten Fällen ist ein Whistleblower-Anbieter ein Auftragsverarbeiter im Sinne der DSGVO. Es sollte jedoch immer im Einzelfall geprüft werden, wie die Rollenverteilung konkret ausgestaltet ist. Weitere Informationen: - [Art. 4 Nr. 8 DSGVO – Definition Auftragsverarbeiter](https://dsgvo-gesetz.de/art-4-dsgvo/) - [Hinweise der Datenschutzkonferenz zu Whistleblowing-Systemen (PDF)](https://www.datenschutzkonferenz-online.de/media/dskb/2022_24_Whistleblowing.pdf)

Accepted Answer

Eine Datenverarbeitung im öffentlichen Dienst ist nach der Datenschutz-Grundverordnung (DSGVO) rechtmäßig, wenn mindestens eine der in Art. 6 Abs. 1 DSGVO genannten Bedingungen erf&uum... [mehr]

Accepted Answer

Eine Datenverarbeitung im öffentlichen Dienst ist nach der Datenschutz-Grundverordnung (DSGVO) rechtmäßig, wenn mindestens eine der in Art. 6 Abs. 1 DSGVO genannten Bedingungen erfüllt ist. Für Behörden und öffentliche Stellen sind insbesondere folgende Rechtsgrundlagen relevant: 1. **Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO):** Die Verarbeitung ist rechtmäßig, wenn sie zur Erfüllung einer gesetzlichen Pflicht erforderlich ist, der die Behörde unterliegt. 2. **Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt (Art. 6 Abs. 1 lit. e DSGVO):** Die Verarbeitung ist zulässig, wenn sie zur Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die der Behörde übertragen wurde. Die jeweilige Aufgabe muss durch ein Gesetz oder eine andere Rechtsvorschrift festgelegt sein. 3. **Einwilligung der betroffenen Person (Art. 6 Abs. 1 lit. a DSGVO):** Auch im öffentlichen Dienst kann eine Verarbeitung auf einer freiwilligen, informierten und eindeutigen Einwilligung der betroffenen Person beruhen. Weitere Voraussetzungen: - Die Verarbeitung muss auf das notwendige Maß beschränkt sein (Datenminimierung). - Es müssen angemessene technische und organisatorische Maßnahmen zum Schutz der Daten getroffen werden. - Die Betroffenenrechte (z. B. Auskunft, Berichtigung, Löschung) müssen gewährleistet sein. **Zusätzlich:** In Deutschland konkretisieren das Bundesdatenschutzgesetz (BDSG) und die jeweiligen Landesdatenschutzgesetze die Vorgaben der DSGVO für öffentliche Stellen. **Fazit:** Im öffentlichen Dienst ist eine Datenverarbeitung rechtmäßig, wenn sie auf einer gesetzlichen Grundlage, einer öffentlichen Aufgabe oder einer Einwilligung beruht und die weiteren Vorgaben der DSGVO eingehalten werden. Weitere Informationen findest du direkt bei der [DSGVO](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679) und beim [BfDI](https://www.bfdi.bund.de/DE/Home/home_node.html).

Accepted Answer

Nach der Datenschutz-Grundverordnung (DSGVO) ist die Einwilligung der Kunden im Maklerbüro insbesondere in folgenden Fällen und nach bestimmten Vorschriften erforderlich: **1. Artikel 6 DSG... [mehr]

Accepted Answer

Nach der Datenschutz-Grundverordnung (DSGVO) ist die Einwilligung der Kunden im Maklerbüro insbesondere in folgenden Fällen und nach bestimmten Vorschriften erforderlich: **1. Artikel 6 DSGVO – Rechtmäßigkeit der Verarbeitung:** Die Verarbeitung personenbezogener Daten ist nur dann rechtmäßig, wenn mindestens eine der in Art. 6 Abs. 1 DSGVO genannten Bedingungen erfüllt ist. Die Einwilligung ist eine dieser Bedingungen (Art. 6 Abs. 1 lit. a DSGVO). Das bedeutet: Immer dann, wenn keine andere Rechtsgrundlage (z.B. Vertragserfüllung, gesetzliche Verpflichtung, berechtigtes Interesse) greift, ist eine ausdrückliche Einwilligung der betroffenen Person erforderlich. **2. Artikel 7 DSGVO – Bedingungen für die Einwilligung:** Hier werden die Anforderungen an die Einwilligung geregelt. Sie muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben werden. Die betroffene Person muss ihre Einwilligung jederzeit widerrufen können. **3. Artikel 9 DSGVO – Verarbeitung besonderer Kategorien personenbezogener Daten:** Für die Verarbeitung besonderer Kategorien personenbezogener Daten (z.B. Gesundheitsdaten) ist grundsätzlich eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO erforderlich, sofern keine andere Ausnahme greift. **Typische Anwendungsfälle im Maklerbüro:** - Weitergabe von Kundendaten an Dritte (z.B. Banken, Versicherungen, andere Makler), sofern dies nicht zur Vertragserfüllung notwendig ist. - Nutzung von Kundendaten zu Werbezwecken (z.B. Newsletter, Angebote). - Veröffentlichung von Kundendaten (z.B. Referenzobjekte mit Kundennamen). - Verarbeitung besonderer Kategorien personenbezogener Daten (z.B. Gesundheitsdaten bei Versicherungsanfragen). **Wichtige Hinweise:** - Die Einwilligung muss dokumentiert werden. - Sie muss jederzeit widerrufbar sein. - Die Information über die Datenverarbeitung muss transparent und verständlich erfolgen (Art. 13 und 14 DSGVO). **Weitere Informationen:** [DSGVO im Volltext (eur-lex.europa.eu)](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679) Zusammengefasst: Die Einwilligung ist immer dann erforderlich, wenn keine andere Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten besteht oder wenn besondere Datenkategorien betroffen sind. Die maßgeblichen Vorschriften sind Art. 6, Art. 7 und ggf. Art. 9 DSGVO.

Accepted Answer

Nachweise über die Bearbeitung von Anfragen auf Auskunft, Berichtigung oder Löschung nach DSGVO werden in der Regel durch eine sorgfältige Dokumentation geführt. Die DSGVO verpflic... [mehr]

Accepted Answer

Nachweise über die Bearbeitung von Anfragen auf Auskunft, Berichtigung oder Löschung nach DSGVO werden in der Regel durch eine sorgfältige Dokumentation geführt. Die DSGVO verpflichtet Verantwortliche, die Einhaltung der Datenschutzgrundsätze nachweisen zu können (Art. 5 Abs. 2 DSGVO, Rechenschaftspflicht). Das bedeutet konkret: 1. **Erfassung der Anfrage:** Jede eingehende Anfrage (z. B. per E-Mail, Brief, Online-Formular) sollte mit Datum, Art der Anfrage (Auskunft, Berichtigung, Löschung) und Identität des Anfragenden dokumentiert werden. 2. **Bearbeitungsprozess:** Die einzelnen Bearbeitungsschritte (z. B. Identitätsprüfung, Prüfung der Daten, interne Kommunikation, Entscheidung über die Anfrage) werden mit Datum und verantwortlicher Person festgehalten. 3. **Ergebnis und Antwort:** Die ergriffenen Maßnahmen (z. B. Daten wurden berichtigt, gelöscht oder Auskunft erteilt) sowie die Form und das Datum der Antwort an die betroffene Person werden dokumentiert. Auch eine eventuelle Ablehnung mit Begründung sollte festgehalten werden. 4. **Aufbewahrung der Nachweise:** Die Dokumentation sollte so aufbewahrt werden, dass sie im Falle einer Prüfung durch die Aufsichtsbehörde vorgelegt werden kann. Die Aufbewahrungsdauer richtet sich nach den allgemeinen Verjährungsfristen und dem Grundsatz der Datenminimierung. **Typische Dokumentationsformen:** - Datenschutzmanagement-Software - Tabellen (z. B. Excel) - Protokolle oder Aktenvermerke - Einträge im Ticketsystem **Wichtig:** Die Dokumentation darf keine sensiblen Daten enthalten, die über das zur Nachweisführung Erforderliche hinausgehen. **Rechtliche Grundlage:** - Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) - Art. 12 Abs. 3 DSGVO (Fristen und Nachweis der Bearbeitung) Weitere Informationen findest du z. B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/) oder beim [BfDI](https://www.bfdi.bund.de/).

Accepted Answer

Ein DSGVO-Ordner dient dazu, bei Prüfungen durch Aufsichtsbehörden nachzuweisen, dass die Anforderungen der Datenschutz-Grundverordnung (DSGVO) eingehalten werden. Folgende Dokumente und Nac... [mehr]

Accepted Answer

Ein DSGVO-Ordner dient dazu, bei Prüfungen durch Aufsichtsbehörden nachzuweisen, dass die Anforderungen der Datenschutz-Grundverordnung (DSGVO) eingehalten werden. Folgende Dokumente und Nachweise sollten typischerweise enthalten sein: 1. **Verzeichnis von Verarbeitungstätigkeiten** Nach Art. 30 DSGVO ist dies für die meisten Unternehmen Pflicht. Es listet alle Prozesse auf, bei denen personenbezogene Daten verarbeitet werden. 2. **Datenschutzrichtlinien und -konzepte** Interne Richtlinien, wie mit personenbezogenen Daten umgegangen wird. 3. **Auftragsverarbeitungsverträge (AVV)** Verträge mit Dienstleistern, die personenbezogene Daten im Auftrag verarbeiten (z.B. IT-Dienstleister, Cloud-Anbieter). 4. **Technische und organisatorische Maßnahmen (TOMs)** Dokumentation der Maßnahmen zum Schutz personenbezogener Daten (z.B. Zutrittskontrolle, Verschlüsselung, Backup). 5. **Mitarbeiterschulungen und -verpflichtungen** Nachweise über Datenschutzschulungen und Verpflichtungserklärungen der Mitarbeiter auf das Datengeheimnis. 6. **Informationspflichten und Einwilligungen** Muster und Nachweise für die Erfüllung der Informationspflichten gegenüber Betroffenen (z.B. Datenschutzerklärungen, Einwilligungsformulare). 7. **Meldung von Datenschutzverletzungen** Dokumentation von Datenschutzvorfällen und deren Meldung an die Aufsichtsbehörde (Art. 33 DSGVO). 8. **Betroffenenrechte** Nachweise über die Bearbeitung von Anfragen auf Auskunft, Berichtigung, Löschung etc. 9. **Datenschutz-Folgenabschätzungen (DSFA)** Falls erforderlich, Dokumentation der DSFA für risikoreiche Verarbeitungen. 10. **Kontakt zum Datenschutzbeauftragten** Benennung und Kontaktdaten des Datenschutzbeauftragten (sofern erforderlich). 11. **Sonstige relevante Dokumente** Z.B. Löschkonzepte, Protokolle von Datenschutz-Audits, Verfahrensanweisungen. **Tipp:** Der Ordner kann sowohl physisch als auch digital geführt werden. Wichtig ist die Aktualität und Vollständigkeit der Unterlagen. Weitere Informationen findest du z.B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/) oder dem [BfDI](https://www.bfdi.bund.de/).

Accepted Answer

Ein Löschkonzept beschreibt, wie personenbezogene Daten in einem Unternehmen oder einer Organisation systematisch und datenschutzkonform gelöscht werden. Es ist insbesondere im Rahmen der DS... [mehr]

Accepted Answer

Ein Löschkonzept beschreibt, wie personenbezogene Daten in einem Unternehmen oder einer Organisation systematisch und datenschutzkonform gelöscht werden. Es ist insbesondere im Rahmen der DSGVO (Datenschutz-Grundverordnung) wichtig. Die Erstellung eines Löschkonzepts erfolgt in mehreren Schritten: 1. **Dateninventur durchführen** Erfasse alle Systeme, Anwendungen und Speicherorte, in denen personenbezogene Daten verarbeitet werden. Dokumentiere, welche Datenarten (z. B. Name, Adresse, E-Mail) wo gespeichert sind. 2. **Rechtsgrundlagen und Aufbewahrungsfristen ermitteln** Bestimme für jede Datenart die rechtlichen Grundlagen der Verarbeitung und die jeweiligen Aufbewahrungsfristen (z. B. steuerrechtliche, handelsrechtliche oder branchenspezifische Vorgaben). 3. **Löschfristen festlegen** Leite aus den Aufbewahrungsfristen konkrete Löschfristen ab. Definiere, wann und wie Daten nach Ablauf der Frist gelöscht oder anonymisiert werden. 4. **Löschverfahren definieren** Beschreibe, wie die Löschung technisch und organisatorisch erfolgt (z. B. physische Vernichtung, Überschreiben, Anonymisierung). Berücksichtige dabei auch Backups und Archivsysteme. 5. **Verantwortlichkeiten festlegen** Bestimme, wer im Unternehmen für die Umsetzung und Überwachung der Löschprozesse verantwortlich ist. 6. **Dokumentation und Nachweisführung** Halte alle Prozesse, Fristen und Verantwortlichkeiten schriftlich fest. Sorge dafür, dass die Löschung nachweisbar ist (z. B. durch Protokolle). 7. **Regelmäßige Überprüfung und Anpassung** Überprüfe das Löschkonzept regelmäßig und passe es bei Änderungen in der Datenverarbeitung oder der Rechtslage an. **Tipp:** Ein Löschkonzept sollte möglichst einfach und verständlich formuliert sein, damit es im Alltag auch praktisch umgesetzt werden kann. **Weitere Informationen:** - [Datenschutzkonferenz: Orientierungshilfe zur Löschung personenbezogener Daten](https://www.datenschutzkonferenz-online.de/media/oh/20170516_oh_loeschung.pdf) - [DSGVO Art. 17 – Recht auf Löschung („Recht auf Vergessenwerden“)](https://dsgvo-gesetz.de/art-17-dsgvo/) Ein gut ausgearbeitetes Löschkonzept hilft, Datenschutzrisiken zu minimieren und gesetzlichen Anforderungen zu entsprechen.

Accepted Answer

Ja, das ist möglich und rechtlich zulässig. Nach der Datenschutz-Grundverordnung (DSGVO) hat jede betroffene Person das Recht auf Auskunft darüber, ob und welche personenbezogenen Daten... [mehr]

Accepted Answer

Ja, das ist möglich und rechtlich zulässig. Nach der Datenschutz-Grundverordnung (DSGVO) hat jede betroffene Person das Recht auf Auskunft darüber, ob und welche personenbezogenen Daten über sie verarbeitet oder an Dritte (wie z.B. ein Inkassounternehmen) übermittelt wurden (Art. 15 DSGVO). **Widerspruch gegen die Datenübermittlung:** Ein Kunde kann der Übermittlung seiner Daten an ein Inkassounternehmen widersprechen. Allerdings ist ein solcher Widerspruch nicht immer wirksam, wenn die Übermittlung zur Wahrung berechtigter Interessen des Unternehmens erforderlich ist (z.B. zur Durchsetzung offener Forderungen, Art. 6 Abs. 1 lit. f DSGVO). Der Widerspruch muss geprüft werden, kann aber die Übermittlung nicht grundsätzlich verhindern, wenn ein berechtigtes Interesse vorliegt. **Auskunftsanspruch:** Der Kunde kann Auskunft verlangen, welche Daten an das Inkassounternehmen übermittelt wurden. Du bist verpflichtet, ihm mitzuteilen: - Welche personenbezogenen Daten übermittelt wurden, - an welches Inkassounternehmen die Daten übermittelt wurden, - zu welchem Zweck die Übermittlung erfolgte, - auf welcher Rechtsgrundlage die Übermittlung erfolgte. **Fazit:** Der Kunde kann also sowohl widersprechen (was aber nicht immer zur Unterlassung der Übermittlung führt) als auch eine DSGVO-Auskunft verlangen. Die Auskunft musst du erteilen. Weitere Informationen zur DSGVO findest du z.B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/) oder beim [Bundesbeauftragten für den Datenschutz und die Informationsfreiheit](https://www.bfdi.bund.de/).

Accepted Answer

Ja, auch Verarbeitungstätigkeiten, die nur gelegentlich oder alle paar Jahre durchgeführt werden, müssen im Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO... [mehr]

Accepted Answer

Ja, auch Verarbeitungstätigkeiten, die nur gelegentlich oder alle paar Jahre durchgeführt werden, müssen im Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO aufgeführt werden. Die DSGVO macht keine Ausnahme für seltene oder unregelmäßige Verarbeitungsvorgänge. Entscheidend ist, dass personenbezogene Daten verarbeitet werden – unabhängig von der Häufigkeit. Das Verzeichnis soll einen vollständigen Überblick über alle Verarbeitungstätigkeiten geben, um Transparenz und Nachvollziehbarkeit zu gewährleisten. Auch seltene Vorgänge, wie z.B. eine alle fünf Jahre stattfindende Mitarbeiterbefragung, müssen daher dokumentiert werden.

Accepted Answer

Nach Art. 30 DSGVO (Datenschutz-Grundverordnung) müssen grundsätzlich alle Verarbeitungstätigkeiten, bei denen personenbezogene Daten verarbeitet werden, in das sogenannte Verzeichnis v... [mehr]

Accepted Answer

Nach Art. 30 DSGVO (Datenschutz-Grundverordnung) müssen grundsätzlich alle Verarbeitungstätigkeiten, bei denen personenbezogene Daten verarbeitet werden, in das sogenannte Verzeichnis von Verarbeitungstätigkeiten aufgenommen werden. Es gibt jedoch eine Ausnahme: **Kleine Unternehmen und Organisationen** mit weniger als 250 Mitarbeitern müssen kein Verzeichnis führen, **es sei denn**: - Die Verarbeitung erfolgt nicht nur gelegentlich, - es werden besondere Kategorien personenbezogener Daten verarbeitet (z. B. Gesundheitsdaten, Daten zur ethnischen Herkunft, religiöse Überzeugungen), - oder die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen. In der Praxis bedeutet das: Die meisten Unternehmen und Organisationen müssen ein Verzeichnis führen, da die Ausnahmen sehr eng gefasst sind. Sobald regelmäßig personenbezogene Daten verarbeitet werden (z. B. Lohnbuchhaltung, Kundenverwaltung), ist ein Verzeichnis erforderlich. **Weitere Informationen:** [Art. 30 DSGVO – Verzeichnis von Verarbeitungstätigkeiten](https://dsgvo-gesetz.de/art-30-dsgvo/)