Source: https://htu.at/dsgvo-handbuch
Timestamp: 2019-06-26 12:25:13
Document Index: 374977221

Matched Legal Cases: ['Art. 9', '§ 17', '§ 17', '§ 18', '§ 20', '§ 20']

Handbuch zu technischen und organisatorischen Maßnahmen zum Datenschutz an der HTU Wien | HTU Wien
Handbuch zu technischen und organisatorischen Maßnahmen zum Datenschutz an der HTU Wien
Das Recht auf Datenschutz ist ein Grundrecht und genießt damit umfangreichen Schutz.
Das Recht auf Datenschutz ist in der EU und in Österreich durch diverse Rechtsnormen geregelt, allen voran die Datenschutz Grundverordnung (DSGVO) auch bekannt unter dem englischen Titel General Data Protection Direcitve (GDPR)[1]. Die DSGVO hat in allen EU Mitgliedsstaten rechtlich bindenden Charakter und muss nich in nationales Recht umgesetzt werden (Im Unterschied zu einer EU-Richtline), es gibt jedoch Gesetze die die Umsetzung der DSGVO genauer spezifizieren, insbesondere in Österreich das Datenschutzgesetz [2].
Die DSGVO gilt für alle Datenverarbeitungen die nicht rein persönlichen oder Familiären Zweck haben.
Lebendige, natürliche Person deren Daten gespeichert werden.
Person oder Organisation die die Daten kontrolliert und über deren Verwendung entscheidet.
Auftragsdatenverarbeiter_in
Person oder Organisation die im Auftrag eines Verantwortlichen Daten Verarbeitet, jedoch nicht selbst über die Verwendung entscheidet. Es muss vertraglich und schriftlich festgelegt werden wie die Daten verarbeitet werden.
Weitere Empfänger_in
Weitere Personen oder Organisationen die die Daten erhalten, die jedoch keine Auftragsverarbeiter_innen sind, diese Personen oder Organisationen sind dann wieder selbst Verantwortliche.
"Personenbezogene Daten“ sind Angaben über Betroffene, deren Identität bestimmt oder bestimmbar ist. Es sind alle Daten, die es ermöglichen, eine Person zu bestimmen. z.B. Matrikelnummer, Name, Geburtsdatum, Adresse, Geschlecht, Einkommen.
Besonders schützenswerte Daten laut Art. 9 DSGVO [1] sind: personenbezogene Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person. Weiters sind Daten aus denen auf die soziale oder finanzielle Lage oder Arbeitsverhältnisse schließen lassen im Sinne dieses Handbuchs besonders schützenswert.
Unter welchen Vorraussetzungen dürfen Daten verarbeitet werden?
Daten dürfen unter folgenden Vorraussetzungen verarbeitet werden:
Wenn die Verarbeitung zur Erfüllung eines Vertrages notwendig ist
Insbesondere also Plichten die im HSG [3] geregelt sind:
Für Referate der HTU
§ 17 (1) HSG Vertretung der Interessen ihrer Mitglieder für den Bereich der jeweiligen Bildungseinrichtung sowie deren Förderung, soweit sie nicht in den Wirkungsbereich anderer Organe der Hochschülerinnen- und Hochschülerschaft fallen;
§ 17 (10) HSG Beratung der Studienwerberinnen und Studienwerber sowie der Studierenden.
Für Faktultätsvertretungen
§ 18 (1) HSG Vertretung der Interessen der Studierenden sowie deren Förderung in ihrem Wirkungsbereich
§ 20 (1) HSG Vertretung der Interessen der Studierenden sowie deren Förderung in ihrem Wirkungsbereich
§ 20 (5) HSG Beratung der Studienwerberinnen und Studienwerber sowie der Studierenden.
Lebenswichtige Interessen Betroffener Personen
Wahrunge berechtigten Interesses (Z.b. offene Forderungen)
Abschnitt 2 der DSGVO [1] garantiert Betroffenen folgende Rechte:
Informationspflicht bei Erhebung von personenbezogenen Daten bei der
Informationspflicht, wenn die personenbezogenen Daten nicht bei der
Recht keiner automatisierten Entscheidung unterworfen zu werden
Welche Grundsätze sind bei der Verarbeitung Personenbezogener Daten anzuwenden?
Personenbezogene Daten dürfen nur auf rechtmäßige, in für die Betroffenen nachvollziehbarer Weise verarbeitet werden. Für die Betroffenen müssen insbesondere folgende Informationen leicht zugänglich sein:
Information darüber welche Daten verarbeitet werden
Daten dürfen nur für den Zweck für den sie erhoben wurden verwendet werden.
Datenminimierung / Datensparsamkeit
Es sind prinzipiell nur Daten zu erheben und zu verarbeiten die für den Zweck notwendig sind.
Die Richtigkeit der Daten hat sichergestellt zu sein.
Speicherung der Daten sollte Zeitlich begrenzt sein.
Durch technische und organisatorische Maßnahmen muss sicher gestellt werden, dass nur befugte Personen Zugriff auf die Daten haben
Klassifikation von Datenarten
Zur geneueren beschreibung von Organisatorischen Maßnahmen sowie zur Beurteilung notwendiger Schutzmaßnahmen ist die klassifikation von Daten in bestimmet Datenarten nützlich, wir nehmen hier folgende Klassifikationen vor:
Strukturierte Daten sind Daten die in einer definierten Struktur gespeichert sind, insbesondere in Form von Tabellen oder standardisierten Formularen. Unstrukturierte Daten sind zum Beispiel Korrespondenz oder Notizen.
Digital / Analog gespeichert
Sind die Daten digtial (z.B. Excel, Word, .pdf, etc. - Files) oder analog (z.B. ausgedruckte Formulare, handgeschriebene Listen, usw.) gespeichert.
Eine wichtige organisatorische Maßnahme zur Datensicherheit ist den Kreis der Personen die Zugriff auf Persönliche Daten haben auf die Personen einzuschränken die tatsächlich Zugriff brauchen um die Aufgaben zu erfüllen und zu erheben wer auf welche Daten Zugriff hat.
Sollte die Möglichkeit bestehen, dass persönliche Daten für nicht befugte Personen zugänglich geworden sind (Verlust eines Datenträgers oder Mobilgerätes, technischer Defekt, …) so sind unverzüglich der/die Datenschutzbeauftragte und der Vorsitz zu verständigen.
Kein versenden Personenbezogener Daten per Mail
Personenbezogene Daten sind prinzipiell nich per Mail zu versenden. Die Übertragung der Daten per Mail erfolgt unverschlüsselt, außerdem besteht die Gefahr, dass durch falsch adressierte Mails Daten für nicht autorisierte Personen zugänglich werden.
In folgenden Fällen ist ein Versandt per Mail zulässig:
Interne Weiterleitung von Daten die von den Betroffenen selbst per Mail geschickt wurden.
Benützung starker Verschlüsselung und versandt des Schlüssels auf anderem Weg. (Zum Beispiel gnupg mit vorher ausgetauschtem public key, oder 7zip [4] Verschlüsseltes Archiv und weitergabe des Passwortes telephonisch.)
Mitarbeiter_innen der Referate haben Zugriff auf die HTU-Nextcloud, diese ist für den Austausch personenbezogener Daten zu verwenden. Für internen Austausch kann eine Datei oder ein Ordner direkt mit einem anderen HTU-Account geteilt werden, beim Teilen mittels Links sind Passwort und Ablaufdatum zu setzen.
Keine Weiterleitung an andere Mail Anbieter
Prinzipiell ist eine Weiterleitung aller eingehenden Mails an andere Mail-Anbieter nicht zulässig. Mail sollten über Fachschafts oder HTU Server abgerufen oder über die Webmail-Systeme gelesen und bearbeitet werden.
Geräte der HTU sowie Privatgeräte die zur Verarbeitung von personenbezogenen Daten benützt werden müssen ausreichend geschützt sein. Zumindest muss der Zugriff durch ein starkes Passwort geschützt sein und die Daten müssen verschlüsselt gespeichert sein. Siehe dazu folgende Anleitung [4].
Datenträger, ob analog oder digital die zur Speicherung personenbezogener Daten verwendet wurden müssen sicher entsorgt werden. Es gibt dafür ein Service der TU das auch die HTU nützen kann.
Passwörter sind ausreichend lange und komplex zu wählen, es empfiehlt sich die Anwendung eines Passwort Managers, siehe dazu folgende Anleitung [5].
Bei Organisations-Mail-Adressen die von mehreren Mitarbeiter_innen empfangen werden, sollten die Sender_innen darüber aufgeklärt werden, an welchen Personenkreis sie schreiben. Ein Einfacher Satz an Stellen an denen ihr die Mail-Adresse bekannt gebt reicht dazu aus. Einen entsprechenden Textbaustein findet ihr im Abschnitt Textbausteine.
Empfänger_innen der Mails müssen darüber aufgeklärt werden, dass sie persönliche Daten die über die Adresse empfangen werden persönlich zu behandeln sind und welche technischen und organisatorischen Maßnahmen zum Schutz der Daten anzuwenden sind.
Teilnehmer_innen-Listen
Solltet ihr Teilnehmer_innen-Listen für Veranstaltungen, Seminare, etc. oder ähnliches führen muss es eine Einwilligung geben, da die Verarbeitung dieser Daten (meistens) nicht auf einer gesetzlichen Grundlage basiert. Einen entsprechenden Textbaustein findet ihr im Abschnitt Textbausteine. Bitte beachtet dabei, dass dieses Muster nicht irgendwo versteckt aufliegen kann, sondern im selben Medium präsentiert werden muss.
Wenn die Daten zum Beispiel auf einer Papier-Liste erhoben werden, reicht es nicht aus die Einverständniserklärung auf der Website zu veröffentlichen. Druckt die Einverständniserklärung auf die Rückseite oder legt sie bei und weist auf der Vorderseite des Formulars in einer Fußnote darauf hin.
Bei Socialmedia Auftritten speichern die Plattformen Daten über die Besucher_innen eures Auftrittes. Die Besucher_innen eures Socialmediaauftrittes sind darüber zu informieren, am besten mittels Link auf eine entsprechende Datenschutzerklärung in der Seiten Beschreibung oder ähnlichem. (Facebook Seiten Beschreibung, twitter-bio, …) Einen Textbaustein dafür findet ihr ebenfalls im Abschnitt Textbausteine.
Bei Newslettern in die sich Abonnent_innen selbstständig eintragen müssen diese auch der dazu notwendigen Datenverarbeitung zustimmen. Bei Papier-Listen druckt den entpsrechenden Text so wie bei Teilnehmer_innen Listen auf das entsprechende Blatt, bei einer Online Anmeldung verlinkt die Erklärung und holt euch die Zutsimmung über ein entsprechend zu setzendes Häckhen. Auch hierzu gibt es einen Textbaustein.
Alle die im Rahmen ihrer Tätigkeit an der HTU persönliche Daten verarbeiten sind angehalten sich über Änderungen dieses Hanbuches, insbesondere der technischen und organisatorischen Maßnahmen zur Datensicherheit zu informieren. Größere Änderungen werden über die Fachschaften und Referate Mailverteiler ausgeschickt, eine aktuelle Version dieses Dokuments ist auf der HTU-Website zu finden.
Mailverteiler Beratung
Mails an diese Adresse werden von Studierendenvertreter_innen sowie weitere ehrenamtlichen Mitarbeiter_innen der <Fachschaft/…> gelesen und verarbeitet.
Beim Besuch unsers <Plattform>-Aufrtittes erhebt <Plattform> persönliche Daten und macht diese der <Fachschaft/…> teilweise zugänglich, zu genaueren Infos welche Daten erhoben werden und entsprechenden Widerspruchsrechten siehe: <Link auf Datenschutzerklärung der Plattform>
Beim Besuch von <website> werden folgende Daten aus technischen Gründen und zu statistischen Zwecken erhoben: <Aufzählung>
Ich stimme der zum Versandt dieses Newsletters notwendigen Verarbeitung meiner personenbezogenen Daten (<e-mail Adresse, ggf. Name>) zu.
Ich stimme der Verarbeitung der hier angegebenen Daten zum Zwecke der Abhaltung <Veranstaltung> zu.
In Windows kann Full-Disk Encryption wie folgt aktiviert werden:
Systemeinstellungen öffnen und BitLocker-Laufwerksverschlüsselung auswählen
Das Laufwerk auswählen und BitLocker aktivieren
Den Wiederherstellungsschlüssel drucken und an einem sicheren Ort verwahren
Gesamtes Laufwerk verschlüsseln auswählen
BitLocker-Systemprüfung auswählen, sollte die Überprüfung scheitern einfach noch einmal die obrigen Schitte ohne diese Auswahl wiederholen.
Achtung die Verschlüsselung läuft zwar im Hintergrund braucht aber Zeit, also nicht ausführen kurz bevor man den Rechner abschlaten muss, insbesondere bei Laptops.
Festplatten-Verschlüsselung ist in den Meisten Linux Distributionen mit graphischer Installation gleich bei der Installation eine Option, einfach bei der Installation auswählen.
Einen guten Überblick über Full Disk Encryption sowie Installations-Anleitungen, die sich auf alle anderen Linux-Distributionen übertragen lassen bietet das Arch Wiki [5]
Ordner-Verschlüsselung
Rechtsclick auf den Ordner der verschlüsselt werden soll
Dann auf Allgemein > Erweitert
Inhalt verschlüsseln auswählen, angeben, dass auch alle untergeordneten Odner verschlüsselt werden sollen.
Die Verschlüsselung ist im Windows-Benutzerkonto gespeichert, wenn man bei Windows angemledet ist muss man also kein weiteres Passwort eingeben, der Zugriff ist jedoch auch nur mit diesem Benutzerkonto möglich.
Als Passwort-Manager bietet sich KeePass an. Hier werden die Passwörter in einer standardisierten Passwortdatenbank gespeichert die von KeePass und anderen Programmen geöffnet werden kann.
KeePass kann hier heruntergeladen werden, bzw. bei den meisten Linux-Distributionen über den Paketmanager installiert werden.
Für Android gibt es die App KeePass-Offline im offiziellen Google Store sowie KeePass im F-Droid store.
KeePass Dateien können dann z.b. als Dateien synchronisiert werden, wenn das Handy als Laufwerk angeschlossen ist.
[1] Europäisches Parlament, “REGULATION (eu) 2016/679 of the european parliament and of the council (gdpr).” https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32016R0679, 2016.
[2] Österreichischer Nationalrat, “Bundesgesetz zum schutz natürlicher personen bei der verarbeitung personenbezogener daten (datenschutzgesetz – dsg).” https://www.ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesnormen&Gesetzesnummer=10001597, 1999.
[3] Österreichischer Nationalrat, “Bundesgesetz über die vertretung der studierenden (hochschülerinnen- und hochschülerschaftsgesetz 2014 – hsg 2014).” https://www.ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesnormen&Gesetzesnummer=20008892, 2014.
[4] Pavlov, Igor, “7zip.” https://www.7-zip.org/.
[5] Arch Wiki Contributors, “Arch wiki: Dm-crypt/encrypting an entire system.” https://wiki.archlinux.org/index.php/Dm-crypt/Encrypting_an_entire_system, 2018.
Handbuch.pdf126.71 KB
Handbuch.docx18.13 KB