Source: https://www.mhg-protectit.de/post/fragebogen-der-th%C3%BCringer-datenschutz-aufsichtsbeh%C3%B6rde
Timestamp: 2020-08-05 11:05:10+00:00

Document:
Fragebogen der Thüringer Datenschutz-Aufsichtsbehörde
Seit kurzer Zeit schickt die Thüringer Datenschutzaufsichtsbehörde Fragebögen an Thüringer Unternehmen.
Dieser soll innerhalb einer Woche beantwortet und zurückgeschickt werden:
I. Betrieblicher Datenschutzbeauftragter nach Art. 37 DS-GVO i. V. m. § 38 Bundesdatenschutzgesetz (BDSG)
1. Sind in Ihrem Unternehmen mindestens zehn Personen (Voll- und Teilzeitkräfte sind gleichermaßen einzubeziehen, vorübergehende Schwankungen sind irrelevant) mit der automatisierten Verarbeitung (EDV) personenbezogener Daten beschäftigt?
2. Nimmt Ihr Unternehmen Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DS-GVO unterliegen (eine Liste, welche Verarbeitungsvorgänge unter eine DSFA fallen, ist auf der Webseite des TLfDI über den Link https://www.tlfdi.de/mam/tlfdi/ datenschutz/dsfa_muss-liste_04_07_18.pdf abrufbar, diese ist jedoch nicht abschließend)?
3. Ist Ihr Unternehmen ein Markt- oder Meinungsforschungsinstitut oder erfolgt eine sonstige geschäftsmäßige Übermittlung von personenbezogenen Daten?
4. Besteht die Kerntätigkeit (Haupttätigkeit) Ihres Unternehmens in der Durchführung von Verarbeitungsvorgängen, welche eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen? (z. B. Profiling, Auskunfteien, Detekteien, elektronische Leistungskontrolle von Arbeitnehmern durch systematischer Auswertung der Arbeitszeiten, GPS-Überwachung oder dauerhafter Videoüberwachung, Wearables, personenbezogene Treueprogramme, etc.)
5. Wurde in Ihrem Unternehmen ein betrieblicher Datenschutzbeauftragter benannt?
6. Wird die Tätigkeit des Datenschutzbeauftragten extern ausgeübt?
7. Falls ja, erfolgte die Benennung einer:
- natürlichen Person
- juristischen Person
8. Wird die Tätigkeit des Datenschutzbeauftragten intern ausgeführt?
9. Übt der interne Datenschutzbeauftragte eine leitende Position bzw. leitende Tätigkeit in Ihrem Unternehmen aus?
10. Steht der/dem Datenschutzbeauftragten weiteres Personal zur Verfügung?
11. Besucht die/der Datenschutzbeauftragte regelmäßig Fortbildungsveranstaltungen zum Datenschutz?
- Ja, einmal jährlich
- Ja, zuletzt im Jahr 2014
- Ja, zuletzt im Jahr 2015
- Ja, zuletzt im Jahr 2016
- Ja, zuletzt im Jahr 2017
- Ja, zuletzt im Jahr 2018
- Nein nicht zutreffend
12. Hat der/die Datenschutzbeauftragte an einer Fortbildung zu den neuen Regelungen der DSGVO und des neuen BDSG, sowie deren Umsetzung teilgenommen?
13. Wurde die/der benannte Datenschutzbeauftragte nach Art. 37 Abs. 7 DS-GVO Ihrerseits dem TLfDI gemeldet?
14. Wurden die Kontaktdaten des Datenschutzbeauftragten Ihrerseits veröffentlicht?
1. Gibt es in Ihrem Unternehmen für jede Verarbeitungstätigkeit (z. B. Kundenverwaltung, Lohnbuchhaltung) ein Verzeichnis der Verarbeitungstätigkeiten gem. Art. 30 Abs. 1 DS-GVO? - Ja
2. War die durch die Aufsichtsbehörden des Bundes und der Länder erstellte Mustervorlage mit entsprechenden Hinweisen (auch auf der Webseite des TLfDI zur Verfügung gestellt) hilfreich?
III. Erlaubnistatbestände Art. 6 DS-GVO
1. Können Sie jede in Ihrem Unternehmen vorgenommene Verarbeitung personenbezogener Daten einem Erlaubnistatbestand des Art. 6 DS-GVO zuordnen?
2. Welche Erlaubnistatbestände des Art. 6 DS-GVO bereiten Ihnen in der täglichen Anwendung die meisten Probleme? Art. 6 Abs. 1
- Buchstabe a) DS-GVO (Einwilligung) Art. 6 Abs. 1
- Buchstabe b) DS-GVO (Vertragserfüllung) Art. 6 Abs. 1
- Buchstabe f) DS-GVO (Interessenabwägung)
3. Wird in Ihrem Unternehmen öfter vom Erlaubnistatbestand der Einwilligung (Art. 6 Abs. 1 Buchstabe a) DS-GVO) seit der Geltung der DS-GVO Gebrauch gemacht im Vergleich zur früheren Rechtslage?
4. Falls ja, wird die Einwilligung als „Auffangtatbestand“ verwendet, wenn es Probleme bei der Einordnung der Verarbeitungstätigkeiten in die anderen Erlaubnistatbestände gibt?
1. Wie werden in Ihrem Unternehmen die Informationspflichten nach Art. 13 und 14 DS-GVO umgesetzt (mehrere Antworten sind möglich)?
- durch Anlage in einem Antwortschreiben an die betroffenen Personen
- durch Verweis auf die Informationen auf der eigenen Webseite mit entsprechendem Link - - - Auslage/Aushang in Geschäftsräumen
- Informationsbroschüre, welche dem Kunden bei Vertragsschluss ausgehändigt wird
2. Wurden die Webseite(n) seit dem 25.05.2018 derart überarbeitet, dass über die Datenverarbeitung (der Webseite) ausreichend gem. Art. 13 DS-GVO informiert wird?
1. Wird mit einem Verfahren in Ihrem Unternehmen sichergestellt, dass die Antwortzeiten innerhalb der Frist bezüglich der Betroffenenrechte nach Art. 15 bis 22 DS-GVO sicherstellt? - Ja
2. Gab es in Ihrem Unternehmen bisher Probleme, die Betroffenenrechte nach Art. 15 bis 22 DS-GVO zu erfüllen?
3. Welche Probleme gab es insbesondere bei der Erfüllung des Auskunftsanspruchs der betroffenen Person (mehrere Antworten möglich)?
- Probleme beim Auffinden aller personenbezogenen Daten der betroffenen Person
- Probleme, weil die betroffene Person den Anwendungsbereich/das Auskunftsrecht zu weit ausgelegt
- Probleme bei der Zurverfügungstellung einer Kopie der personenbezogenen Daten der betroffenen Person
1. Wurde in Ihrem Unternehmen bereits eine Datenschutz-Folgenabschätzung seit der Geltung der DS-GVO durchgeführt?
2. Falls ja, wie viele?
- eine bis fünf
3. Wird der betriebliche Datenschutzbeauftragte (sofern einer benannt wurde) bei der Datenschutz-Folgenabschätzung einbezogen?
1. Wurden bestehende Auftragsverarbeitungsverträge bereits an die DS-GVO angepasst?
2. War die seitens des TLfDI auf seiner Webseite zur Verfügung gestellte Formulierungshilfe für einen Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DS-GVO in diesem Fall für Ihr Unternehmen hilfreich?
- Formulierungshilfe nicht bekannt

References: Art. 37
 § 38
 Art. 35
 Art. 37
 Art. 30
 Art. 6
 Art. 6
 Art. 6
 Art. 6
 Art. 6
 Art. 6
 Art. 13
 Art. 13
 Art. 15
 Art. 15
 Art. 28