03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten

Zweck

Die EU-Datenschutzgrundverordnung (DSGVO) verpflichtet jedes Unternehmen dazu, ein Verzeichnis von Verarbeitungstätigkeiten zu führen. In diesem werden alle Prozesse beschrieben, in denen personenbezogene Daten verarbeitet werden. Siehe Art. 30 DS-GVO.

Diese Arbeitsanweisung beschreibt den Umgang mit dem Verzeichnis von Verarbeitungstätigkeiten bei der Parasol Island. Sie konkretisiert die Angaben der Richtlinie zum Datenschutz (ISMS, 02_06). Für Tätigkeiten, die Parasol Island im Auftrag ihrer Kunden durchführt, gilt die Arbeitsanweisung (ISMS, 03_44).Geltungsbereich

Diese Arbeitsanweisung gilt verbindlich für Abteilungsleiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

Interne Verarbeitungstätigkeiten

Die Parasol Island pflegt ein Verzeichnis von Verarbeitungstätigkeiten. Neben den gesetzlichen Vorgaben werden zusätzliche Daten erfasst. Weitere Informationen sind der Vorlage zu entnehmen (ISMS, 06_06).

Jeder Verarbeitungstätigkeit ist ein zuständiger Mitarbeiter zugeordnet (Informationseigentümer, s.u.). Dieser Mitarbeiter hat die Aufgabe, den Prozess und die dazugehörige Beschreibung regelmäßig, aber mindestens einmal pro Jahr auf Aktualität zu prüfen.

Bei Änderungen am Prozess ist die Dokumentation umgehend anzupassen.

Erstellung und Bearbeitung

Die Erstellung und Bearbeitung der Tätigkeitsbeschreibungen koordiniert der Datenschutzbeauftragte. Daher liegen die Bearbeitungsversionen der Beschreibungen bei der COARTIFACT GmbH:

https://coartifact.sharepoint.com/sites/ParasolIsland/VVT

Um nicht nur den gesetzlichen Vorgaben zu entsprechen, sondern auch einen Mehrwert für Parasol zu generieren, wird bei den Tätigkeitsbeschreibungen auch ein Prozess beschrieben. Die folgende Übersicht erklärt, welche Informationen angegeben werden müssen.

Name	Beschreibung
Titel	Ein Titel für die Verarbeitungstätigkeit
Kurzbeschreibung	Eine kurze Beschreibung (max. 255 Zeichen) der Tätigkeit, diese wird in der tabellarischen Übersicht angezeigt.
Prozessbeschreibung	Eine ausführlichere Beschreibung des Prozesses
Datum Beginn	Das Datum, zu dem diese Verarbeitungstätigkeit aufgenommen wurde.
Datum Ende	Das Datum, an dem diese Verarbeitung beendet wurd
Verantwortlicher *	Die Parasol Island GmbH, evtl. noch weitere Verantwortliche, die eine gemeinsame Verantwortung haben
DATENSCHUTZBEAUFTRAGTER *	Unser Datenschutzbeauftragter Robert Kulis
Verantwortliche Abteilung	Welche Abteilung ist bei Parasol für diese Tätigkeit zuständig?
Informationseigentümer	Welcher Mitarbeiter oder welche Mitarbeiterin ist für diese Tätigkeit zuständig?
Zweck *	Der Zweck der Verarbeitung
Rechtsgrundlage *	Die Rechtsgrundlage der Verarbeitung
Weitere Informationen zur Rechtsgrundlage * (Einwilligungstext, Interessenabwägung, Herkunft einer gesetzlichen Verpflichtung)	Weitere Informationen zur Rechtsgrundlage. Je nach Rechtsgrundlage sollten hier andere Dinge angefügt werden. (s.u.)
Kategorien von betroffenen Personen *	Die Kategorien betroffener Personen
Kategorien betroffener Daten *	Die Kategorien betroffener Daten
Kategorien von Empfängern *	Die Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, einschließlich Empfänger in Drittländern oder internationalen Organisationen.
Löschfristen * (inkl. Begründung)	Wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien
Herkunft der Daten	In den meisten Fällen dürften die Daten direkt von der betroffenen Person stammen. Dies muss aber nicht der Fall sein, so dass hier beschrieben werden sollte, wie die Daten erhoben werden.
Drittlandübermittlung * (inkl. Legitimation)	Wenn Daten während dieser Verarbeitungstätigkeit in ein Drittland, d.h., ein Land außerhalb des Europäischen Wirtschaftsraums übertragen werden, so ist dies einschließlich der betreffenden Drittländer hier zu vermerken (s.u.).
Angaben zur Erfüllung der Informationspflichten	Nach Artikel 13 und 14 der DSGVO müssen betroffene Personen über die Verarbeitung ihrer personenbezogenen Daten informiert werden. In diesem Feld ist anzugeben, wie dies geschieht.
Angaben zur Umsetzung der Betroffenenrechte	Hier sollte angegeben werden, wie die Betroffenenrechte umgesetzt werden.
Verwendete Informationsträger	Für den Fall, dass ein verarbeitendes System ausfällt, werden hier diejenigen Informationsträger erfasst, die für diese Verarbeitungstätigkeit relevant sind.
Auftragsverarbeiter (inkl. Verweis auf AVVs)	Werden für die Verarbeitungstätigkeit Unterauftragnehmer eingesetzt, so sind diese hier aufzuführen. Sinnvollerweise mit einem Hinweis auf die geschlossenen Auftragsverarbeitungsverträge.
Risikobewertung	Die Risikobewertung wird in einem der folgenden Abschnitte beschrieben.
Risiko-Einschätzung (inkl. Begründung)	Die Risikobewertung wird in einem der folgenden Abschnitte beschrieben.
Erforderlichkeit DSFA (inkl. Verlinkung des Dokuments)	Bei einem hohen Risiko für die betroffene Person muss eine Datenschutzfolgeabschätzung ausgefüllt werden. Diese sollte hier verlinkt werden.
Spezielle ToMs	Wenn für diese Verarbeitungstätigkeit spezielle technische und organisatorische Maßnahmen getroffen wurden, so sind diese hier zu erfassen.

Informationen zur Rechtmäßigkeit

Nach DS-GVO-Artikel 6 Absatz 1 ist eine Verarbeitung personenbezogener Daten nur dann rechtmäßig, wenn eine der nachstehenden Bedingungen erfüllt ist:

Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Diese Bedingung muss bei der Tätigkeitsbeschreibung mit angegeben werden. Je nachdem, welche dieser Bedingungen erfüllt ist, müssen zusätzliche Informationen angegeben werden. Handelt es sich um eine Verarbeitung nach lit a) (Einwilligung), dann ist hier anzuführen wie der Einwilligungstext aussieht, wie sie gegeben wird und wo sie gespeichert wird. Bei lit b) ist anzugeben, um welchen Vertrag es sich handelt, vorzugsweise mit einem Link auf die entsprechende Vorlage. Die rechtliche Verpflichtung benötigt einen Verweis auf eben diese, z.B. Gesetzestexte. Lit f), das berechtigte Interesse Parasols, bedarf der Interessensabwägung.

Drittlandübermittlung

Kapitel 5 der DS-GVO regelt den Umgang mit Übermittlungen von personenbezogenen Daten in ein Land außerhalb des europäischen Wirtschaftsraums. Dort heißt es in Artikel 44:

Jedwede Übermittlung personenbezogener Daten, die bereits verarbeitet werden oder nach ihrer Übermittlung an ein Drittland oder eine internationale Organisation verarbeitet werden sollen, ist nur zulässig, wenn der Verantwortliche und der Auftragsverarbeiter die in diesem Kapitel niedergelegten Bedingungen einhalten und auch die sonstigen Bestimmungen dieser Verordnung eingehalten werden; dies gilt auch für die etwaige Weiterübermittlung personenbezogener Daten aus dem betreffenden Drittland oder der betreffenden internationalen Organisation an ein anderes Drittland oder eine andere internationale Organisation.

Angemessenheitsbeschluss

Die einfachste Variante besteht, wenn es einen Angemessenheitsbeschluss der EU-Kommission gibt. Mehr Informationen dazu, insbesondere, welche Länder davon betroffen sind, findet man auf der Webseite der Kommission: Adequacy decisions (europa.eu) (Leider gibt es keine deutsche Übersetzung).

Ein vorhandener Angemessenheitsbeschluss ist einfach als solcher zu vermerken.

Standardvertragsklauseln und Transfer Impact Assessment

Zwar nennt die DS-GVO verschiedene weitere Grundlagen der Datenübermittlung, aber relevant dürften nur die Standardvertragsklauseln sein. Hierbei handelt es sich um eine spezielle Form von Auftragsverarbeitungsvertrag, der von der EU-Kommission veröffentlicht wurde. Darüber hinaus ist der Verantwortliche (also Parasol) dazu verpflichtet (an dieser Stelle sei auf Schrems II verwiesen), zu überprüfen, dass das Zielland und der Auftragsverarbeiter überhaupt einen angemessenen Schutz bieten kann. Dazu muss ein Transfer Impact Assessment erstellt werden. Details dazu finden sich in der Arbeitsanweisung zur Erstellung eines Transfer Impact Assessments (ISMS, 03_45). Außerdem sollten sowohl Auftragsverarbeiter als auch Verantwortlicher zusätzliche Schutzmaßnahmen treffen.

Wenn ein solcher Fall vorliegt, ist Robert Kulis als Datenschutzbeauftragter zu kontaktieren. Er kümmert sich um die Prüfung der Standardvertragsklauseln und der Erstellung des Transfer Impact Assessments. Vor Abschluss dieser Tätigkeiten darf der Auftragsverarbeiter nicht in Anspruch genommen werden.

Risikobewertung

Die Risikobewertung erfolgt ähnlich zu der in der Richtlinie zum Risikomanagement (ISMS, 02_12) beschriebenen Methode. Der Datenschutz kennt allerdings nur die Risikoabstufungen „gering“, „mittel“ und „hoch“. Daher sind für die drei Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit Schadenspotential und Häufigkeit abzuschätzen und dann entsprechend die Risikostufe zu wählen. Dabei ist zu beachten, dass das Risko für die betroffene Person abgeschätzt werden muss; nicht für Parasol.

Als Schadenspotential empfehlen sich die folgenden Stufen:

geringfügig
überschaubar
substanziell
existenzbedrohend

Als Häufigkeit:

Selten (höchstens alle fünf Jahre)
Mittel (einmal im Jahr bis einmal alle fünf Jahre)
Häufig (einmal im Monat bis einmal im Jahr)
Sehr häufig (mehrmals im Monat)

Die folgende Tabelle zeigt die Abhängigkeit zwischen Schadenspotenzial und Eintrittswahrscheinlichkeit und des sich daraus ergebenden Risikos für die betroffene Person.

	selten	mittel	Häufig	Sehr häufig
Existenzbedrohend	Normal	Hoch	Hoch	Hoch
Substanziell	Normal	normal	Hoch	Hoch
Überschaubar	Gering	Normal	normal	Hoch
Geringfügig	Gering	Gering	Normal	Normal

Dies wird in der Beschreibung der Verarbeitungstätigkeit dann wie folgt hinterlegt:

Risikobewertung	Schadenspotential	Häufigkeit	Risiko
Vertraulichkeit	Begrenzt	Selten	normal
Verfügbarkeit	Vernachlässigbar	Selten	gering
Integrität	Vernachlässigbar	Selten	gering

Aus dem höchsten Risiko ergibt sich dann das Gesamtrisiko, das in der nächsten Zeile zu erfassen ist. Dort sollte auch eine Begründung für die Risikoabschätzung eingetragen werden.

Risiko-Einschätzung (inkl. Begründung)	Normal

Sollte ein hohes Risiko für die betroffene Person festgestellt werden, so ist eine Datenschutzfolgeabschätzung durchzuführen. Siehe dazu (ISMS, 03_43).

Ablage der Beschreibungen

Die finale Ablage der Tätigkeitsbeschreibungen erfolgt auf dem Google Drive Parasol Islands im ISMS:

https://drive.google.com/drive/folders/1wR3BLV4wUCTddrM6wNJISAWhLrAhyaJx