Was müssen Verantwortliche nach Art. 24 DSGVO beachten?

Question

Was müssen Verantwortliche nach Art. 24 DSGVO beachten?

Antwort

Verwandte Fragen

Kann eine Person aus den USA einen DSGVO-Auskunftsanspruch gegen ein EU-Unternehmen geltend machen?

Ist eine Dienstleistung zur Telefonnummernvalidierung eine Auftragsverarbeitung?

Ist E-Mail eine Verarbeitungstätigkeit?

Was ist das Trennkriterium für eine Verarbeitungstätigkeit nach DSGVO?

Welche Inhalte umfasst ein Datenschutzkonzept und wer ist für die Erstellung verantwortlich?

Welche IT-Prozesse zählen laut DSGVO als gleichartige Verarbeitungszwecke?

Welche Grundlagen für die Zulässigkeit der Verarbeitung nach DSGVO gibt es?

Welche Zwecke der Verarbeitung nennt die Datenschutzgrundverordnung?

Was müssen Mitarbeiter am Arbeitsplatz beachten, um DSGVO-konform zu arbeiten? (Checkliste)

Sind Verfahrensverzeichnis und Verzeichnis von Verarbeitungstätigkeiten nach DSGVO identisch?

Accepted Answer

Nach Art. 24 der Datenschutz-Grundverordnung (DSGVO) haben verantwortliche Stellen verschiedene Pflichten zu beachten, um sicherzustellen, dass die Verarbeitung personenbezogener Daten rechtmäßig erfolgt. Die wichtigsten Punkte sind: 1. **Verantwortlichkeit**: Die verantwortliche Stelle muss sicherstellen, dass sie die Einhaltung der DSGVO nachweisen kann. Dies umfasst die Implementierung geeigneter technischer und organisatorischer Maßnahmen. 2. **Risikoabschätzung**: Bei der Festlegung der Maßnahmen muss die verantwortliche Stelle die Risiken für die Rechte und Freiheiten der betroffenen Personen berücksichtigen. Dies bedeutet, dass sie die möglichen Auswirkungen der Datenverarbeitung auf den Datenschutz bewerten muss. 3. **Angemessenheit der Maßnahmen**: Die ergriffenen Maßnahmen müssen dem Risiko angemessen sein. Dies bedeutet, dass bei höherem Risiko auch umfassendere Maßnahmen erforderlich sind. 4. **Dokumentation**: Die verantwortliche Stelle sollte die getroffenen Maßnahmen dokumentieren, um die Einhaltung der Vorschriften nachweisen zu können. 5. **Regelmäßige Überprüfung**: Die Maßnahmen sollten regelmäßig überprüft und gegebenenfalls angepasst werden, um sicherzustellen, dass sie weiterhin wirksam sind. Diese Punkte sind entscheidend, um den Schutz personenbezogener Daten zu gewährleisten und die Rechte der betroffenen Personen zu wahren.

Accepted Answer

Ja, das ist grundsätzlich möglich. Die Datenschutz-Grundverordnung (DSGVO) gilt für Unternehmen in der EU unabhängig davon, wo die betroffene Person lebt oder ihren gewöhnlich... [mehr]

Accepted Answer

Ja, das ist grundsätzlich möglich. Die Datenschutz-Grundverordnung (DSGVO) gilt für Unternehmen in der EU unabhängig davon, wo die betroffene Person lebt oder ihren gewöhnlichen Aufenthalt hat. Das bedeutet: Jeder, dessen personenbezogene Daten von einem Unternehmen mit Sitz in der EU verarbeitet werden, kann sich auf die Rechte der DSGVO berufen – also auch Personen aus den USA. Relevant ist dabei, dass das Unternehmen tatsächlich personenbezogene Daten der betroffenen Person verarbeitet und seinen Sitz in der EU hat oder die Verarbeitung im Zusammenhang mit der Tätigkeit einer Niederlassung in der EU steht. In diesem Fall hat die betroffene Person das Recht auf Auskunft nach Art. 15 DSGVO, unabhängig von ihrer Staatsangehörigkeit oder ihrem Wohnsitz. Weitere Informationen zur DSGVO findest du z.B. auf der offiziellen Seite der Europäischen Kommission: https://commission.europa.eu/law/law-topic/data-protection_de

Accepted Answer

Ob eine Dienstleistung mit Telefonnummernvalidierung eine Auftragsverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist, hängt davon ab, wie die Dienstleistung ausgestaltet ist und we... [mehr]

Accepted Answer

Ob eine Dienstleistung mit Telefonnummernvalidierung eine Auftragsverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist, hängt davon ab, wie die Dienstleistung ausgestaltet ist und welche Rolle der Dienstleister einnimmt. **Auftragsverarbeitung** liegt gemäß Art. 4 Nr. 8 und Art. 28 DSGVO immer dann vor, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen verarbeitet. **Konkret:** - Wenn du als Unternehmen einen externen Dienstleister beauftragst, Telefonnummern deiner Kunden zu validieren (z.B. auf Gültigkeit oder Format), und der Dienstleister diese Daten ausschließlich nach deinen Vorgaben verarbeitet, handelt es sich in der Regel um eine Auftragsverarbeitung. In diesem Fall muss ein Auftragsverarbeitungsvertrag (AVV) abgeschlossen werden. - Wenn der Dienstleister die Telefonnummern jedoch für eigene Zwecke verarbeitet oder die Daten mit anderen Datenquellen abgleicht, um eigene Produkte oder Services zu verbessern, ist er selbst Verantwortlicher oder ggf. gemeinsam Verantwortlicher. Dann liegt keine Auftragsverarbeitung vor. **Beispiel:** - Ein Dienstleister prüft im Auftrag deines Unternehmens, ob eine Telefonnummer existiert oder korrekt formatiert ist, und nutzt die Daten nicht für eigene Zwecke → Auftragsverarbeitung. - Ein Dienstleister sammelt Telefonnummern, wertet sie aus und nutzt sie für eigene Marketingzwecke → keine Auftragsverarbeitung. **Fazit:** In den meisten Fällen ist eine Dienstleistung zur Telefonnummernvalidierung eine Auftragsverarbeitung, sofern der Dienstleister die Daten ausschließlich im Auftrag und nach Weisung verarbeitet. Es sollte aber immer im Einzelfall geprüft werden, wie die Datenverarbeitung konkret erfolgt. Weitere Informationen findest du z.B. beim [BayLDA](https://www.lda.bayern.de/de/thema-auftragsverarbeitung.html) oder [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/dskb/2018_24_10_auftragsverarbeitung.pdf).

Accepted Answer

Ja, E-Mail ist im datenschutzrechtlichen Sinne eine Verarbeitungstätigkeit. Nach der Datenschutz-Grundverordnung (DSGVO) ist jede Tätigkeit, bei der personenbezogene Daten erhoben, gespeiche... [mehr]

Accepted Answer

Ja, E-Mail ist im datenschutzrechtlichen Sinne eine Verarbeitungstätigkeit. Nach der Datenschutz-Grundverordnung (DSGVO) ist jede Tätigkeit, bei der personenbezogene Daten erhoben, gespeichert, übermittelt oder anderweitig verarbeitet werden, eine Verarbeitungstätigkeit. Da beim Versenden, Empfangen und Speichern von E-Mails häufig personenbezogene Daten verarbeitet werden (z. B. Name, E-Mail-Adresse, Inhalte), gilt E-Mail-Kommunikation als Verarbeitungstätigkeit und muss entsprechend im Verzeichnis von Verarbeitungstätigkeiten dokumentiert werden.

Accepted Answer

Das Trennkriterium für eine Verarbeitungstätigkeit nach der Datenschutz-Grundverordnung (DSGVO) bezieht sich darauf, wie einzelne Verarbeitungsvorgänge voneinander abgegrenzt werden, um... [mehr]

Accepted Answer

Das Trennkriterium für eine Verarbeitungstätigkeit nach der Datenschutz-Grundverordnung (DSGVO) bezieht sich darauf, wie einzelne Verarbeitungsvorgänge voneinander abgegrenzt werden, um sie als eigenständige „Verarbeitungstätigkeit“ zu dokumentieren. Eine Verarbeitungstätigkeit im Sinne der DSGVO ist ein zusammenhängender Vorgang oder eine Gruppe von Vorgängen, bei denen personenbezogene Daten für einen bestimmten Zweck verarbeitet werden. Das zentrale Trennkriterium ist daher der **Zweck der Verarbeitung**. **Wichtige Aspekte:** - **Gleicher Zweck:** Alle Verarbeitungsvorgänge, die demselben Zweck dienen (z. B. Lohnabrechnung, Kundenverwaltung), werden als eine Verarbeitungstätigkeit betrachtet. - **Unterschiedliche Zwecke:** Werden Daten für verschiedene Zwecke verarbeitet (z. B. Personalverwaltung vs. Marketing), handelt es sich um getrennte Verarbeitungstätigkeiten. - **Technische oder organisatorische Trennung:** Auch unterschiedliche technische Systeme oder organisatorische Abläufe können ein Indiz für verschiedene Verarbeitungstätigkeiten sein, sind aber nachrangig gegenüber dem Zweck. **Beispiel:** - Die Verarbeitung von Mitarbeiterdaten zur Gehaltsabrechnung ist eine eigene Verarbeitungstätigkeit. - Die Verarbeitung derselben Daten für die Zutrittskontrolle ist eine andere Verarbeitungstätigkeit, da der Zweck ein anderer ist. **Fazit:** Das maßgebliche Trennkriterium für eine Verarbeitungstätigkeit nach DSGVO ist der **Verarbeitungszweck**. Jede Verarbeitung personenbezogener Daten für einen eigenständigen Zweck gilt als eigene Verarbeitungstätigkeit und muss entsprechend im Verzeichnis der Verarbeitungstätigkeiten dokumentiert werden. Weitere Informationen findest du z. B. beim [BfDI](https://www.bfdi.bund.de/DE/Datenschutz/Themen/Verarbeitungstaetigkeiten/Verarbeitungstaetigkeiten.html) oder bei der [BayLDA](https://www.lda.bayern.de/de/verarbeitungstaetigkeiten.html).

Accepted Answer

Ein Datenschutzkonzept beschreibt, wie personenbezogene Daten in einer Organisation geschützt werden. Es ist ein zentrales Dokument, das die Einhaltung der Datenschutz-Grundverordnung (DSGVO) und... [mehr]

Accepted Answer

Ein Datenschutzkonzept beschreibt, wie personenbezogene Daten in einer Organisation geschützt werden. Es ist ein zentrales Dokument, das die Einhaltung der Datenschutz-Grundverordnung (DSGVO) und anderer Datenschutzgesetze sicherstellt. Die wichtigsten Inhalte eines Datenschutzkonzepts sind: 1. **Zweck und Geltungsbereich:** Beschreibung, warum das Konzept erstellt wurde für welche Bereiche/Prozesse es gilt. 2. **Verzeichnis der Verarbeitungstätigkeiten:** Übersicht aller Prozesse, in denen personenbezogene Daten verarbeitet werden (Art. 30 DSGVO). 3. **Rechtsgrundlagen der Datenverarbeitung:** Darstellung, auf welcher rechtlichen Basis Daten verarbeitet werden (z.B. Einwilligung, Vertrag, gesetzliche Pflicht). 4. **Technische und organisatorische Maßnahmen (TOM):** Beschreibung der Maßnahmen zum Schutz der Daten (z.B. Zugangskontrolle, Verschlüsselung, Backup). 5. **Rollen und Verantwortlichkeiten:** Festlegung, wer für welche Aufgaben im Datenschutz verantwortlich ist (z.B. Datenschutzbeauftragter, IT, Fachabteilungen). 6. **Informations- und Meldepflichten:** Verfahren zur Information der Betroffenen und zur Meldung von Datenschutzverletzungen an die Aufsichtsbehörde. 7. **Schulungen und Sensibilisierung:** Maßnahmen zur Schulung der Mitarbeitenden im Datenschutz. 8. **Auftragsverarbeitung:** Umgang mit Dienstleistern, die im Auftrag Daten verarbeiten (Verträge, Kontrolle). 9. **Betroffenenrechte:** Verfahren zur Umsetzung der Rechte von Betroffenen (z.B. Auskunft, Löschung, Berichtigung). 10. **Kontrolle und Überprüfung:** Regelmäßige Überprüfung und Aktualisierung des Datenschutzkonzepts. **Wer muss das Datenschutzkonzept erstellen?** Verantwortlich für die Erstellung ist die Geschäftsleitung bzw. die verantwortliche Stelle im Sinne der DSGVO. In der Praxis wird das Konzept oft vom Datenschutzbeauftragten (intern oder extern) in Zusammenarbeit mit den relevanten Abteilungen (z.B. IT, Personal, Fachbereiche) erstellt und gepflegt. **Weitere Informationen:** - [Datenschutz-Grundverordnung (DSGVO)](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679) - [Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI)](https://www.bfdi.bund.de/) Ein Datenschutzkonzept ist für alle Unternehmen und Organisationen empfehlenswert, die personenbezogene Daten verarbeiten – unabhängig von der Größe. In vielen Fällen ist es sogar verpflichtend, um die Rechenschaftspflicht nach der DSGVO zu erfüllen.

Accepted Answer

Laut Datenschutz-Grundverordnung (DSGVO) bezieht sich der Begriff „gleichartige Verarbeitungszwecke“ auf IT-Prozesse, die personenbezogene Daten zu ähnlichen oder identischen Zielen v... [mehr]

Accepted Answer

Laut Datenschutz-Grundverordnung (DSGVO) bezieht sich der Begriff „gleichartige Verarbeitungszwecke“ auf IT-Prozesse, die personenbezogene Daten zu ähnlichen oder identischen Zielen verarbeiten. Die DSGVO selbst definiert den Begriff nicht explizit, aber in der Praxis und im Kontext von Verzeichnissen von Verarbeitungstätigkeiten (Art. 30 DSGVO) oder Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) wird er verwendet, um Prozesse zu gruppieren, die vergleichbare Zwecke verfolgen. Beispiele für IT-Prozesse mit gleichartigen Verarbeitungszwecken sind: 1. **Personalverwaltung** - Lohn- und Gehaltsabrechnung - Verwaltung von Urlaubsanträgen - Zeiterfassung Alle diese Prozesse dienen der Verwaltung von Beschäftigten. 2. **Kundenmanagement (CRM)** - Verwaltung von Kundendaten - Versand von Newslettern - Bearbeitung von Kundenanfragen Diese Prozesse verfolgen das Ziel der Kundenbetreuung und -kommunikation. 3. **Bewerbermanagement** - Erfassung und Verwaltung von Bewerberdaten - Kommunikation mit Bewerbern - Durchführung von Bewerbungsgesprächen (z. B. per Videokonferenz) Sie dienen alle der Auswahl und Einstellung neuer Mitarbeiter. 4. **IT-Support** - Bearbeitung von Support-Tickets - Verwaltung von Benutzerkonten - Protokollierung von IT-Zugriffen Diese Prozesse unterstützen den Betrieb und die Sicherheit der IT-Infrastruktur. **Wichtig:** Gleichartige Verarbeitungszwecke bedeuten, dass die Datenverarbeitung auf denselben oder sehr ähnlichen rechtlichen Grundlagen und zu vergleichbaren Zielen erfolgt. Das ist z. B. relevant, wenn mehrere Verarbeitungstätigkeiten im Verzeichnis nach Art. 30 DSGVO zusammengefasst werden können. **Weitere Informationen:** - [DSGVO Art. 30 – Verzeichnis von Verarbeitungstätigkeiten](https://dsgvo-gesetz.de/art-30-dsgvo/) - [DSGVO Art. 35 – Datenschutz-Folgenabschätzung](https://dsgvo-gesetz.de/art-35-dsgvo/) Zusammengefasst: IT-Prozesse haben gleichartige Verarbeitungszwecke laut DSGVO, wenn sie personenbezogene Daten zu vergleichbaren Zielen und auf ähnlicher Rechtsgrundlage verarbeiten, wie z. B. Prozesse der Personalverwaltung, des Kundenmanagements oder des Bewerbermanagements.

Accepted Answer

Die Datenschutz-Grundverordnung (DSGVO) sieht in Art. 6 Abs. 1 sechs zentrale Rechtsgrundlagen für die Zulässigkeit der Verarbeitung personenbezogener Daten vor. Eine Verarbeitung ist nur da... [mehr]

Accepted Answer

Die Datenschutz-Grundverordnung (DSGVO) sieht in Art. 6 Abs. 1 sechs zentrale Rechtsgrundlagen für die Zulässigkeit der Verarbeitung personenbezogener Daten vor. Eine Verarbeitung ist nur dann rechtmäßig, wenn mindestens eine der folgenden Bedingungen erfüllt ist: 1. **Einwilligung** (Art. 6 Abs. 1 lit. a DSGVO): Die betroffene Person hat ihre freiwillige, informierte und unmissverständliche Einwilligung zur Verarbeitung ihrer personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben. 2. **Vertragserfüllung** (Art. 6 Abs. 1 lit. b DSGVO): Die Verarbeitung ist zur Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen. 3. **Rechtliche Verpflichtung** (Art. 6 Abs. 1 lit. c DSGVO): Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt. 4. **Lebenswichtige Interessen** (Art. 6 Abs. 1 lit. d DSGVO): Die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen. 5. **Wahrnehmung einer Aufgabe im öffentlichen Interesse oder Ausübung öffentlicher Gewalt** (Art. 6 Abs. 1 lit. e DSGVO): Die Verarbeitung ist zur Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. 6. **Berechtigte Interessen** (Art. 6 Abs. 1 lit. f DSGVO): Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen. Weitere Informationen findest du direkt im [Wortlaut von Art. 6 DSGVO](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679).

Accepted Answer

Die Datenschutz-Grundverordnung (DSGVO) nennt verschiedene Zwecke der Verarbeitung personenbezogener Daten, legt aber keine abschließende Liste fest. Grundsätzlich versteht die DSGVO unter... [mehr]

Accepted Answer

Die Datenschutz-Grundverordnung (DSGVO) nennt verschiedene Zwecke der Verarbeitung personenbezogener Daten, legt aber keine abschließende Liste fest. Grundsätzlich versteht die DSGVO unter „Zweck der Verarbeitung“ den Grund, warum personenbezogene Daten erhoben und verarbeitet werden. Die wichtigsten Zwecke ergeben sich aus Art. 6 Abs. 1 DSGVO, der die Rechtmäßigkeit der Verarbeitung regelt. Typische Zwecke sind: 1. **Vertragserfüllung** Verarbeitung ist erforderlich, um einen Vertrag zu erfüllen oder vorvertragliche Maßnahmen durchzuführen (z. B. Kaufabwicklung, Dienstleistungsvertrag). 2. **Erfüllung einer rechtlichen Verpflichtung** Verarbeitung ist notwendig, um gesetzlichen Pflichten nachzukommen (z. B. Aufbewahrungspflichten, Meldepflichten). 3. **Wahrung berechtigter Interessen** Verarbeitung dient den berechtigten Interessen des Verantwortlichen oder eines Dritten, sofern nicht die Interessen oder Grundrechte der betroffenen Person überwiegen (z. B. Direktwerbung, IT-Sicherheit). 4. **Einwilligung** Verarbeitung erfolgt auf Grundlage einer freiwilligen, informierten und unmissverständlichen Einwilligung der betroffenen Person (z. B. Newsletter-Versand). 5. **Schutz lebenswichtiger Interessen** Verarbeitung ist notwendig, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen (z. B. medizinische Notfälle). 6. **Wahrnehmung einer Aufgabe im öffentlichen Interesse oder Ausübung öffentlicher Gewalt** Verarbeitung ist erforderlich, um eine Aufgabe zu erfüllen, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt (z. B. behördliche Tätigkeiten). Jede Verarbeitung personenbezogener Daten muss einem klar definierten Zweck dienen, der vorab festgelegt und dokumentiert wird (Zweckbindung, Art. 5 Abs. 1 lit. b DSGVO). Weitere Informationen findest du direkt im Gesetzestext: [DSGVO – Art. 6 Rechtmäßigkeit der Verarbeitung](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679)

Accepted Answer

Hier ist eine Checkliste, was Mitarbeiter an ihrem Arbeitsplatz beachten sollten, um DSGVO-konform zu arbeiten: **Checkliste: DSGVO-konformes Arbeiten am Arbeitsplatz** 1. **Vertraulichkeit wahren**... [mehr]

Accepted Answer

Hier ist eine Checkliste, was Mitarbeiter an ihrem Arbeitsplatz beachten sollten, um DSGVO-konform zu arbeiten: **Checkliste: DSGVO-konformes Arbeiten am Arbeitsplatz** 1. **Vertraulichkeit wahren** - Keine personenbezogenen Daten offen liegen lassen (z. B. auf dem Schreibtisch, Drucker). - Bildschirmsperre aktivieren, wenn der Arbeitsplatz verlassen wird. - Gespräche über personenbezogene Daten nur in geschützten Bereichen führen. 2. **Zugriffsrechte beachten** - Nur auf Daten zugreifen, die für die eigene Arbeit notwendig sind (Need-to-know-Prinzip). - Keine Weitergabe von Zugangsdaten (Passwörter, Tokens) an Dritte. 3. **Sichere Passwörter verwenden** - Starke, individuelle Passwörter nutzen und regelmäßig ändern. - Passwörter niemals aufschreiben oder unverschlüsselt speichern. 4. **E-Mails und Datenübertragung** - Keine personenbezogenen Daten unverschlüsselt per E-Mail versenden. - Empfängeradressen sorgfältig prüfen (insbesondere bei sensiblen Daten). - Anhänge und Links in E-Mails auf Echtheit prüfen (Phishing-Gefahr). 5. **Datenträger und mobile Geräte** - USB-Sticks, Laptops und andere mobile Geräte verschlüsseln. - Geräte nicht unbeaufsichtigt lassen, insbesondere außerhalb des Büros. 6. **Dokumente und Akten** - Papierunterlagen mit personenbezogenen Daten sicher aufbewahren (z. B. in abschließbaren Schränken). - Nicht mehr benötigte Unterlagen datenschutzgerecht entsorgen (z. B. Schreddern). 7. **Software und Updates** - Nur genehmigte Software verwenden. - Regelmäßige Updates und Sicherheits-Patches installieren. 8. **Meldung von Datenschutzvorfällen** - Verdächtige Vorfälle oder Datenpannen sofort dem Datenschutzbeauftragten melden. 9. **Schulungen und Sensibilisierung** - An Datenschutz-Schulungen teilnehmen und aktuelle Informationen beachten. 10. **Transparenz und Betroffenenrechte** - Anfragen von Betroffenen (z. B. Auskunft, Löschung) an die zuständige Stelle weiterleiten. Weitere Informationen zur DSGVO findest du z. B. auf der offiziellen Seite der [Europäischen Kommission](https://ec.europa.eu/info/law/law-topic/data-protection_de).

Accepted Answer

Nein, ein Verfahrensverzeichnis und ein Verzeichnis aller Verarbeitungstätigkeiten nach DSGVO sind nicht exakt das Gleiche, werden aber oft synonym verwendet. **Hintergrund:** - Das „Verfa... [mehr]

Accepted Answer

Nein, ein Verfahrensverzeichnis und ein Verzeichnis aller Verarbeitungstätigkeiten nach DSGVO sind nicht exakt das Gleiche, werden aber oft synonym verwendet. **Hintergrund:** - Das „Verfahrensverzeichnis“ stammt aus dem alten Bundesdatenschutzgesetz (BDSG a.F.) und bezeichnete dort die Dokumentation der Verfahren, in denen personenbezogene Daten verarbeitet wurden. - Die Datenschutz-Grundverordnung (DSGVO) spricht hingegen vom „Verzeichnis von Verarbeitungstätigkeiten“ (Art. 30 DSGVO). **Unterschiede:** - Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist umfassender und moderner gefasst als das frühere Verfahrensverzeichnis. - Es muss bestimmte Angaben enthalten, z. B. Zwecke der Verarbeitung, Kategorien betroffener Personen und Daten, Empfänger, Übermittlungen in Drittländer, Löschfristen und technische sowie organisatorische Maßnahmen. **Fazit:** Im heutigen Datenschutzrecht nach DSGVO ist das „Verzeichnis von Verarbeitungstätigkeiten“ der korrekte und rechtlich relevante Begriff. Das „Verfahrensverzeichnis“ ist ein veralteter Begriff, der aber inhaltlich ähnlich ist. In der Praxis meinen viele mit „Verfahrensverzeichnis“ das nach DSGVO geforderte Verzeichnis, korrekt ist jedoch die Bezeichnung „Verzeichnis von Verarbeitungstätigkeiten“. Weitere Informationen findest du z. B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/dskb/2018_12_06_auslegung_verzeichnis_verarbeitungstaetigkeiten.pdf).