Die 24-Stunden-Meldepflicht des CRA gilt seit dem 11. September 2026. Prüfen, ob sie Sie betrifft
System starten

DSGVO: alle Seiten

DSGVO · die Bestimmung der Pflichten

Welche DSGVO-Pflichten für Sie gelten, schriftlich

Neun Fragen; die Lesart nennt hinter jeder Zeile die Vorschrift, und die Pflichten folgen als Tabelle, die Sie kopieren oder herunterladen können.

Verarbeiten Sie personenbezogene Daten im Auftrag Ihrer Kunden, als deren Auftragsverarbeiter?

Ein SaaS, das die Endnutzerdaten seiner Kunden hält, tut das; jedes Unternehmen ist unabhängig davon Verantwortlicher für seine eigenen Kunden- und Mitarbeiterdaten (Artikel 4 Nummer 7 und 8).

Wo ist das Unternehmen niedergelassen?
Beschäftigt das Unternehmen weniger als 250 Personen?

Artikel 30 Absatz 5: die Schwelle für die Ausnahme vom Verzeichnis, die die nächste Frage meist wieder aufhebt.

Erfolgt die Verarbeitung personenbezogener Daten nur gelegentlich?

Ein Produkt im Einsatz verarbeitet täglich personenbezogene Daten, für ein Softwareunternehmen lautet die Antwort also fast immer nein (Artikel 30 Absatz 5, Artikel 27 Absatz 2 Buchstabe a).

Besteht die Kerntätigkeit in der umfangreichen regelmäßigen und systematischen Überwachung von Personen?

Verhaltenstracking, Profiling für Werbung, Standortverfolgung, Mitarbeiterüberwachung als Zweck des Produkts (Artikel 37 Absatz 1 Buchstabe b).

Verarbeiten Sie besondere Kategorien von Daten oder Daten über Straftaten in großem Umfang?

Gesundheit, biometrische Daten zur Identifizierung, genetische Daten, sexuelle Orientierung, politische Meinungen, Religion, Gewerkschaftszugehörigkeit (Artikel 9), Verurteilungen und Straftaten (Artikel 10): 37 Absatz 1 Buchstabe c, 35 Absatz 3 Buchstabe b.

Bewertet das Produkt Personen systematisch und umfassend auf automatisierter Grundlage, mit rechtlicher oder ähnlich erheblicher Wirkung?

Kreditscoring, automatisierte Einstellungsentscheidungen, personenbezogene Versicherungstarife (Artikel 35 Absatz 3 Buchstabe a).

Überwacht das Produkt systematisch und umfangreich einen öffentlich zugänglichen Bereich?

Videoanalyse im öffentlichen Raum, Smart-City-Sensoren, die Personen identifizieren (Artikel 35 Absatz 3 Buchstabe c).

Verlassen personenbezogene Daten die Union, zu einem Unterauftragsverarbeiter oder in eine Cloud-Region außerhalb des EWR?

Ein Cloud-Anbieter mit Sitz in den USA und EU-Regionen zählt trotzdem, sobald Support oder Backups nach außerhalb reichen (Kapitel V, Artikel 44).

Die Bestimmung

Beantworten Sie die ersten zwei Fragen, um die Lesart für Ihren Fall zu lesen; jede weitere Antwort ergänzt ihre Pflicht.

Termine, Stunden und Zahlen werden aus der Verordnung und dem Katalog gelesen, nie auf dieser Seite getippt. Dies ist eine Lesart, keine Rechtsberatung.

Diese Seite auf:EnglishFrançaisNederlandsEspañolDansk