Source: http://salzgrotte-papenburg.de/datenschutz.html
Timestamp: 2018-05-24 23:00:17
Document Index: 353120051

Matched Legal Cases: ['Art. 6', 'Art.\n5', 'Art. 5', 'Art. 5', 'Art. 5', 'Art. 5', 'Art. 5', 'Art. 5', 'Art. 5', 'Art. 35', 'Art.\n35', 'Art. 28', 'Art. 44', 'Art. 13', 'Art. 26', 'Art. 35']

Simon Knelangen
kontakt.salzgrotte@gmail.com
Wozu und warum werden IHRE Daten verarbeitet?
Bezeichnung der Verarbeitungstätigkeit: (Eindeutige Bezeichnung der dokumentierten Verarbeitungstätigkeit auf Grundlage eines
Fachprozesses. Es sollte eine im Unternehmen alltägliche Bezeichnung des Fachprozesses gewählt
• E-Mailverarbeitung
• Allgemeine Kundenverwaltung
Ort der Verarbeitung: Wo werden die Daten verarbeitet und gespeichert?
Im Rechenzentrum/Serverstandort in Deutschland
• Verarbeitungstätigkeit: „E-Mailverarbeitung“
! verfolgte Zweckbestimmungen: „Durchführung der elektronischen Kommunikation“
• Verarbeitungstätigkeit: „Allgemeine Kundenverwaltung“
! verfolgte Zweckbestimmungen: „Auftragsbearbeitung, Buchhaltung, Inkasso“
• Verarbeitungstätigkeit: „Lohn- und Gehaltsabrechnung“ verfolgte Zweckbestimmungen: „zur Erstellung der Lohnabrechnung; Erfüllung
gesetzl. Anforderungen“
Eine Verarbeitung kann auch mehrere Zwecke umfassen, so dass auch mehrere Zweckbestimmungen angegeben werden können.
Zweckänderung: (optionale Angabe) Wenn eine Zweckänderung durchgeführt werden soll/wurde, sollte hier der Grund für die
Zweckänderung benannt werden.
Rechtmäßigkeit der Verarbeitung, Art. 6
Hinweis: im Folgenden handelt es sich nur um Beispiele:
• Sonstige (etwa DSAnpUG-EU) Erforderlichkeit und Verhältnismäßigkeit, Art.
5 DSGVO (optionale Angabe)
Die Rechtmäßigkeit orientiert sich neben den Prinzipien „Verhältnismäßigkeit“ (Art. 5 Abs. 1 lit. b), „Transparenz“ (Art. 5 Abs. 1 lit. a),
„Datenminimierung“ (Art. 5 Abs. 1 lit. c), „Richtigkeit“ (Art. 5 Abs. 1 lit. d), „Speicherbegrenzung“ (Art. 5 Abs. 1 lit. c) und
„Integrität und Vertraulichkeit“ (Art. 5 Abs. 1 lit. f), insbesondere an dem Prinzip der Zweckbindung
(Art. 5 Abs. 1 lit. b).
Besteht ein hohes Risiko für die Rechte undbFreiheiten natürlicher Personen nach Art. 35b(Datenschutz-Folgeabschätzung)?
Hier sollte eine Bewertung der Risiken der Verarbeitungstätigkeit für die Rechte und Freiheiten natürlicher Personen auf Basis von Art.
35 DSGVO durchgeführt werden, um festzustellen ob die Durchführung einer Datenschutz- Folgenabschätzung notwendig ist.
Kreis der betroffenen Personengruppen Als betroffene Personengruppen kommen beispielsweise Kunden, Auftraggeber,
Interessenten, Mandanten, Patienten, Arbeitgeber, Mitarbeiter, Bewerber, Mieter, Lieferanten usw. in Betracht.
• Bankverbindungsdaten/Kreditkartendaten
• Interessen/Präferenzen
• Lohn-und Gehaltsdaten
• Qualifikationsdaten/Leistungs- und/oder
Herkunft der Daten: Woher stammen die Daten? Von Betroffenen selbst oder von einem Dritten?
Empfänger innerhalb des Verantwortlichen, z. B. Personalabteilung, IT-Abteilung, Einkauf, Produktion, Buchhaltung, Auftragsverarbeiter
Dritte, die nicht Auftragsverarbeiter sind, z. B. Konzerngesellschaft, Geschäftskunde, Finanzamt, Polizei, Staatsanwaltschaft.
Das Datenschutzrecht kennt kein Konzernprivileg.
Werden personenbezogene Daten innerhalb des Konzerns von einer Konzerngesellschaft zur anderen Konzerngesellschaft weitergegeben oder
übermittelt, so handelt es sich bei der empfangenden Konzerngesellschaft um einen Dritten und nicht um einen Empfänger innerhalb
Zugriffsberechtigte Personen Benennung der berechtigten Gruppen z. B.
Personalabteilung, IT-Abteilung, Einkauf,
Produktion, Buchhaltung, Auftragsverarbeiter
Nachweis Skizzierung des Berechtigungsverfahrens:
z. B. Active-Directory, Berechtigungskonzept
Auftragsverarbeiter Dieser Abschnitt ist auszufüllen, falls von dem
Verantwortlichen bei der Verarbeitungstätigkeit
Auftragsverarbeiter bzw. Sub-Auftragsverarbeiter
eingesetzt werden (Art. 28 DSGVO).
Bei mehr als einem Auftragsverarbeiter bzw. Sub-
Auftragsverarbeiter ist jeweils eine neue Tabelle
anzulegen, welche nummerisch fortlaufend zu
kennzeichnen ist
Schriftlicher datenschutzkonformer Vertrag Ist ein Auftragsverarbeitungsvertrag vorhanden?
(Nach BDSG oder bereits nach DSGVO?)
Geeignetheit des Auftragsverarbeiters Hier sollte das Ergebnis der Erstkontrolle
Standort der Verarbeitung In der EU oder im Drittland (d.h. außerhalb der
EU/des EWR)?
Datenübermittlung in Drittstaaten: Die Übermittlung von personenbezogenen Daten in
Drittländer ist ausschließlich zulässig, wenn neben
der Rechtmäßigkeit der Datenverarbeitung
weiterführend das durch die DSGVO gewährleistete
Schutzniveau in dem jeweiligen Drittland nicht
untergraben wird (Art. 44).
Drittstaaten / internationale Organisationen Drittländer sind Länder außerhalb der EU/des
Beispiele für internationale Organisationen:
Institutionen der UNO, der EU, usw.
Im Hinblick auf die vielfältigen Nachweispflichten, denen das Unternehmen im Datenschutz
unterliegt, kann es sinnvoll sein, weitere Aspekte zur Verarbeitungstätigkeit zu dokumentieren.
• Informationspflichten (Art. 13 und 14 DSGVO);
• Vereinbarungen zur gemeinsamen Verantwortung (Art. 26 DSGVO);
• durchgeführten Datenschutzfolgeabschätzungen zur Verarbeitungstätigkeit (Art. 35
Hinweis: Bei einer Anfrage der Aufsichtsbehörde müssen ggfs. weitere Nachweise vorgelegt
Webseite: One Capitalist