Source: https://de.slideshare.net/MichaelRohrlich/dokumentationspflichten-im-datenschutzrecht
Timestamp: 2020-08-03 13:42:13
Document Index: 86862690

Matched Legal Cases: ['Art. 5', 'Art. 5', 'Art. 5', 'Art. 7', 'Art. 9', 'Art. 11', 'Art. 12', 'Art. 26', 'Art. 28', 'Art. 30', 'Art. 33', 'Art. 35', 'Art. 37', 'Art. 6', 'Art. 10', 'Art. 13', 'Art. 15', 'Art. 24', 'Art. 32', 'Art. 34', 'Art. 44', 'Art. 13', 'Art. 30', 'Art. 30', 'Art. 32', 'Art. 9', '§ 9', 'Art. 32', '§ 64']

Dokumentationspflichten im Datenschutzrecht
Be A Great Product Leader (Amplify,... by Adam Nash 441114 views
Trillion Dollar Coach Book (Bill Ca... by Eric Schmidt 482004 views
APIdays Paris 2019 - Innovation @ s... by apidays 523979 views
A few thoughts on work life-balance by Wim Vanderbauwhede 324131 views
Is vc still a thing final by Mark Suster 364254 views
Überblick über die Dokumentationspflichten im Datenschutzrecht und was alles zu beachten ist.
Die Informationen auf diesen Sprechernotizen werden eingegeben über
[Einfügen] [Kopf- und Fußzeilen]
Die Formatierung z. B. kursiv bei © dbb akademie wird im Notizenmaster durch Formatierung des Fußzeilen-Platzhalters erreicht
1. Rev.Stand3.0 8. Juli 2020, 10.00 – 11.30 Uhr Webinar Dokumentationspflichten im Datenschutzrecht Inhaltlicher Stand: 06.07.2020 © RA Michael Rohrlich
2. Rev.Stand3.0 Rechtsanwalt Michael Rohrlich  zugelassen als Rechtsanwalt seit 03/2003  Kanzleisitz in Würselen (Nähe Aachen)  TÜV Süd zertifizierter Datenschutzbeauftragter (DSB-TÜV) seit 06/2012  Vorstandsmitglied des Webmasters Europe e.V. seit 09/2010  Mitglied im Expertenrat des Webmasters Europe e.V. seit 03/2019  Fachautor seit 1997 / Buchautor seit 2005  Dozent seit 1998  Video-Trainer (LinkedIn Learning, ehem. video2brain) seit 07/2012 Dozent 2
3. Rev.Stand3.0 Dozent 3
4. Rev.Stand3.0 1. Einführung 2. Die wichtigsten Dokumentationspflichten 3. Das Verarbeitungsverzeichnis 4. TOMs & weitere Anlagen zum Verarbeitungsverzeichnis Agenda 4
5. Rev.Stand3.0 1. Einführung 2. Die wichtigsten Dokumentationspflichten 3. Das Verarbeitungsverzeichnis 4. TOMs & weitere Anlagen zum Verarbeitungsverzeichnis Agenda 5
6. Rev.Stand3.0  Frage: Was muss im Bereich Datenschutz / IT-Sicherheit dokumentiert werden?  Art. 5 Abs. 2 DSGVO:  „Der Verantwortliche ist für die Einhaltung des Abs. 1 verantwortlich und muss dessen Einhaltung nachweisen können (‚Rechenschaftspflicht‘).“  Antwort: „alles, was nicht bei 3 auf den Bäumen ist“ Einführung 6
7. Rev.Stand3.0  nach alter Rechtslage vor Inkrafttreten der DSGVO musste bei Verdacht auf Datenschutzverstoß die Aufsichtsbehörde der verantwortlichen Stelle ein Fehlverhalten nachweisen  gem. DSGVO muss nun die verantwortliche Stelle belegen können, dass sie sich rechtskonform verhält  -> Beweislastumkehr Einführung 7
8. Rev.Stand3.0  Nachweis der Einhaltung der zentralen Datenschutz- Grundsätze (Art. 5 Abs. 1):  Rechtmäßigkeit, Transparenz, Treu & Glauben  Zweckbindung  Datenminimierung  Richtigkeit  Speicherbegrenzung  Integrität & Vertraulichkeit Einführung 8
9. Rev.Stand3.0  Merksatz: Wer schreibt, der bleibt! Einführung 9
10. Rev.Stand3.0 1. Einführung 2. Die wichtigsten Dokumentationspflichten 3. Das Verarbeitungsverzeichnis 4. TOMs & weitere Anlagen zum Verarbeitungsverzeichnis Agenda 10
11. Rev.Stand3.0  ausdrücklich geforderte Dokumentations- / Nachweispflichten:  Rechenschaftspflicht (Art. 5 Abs. 2)  Einwilligung (Art. 7, 8)  Verarbeitung von besonderen Kategorien pb Daten (Art. 9)  Einholung zusätzlicher Infos zur Identifizierung einer Person (Art. 11)  offensichtlich unbegründeter oder exzessiver Antrag auf Betroffenenrecht (Art. 12 Abs. 5 S. 2)  gemeinsame Verantwortlichkeit (Art. 26 Abs. 1)  AV-Verhältnis (Art. 28 Abs. 3, 9)  Verarbeitungsverzeichnis (Art. 30 Abs. 1)  Meldung von Datenpannen (Art. 33 Abs. 5)  DSFA (Art. 35 Abs. 7)  DSB-Benennung / Mitteilung an Aufsichtsbehörde (Art. 37 Abs. 7) Doku-Pflichten 11
12. Rev.Stand3.0  implizit geforderte Dokumentations- / Nachweispflichten:  Rechtsgrundlage für Verarbeitung pb Daten (Art. 6)  Verarbeitung von Daten über Straftaten etc. (Art. 10)  Informationspflichten (Art. 13, 14)  Reaktion auf Betroffenenrechte (z.B. auf Auskunftsantrag gem. Art. 15)  TOMs (Art. 24, 25)  Sicherheit der Verarbeitung (Art. 32)  Benachrichtigung von Betroffenen nach Datenpanne (Art. 34)  Datenübermittlung in Drittstaaten (Art. 44-50) Doku-Pflichten 12
13. Rev.Stand3.0  1. pro-aktive Informationspflichten gem. Art. 13, 14 DSGVO  online: Website / Social Media  offline: allg. Datenschutzhinweise Doku-Pflichten 13
14. Rev.Stand3.0  2. DSB  Benennung  Meldung an Aufsichtsbehörde Doku-Pflichten 14
15. Rev.Stand3.0  3. Betroffenenrechte  int. Prozess / Festlegung von Verantwortlichkeiten  int. Prozess & Dokumentation der Überprüfung der Identität  Muster-Antwortschreiben / Vorlagen  Schulung / Sensibilisierung aller Beschäftigten Doku-Pflichten 15
16. Rev.Stand3.0  4. Datenpannen  int. Prozess / Festlegung von Verantwortlichkeiten  Muster-Meldung an Betroffene / Meldebogen für Aufsichtsbehörde  Schulung / Sensibilisierung aller Beschäftigten Doku-Pflichten 16
17. Rev.Stand3.0  5. Einwilligungserklärungen  Übersicht notwendige Einwilligungen (z.B. Fotos von Beschäftigten, BEM)  Muster vorformulierter Einwilligungen Doku-Pflichten 17
18. Rev.Stand3.0  6. interne Dokumentation  Auflistung & Beschreibung aller Verarbeitungstätigkeiten  Auflistung der TOMs  Zusammenstellung versch. Anlagen  ggf. Datenschutzhandbuch (Grundsätze, Richtlinien) Doku-Pflichten 18
19. Rev.Stand3.0  7. Datenübermittlung an Dritte  Übersicht Dienstleister  Identifizierung von AV-Verhältnissen bzw. gemeinsamer oder getrennter Verantwortlichkeit  AV- bzw. Joint-Controllership-Verträge Doku-Pflichten 19
20. Rev.Stand3.0  8. DSFA  int. Prozess / Festlegung von Verantwortlichkeiten  ggf. PIA-Software der CNIL  Übersicht / Archivierung durchgeführter DSFAs Doku-Pflichten 20
21. Rev.Stand3.0 1. Einführung 2. Die wichtigsten Dokumentationspflichten 3. Das Verarbeitungsverzeichnis 4. TOMs & weitere Anlagen zum Verarbeitungsverzeichnis Agenda 21
22. Rev.Stand3.0  zentrales / wichtigstes Dokument: Verarbeitungsverzeichnis (Art. 30)  kann in Datei- und / oder Papierform geführt werden  ggf. auch mit Spezial-Software Verarbeitungsverzeichnis 22
23. Rev.Stand3.0  keine gesetzliche Vorgabe bzgl. der Form des Verarbeitungsverzeichnisses  lediglich verpflichtende Mindest-Angaben gem. Art. 30 Verarbeitungsverzeichnis 23
24. Rev.Stand3.0 Verarbeitungsverzeichnis 24 „Deckblatt“ • Name & Kontaktdaten des Verantwortlichen • ggf. Namen & Kontaktdaten des gemeinsam Verantwortlichen • ggf. Name & Kontaktdaten des EU- Vertreters • ggf. Namen & Kontaktdaten des DSB Verarbeitungstätigkeiten • jeweils Angabe von: • Zwecke der Verarbeitung • Kategorien Betroffener • Kategorien pb Daten • ggf. Kategorien von Empfängern • ggf. Übermittlung an Drittland • Löschfristen TOMs • allg. Beschreibung der technischen und organisatorischen Maßnahmen gem. Art. 32 möglicher Aufbau Verarbeitungsverzeichnis
25. Rev.Stand3.0 Verarbeitungsverzeichnis 25 Muster-Vorlage der DSK
26. Rev.Stand3.0 Verarbeitungsverzeichnis 26 Muster-Beispiel des BayLDA
27. Rev.Stand3.0  optionale Angaben:  Rechtsgrundlage für „normale“ Daten  Rechtsgrundlage für besondere Daten (Art. 9, 10)  Quellen, aus denen Daten erhoben wurden (z.B. Finanzamt -> Banken)  Risikoeinstufung einzelner Verarbeitungstätigkeiten  Schutzbedarfsfeststellung einzelner Verarbeitungstätigkeiten  DSFA erforderlich? (wenn nicht, warum nicht?) Verarbeitungsverzeichnis 27
28. Rev.Stand3.0 Verarbeitungsverzeichnis 28 Beispiele sinnvoller Anlagen zum Verarbeitungsverzeichnis Übersicht Hard- / Software Benennungsurkunde DSB Netzwerkdiagramm DSB-Tätigkeitsberichte Organigramm / Behörde Prozessbeschreibungen Schlüsselliste Übersicht Dienstleister Arbeitsanweisung(en) Wartungsverträge (Kopierer…) Betriebsvereinbarung(en) AV-Verträge Nutzerrechtekonzept Notfallplan Gebäudeplan / Grundriss Schulungsnachweise Beschäftigte Lösch-Konzept exempl. Arbeitsvertrag Passwort-Richtlinie exempl. Verpflichtung Vertraulichkeit Backup-Konzept …
29. Rev.Stand3.0 1. Einführung 2. Die wichtigsten Dokumentationspflichten 3. Das Verarbeitungsverzeichnis 4. TOMs & weitere Anlagen zum Verarbeitungsverzeichnis Agenda 29
30. Rev.Stand3.0  Sicherheit der Verarbeitung / TOMs (Anlage zu § 9 BDSG-alt)  Zutrittskontrolle  Zugangskontrolle  Zugriffskontrolle  Trennungsgebot  Auftragskontrolle  Eingabekontrolle  Weitergabekontrolle  Verfügbarkeitskontrolle TOMs u.a. 30
31. Rev.Stand3.0  Sicherheit der Verarbeitung / TOMs (Art. 32)  Pseudonymisierung  Verschlüsselung  Gewährleistung der Vertraulichkeit  Zutrittskontrolle  Zugangskontrolle  Zugriffskontrolle  Trennungsgebot  Auftragskontrolle  Gewährleistung der Integrität  Eingabekontrolle  Weitergabekontrolle  Gewährleistung der Verfügbarkeit  Verfügbarkeitskontrolle  Gewährleistung der Belastbarkeit der Systeme  Wiederherstellbarkeit der Verfügbarkeit  Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der TOMs TOMs u.a. 31
32. Rev.Stand3.0  Beispiele für…  Zutrittskontrolle: Alarmanlage, Videoüberwachung, Sicherheitsschlösser, Personenkontrolle…  Zugangskontrolle: Benutzerrechte, Passwortvergabe, Sperren externer Schnittstellen (z.B. USB)…  Zugriffskontrolle: Berechtigungskonzept, Passwortrichtlinie, sichere Aufbewahrung von Datenträgern…  Trennungsgebot: Trennung von Datensätze für versch. Zwecke, Trennung von Produktiv- und Testsystem…  Auftragskontrolle: sorgfältige Auswahl von Dienstleistern, ggf. AV- Verträge, vereinbarte Kontrollrechte…  Eingabekontrolle: Protokollierung der Eingabe, Änderung und Löschung von Daten, individuelle Benutzernamen…  Weitergabekontrolle: E-Mail-Verschlüsselung, Verschlüsselung von ext. Datenträgern / Endgeräten, sichere Transportbehälter…  Verfügbarkeitskontrolle: Feuer- und Rauchmeldeanlagen, USV, Feuerlöschgeräte, Backup- & Recovery-Konzept, Notfallplan… TOMs u.a. 32
33. Rev.Stand3.0  Anforderungen an die Sicherheit der Verarbeitung (vgl. § 64 Abs. 3 BDSG)  Zugangskontrolle  Datenträgerkontrolle  Speicherkontrolle  Benutzerkontrolle  Zugriffskontrolle  Übertragungskontrolle  Eingabekontrolle  Transportkontrolle  Wiederherstellbarkeit  Zuverlässigkeit  Datenintegrität  Auftragskontrolle  Verfügbarkeitskontrolle  Trennbarkeit TOMs u.a. 33
34. Rev.Stand3.0  Einzelmaßnahmen durch Gesetz nicht vorgegeben  Verantwortlicher muss ein dem Risiko angemessenes Schutzniveau gewährleisten  unter Berücksichtigung von…  Stands der Technik  Implementierungskosten  Art, Umfang, Umstände & Zwecke der Verarbeitung  Eintrittswahrscheinlichkeit & Schwere des Risikos TOMs u.a. 34
35. Rev.Stand3.0  div. Möglichkeiten zur Umsetzung der TOMs  versch. techn. Standards, z.B.  BSI IT-Grundschutz  Standard-Datenschutzmodell (SDM)  ISO 2700x  VdS 10010 (eher für KMU)  für „Stand der Technik“ vgl. aktuelle TeleTrusT Handreichung TOMs u.a. 35
36. Rev.Stand3.0 noch Fragen? 36
E-Mail-Marketing: Rechtssicherer Versand elektronischer Werbung