Gesamtverzeichnis für gemeinsame Verfahren nach 15 HDSG

Transkript

1 Gesamtverzeichnis für gemeinsame Verfahren nach 15 HDSG lfd. Nr. neues Verfahren Änderung Das Verzeichnis ist zur Einsichtnahme bestimmt ( 15 Abs. 2 Satz 2 HDSG) Das Verzeichnis ist nur teilweise zur Einsichtnahme bestimmt Ausgenommen sind die Angaben nach 6 Abs. 1 Satz 1 Ziffern 7, 8 und 11 HDSG Das Verzeichnis ist nicht zur Einsichtnahme bestimmt ( 6 Abs. 2 Satz 2 HDSG) 1. Bezeichnung der federführenden Stelle nach 15 Abs. 2 Satz 1 HDSG und ggf. des Verfahrens 1.1 Name und Anschrift der federführenden Stelle Hessisches Ministerium für Soziales und Integration, Dostojewskistr. 4, Wiesbaden 1.2 Organisationskennziffer, Amt, Abteilung, ggf. Sachgebiet Abteilung Familie, Referat Familienkarte Hessen 1.3 ggf. Bezeichnung des Verfahrens Familienkarte Hessen 1.4 Name und Anschrift des Auftragnehmers, wenn die Daten nach 4 HDSG in Auftrag verarbeitet werden HA Hessen Agentur GmbH: Betrieb des Verfahrens und statistische Auswertung TCS: Wartungsarbeiten Firma PAV Card GmbH: Herstellung, Personalisierung und Versand der Familienkarte Hessen im Scheckkartenformat 2. lfd. Nr. Name und Anschrift 1 Siehe Liste der Kooperationspartner in Anlage 1 2 Hessisches Ministerium für Soziales und Integration 3 Inhaber der Familienkarte Hessen öffentliche Stelle ja nein 3. Aufgabe der (Zweckbestimmung ihrer Datenverarbeitung) lfd. Nr. aus Ziffer 2 Alle in der Anlage 1 aufgeführten erhalten einen limitierten und durch das Hessische Ministerium für Soziales und Integration kontrollierten Zugriff auf die Datenbank. In einem speziell für die eingerichteten Login-Bereich geben die den Familiennamen und die Kartennummer des Familienkarteninhabers ein, um zu prüfen, ob die 1 Familienkarte gültig ist. Name und Kartennummer erhalten Sie von den Inhabern der Familienkarte Hessen. Sie bieten den Familienkarteninhabern Leistungen, welche exklusiv den Karteninhabern zur Verfügung stehen. Hierzu ist eine Verifizierung der Kunden notwendig. Diesem Zweck dient die Datenverarbeitung. Verwaltung der Mitgliedsdaten, Kommunikation mit den Inhabern der 2 Familienkarte Hessen, statistische Auswertung 3 Verwaltung der eigenen Daten

2 2 4. Art der gespeicherten Daten lfd. Nr. Eltern: Titel, Name, Vorname, Straße, PLZ, Ort, 1 Telefonnummer, -Adresse, Karten- und Mitgliedsnummer, Nummer der EAN-Barcodes 2 Kinder: Anzahl, Name, Vorname, Geburtsdatum Rumpfdaten der Benutzer: Passwort, Datum des ersten Logins, Datum des letzten Logins, Seriennr. 1 und 2, Ablaufdatum, Anzahl der Logins, Anlegeart (im Web 3 oder durch Stk), Double opt in-bestätigung, Auftaktveranstaltung, Newsletter, Weitere Informationen, IP-Adresse, verkürzte IP-Adresse zur statistischen Auswertung 4 Familienname und Kartennummer 5 Häufigkeit der Kartennutzung pro Monat 5. Berechtigung für Datum nach 7 Abs. 4 HDSG ja nein 5.1 Speicherung, Veränderung, Löschung 2 1, 2, 3, 4, 5 3 1, 2, 3, 4 Bei 3 nur Änderung des Passworts 5.2 Abruf 1 4 Nur Bestätigung, dass gültige Karte vorhanden 5.3 Übermittlung 1 1 Es werden nur die bei einem Kooperationspartner eingescannten EAN-Codes

3 3 2 1, 2 übermittelt Es werden keine personenbezogenen Daten übermittelt, lediglich die Anzahl der im Haushalt lebenden Personen und die Altersstruktur der Kinder in einer anonymisierten Statistik 5.4 Sonstige Verarbeitung

4 4 6. Technische und organisatorische Maßnahmen ( 10 Abs. 2 HDSG) Folgende aufeinander aufbauende Festlegungen wurden getroffen: Hinsichtlich der allgemeinen Sicherheit wird auf das vorhandene Sicherheitskonzept verwiesen. Erläuterungen zu den einzelnen Maßnahmen, insbesondere soweit diese das Verfahren betreffen: Zutrittskontrolle (z. B. DV-Technik in gesicherten Räumen, Sicherheitsschlösser vorhanden) HA: Bewachter Eingangsbereich; kein Durchgang ohne Personalkarte; verschlossener Serverraum, Zutritt nur mit Berechtigung; Betriebsvereinbarung EDV-Systeme der HA; Mitarbeiter verpflichten sich im Arbeitsvertrag zu Verschwiegenheit bei den Umgang mit vertraulichen Daten; Mitarbeiter werden über BDSG und HDSG hingewiesen TCS: Überwachter Eingangsbereich, Beschäftigte verpflichten sich im Arbeitsvertrag zu Verschwiegenheit im Umgang mit vertraulichen EDV-Daten; Mitarbeiter sind als Administratoren verpflichtet Benutzerkontrolle (z. B. Passwortregelungen zur Authentifizierung, automatische Bildschirmsperrung) HA: Passwort aller Beschäftigten ändert sich alle 30 Tage; Automatische Sperrung des Computers nach bestimmter Zeit der Inaktivität; Betriebsverinbarung EDV-Systeme der HA; Mitarbeiter verpflichten sich im Arbeitsvertrag zu Verschwiegenheit bei Umgang mit vertraulichen Daten; Mitarbeiter werden über BDSG und HDSG hingewiesen TCS: Passwort ändert sich alle sechs Monate; Automatische Sperrung des Computers nach bestimmter Zeit der Inaktivität; Betriebsvereinbarung EDV-Systeme; Beschäftigte verpflichten sich im Arbeitsvertrag zu Verschwiegenheit beim Umgang mit vertraulichen EDV-Daten Zugriffskontrolle (z. B. Differenzierte Zugriffe auf einzelne Felder, unterschiedliche Berechtigungen) HA: Drei Mitarbeiter haben Zugriff auf die Datenbank per VPN-Verbindung; Datenbanken durch Firewall gesichert; Datenübertragung mit SSL (256 bit); Datenzugriff möglich von HA über Einloggen im CMS oder direkt auf der Datenbank TCS: Ein Mitarbeiter hat Zugriff auf die Datenbank per VPN-Verbindung für Supportzwecke; Datenübertragung mit SSL (256 bit); Datenzugriff möglich von TCS über Einloggen im CMS oder direkt auf die Datenbank Stk: Datenzugriff über CMS Dritte: (Kooperationspartner) können nach Login via SSL über die Eingabe eines Nachnamens mit zugehöriger Kartennummer Auskunft erhalten, ob der angefragte Benutzer in der Datenbank existiert oder nicht -> nur ja/nein-antwort, keine weitere Datenausgabe Benutzer: Benutzer melden sich über die mit SSL-Verschlüsselung gesicherte Webseite an -> Benutzer bekommt dann zu bestätigende Mail zugesendet -> Passwort wird verschlüsselt gespeichert -> Benutzer kann seine Daten via SSL bearbeiten und vollständig löschen Datenverarbeitungskontrolle (z. B. kein Zugriff auf Betriebssystemebene, Verschlüsselung von Daten) HA: Der Bereich Web & Events arbeitet in einem von HA-Netz isoliertem Netz; kein Zugriff vom HA-Netz aus möglich; Der Datenzugriff erfolgt über Zugriffsberechtigungen. Sicherheitsmaßnahmen: Firewall, Virenscanner regelmäßige Betriebssystem-Patches; Betriebsverinbarung EDV-Systeme der HA; Im Arbeitsvertrag verpflichten sich alle Beschäftigten auf Verschwiegenheit bei dem Umgang mit vertraulichen Daten bei der Nutzung der EDV, auf BDSG und HDSG wird hingewiesen, die Gesetzte sind auf HA-Server abrufbar

5 5 TCS: Der Datenzugriff erfolgt über Zugriffsberechtigungen. Sicherheitsmaßnehmen: Firewall, Virenscanner regelmäßige Betriebssystem-Patches; Im Arbeitsvertrag verpflichten sich alle Beschäftigten auf Verschwiegenheit bei dem Umgang mit vertraulichen Daten bei der Nutzung der EDV, auf BDSG wird hingewiesen Verantwortlichkeitskontrolle (z. B. Protokollierung der Dateneingabe, Aufbewahren der Protokolldaten) HA:Technisch angelegt ist die Nachvollziehbarkeit der Nutzung des Systems (wer); Ereignisprotokolle werden geführt; Betriebsverinbarung EDV-Systeme der HA; Im Arbeitsvertrag verpflichten sich alle Beschäftigten auf Verschwiegenheit bei dem Umgang mit vertraulichen Daten bei der Nutzung der EDV, auf BDSG und HDSG wird hingewiesen, die Gesetzte sind auf HA- Server abrufbar Auftragskontrolle (z. B. klare Vertragsregelungen mit dem Auftragnehmer, Prüfung der Zuverlässigkeit) Entsprechende Verträge existieren mit den Kooperationspartnern Dokumentationskontrolle (z. B. klare und umsetzbare Dokumentation, Überprüfung der Maßnahme) HA:Technisch angelegt ist die Nachvollziehbarkeit der Nutzung des Systems (was); Ereignisprotokolle werden geführt; Betriebsverinbarung EDV-Systeme der HA; Im Arbeitsvertrag verpflichten sich alle Beschäftigten auf Verschwiegenheit bei dem Umgang mit vertraulichen Daten bei der Nutzung der EDV, auf BDSG und HDSG wird hingewiesen, die Gesetzte sind auf HA- Server abrufbar Organisationskontrolle (Festlegung klarer Zuständigkeiten und Verantwortlichkeiten) HA: Datenschutzbeauftragter ist bestellt; Angemessene technische & organisatorische Datenschutzmaßnahmen wurden umgesetzt; Auf BDSG und HDSG wird hingewiesen, die Gesetzte sind auf HA-Server abrufbar; Betriebsverinbarung EDV-Systeme der HA; Im Arbeitsvertrag verpflichten sich alle Beschäftigten auf Verschwiegenheit bei dem Umgang mit vertraulichen Daten bei der Nutzung der EDV, auf BDSG und HDSG wird hingewiesen, die Gesetzte sind auf HA- Server abrufbar TCS: Datenschutzbeauftragter ist bestellt; Angemessene technische & organisatorische Datenschutzmaßnahmen wurden umgesetzt; Im Arbeitsvertrag verpflichten sich alle Beschäftigten auf Verschwiegenheit bei dem Umgang mit vertraulichen Daten bei der Nutzung der EDV, auf BDSG wird hingewiesen 7. Begründetes Ergebnis der Vorabkontrolle gemäß 7 Abs. 6 HDSG Dokumentation der Vorabkontrolle

6 6 Die Antragsteller erteilen ausdrücklich ihr Einverständnis zur Verarbeitung (Erhebung, Speicherung, Übermittlung)der für den Erhalt der Familienkarte Hessen notwendigen Daten. Es werden ausschließlich Daten erhoben, gespeichert, übermittelt und verarbeitet, die für die Familienkarte Hessen notwendig sind. Auf die Ergebnisse der Datenschutzuntersuchungen der Familienkarte Hessen durch den Hessischen Datenschutzbeauftragten wird hingewiesen. Aufgrund der hohen Sensibilität der Daten erfolgt der Zugriff auf die Applikation über das HTTPS-Protokoll. Die Kooperstionspartner erhalten keine weiteren als die o.g. Daten. In der Statistikg zur Nutzung der Familienkarte Hessen werden die im Haushalt lebenden Personen sowie die Altersstrutur der Kinder ausgewertet. Die Daten sind nicht personenbezogen. Für die Inanspruchnahme von Service-Leistungen sowie des Versicherungsschutzes im Schadensfall holen sich die Kooperationspartner die persönlichen Daten direkt von den Inhabern der Familienkarte Hessen. Die zu verarbeitenden Daten sind datenschutzrechtlich schutzwürdig. Die getroffenen Maßnahmen sind ausreichend, um unberechtigte Zugriffe zu verhindern. 8. Ergänzungen Wenn der Raum einzelner Spalten nicht ausreicht, sind dort Buchstaben (o. andere Zeichen) einzutragen, die hier näher erläutert werden.