Datenverarbeitungsverzeichnis

Transkript

1 (c) alphaspirit fotolia.com Datenverarbeitungsverzeichnis nach Art 30 Abs 1 EU-Datenschutzgrundverordnung (DSGVO) scenario editor e.u. Mai 2018

2 Inhaltsverzeichnis 1 Stammdaten Buchhaltung Personalverwaltung Projektakquise Projektabwicklung Projektabrechnung Website Übersicht über allgemeine technische und organisatorische Datenschutzmaßnahmen... 9

3 Stammdaten 1 Stammdaten Name und Anschrift scenario editor e.u. Hauptstraße 149, 2504 Sooß Kontaktdaten Thomas Steffl stefll@scenarioeditor.at Grundsätzlich werden sämtliche personenbezogenen Daten nach folgenden Grundsätzen im Sinne der DSGVO (Art 5) verarbeitet: auf rechtmäßige und transparente Weise für den bei der Erhebung legitimierten Zweck auf ein Maß reduziert, der dem Zweck angemessen ist sachlich richtig und soweit möglich aktuell nur so lange gespeichert, wie es notwendig ist mit angemessenen Sicherheitsvorkehrungen Eine Datenschutz-Folgenabschätzung wurde nicht durchgeführt, da durch die unten beschriebenen von keinem erhöhten Risiko der Rechte der Betroffenen auszugehen ist. Sensible Daten im Sinne des Art 9 DSGVO werden nur im Rahmen der Personalverwaltung verarbeitet. 2 1 Buchhaltung Im Rahmen der Abwicklung von Projekten / Aufträgen und für die betrieblich notwendige Büroinfrastruktur werden Daten zum Beispiel auf / für Rechnungen oder Verträgen verarbeitet und gespeichert. Diese Daten werden benötigt, um Aufträge ordentlich abwickeln zu können und den gesetzlichen Verpflichtungen (insbesondere durch die Bundesabgabenordnung und das Unternehmensgesetzbuch) nachkommen zu können. Vertragserfüllung Art 6 Abs 1 lit b DSGVO Erfüllung gesetzlicher Verpflichtungen (insbesondere durch 132 Bundesabgabenordnung und 190 & 212 Unternehmensgesetzbuch) Art 6 Abs 1 lit c DSGVO berechtigte Interessen des Verantwortlichen (ordentliche Buchhaltung, Unternehmensführung und -planung) Art 6 Abs 1 lit f KundInnen, LieferantInnen und GeschäftspartnerInnen einschließlich deren Kontaktpersonen Firmenname oder sonstige Geschäftsbezeichnung Anschrift (Adresse einschließlich Postleitzahl und Ort) und Webadresse Kontaktdaten und Funktionsbezeichnung der Kontaktpersonen (Name, Telefonnummer(n), Faxnummer, adresse) Firmenbuchdaten und UID-Nummer 3 9

4 Bankverbindung(en) Verträge, Offerte, Geschäftskorrespondenz jedenfalls 10 Jahre bzw. bis zur Beendigung von möglichen Rechtsstreitigkeiten Eine externe Auftragsverarbeitung von personenbezogenen Daten wird derzeit nicht durchgeführt. Ebenso erfolgt keine Weitergabe der Daten an Dritte. Ausnahme: Back-Up über Cloud-Dienstleister und Steuerprüfungen. physische Ablage im versperrbaren Büro mit eingeschränktem Zugang elektronische Ablage auf eigenem Datenserver mit Datenverschlüsselung Passwortschutz sämtlicher zugriffsberechtigter Endgeräte Schutz durch ständig aktualisierte Firewall- und Antivirensoftware Back-Up über Cloud-Dienstleister 2 2 Personalverwaltung Im Rahmen der Personalverwaltung, -entlohnung und -entwicklung sowie zur Erfüllung der sozial- und arbeitsrechtlichen Aufzeichnungs- und Meldepflichten werden personenbezogene Daten verarbeitet, gespeichert und in den notwendigen Fällen an Dritte weitergegeben. Dies umfasst auch sensible Daten im Sinne des Art 9 DSGVO und Daten von BewerberInnen. Vertragserfüllung (Arbeitsverträge, Betriebsvereinbarungen) Art 6 Abs 1 lit b DSGVO Erfüllung gesetzlicher Verpflichtungen (u. a. ABGB, AMSG, AngG, ArblG, ArbVG, ARG, ASchG, ASVG, AuslBG, BAG, BEinstG, BMVSG, BundesarbeiterkammerG, EFZG, EstG, FLAF, FLAG, GlBG, MSchG, PKG, UrlG, VersVG, VKG) Art 6 Abs 1 lit c DSGVO berechtigte Interessen des Verantwortlichen (Recruiting, Personalentwicklung) Art 6 Abs 1 lit f momentane und ehemalige ArbeitnehmerInnen, freie DienstnehmerInnen, PraktikantInnen, Lehrlinge BewerberInnen (inkl. Initiativbewerbungen) Kat. 1 (nicht sensible Daten mit längeren Dokumentationspflichten): Personalnummer, Name (inkl. frühere Namen), Geburtsdatum, Geschlecht, Funktion(en) im Betrieb (inkl. zeitliche Zuordnung), Wohnadresse, Eintritts- und Austrittsdatum, Vordienstzeiten, Daten zur Beendigung des Dienstverhältnisses, Gehaltszettel (Einstufung, Brutto- und Nettoentgelte, Sachbezüge, Aufwandsentschädigungen, Sozialleistungen) Kat. 2 (nicht sensible Daten mit kürzeren Dokumentationspflichten): Geburtsort, Personenstand, Daten über Kinder (sofern im Zusammenhang mit Leistungen, die in Verbindung mit dem Arbeitsverhältnis erbracht werden Name, Geburtsdatum, Sozialversicherungsnummer), Staatsbürgerschaft, Bankverbindung, berufliche und private Kontaktdaten ( adresse, Telefonnummer), Sozialversicherungsträger, Daten zur Sozialversicherung und zu Beitragsgrundlagen, Daten im Zusammenhang mit dem Wochengeld und der MitarbeiterInnenvorsorge, Daten zu 4 9

5 Beschäftigungsvoraussetzungen und -bewilligungen, Arbeitszeiterfassung (inkl. Beschäftigungsausmaß und Urlaubszeiten), Daten zur Entgeltfortzahlung, Daten zu Entgeltvorschüssen und Lohnpfändungen, Daten zu steuerrechtlichen Absetzbeträgen (Alleinverdiener/Alleinerzieher, Pendlerpauschale usw.), Wohnsitzfinanzamt, Daten zur Pensionskasse, Daten zur Verwendung von Dienstfahrzeugen, berufliche Qualifikationen (Ausbildungsnachweise) Kat. 3 (sensible Daten): Sozialversicherungsnummer, Daten zur Krankenscheinverwaltung und für das Krankengeld, Daten zu Krankenständen und Arbeitsunfällen, Daten zum Mutterschutz und zu Karenzzeiten (Art, Beginn, Ende), Art und Dauer zu sonstigen Abwesenheiten (Freistellungen, Präsenzdienst usw.), gesundheitsrelevante Daten im Sinne des ASchG und meldepflichtiger Krankheiten, Grad der Behinderung im Sinne des BEinstG Kat 4 (Daten von BewerberInnen): Name, Geburtsdatum, Staatsbürgerschaft, Geschlecht, Wohnadresse, Telefonnummer, adresse, Lichtbild, Motivationsschreiben und Lebenslauf (inkl. Befähigungen, Ausbildungen und Sprachkenntnisse), Daten zum Bewerbungsablauf (Datum, Art der Bewerbung, Art und Inhalt der Stellenausschreibung), Korrespondenz und Notizen zur Eignung im Zuge der Bewerbung Kat. 1 Daten: 30 Jahre, um dem Anspruch auf Ausstellung eines Arbeitszeugnisses nachkommen zu können Kat. 2 Daten: 7 Jahre, um der arbeitsrechtlichen Dokumentationspflicht und jener von Förderstellen zu entsprechen Kat. 3 Daten: generell 7 Jahre (Ausnahme Daten zu Arbeitsunfällen: 30 Jahre), um den gesetzlichen Dokumentationspflichten zu entsprechen Kat. 4 Daten: 6 Monate Eine externe Auftragsverarbeitung von personenbezogenen Daten wird derzeit nicht durchgeführt. Generell erfolgt keine Weitergabe der Daten an unberechtigte Dritte. Berechtigte Dritte sind Sozialversicherungsträger, das Arbeitsinspektorat, Verwaltungsbehörden, das Arbeitsmarktservice, Finanzamt, Versicherungsanstalten, Banken, Gerichte, BetriebsärztInnen, Pensionskassen, MitarbeiterInnenvorsorgekassen und Personalverrechnungsdienstleister. Diesen berechtigten Dritten werden die notwendigen Daten im jeweils vorgeschriebenen bzw. zwingend erforderlichen Ausmaß übermitteln. Darüber hinaus erfolgt ein Back-Up über einen Cloud-Dienstleister. physische Ablage im versperrbaren Büro mit eingeschränktem Zugang elektronische Ablage auf eigenem Datenserver mit Datenverschlüsselung Passwortschutz sämtlicher zugriffsberechtigter Endgeräte Schutz durch ständig aktualisierte Firewall- und Antivirensoftware Back-Up über Cloud-Dienstleister 2 3 Projektakquise Im Rahmen der Teilnahme an Ausschreibungen von Forschungsförderprogrammen und bei Offertlegung für Direktbeauftragungen werden (nicht sensible) Daten von MitarbeiterInnen innerhalb des Projektkonsortiums an Förderstellen bzw. AuftraggeberInnen weitergegeben. Diese Daten werden benötigt, um den jeweiligen Anforderungen der Ausschreibungen bzw. AuftraggeberInnen zu entsprechen. 5 9

6 Einwilligung der betroffenen Personen (Teilnahme im Projektkonsortium) Art 6 Abs 1 lit a DSGVO Erfüllung gesetzlicher Verpflichtungen (Einhaltung von Ausschreibungsanforderungen von Forschungsförderprogrammen) Art 6 Abs 1 lit c DSGVO berechtigte Interessen des Verantwortlichen (Projektakquise) Art 6 Abs 1 lit f MitarbeiterInnen im Projektkonsortium Firmenname oder sonstige Geschäftsbezeichnung Anschrift (Adresse einschließlich Postleitzahl und Ort) und Webadresse Kontaktdaten und Funktionsbezeichnung der Personen (Name, Telefonnummer(n), Faxnummer, adresse) Lebensläufe (inkl. Auflistung von projektrelevanten Publikationen und Vorprojekten, beruflicher Werdegang, besondere Fähigkeiten bzw. Befähigungen und Sprachkenntnisse, Lichtbild, Geschlecht, Geburtsdatum, Staatsangehörigkeit) Stundensätze der mitarbeitenden Personen jedenfalls 10 Jahre, um der Dokumentationspflicht durch öffentliche Förderstellen zu entsprechen, bzw. bis zur Beendigung von möglichen Rechtsstreitigkeiten Eine externe Auftragsverarbeitung von personenbezogenen Daten wird nicht durchgeführt. Eine Datenweitergabe erfolgt im Zuge der Einreichung bzw. Offertlegung gegenüber der Förderstelle bzw. des/r AuftraggeberIn und innerhalb des Projektkonsortiums. physische Ablage im versperrbaren Büro mit eingeschränktem Zugang elektronische Ablage auf eigenem Datenserver mit Datenverschlüsselung Passwortschutz sämtlicher zugriffsberechtigter Endgeräte Schutz durch ständig aktualisierte Firewall- und Antivirensoftware 2 4 Projektabwicklung Im Rahmen von Projekten werden (nicht sensible) Daten erhoben, verarbeitet, gespeichert und weitergegeben, die jeweils für das einzelne Projekt benötigt werden. In der Regel ist mit den AuftraggeberInnen der Projekte vereinbart, dass sämtliche Arbeitsergebnisse übermittelt werden. Dazu zählen zum Beispiel auch Kontaktdaten von VeranstaltungsteilnehmerInnen oder persönliche Auskünfte, die in Form von Interviewprotokollen oder einer korrespondenz dokumentiert werden. Bei sämtlichen Einladungen und Anfragen wird ausdrücklich auf das Projektkonsortium und die AuftraggeberInnen hingewiesen. Einwilligung der betroffenen Personen Art 6 Abs 1 lit a DSGVO 6 9

7 berechtigte Interessen des Verantwortlichen (vollständige Dokumentation der beauftragten Leistungen) Art 6 Abs 1 lit f VeranstaltungsteilnehmerInnen, befragte ExpertInnen, ProjektpartnerInnen Firmenname oder sonstige Geschäftsbezeichnung Anschrift (Adresse einschließlich Postleitzahl und Ort) und Webadresse Kontaktdaten und Funktionsbezeichnung der Personen (Name, Telefonnummer(n), Faxnummer, adresse) besuchte Veranstaltung ExpertInneneinschätzungen zu jeweiligen Sachthemen jedenfalls 10 Jahre, um der Dokumentationspflicht durch öffentliche Förderstellen zu entsprechen, bzw. bis zur Beendigung von möglichen Rechtsstreitigkeiten Eine externe Auftragsverarbeitung von personenbezogenen Daten wird nicht durchgeführt. Eine Datenweitergabe erfolgt im vertraglich vereinbarten Ausmaß innerhalb des Projektkonsortiums und in Richtung der AuftraggeberInnen. keine physische Ablage von Projektdaten (bis auf den Endbericht) elektronische Ablage auf eigenem Datenserver mit Datenverschlüsselung Passwortschutz sämtlicher zugriffsberechtigter Endgeräte Schutz durch ständig aktualisierte Firewall- und Antivirensoftware 2 5 Projektabrechnung Gegenüber Förderstellen und (vorwiegend) öffentlichen AuftraggeberInnen ist eine umfassende Projektabrechnung notwendig. Diese Projektabrechnungen können umfassende persönliche Daten umfassen, insbesondere Kontaktdaten, Arbeitszeitaufzeichnungen und Stundensätze der am Projekt mitarbeitenden Personen. Einwilligung der betroffenen Personen (Teilnahme im Projektkonsortium) Art 6 Abs 1 lit a DSGVO Erfüllung gesetzlicher Verpflichtungen (Einhaltung von Ausschreibungsanforderungen von Forschungsförderprogrammen) Art 6 Abs 1 lit c DSGVO berechtigte Interessen des Verantwortlichen (ordentliche Projektabrechnung gegenüber öffentlichen AuftraggeberInnen) Art 6 Abs 1 lit f MitarbeiterInnen im Projektkonsortium Firmenname oder sonstige Geschäftsbezeichnung Anschrift (Adresse einschließlich Postleitzahl und Ort) und Webadresse 7 9

8 Kontaktdaten und Funktionsbezeichnung der Personen (Name, Telefonnummer(n), Faxnummer, adresse) Arbeitszeitaufzeichnungen der mitarbeitenden Personen Stundensätze der mitarbeitenden Personen jedenfalls 10 Jahre, um der Dokumentationspflicht durch öffentliche Förderstellen zu entsprechen, bzw. bis zur Beendigung von möglichen Rechtsstreitigkeiten Eine externe Auftragsverarbeitung von personenbezogenen Daten wird nicht durchgeführt. Eine Datenweitergabe erfolgt im Zuge der Projektabrechnung bzw. Berichtslegung gegenüber der Förderstelle bzw. des/r AuftraggeberIn und innerhalb des Projektkonsortiums. physische Ablage im versperrbaren Büro mit eingeschränktem Zugang elektronische Ablage auf eigenem Datenserver mit Datenverschlüsselung Passwortschutz sämtlicher zugriffsberechtigter Endgeräte Schutz durch ständig aktualisierte Firewall- und Antivirensoftware 2 6 Website Über die Unternehmenswebsite ( werden ausgenommen über Cookies keine personenbezogenen Daten erhoben oder verarbeitet. Die in Cookies gespeicherten Zugriffsdaten sind nur bedingt auf Einzelpersonen zurückführbar. Grundsätzlich ist die Website ohne jede Angabe von personenbezogenen Daten uneingeschränkt nutzbar. Die erhaltenen nicht personenbezogenen Daten werden genutzt, um die Website weiter zu verbessern, indem das NutzerInnenverhalten ausgewertet wird. berechtigte Interessen des Verantwortlichen (Erstellung von Nutzungsstatistiken) Art 6 Abs 1 lit f Website-BesucherInnen verwendetes Endgerät (Desktop, Tablet oder Smartphone) Seitenaufrufe, durchschnittliche Zeit auf der Seite, Bounce Rate und Exit Rate Anzahl BesucherInnen und Anzahl Seitenaufrufe Traffic-Quellen (direkter Besuch, via Google, Ecosia usw.) verwendete Browser und Betriebssysteme Besuchsstatistik nach Ländern Die direkt vom Website-Provider erstellten Statistiken werden längstens 10 Jahre gespeichert, um längerfristige Trends erkennen zu können. Die Cookie-basierten Web-Statistiken werden direkt vom Website-Provider erstellt. Eine Weitergabe dieser Daten erfolgt nicht. 8 9

9 Übersicht über allgemeine technische und organisatorische Datenschutzmaßnahmen 3 Übersicht über allgemeine technische und organisatorische Datenschutzmaßnahmen versperrbares Büro mit eingeschränktem Zugang Passwortschutz sämtlicher zugriffsberechtigter Endgeräte Verwendung sicherer Passwörter Verschlüsselung des Datenservers Spiegelung der Serverdaten auf zumindest zwei Festplatten (RAID-System) Back-Up der wichtigsten Daten in einer externen Cloud Schutz durch ständig aktualisierte Firewall- und Antivirensoftware Verwendung aktueller Betriebssysteme und Software 9 9