| Beide Seiten der vorigen RevisionVorhergehende ÜberarbeitungNächste Überarbeitung | Vorhergehende Überarbeitung |
| vvt-beispiel [2019/04/26 11:33] – Admin | vvt-beispiel [2022/08/01 13:26] (aktuell) – Admin |
|---|
| | <WRAP center round important 60%> |
| | Achtung: Die Technische Universität Ilmenau nutzt das Datenschutzmanagementsystem [[:tu:audatis|Audatis]] und erstellt damit VVT strukturiert in einer Datenbank. Das Beispiel dient in dieser Form also nur noch dem Verständnis, was inhaltlich zu einem VVT gehört. Die tatsächliche Dokumentation erfolgt **NICHT** mehr auf Basis des Word-Formulars. |
| | </WRAP> |
| | |
| | |
| Das **VVT-Beispiel** ist ein Muster zur Umsetzung eines [[:vvt|VVT]] mit Erläuterungen. | Das **VVT-Beispiel** ist ein Muster zur Umsetzung eines [[:vvt|VVT]] mit Erläuterungen. |
| |
| ^Formularfeld^Fußnoten<fs x-small>(nur inhaltliche; keine technischen Erläuterungen)</fs>^Erläuterung^Beispiel| | ^Formularfeld^Fußnoten<fs x-small>(nur inhaltliche; keine technischen Erläuterungen)</fs>^Erläuterung^Beispiel| |
| |**1 Verantwortlicher und Datenschutzbeauftragter gem Art. 30 Abs. 1 Satz 2, lit. a) EU-DSGVO** | | | | | |**1 Verantwortlicher und Datenschutzbeauftragter gem Art. 30 Abs. 1 Satz 2, lit. a) EU-DSGVO** | | | | |
| |1.1 Name und Kontaktdaten des Verantwortlichen|<fs x-small>(Gem. Art. 4 Nr. 7 DSGVO)</fs>|Als Verantwortlicher wird immer im öffentlichen Bereich immer der Rechtsträger, also in aller Regel die Körperschaft öffentlichen Rechts benannt. Als deren Vertreter wird der gesetzliche Vertreter gem. [[:wiki:user:thuerhg|ThuerHG]]|Technische Universität Ilmenau \\ Der Rektor \\ Ehrenbergstraße 29 \\ 98693 Ilmenau| | |1.1 Name und Kontaktdaten des Verantwortlichen|<fs x-small>(Gem. Art. 4 Nr. 7 DSGVO)</fs>|Als Verantwortlicher wird immer im öffentlichen Bereich immer der Rechtsträger, also in aller Regel die Körperschaft öffentlichen Rechts benannt. Als deren Vertreter wird der gesetzliche Vertreter gem. [[:thuerhg|ThuerHG]]|Technische Universität Ilmenau \\ Der Rektor \\ Ehrenbergstraße 29 \\ 98693 Ilmenau| |
| |1.2 Innerorganisatorisch für das Verfahren Verantwortlicher (optional)|<fs x-small>Eine schriftliche Delegation der Zeichnung des Verzeichnisses ist möglich.</fs>|An etwas größeren Institutionen sollte immer ein innerorganisatorisch Verantwortlicher benannt werden. Es kann auch zweckmäßig sein, mehrere Ansprechpartner zu benennen.|Fakultät Wirtschaft und Medien/Fachgebiet öffentliches Recht| | |1.2 Innerorganisatorisch für das Verfahren Verantwortlicher (optional)|<fs x-small>Eine schriftliche Delegation der Zeichnung des Verzeichnisses ist möglich.</fs>|An etwas größeren Institutionen sollte immer ein innerorganisatorisch Verantwortlicher benannt werden. Es kann auch zweckmäßig sein, mehrere Ansprechpartner zu benennen.|Fakultät Wirtschaft und Medien/Fachgebiet öffentliches Recht| |
| |1.3 Name und Kontaktdaten eines oder mehrerer gemeinsam Verantwortlicher|<fs x-small>Gem. Art. 26 DSGVO; Auflistung dieser Daten in einer Anlage ist möglich.</fs>|Gemeinsam sind [[:gemeinsam_verantwortliche|gemeinsam Verantwortliche]] (Joint Controlling) gemäß [[https://dejure.org/gesetze/DSGVO/26.html|Artikel 26]] DSGVO|(-)| | |1.3 Name und Kontaktdaten eines oder mehrerer gemeinsam Verantwortlicher|<fs x-small>Gem. Art. 26 DSGVO; Auflistung dieser Daten in einer Anlage ist möglich.</fs>|Gemeinsam sind [[:gemeinsam_verantwortliche|gemeinsam Verantwortliche]] (Joint Controlling) gemäß [[https://dejure.org/gesetze/DSGVO/26.html|Artikel 26]] DSGVO|(-)| |
| |1.5 Bei Auftragsverarbeitung : Name und Kontaktdaten des Auftragsverarbeiters|<fs x-small>Gem. Art. 28 DSGVO</fs>| |(-)| | |1.5 Bei Auftragsverarbeitung : Name und Kontaktdaten des Auftragsverarbeiters|<fs x-small>Gem. Art. 28 DSGVO</fs>| |(-)| |
| |**2 Zwecke und Grundlagen der Verarbeitung sowie Löschfristen gem. Art. 30 Abs. 1 Satz 2, lit. b) und lit. f) EU-DSGVO** | | | | | |**2 Zwecke und Grundlagen der Verarbeitung sowie Löschfristen gem. Art. 30 Abs. 1 Satz 2, lit. b) und lit. f) EU-DSGVO** | | | | |
| |2.1 Bezeichnung der Verarbeitungstätigkeit und Kurzbezeichnung (8 Zeichen)|<fs x-small>Allgemein verständliche Bezeichnung des Verfahrens (z. B. Immatrikulation, Stellenbewerbung, Einstellung, Personalkostenplanung, Stellplatzverwaltung, Notenverbuchung). Der datenschutzrechtliche Begriff der Verarbeitungstätigkeit ist an logischen Kriterien, wie Funktionalität, Zweckbindung, Verarbeitungslogik, Wirkung von Verknüpfungs- und Zugriffsregeln, orientiert. Die bloße Dokumentation der physischen Datenorganisation (z. B. Datenbankstruktur oder Dateibeschreibung) leistet für das Herbeiführen datenschutzrechtlicher Transparenz keinen geeigneten Beitrag.</fs>|Eine prägnante Bezeichnung ist hilfreich, damit das Verfahren wiedererkannt und beachtet werden kann. Eine Kurzbezeichnung ist optional - es ist offen, ob eine Datenbanklösung eingeführt wird, die eine Kurzbezeichnung mit fix 8 Zeichen verwendet. // Mit der Bezeichnung und dem folgenden Punkt Zwecke wird auch die Entscheidung getroffen, wie weit oder eng ein Verfahren definiert wird. Dafür gibt keine zwingenden Vorgaben.|Newsletter Fachgebiet öffentliches Recht| | |2.1 Bezeichnung der Verarbeitungstätigkeit und Kurzbezeichnung (8 Zeichen)|<fs x-small>Allgemein verständliche Bezeichnung des Verfahrens (z. B. Immatrikulation, Stellenbewerbung, Einstellung, Personalkostenplanung, Stellplatzverwaltung, Notenverbuchung). Der datenschutzrechtliche Begriff der Verarbeitungstätigkeit ist an logischen Kriterien, wie Funktionalität, Zweckbindung, Verarbeitungslogik, Wirkung von Verknüpfungs- und Zugriffsregeln, orientiert. Die bloße Dokumentation der physischen Datenorganisation (z. B. Datenbankstruktur oder Dateibeschreibung) leistet für das Herbeiführen datenschutzrechtlicher Transparenz keinen geeigneten Beitrag.</fs>|Eine prägnante Bezeichnung ist hilfreich, damit das Verfahren wiedererkannt und beachtet werden kann. Eine Kurzbezeichnung ist optional - es ist offen, ob eine Datenbanklösung eingeführt wird, die eine Kurzbezeichnung mit fix 8 Zeichen verwendet. \\ \\ Mit der Bezeichnung und dem folgenden Punkt Zwecke wird auch die Entscheidung getroffen, wie weit oder eng ein Verfahren definiert wird. Dafür gibt keine zwingenden Vorgaben.|Newsletter Fachgebiet öffentliches Recht| |
| |2.2 Zwecke, zu deren Erfüllung die Daten verarbeitet werden| |Vom Zweck der Verarbeitung hängt regelmäßig die Rechtsgrundlage ab. Bei Abwägungsentscheidungen ist der Zweck zudem das maßgebliche Argument FÜR die Datenverarbeitung. Je wichtiger der Zeck, desto eher wird in solchen Fällen die Verarbeitung zulässig sein.|Information über die Arbeit des Fachgebiets und aktuelle Entwicklungen im Medien- und Datenschutzrecht| | |2.2 Zwecke, zu deren Erfüllung die Daten verarbeitet werden| |Vom Zweck der Verarbeitung hängt regelmäßig die Rechtsgrundlage ab. Bei Abwägungsentscheidungen ist der Zweck zudem das maßgebliche Argument FÜR die Datenverarbeitung. Je wichtiger der Zeck, desto eher wird in solchen Fällen die Verarbeitung zulässig sein.|Information über die Arbeit des Fachgebiets und aktuelle Entwicklungen im Medien- und Datenschutzrecht| |
| |2.3 Rechtsgrundlagen der Datenverarbeitung|<fs x-small>Gem. Art. 6 Abs. 1 lit. c) und lit e) DSGVO.</fs>|**Zentraler Punkt** eines jeden VVT. Hier ist -ggf. gemeinsam mit dem Datenschutzbeauftragten- zu prüfen, auf welche Rechtsgrundlage die Verarbeitung gestützt wird und damit die [[:rechtmaessigkeit_der_verarbeitung|]] sichergestellt wird. \\ \\ Anders als die Fußnote andeutet sollte die Rechtsgrundlage umfassend angegeben werden. Also ggf. angefangen bei etwaigen Satzungen (z.B. Prüfungsordnung) über Verordnungen ([[:hochschuldatenschutzverordnung|Hochschuldatenschutzverordnung]]), Spezialgesetze [[:thuerhg|ThürHG]] und allgemeine Datenschutzgesetze ([[:thuerdsg|ThürDSG]], [[:bdsg|BDSG]]) bis hin zur DSGVO. \\ \\ [[:besondere_kategorien_personenbezogener_daten|Besondere Kategorien personenbezogener Daten]] gem. Art. 9 DSGVO bedürfen einer vertieften Prüfung.|Der Newsletter wird nur an Personen versandt, die hierzu ihre Einwilligung erteilt haben, Art. 6 Abs. 1 UA 1 lit. a.| | |2.3 Rechtsgrundlagen der Datenverarbeitung|<fs x-small>Gem. Art. 6 Abs. 1 lit. c) und lit e) DSGVO.</fs>|**Zentraler Punkt** eines jeden VVT. Hier ist -ggf. gemeinsam mit dem Datenschutzbeauftragten- zu prüfen, auf welche Rechtsgrundlage die Verarbeitung gestützt wird und damit die [[:rechtmaessigkeit_der_verarbeitung|]] sichergestellt wird. \\ \\ Anders als die Fußnote andeutet sollte die Rechtsgrundlage umfassend angegeben werden. Also ggf. angefangen bei etwaigen Satzungen (z.B. Prüfungsordnung) über Verordnungen ([[:hochschuldatenschutzverordnung|Hochschuldatenschutzverordnung]]), Spezialgesetze [[:thuerhg|ThürHG]] und allgemeine Datenschutzgesetze ([[:thuerdsg|ThürDSG]], [[:bdsg|BDSG]]) bis hin zur DSGVO. \\ \\ [[:besondere_kategorien_personenbezogener_daten|Besondere Kategorien personenbezogener Daten]] gem. Art. 9 DSGVO bedürfen einer vertieften Prüfung.|Der Newsletter wird nur an Personen versandt, die hierzu ihre Einwilligung erteilt haben, Art. 6 Abs. 1 UA 1 lit. a.| |
| |2.4 Darlegung berechtigter Interessen nach Art. 6 Abs. 1 DSGVO: \\ a) Einwilligung (Hinweis auf jederzeitiges Widerrufsrecht) \\ b) vertragliches oder vorvertragliches Erfordernis \\ c) Erfüllung rechtlicher Verpflichtung \\ e) Erfordernis Aufgabenwahrnehmung (öffentliches Interesse / öffentliche Gewalt)|<fs x-small>zu a) Gem. Art. 13 Abs. 2 lit. c) und Art. 14 Abs. 2 lit. d) DSGVO.</fs>|Ein missverständliches Feld, dass vorläufig nicht belegt wird: Eine [[:verarbeitung_zur_wahrung_berechtigter_interessen|Verarbeitung zur Wahrung berechtigter Interessen]] ist öffentlichen Stellen in der Regel nicht gestattet. Zudem **muss** unter 1.3 die Rechtsgrundlage einschließlich der passenden Regelung in der DSGVO angegeben werden.|(-)| | |2.4 Darlegung berechtigter Interessen nach Art. 6 Abs. 1 DSGVO: \\ a) Einwilligung (Hinweis auf jederzeitiges Widerrufsrecht) \\ b) vertragliches oder vorvertragliches Erfordernis \\ c) Erfüllung rechtlicher Verpflichtung \\ e) Erfordernis Aufgabenwahrnehmung (öffentliches Interesse / öffentliche Gewalt)|<fs x-small>zu a) Gem. Art. 13 Abs. 2 lit. c) und Art. 14 Abs. 2 lit. d) DSGVO.</fs>|Ein missverständliches Feld, dass vorläufig nicht belegt wird: Eine [[:verarbeitung_zur_wahrung_berechtigter_interessen|Verarbeitung zur Wahrung berechtigter Interessen]] ist öffentlichen Stellen in der Regel nicht gestattet. Zudem **muss** unter 2.3 die Rechtsgrundlage einschließlich der passenden Regelung in der DSGVO angegeben werden.|(-)| |
| |2.5 Beginn der Verarbeitungstätigkeit / Verfahren eingesetzt ab/seit:| | |01.01.2019| | |2.5 Beginn der Verarbeitungstätigkeit / Verfahren eingesetzt ab/seit:| | |01.01.2019| |
| |**3 Kategorien betroffener Personen und personenbezogener Daten gem. Art. 30 Abs. 1 Satz 2 lit. c) EU-DSGVO** | | | | | |**3 Kategorien betroffener Personen und personenbezogener Daten gem. Art. 30 Abs. 1 Satz 2 lit. c) EU-DSGVO** | | | | |
| |3.2 Bezeichnung/Beschreibung der personenbezogenen Daten nach Kategorien|<fs x-small>Gem. Art. 30 Abs. 1 Satz 2 lit. c DSGVO; besondere Kategorien personenbezogener Daten gem. Art. 9 DSGVO bitte als solche kennzeichnen</fs>|Zumindest soweit besondere Kategorien personenbezogener Daten vorhanden sind, muss die Rechtsgrundlage (2.3) in besonderem Maße auf ihre Tauglichkeit geprüft werden.|Email, Name, ggf. Grund der Aufnahme in den Newsletter| | |3.2 Bezeichnung/Beschreibung der personenbezogenen Daten nach Kategorien|<fs x-small>Gem. Art. 30 Abs. 1 Satz 2 lit. c DSGVO; besondere Kategorien personenbezogener Daten gem. Art. 9 DSGVO bitte als solche kennzeichnen</fs>|Zumindest soweit besondere Kategorien personenbezogener Daten vorhanden sind, muss die Rechtsgrundlage (2.3) in besonderem Maße auf ihre Tauglichkeit geprüft werden.|Email, Name, ggf. Grund der Aufnahme in den Newsletter| |
| |**4 Bezeichnung der Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt wurden oder noch werden gem. Art. 30 Abs. 1 Satz 2 lit. d) EU-DSGVO** | | | | | |**4 Bezeichnung der Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt wurden oder noch werden gem. Art. 30 Abs. 1 Satz 2 lit. d) EU-DSGVO** | | | | |
| |4.1 Empfänger im Anwendungsbereich der DSGVO (schließt auch Auftragsverarbeiter ein)|<del><fs x-small>Art 18 DSGVO</fs></del> |Gemeint ist Art. 28 DSGVO.|Eine Weiterleitung personenbezogener Informationen findet nicht statt.| | |4.1 Empfänger im Anwendungsbereich der DSGVO (schließt auch Auftragsverarbeiter ein)|<del><fs x-small>Art 18 DSGVO</fs></del> |[[Empfänger]] (näheres siehe Artikel) ist in [[https://dejure.org/gesetze/DSGVO/4.html|Art. 4]] Nr. 9 [[DSGVO]] [[Legaldefinition|legal definiert]]. \\ \\ Der Hinweis in der Fußnote ist falsch: Gemeint ist Art. 28 DSGVO, der die Auftragsverarbeitung regelt.|Eine Weiterleitung personenbezogener Informationen findet nicht statt.| |
| |4.1.1 Empfänger innerhalb des Bereichs des Verantwortlichen (der Organisation/Behörde)| | |(-)| | |4.1.1 Empfänger innerhalb des Bereichs des Verantwortlichen (der Organisation/Behörde)| |Eine Angabe, die in der DSGVO nicht vorgesehen ist. [[Empfänger]] meint eigentlich Stellen außerhalb des [[Verantwortlicher|Verantwortlichen]]. Dennoch kann eine Angabe zweckmäßig sein: \\ - Verfahren lassen sich verknüpfen, indem hier angegeben wird, an welches (andere) Verfahren personenbezogene Daten "übermittelt" werden. Dazu sollten mindestens die Bezeichnung des anderen Verfahrens (Feld 2.1) und der innerorganisatorisch Verantwortliche (Feld 1.2) angegeben werden. \\ - Wenn unsicher ist, ob eine Übermittlung tatsächlich innerhalb desselben Verantwortlichen erfolgt, sollte diese Übermittlung dokumentiert werden - Hier wenn es wahrscheinlich ein Verantwortlicher ist, ansonsten im folgenden Feld.|(-)| |
| |4.1.2 Empfänger außerhalb des Bereichs des Verantwortlichen (der Organisation/Behörde)| | |(-)| | |4.1.2 Empfänger außerhalb des Bereichs des Verantwortlichen (der Organisation/Behörde)| | |(-)| |
| |4.2 Empfänger im Drittland nach Kapitel V DSGVO| |Übermittlung personenbezogener Daten in Drittländer ist an außerordentlich hohe Voraussetzungen geknüpft. Eine solche Übermittlung sollte nur nach Rücksprache mit dem Datenschutzbeauftragten erfolgen. Im Regelfall bleibt das Formularfeld frei.|(-)| | |4.2 Empfänger im Drittland nach Kapitel V DSGVO| |Übermittlung personenbezogener Daten in Drittländer ist an außerordentlich hohe Voraussetzungen geknüpft. Eine solche Übermittlung sollte nur nach Rücksprache mit dem Datenschutzbeauftragten erfolgen. Im Regelfall bleibt das Formularfeld frei.|(-)| |
| |7.2 Ergebnis mit kurzer Begründung (Ausrichtung und zugrunde gelegte Beurteilungstechnik der Risikobewertung)| |Idealerweise sollte ein standardisiertes Verfahren, z.B. [[:Schutzbedarfsfeststellung|]] nach [[BSI|]]|normaler Schutzbedarf| | |7.2 Ergebnis mit kurzer Begründung (Ausrichtung und zugrunde gelegte Beurteilungstechnik der Risikobewertung)| |Idealerweise sollte ein standardisiertes Verfahren, z.B. [[:Schutzbedarfsfeststellung|]] nach [[BSI|]]|normaler Schutzbedarf| |
| |7.3 Beschreibung allgemeiner technischer und organisatorischer Maßnahmen wie Pseudonymisierung und Verschlüsselung|<fs x-small>Hier ist nicht hauptsächlich auf das IT-Sicherheitskonzept abzustellen, sondern vor allem die datenbezogenen Maßnahmen sind zu beschreiben, unter Berücksichtigung des Art. 32 DSGVO.</fs>|In einfachen Fällen sollte wenn möglich auf das "Infrastruktur-VVT" verwiesen werden.|Siehe VVT "GNU Mailman"| | |7.3 Beschreibung allgemeiner technischer und organisatorischer Maßnahmen wie Pseudonymisierung und Verschlüsselung|<fs x-small>Hier ist nicht hauptsächlich auf das IT-Sicherheitskonzept abzustellen, sondern vor allem die datenbezogenen Maßnahmen sind zu beschreiben, unter Berücksichtigung des Art. 32 DSGVO.</fs>|In einfachen Fällen sollte wenn möglich auf das "Infrastruktur-VVT" verwiesen werden.|Siehe VVT "GNU Mailman"| |
| |7.4 Beschreibung der eingesetzten Hard- und Software|<fs x-small>Hier ist auch Verweis möglich, z.B. auf vorhandenes Inventarverzeichnis.</fs>| |Übliche Client-PC, [[:tu:gnu_mailman|GNU_Mailman]]| | |7.4 Beschreibung der eingesetzten Hard- und Software|<fs x-small>Hier ist auch Verweis möglich, z.B. auf vorhandenes Inventarverzeichnis.</fs>| |Übliche Client-PC, [[:tu:gnu_mailman|GNU_Mailman]] auf virtualisiertem Server des UniRZ| |
| |7.5 Beschreibung der technischen und organisatorischen Maßnahmen zur Sicherstellung insbesondere von Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit der Systeme und Dienste|<fs x-small>Die Sicherstellung bezieht sich auf Systeme und Dienste und nicht auf die Verarbeitung oder die personenbezogenen Daten selbst. Sicherzustellen ist die Fähigkeit von Systemen und Diensten (so Piltz in: Gola, DSGVO Kommentar, Art. 32. Rz. 30).</fs>| |Siehe VVT "GNU Mailman"| | |7.5 Beschreibung der technischen und organisatorischen Maßnahmen zur Sicherstellung insbesondere von Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit der Systeme und Dienste|<fs x-small>Die Sicherstellung bezieht sich auf Systeme und Dienste und nicht auf die Verarbeitung oder die personenbezogenen Daten selbst. Sicherzustellen ist die Fähigkeit von Systemen und Diensten (so Piltz in: Gola, DSGVO Kommentar, Art. 32. Rz. 30).</fs>| |Siehe VVT "GNU Mailman"| |
| |7.5.1 Maßnahmen zur Zutrittskontrolle| | |(-)| | |7.5.1 Maßnahmen zur Zutrittskontrolle| | |(-)| |
