Source: https://www.kronsoft.de/DSGlossar/Glossar/datenschutzumsetzung4/datenschutzumsetzung4.html
Timestamp: 2018-01-22 06:35:05
Document Index: 229881270

Matched Legal Cases: ['§ 4', '§ 3', '§ 4', '§ 6', '§ 4', '§ 4', '§ 4', '§38']

Lektion 4: Die Aufgaben des Datenschutzbeauftragten
(geschrieben am 2007-04-01 bis 2007-04-09)
sind vollstÃ¤ndig in Â§ 4g des Bundesdatenschutzgesetzes aufgeschrieben. Den reinen Gesetzestext werde ich natÃ¼rlich nicht abschreiben - den solltest du dir dort einmal anschauen - aber ich kann dir eine Zusammenfassung geben:
2. Er hat die korrekte (der Gesetzgeber spricht von ordnungsgemÃ¤ÃŸ) Benutzung (Anwendung) der Programme sicherzustellen, mit denen personenbez. Daten verarbeitet werden.
4. Er hat das "Ã¶ffentliche Verfahrensverzeichnis" auf Antrag jedermann zur VerfÃ¼gung zu stellen.
Die Aufgaben 4., 3., und 2. sind Ã¼berschaubar und mit gutem Willen relativ schnell umgesetzt.
Die bÃ¶se Falle ist der erste Satz, also (1.).
Unser lieber Gesetzgeber greift immer zu solchen allumfassenden Beschreibungen, wenn er selbst nicht so genau weiÃŸ, was alles treffend wÃ¤re.
Durch die nette Umschreibung " auf die Umsetzung der Gesetzesvorschriften hinzuwirken" hat er nÃ¤mlich die General/Pauschal-Aufgaben-Definition an dich Ã¼bergeben. Auf gut Deutsch heiÃŸt das nÃ¤mlich: alles andere!
Ich beginne ausdrÃ¼cklich mit diesem Punkt, weil dir deine Folge-Arbeiten viel leichter von der Hand gehen, wenn die Anderen wissen, dass und warum du dies und jenes zu tun hast.
"Mit dem Gesetz vertraut machen" ist dehn- und auslegefÃ¤hig und kann darauf hinauslaufen:
3c: "schulen" der Mitarbeiter, indem man ihnen so ein StÃ¼ckchen Papier in die Hand drÃ¼ckt, auf dem schnell hingeworfene Floskeln stehen - in der Hoffnung, dass diese so intelligent sind und ab jetzt alles wissen und kÃ¶nnen und verstehen.
A, B oder C sind laut Gesetzestext zulÃ¤ssig. Wichtig ist: du kannst entweder (a) oder (b) oder (c) wÃ¤hlen. Vielleicht fÃ¤llt dir jetzt auch noch ein mÃ¶gliches D und E ein. Aber Tatsache ist:
"C" funktioniert nicht. Nicht, weil die Mitarbeiter zu dumm wÃ¤ren, nein, es fehlt Ihnen die notwendige Motivation - denn sie mÃ¼ssten sich jetzt ja abends auf der Couch mit dem BDSG beschÃ¤ftigen, um auch nur andeutungsweise verstehen zu kÃ¶nnen, was da auf dem StÃ¼ckchen Papier steht.
Zu "B" habe ich wenig Vertrauen, ich habe so etwas auch schon selbst ausprobiert - der Erfolg war leider nicht gegeben, da mittendrin abgebrochen! Wenn du deinen "Schutzbefohlenen" so etwas zumutest, werden sie es eventuell tun, aber nur deshalb, weil sie glauben es tun zu mÃ¼ssen ... und dies ist immer schlecht und bringt die schlechteste Ernte.
Es bleibt noch "A" Ã¼brig. Du wirst sehen, dass auch du dazu die FÃ¤higkeiten besitzt - wenn du dir nicht zuviel vornimmst - am Anfang. Ãœbrigens: auch in der Schule wird bis zur letzten Klasse Frontalunterricht gehalten.
Diese Art der Unterweisung ist in jedem Falle zu vertreten; leider hÃ¶re ich oft das Gegenteil - Betrieb zu groÃŸ, zu viele, die geschult werden mÃ¼ssten, zuviel Zeitaufwand, und so weiter und so weiter ... tatsÃ¤chlich sind dies Ausreden!
Ein Betrieb mit 100 Arbeitnehmern > fÃ¼r die Unterweisung kommen vielleicht 20, 30, 40 oder vielleicht mehr Arbeitnehmer in Betracht. Du bildest Gruppen mit 6 oder 7 SchÃ¼lern dann bist du mit 3 (20), 4-5 (30) oder 6(40) Schulungen durch. Meine Gedanken gehen dahin: niemand verbietet dir diese Schulungen auf 3, 4-5 oder 6 Wochen zu verteilen - du kannst dir auch 3 Monate Zeit geben - es gibt keine Vorgaben zu diesem Thema - wichtig ist, dass es gemacht wird.
Deine Schulung besteht aus zwei Schulungen: erstens die Pflichtschulung, an der jeder teilnehmen muss, der zur Schulung eingeladen wird und zweitens einer Folgeschulung - die freiwillig ist. Die Folgeschulung gibst du acht Wochen nach der Pflichtschulung. Die Pflichtschulung enthÃ¤lt die Grundlagen, die Folgeschulung geht tiefer.
Setze die Pflichtschulung auf zwei Stunden an! Nein, nicht lachen - es funktioniert. Du packst in diese Schulung nur das Notwendigste hinein - auf jeden Fall nicht soviel, dass die Teilnehmer Ã¼berfordert werden - sie sollen neugierig werden und mehr erfahren wollen - und kommen dann auch zur zweiten Schulung.
Ein Betrieb mit 500 Arbeitnehmern und mehr > meinst du nicht auch, dass dieser Betrieb sich einen Vollzeit-DSB (und mehrere Datenschutzhelfer) leisten kann? Ich meine JA. Ob der dann doppelt oder dreimal soviel Mitarbeiter schulen muss ist egal, er wird es locker schaffen. Nur, er darf nicht mit einer 8 oder 16 Stunden-Schulung aufwartet, mit/in der er die Mitarbeiter langweilt und ermÃ¼det.
Bevor du mit den Grundschulungen beginnst, schulst du die Abteilungsleiter - aber benutze bloÃŸ nicht das Wort Schulung - sage, es sei eine Info-Veranstaltung. Zeitdauer: 1 Stunde. Die mÃ¼ssen nicht alles wissen, nur das Notwendige - und Ã¼berhaupt informierst du die nur aus dem einen Grunde, dass sie spÃ¤ter nicht querschieÃŸen und ihre Leute nicht zu deinen Schulungen gehen lassen.
2. Datenvermeidung und Sparsamkeit (Â§ 3a)
3. Die ZulÃ¤ssigkeit der DV (Â§Â§ 4 und 28)
4. Die Grundbegriffe des Datenschutzes (siehe oben. ZerreiÃŸe eine alte Rechnung, werfe eine CD in den Papierkorb und frage, was du gerade getan hast ... dann wird verstanden, was Datenverarbeitung ist ... die meinen ja bis jetzt DV sei alles was am Bildschirm passiert)
5. Die Rechte des Betroffenen (Â§Â§ 6 und 34)
Zu den Punkten 2 - 5 brauchst du keine UnterstÃ¼tzung von mir, die kannst du aus dem BDSG entnehmen.
Aber der Punkt 1 muss gut rÃ¼berkommen ... etwa so:
Datenschutz gibt es schon immer - nur frÃ¼her hatte Datenschutz einen anderen Namen, nÃ¤mlich Vertraulichkeit, Schweigepflicht, Vertrauen, Ehre, usw.. FrÃ¼her war auch kein Gesetz notwendig, da eine Information, bis sie von MÃ¼nchen nach Hamburg gelangte 3 Jahre (ok, gut, Ã¼bertrieben ... aber du weiÃŸt was ich meine). Das Gesetz wurde notwendig, weil heute die Computer in wenigen Sekunden soviel Schaden anrichten kÃ¶nnen, wie dies ein Mensch ohne Technik in seinem ganzen Leben nicht tun kann.
Im Datenschutzgesetz werden deshalb primÃ¤r ihre (mit dem Finger auf den und den und den Teilnehmer zeigen) Rechte sichergestellt und alle Anstrengungen unternommen, dass ihre (mit dem Finger...) geheimen und vertraulichen Informationen keinem anderen bekannt werden und sind.
Merke zum Abschluss: die Zeit, die du in die Unterweisungen und Schulungen investierst, bekommst du spÃ¤ter hundermal zurÃ¼ck.
FÃ¼r die Grund- und Folgeschulung sollten eingeladen werden:
- die Mitarbeiter der QualitÃ¤tssicherung,
- grundsÃ¤tzlich gilt die Faustregel: in die Schulungen sollen die Mitarbeiter eingeladen werden, die viel und/oder stÃ¤ndig mit personenbez. Daten zu tun haben.
- die SekretÃ¤rinnen,
- falls ein Werkschutz existiert - und dieser vor oder nach Dienst den Dienst in der Telefonzentrale Ã¼bernimmt - auch diese Mitarbeiter.
Wenn jemand bei euch anruft und den Datenschutzbeauftragten sprechen mÃ¶chte und von der Dame (von dem Herr) in der Telefonzentrale ein unverstÃ¤ndliche "Ã¤Ã¤Ã¤h ... wie bitte ... wen mÃ¶chten Sie sprechen ... einen was (HiHi) ... einen Datenschutzbeauftragten ... Ã¤Ã¤Ã¤h Ã¤Ã¤h helfen Sie mir mal ... Ã¤Ã¤h wo kÃ¶nnte ich den finden" hÃ¶ren, weiÃŸ der Anrufer sofort, was bei euch im Datenschutz lÃ¤uft - nix.
Nicht lachen - genau dies habe ich schon Ã¶fters erlebt. In der Regel lande ich dann beim EDV-Leiter.
a) das Verfahrensverzeichnis ÃœBERGEBEN lassen (oder, da dies nie geschieht)
Das Verfahrensverzeichnis soll dir laut Â§ 4g Absatz 2 BDSG Ã¼bergeben werden - leider geschieht dies soweit ich weiÃŸ nie - denn man braucht fachkundliches Wissen um es aufzubauen und siehe ... schon hast du die Aufgabe auf deinem Schreibtisch.
Ãœbrigens: die PrÃ¼fung des Verfahrensverzeichnisses ist der zweitwichtigste Punkt bei PrÃ¼fungen durch die AufsichtsbehÃ¶rden.
Mit folgenden Vergleichen mÃ¶chte ich die Wichtigkeit des Verfahrensverzeichnis hervorheben:
- Verlange von deinem GeschÃ¤ftsfÃ¼hrer, dass er das Unternehmen gut leitet, ohne dass er Bilanzzahlen hat,
- verlange von deinem Personalleiter, dass er eine gute Personalpolitik betreibt und die GehÃ¤lter pÃ¼nktlich zahlt - nehme ihm aber seine Personalanwendung und alle Stechuhren weg,
- verlange von der Fertigung, dass sie pÃ¼nktlich liefert - nehme ihr aber die Lagerbuchhaltungsdaten und die Planungssysteme weg,
(gut, das sollte alles hypothetisch sein, tu es bloÃŸ nicht wirklich)
Das Verfahrensverzeichnis ist das Steuerungs- und Planungs-Instrument fÃ¼r den Datenschutzbeauftragten, genau so wie die fachspezifischen Systeme der oben genannten Stellen fÃ¼r diese ihr Steuerungs-Instrument sind. Je besser und flexibler dein Verfahrensverzeichnis ist oder sein wird, desto besser kann deine Arbeit sein.
In dieses Verfahrensverzeichnis sollen all die Anwendungsprogramme aufgenommen werden, mit denen personenbez. Daten bei euch verarbeitet werden. Aus dem Zusammenwirken von 1. Anwendungsprogramm und 2. Verarbeitung personenbez. Daten wird dann laut Definition ein "Vefahren" - ein Ablauf nach einem bestimmten festgelegten Schema. Deshalb heiÃŸt dieses Verzeichnis dann Verfahrensverzeichnis.
Damit du bei deinen Recherchen "nach Verfahren" gute und richtige Fragen stellen kannst, gebe ich dir ein paar Beispiele, die vielleicht in dir selbst Ideen und weiterfÃ¼hrende Fragen wachrufen, was solche Verfahren sein und wo wir sie finden kÃ¶nnten:
Beitragsverwaltungen, GeschÃ¤ftskontakte, Schulungsverzeichnisse, VIP-Adressen (Weihnachten,...), Zeiterfassung, QualitÃ¤tsstatistiken, Geburtstagslisten, Fehlzeitenlisten, Mandantenaufstellungen, Mahnverzeichnisse, schwarze Listen, Arbeitssicherheitsdinge, Reisekosten, Zutrittskontrollen, Videoaufzeichnungen, Kundenabrechnungen, Telefon-/Adressbuch, Dienstwagenverwaltung, Vorsorgeuntersuchungen beim Betriebsarzt, Fahr- und Parkverzeichnisse, Tankstellenbenutzung, Besucherverzeichnisse, Verbesserungsvorschlagswesen, BetriebsunfÃ¤lle, JubilÃ¤enlisten, TelefongesprÃ¤chsauswertungen, Mitarbeitereinkauf, Handy-Verwaltung, Mitarbeiter-/PersonalgesprÃ¤che, SchichtplÃ¤ne, EinsatzplÃ¤ne, Handelsvertreterverwaltung, AuÃŸendienstverzeichnisse, Vertragsverwaltungen, Patente, Abrechnung Rundfunkgeb., Abwicklung Bewerber, Abwicklung Kantinenessen, Administration CTI-Anlage, Adressbuch, Altersteilzeit-Abwicklung, Arbeits- u. Aufenthaltserlaubnisse, Arbeitsplatzanalyse bei ArbeitsunfÃ¤llen, Arbeitszeiterfassung/ Fehlzeiten, Leistungserfassung, Aufzeichnung Notrufe, Beihilfeabrechnung, Benutzeradministration, Benutzerauthentifikation, Datenbank der Grundlagendokumente, Dial-In via ISDN/analog, Erfass. u. Verarb. von Kundenanliegen, ErnÃ¤hrungsberatung, Exchange (EMail, Terminkalender), Faxservice, Flugkartenbestandslisten, GeschÃ¤ftspartnerverzeichnisse, Internetzugang, Kundendaten der Auftraggeber, Kundenkarten Freie Mitarbeiter, MietvertrÃ¤ge, monatliches Coaching, Office-Anwendungen (Texte, Tabellen), Online-Kunden, Praktikumsverzeichnisse, PrÃ¤sentationsdurchfÃ¼hrung, Produktionsinformationssystem, Provision, Prozessverfolgung/QualitÃ¤tssich/ Controlling, Rentnerbetreuung, SchlÃ¼sselverwaltung, Schuldnerlisten, TK-Vermittlung und Abrechnung, Unternehmensberateraufstellungen, Verwaltung Werbepartner, Verschlusssachen-ErmÃ¤chtigung, ZeitschriftenempfÃ¤nger, zentrale Dokumentenverwaltung, und und und und. Diese AufzÃ¤hlung habe ich aus meiner eigenen Praxis und aus einem Tutorial zu einer Datenschutz-Software, welches ich im Internet gefunden hatte, entnommen.
Du wirst in deinem Unternehmen nicht unbedingt alle dieser Verfahren vorfinden, aber bestimmt einige davon und dann noch andere, die jetzt nicht als Beispiele aufgefÃ¼hrt wurden.
GroÃŸe Anwendungssysteme, die viele Arbeitsbereiche enthalten, kannst du in sachlogische Teilbereiche zergliedern und diese Teilbereiche dann vielleicht nochmals in TÃ¤tigkeits-/Gruppenbereiche und diese BlÃ¶cke dann als einzelne Verfahren aufnehmen. So wird zum Beispiel ein Ã¼bergreifend eingesetztes SAP-System schnell zu 50 oder 100 oder mehr Verfahren.
In das Verfahrensverzeichnis ist jedes Verfahren wie folgt aufzunehmen:
- die Personen(gruppen), die daraus Daten erhalten oder einsehen (Personalsachbearbeitung, GL, EinkÃ¤ufergruppe XYZ, ...),
- die Fristen zur LÃ¶schung der Daten, wenn diese nicht mehr gebraucht werden,
- eine geplante DatenÃ¼bermittlung in Drittstaaten (das ist ein eigenes Thema fÃ¼r sich...),
- die Datenschutz- und IT-SicherheitsmaÃŸnahmen, die von eurer Stelle getroffen wurden, damit mit den in diesen Verfahren verarbeiteten personenbez. Daten kein Unfug getrieben wird und dem Betroffenen kein Schaden entstehen kann.
Soweit die Forderungen des Gesetzes (Â§ 4e BDSG).
Aber, das kannst du gerade wieder vergessen, denn im Falle des Falles - wenn eine BetriebsprÃ¼fung kommt - wird man viel tiefer gehende Infos von dir abfragen, denn man muss noch etwas mehr wissen, um ein Verfahren bewerten zu kÃ¶nnen:
"Abfragen" bedeutet bei Revisoren und PrÃ¼fern: du musst es irgendwo niedergeschrieben haben und zeigen kÃ¶nnen !!!!! Worte sind Schall und Rauch! Zeigen musst du es kÃ¶nnen, am besten mit gelinkten Dokumenten, Vereinbarungen, Vorschriften, Policies, Betriebsvereinbarungen,...
- mit wem hast du Ã¼ber das Verfahren gesprochen, wen hast du befragt, hast du dieses Verfahren und seinen Zweck verstanden?
- wurden Absprachen getroffen, wann, mit wem, eingehalten?, offene Punkte?, Ã„nderungswÃ¼nsche deinerseits?, neue und bessere MaÃŸnahmen? ...)
- hat sich mittlerweile was geÃ¤ndert an diesem Verfahren? Wann war die letzte Modifikation? Wann war die letzte PrÃ¼fung?
- auf welcher Hardware lÃ¤uft das Verfahren? Gibt es Schnittstellen zu anderen Verfahren (Dateninput/-output)?
- wo werden die Daten gesichert? Wird Ã¼berhaupt was gesichert? Wurde das RÃ¼cksichern der Daten einmal getestet - oder ist es reine Theorie?
- wurde geprÃ¼ft, ob dieses Verfahren der Vorabkontrolle unterliegt? Ergebnis? DurchgefÃ¼hrt? FÃ¼r wann geplant?
- liegt hier eine Benachrichtigungspflicht vor? DurchgefÃ¼hrt? Wann? Wie?
- wurde geprÃ¼ft, was der EmpfÃ¤nger der Daten (interne Personen und Abteilungen; externe, wie Kreditinstituten usw.) mit diesen Daten anfangen? Brauchen die diese Daten Ã¼berhaupt? ...)
Diese AufzÃ¤hlung ist nicht vollstÃ¤ndig. PrÃ¼fungs- und Dokumentationsumfang (zu einem Verfahren) richten sich letztendlich an der SensibilitÃ¤t des Verfahrens aus.
Je problematischer das Verfahren - aus Sicht des Betroffenen - ist, desto perfekter und tiefgehender mÃ¼ssen deine AktivitÃ¤ten und Nachfragen und Aufzeichnungen sein.
Merke: es gibt zwar einige VorschlÃ¤ge, was ins Verfahrensverzeichnis rein muss aber leider eben nichts rechtsverbindliches. Auch variieren die VorschlÃ¤ge und Anforderungen je Bundesland.
Ja, das ist jetzt sehr viel gewesen, aber tatsÃ¤chlich ist es so, dass du NICHT 200 Verfahren auf den Tisch bekommst und morgen fertig sein musst.
Denke immer daran: wenn man dir vier Stunden pro Woche zugestanden hat, dann machst du auch nur die vier Stunden.
Ich wÃ¼rde vorschlagen, dass du dir einmal ein StÃ¼ck Papier nimmst und obige "Erfassungsfelder" auf dem Papier aufnimmst. Das fÃ¤ngt bei "Bezeichnung des Verfahrens" an. Dazu kommen die von mir genannten (nach dem Exkurs "Abfragen") weiteren notwendigen Informationen wie "wer wurde zum Verfahren befragt", "Datum der Befragung" usw.
Jetzt nimmst du Probeweise ein, zwei oder drei Verfahren aus deiner eigenen Abteilung auf. Da kennst du die Mitarbeiter sehr gut und kannst dich locker und frei mit Ihnen unterhalten. Wenn ihr Ã¼ber ein Verfahren spricht, wird man folgendes erkennen: a) die ein oder andere Information muss noch dazu, die Reihenfolge der Abfragen Ã¤ndert sich usw. und b) du wirst erkennen, dass - selbst die, die fÃ¼r das Verfahren verantwortlich sind - erhebliche Probleme haben auf deine Abfragen Antworten zu geben. Dramatisch wird es bei "LÃ¶schfristen", die sind nÃ¤mlich nicht bekannt, selbst beim Verfahrensanwender nicht, obwohl er dafÃ¼r verantwortlich ist. Schulter dir dieses Problem ("ich mach das Schon, ich suche die ...") bloÃŸ nicht selbst auf. Diese Informationen hat der Verantwortliche fÃ¼r dieses Verfahren schon selbst zu liefern. Verfahren, dei denen noch Infos nachzutragen sind, setzt du dir mit Termin auf Wiedervorlage (spÃ¤ter mit deinem Tool).
Hast du dies einmal durchgespielt, solltest du dir ein Tool zulegen, mit dem du diese Angaben zum Verfahren ordentlich und wirtschaftlich handhaben kannst. NatÃ¼rlich ist es wichtig, dass du auch alle deine Anforderungen zum Verzeichnis abbilden kannst. Bei der Toolauswahl solltest du noch darauf achten, dass du auch die anderen Datenschutz- und IT-Sicherheitsaufgaben damit erledigen kannst. Tools gibt es als Freeware oder ab ca. 150 Euro netto. Du kannst in Google auf "Verfahrensverzeichnis + Tool" suchen und wirst ca. fÃ¼nf bis zehn Tools finden. Relevant fÃ¼r dich kÃ¶nnen BDAdmin, BDSGBasics, DProReg und PrivacyGuard sein. Referenzen werden zu BDAdmin, BDSGBasics und PrivacyGuard genannt (Stand April 2007).
Steht deine Erfassungsliste - so wie du sie brauchst -, kannst du dir diese im Tool abbilden (Inhalt, Reihenfolge) und dann ausdrucken und an die Fachabteilungen geben, damit die dir ihre Verfahren melden. Die zurÃ¼cklaufenden Listen werden erfasst und dienen dir jetzt als Kontaktbasis um weiterfÃ¼hrende GesprÃ¤che in den Abteilungen zu fÃ¼hren - um dann im persÃ¶nlichen GesprÃ¤ch die Verfahren herauszufinden, die man nicht gemeldet hat. Dieses "Nichtmelden" geschieht nicht mit Absicht, sondern aus Unkenntnis.
Das Verfahrensverzeichnis ist, wenn es aufgebaut und spÃ¤ter ausgebaut wird, dein grundlegendes Informationssystem zum Datenschutz, mit dem du deine weiteren TÃ¤tigkeiten Schritt fÃ¼r Schritt angehst und umsetzt.
2. das Ã–FFENTLICHE Verfahrensverzeichnis
Der Gesetzgeber verfÃ¼gt in Â§ 4g Absatz 2 BDSG, dass diese Angaben zu den Verfahren auf ANTRAG JEDERMANN in GEEIGNETER Weise VERFÃœGBAR gemacht werden.
Dieser Sachverhalt wird "Ã¶ffentliches Verfahrensverzeichnis" genannt. Der Gesetzgeber beschreibt nicht, wie dies bewerkstelligt oder aussehen soll.
Manche Firmen haben ihr Verzeichnis online gestellt und haben somit ein fÃ¼r alle mal diesen Punkt abgehakt (Googlesuche: "Ã¶ffentliches Verfahrensverzeichnis").
Das Ã¶ffentliche Verfahrensverzeichnis entsteht immer aus dem Internen - ist allerdings so stark zusammengefasst, dass das verÃ¶ffentlichende Unternehmen keine Nachteile aus der VerÃ¶ffentlichung erhalten kann.
Kurz mit meinen Worten: das Ã¶ffentliche Verfahrensverzeichnis ist aussage- und nutzlos.
Mehr noch, ich Ã¤rgere mich auch Ã¼ber die Dreistigkeit, mit der Unternehmen in das Verzeichnis die zu beachtenden LÃ¶schfristen aufnehmen:
"Der Gesetzgeber hat vielfÃ¤ltige Aufbewahrungspflichten und -fristen erlassen. Nach Ablauf dieser Fristen werden die entsprechenden Daten routinemÃ¤ÃŸig gelÃ¶scht, ...". Bei solchen Formulierungen muss ich davon ausgehen, dass dieses Unternehmen die LÃ¶schfristen nicht kennt, sonst hÃ¤tte es sie nÃ¤mlich hingeschrieben - RÃ¼ckschlÃ¼sse zur betrieblichen DV sind Ã¼ber LÃ¶schfristen nÃ¤mlich nicht mÃ¶glich.
##5: Nachtrag zum Ã¶ffentlichen Verfahrensverzeichnis:
UnnÃ¶tige Arbeit, die nicht getan wird, hilft dir Zeit sparen. Wenn du mit der Erstellung des Ã¶ffentlichen Verfahrensverzeichnisses wartest, bist dieser "Antrag auf Einsicht" kommt, wird dir niemand bÃ¶se sein. Ich persÃ¶nlich wÃ¼rde es nicht - auf der eigenen WEB-Seite - ins Internet stellen.
##5 Ende.
Der DSB soll die ordnungsgemÃ¤ÃŸe Anwendung der Programme sicherstellen
Entsprechend dieser gesetzlichen Vorgabe sollst du sicherstellen, dass die Programme (Anwendungsprogramme), mit denen personenbezogene Daten verarbeitet werden, ordnungsgemÃ¤ÃŸ angewendet werden.
Wie geht das? Gesagt ist es relativ einfach ... GESCHICKT realisiert etwas schwieriger: du schaust dir diese Programme und ihre Anwendung bei einem Sachbearbeiter(in) an! Du schaust nach, wie das in der Praxis lÃ¤uft.
Diese Aufgabe beinhaltet dreierlei Punkte, die Sprengstoff enthalten kÃ¶nnten - aber die hast du ja bereits im Vorfeld durch deine Infostunde mit den Abteilungsleitern und deine Datenschutzgrundlagen-Unterweisung bei den Mitarbeitern neutralisiert - achte aber trotzdem auf Anzeichen:
a) die Abteilungsleiter kÃ¶nnten dich als StÃ¶rfaktor sehen,
b) die Sachbearbeiter kÃ¶nnte das GefÃ¼hl beschleichen, dass du Ihnen irgendwann sagen wirst, wie sie ihre Arbeit zu machen hÃ¤tten und
Es gibt die "echten DatenschÃ¼tzer, die harten, die ganzen MÃ¤nner" (die Verstockten, die EnttÃ¤uschten, die privatkriegfÃ¼hrenden, die seelisch Verletzten,...) in der Stellung des DSBs, die nicht merken, dass ihre stÃ¤ndigen Ermahnungen, Verbote und Forderungen sie bisher nur dem Herzinfarkt einen Schritt nÃ¤her - aber nicht dem Ziel Datenschutz sicherzustellen - gebracht haben.
Achte darauf, dass dir dies nicht passiert: du berÃ¤tst ... du machst VorschlÃ¤ge ... und das war es. Nimm es nicht persÃ¶nlich, wenn deine VorschlÃ¤ge nicht immer berÃ¼cksichtigt werden. Der Erfolg des Unternehmens ist aus der Sicht der anderen immer das Wichtigste. FÃ¼r dich ist das Wichtige, dass du a) ein Problem erkennst, b) auf das Problem hinweist, c) EINE LÃ–SUNG ANBIETEST mit der alle leben kÃ¶nnen d) dies alles sauber dokumentierst und e) deiner GeschÃ¤ftsleitung zur Kenntnis bringst - spÃ¤testens im Jahresbericht. Damit hast du die Initiative und Verantwortung dorthin abgegeben.
Wie und wann werden Anwendungsprogramme ordnungsgemÃ¤ÃŸ nach Datenschutzgesetz angewendet?
Es ist eine FÃ¼lle von Anforderungen, die sichergestellt werden sollten:
2. ist der Zugriff zu dem System (Ã¼berhaupt) geregelt?
3. Gibt es eine Vertretungsregelung? Stellenbeschreibungen wÃ¤ren zu 1. und 3. sehr hilfreich.
4. Wie ist die Sachlage, wenn keine regulÃ¤re Arbeitszeit ist? Nach Feierabend? FrÃ¼hmorgens vor dem allg. Dienstbeginn? Kann ein anderer sich an dem System anmelden?
7. Ist geregelt, wie bei TestlÃ¤ufen mit den Daten umgegangen wird? Sind die Daten hierzu anonymisiert (Erkennungszeichen weggenommen? Personalnummer, Lieferantennummer,...)
8. Wie sehen die ArbeitsplÃ¤tze aus? Liegen auf den Schreibtischen - nach Dienst - Listen mit personenbez. Daten? Andere DatentrÃ¤ger?
9. Gibt es Externe, die in die Systeme und an die Daten herankommen? Fernwartung? WartungsvertrÃ¤ge?
All diese Dinge werden im GesprÃ¤ch mit den Sachbearbeitern - die diese Anwendungssysteme bedienen - versucht herauszufinden.
Aufgrund des erstellten Verfahrensverzeichnisses pickst du dir nacheinander die sensibelsten Verfahren heraus und prÃ¼fst sie. Auch hier solltest du an ein oder zwei Verfahren - die in deiner Abteilung gefÃ¼hrt werden - das Handling Ã¼ben und ein Feeling fÃ¼r die Vorgehensweise bekommen.
Die festgestellten Unterlassungen und Probleme, gehÃ¶ren nicht in die Ã–ffentlichkeit. Dokumentiere diese in deiner "AktivitÃ¤ten-Datenbank", die bei einem guten Datenschutz-Werkzeug vorhanden ist.
Es nÃ¼tzt rein gar nichts, wenn du nur Probleme aufzeigst - aber keine LÃ¶sungen anbietest. Formuliere deine LÃ¶sungsvorschlÃ¤ge immer aus betrieblicher Perspektive - vermeide Formulierungen wie: "nach Â§XYZ Bundesdatenschutzgesetz ist dies nicht zulÃ¤ssig..." ... du wÃ¼rdest automatisch einen Widerstand provozieren. Es kÃ¶nnte doch auch so gehen: "die Listen mit den Einkaufsdaten gehÃ¶ren nach Feierabend in den verschlossenen Schrank. Sie mÃ¼ssen vom Schreibtisch runter (...die kann man ja im Vorbeigehen einstecken...). Da steckt soviel betriebliches Know-how drin ... das geht wirklich nicht jeden etwas an."
In deinem Verfahrens-PrÃ¼fbericht zeigst du Probleme auf und machst VorschlÃ¤ge, wie diese abgestellt werden kÃ¶nnen. Die PrÃ¼fungsergebnisse werden IMMER ZUERST mit den verantwortlichen Abteilungsleitern besprochen. FÃ¼r die allermeisten Probleme werden LÃ¶sungen gefunden werden. Wichtig fÃ¼r deine Arbeit ist, dass ihr Termine fixiert und du von vorneherein darauf hinweist, dass du dir dies alles nochmals nach diesem Termin anschauen wirst.
Dinge, die partout nicht realisiert werden, kommen dann - mit Nennung deines LÃ¶sungsvorschlages - in den Jahresbericht an die GeschÃ¤ftsleitung. FÃ¼ge einfach den Absatz "Offene Punkte" am Ende des Berichtes ein und schreibe ihn fort. Durch Aufzeigen des Problems hast du die Verantwortung ausdrÃ¼cklich an die GeschÃ¤ftsleitung weitergegeben.
Mit dieser General-Vorschrift deckt der Gesetzgeber all das ab, was nicht ausdrÃ¼cklich im Gesetz als deine Aufgabe geregelt ist - aber irgend jemand muss ja die Aufgabe und damit die Verantwortung Ã¼bernehmen.
1. Sorge dafÃ¼r, dass man weiÃŸ, dass du den Datenschutz im Unternehmen machst.
2. Sorge dafÃ¼r, dass man dich sofort zu allen "Datenschutzdingen, Anfragen von auÃŸen, interne Dinge" hinzuzieht. Sofort. Keiner auÃŸer dir gibt Auskunft nach auÃŸen. Nur du hast das Fachwissen um solche Dinge aus Betroffenen- und Betriebssicht richtig beurteilen zu kÃ¶nnen und richtig zu handeln. Wenn ein Personalsachbearbeiter von der "Polizei Immenhof" angerufen wird und treu und brav Fragen beantwortet - ohne zu wissen, wer da wirklich anruft, ohne dort zurÃ¼ckzurufen, ohne die Rechtsgrundlage fÃ¼r den Anruf zu hinterfragen - dann ist das Kind eigentlich schon in den Brunnen gefallen.
3. Bewahre Ruhe. Die allermeisten Datenschutzprobleme mÃ¼ssen nicht in den nÃ¤chsten fÃ¼nf Minuten gelÃ¶st werden. Hinterfrage das Problem, suche nach LÃ¶sungsansÃ¤tzen im Internet und wenn dort nichts brauchbares steht, wende dich mit diesem Problem an die fÃ¼r dich zustÃ¤ndige AufsichtsbehÃ¶rde fÃ¼r den Datenschutz. Du hast nach Â§38 Absatz 1 Satz 2 das Recht die AufsichtsbehÃ¶rde zur Beratung zu kontaktieren. Welche AufsichtsbehÃ¶rde fÃ¼r dich zustÃ¤ndig ist, kannst du hier nachschlagen: suche mit diesem Suchbegriff in einer Suchmaschine:
" AufsichtsbehÃ¶rde fÃ¼r den Datenschutz in der Privatwirtschaft".
Wenn du deine Problemstellungen an die AufsichtsbehÃ¶rden zur Beratung und LÃ¶sungsfindung weitergibst, solltest du einmal ausprobieren, ob man dir auf eine imaginÃ¤re E-Mail-Adresse (Erwin.Schmitt-Meyer@WEB.de) antwortet. Wenn nicht, solltest du vorsichtig vorgehen oder eventuell auf diese Beratungshilfe ganz verzichten.