02 06 PSL ISMS Datenschutzrichtlinie

Zweck

Diese Richtlinie definiert den Umgang mit personenbezogenen Daten bei der Parasol Island GmbH. Dabei stützt sie sich auf aktuell geltendes Recht, insbesondere auf die Datenschutzgrundverordnung der Europäischen Union (DSGVO) ergänzt durch lokale Gesetzgebung wie z.B. das Bundesdatenschutzgesetz (BDSG) oder das Gesetz zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien (TTDSG).

Geltungsbereich

Während die „Leitlinie zum Datenschutz“ (ISMS, 01_02) sich auch an Kunden richtet, richtet sich diese Richtlinie an die Mitarbeiter der Parasol Island GmbH.

Sie gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

Organisation des Datenschutzes

Die Verantwortung für den Datenschutz liegt bei der Geschäftsführung.

Die Parasol Island bestellt einen (externen) Datenschutzbeauftragten. Darüber hinaus können für die einzelnen Standorte Datenschutzkoordinatoren ernannt werden, die den Datenschutzbeauftragten bei seiner Tätigkeit unterstützen.

Der Datenschutzbeauftragte ist bei datenschutzrelevanten Themen zu Rate zu ziehen. Insbesondere sind Prozesse, die den Datenschutz betreffen, so zu gestalten, dass die Involvierung des Datenschutzbeauftragten sichergestellt ist.

Stellungnahmen, Kommentare, Risikoeinschätzungen und andere Ergebnisse der Tätigkeit des Datenschutzbeauftragten sind zu dokumentieren.

Das Management des Datenschutzes erfolgt im Informationssicherheits-Managementsystem. Für Regelungen bzgl. des Datenschutzes gelten die gleichen Regelungen wie für solche der Informationssicherheit. So sind z.B. auch jene regelmäßig zu überprüfen, aktuell zu halten und laufend zu verbessern. Siehe auch die „Richtlinie zur Führung eines ISMS“ (ISMS, 02_00).

Einhaltung der gesetzlichen Anforderungen

Für Prozesse, bei denen vermehrt personenbezogene Daten verarbeitet werden, sind eigene Arbeitsanweisungen oder Handlungsempfehlungen zu erstellen, die diese Verarbeitung personenbezogener Daten genauer beschreiben, um die Sicherheit der Verarbeitung zu erhöhen.

Ebenso wie zur Einhaltung der Informationssicherheit sind alle Mitarbeiter und eventuelle Dienstleister zur Einhaltung der Vertraulichkeit zu verpflichten. Für Mitarbeiter ist dies im Arbeitsvertrag verankert (ISMS, 06_07), für Freelancer gibt es eine eigene Verpflichtung zum Datenschutz (ISMS, 06_04).

Führen eines Verzeichnisses von Verarbeitungstätigkeiten

Jedes Unternehmen ist nach Art. 30 DSGVO verpflichtet ein Verzeichnis von Verarbeitungstätigkeiten zu führen. Die Koordination der Erstellung eines solchen Verzeichnisses übernimmt der Datenschutzbeauftragte.

Für jede Verarbeitungstätigkeit wird eine Abteilung und ein Mitarbeiter aus dieser Abteilung als zuständige Person benannt. Dieser zuständigen Person obliegt die Pflege der Informationen. Dies schließt die regelmäßige Prüfung auf Aktualität mit ein.

Technische und organisatorische Maßnahmen

Der Schutz personenbezogener Daten erfordert die Definition und Umsetzung technischer und organisatorischer Maßnahmen. Diese sind z.B. auch Bestandteil von Auftragsverarbeitungsverträgen, bei denen die Parasol Island Auftragsverarbeiter ist. Außerdem wird von immer mehr Kunden die Umsetzung verschiedener Maßnahmen gefordert. Daher setzt die Parasol Island geeignete technische und organisatorische Maßnahmen um.

Diese sind zu dokumentieren. Außerdem müssen auch diese regelmäßig überprüft, bewertet und nach Möglichkeit verbessert werden. Bei der Veröffentlichung der Dokumentation der technischen und organisatorischen Maßnahmen ist darauf zu achten, dass durch die Veröffentlichung die Informationssicherheit der Parasol Island nicht beeinträchtigt wird.

Löschkonzepte

Für personenbezogene Daten sind Löschkonzepte zu entwickeln, regelmäßig auf Aktualität zu prüfen und gegebenenfalls zu überarbeiten. Dies kann im Zuge des Führens des Verzeichnisses von Verarbeitungstätigkeiten geschehen. In diesem Fall ist die für die Verarbeitungstätigkeit zuständige Person auch für das Löschkonzept und dessen Einhaltung zuständig.

Mitarbeiterschulungen

Die Mitarbeiter der Parasol Island werden in regelmäßigen Abständen geschult. Dies wird in einer eigenen Richtlinie beschrieben (ISMS, 02_15)

Einsatz von Auftragsverarbeitern

Alle Dienstleister sind vor Beauftragung auf die Einhaltung des Datenschutzes zu verpflichten. Der Einsatz von Auftragsverarbeitern benötigt einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Dabei ist sicherzustellen, dass der Auftragsverarbeiter allen Anforderungen an den Datenschutz genügt. Siehe hierzu auch:

Allgemeine Informationssicherheitsrichtlinie (ISMS, 02_01)
Richtlinie zu IT-Dienstleistungen (ISMS, 02_10)
Richtlinie zu externen Dienstleistern (ISMS, 02_11)

Prüfung der Umsetzung

Die Einhaltung der Regelungen zum Datenschutz sind regelmäßig zu überprüfen und zu überwachen. Dies obliegt dem Datenschutzbeauftragten. Dieser Prozess ist zu dokumentieren.

Da Datenschutz und Informationssicherheit bei der Parasol Island sehr eng miteinander verbunden sind, weil z.B. Regelungen zum Umgang mit sensiblen Daten – seien es projektbezogene Daten oder personenbezogene Daten – identisch sind, oder die verantwortlichen Rollen von gleichen Mitarbeitern besetzt sind, kann es sich als sinnvoll erweisen, Prüfungen und Überwachungsmethoden zu vereinheitlichen.

Die Parasol Island als Auftragsverarbeiter

Ist die Parasol Island Auftragsverarbeiter, so basiert diese Verarbeitung auf einem Auftragsverarbeitungsvertrag. Dieser ist vor Verarbeitungsbeginn zu unterzeichnen und sollte in Abstimmung mit dem Datenschutzbeauftragten erstellt werden.

Die Parasol Island verpflichtet sich zur Einhaltung der gesetzlichen Regelungen sowie der in diesem Vertrag geschlossenen Vereinbarungen. Daher etabliert die Parasol Island u.a. die in den folgenden Abschnitten beschriebenen Prozesse und Vorgehen.

Einsatz von Unterauftragsverarbeitern

Externe Dienstleister werden, wie oben beschrieben, vor ihrer Beauftragung überprüft. Beim Einsatz externer Dienstleister als Unterauftragsverarbeiter ist darauf zu achten, dass diese im AVV festgelegt werden, wenn bei Vertragsschluss bereits bekannt ist, um welche Unterauftragsverarbeiter es sich handelt.

Sollten Unterauftragsverarbeiter erst nach Vertragsschluss hinzugezogen werden, so muss zusätzlich zu der Standardprüfung betrachtet werden, ob der Einsatz dieses Dienstleisters bestehenden Auftragsverarbeitungsverträgen entspricht. Eventuell muss die Zustimmung des Auftraggebers eingeholt werden. Zusätzlich müssen bestehende Verpflichtungen aus bestehenden Auftragsverarbeitungsverträgen an den Unterauftragsverarbeiter weitergegeben werden

Meldeprozesse

Die wichtigste Meldung an einen Auftraggeber ist das Auftreten eines Datenschutzvorfalls, da dieser eventuell innerhalb von 72 Stunden vom Verantwortlichen an die Datenschutzbehörde gemeldet werden muss. Es ist sicherzustellen, dass solche Vorfälle unverzüglich an den Auftraggeber gemeldet werden. Dies schließt insbesondere die Feststellung rechtswidriger Datenverarbeitungen ein.

Darüber hinaus müssen an den Auftraggeber folgende Informationen gemeldet werden. Je nach Ausgestaltung des Auftragsverarbeitungsvertrages steht ihm ein Mitspracherecht zu.

Änderung des Datenschutzbeauftragten
Änderung von TOMs
Änderung von Unterauftragsverarbeitern

Verzeichnis von Verarbeitungstätigkeiten

Die Parasol Island führt ein Verzeichnis aller Verarbeitungstätigkeiten, die sie im Auftrag von anderen durchführt. Dabei werden alle gesetzlichen Vorgaben (Art. 30 DSGVO Absatz 2) eingehalten. Diese Informationen können durch weitere Daten ergänzt werden, wenn dies für die Parasol Island vorteilhaft ist.

Unterstützung des Auftraggebers

Während der Auftragsverarbeitung unterstützt die Parasol Island den Auftraggeber bei der Durchführung von Datenschutzfolgeabschätzungen und der Dokumentation der darauf resultierenden Ergebnisse. Diese Tätigkeiten werden von der Geschäftsführung freigegeben und anschließend vom Datenschutzbeauftragen koordiniert.

Ebenfalls unterstützt die Parasol Island den Verantwortlichen beim Umgang mit Betroffenenrechten, soweit dies möglich und der Verarbeitung angemessen ist. Der Datenschutzbeauftragte ist bei solchen Anfragen zu kontaktieren, sofern der Auftraggeber diesen nicht direkt in seiner Anfrage adressiert hat.

Die Details betreffend der Unterstützung durch die Parasol Island sind im Auftragsverarbeitungsvertrag zu regeln und geregelt.