Source: https://fritzdogs.de/dsgvo
Timestamp: 2019-04-20 04:39:20
Document Index: 271166376

Matched Legal Cases: ['Art. 6', 'Art. 6', 'Art. 32', 'Art. 32', 'Art. 4', 'Art. 9', 'Art. 5', 'Art. 20', 'Art. 12', 'Art. 13', 'Art. 25']

admin@fritzdogs.de
+49 2434 993027
Erstellt mit Datenschutz-Generator.de von RA Dr. Thomas Schwenke und weiteren Ergänzungen des Webseitenbetreibers
Datenschutzgrundverordnung zur Erfassung einer Verarbeitungstätigkeit
(Die Hinweise zur Verarbeitung und deren Grundlagen finden sie am Ende des Dokumentes)
Bezeichnung der Verarbeitung (Hinweis Nr. 2): Kaufabwicklung
Übergeordneter Geschäftsprozess: Vereinstätigkeit
Beginn der Verarbeitung (Hinweis Nr. 3): 23.09.2018
Grundsätzliche Angaben zur Verarbeitung und zur Verantwortlichkeit.
1. Bezeichnung des Verfahrens
Webshop (Hinweis Nr. 5)
2. Zweckbestimmung und Rechtsgrundlage der Datenverarbeitung (Hinweis Nr. 7)
Übermitteln von Kunden- und Bestelldaten zum Zweck der automatisierten Auftragsverarbeitung.
Einwilligung des Betroffenen (Art. 6 Abs. 1 a) DSG-VO): durch ankreuzen der AGB und Datenverarbeitungsrichtlinien.
Vertrag oder Vertragsanbahnung mit dem Betroffenen (Art. 6 Abs. 1 b) DSG-VO.): durch zustandekommen des Auftrages im Webshop
3. Kreis der betroffenen Personengruppen
(Hinweis Nr. 9) Art der Daten / Datenkategorien
(Hinweis Nr. 10) Werden besonderen Kategorien
von Daten verarbeitet?
4. Datenweitergabe und deren Empfänger (Hinweis Nr. 12)
Interne Empfänger innerhalb der verantwortlichen Stelle
Interne Stelle (Org-Einheit): Webseitenadmin, Vorstand
Art der Daten persönliche Daten
Zweck der Daten-Mitteilung: Auftragsabwicklung
4.2 Externe Empfänger und Dritte (jeder andere Empfänger, auch Konzern-unternehmen)
Externe Stelle: WooCommerce
Art der Daten: persönliche Daten
Zweck der Daten-Mitteilung: Auftragsverarbeitung
Welcher Staat: vereinigte Staaten von Amerika
5. Regelfristen für die Löschung der Daten (Hinweis Nr. 13)
Existieren gesetzliche Aufbewahrungsvorschriften oder sonstige einschlägige Löschungsfristen?
Daten werden 1 Jahr nach Auftrgasverarbeitung gelöscht oder auf Antrag sofort
6. Mittel der Verarbeitung
Welche Software oder Systeme werden für diese Verarbeitung eingesetzt
Bezeichnung: Webshop
Funktionsbeschreibung: Bereitstellung Backend
Bereitstellung: Standard- bzw. Kauf-Software & Cloud-Service
7. Zugriffsberechtigte Personengruppen
es gilt das vereinfachtes Berechtigungskonzept) (Hinweis Nr. 14)
8. Technische und organisatorische Maßnahmen (Art. 32 DSGVO) (Hinweis Nr. 15)
8.1 Hinsichtlich der Datensicherheitsmaßnahmen wurde der Bereich IT-Sicherheit eingebunden
X Nein, nicht notwendig
8.2 Es wurde eine Risikoanalyse gemäß Art. 32 DS-GVO durchgeführt.
8.3 Die Maßnahmen des allgemeinen Unternehmens-IT-Sicherheitskonzepts sind den festgestellten Risiken angemessen.
9. Datenübertragbarkeit (Hinweis 16)
Ist der Export der verarbeiteten Daten an den Betroffenen oder andere Dienste in einem gängigen, standardisierten Format möglich?
X Ja, Format: CSV
10. Information der Betroffenen (Hinweis 17)
Wie und wo werden den Betroffenen, deren Daten verarbeitet werden, die Pflichtinformationen über die Datenverarbeitung zugänglich gemacht?
Auf der Webseite und während dem Bestellprozess
11. Datenschutz durch Technikgestaltung und Voreinstellungen (Hinweis 18)
Sind bei der Verarbeitung die Grundsätze des Datenschutz durch Technikgestaltung und der datenschutzfreundlichen Voreinstellungen eingehalten?
»Personenbezogene Daten« sind nach Art. 4 Nr.1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden »betroffene Person«) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, Dies umfasst z. B. Name, Geburtsdatum, Anschrift, Einkommen, Beruf, Kfz-Kennzeichen, Konto-oder Versicherungsnummer. Auch pseudonymisierte Daten, zum Beispiel eine IP-Adresse oder Personalnummer, aus denen die betroffene Person indirekt bestimmbar wird, gelten als personenbezogener Daten.
Betriebsinterne Benennung, die Identifikation der einzelnen Verarbeitung ermöglicht unter Zuordnung zum jeweiligen Geschäftsprozess, in dem die Daten verarbeitet werden.
Geplanter Beginn der Verarbeitung von personenbezogenen Daten oder tatsächlicher Beginn. Dabei ist schon die erstmalige Übertragung oder Speicherung von Daten relevant.
Nur bei Beendigung der Verarbeitung auszuwählen. Bei Auswahl kann das ur-sprüngliche Erfassungsformular verwendet werden. In Abstimmung mit dem Datenschutzbeauftragten ist über die weitere Verwendung des Datenbestands zu entscheiden, also ob Löschung oder Migration in andere Verfahren erforderlich ist.
Genaue Kennzeichnung der Verarbeitung mit Mitteln des allgemeinen Sprachge-brauchs und Hinweisen zur Verarbeitung personenbezogener Daten.
Dient der Sicherstellung einer sorgfältigen Auswahl des Dienstleisters, dem Nachweis eines Vertrags und der Wahrnehmung der Kontrollpflichten.
Zieldefinition der Verarbeitung personenbezogener Daten und Nennung der darauf gerichteten rechtlichen Grundlage (Prinzip des Verarbeitungsverbots mit Erlaubnisvorbehalt).
Konkrete Beschreibung des Zwecks der Datenverarbeitung und der Datenverarbeitung selbst. Es empfiehlt sich, entsprechende Erläuterungen möglichst unter der im Unternehmen bekannten Terminologie zu formulieren und in Zweifelsfällen Rücksprache mit dem Datenschutzbeauftragten zu halten.
Nennung der durch die Verarbeitung betroffenen Personengruppen, z. B. Beschäftigte (Mitarbeiter(-gruppen)), Berater, Kunden, Lieferanten, Patienten, Schuldner, Versicherungsnehmer, Interessenten.
Beispiele für Datenkategorien: Identifikations- und Adressdaten, Vertragsstamm-daten, Daten zu Bank- oder Kreditkartenkonten, IT-Nutzungsdaten (z. B. Verbin-dungsdaten, Logging-Informationen).
Die Verarbeitung besonderer Kategorien personenbezogener Daten ist in Art. 9 Abs. 1 DS-GVO geregelt. Umfasst sind Verarbeitungen von Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltan-schauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeuti-gen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person.
Zweck und Empfänger personenbezogener Daten zur Weiterverarbeitung bzw. Nutzung innerhalb der verantwortlichen Stelle oder im Rahmen einer Übermittlung an Dritte.
»Empfänger« ist jede Person oder Stelle, die Daten erhält, z. B. Vertragspartner, Kunden, Behörden, Versicherungen, ärztliches Personal, Auftragsverarbeiter (z. B. Dienstleistungsrechenzentrum, Call-Center, Datenvernichter), oder ein Verfahren, bzw. Geschäftsprozess, an den Daten weitergegeben werden.
Die Art der Daten oder Datenkategorien ist getrennt nach dem jeweiligen Drittstaat und den jeweiligen Empfängern oder Kategorien von Empfängern anzugeben.
Gemäß Art. 5 Abs. 1 e) DS-GVO dürfen personenbezogene Daten nur so lange gespeichert werden, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Unter Beachtung (z.B. steuer-) gesetzlicher, satzungsmäßiger oder vertraglicher Aufbewahrungsfristen müssen die Daten nach Zweckfortfall unverzüglich gelöscht werden. Wird keine Löschung ausgewählt oder bei Zweifeln zu Aufbewahrungsfristen und Löschroutinen ist Rücksprache mit dem betrieblichen Datenschutzbeauftragten zu halten.
Hinweis Nr. 14
Skizzierung des Berechtigungsverfahrens und Nennung der berechtigten Gruppen. Sofern vorhanden kann auf ein umfassendes betriebliches Berechtigungskonzept verwiesen werden.
Hinweis Nr. 15
Beschreibung der Schutzmaßnahmen im Hinblick auf die Kontrollziele für die jeweils verarbeiteten personenbezogenen Daten. Im Fall einer festgelegten betrieblichen Sicherheitspolitik im Unternehmen kann der Hinweis auf die Abstimmung mit der Organisationseinheit »IT-Sicherheit« erfolgen.
Ergänzend kann auf die ISO 27001 Bezug genommen werden. Die angegebenen Kontrollziele zur angemessenen Sicherung der Daten vor Missbrauch und Verlust sind dabei nicht abschließender Maßnahmenkatalog zu sehen. So könnten auf-grund des festgestellten besonderen Risikos der Verarbeitung oder einer Spezial-gesetzgebung zum Datenschutz weitere Kontrollziele und entsprechende Maßnahmen gefordert sein (z. B. aus dem Telekommunikationsgesetz, aus der Sozialgesetzgebung, oder aus den Landesdatenschutzgesetzen).
Bei Verarbeitungen auf Grundlage eines Vertrages oder einer Einwilligung, für die die Betroffenen dem Unternehmen Daten bereitgestellt haben, haben sie nach Art. 20 DS-GVO das Recht, diese sie betreffenden personenbezogenen Daten, in einem struk-turierten, gängigen und maschinenlesbaren Format zu erhalten oder sie an einen anderen Verantwortlichen übermitteln zu lassen, sofern dies technisch machbar ist.
Hinweis Nr. 17
Nach Art. 12 der DS-GVO müssen beim Verantwortlichen geeignete Maßnahmen getroffen werden, um den Betroffenen die in Art. 13 und 14 DS-GVO aufgeführten Angaben, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständ-licher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu über-mitteln. Dies kann schriftlich oder in einer anderen Form, z.B. elektronisch erfolgen.
Nach Art. 25 der DS-GVO müssen geeignete Mittel für die Verarbeitung festgelegt sowie technische und organisatorische Maßnahmen getroffen werden, die dazu ausgelegt sind, die Datenschutzvorgaben aus der Datenschutzverordnung wirksam umzusetzen und die Rechte der Betroffenen Personen zu schützen.