Änderungen sollte man protokollieren. Aber die Protokollierung von Zugriffen wäre ja eher ein Verstoss gegen den Datenschutz.
Das ist nicht richtig. Wenn es wichtig ist, zu wissen, wer wann was geändert hat, ist es natürlich zulässig.
Die DSGVO enthält keine technischen Vorgaben oder Einschränkungen. Im Grundsatz verlangt sie Transparenz und Nachvollziehbarkeit, was mit den Daten geschieht unter dem Gesichtspunkt "nur was notwendig ist" und "nicht länger als notwendig". Das "notwendig" ist zu begründen und zu dokumentieren.