Compliance abhaken: Jetzt mit SECJUR durchstarten und ab Januar 2024 zahlen.
.svg)
.svg)
Dokumentation aller Verarbeitungen personenbezogener Daten einer Organisation, geführt nach Art. 30 DSGVO. Es hält je Verarbeitung Zweck, Datenarten, Betroffenenkategorien, Empfänger, Löschfristen und Schutzmaßnahmen fest und ist der zentrale Nachweis der Rechenschaftspflicht.
Der Verantwortliche führt je Verarbeitungstätigkeit Name und Kontaktdaten, Zwecke, Kategorien betroffener Personen und personenbezogener Daten, Empfängerkategorien, Drittlandtransfers samt Garantien, vorgesehene Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. Auftragsverarbeiter führen nach Art. 30 Abs. 2 ein eigenes, kürzeres Verzeichnis.
Praktisch jede Organisation. Die Ausnahme in Art. 30 Abs. 5 für Unternehmen unter 250 Beschäftigten gilt nur kumulativ: kein Risiko für Betroffene, nur gelegentliche Verarbeitung, keine besonderen Kategorien. Sobald Personaldaten laufend verarbeitet werden, ist die Ausnahme hinfällig.
Das Verzeichnis ist die Datengrundlage für fast alle weiteren Pflichten: Auskunft nach Art. 15, Löschkonzept, Datenschutz-Folgenabschätzung und Meldung von Datenschutzverletzungen greifen alle auf dieselben Angaben zu. Wer es nicht pflegt, muss diese Angaben im Ernstfall unter Zeitdruck rekonstruieren.
Fast nie. Art. 30 Abs. 5 verlangt kumulativ, dass kein Risiko für Betroffene besteht, die Verarbeitung nur gelegentlich erfolgt und keine besonderen Kategorien betroffen sind. Laufende Personalverarbeitung reicht, um die Ausnahme auszuschließen.
Ja, nach Art. 30 Abs. 2, mit reduziertem Umfang.
.svg){kind=icon}