Source: https://anderebaustelle.jimdo.com/datenschutz/verarbeitungsverzeichnis/
Timestamp: 2019-07-24 08:35:07
Document Index: 356259841

Matched Legal Cases: ['Art. 30', 'Art. 30', 'Art. 6', 'Art. 7', 'Art. 8', 'Art 13', 'Art. 4', 'Art. 28', 'Art. 6', 'Art. 13', 'Art. 13', 'Art. 13', 'Art. 13', '§147', 'Art. 13', '§147', 'Art. 88', '§ 26', 'Art. 6', 'Art. 6', '§ 155', '§ 147', '§16', 'Art. 6']

Verarbeitungsverzeichnis - anderebaustelles Webseite!
Verzeichnis von Verarbeitungstätigkeiten des Verantwortlichen (Art. 30 DSGVO)
Angaben zum Verantwortlichen (Art. 30 Abs. 1 lit. a DSGVO):
73054 Eislingen (Deutschland)
info@hanak-datenschutz.de
Betreuung von Teilnehmern. 3
Betrieb der Firmenwebseite. 9
Bewerbermanagement 14
Lieferantenmanagement 19
Mitgliederverwaltung. 25
Parkplatzverwaltung im Auftrag der Stadt Ulm.. 31
Schreinerdienstleistung. 42
Spenden und Sponsoring. 47
Anhang. 52
Schutzbedarfsfeststellung. 52
Risikobewertung. 54
2. Fachverantwortlicher:
Petra Schuhmann, E-Mail: schuhmann@ab-ulm.de, Tel.: 0731 – 140057-16
3. Zwecke der Verarbeitungstätigkeit:
Zweck der Datenverarbeitung ist ein Ausbildungs- oder Förder- oder sonstiges Unterstützungsverhältnis zwischen der Anderen Baustelle Ulm e.V. und den Betroffenen (Teilnehmern). Dies kann bspw. die Unterstützung im Bereich der schulischen Ausbildung, Betreuung im Lebensumfeld, Sicherung der Grundbedürfnisse und persönliche Entwicklung, die Begleitung und Unterstützung bei Behördengängen, Unterstützung bei der Klärung familiärer Probleme, die Vermittlung von Praktika und Einführung in den Arbeitsmarkt, Unterstützung bei laufenden Strafverfahren oder die Integrationsunterstützung von Flüchtlingen sein. Zu diesem Zweck ist es zudem erforderlich, die Daten an die finanzierenden behördlichen Auftraggeber zu übermitteln. Die Verarbeitung und Weiterleitung der Daten erfolgt auf Basis einer Einwilligung, die vom jeweiligen Auftraggeber zur Verfügung gestellt wird.
4. Kategorien personenbezogener Daten:
Der Umfang der verarbeiteten Datenarten ist abhängig von der Art der Unterstützung. Folgende Datenarten können erfasst und verarbeitet werden:
· Geburtsort, und -datum
· Daten zur Krankenversicherung
· Daten zur beruflichen Situation
· gesundheitliche Situation
· familiäre Situation
· Lebenslaufdaten
· Daten zu Straftaten
· Wünsche und Ziele für die weitere Entwicklung
· aktuelle Problemstellung
· Zielvereinbarungen
· Kontaktdaten zugehöriger amtlicher Ansprechpartner
· Kontaktdaten zuständiger Ärzte
· Betreuungsverlauf
· besondere Vorkommnisse
· gerichtliche Auflagen und Weisungen
5. Kategorien betroffener Personen:
Von der Verarbeitung betroffene Personen sind die Teilnehmer der Anderen Baustelle Ulm e.V.
6. Kategorien von Empfängern:
· Auftraggeber (bspw. Stadt Ulm und/oder ESF) und sonstige involvierte Behörden (Gerichte, Jugendamt, Jugendgerichtshilfe, Bewährungshilfe etc.)
· Für ein Beschäftigungsverhältnis erforderliche Daten (i.d.R. Name und Kontaktdaten) werden bei der Praktikumsvermittlung dem Praktikums-betrieb übermittelt.
6.1 Auftragnehmer (Auftragsverarbeiter):
· Stefan Mende (Schweinfurth)
7. Zugriffsberechtigte:
Zugriffsberechtigt auf die verarbeiteten personenbezogenen Daten seitens der der Anderen Baustelle Ulm e.V. sind ausschließlich die Geschäftsführung, der CaseManager, das entsprechende Betreuungspersonal und die Verwaltung.
8. Rechtsgrundlage der Verarbeitungstätigkeit:
Daneben erfolgen die Verarbeitungen auch in den Fällen, in denen wir vom Betroffenen eine Einwilligung erhalten haben wie bspw. zur Übermittlung der Daten an den Auftraggeber (z.B. Europäischer Sozialfond). Eine Einwilligung gem. Art. 6 Abs. 1 lit. a DSGVO liegt vor. Die Anforderungen an die Einwilligung gem. Art. 7 Abs. 1-4 DSGVO sowie insbesondere für Kinder gem. Art. 8 DSGVO werden erfüllt.
9. Bereitstellung der Daten:
Die Erhebung und Verarbeitung der Daten ist für die Teilnahme an unseren Unterstützungsprogrammen erforderlich. Ohne Die Bereitstellung der Daten kann ein Teilnahmevertrag nicht abgeschlossen werden.
Wir erheben personenbezogene Daten grundsätzlich im direkten Kontakt.
Die Daten werden bei der betroffenen Person im Rahmen des persönlichen Erstgesprächs und während der folgenden Betreuung direkt erhoben.
11. 10. Einwilligung:
Einwilligungen werden von den behördlichen Auftraggebern bereitgestellt und in deren Auftrag eingeholt.
Zudem wird in bestimmten Fällen eine Einwilligung zur Schweigepflichtsentbindung eingeholt, sofern dies für die Betreuung erforderlich ist.
12. Informationspflichten:
Informiert gem. Art 13 DSGVO wird schriftlich als Anhang zum Vertrag oder im Rahmen des Erstgesprächs, sofern kein schriftlicher Vertrag geschlossen wird.
13. Datenübermittlungen in Drittländer oder internationale Organisationen:
14. Fristen für die Löschung der Datenkategorien:
Die Daten des Betroffenen werden nach Ende der vereinbarten Betreuungsmaßnahme gelöscht. Die Betreuungsphase und somit auch die Aufbewahrungsfrist endet i.d.R. mit Erreichen des 27. Lebensjahres. Die Löschung erfolgt innerhalb eines Monats nach Ablauf der Frist. Sofern ein Widerspruch gegen die Verarbeitung der Daten im Zusammenhang mit vorzeitiger Beendigung der Betreuung erfolgt, findet die Löschung vorzeitig statt.
15. Eingesetzte Anwendungen:
16. Risikoanalyse:
16.1 Schwellenwertanalyse (nach G29)
Findet eine Bewertung oder Einstufung betroffener Personen statt?
Findet eine automatisierte Entscheidungsfindung mit Rechtswirkung oder ähnlich bedeutsamer Wirkung statt?
Findet eine systematische Überwachung statt?
Werden Daten verarbeitet, die vertraulich sind oder sich auf den höchstpersönlichen Lebensbereich der betroffenen Personen beziehen?
Werden Daten in großem Umfang verarbeitet?
Werden Daten verarbeitet, die in besonderer Weise zu Identitätsdiebstahl bzw. Identitätsbetrug genutzt werden können?
Werden Daten verarbeitet, die zum Abgleichen oder Zusammenführen von Datensätzen genutzt werden können?
Werden Daten verarbeitet, deren mangelnder Schutz finanzielle Risiken oder erhebliche wirtschaftliche Nachteile für die betroffenen Personen birgt?
Werden Daten von Schutzbedürftigen verarbeitet?
Findet eine innovative Nutzung oder Anwendung neuer technologischer oder organisatorischer Lösungen statt?
Birgt die Verarbeitung die Gefahr, dass die betroffenen Personen an der Ausübung eines Rechts oder der Nutzung einer Dienstleistung bzw. Durchführung eines Vertrags gehindert werden?
Je mehr eine Verarbeitung diese Kriterien erfüllt, desto verpflichtender hält die G29* eine Folgenabschätzung. Die Gruppe schlägt vor, dass eine Risikobewertung notwendig ist, sobald eine Verarbeitung zwei oder mehr Punkte erfüllt.
Es muss eine DSFA durchgeführt werden.
* Die G29 ist ein unabhängiges Beratungsgremium der Europäischen Kommission. Seine Aufgabe ist es, Informationen, Empfehlungen und Stellungnahmen zu Themen auszuarbeiten, die in puncto Datenschutz bei der Verarbeitung personenbezogener Daten in der Europäischen Gemeinschaft relevant sind.
16.2 Schutzbedarfsfeststellung:
Vertraulichkeit: hoch
Begründung: Aufgrund der Sensibilität (Gesundheitsdaten, Daten zu Straftaten, etc.) handelt es sich um personenbezogene Daten, bei deren Verarbeitung der Betroffene in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen erheblich beeinträchtigt werden kann. Die Beeinträchtigung würde von einzelnen Betroffenen als nicht tolerabel eingeschätzt werden. Zudem muss davon ausgegangen werden, dass für den Betroffenen eine Ansehens- oder Vertrauensbeeinträchtigung ist zu erwarten ist.
Integrität: hoch
Begründung: Eine Beeinträchtigung der persönlichen Unversehrtheit kann nicht ausgeschlossen werden. Falsche Daten können zudem zu Beeinträchtigungen in der Betreuung führen, die von einzelnen Betroffenen als nicht tolerabel eingeschätzt wird.
Begründung: Die maximale tolerierbare Ausfallzeit liegt zwischen einer und 24 Stunden
Die Bewertungskriterien für die Schutzbedarfsfeststellung sind in Anhang Schutzbedarfsfeststellung aufgeführt.
16.3 Risikobewertung:
Das Risiko für diese Verarbeitungstätigkeit wurde als nicht hoch bewertet.
Als ausschlaggebend für diese Bewertung ist die ungünstigste Bewertung der Einzelrisiken aus den Bereichen Vertraulichkeit, Integrität und Verfügbarkeit. Diese wurden in Schweregrad und Eintrittswahrscheinlichkeit bewertet. Es wird von einem hohen Risiko ausgegangen, wenn beide Bewertungen mindestens als substanziell eingestuft wurden.
Schweregrad des Risikos
Die Bewertungskriterien für die Risikobewertung sind in Anhang Risikobewertung aufgeführt.
Die Risikobewertung dient zur Feststellung der Erforderlichkeit einer Datenschutz-Folgenabschätzung. Darüber hinaus ist es erforderlich das Risiko der Verarbeitungstätigkeit zu kennen, um mögliche und eintretende Datenschutzverstöße bzgl. Meldepflicht und Informationspflicht bewerten zu können.
16.4 Fazit
Es ist bei dieser Verarbeitungstätigkeit von keinem hohen Risiko auszugehen.
Zweck der Datenverarbeitung ist die Veröffentlichung der Vereinskontaktdaten sowie die Außendarstellung des Vereins im Internet.
· Internetnutzungsdaten
o Meldung über erfolgreichen Abruf
o Browser und Browsertyp
o die Internetseite, von der weitergeleitet wurde
o besuchte Seiten
o anfragende Domain
Von der Verarbeitung betroffene Personen sind die Internetbesucher der Unternehmenswebsite der Anderen Baustelle Ulm e.V. Diese ist unter www.ab-ulm.de zu erreichen.
Auftragsverarbeiter - Auftragsverarbeiter i.S.d. Art. 4 i.V.m. Art. 28 DSGVO
· 1&1 IONOS SE (Montabaur)
Zugriffsberechtigt seitens auf die Internetnutzungsdaten ist ausschließlich die Geschäftsführung der Anderen Baustelle Ulm e.V.
Die Verarbeitung ist zur Wahrung des berechtigten Interesses des Verantwortlichen oder eines Dritten gem. Art. 6 Abs. 1 lit. f DSGVO (für Zwecke der Datensicherheit, insbesondere zur Abwehr von Angriffsversuchen auf unseren Webserver) erforderlich und es überwiegen keine Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person.
9. Quelle der Daten:
Wir erheben personenbezogene Daten grundsätzlich im direkten Kontakt mit dem Betroffenen. Die zum oben genannten Zweck verarbeiteten personenbezogenen Daten werden während der Nutzung unserer Internetseite direkt vom Betroffenen erhoben.
Die Informationspflichten gemäß Art. 13 DSGVO werden über die Datenschutzerklärung auf der Unternehmenswebsite der der Anderen Baustelle Ulm e.V. erfüllt. Die Datenschutzerklärung ist unter www.ab-ulm.de/j/privacy zu erreichen.
11. Datenübermittlungen in Drittländer oder internationale Organisationen:
12. Fristen für die Löschung der Datenkategorien:
Die Daten werden unverzüglich nach Zweckerfüllung gelöscht, sofern keine anderen gesetzlichen oder vertraglichen Aufbewahrungspflichten bestehen. Die Löschung erfolgt automatisch durch den Hosting-Anbieter nach 7 Tagen.
13. Beschreibung der technischen und organisatorischen Maßnahmen:
Der Zugang zur Website erfolgt HTTPS-verschlüsselt. Die technischen und organisatorischen Maßnahmen erfolgen in erster Linie durch den Hosting-Anbieter, der die Logfiles erstellt und speichert. Im Falle des Downloads der Logfiles zu Auswertungszwecken greifen die eigenen technisch organisatorischen Maßnahmen.
14. Eingesetzte Anwendungen:
Die Erfassung, Speicherung und Löschung der Daten erfolgen auf dem Server des Hosting-Anbieters.
15. Risikoanalyse:
15.1 Schwellenwertanalyse (nach G29)
Es muss vorbehaltlich einer Auflistung der Aufsichtsbehörden keine DSFA durchgeführt werden.
15.2 Schutzbedarfsfeststellung:
Vertraulichkeit: normal
Begründung: Da ein Angreifer mit dem Abgreifen der IP-Adressen ohne Mithilfe des Netzbetreibers keinen Personenbezug herstellen kann, erscheint eine Beeinträchtigung der persönlichen Unversehrtheit des Betroffenen nicht möglich. Auch andere Beeinträchtigungen oder finanzielle Auswirkungen scheinen nicht möglich zu sein.
Integrität: normal
Begründung: Sofern der schwer vorstellbare Fall eintritt, dass die Logfiles des Internet-Providers falsche Daten beinhalten ist davon auszugehen, dass der Betroffene dadurch keine Nachteile hat. Vor allem bei falschen IP-Adressen kann der Betroffene keine Auswirkungen erfahren, da der Bezug zu seiner Person damit nicht mehr besteht.
Begründung: Da ein Betroffener keinen Nutzen aus den gespeicherten Internetnutzungsdaten hat, kann ihm durch den Verlust dieser Daten somit auch kein Nachteil entstehen. Zudem ist es nicht wahrscheinlich, dass in den hoch sicheren modernen Rechenzentren des Providers Logfiles abhanden kommen.
15.3 Risikobewertung:
Grund: Da ein Angreifer mit dem Abgreifen der IP-Adressen ohne Mithilfe des Netzbetreibers keinen Personenbezug herstellen kann, entstehen dem Betroffenen keine Beeinträchti-gungen.
Grund: Der Hosting-Anbieter betreibt ein modernes sicheres Rechenzentrum. Aufgrund der geringen Bedeutsamkeit der gespeicherten Daten scheint der Anlass zu gering um einen derart hohen kriminellen Auffand zu betreiben.
Grund: Es sind keine echten Beeinträchtigungen für den Betroffenen zu erwarten. Im Falle dessen, dass die IP-Adresse falsch ist, ist der Betroffene nicht mehr der Betroffene, da sein Personenbezug nicht mehr besteht. Sollte stattdessen bspw. ein falscher Browser oder eine verfälschte Nutzungszeit aufgezeichnet werden, ist davon auszugehen, dass es dem Betroffenen ebenfalls egal ist, da diese Daten nur in seltensten anlassbezogenen Fällen ausgewertet werden.
Grund: Ein technisch bedingtes falsches erfassen der Daten ist in einem modernen Rechenzentrum eher ausgeschlossen. Am ehesten erfolgt das Verfälschen der Daten (insb. Der IP-Adresse) durch den betroffenen selbst, der über VPN-Verbindungen seinen „digitalen“ Aufenthalts-ort im Internet nahezu jedem Standort der Welt zuordnen kann.
Grund: Da ein Betroffener keinen Nutzen aus den gespeicherten Internetnutzungsdaten hat, kann ihm durch den Verlust dieser Daten somit auch kein Nachteil entstehen.
Grund: Das Rechenzentrum des Hosting-Anbieters spiegelt Platten, Server, Serverräume etc. und führt in regelmäßigen Abständen Datensicherungen durch. Bei Daten, die unter solchen Voraussetzungen verarbeitet werden sind bestens gesichert. Von einem Verfügbarkeitsproblem muss hier nicht ausgegangen werden.
15.4 Fazit
· Bewerberdaten wie bspw:
o Lebenslauf und Zeugnisse
Von der Verarbeitung betroffene Personen sind alle, die sich bei der Anderen Baustelle Ulm e.V. um eine Anstellung oder ein Praktikum bewerben.
Zugriffsberechtigt auf die verarbeiteten Daten seitens der Anderen Baustelle Ulm e.V. sind die Geschäftsführung, die Verwaltung und der entsprechende leitende Mitarbeiter.
Die Daten werden über die eingehenden Bewerbungen direkt von der betroffenen Person erhoben.
Für die Verarbeitung von Bewerberdaten über die gesetzlich vorgeschriebene Höchstdauer von 6 Monaten hinaus erbitten wir den Betroffenen schriftlich um eine Einwilligung, sofern es dafür berechtigte Gründe gibt (z.B. freiwerdende Stellen in absehbarer Zeit, auf die der Bewerber passen würde). Dies ist zwingend erforderlich, da ohne Einwilligung eine Berücksichtigung der Bewerbung nach dieser Frist gesetzlich nicht zulässig ist.
11. Informationspflichten:
Die Informationen zur Erhebung und Verarbeitung der Daten gemäß Art. 13 DSGVO werden dem Bewerber zusammen mit der Eingangsbestätigung als Anhang zur Verfügung gestellt. Dies erfolgt i.d.R. elektronisch mit einem Verweis auf das im Datenschutzbereich der Website hinterlegte Informationsdokument.
12. Datenübermittlungen in Drittländer oder internationale Organisationen:
13. Fristen für die Löschung der Datenkategorien:
Begründung: Der Umfang der Daten ist i.d.R. hoch genug, um ein sogenanntes social hacking zu ermöglichen. Zudem können Gesundheitsdaten im Lebenslauf enthalten sein. Die Folgen eines Vertraulichkeitsverlustes können im ungünstigsten Fall dazu führen, dass sich eine unbefugte Person als der Betroffene ausgibt und einen (über den Nachweis des Vorfalls revidierbaren) erheblichen finanziellen Schaden verursacht.
Begründung: Ein unbemerktes verfälschen der Daten kann eine falsche Bewertung des Betroffenen zur Folge haben. Besonders gravierende Änderungen führen womöglich sogar dazu, dass der Bewerber im Auswahlverfahren nicht weiter berücksichtigt wird. Daraus ergibt sich jedoch keine Verschlechterung der Ist-Situation des Betroffenen, sondern ein unverändertes Fortbestehen selbiger. Nichtsdestotrotz ist es im Sinne des Verantwortlich die Datenintegrität zu wahren um den Bestgeeigneten unter den Bewerbern für sich heraus zu finden.
Begründung: Ein Verlust der Verfügbarkeit der Daten hat im Extremfall zur Folge, dass der Betroffene im Bewerbungsverfahren nicht berücksichtigt wird. Dies ist zwar zuungunsten des Bewerbers, hat jedoch keine Verschlechterung der bestehenden persönlichen oder finanziellen Situation zur Folge. Es ist auch damit zu rechnen, dass im Falle des Datenverlusts und der sich daraus ergebenden fehlenden Reaktion seitens des Verantwortlichen ein Nachfragen durch den Betroffenen erfolgt und die Daten somit neu angefordert werden können.
Aufgrund der hohen Vertraulichkeit werden Mitarbeiter, die mit Bewerberdaten Umgang haben besonders sensibilisiert. Ihre Räumlichkeiten sind bei Abwesenheit verschlossen und der Computerzugang wird anderen Personen gegenüber verwehrt.
Grund: Der Umfang der Daten ist i.d.R. hoch genug, um ein sogenanntes social hacking zu ermöglichen. Zudem können Gesundheitsdaten im Lebenslauf enthalten sein. Die Folgen eines Vertraulichkeitsverlustes können im ungünstigsten Fall dazu führen, dass sich eine unbefugte Person als der Betroffene ausgibt und einen (über den Nachweis des Vorfalls revidierbaren) erheblichen finanziellen Schaden verursacht.
Grund: Der Diebstahl von Bewerbungsdaten ist schwer möglich. Für die Datenübertragung per Mail wird dem Bewerber die dem Stand der Technik entsprechende PGP-Verschlüsselung angeboten. Darüber hinaus sind alle Räumlichkeiten, in denen Bewerberdaten verarbeitet werden, bei Abwesenheit der Verantwortlichen verschlossen. Die verarbeitenden Mitarbeiter sind geschult und auf Verschwiegenheit verpflichtet.
Grund: Ein Integritätsverlust kann eine falsche Bewertung des Betroffenen zur Folge haben. Besonders gravierende Änderungen führen womöglich sogar dazu, dass der Bewerber im Auswahlverfahren nicht weiter berücksichtigt wird. Daraus ergibt sich jedoch keine Verschlechterung der Ist-Situation des Betroffenen.
Grund: Eine Veränderung der Daten ist sehr unwahrscheinlich, da die Daten in ihrem Format unverändert bleiben. Es findet weder eine Schrifterkennung noch ein Übertrag in eine Bewerber-managementsoftware statt.
Grund: Ein Verlust der Verfügbarkeit der Daten hat im Extremfall zur Folge, dass der Betroffene im Bewerbungsverfahren nicht berücksichtigt wird. Für gewöhnlich wird der Vorfall jedoch festgestellt, sodass der Bewerber seine Daten erneut einreichen kann.
Die Situation ist zwar zuungunsten des Bewerbers, hat jedoch keine Verschlechterung der bestehenden persönlichen oder finanziellen Situation zur Folge.
Grund: Ein Datenverlust ist möglich. Dies kann sowohl durch menschliches Versagen (versehentliches Vernichten der Daten) als auch durch kriminelle Energie (Viren, Verschlüsselungs-trojaner, etc.) erfolgen.
In den meisten Fällen muss jedoch davon ausgegangen werden, dass ein solcher Vorfall entdeckt und darauf reagiert wird.
Gegen das versehentliche Löschen, Verschlüsselungstrojaner etc. hilft zudem das regelmäßige Backup, welches ein Widerherstellen der Daten ermöglicht.
Von der Verarbeitung betroffene Personen sind bestehende, wie auch potenzielle Lieferanten der Anderen Baustelle Ulm e.V. und deren Mitarbeiter.
· IT sure GmbH (Neu-Ulm)
Zugriffsberechtigt auf die verarbeiteten personenbezogenen Daten seitens der der Anderen Baustelle Ulm e.V. sind ausschließlich die Geschäftsführung, der Betriebsleiter der Schreinerei und die Verwaltung.
Wir erheben die Daten grundsätzlich im direkten Kontakt.
Die zum oben genannten Zweck verarbeiteten personenbezogenen Daten werden bei der Terminabsprache oder der Bestellung direkt beim Betroffen erhoben.
Die Informationspflichten gem. Art. 13 DSGVO werden durch Bereitstellung der entsprechenden Informationsdokumente im Datenschutzbereich der Homepage erfüllt. Die Betroffenen werden zum Zeitpunkt der Datenerhebung darauf hingewiesen, dass dieses Dokument dort bereitgestellt wird.
· Forma Office
Begründung: Art und Umfang der Daten ist i.d.R. von geringer Bedeutsamkeit. Zudem handelt es sich hierbei fast ausschließlich um Daten, die der Öffentlichkeit ohnehin zur Verfügung stehen, da Unternehmen Ihre Kontaktdaten i.d.R. zu Marketingzwecken veröffentlichen.
Begründung: Falsche Daten haben im Lieferantenmanagement keine gravierenden Auswirkungen. Im schlimmsten Fall stimmt die Bankverbindung nicht und der Rechnungsbetrag wird falsch überwiesen. Dadurch entsteht für den Verantwortlichen ein Aufwand für die Wiederbeschaffung und der Betroffene erhält sein Geld mit einer Verzögerung. Diese sollte sich jedoch in Grenzen halten.
Begründung: Ein Verlust der Daten ist eher für den Verantwortlichen als für den Betroffenen von Nachteil, da dieser seine Bestellungen evtl. nicht wie benötigt durchführen kann. I.d.R. sollte die Wiederbeschaffung der Daten ohne irgendwelche Nachteile innerhalb kürzester Zeit umsetzbar sein.
Grund: Die verarbeiteten Lieferantendaten beschränken sich fast ausschließlich auf wenige, der Öffentlichkeit ohnehin zugängliche Daten.
Bei Verlust der Vertraulichkeit der Daten bestünde das größte Risiko für den Betroffenen im Social Engineering, bei dem sich ein Unbefugter beim Betroffenen für den Verantwortlichen ausgibt um an weitere Informationen zu gelangen.
Grund: Der Diebstahl von Bewerbungsdaten ist schwer möglich, da alle schützenswerten Lieferantendaten in den Systemen des Verantwortlichen hinterlegt sind. Die Zugänge zu den Systemen ist über Benutzer-berechtigungen beschränkt. Büroräume werden bei Verlassen verschlossen.
Für Papierdokumente findet eine datenschutzkonforme Vernichtung über Aktenvernichter der Stufe 4 statt.
Zudem sind alle Mitarbeiter des Verantwortlichen zur Verschwiegenheit verpflichtet.
Grund: Falsche Daten haben keine gravierenden Auswirkungen. Im schlimmsten Fall stimmt die Bank-verbindung nicht und der Rechnungs-betrag wird falsch überwiesen. Dadurch erhält der Betroffene sein Geld mit einer Verzögerung. Diese sollte sich jedoch in Grenzen halten.
Grund: Eine Veränderung der Daten ist möglich. Dies gilt vor allem für die Bankverbindung, die beim Übertrag in die entsprechende unterstützende Software händisch falsch übertragen werden kann. Der Fehler würde jedoch spätestens nach der ersten falsch überwiesenen Zahlung bemerkt und korrigiert werden.
Grund: Ein Verlust der Daten ist eher für den Verantwortlichen als für den Betroffenen von Nachteil, da dieser seine Bestellungen evtl. nicht wie benötigt durchführen kann. I.d.R. sollte die Wiederbeschaffung der Daten ohne irgendwelche Nachteile innerhalb kürzester Zeit umsetzbar sein.
Zweck der Datenverarbeitung ist die Verwaltung der Mitglieder der Anderen Baustelle Ulm e.V. Hierzu zählen auch die Organisation von Mitgliederversammlungen einschließlich postalischer Einladung und der Führung einer Teilnehmerliste i.V.m. der Protokollführung sowie der Information zu Vereinsangelegenheiten. Dies bedingt aber auch die Verarbeitung der Daten zum Zweck des Beitragseinzugs und aus Gründen der Vorderungsverfolgung usw. Ferner erfolgen Datenverarbeitungen aus Gründen der Betreuung und Wartung von IT-Systemen und Anwendungen.
Von der Verarbeitung betroffene Personen sind die Mitglieder der Anderen Baustelle Ulm e.V.
Zugriffsberechtigt auf die verarbeiteten personenbezogenen Daten seitens der der Anderen Baustelle Ulm e.V. sind ausschließlich die Geschäftsführung, der Vorstand und die Verwaltung.
Die Erhebung und Verarbeitung der Daten ist für die Begründung und den Erhalt der Mitgliedschaft Voraussetzung. Werden die notwendigen Informationen nicht bereitgestellt, kann auch die Abrechnung als Bestandteil des Mitgliedsvertrages nicht erfolgen.
Die zum oben genannten Zweck verarbeiteten personenbezogenen Daten werden über den Mitgliedsantrag direkt beim Betroffen erhoben.
Die Informationspflichten gem. Art. 13 DSGVO werden dem Betroffenen schriftlich mit dem Antrag auf Mitgliedschaft ausgehändigt.
Daten aus dem Mitgliedsverhältnis werden nach Ausscheiden des Mitglieds für 10 Jahre aufbewahrt und anschließend gelöscht. Dies entspricht der gesetzlichen Aufbewahrungsfrist gemäß §147 AO. Sofern keine weiteren vertraglichen oder gesetzlichen Aufbewahrungsfristen bestehen werden personenbezogene Daten nach Zweckerfüllung gelöscht.
Daten von Ehrenmitgliedern werden unverzüglich nach Vertragsbeendigung gelöscht. Eine gesetzliche Aufbewahrungsfrist besteht nicht, da keine steuerlich relevanten Unterlagen existieren.
· SFirm
· DATEV
Begründung: Die Art und der Umfang der Daten entspricht der des Lieferantenmanagements. Die Schutzkategorie wurde entgegen der des Lieferantenmanagements jedoch um eine Stufe höher gewählt, da hier auch Privatpersonen betroffen sein können. Bei diesen muss davon ausgegangen werden, dass sie den versuchten Missbrauch vor allem der Kontodaten schwerer verkraften, da sie sich dagegen wegen geringerer finanzieller Möglichkeiten, fehlender Rechtschutzversicherungen, etc. aller Wahrscheinlichkeit nach schlechter wehren können und somit der relative zu erbringende Aufwand des Betroffenen deutlich höher ist.
Begründung: Falsche Daten können dazu führen, dass Mitglieder nicht zu Versammlungen eingeladen oder Zahlungen den Mitgliedern nicht zugeordnet werden können. Die Auswirkungen sind jedoch überschaubar und Probleme schnell bereinigt.
Begründung: Ein Verlust der Daten sorgt ähnlich wie die Unrichtigkeit der Daten dafür, dass Mitglieder nicht zu Versammlungen eingeladen oder Zahlungen den Mitgliedern nicht zugeordnet werden können. Aufgrund regelmäßiger Datensicherungen ist eine rasche Wiederherstellung jedoch problemlos möglich. Die Auswirkungen sind eher unbedeutend, da die Daten der Mitglieder nicht für eine kurzfristige Nutzung erforderlich sind.
Grund: Vor allem der Verlust von Bankdaten für Privatpersonen an Kriminelle kann für den Betroffenen für deutliche Unannehmlichkeiten sorgen, die jedoch trotz einiger Schwierigkeiten überwindbar sind. Die möglichen Folgen wie ungeplante Zahlungen müssen hier als schwerwiegendste mögliche Folgen in Betracht gezogen werden. Dies entspricht der Einstufung als überschaubaren Schweregrad des von deutschen Datenschutzbehörden empfohlenen PIA-Tools zur Erstellung von Risikoanalysen und Datenschutz-Folgenabschätzungen.
Grund: Die sensiblen Bankdaten der Betroffenen sind werden mit einer Software verarbeitet, die auf ausschließlich einem Rechner lokal installiert ist. Der Raum des Rechners wird bei Verlassen des Mitarbeiters abgeschlossen. Der Mitarbeiter ist geschult, sensibilisiert, zur Verschwiegenheit verpflichtet und nutzt sichere, einmalige Passwörter.
Für die IT-Sicherheit (z.B. hinsichtlich regelmäßiger Sicherheitsupdates, Firewall, Backups, Virenschutz, etc.) sorgt ein externes Unternehmen.
Grund: Betroffene werden durch mangelnde Datenintegrität kaum beeinträchtigt. Falsche Daten können dazu führen, dass Mitglieder nicht zu Versammlungen eingeladen oder Zahlungen den Mitgliedern nicht zugeordnet werden können. Die Auswirkungen sind jedoch über-schaubar und Probleme schnell bereinigt.
Grund: Falsche Daten sind durchaus möglich. Dies ist seitens des Verantwortlichen bspw. nicht vermeidbar, wenn der Betroffene den Wohnsitz wechselt oder einen ehebedingten Namenswechsel erfährt und diese Änderungen nicht meldet. Dies bleibt jedoch ein eher selten eintretender Fall.
Grund: Von einer mangelnden Verfügbarkeit sind Betroffene nicht beeinträchtigt. Der Datenverlust kann über Datensicherungen jederzeit wiederhergestellt werden. Zudem ist eine kurzfristige Verfügbarkeit der Mitgliedsdaten nicht erforderlich.
Gegen das versehentliche Löschen, Verschlüsselungstrojaner etc. hilft zudem das regelmäßig erstellte Backup.
Parkplatzverwaltung im Auftrag der Stadt Ulm
Zweck der Datenverarbeitung ist die Verwaltung von Parkplätzen im Auftrag der Stadt Ulm. Hierzu zählt das Einkassieren der Parkplatzmieten, die Forderungsverfolgung, die Übermittlung von Vertragsänderungen sowie die Beschwerdenachverfolgung. Ferner erfolgen Datenverarbeitungen aus Gründen der Betreuung und Wartung von IT-Systemen und Anwendungen.
Identifikationswort
Von der Verarbeitung betroffene Personen sind die Mieter der zu verwaltenden Parkplätze sowie involvierte Mitarbeiter der Stadt Ulm als Auftraggeber.
Ggf. die Stadt Ulm als Parkplatzinhaber zu Nachweiszwecken
Zugriffsberechtigt auf die verarbeiteten personenbezogenen Daten seitens der der Anderen Baustelle Ulm e.V. sind ausschließlich die Geschäftsführung und die Verwaltung.
Die Erhebung und Verarbeitung der Daten ist für den Abschluss und die Erfüllung des Vertrages erforderlich. Werden die notwendigen Informationen nicht bereitgestellt, kann auch die Abrechnung als Bestandteil des Vertrages nicht erfolgen.
Die zum oben genannten Zweck verarbeiteten personenbezogenen Daten werden über den Vertragsabschluss direkt beim Betroffen erhoben.
Die Informationspflichten gem. Art. 13 DSGVO werden dem Mieter schriftlich als Anhang zum Mietvertrag ausgehändigt.
Die Daten werden für 10 Jahre aufbewahrt und anschließend gelöscht. Dies entspricht der gesetzlichen Aufbewahrungsfrist gemäß §147 AO. Sofern keine weiteren vertraglichen oder gesetzlichen Aufbewahrungsfristen bestehen werden personenbezogene Daten nach Zweckerfüllung gelöscht.
Begründung: Falsche Daten können dazu führen, dass Zahlungen den Parkplatzinhabern nicht zugeordnet werden können. Die Auswirkungen sind jedoch überschaubar und Probleme schnell bereinigt.
Begründung: Ein Verlust der Daten sorgt ähnlich wie die Unrichtigkeit der Daten dafür, dass Zahlungen und Parkplätze den Parkplatzinhabern nicht zugeordnet werden können. Aufgrund regelmäßiger Datensicherungen ist eine rasche Wiederherstellung jedoch problemlos möglich. Die Auswirkungen sind eher unbedeutend, da die Daten nicht für eine kurzfristige Nutzung erforderlich sind.
Grund: Vor allem der Verlust von Bankdaten für Privatpersonen an Unbefugte kann für den Betroffenen für deutliche Unannehmlichkeiten sorgen, die jedoch trotz einiger Schwierigkeiten überwindbar sind. Die möglichen Folgen wie ungeplante Zahlungen müssen hier als schwerwiegendste mögliche Folgen in Betracht gezogen werden. Dies entspricht der Einstufung als überschaubaren Schweregrad des von deutschen Datenschutzbehörden empfohlenen PIA-Tools zur Erstellung von Risikoanalysen und Datenschutz-Folgenabschätzungen.
Grund: Betroffene werden durch mangelnde Datenintegrität kaum beeinträchtigt. Falsche Daten können dazu führen, dass Zahlungen den Parkplatzinhabern nicht zugeordnet werden können. Die Auswirkungen sind jedoch überschaubar und Probleme schnell bereinigt.
Grund: Von einer mangelnden Verfügbarkeit sind Betroffene nicht beeinträchtigt. Der Datenverlust kann über Datensicherungen jederzeit wiederhergestellt werden. Zudem ist eine kurzfristige Verfügbarkeit der Daten nicht erforderlich.
· die Abrechnung von Lohn und Gehalt einschließlich Spesenabrechnungen
· die Erfassung der Arbeits-, Urlaubs- und Fehlzeiten, beispielsweise zur Führung eines Arbeitszeitkontos sowie der Abwesenheitsplanung
· die Personalaktenführung zur Verwaltung der Mitarbeiter
· die Erfassung und der Nachweis der Durchführung von Schulungen und sonstigen Maßnahmen
· die Prüfung der Zugangs- und Zutrittsberechtigung
· Abrechnungsdaten können evtl. für die Abrechnung von Projekten mit dem ESF verarbeitet werden
· ggf. die Vorstellung unseres Unternehmens und seiner Mitarbeiter zu Marketingzwecken in Print- und elektronischen Medien (auf Basis der Einwilligung).
· Mitarbeiterdaten
o Zeitwirtschaftsdaten
o Daten zur Arbeitsleistung
o Bankverbindungsdaten
o Lohn-/Entgeltdaten
o Sozialversicherungsdaten
· Steuerdaten wie Steuerklasse oder Freibeträge
Von der hier beschriebenen Datenverarbeitung sind alle Mitarbeiter, Auszubildende und Praktikanten betroffen.
Einzugsstellen, insb. Krankenkassen, Rentenversicherungen
Abrechnungsstellen des Europäischen Sozialfonds
Verantwortliche öffentliche Stellen
Die Verarbeitung ist für Zwecke des Beschäftigungsverhältnisses gem. Art. 88 DSGVO i.V.m. § 26 Abs. 1 BDSG-neu erforderlich und dient somit der Erfüllung eines Vertrags gem. Art. 6 Abs. 1 lit. b DSGVO.
Darüber hinaus ist die Verarbeitung zur Erfüllung der rechtlichen Verpflichtung bzgl. der gesetzlichen Aufbewahrung (z.B. für Arbeitszeitnachweise oder steuerlich relevante Dokumente) gem. Art. 6 Abs. 1 lit. c DSGVO erforderlich.
Insgesamt bestehen in Deutschland eine Vielzahl von Rechtsgrundlagen für eine Verarbeitung Ihrer Daten. Als Rechtsgrundlagen für die Verarbeitung sei hier beispielhaft die Datenverarbeitung aufgrund gesetzlicher Aufbewahrungsfristen, die sich für die hier beschriebene Verarbeitungstätigkeit in erster Linie aus § 155 BGB, § 147 AO und §16 ArbZG ergeben, genannt.
Die in dieser Verarbeitungstätigkeit genannten Daten sind für den Abschluss eines Arbeitsvertrages oder die Begründung eines sonstigen Beschäftigungsverhältnisses zwingend erforderlich. Ein Beschäftigungsverhältnis ist ohne Bereitstellung der Daten gesetzlich nicht zulässig.
Die Daten werden über den Einstellungsprozesses direkt von der betroffenen Person erhoben. Ein Teil der Daten geht zudem aus dem Bewerbungsprozess mit ein.
Die Mitarbeiter werden über Art und Umfang der Verarbeitung ihrer Daten gemäß Artikel 13 DSGVO informiert. Dies erfolgt schriftlich über einen Anhang zum Arbeitsvertrag.
Die von uns erhobenen personenbezogenen Daten werden bis zum Ablauf der gesetzlichen Aufbewahrungspflicht gespeichert und danach gelöscht, es sei denn, dass nach Artikel 6 Abs. 1 S. 1 lit. c DSGVO aufgrund von steuer- und handelsrechtlichen Aufbewahrungs- und Dokumentationspflichten (aus HGB, StGB oder AO) die Verpflichtung zur längerfristigen Speicherung der Daten besteht oder Sie in eine darüberhinausgehende Speicherung nach Art. 6 Abs. 1 S. 1 lit. a DSGVO eingewilligt haben.
· Lexware financial office plus
Schreinerdienstleistung
· Ggf. Steuernummer
Von der hier beschriebenen Datenverarbeitung sind alle Kunden der Schreinerwerkstatt betroffen.
· Sander und Doll (Remscheid)
Zugriffsberechtigt auf die verarbeiteten personenbezogenen Daten seitens der der Anderen Baustelle Ulm e.V. sind ausschließlich die Geschäftsführung, die Betriebsleitung der Schreinerei und die Verwaltung.
Die Daten werden bei der Auftragserteilung direkt von der betroffenen Person erhoben.
Der Betroffene über Art und Umfang der Verarbeitung ihrer Daten gemäß Artikel 13 DSGVO informiert. Dies erfolgt zum Zeitpunkt der Auftragsannahme.
Zweck der Datenverarbeitung ist das Ausstellen von Spendenquittungen nach erfolgten Spenden, die Überprüfung der Eingänge nach dem Geldwäschegesetz sowie die Erfüllung der Nachweispflicht gegenüber dem Finanzamt.
Von der hier beschriebenen Datenverarbeitung sind alle Spendenden und Sponsoren der Anderen Baustelle Ulm e.V. betroffen.
Die Daten werden bei beim Empfang der Spende oder Abschluss des Sponsorenvertrags direkt von der betroffenen Person erhoben.
Der Betroffene über Art und Umfang der Verarbeitung ihrer Daten gemäß Artikel 13 DSGVO informiert. Dies erfolgt über Veröffentlichung des entsprechenden Informationsdokuments über die Homepage und im Rahmen des E-Mail-Verkehrs.
13. Eingesetzte Anwendungen:
14. Risikoanalyse:
14.1 Schwellenwertanalyse (nach G29)
14.2 Schutzbedarfsfeststellung:
14.3 Risikobewertung:
Die Schutzbedarfsermittlung erfolgt nach BSI-Standard 100-2. Berücksichtigt werden Schäden, die bei Verlust der Vertraulichkeit, Integrität oder Verfügbarkeit für einen Geschäftsprozess bzw. eine Anwendung einschließlich ihrer Daten entstehen können. Die angewandten Schutzbedarfskategorien unterteilen sich in:
· „normal“ - die Schadensauswirkungen sind begrenzt und überschaubar
· „hoch“ - die Schadensauswirkungen können beträchtlich sein
· „sehr hoch“ - die Schadensauswirkungen können ein existentiell bedrohliches, katastrophales Ausmaß erreichen
und werden in 6 verschiedene Schadensszenarien gruppiert. Häufig treffen dabei für einen Schaden mehrere Schadensszenarien zu. So kann beispielsweise der Ausfall einer Anwendung die Aufgabenerfüllung beeinträchtigen, was direkte finanzielle Einbußen nach sich zieht und gleichzeitig auch zu einem Imageverlust führt.
Die Abgrenzung der einzelnen Kategorien erfolgt über die folgenden vom BSI-Standard vorgeschlagenen Orientierungstabellen:
1. Verstoß gegen Gesetze, Vorschriften und Verträge
· Verstöße gegen Vorschriften und Gesetze mit geringfügigen Konsequenzen
· Geringfügige Vertragsverletzungen mit maximal geringen Konventionalstrafen
2. Beeinträchtigung des informationellen Selbstbestimmungsrechts
· Es handelt sich um personenbezogene Daten, durch deren Verarbeitung der Betroffene in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen beeinträchtigt werden kann.
3. Beeinträchtigung der persönlichen Unversehrtheit
· Eine Beeinträchtigung erscheint nicht möglich.
4. Beeinträchtigung der Aufgabenerfüllung
· Die Beeinträchtigung würde von den Betroffenen als tolerabel eingeschätzt werden.
· Die maximal tolerierbare Ausfallzeit ist größer als 24 Stunden.
5. Negative Innen- oder Außenwirkung
· Eine geringe bzw. nur interne Ansehens- oder Vertrauensbeeinträchtigung ist zu erwarten.
· Der finanzielle Schaden bleibt für die Institution tolerabel.
· Verstöße gegen Vorschriften und Gesetze mit erheblichen Konsequenzen
· Vertragsverletzungen mit hohen Konventionalstrafen
· Es handelt sich um personenbezogene Daten, bei deren Verarbeitung der Betroffene in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen erheblich beeinträchtigt werden kann.
· Eine Beeinträchtigung der persönlichen Unversehrtheit kann nicht absolut ausgeschlossen werden.
· Die Beeinträchtigung würde von einzelnen Betroffenen als nicht tolerabel eingeschätzt.
· Die maximal tolerierbare Ausfallzeit liegt zwischen einer und 24 Stunden.
· Eine breite Ansehens- oder Vertrauensbeeinträchtigung ist zu erwarten.
· Der Schaden bewirkt beachtliche finanzielle Verluste, ist jedoch nicht existenzbedrohend.
· Fundamentaler Verstoß gegen Vorschriften und Gesetze
· Vertragsverletzungen, deren Haftungsschäden ruinös sind
· Es handelt sich um personenbezogene Daten, bei deren Verarbeitung eine Gefahr für Leib und Leben oder die persönliche Freiheit des Betroffenen gegeben ist.
· Gravierende Beeinträchtigungen der persönlichen Unversehrtheit sind möglich.
· Gefahr für Leib und Leben
· Die Beeinträchtigung würde von allen Betroffenen als nicht tolerabel eingeschätzt werden.
· Die maximal tolerierbare Ausfallzeit ist kleiner als eine Stunde.
· Eine landesweite Ansehens- oder Vertrauensbeeinträchtigung, eventuell sogar existenzgefährdender Art, ist denkbar.
· Der finanzielle Schaden ist für die Institution existenzbedrohend.
Die Abgrenzung der einzelnen Kategorien erfolgt über die folgenden, aus dem PIA-Tool der Französischen Datenschutzbehörde entnommenen, Orientierungstabellen. Grund für diese Wahl ist, dass im Falle der Erforderlichkeit einer Datenschutz-Folgenabschätzung das dieses PIA-Tool das von den deutschen Behörden empfohlene Verfahren zur Durchführung selbiger ist. Die Risikoanalyse kann in diesem Fall direkt übernommen werden.
Orientierungshilfe zur Bewertung des Schweregrads
Die Betroffenen werden nicht beeinträchtigt oder haben einige temporäre Unannehmlichkeiten, die sie ohne Schwierigkeiten überwinden können.
Beispiele für Auswirkungen:
Die Betroffenen können deutliche Unannehmlichkeiten erfahren, die sie jedoch trotz einiger Schwierigkeiten überwinden können.
Die Betroffenen können erhebliche Konsequenzen erleiden, die sie nur mit erheblichen Schwierigkeiten überwinden können.
Die Betroffenen können erhebliche und auch nicht rückgängig zu machende Folgen erleiden.
- Körperlich: flüchtige Kopfschmerzen
- körperlich: geringfügige körperliche Beeinträchtigung (z. B. leichte Erkrankung nach Nichteinhaltung von Kontraindikationen), üble Nachrede, die physische und psychische Auswirkungen hat.
- körperlich: ernsthafte körperliche Beeinträchtigung, die zu langfristigem Schaden führen (Verschlimmerung von Gesundheitszustand aufgrund von schlechter Pflege, oder Nichteinhaltung von Kontraindikationen), Verletzung der körperlichen Unversehrtheit, etc.
- körperlich: dauerhafte oder längerfristige körperliche Beeinträchtigung, dauerhafte Beeinträchtigung der körperlichen Unversehrtheit, Tod
- materiell: Zeitverschwendung, durch Wiederholung von Formalitäten oder durch Warten auf deren Durchführung, Empfang von Spam-Mails, Verwendung öffentlich zugänglicher Daten für gezielte Werbung etc.,
- materiell: ungeplante Zahlungen (z. B. unberechtigte Bußgelder), Verweigerung des Zugangs zu administrativen oder kommerziellen Dienstleistungen, gezielte Online-Werbung zu einem ein Aspekt, der seitens des Betroffenen vertraulich bleiben sollte, etc.
- materiell: nicht kompensierbarer Verlust von Geldern, Verlust einzigartiger und nicht wiederkehrender Möglichkeiten (Hypothek, Studien, Praktika oder Beschäftigung, Prüfungsverbot), Verlust der Wohnung, Verlust des Arbeitsplatzes, etc.
- materiell: finanzielles Risiko, hohe Verschuldung, Arbeitsunfähigkeit, Unfähigkeit umzuziehen, Verlust von Beweisen bei Rechtsstreitigkeiten, Verlust des Zugangs zu lebenswichtiger Infrastruktur (Wasser, Strom), etc.
- psychisch: einfaches Ärgernis, Gefühl des Eindringens ins Privatleben ohne wirklichen Schaden (Werbung) usw.
- psychisch: geringe aber objektiv verstellbare psychische Beeinträchtigung, Gefühl der Verletzung der Privatsphäre ohne irreparablen Schaden, Einschüchterung in sozialen Netzwerken, etc.
- psychisch: schwere psychische Störung (Depression, Phobie), Gefühl der irreparablen Beeinträchtigung der Privatsphäre, Opfer von Erpressung, Cybermobbing und Mobbing usw.
- psychisch: langfristige oder dauerhafte psychische Beeinträchtigung, strafrechtliche Sanktion, Entführung, Verlust der Familienbande, Unmöglichkeit, vor Gericht zu erscheinen, Änderung des Verwaltungsstatus und / oder Verlust der rechtlichen Autonomie (Vormundschaft) usw.
Orientierungshilfe zur Bewertung der Eintrittswahrscheinlichkeit
Für die ausgewählten Risikoquellen scheint es nicht möglich, einen Schaden der Betroffenen zu verursachen (z.B. Diebstahl von Papierdokumenten aus einem Raum, dessen Zutritt mit Kartenleser und Zugangscode geschützt ist).
Für die ausgewählten Risikoquellen scheint es schwer möglich, einen Schaden für den Betroffenen zu verursachen (z.B. Diebstahl von Papierdokumenten aus einem Raum, dessen Zutritt mit Kartenleser geschützt ist).
Für die ausgewählten Risikoquellen scheint es möglich, einen Schaden für den Betroffenen zu verursachen (z.B. Diebstahl von Papierdokumenten, die in den Büros einer Organisation gespeichert sind, deren Zugang von einer Person an der Rezeption kontrolliert wird).
Für die ausgewählten Risikoquellen scheint es sehr einfach, einen Schaden für den Betroffenen zu verursachen (z.B. Diebstahl von Papierdokumenten in der öffentlichen Lobby aufbewahrt werden)