02 06 PSL ISMS Datenschutzrichtlinie

Zurück zur ISMS Übersicht

Zweck der Richtlinie zum gesetzlich festgelegten Schutz personenbezogener Daten

Die Richtlinie stellt die für die Gestaltung von relevanten Maßnahmen entsprechenden Informationen bereit. Die Informationen speisen sich im Wesentlichen aus dem dritten Abschnitt des Bundesdatenschutzgesetzes (BDSG), § 27-32, hier „Datenverarbeitung nicht-öffentlicher Stellen“.

Geltungsbereich Richtlinie

Diese Sicherheitsleitlinie gilt für alle Beschäftigten der Parasol Island GmbH und für Nicht-Beschäftigte, soweit sie für Parasol Island GmbH tätig werden. Unter den Geltungsbereich fallen u.a. folgende Anwendungen:

• Arbeitszeiterfassung für die Mitarbeiter
• Zutrittssysteme zu Gebäuden und Räumen
• Zugangssysteme via Kommunikationsnetz zu Daten und Dienstleistungen
• Personalmanagement

Die Regelungen dieser Sicherheitsleitlinie gelten uneingeschränkt. Sie sind verbindlich und dürfen nicht umgangen werden. Ausnahmen von der Sicherheitsleitlinie sind nicht zulässig, es sei denn, sie sind in der Sicherheitsleitlinie ausdrücklich aufgeführt.

Datenverarbeitung der nicht-öffentlichen Stellen

Für Unternehmen (nicht-öffentliche Stelle gemäß BDSG, §2) mit zehn oder mehr Personen, die ständig mit der Bearbeitung personenbezogener Daten mittels elektronischer Datenverarbeitung beschäftigt sind, ist aus Sicherheitsgründen ein Datenschutzbeauftragter vorgeschrieben.

Die verantwortliche Stelle wird über Zugriffsrechte in der Datenverarbeitung kontrolliert.

U.a. ergeben sich die folgenden Aufgaben:

• Gewährung der Betroffenenrechte (Benachrichtigung, Auskunft, Korrektur, Sperrung, Löschung),
• Transparente und dokumentierte EDV (Verfahrensverzeichnis),
• Schutz der EDV und der Daten im Sinne der IT-Sicherheit (§ 9 BDSG nebst Anhang),
• Nachvollziehbarkeit von Zugriffen, Änderungen und Weitergaben an Dritte

Auftragsdatenverarbeitung

§ 11 des Bundesdatenschutzgesetzes (BDSG) lässt die sog. Auftragsdatenverarbeitung zu. Charakteristisch für diese ist, dass sich die datenschutzrechtlich verantwortliche Stelle eines Dritten für die Durchführung bestimmter Datenverarbeitungsvorgänge bedient. Die maßgeblichen Entscheidungen über den Umgang mit den personenbezogenen Daten verbleiben aber bei der beauftragenden Stelle. Der Auftragnehmer verfährt lediglich entsprechend den Weisungen des Auftraggebers mit den von ihm überlassenen und für ihn zu verarbeitenden Daten. Das Serviceunternehmen fungiert gleichsam als ausgelagerte Abteilung des weiterhin datenschutzrechtlich verantwortlichen Auftraggebers, der als „Herr der Daten“ die volle Verfügungsgewalt über diese behält und damit auch alleine über deren Erhebung, Verarbeitung oder Nutzung bestimmt und den Auftragnehmer wie eigene Mitarbeiter bei der Datenverarbeitung zu beaufsichtigen hat. Überlässt der Auftraggeber dem Auftragnehmer personenbezogene Daten, handelt es sich nicht um eine Datenübermittlung an eine andere datenverarbeitende Stelle, sondern um eine Form der Datennutzung durch den Auftraggeber. Der Auftragnehmer darf deswegen die Daten nur in dem Maße verarbeiten, wie dies auch sein Auftraggeber darf.