Datenschutz Handreichung

Präsentation zum Thema: "Datenschutz Handreichung"—  Präsentation transkript:

1 Datenschutz Handreichung
Thema: Verzeichnis für Verarbeitungstätigkeiten Standort

2 Themensammlung Grundsätze Ausfüllhinweise Fazit

3 Verzeichnis für Verarbeitungstätigkeiten – (1) Was ist das genau?
Grundsätze Verzeichnis für Verarbeitungstätigkeiten – (1) Was ist das genau? Das KDG bringt eine Reihe von Dokumentationspflichten mit. Das Herzstück dieser Dokumentation ist das Verzeichnis von Verarbeitungstätigkeiten. Dabei handelt es sich um ein Formular, welches man für jede Tätigkeit ausfüllen muss, bei der man selbst personenbezogene Daten anderer erfasst und verarbeitet. Hierunter fallen im Bereich der Kirchengemeinden z.B. die Durchführung kirchlicher Amtshandlungen, Vermietung von Gemeindehäusern, etc.

4 Verzeichnis für Verarbeitungstätigkeiten – (2) Wozu ist es wichtig?
Grundsätze Verzeichnis für Verarbeitungstätigkeiten – (2) Wozu ist es wichtig? Es dient allen Mitarbeitern der Kirchengemeinden, die mit personenbezogen Daten arbeiten, als zentrales Nachschlagewerk. Es beschreibt im Wesentlichen, welche Daten gesammelt werden, zu welchem Zweck dies geschieht, warum dies erlaubt ist und was mit diesen Daten in der Folge passiert. Weiterhin vermittelt es, bei Vorlage auf Verlangen, einen ersten Eindruck der Kirchengemeinde in Richtung Datenschutz-Aufsichtsbehörde.

5 Verzeichnis für Verarbeitungstätigkeiten – (3) Weitere Fragen
Grundsätze Verzeichnis für Verarbeitungstätigkeiten – (3) Weitere Fragen Wo ist es gesetzlich geregelt? KDG § 31, sowie KDG-DVO § 1 Welche Informationen muss es enthalten? Siehe KDG § 31 Abs. 1, sowie Musterverzeichnisse im Bereich Datenschutz auf unser Homepage. Bis wann muss es angelegt sein? Das Verzeichnis muss bis zum erstellt sein.

6 Verzeichnis für Verarbeitungstätigkeiten –
Grundsätze Verzeichnis für Verarbeitungstätigkeiten – (4) Wo finde ich die Vorlagen? Die Ausfüll-Hinweise auf den folgenden Seiten sollen den/die Verantwortlichen in den Kirchengemeinden beim Ausfüllen des Muster- Formulars unterstützen.

7 Angaben zum Verantwortlichen
Ausfüllhinweise Katholische Kirchengemeinde XYZ Stiftungsrat Musterstr. 99 12345 Musterhausen Tel.: Angaben zum Verantwortlichen Name und Kontaktdaten Sollten im Sinne des § 28 mehrere Verantwortliche gemeinsam für die Verarbeitung verantwortlich sein, sind alle gemeinsam Verantwortlichen zu benennen. Angaben zum betrieblichen Datenschutzbeauftragten

8 Ausfüllhinweise Zweck
1 Zweck Jede Verarbeitung personenbezogener Daten erhält eine lfd. Nummer und eine eindeutige Bezeichnung für den Zweck der Datenverarbeitung. Die Zwecke müssen so aussagekräftig sein, dass die Aufsichtsbehörde die Angemessenheit der getroffenen Schutzmaßnahmen und die Zulässigkeit der Verarbeitung (mehr dazu später) einschätzen kann. Die Verarbeitungen sind in Einzelverzeichnisse nach Einrichtungen aufzugliedern, z.B. nach [I] Pastoral/Pfarrbüro, [II] Kirchenchor, [III] Kindergärten, etc.

9 Kategorien betroffener Personen
Ausfüllhinweise Kategorien betroffener Personen Hier sind die, von der Verarbeitung personenbezogener Daten, betroffenen Personen nach ihrer Kategorie aufzuführen. z.B. Mitarbeiter, Angehörige oder wie hier Erstkommunionkinder. Achtung: Sind dies Jugendliche oder Kinder? In diesen Fällen gelten besondere Regeln z.B. für die Einholung einer wirksamen Einwilligung (§8 Abs. 8 KDG), bei der die Personensorgeberechtigten mit einbezogen werden müssen.

10 Ausfüllhinweise Datenkategorien
Angabe der Datenkategorien, der im Verfahren verarbeiteten personenbezogenen Daten, z.B. Name, Anschrift, -Adresse, etc. Werden evtl. besondere Kategorien)* personenbezogener Daten verarbeitet? Wenn ja, sollten diese gesondert im Verzeichnis aufgeführt und beschrieben werden. In den Pfarrämtern wohl eher nicht der Fall, wohl aber in den Kindergärten (Gesundheitsdaten: z.B. Lebensmittel-Uv, Medikamente) )*Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person.

11 Rechtsgrundlage - Ist die Verarbeitung rechtmäßig?
Ausfüllhinweise Rechtsgrundlage - Ist die Verarbeitung rechtmäßig? Gibt es kirchliche oder staatliche Rechtsvorschriften? Wenn ja, welche? (Bsp.: Kindergarten, gem. SGB VIII §47 Meldepflicht div. Daten) Gilt der Erlaubnistatbestand des KDG? Vertrag oder Vertragsanbahnung mit dem Betroffenen [§6 Abs. 1c] Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen [§6 Abs. 1d] Wahrnehmung einer Aufgabe im kirchlichen Interesse [§6 Abs. 1f] Interessenabwägung, im Interesse der betroffenen Person [§6 Abs. 2c] und weitere … [§6] Liegt eine Einwilligung des Betroffenen vor?

12 Ausfüllhinweise Empfänger
Hier sind alle internen und/oder externen Kategorien von Empfängern zu benennen, gegenüber denen die personenbezogenen Daten der Betroffenen offengelegt werden. Beispiele intern: generell zugriffsberechtigte Mitarbeiter der KG (muss nicht unbedingt explizit genannt werden) Beispiele extern: Organisatoren, Katecheten, Angehörige, Vertragspartner, etc.

13 Ausfüllhinweise Löschfrist
Angabe der vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien, diese können folgende Ursprünge haben: Geltende handels- und steuerrechtliche Aufbewahrungspflichten, z.B. bei Kiga-Beitragsrechnungen = 10 Jahre (gem. UStG§ 14b) Vom Verantwortlichen festgelegte Löschungsfristen. Die im Muster- Formular eingetragenen Fristen wurden durch das Referat Datenschutz, nach Abstimmung mit einzelnen Pfarrsekretariaten und auf Basis des KDG [§ xx „Datenhaltung nur so lange notwendig“] festgelegt. Es ist ratsam, diese Fristen so zu übernehmen.

14 Technische und organisatorische Maßnahmen
Ausfüllhinweise Technische und organisatorische Maßnahmen Die erhobenen Daten müssen gem. §26 KDG (s.u.) geschützt werden! Die für den Schutz getroffenen Maßnahmen (sogenannte TOMs) sind in dieser Spalte einzutragen.

15 Ausfüllhinweise Es kann hier auch nur ein Verweis auf ein mitgeltendes Dokument erfolgen, d.h. eine übergreifende TOM-Beschreibung, die für mehrere/alle Verfahren der Einrichtung gilt. Wie im Beispiel: siehe IT-Sicherheitskonzept In diesem Konzept sollten dann alle TOMs einzeln aufgeführt sein. Beispiele für TOMs: Regelmäßige Datensicherung und Aufbewahrung der Datensicherungen (z.B. Bänder, CDs) in abgeschlossenen Bereichen (Schrank/Safe). Systemzugänge sind mit Passwort gesichert / Verwendung von individuellen Passwörtern Es gibt einen ganzen Katalog von Maßnahmen, an dem man sich orientieren kann (siehe Website).

16 Ausfüllhinweise Optional können aber auch Einzel-Maßnahmen benannt werden, die speziell für den einen Verarbeitungsvorgang eingerichtet wurden. Wie im obigem Beispiel, können die zugehörigen Dokumente zu den Gesprächen durch Berechtigungen speziell geschützt werden, so dass nur bestimmte Mitarbeiter diese einsehen können.

17 Ausfüllhinweise Datum
Datum Datum, an dem der Vorgang in das Verzeichnis aufgenommen oder zuletzt Änderungen daran durchgeführt wurden.

18 Fazit Die Erstellung des Verzeichnisses der Verarbeitungstätigkeiten ist mit einem gewissen Zeitaufwand verbunden. Aber an sich ist es reine Formsache, denn man ändert dadurch eigentlich nichts an den Abläufen bzgl. personenbezogener Daten, sondern dokumentiert diese lediglich. Dies hilft dabei den Überblick zu be- halten und ist somit nicht nur für den Datenschutz von großem Nutzen!