Source: https://huysburg.de/index.php?id=136
Timestamp: 2018-09-21 15:24:41
Document Index: 349471733

Matched Legal Cases: ['§ 88', 'Art. 30', 'Art. 15', 'Art. 16', 'Art. 21', 'Art. 28']

DS: Organisation ǀ Benediktinerkloster Huysburg
DS: Organisation
Diese Richtlinie regelt die datenschutzkonforme Informationsverarbeitung und die gemeinsamen Verantwortlichkeiten des Benediktinerklosters Huysburg und der Klosterverwaltung Huysburg GmbH (im Folgenden "Kloster Huysburg" genannt). Alle Mitarbeiter sind zur Einhaltung der Richtlinie verpflichtet.
die Personen oder Abteilungen, die über den Einsatz/die Bereitstellung eines Anwendungssystems entscheiden (IT-Abteilung);
Benutzer, d. h. diejenigen, die das zur Verfügung gestellte System für die Erledigung ihrer betrieblichen Aufgaben nutzen (bei Speicherung personenbezogener Daten auf einem Arbeitsplatzrechner entscheidet der einzelne Benutzer ggf. auch über die im System erfolgende Verarbeitung und die dazu verwendeten Programme),
den externen Datenschutzbeauftragten (DSB), der ihre Umsetzung beratend und kontrollierend begleitet und die ihm speziell zugewiesenen Aufgaben wahrzunehmen hat.
Der Datenschutzbeauftragte berät bei der Umsetzung der Richtlinie und prüft deren Einhaltung. Insoweit sind alle Adressaten der Richtlinie dem DSB und Datenschutzkoordinator auskunftspflichtig.
2.1 Die Klosterverwaltung Huysburg GmbH hat nach Maßgabe des Artikels 37 DS-GVO einen betrieblichen Datenschutzbeauftragten (DSB) bestellt.
Klosterverwaltung Huysburg
E-Mail: datenschutzhuysburg.REMOVE-THIS.de
2.2 Der Datenschutzbeauftragte unterrichtet und berät die Unternehmensleitung sowie die Beschäftigten hinsichtlich ihrer Datenschutzpflichten. Ihm obliegt die Überwachung der Einhaltung der Datenschutzvorschriften sowie der Strategien des Verantwortlichen für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der Mitarbeiter.
2.4 Der DSB und der Datenschutzkoordinator werden frühzeitig in alle Datenschutzfragen eingebunden und werden sowohl von der Unternehmensleitung als auch den Beschäftigten bei der Erfüllung ihrer Aufgaben unterstützt.
2.5 Soweit es sich aufgrund organisatorischer Gegebenheiten als notwendig erweist, ernennt die Geschäftsleitung im Benehmen mit dem DSB für die jeweilige Organisationseinheit einen Datenschutzkoordinator.
2.6 Das Unternehmen hat ein Verzeichnis über alle Verarbeitungsvorgänge zu führen. Bei Unklarheiten hinsichtlich der gesetzlich geforderten Informationen kann der Datenschutzbeauftragte beratend hinzugezogen werden. Dem Datenschutz-beauftragten ist eine Kopie des Verfahrensverzeichnisses zu übergeben.
Auf Anfrage stellt das Unternehmen der Aufsichtsbehörde das Verzeichnis zur Verfügung.
2.7 Jeder Mitarbeiter kann sich unmittelbar mit Hinweisen, Anregungen oder Beschwerden an den DSB und den Datenschutzkoordinator wenden, wobei auf Wunsch absolute Vertraulichkeit gewahrt wird.
3.2 Falls mit der Beschaffung ein neues Verfahren der Verarbeitung personenbezogener Daten eingeführt werden soll, ist der Datenschutzbeauftragte bzw. der Datenschutzkoordinator rechtzeitig vorab von der anfordernden Stelle zu informieren (siehe hierzu Näheres in Ziff. 5.2). Der DSB berät dahingehend, ob die Durchführung einer Datenschutz-Folgenabschätzung erforderlich ist.
3.3 Private Hard- und Software dürfen nicht zur Verarbeitung personenbezogener Daten Verwendung finden. Die dienstliche Nutzung privater Hard- und Software im heimischen und außerbetrieblichen Bereich (z. B. private Notebooks) bedarf der Genehmigung durch die IT-Abteilung im Einzelfall.
3.4 Die IT-Abteilung führt ein Verzeichnis der eingesetzten Hardware und der verwendeten Anwendungsprogramme. Der DSB und der Datenschutzkoordinator können auf das Verzeichnis jederzeit zugreifen.
3.5 Bei Verdacht des Diebstahls von Hard- und Software, des unbefugten Zugriffs auf personenbezogene Daten, von Sabotage etc. sind die DV-Abteilung und der DSB bzw. der Datenschutzkoordinator unverzüglich zu informieren.
4.2 Die Verpflichtung erfolgt unter Verwendung des hierzu vorgesehenen Formulars und unter Aushändigung des erstellten Merkblatts durch die Verwaltung.
4.3 Mitarbeiter, die besonderen Geheimhaltungsverpflichtungen (z. B. Fernmeldegeheimnis nach § 88 TKG) unterliegen, werden von den Vorgesetzen ergänzend schriftlich verpflichtet. Die jeweilige Verpflichtungserklärung ist zu den Personalakten zu nehmen.
4.4 Der DSB und der Datenschutzkoordinator sind über die Verpflichtung von Mitarbeitern und deren Arbeitsplatz zwecks der vorzunehmenden weiteren Schulungen und der Feststellung evtl. Kontrollbedarfs zu informieren.
5.1 Über Verfahren, die den Umgang mit personenbezogenen Daten betreffen, führt das Kloster Huysburg ein Verzeichnis von Verarbeitungen gem. Art. 30 DS-GVO. Der für ein Verfahren Verantwortliche bzw. der zuständige Datenschutzkoordinator meldet dieses zeitnah gemäß den vom DSB definierten Vorgaben. Gleiches gilt für Veränderungen (Change Request).
5.2 Unabhängig von dieser Meldung ist der DSB bzw. der zuständige Datenschutzkoordinator bei der Planung der Einführung neuer Verarbeitungen bzw. der Veränderung bestehender Verfahren über Zweck und Inhalt der Anwendung und die Erfüllung der Benachrichtigungspflicht zu informieren (vgl. Ziff. 6.3).
5.3 Soweit der DSB bzw. der zuständige Datenschutzkoordinator feststellt, dass die beabsichtigte Verarbeitung einer Datenschutz-Folgenabschätzung unterliegt, teilt er dies umgehend mit. Das Verfahren darf erst nach Zustimmung des DSB durchgeführt werden. Im Zweifel entscheidet die Geschäftsleitung.
5.4 Macht ein Betroffener von seinem Auskunftsrecht nach Art. 15 DS-GVO oder seinem Korrektur- oder Widerspruchsrecht nach Art. 16 und Art. 21 DSGVO Gebrauch, so erfolgt die zentrale Bearbeitung durch die Verwaltung. Es ist sicherzustellen, dass dem Betroffenen seine Daten auf Wunsch in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung gestellt werden können.
Eine Zweckänderung ist auch zulässig, wenn eine Einwilligung der betroffenen Person durch den Verantwortlichen eingeholt wird. Gleichzeitig hat der für die Verarbeitung Verantwortliche vor der Erhebung bzw. der Speicherung von Daten schriftlich festzulegen, ob und in welcher Art und Weise der gesetzlichen Benachrichtigungs-pflicht des Betroffenen zu genügen ist.
6.4 Falls andere Stellen Informationen über Betroffene anfordern, dürfen diese ohne Einwilligung des Betroffenen nur gegeben werden, wenn hierfür eine gesetzliche Verpflichtung oder ein die Weitergabe rechtfertigendes legitimes Interesse des Unternehmens besteht und die Identität des Anfragenden zweifelsfrei feststeht. Im Zweifel ist der DSB zu kontaktieren.
7.1 Die Speicherung von Daten erfolgt grundsätzlich auf den hierzu zur Verfügung gestellten Netzlaufwerken. Eine Speicherung auf mobilen Datenträgern oder Cloudspeicher (z. B. Flashspeicher, Streamer-Bändern) bedarf der Genehmigung durch die IT-Abteilung und der Registrierung durch die den Träger einsetzende Abteilung/Benutzer. Bei Netzwerken ist die IT-Abteilung für die Sicherung der Daten verantwortlich, die auf dem Server gespeichert sind.
7.2 Soweit technisch bedingt ein anderer Speicherort erforderlich ist (z. B. Notebook, Desktop-PC) ist der jeweilige Benutzer für die Durchführung der Datensicherung selbst verantwortlich. Ist ein Netzzugang möglich (z. B. bei Notebook mit WLAN, Tablet), ist zumindest einmal wöchentlich der aktuelle Datenbestand auf das für den Benutzer reservierte Netzlaufwerk zu überspielen. Die gewählten Datensicherungsmaßnahmen sind in dem Verfahrensverzeichnis zu dokumentieren.
7.3 Gesetzliche Aufbewahrungsfristen und Löschungstermine sind von dem über die Verarbeitung der Daten Entscheidenden in seiner Verantwortung zu beachten. Die IT-Abteilung ist über die Einhaltung der Termine insbesondere im Hinblick auf die Löschung personenbezogener Daten in Sicherungskopien zu informieren.
8.1 Sollen externe Dienstleister erstmals mit der Verarbeitung personenbezogener Daten bzw. einzelnen Verarbeitungsschritten (z. B. Erhebung, Löschung = Entsorgung) bzw. mit Tätigkeiten (z. B. Wartung, Reparatur) beauftragt werden, bei denen sie die Möglichkeit der Kenntnis personenbezogener Daten bekommen, so ist der DSB bzw. der zuständige Datenschutzkoordinator vor der Beauftragung unter Vorlage des den Anforderungen des Art. 28 DS-GVO genügenden Vertragsentwurfs und der Kriterien der erfolgten bzw. nachfolgend vorgesehenen Auftragskontrolle zu informieren.
8.2 Entsprechendes gilt, falls das Kloster Huysburg entsprechende Tätigkeiten im Auftrag Dritter wahrnehmen will.
9.1 Für jedes Verfahren ist eine dokumentierte Schutzbedarfsfeststellung sowie eine Analyse bzgl. der für den Betroffenen möglichen Risiken zu erstellen. Diese richten sich an der Art, dem Umfang, der Umstände und Zwecke der Verarbeitung sowie der Wahrscheinlichkeit des Eintritts einer solchen Gefahr.