Willkommen beim Datenschutz-Wiki der TU Ilmenau
Hinweise Impressum Datenschutzerklärung

Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Beide Seiten der vorigen RevisionVorhergehende Überarbeitung
Nächste Überarbeitung		Vorhergehende Überarbeitung
wiki:user:spielwiese [2018/11/15 11:51] – Martin Neldnerwiki:user:spielwiese [2022/02/25 09:01] (aktuell) – Admin
Zeile 1: Zeile 1:
-Das **VVT-Beispiel** ist ein Muster zur Umsetzung eines [[:vvt|VVT]] mit Erläuterungen. +====== Handeln bei IT-Sicherheitsvorfällen ======
- +
-Das Muster basiert auf dem Formular für die Thüringer Hochschulen und kann {{:formular_vvt_thuerhs_v0.7.docx|hier als Word-Datei}}  heruntergeladen werden. +
- +
-Im Beispiel wird von folgendem Sachverhalt ausgegangen: +
- +
-Ein Fachgebiet an der TU Ilmenau betreibt mittels des Dienstes "mailman" einen Newsletter, um ehemalige MitarbeiterInnen und Studierende über aktuelle Entwicklungen auf dem Laufenden zu halten. Die Mehrzahl der Emails geht an externe Emailadressen. +
- +
-^Formularfeld^Erläuterung^Beispiel| +
-|**1 Verantwortlicher und Datenschutzbeauftragter gem Art. 30 Abs. 1 Satz 2, lit. a) EU-DSGVO**| | | +
-|1.1 Name und Kontaktdaten des Verantwortlichen|Als Verantwortlicher wird immer im öffentlichen Bereich immer der Rechtsträger, also in aller Regel die Körperschaft öffentlichen Rechts benannt. Als deren Vertreter wird der gesetzliche Vertreter gem. [[:wiki:user:thuerhg|ThuerHG]]|Technische Universität Ilmenau \\ Der Rektor \\ Ehrenbergstraße 29 \\ 98693 Ilmenau| +
-|1.2 Innerorganisatorisch für das Verfahren Verantwortlicher (optional)|An etwas größeren Institutionen sollte immer ein organisatorisch Verantwortlicher benannt werden. Es kann auch zweckmäßig sein, mehrere Ansprechpartner zu benennen.| | +
-|1.3 Name und Kontaktdaten eines oder mehrerer gemeinsam Verantwortlicher| | | +
-|1.4 Name und Kontaktdaten des Datenschutzbeauftragten (und ggf. seines Stellvertreters)| | | +
-|1.5 Bei Auftragsverarbeitung : Name und Kontaktdaten des Auftragsverarbeiters| | | +
-|**2 Zwecke und Grundlagen der Verarbeitung sowie Löschfristen gem. Art. 30 Abs. 1 Satz 2, lit. b) und lit. f) EU-DSGVO**| | | +
-|2.1 Bezeichnung  der Verarbeitungstätigkeit und Kurzbezeichnung  (8 Zeichen)| | | +
-|2.2 Zwecke, zu deren Erfüllung die Daten verarbeitet werden | | | +
-|2.3 Rechtsgrundlagen der Datenverarbeitung |**Zentraler Punkt** eines jeden VVT. Hier ist -ggf. gemeinsam mit dem Datenschutzbeauftragten- zu prüfen, auf welche Rechtsgrundlage die Verarbeitung gestützt wird und damit die[[:rechtmaessigkeit_der_verarbeitung|Rechtmäßigkeit der Verarbeitung]] sichergestellt wird. | | +
-|2.4 Darlegung berechtigter Interessen nach Art. 6 Abs. 1 DSGVO: \\ a) Einwilligung (Hinweis auf jederzeitiges Widerrufsrecht) \\ b) vertragliches oder vorvertragliches Erfordernis \\ c) Erfüllung rechtlicher Verpflichtung \\ e) Erfordernis Aufgabenwahrnehmung (öffentliches Interesse / öffentliche Gewalt) | Ein missverständliches Feld, dass vorläufig nicht belegt wird: Eine [[:verarbeitung_zur_wahrung_berechtigter_interessen|Verarbeitung zur Wahrung berechtigter Interessen]] ist öffentlichen Stellen nicht gestattet. Zudem **muss** unter 1.3 die Rechtsgrundlage einschließlich der passenden Regelung in der DSGVO angegeben werden. | | +
-|1.5 Beginn der Verarbeitungstätigkeit / Verfahren eingesetzt ab/seit: | | | +
-| | | | +
-|**3 Kategorien betroffener Personen und personenbezogener Daten gem. Art. 30 Abs. 1 Satz 2 lit. c) EU-DSGVO** | | | +
-|3.1 Bezeichnung der Kategorien betroffener Personen | | | +
-|3.2 Bezeichnung/Beschreibung der personenbezogenen Daten nach Kategorien | | | +
-|**4 Bezeichnung der Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt wurden oder noch werden +
-gem. Art. 30 Abs. 1 Satz 2 lit. d) EU-DSGVO**| | | +
-|4.1 Empfänger im Anwendungsbereich der DSGVO (schließt auch Auftragsverarbeiter  ein) | | | +
-|4.1.1 Empfänger innerhalb des Bereichs des Verantwortlichen (der Organisation/Behörde) | | | +
-|4.1.2 Empfänger außerhalb des Bereichs des Verantwortlichen (der Organisation/Behörde) | | | +
-|4.2 Empfänger im Drittland nach Kapitel V DSGVO |Übermittlung personenbezogener Daten in Drittländer ist an außerordentlich hohe Voraussetzungen geknüpft. Eine solche Übermittlung sollte nur nach Rücksprache mit dem Datenschutzbeauftragten erfolgen. Im Regelfall bleibt das Formularfeld frei. | |  +
-|4.3 Empfänger in internationaler Organisation |Siehe 4.2 | | +
-|**5 Angaben zur Übermittlung von personenbezogenen Daten an ein Drittland oder an eine internationale Organisation gem. Art. 30 Abs. 1 Satz 2 lit. e) EU-DSGVO**| Siehe 4.2. Eine solche Übermittlung findet regelmäßig nicht statt. Daher bleiben die Felder im Abschnitt 5 regelmäßig frei. Sie werden daher in diesem Muster auch nicht abgedruckt.| | | +
-|**6 Löschfristen der verschiedenen Datenkategorien gem. Art. 30 Abs. 1 Satz 2 lit. f) EU-DSGVO**|Auch das ist eine zentraler Punkt. In den meisten Fällen muss sichergestellt werden, dass die personenbezogenen Daten zu einem bestimmten oder bestimmbaren Zeitpunkt [[Löschen|gelöscht]] werden.(Bloßes [[Sperren]] wird idR nicht genügen.) | | +
- +
  
 +  * heruntergefahrene Systeme nicht hochfahren aber noch laufende Systeme nicht herunterfahren sondern nur vom (Daten-)Netz trennen (NICHT: Stromnetz). [[https://www.datenschutzbeauftragter-info.de/spurensicherung-im-arbeitsspeicher-stop-pulling-the-plug/]]
  
 +[[:Schadenersatz]]
  
  
 +[[:tu:Prüfung in elektronischer Form]]
  
  
 +{{tag>Entwurf}}

Zuletzt angesehen:

Drucken/exportieren
QR-Code
QR-Code Handeln bei IT-Sicherheitsvorfällen (erstellt für aktuelle Seite)