Bloß nicht ver-masseln, in punkto Dinge in der BV abbilden, die man ggf. nicht nachweisen kann.
Wie die Vorherigen bereits geschrieben haben, gibt die DSGVO hier bereits Strukturen vor, an die sich der AG halten muss, wenn z.B. eine Panne passiert (Meldung innerhalb 72 Stunden).
Habt ihr ein:e Datenschutzbeauftragte:n ?
Denke selbt dieser würde so einen Punkt in der BV nicht gut heißen.
Als wichtigen Bestandteil einer BV zu einem EDV-System finde ich den Punkt, dass erlangte Kenntnis von Mitarbeiter-Verhalten nicht negative Auswirkungen haben dürfen. (vorsätzliches Fehlverhalten MA braucht natürlich einen eigenen Unterpunkt in der BV).
Vorrangig sollte pseudonymisiert (wo es geht, z.B. Statistiken) gearbeitet werden, aber das geht halt auch nicht überall.
Gutes Gelingen.