II 1 Verantwortung der Leitung II 1.13 Datenschutzkonzept. Gültigkeitsbereich Verantwortlich Team

Transkript

1 Gültigkeitsbereich Verantwortlich Team Zweck AWO RV Halle Merseburg und alle Tochtergesellschaften GF Datenschutzbeauftragter ist Prozessverantwortlich Alle MA sind durchführungsverantwortlich Zweck des Datenschutzes ist es, die Persönlichkeitsrechte des Einzelnen zu schützen. Geregelt wird die Nutzung der Informationstechnik in Ausführung der geltenden Bestimmungen des Datenschutzes und der gesetzlichen und betrieblichen Anforderungen an die Datensicherheit. Definition und Erläuterung zum Datenschutz Der Datenschutz leitet sich ab aus dem Grundrecht auf informationelle Selbstbestimmung, das aus dem Recht auf freie Entfaltung der Persönlichkeit und der Würde des Menschen entwickelt wurde (siehe Grundgesetz Art. 1 und 2, Abs. 1). Zu schützen sind alle personenbezogenen Daten. Das sind alle Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person. Dadurch ergeben sich Pflichten für das Unternehmen aber auch für die Mitarbeitenden des Unternehmens. Es gilt: Grundsätzlich ist die Erhebung, Verarbeitung und Nutzung personenbezogener Daten verboten (Verbotsprinzip), sie ist nur zulässig, wenn es dem Zweck des Vertrages oder der Vertragsanbahnung mit dem Betroffenen dient die Einwilligung des Betroffenen vorliegt oder im Rahmen geltender Rechtsvorschriften gefordert ist oder wenn die Bearbeitung den berechtigten Interessen des Unternehmens dient und die Persönlichkeitsrechte des Betroffenen nicht beeinträchtigt werden. Daneben gibt es den Grundsatz der Zweckbindung. Daten dürfen nur für den Zweck verarbeitet und genutzt werden, für den sie erhoben und gespeichert wurden. Nach 28 Abs. 2 Bundesdatenschutzgesetz sind die Zwecke, für die die Daten verarbeitet oder genutzt werden sollen, bereits bei Erhebung der personenbezogenen Daten konkret festzulegen. Das bedeutet: Die Erhebung, Speicherung, Nutzung oder Übermittlung von Daten an Dritte, kurz Datenverarbeitung, ist nur zulässig, wenn der Betroffene seine Einwilligung für die zweckbestimmte Erhebung und Nutzung seiner Daten erklärt hat bzw. durch die freiwillige Herausgabe seiner Daten die Einwilligung dokumentiert hat oder zur Begründung von Vertrags- und Vertrauensverhältnissen berechtigte Interessen der vertragsschließenden Seiten dieses erfordern (Interessenabwägung). Oberster Grundsatz ist das Prinzip der Datenvermeidung und Datensparsamkeit (siehe 3a Bundesdatenschutzgesetz). Hiernach sollen nur die Daten erhoben, verarbeitet und genutzt werden, die für den definierten Zweck unbedingt erforderlich sind. Die Speicherung von Daten ist nur solange zulässig, wie die definierten Zwecke (Rechtsvorschriften) dieses verlangen oder zur Wahrung von Eigeninteressen notwendig ist. Die Datenvernichtung muss die unmittelbare Folge sein. Die Weitergabe von Daten an Dritte muss rechtlich erlaubt und persönlich bekannt sein und ist auf die Daten zu begrenzen, wofür einerseits ein berechtigtes Interesse und andererseits Freigegeben am: durch: Fr. Plättner Version: 1.0 Seite 1 von 5

2 die Erlaubnis vorliegt (Transparenzgebot). Von den Möglichkeiten der Anonymisierung und Pseudonymisierung ist - soweit möglich - Gebrauch zu machen. Durch geeignete und angemessene Datensicherungsmaßnahmen hat das Unternehmen sicherzustellen, dass die Persönlichkeitsrechte der Betroffenen nicht durch Verlust, Verfälschung oder unbefugte Kenntnisnahme durch Dritte verletzt werden (siehe 9 BDSG). Durchführung 1. Verfahrensverzeichnisse Zu allen im Unternehmen verwendeten Datenerfassungsprogrammen sind im Zusammenwirken des Datenschutzbeauftragten, den EDV-Systemadministratoren und den Anwendern Verfahrensverzeichnisse nach 4d - 4f BDSG zu erstellen. Darin ist je Verfahren festzulegen, welche Daten für den jeweiligen Zweck erfasst werden, wie sie verwendet und wann sie zu löschen sind. 2. Aufgaben/ Zuständigkeiten Zentrale Aufgabe der Verantwortlichen ist die Sicherstellung eines ordnungsgemäßen Ablaufs der Datenverarbeitung. Soweit erforderlich, sind zusätzliche schriftliche Weisungen zu erteilen. Die zur Datenverarbeitung Beauftragten dürfen, soweit sie nicht ausdrücklich berechtigt sind, auf weitere Anwendungen oder Dateien außerhalb ihres eigentlichen Aufgabenbereichs nur in besonders begründeten Fällen zugreifen. Jeder darüberhinausgehende Zugriff ist unter Angabe der entsprechenden Gründe zu dokumentieren. Soweit auf Dateien der Nutzer zugegriffen wurde, sind die betroffenen Beschäftigten davon zu unterrichten. Die für den Datenschutz und die Datensicherheit erforderlichen Maßnahmen sind, soweit im Folgenden keine andere Regelung getroffen ist, vom Datenschutzbeauftragten und der Geschäftsleitung in die Wege zu leiten. Bei der Datenverarbeitung in den Einrichtungen des Unternehmens sind folgende Aufgaben und Pflichten einzuhalten: Aufgabe 1. Verpflichtung auf das Datengeheimnis 2. Benachrichtigung der Betroffenen Alle bei der Datenverarbeitung beschäftigten Personen sind bei der Aufnahme ihrer Tätigkeit unter Verwendung des Formulars F F8, F8a und F9 auf das Datengeheimnis zu verpflichten ( 5 BDSG). Sofern der Betroffene nicht aus Vertrags- oder vertragsähnlichen Vertrauensverhältnissen damit rechnen konnte, ist er von der Speicherung seiner Daten zu unterrichten ( 33 BDSG). Wer? PA, FBL, EL EL, MA Freigegeben am: durch: Fr. Plättner Version: 1.0 Seite 2 von 5

3 Aufgabe Wer? 3. Bestellung eines betrieblichen Datenschutzbeauftragten 4. Information der Mitarbeiterschaft Werden mehr als neun Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, ist ein betrieblicher Datenschutzbeauftragter zu bestellen ( 4f Abs. 1 BDSG). Dieser muss die erforderliche Fachkunde und Zuverlässigkeit besitzen. Der Datenschutzbeauftragte des Unternehmens ist schriftlich zu bestellen und der Geschäftsführung direkt zu unterstellen. Der Datenschutzbeauftragte ist zur Verschwiegenheit verpflichtet, sofern keine Entbindung durch den Betroffenen vorliegt. Die Mitarbeitenden sind regelmäßig in geeigneter Weise mit den Anforderungen an den Datenschutz vertraut zu machen. Hierzu sind die Mitarbeitenden jährlich einmal im Rahmen anderer Unterweisungen über ihre Rechte und Pflichten, die sich aus diesem Verfahrensdokument, ergeben zu unterweisen. Die Unterweisung ist zu dokumentieren. GF EL, ggf. im Zusammenwirken mit dem Datenschutzbeauftragten (DSB) 5. IT-Sicherheit Laut 9 BDSG sind technische und organisatorische Maßnahmen zur Sicherung des Datenschutzes zu treffen. Im Anhang zu Kapitel 4.2 Technik sind u.a. Regelungen für die Kontrolle des Zugangs zum EDV System und damit dem Zugriff auf zu schützende personenbezogene Daten enthalten. 6. Datenvernichtung Aus dem Grundsatz der Datensparsamkeit folgt, dass Daten zu löschen sind, sobald sie nicht mehr benötigt werden. Das heißt, dass für eine sichere Datenvernichtung ebenso zu sorgen ist wie eine Zugangssperre für Daten, die einer Aufbewahrungspflicht unterliegen. 7. Datensicherung Die Mitarbeitende dürfen nur die Daten erhalten, die sie für ihre Tätigkeit auch unmittelbar benötigen. GF für Regelung GF, FBL, EL GF, FBL, EL Freigegeben am: durch: Fr. Plättner Version: 1.0 Seite 3 von 5

4 3. Hauptaufgaben des Datenschutzbeauftragten 1. Information und Schulung von Mitarbeitenden 2. Hinwirkung auf die Einhaltung von Gesetzen und Vorschriften zum Datenschutz 3. Mitarbeit bei der Erstellung und Pflege der Verfahrensverzeichnisse 4. Ausarbeitung von Richtlinien und Datenschutzkonzepten 5. Bearbeitung von Anfragen zum Datenschutz 6. Prävention bei der Datenerhebung und -verarbeitung besonders sensibler Daten 4. Rechte der Betroffenen Sofern keine Einwilligung des Betroffenen vorliegt und er auch nicht mit einer Speicherung der Daten rechnen konnte, ist der Betroffene von der erstmaligen Speicherung zu benachrichtigen, wer die dafür verantwortliche Stelle ist, zu welchen Zwecken die Daten benutzt und ggf. an welche Empfänger sie übermittelt werden sollen (Transparenzgebot). Der Betroffene kann jederzeit und i.d.r. unentgeltlich Auskunft über alle zu seiner Person in Dateien gespeicherten Daten verlangen, verlangen, dass falsche Daten berichtigt, unberechtigt gespeicherte oder unrichtige gesperrt oder ganz gelöscht werden, sich mit einer Beschwerde an die Datenschutz-Aufsichtsbehörde wenden oder für unzulässige oder falsche Datenverarbeitung Schadenersatz verlangen. Sofern in Verträgen, in den verwendeten Formularen, in Beitrittserklärungen zur AWO-Mitgliedschaft, Verträgen usw. personenbezogene Daten enthalten sind, ist darauf zu achten, dass eine Einverständniserklärung zur Datenverarbeitung abgegeben und angegeben wird, zu welchem Zweck die personenbezogenen Daten gespeichert werden. 5. Einsatz von Programmen Unter Bezug auf das Kapitel 4.2Technik dürfen Programme erst dann eingesetzt werden, wenn die Geschäftsführung deren Verwendung autorisiert hat. 6. Interne Kontrolle Die interne Kontrolle der Einhaltung dieser Bestimmungen und sonstiger zum Datenschutz und zur Datensicherheit bestehender Vorschriften und Anweisungen wird vom Datenschutzbeauftragten des Unternehmens wahrgenommen. Der Datenschutzbeauftragte ist in dieser Aufgabe direkt dem Geschäftsführer unterstellt. Berichte über festgestellte Mängel haben schriftlich an den Geschäftsführer zu erfolgen. Freigegeben am: durch: Fr. Plättner Version: 1.0 Seite 4 von 5

5 Begriffe und Abkürzungen GF Geschäftsführung E Entscheidung QM Qualitätsmanagement D Durchführung FBL Fachbereichsleitung M Mitwirkung EL Einrichtungsleitung I Information MA Mitarbeitende Mitgeltende Unterlagen 2.2 F8 2.2 F9 4.2 Nr Titel Herkunft der Unterlage Art der Unterlage intern extern Doku Aufzeichnung Verfahrensverzeichnis Erklärung zum Datenschutz Personalabteilung Verpflichtungserklärung auf das Datengeheimnis Ort Aufbewahrungsfrist Verantwortlich Datenschutzbeauftragter Datenschutzbeauftragter Büro Personal Büro Personal Personalabteilung Technik QMH QMB Freigegeben am: durch: Fr. Plättner Version: 1.0 Seite 5 von 5