AUB e.v. Nürnberg Verfahrenmeldung nach 4e, 4g BDSG

Transkript

1 Bemerkung: Betriebliche Datenschutzbeauftragte fragen nach wie vor an, wie das Verfahrensregister zu gestalten ist, was er nach 4g Abs. 2 resp. 4e Satz 1 BDSG zu führen und auszugsweise für jedermann zur Einsichtnahme bereit zu halten hat. Was ist ein Verfahren im Sinne dieser Ausführungen? Der Begriff Verfahrensregister hat sich bereits eingebürgert im BDSG wird er mit Übersicht... über Angaben zu automatisierten Verarbeitungen umschrieben. Geht man davon aus, dass ein solches Register zu mehr Transparenz für die Betroffenen (auch für die Kontrolleure) unter dem Aspekt der Machbarkeit und Vereinfachung der dazu notwendigen Arbeit führen soll, dann muss man ein Verfahren relativ weitgefasst abgrenzen und verstehen. Aus dieser Sicht wären beispielsweise der Baustein SAP R/3-HR oder die Anwendung PAISY zum Einsatz für die Personaldatenverarbeitung solche Verfahren. Wann muss das Verfahrensregister für ein neues Verfahren verfügbar sein? Nach 4d Abs. 1 BDSG soll die Übersicht vor Einführung des Verfahrens erstellt werden. Nur so kann der Datenschutzbeauftragte seinen Aufgaben nach 4g Abs. Ziff. 1 BDSG gerecht werden. Ist das Unternehmen meldepflichtig, sollte die Übersicht sinnvoller Weise nach den Anforderungen der zuständigen Aufsichtbehörde gestaltet werden. Bisher war es bei der Bereitstellung der Registerinformationen so ( 32 Abs. 3 altes BDSG), dass bestimmte Teile des Registers nicht der Öffentlichkeit zur Verfügung stehen. Es handelte sich dabei um Angaben zur eingesetzten Hardware und um zu Empfängern bei der Übermittlung. Im 4e BDSG werden Hardware-Angaben nicht mehr verlangt, obwohl sie für den Datenschutzbeauftragten unverzichtbar sind. Allerdings sollten diese Angaben nach wie vor nicht für die Öffentlichkeit bestimmt sein. Empfänger bei Datenübermittlungen sind jedoch nach dem Transparenzgrundsatz nunmehr zu veröffentlichen. Eine wesentliche Frage ergibt sich schließlich daraus, wie nun ein solches Verfahrensregister aufzubauen ist. Der Hessische Datenschutzbeauftragte hat ein Formular dazu entwickelt. Im Folgenden wird diese Vorgabe an die Forderungen des BDSG angeglichen und als Vorschlag zur Gestaltung der Register im nicht-öffentlichen Bereich dargestellt. Beachte: Der GDD-Arbeitskreis BDSG 2001 hat in seiner Praxishilfe ebenfalls Muster zur Gestaltung der Verfahrensregister geschaffen (Sonderbeilage zur RDV 3/2002) MUS03 Seite 1

2 Verzeichnis der Verarbeitungen nach 4g BDSG 001 / 2011 Neues Verzeichnis Änderung (Die Gliederungspunkte sind zur Einsichtnahme für jedermann bestimmt) 1. Name und Anschrift der verantwortlichen Stelle Name und Anschrift AUB e.v. Nürnberg Die Unabhängigen Kontumazgarten Nürnberg 2.2 HR-Nr./Organisationskennziffer entfällt 2.3 Name und Anschrift des Auftragnehmers, wenn Daten nach 11 BDSG im Auftrag verarbeitet werden entfällt 3. Gesetzliche Vertreter 3.1 Inhaber/ Vorstände/ Geschäftsführer oder sonstige berufene Leiter Rainer Knoob Bundesvorsitzender Carsten Wach stellv. Bundesvorsitzender 3.2 Mit der Leitung der Datenverarbeitung beauftragte Personen Rainer Knoob Bundesvorsitzender der AUB e.v. Heinz Jürgen Forstreuter stellv. Bundesvorsitzender der AUB e.v. 4. Zweckbestimmung und Rechtsgrundlage der Datenerhebung, -verarbeitung oder -nutzung 4.1 Bezeichnung des Verfahrens Erheben von Mitglieder, Mitarbeiter, Kunden, Lieferantendaten. Einzug von Mitgliedsbeiträgen, 4.2 Zweckbestimmung Mitgliederbetreuung nach der genehmigten Satzung, Schulungen und Seminare zum Betriebsverfassung und Arbeitsrecht, 4.3 Rechtsgrundlage Bundesdatenschutzgesetz, Vereinssatzung MUS03 Seite 2

3 5. Art der gespeicherten Daten Lfd. Arten Daten nach 3 Abs. 9 Nr. Nein 01 Mitgliederdaten personenbezogen 02 Mitarbeiterdaten // 03 Kundendaten // 04 Lieferantendaten // 6. Kreis der Betroffenen 01 Mitglieder 02 Mitarbeiter 03 Kunden 04 Lieferanten 7. Empfänger und Herkunft der Daten 6.1 Empfänger der Daten Drittstaatenübermittlung AUB Geschäftsstelle Leiter AUB Campus Leiter AUB Sevice Leiter AUB Net Betriebsgruppenleiter / Gruppensprecher 6.2 Herkunft der Daten Aufnahmeantrag zur Mitgliedschaft Angebotswunsche 8. Regelfristen für die Löschung der Daten Mitglieder Mitarbeiter werden nicht gelöscht sondern bei Austritt aus dem Arbeitsverhältnis umgehend gesperrt. Lieferantendaten Kundendaten Löschfristen 10 hre 10 hre 10 hre MUS03 Seite 3

4 9. Zugriffsberechtigte Personen oder Personengruppen Mitarbeiter der Geschäftsstelle Bundesvorstand = R. Knoob, H-J- Forstreuter, K. Strelow C. Wach C. Bosse Blatt 3: 10. Technische und organisatorische Maßnahmen ( 9 BDSG) Folgende aufeinander aufbauende Festlegungen wurden getroffen: Hinsichtlich der allgemeinen Sicherheit wir auf das vorhandene Sicherheitskonzept verwiesen Erläuterungen zu den einzelnen Maßnahmen, insbesondere soweit sie das Verfahren betreffen: Zutrittskontrolle (z.b. DV-Technik in gesicherten Räumen, Sicherheitsschlösser vorhanden) Nein Zugangskontrolle (z.b. Passwortregelung zur Authentifikation; automatische Bildschirmsperre) Zugriffskontrolle (z.b. Differenzierte Zugriffe auf einzelne Felder; unterschiedliche Rechte) Weitergabekontrolle (z.b. Verschlüsselung von Daten, Protokollierung) Nein / Eingabekontrolle (z.b. Protokollierung: Wer, wann, evt. was) MUS03 Seite 4

5 Auftragskontrolle (z.b. klare Vertragsregelungen, dokumentierte Prüfung der Zuverlässigkeit) Verfügbarkeitskontrolle (z.b. Backup/Wiederanlauf, RAID-System, USV) Nein Trennungsgebot (z.b. AG-bezogene Trennung der Datenbanken) Blatt 4: 10. Technik des Verfahrens 10.1 Arbeitsplatzrechner Betriebssystem: Unix Windows NT/2000 Windows. anderes: Microsoft Office Vernetzte Rechner Hardware Großrechner Betriebssystem: Datenendgerät Server Betriebssystem: Datenendgerät Terminal/ Netz-PC (ohne Laufwerke) PC (Arbeitsplatzrechner/Workstation) Terminal/Netz-PC (ohne Laufwerke) PC (Arbeitsplatzrechner/Workstation) Netzstruktur Netz innerhalb des Unternehmens LAN Intranet Sonstiges MUS03 Seite 5

6 Netz über externe Leitungen in geschlossener Benutzergruppe Offenes Netz (z.b. Internet) Datenspeicherung auf: Art der Daten (lfd. Nr. aus Ziff. 3): Großrechner Server innerhalb des Unternehmens Server außerhalb des Unternehmens PC / Arbeitsplatzrechner 10.3 Eingesetzte SW (einschl. Standardverfahren) Version/Stand/Datum: CRM / easy Sales Standard version 5.0 April 2011 Blatt 5: 11. Begründete Ergebnisse der Vorabkontrolle gem. 4d Abs. 5 BDSG Dokumentation der Vorabkontrolle Keine Vorabkontrolle erforderlich, Daten werden nicht in Drittländer transferiert. Daten sind nicht Sicherheitsrelevant. Es werden keine besonders Personen bezogene Daten erhoben. Es werden keine Personen Bewertungen mit den erhobenen Daten durchgeführt. 12. Ergänzungen Wenn der Raum einzelner Spalten nicht ausreicht, sind dort Verweise auf die folgenden Ergänzungsfelder vorzunehmen: MUS03 Seite 6

7 MUS03 Seite 7