Digitale Daten und geordnete Papierakten
Die DSGVO erfasst die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten. Auch eine manuelle Verarbeitung kann darunterfallen: wenn die Daten in einem strukturierten Dateisystem gespeichert sind oder werden sollen.
Eine digitale Kundenverwaltung ist ein naheliegendes Beispiel. Aber auch systematisch geordnete Personalakten auf Papier können erfasst sein. Die ausschließlich persönliche oder familiäre Nutzung durch natürliche Personen ist ausgenommen. Für bestimmte staatliche Tätigkeiten gelten eigene Regelungen.
Der Standort des Servers ist nicht die einzige Frage
Artikel 3 regelt den räumlichen Anwendungsbereich. Dazu gehört die Verarbeitung im Rahmen der Tätigkeit einer Niederlassung in der EU, auch wenn die Verarbeitung selbst anderswo stattfindet.
Auch Verarbeitungen von Anbietern ohne EU-Niederlassung können erfasst sein. Das gilt etwa, wenn sie mit einem gezielten Waren- oder Dienstleistungsangebot an Personen in der EU oder mit der Beobachtung ihres Verhaltens in der EU zusammenhängen.
Datenschutzpflicht und Benennungspflicht unterscheiden
Dass die DSGVO auf einen Betrieb anwendbar ist, bedeutet noch nicht automatisch, dass ein Datenschutzbeauftragter benannt werden muss. Dafür gelten eigene Voraussetzungen aus Artikel 37 DSGVO und ergänzend § 38 BDSG.
Prüfen Sie deshalb beides: Welche Datenschutzregeln betreffen Ihre Abläufe? Und ist für Ihr Unternehmen die Benennung eines Datenschutzbeauftragten erforderlich?
Diese Seite gibt einen Überblick. Welche Anforderungen in Ihrem Fall gelten, hängt von der konkreten Verarbeitung ab.
