Jump to content

02 06 PSL ISMS Datenschutzrichtlinie: Difference between revisions

From Parasol
← Older editNewer edit →
undoNiels.debruijn@parasol-island.com (talk | contribs)
83 edits
Dokument vollständig überarbeitet
Tag: visualeditor
Line 3: Line 3:
Zurück zur [[ISMS|ISMS Übersicht]]
Zurück zur [[ISMS|ISMS Übersicht]]


==Ziel==
==Zweck==
Parasol Island verpflichtet sich im Rahmen seiner gesellschaftlichen Verantwortung zur Einhaltung von Datenschutzrechten. Diese Datenschutzrichtlinie gilt für Parasol Island und basiert auf die in der Europäischen Union akzeptierten Grundprinzipien zum Datenschutz.  
Diese Richtlinie definiert den Umgang mit personenbezogenen Daten bei der Parasol Island GmbH. Dabei stützt sie sich auf aktuell geltendes Recht, insbesondere auf die Datenschutzgrundverordnung der Europäischen Union (DSGVO) ergänzt durch lokale Gesetzgebung wie z.B. das Bundesdatenschutzgesetz (BDSG) oder das Gesetz zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien (TTDSG).


Die Datenschutzrichtlinie schafft eine der notwendigen Rahmenbedingungen für die Erfassung, Verarbeitung und ggf. Übermittlung der personenbezogenen Daten. Sie gewährleistet das von der Europäischen Datenschutzrichtlinie und den lokalen Gesetzen verlangte angemessene Datenschutzniveau.
== Geltungsbereich ==
Während die „Leitlinie zum Datenschutz“ (ISMS, 01_02) sich auch an Kunden richtet, richtet sich diese Richtlinie an die Mitarbeiter der Parasol Island GmbH.


==Geltungsbereich==
Sie gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.
Diese Datenschutzrichtlinie gilt für Parasol Island und unsere Mitarbeiter. Die Datenschutzrichtlinie erstreckt sich auf sämtliche Verarbeitungen personenbezogener Daten.  


Anonymisierte Daten, z.B. für statistische Auswertungen oder Untersuchungen, unterliegen nicht dieser Datenschutzrichtlinie.  
Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.


Die Mitarbeiter sind nicht berechtigt, von dieser Datenschutzrichtlinie abweichende Regelungen zu treffen. Eine Änderung dieser Datenschutzrichtlinie findet nur in Abstimmung mit dem Datenschutzbeauftragten statt. Die Änderungen werden innerhalb Parasol Island unverzüglich bekannt gegeben.
== Organisation des Datenschutzes ==
Die Verantwortung für den Datenschutz liegt bei der Geschäftsführung.


==Prinzipien der Verarbeitung personenbezogener Daten==
Die Parasol Island bestellt einen (externen) Datenschutzbeauftragten. Darüber hinaus können für die einzelnen Standorte Datenschutzkoordinatoren ernannt werden, die den Datenschutzbeauftragten bei seiner Tätigkeit unterstützen.


===Recht auf informationelle Selbstbestimmung===
Der Datenschutzbeauftragte ist bei datenschutzrelevanten Themen zu Rate zu ziehen. Insbesondere sind Prozesse, die den Datenschutz betreffen, so zu gestalten, dass die Involvierung des Datenschutzbeauftragten sichergestellt ist.
Grundlage des Datenschutzrechts ist das informationelle Selbstbestimmungsrecht des Einzelnen.


===Rechtmäßigkeit===
Stellungnahmen, Kommentare, Risikoeinschätzungen und andere Ergebnisse der Tätigkeit des Datenschutzbeauftragten sind zu dokumentieren.  
Personenbezogene Daten müssen auf rechtmäßige Weise erhoben und verarbeitet werden. Bei der Verarbeitung personenbezogener Daten müssen die Persönlichkeitsrechte des Betroffenen gewahrt werden.


===Transparenz===
Das Management des Datenschutzes erfolgt im Informationssicherheits-Managementsystem. Für Regelungen bzgl. des Datenschutzes gelten die gleichen Regelungen wie für solche der Informationssicherheit. So sind z.B. auch jene regelmäßig zu überprüfen, aktuell zu halten und laufend zu verbessern. Siehe auch die „Richtlinie zur Führung eines ISMS“ (ISMS, 02_00).
Die Daten sollten bei dem Betroffenen selbst erhoben werden. Hierbei sollte er über den Zweck der Datenverarbeitung, die verantwortliche Stelle und über die ggf. notwendige Weitergabe an Dritte informiert werden.


===Zweckbindung===
== Einhaltung der gesetzlichen Anforderungen ==
Personenbezogene Daten dürfen nur nach dem bei der Erhebung festgelegten Zweck verarbeitet werden. Eine nachträgliche Änderung des Zwecks bedarf der Zustimmung des Betroffenen oder einer relevanten Rechtfertigung.
<br />Für Prozesse, bei denen vermehrt personenbezogene Daten verarbeitet werden, sind eigene Arbeitsanweisungen oder Handlungsempfehlungen zu erstellen, die diese Verarbeitung personenbezogener Daten genauer beschreiben, um die Sicherheit der Verarbeitung zu erhöhen.


===Datenvermeidung===
Ebenso wie zur Einhaltung der Informationssicherheit sind alle Mitarbeiter und eventuelle Dienstleister zur Einhaltung der Vertraulichkeit zu verpflichten. Für Mitarbeiter ist dies im Arbeitsvertrag verankert (ISMS, 06_07), für Freelancer gibt es eine eigene Verpflichtung zum Datenschutz (ISMS, 06_04).  
Bei jeder Verarbeitung von personenbezogenen Daten dürfen nur die für den Zweck der Verarbeitung notwendigen Daten verwendet werden. Die personenbezogenen Daten dürfen nicht auf Vorrat für einen späteren möglichen Zweck gespeichert werden.


===Löschung===
=== Führen eines Verzeichnisses von Verarbeitungstätigkeiten ===
Nach Ablauf der gesetzlichen oder geschäftsprozessbezogenen Aufbewahrungsfristen sind die personenbezogenen Daten zu löschen. Bestehen im Einzelfall Anhaltspunkte für die Wahrung berechtigter Interessen, werden die Daten weiterhin gespeichert, bis das berechtigte Interesse wegfällt.
Jedes Unternehmen ist nach Art. 30 DSGVO verpflichtet ein Verzeichnis von Verarbeitungstätigkeiten zu führen. Die Koordination der Erstellung eines solchen Verzeichnisses übernimmt der Datenschutzbeauftragte.  


===Richtigkeit der Daten===
Für jede Verarbeitungstätigkeit wird eine Abteilung und ein Mitarbeiter aus dieser Abteilung als zuständige Person benannt. Dieser zuständigen Person obliegt die Pflege der Informationen. Dies schließt die regelmäßige Prüfung auf Aktualität mit ein.
Die personenbezogenen Daten sind richtig und vollständig zu speichern. Es sind angemessene Maßnahmen zu treffen, damit unvollständige oder veraltete Daten gelöscht oder berichtigt werden.


===Vertraulichkeit===
=== Technische und organisatorische Maßnahmen ===
Im Umgang mit personenbezogenen Daten müssen diese vertraulich behandelt werden. Dies ist durch angemessene organisatorische und technische Maßnahmen gegen unberechtigten Zugriff, unrechtmäßige Verarbeitung und Weitergabe, Veränderung oder Zerstörung zu gewährleisten.
Der Schutz personenbezogener Daten erfordert die Definition und Umsetzung technischer und organisatorischer Maßnahmen. Diese sind z.B. auch Bestandteil von Auftragsverarbeitungsverträgen, bei denen die Parasol Island Auftragsverarbeiter ist. Außerdem wird von immer mehr Kunden die Umsetzung verschiedener Maßnahmen gefordert. Daher setzt die Parasol Island geeignete technische und organisatorische Maßnahmen um.


==Zulässigkeit der Datenverarbeitung==
Diese sind zu dokumentieren. Außerdem müssen auch diese regelmäßig überprüft, bewertet und nach Möglichkeit verbessert werden. Bei der Veröffentlichung der Dokumentation der technischen und organisatorischen Maßnahmen ist darauf zu achten, dass durch die Veröffentlichung die Informationssicherheit der Parasol Island nicht beeinträchtigt wird.


===Kunden-, Interessenten- und Partnerdaten===
==== Löschkonzepte ====
Für personenbezogene Daten sind Löschkonzepte zu entwickeln, regelmäßig auf Aktualität zu prüfen und gegebenenfalls zu überarbeiten. Dies kann im Zuge des Führens des Verzeichnisses von Verarbeitungstätigkeiten geschehen. In diesem Fall ist die für die Verarbeitungstätigkeit zuständige Person auch für das Löschkonzept und dessen Einhaltung zuständig.


====Datenverarbeitung zur Erfüllung der vertraglichen Beziehung====
==== Mitarbeiterschulungen ====
Personenbezogene Daten des Interessenten, Kunden oder Partners dürfen zur Begründung, zur Durchführung und zur Beendigung des Vertragsverhältnisses verarbeitet werden. Dies umfasst auch die Betreuung des Vertragspartners, sofern dies im Zusammenhang mit dem Vertragszweck steht. Im Vorfeld eines Vertrages ist die Verarbeitung von personenbezogenen Daten zur Erstellung von Angeboten, zur Vorbereitung von Kaufanträgen oder zur Erfüllung sonstiger, auf einen Vertragsabschluss gerichteter Wünsche des Interessenten erlaubt. Interessenten dürfen während der Vertragsanbahnung unter Verwendung der Daten, die sie mitgeteilt haben, kontaktiert werden. Eventuell vom Interessenten geäußerte Einschränkungen sind zu beachten.
Die Mitarbeiter der Parasol Island werden in regelmäßigen Abständen geschult. Dies wird in einer eigenen Richtlinie beschrieben (ISMS, 02_15)


Wendet sich der Betroffene mit einem Informationsanliegen an Parasol Island, so ist die Datenverarbeitung für die Erfüllung dieses Anliegens zulässig. Widerspricht der Betroffene der Verwendung seiner Daten zu Zwecken der Werbung, so ist eine weitere Verwendung seiner Daten für diese Zwecke unzulässig und sie müssen für diese Zwecke gesperrt oder gelöscht werden.  
=== Einsatz von Auftragsverarbeitern ===
Alle Dienstleister sind vor Beauftragung auf die Einhaltung des Datenschutzes zu verpflichten.
Der Einsatz von Auftragsverarbeitern benötigt einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Dabei ist sicherzustellen, dass der Auftragsverarbeiter allen Anforderungen an den Datenschutz genügt. Siehe hierzu auch:


====Einwilligung in die Datenverarbeitung====
* Allgemeine Informationssicherheitsrichtlinie (ISMS, 02_01)
Soweit der Betroffene einer Datenverarbeitung zustimmt, kann diese stattfinden. Vor der Einwilligung muss der Betroffene über die Art und den Umfang sowie seine Rechte informiert werden.
* Richtlinie zu IT-Dienstleistungen (ISMS, 02_10)
* Richtlinie zu externen Dienstleistern (ISMS, 02_11)


Die Einwilligungserklärung ist grundsätzlich schriftlich oder elektronisch einzuholen. Bei telefonischer Beratung kann die Einwilligung auch mündlich erteilt werden. Diese muss dokumentiert werden.
== Prüfung der Umsetzung ==
Die Einhaltung der Regelungen zum Datenschutz sind regelmäßig zu überprüfen und zu überwachen. Dies obliegt dem Datenschutzbeauftragten. Dieser Prozess ist zu dokumentieren.


====Datenverarbeitung aufgrund gesetzlicher Grundlage====
Da Datenschutz und Informationssicherheit bei der Parasol Island sehr eng miteinander verbunden sind, weil z.B. Regelungen zum Umgang mit sensiblen Daten – seien es projektbezogene Daten oder personenbezogene Daten – identisch sind, oder die verantwortlichen Rollen von gleichen Mitarbeitern besetzt sind, kann es sich als sinnvoll erweisen, Prüfungen und Überwachungsmethoden zu vereinheitlichen.
Die Verarbeitung personenbezogener Daten ist zulässig, wenn staatliche Rechtsvorschriften dies verlangen, voraussetzen oder gestatten. Die Art und der Umfang der zulässigen Datenverarbeitung richten sich nach diesen Rechtsvorschriften.


====Datenverarbeitung aufgrund berechtigten Interesses====
== Die Parasol Island als Auftragsverarbeiter ==
Die Verarbeitung personenbezogener Daten kann erfolgen, wenn dies zur Durchsetzung eines berechtigten Interesses von Parasol Island notwendig ist.
Ist die Parasol Island Auftragsverarbeiter, so basiert diese Verarbeitung auf einem Auftragsverarbeitungsvertrag. Dieser ist vor Verarbeitungsbeginn zu unterzeichnen und sollte in Abstimmung mit dem Datenschutzbeauftragten erstellt werden.


Berechtigt sind in der Regel rechtliche (z.B. Durchsetzung von offenen Forderungen) oder wirtschaftliche (z.B. Vermeidung von Vertragsstörungen) Interessen. Das schutzwürdige Interesse des Betroffenen darf hierbei nicht überwiegen. Dies ist vor jeder Verarbeitung zu prüfen.
Die Parasol Island verpflichtet sich zur Einhaltung der gesetzlichen Regelungen sowie der in diesem Vertrag geschlossenen Vereinbarungen. Daher etabliert die Parasol Island u.a. die in den folgenden Abschnitten beschriebenen Prozesse und Vorgehen.


====Verarbeitung besonders schutzwürdiger Daten====
=== Einsatz von Unterauftragsverarbeitern ===
Die Verarbeitung besonders schutzwürdiger personenbezogener Daten darf nur erfolgen, wenn dies gesetzlich erforderlich ist oder der Betroffene ausdrücklich eingewilligt hat.  
Externe Dienstleister werden, wie oben beschrieben, vor ihrer Beauftragung überprüft. Beim Einsatz externer Dienstleister als Unterauftragsverarbeiter ist darauf zu achten, dass diese im AVV festgelegt werden, wenn bei Vertragsschluss bereits bekannt ist, um welche Unterauftragsverarbeiter es sich handelt.  


Die Verarbeitung dieser Daten ist auch dann zulässig, wenn sie zwingend notwendig ist, um rechtliche Ansprüche gegenüber dem Betroffenen geltend zu machen, auszuüben oder zu verteidigen.
Sollten Unterauftragsverarbeiter erst nach Vertragsschluss hinzugezogen werden, so muss zusätzlich zu der Standardprüfung betrachtet werden, ob der Einsatz dieses Dienstleisters bestehenden Auftragsverarbeitungsverträgen entspricht. Eventuell muss die Zustimmung des Auftraggebers eingeholt werden. Zusätzlich müssen bestehende Verpflichtungen aus bestehenden Auftragsverarbeitungsverträgen an den Unterauftragsverarbeiter weitergegeben werden


Vor der Verarbeitung der schutzwürdigen Daten ist der Datenschutzbeauftragte zu informieren.
=== Meldeprozesse ===
Die wichtigste Meldung an einen Auftraggeber ist das Auftreten eines Datenschutzvorfalls, da dieser eventuell innerhalb von 72 Stunden vom Verantwortlichen an die Datenschutzbehörde gemeldet werden muss. Es ist sicherzustellen, dass solche Vorfälle unverzüglich an den Auftraggeber gemeldet werden. Dies schließt insbesondere die Feststellung rechtswidriger Datenverarbeitungen ein.


====Nutzerdaten im Internet====
Darüber hinaus müssen an den Auftraggeber folgende Informationen gemeldet werden. Je nach Ausgestaltung des Auftragsverarbeitungsvertrages steht ihm ein Mitspracherecht zu.
Wenn auf Webseiten oder in Programmen personenbezogene Daten erhoben, verarbeitet und genutzt werden, sind die Betroffenen hierüber in Datenschutzhinweisen zu informieren. Für den Betroffenen müssen diese Hinweise leicht erkennbar und verständlich sein.


Werden zur Analyse des Nutzungsverhaltens von Webseiten und Programmen Nutzungsprofile erstellt, so müssen die Betroffenen darüber in den Datenschutzhinweisen verständlich informiert werden.
* Änderung des Datenschutzbeauftragten
* Änderung von TOMs
* Änderung von Unterauftragsverarbeitern


Werden bei Webseiten oder Programmen in einem persönlichen Bereich Zugriffe auf personenbezogene Daten ermöglicht, so sind die Identifizierung und Authentifizierung der Betroffenen so zu gestalten, dass ein für den jeweiligen Zugriff angemessener Schutz erreicht wird.
=== Verzeichnis von Verarbeitungstätigkeiten ===
Die Parasol Island führt ein Verzeichnis aller Verarbeitungstätigkeiten, die sie im Auftrag von anderen durchführt. Dabei werden alle gesetzlichen Vorgaben (Art. 30 DSGVO Absatz 2) eingehalten. Diese Informationen können durch weitere Daten ergänzt werden, wenn dies für die Parasol Island vorteilhaft ist.


===Mitarbeiter- und Bewerberdaten===
=== Unterstützung des Auftraggebers ===
Während der Auftragsverarbeitung unterstützt die Parasol Island den Auftraggeber bei der Durchführung von Datenschutzfolgeabschätzungen und der Dokumentation der darauf resultierenden Ergebnisse. Diese Tätigkeiten werden von der Geschäftsführung freigegeben und anschließend vom Datenschutzbeauftragen koordiniert.


====Datenverarbeitung für das Arbeitsverhältnis====
Ebenfalls unterstützt die Parasol Island den Verantwortlichen beim Umgang mit Betroffenenrechten, soweit dies möglich und der Verarbeitung angemessen ist. Der Datenschutzbeauftragte ist bei solchen Anfragen zu kontaktieren, sofern der Auftraggeber diesen nicht direkt in seiner Anfrage adressiert hat.
Für das Arbeitsverhältnis dürfen die personenbezogenen Daten verarbeitet werden, die für die Begründung, Durchführung und Beendigung des Arbeitsvertrages erforderlich sind. Bei der Anbahnung eines Arbeitsverhältnisses dürfen personenbezogene Daten von Bewerbern verarbeitet werden. Nach Ablehnung sind die Daten des Bewerbers unter Berücksichtigung beweisrechtlicher Fristen zu löschen, es sei denn, der Bewerber hat in eine weitere Speicherung für einen späteren Auswahlprozess eingewilligt.


Im bestehenden Arbeitsverhältnis muss die Datenverarbeitung immer auf den Zweck des Arbeitsvertrages bezogen sein.
Die Details betreffend der Unterstützung durch die Parasol Island sind im Auftragsverarbeitungsvertrag zu regeln und geregelt.
 
====Datenverarbeitung aufgrund gesetzlicher Erlaubnis====
Die Verarbeitung personenbezogener Daten ist zulässig, wenn staatliche Rechtsvorschriften dies verlangen, voraussetzen oder gestatten. Die Art und der Umfang der zulässigen Datenverarbeitung richten sich nach diesen Rechtsvorschriften.
 
====Einwilligung in die Datenverarbeitung====
Eine Verarbeitung von Mitarbeiterdaten kann aufgrund einer Einwilligung des Betroffenen stattfinden. Einwilligungserklärungen müssen freiwillig abgegeben werden.
 
Die Einwilligungserklärung ist grundsätzlich schriftlich oder elektronisch einzuholen. Erlauben die Umstände dies ausnahmsweise nicht, kann die Einwilligung mündlich erteilt werden. Ihre Erteilung muss in jedem Fall dokumentiert werden.
 
====Datenverarbeitung aufgrund berechtigten Interesses====
Die Verarbeitung von Mitarbeiterdaten kann erfolgen, wenn dies zur Verwirklichung eines berechtigten Interesses von Parasol Island notwendig ist.
 
Berechtigt sind in der Regel rechtliche (z.B. Durchsetzung von offenen Forderungen) oder wirtschaftliche (z.B. Vermeidung von Vertragsstörungen) Interessen. Das schutzwürdige Interesse des Betroffenen darf hierbei nicht überwiegen. Dies ist vor jeder Verarbeitung zu prüfen.
 
Kontrollmaßnahmen, die eine Verarbeitung von Mitarbeiterdaten erfordern, dürfen nur durchgeführt werden, wenn dazu eine gesetzliche Verpflichtung besteht oder ein begründeter Anlass gegeben ist. Das schutzwürdige Interesse des Betroffenen darf hierbei nicht überwiegen. Dies ist vor jeder Verarbeitung zu prüfen.
 
====Telekommunikation und Internet====
Telefonanlagen, eMail-Adressen, Intranet und Internet werden in erster Linie im Rahmen der betrieblichen Aufgabenstellung durch das Unternehmen zur Verfügung gestellt. Sie sind Arbeitsmittel und Unternehmensressource. Sie dürfen im Rahmen der jeweils geltenden Rechtsvorschriften und der unternehmensinternen Richtlinien genutzt werden.
 
Eine generelle Überwachung der Telefon, eMail-Kommunikation bzw. Internet-Nutzung findet nicht statt. Zur Abwehr von Angriffen auf die IT-Infrastruktur oder auf einzelne Nutzer können Schutzmaßnahmen an den Übergängen des Unternehmensnetzwerkes implementiert werden, die technisch schädigende Inhalte blockieren oder die Muster von Angriffen analysieren.
 
Aus Gründen der Sicherheit kann die Nutzung der Telefon-, eMail-Kommunikations- bzw. Internet-Nutzung zeitlich befristet protokolliert werden.
 
Personenbezogene Auswertungen dieser Daten dürfen nur bei einem konkreten begründeten Verdacht eines Verstoßes gegen Gesetze oder Richtlinien von Parasol Island erfolgen. Der Datenschutzbeauftrage ist hierbei hinzuzuziehen.
 
==Übermittlung personenbezogener Daten==
Bei der Übermittlung von personenbezogenen Daten an Dritte muss die Zulässigkeit der Datenverarbeitung vorliegen. Der Empfänger der Daten muss darauf verpflichtet werden, diese nur zu den festgelegten Zwecken zu verwenden.
 
==Auftragsverarbeitung==
Eine Auftragsdatenverarbeitung liegt vor, wenn ein Auftragnehmer mit der Verarbeitung personenbezogener Daten beauftragt wird, ohne dass ihm die Verantwortung für den zugehörigen Geschäftsprozess übertragen wird.
 
In diesen Fällen ist ein Vertrag über eine Auftragsdatenverarbeitung abzuschließen. Dabei behält das beauftragende Unternehmen die volle Verantwortung für die korrekte Durchführung der Datenverarbeitung. Der Auftragnehmer darf personenbezogene Daten nur im Rahmen der Weisungen des Auftraggebers verarbeiten. Bei der Erteilung des Auftrags sind die nachfolgenden Vorgaben einzuhalten:
 
a) Der Auftragnehmer ist nach seiner Eignung zur Gewährleistung der erforderlichen technischen und organisatorischen Schutzmaßnahmen auszuwählen.
 
b) Der Auftrag ist in Textform zu erteilen. Dabei sind die Weisungen zur Datenverarbeitung und die Verantwortlichkeiten des Auftraggebers und des Auftragnehmers zu dokumentieren.
 
c) Der Auftraggeber muss sich vor Beginn der Datenverarbeitung von der Einhaltung der Pflichten des Auftragnehmers überzeugen. Die Einhaltung der Anforderungen an die Datensicherheit kann ein Auftragnehmer insbesondere durch Vorlage einer geeigneten Zertifizierung nachweisen. Die Kontrolle ist gegebenenfalls während der Vertragslaufzeit regelmäßig zu wiederholen.
 
==Rechte des Betroffenen==
Bei Geltendmachung der nachfolgenden Rechte sind diese umgehend zu bearbeiten und dürfen für den Betroffenen zu keinen Nachteilen führen.
 
a) Der Betroffene kann Auskunft darüber verlangen, welche personenbezogenen Daten welcher Herkunft über ihn zu welchem Zweck gespeichert sind.
 
b) Werden personenbezogene Daten an Dritte übermittelt, muss auch über die Identität des Empfängers oder über die Kategorien von Empfängern Auskunft gegeben werden.
 
c) Sollten personenbezogene Daten unrichtig oder unvollständig sein, kann der Betroffene ihre Berichtigung oder Ergänzung verlangen.
 
d) Der Betroffene kann der Verarbeitung seiner personenbezogenen Daten zu Zwecken der Werbung oder der Markt- und Meinungsforschung widersprechen. Für diese Zwecke müssen die Daten gesperrt oder gelöscht werden.
 
e) Der Betroffene ist berechtigt, die Löschung seiner Daten zu verlangen, wenn die Rechtsgrundlage für die Verarbeitung der Daten fehlt oder weggefallen ist. Gleiches gilt für den Fall, dass der Zweck der Datenverarbeitung durch Zeitablauf oder aus anderen Gründen entfallen ist. Bestehende Aufbewahrungspflichten und einer Löschung entgegenstehende schutzwürdige Interessen müssen beachtet werden.
 
f) Der Betroffene hat ein grundsätzliches Widerspruchsrecht gegen die Verarbeitung seiner Daten, das zu berücksichtigen ist wenn sein schutzwürdiges Interesse aufgrund einer besonderen persönlichen Situation das Interesse an der Verarbeitung überwiegt.
 
Dies gilt nicht, wenn eine Rechtsvorschrift zur Durchführung der Verarbeitung verpflichtet.
 
==Vertraulichkeit der Verarbeitung==
Personenbezogene Daten unterliegen dem Datengeheimnis. Eine unbefugte Erhebung, Verarbeitung oder Nutzung ist den Mitarbeitern untersagt.
 
Unbefugt ist jede Verarbeitung, die ein Mitarbeiter vornimmt, ohne damit im Rahmen der Erfüllung seiner Aufgaben betraut und entsprechend berechtigt zu sein.
 
Dies erfordert die sorgfältige Aufteilung und Trennung von Rollen und Zuständigkeiten sowie deren Umsetzung und Pflege im Rahmen von Berechtigungskonzepten.
 
Mitarbeiter dürfen personenbezogene Daten nicht für eigene private oder wirtschaftliche Zwecke nutzen, an Unbefugte übermitteln oder diesen auf andere Weise zugänglich machen.
 
Diese Verpflichtung besteht auch nach Beendigung des Beschäftigungsverhältnisses fort.
 
==Sicherheit der Verarbeitung==
Personenbezogene Daten sind jederzeit gegen unberechtigten Zugriff, unrechtmäßige Verarbeitung oder Weitergabe, sowie gegen Verlust, Verfälschung oder Zerstörung zu schützen. Dies gilt unabhängig davon, ob die Datenverarbeitung elektronisch oder in Papierform erfolgt. Vor Einführung neuer Verfahren der Datenverarbeitung, insbesondere neuer IT-Systeme, sind technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten festzulegen und umzusetzen. Diese Maßnahmen haben sich am Stand der Technik, an den von der Verarbeitung ausgehenden Risiken und am Schutzbedarf der Daten zu orientieren.
 
==Datenschutzkontrolle==
Die Einhaltung der Datenschutzrichtlinie und der geltenden Datenschutzgesetze wird regelmäßig durch geeignete Kontrollen überprüft.
 
==Datenschutzvorfälle==
Datenschutzvorfälle müssen unverzüglich von den Mitarbeitern an die Geschäftsleitung oder an den Datenschutzbeauftragten gemeldet werden.
 
Insbesondere bei Fällen von
 
*<span class="s3"></span>unrechtmäßiger Übermittlung personenbezogener Daten an Dritte
*<span class="s3"></span>unrechtmäßigem Zugriff durch Dritte auf personenbezogene Daten
*<span class="s3"></span>bei Verlust personenbezogener Daten
 
ist die Meldung unverzüglich vorzunehmen, damit die bestehenden Meldepflichten an die Aufsichtsbehörden unverzüglich erfüllt werden können.
 
==Verantwortlichkeiten==
Die Geschäftsleitung ist für die ordnungsgemäße Datenverarbeitung verantwortlich.
 
Damit ist sie verpflichtet sicherzustellen, dass die gesetzlichen und die in der Datenschutzrichtlinie enthaltenen Anforderungen des Datenschutzes berücksichtigt werden.
 
Die Umsetzung dieser Vorgaben liegt in der Verantwortung der zuständigen Mitarbeiter.
 
Bei Kontrollen durch die Aufsichtsbehörden ist der Datenschutzbeauftragte umgehend zu informieren.
 
==Der Informationssicherheitsbeauftragter (ISB) und Datenschutzbeauftragter (DSB)==
seit dem 01.07.2021 unterstützt uns Robert Kulis als externer Informationssicherheitsbeauftragter (ISB) und Datenschutzbeauftragter (DSB). Im September 2021 IMMM hattet ihr die Gelegenheit, ihn auch persönlich kennenzulernen. Robert ist in dieser Position nicht nur bei uns, sondern auch bei der Capture Media bestellt.<br>
 
 
Robert kennt unser ISMS und alle Themen rund um unsere TISAX-Zertifizierung und DSGVO-Compliance. Häufig sind die beiden Themenbereiche 'Informationssicherheit' und 'Datenschutz' eng miteinander verknüpft, insbesondere innerhalb von Ausschreibungen. <br>
Dass wir nun mit Robert jemanden an Board haben, der beide Themenfelder bearbeitet, erleichtert es uns, diese Aufgaben schnell und zielgerichtet zu lösen. Bitte plant Eure Themen dennoch vorausschauend und platziert sie frühzeitig. <br>
 
 
Natürlich wird Robert auch gemeinsam mit uns darauf hinwirken, dass Informationssicherheit weiterhin (und zunehmend) gelebter Alltag auf unserer Insel ist. Bitte unterstützt ihn, wenn er sich mit Fragen oder konkreten Bitten an Euch wendet.<br>
 
 
Robert ersetzt damit Guido Petermann, bitte stimmt also alle DSB und ISB, wie bsp. Ausschreibungsunterlagen und Datenschutzfragen unserer Kunden zukünftig direkt mit ihm ab. <br>
Laufende Anfragen sollten bitte zeitnah an Robert umgezogen werden. Bei Unsicherheiten diesbezüglich wendet Euch gerne an mich.
<br>
 
Bei allen Fragen & Themen bezüglich Informationssicherheit oder Datenschutz erreicht ihr Robert hier:<br>
 
 
robert.kulis@parasol-island.com
<br>
 
Bitte stellt konkrete Fragen und Aufgaben gerne an:
<br>
 
mailto:informationssicherheit@parasol-island.com
bzw.
mailto:datenschutz@parasol-island.com <br />
[[Category:ISMS]]
[[Category:ISMS]]

Revision as of 07:14, 12 September 2023


Zurück zur ISMS Übersicht

Zweck

Diese Richtlinie definiert den Umgang mit personenbezogenen Daten bei der Parasol Island GmbH. Dabei stützt sie sich auf aktuell geltendes Recht, insbesondere auf die Datenschutzgrundverordnung der Europäischen Union (DSGVO) ergänzt durch lokale Gesetzgebung wie z.B. das Bundesdatenschutzgesetz (BDSG) oder das Gesetz zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien (TTDSG).

Geltungsbereich

Während die „Leitlinie zum Datenschutz“ (ISMS, 01_02) sich auch an Kunden richtet, richtet sich diese Richtlinie an die Mitarbeiter der Parasol Island GmbH.

Sie gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

Organisation des Datenschutzes

Die Verantwortung für den Datenschutz liegt bei der Geschäftsführung.

Die Parasol Island bestellt einen (externen) Datenschutzbeauftragten. Darüber hinaus können für die einzelnen Standorte Datenschutzkoordinatoren ernannt werden, die den Datenschutzbeauftragten bei seiner Tätigkeit unterstützen.

Der Datenschutzbeauftragte ist bei datenschutzrelevanten Themen zu Rate zu ziehen. Insbesondere sind Prozesse, die den Datenschutz betreffen, so zu gestalten, dass die Involvierung des Datenschutzbeauftragten sichergestellt ist.

Stellungnahmen, Kommentare, Risikoeinschätzungen und andere Ergebnisse der Tätigkeit des Datenschutzbeauftragten sind zu dokumentieren.

Das Management des Datenschutzes erfolgt im Informationssicherheits-Managementsystem. Für Regelungen bzgl. des Datenschutzes gelten die gleichen Regelungen wie für solche der Informationssicherheit. So sind z.B. auch jene regelmäßig zu überprüfen, aktuell zu halten und laufend zu verbessern. Siehe auch die „Richtlinie zur Führung eines ISMS“ (ISMS, 02_00).

Einhaltung der gesetzlichen Anforderungen


Für Prozesse, bei denen vermehrt personenbezogene Daten verarbeitet werden, sind eigene Arbeitsanweisungen oder Handlungsempfehlungen zu erstellen, die diese Verarbeitung personenbezogener Daten genauer beschreiben, um die Sicherheit der Verarbeitung zu erhöhen.

Ebenso wie zur Einhaltung der Informationssicherheit sind alle Mitarbeiter und eventuelle Dienstleister zur Einhaltung der Vertraulichkeit zu verpflichten. Für Mitarbeiter ist dies im Arbeitsvertrag verankert (ISMS, 06_07), für Freelancer gibt es eine eigene Verpflichtung zum Datenschutz (ISMS, 06_04).

Führen eines Verzeichnisses von Verarbeitungstätigkeiten

Jedes Unternehmen ist nach Art. 30 DSGVO verpflichtet ein Verzeichnis von Verarbeitungstätigkeiten zu führen. Die Koordination der Erstellung eines solchen Verzeichnisses übernimmt der Datenschutzbeauftragte.

Für jede Verarbeitungstätigkeit wird eine Abteilung und ein Mitarbeiter aus dieser Abteilung als zuständige Person benannt. Dieser zuständigen Person obliegt die Pflege der Informationen. Dies schließt die regelmäßige Prüfung auf Aktualität mit ein.

Technische und organisatorische Maßnahmen

Der Schutz personenbezogener Daten erfordert die Definition und Umsetzung technischer und organisatorischer Maßnahmen. Diese sind z.B. auch Bestandteil von Auftragsverarbeitungsverträgen, bei denen die Parasol Island Auftragsverarbeiter ist. Außerdem wird von immer mehr Kunden die Umsetzung verschiedener Maßnahmen gefordert. Daher setzt die Parasol Island geeignete technische und organisatorische Maßnahmen um.

Diese sind zu dokumentieren. Außerdem müssen auch diese regelmäßig überprüft, bewertet und nach Möglichkeit verbessert werden. Bei der Veröffentlichung der Dokumentation der technischen und organisatorischen Maßnahmen ist darauf zu achten, dass durch die Veröffentlichung die Informationssicherheit der Parasol Island nicht beeinträchtigt wird.

Löschkonzepte

Für personenbezogene Daten sind Löschkonzepte zu entwickeln, regelmäßig auf Aktualität zu prüfen und gegebenenfalls zu überarbeiten. Dies kann im Zuge des Führens des Verzeichnisses von Verarbeitungstätigkeiten geschehen. In diesem Fall ist die für die Verarbeitungstätigkeit zuständige Person auch für das Löschkonzept und dessen Einhaltung zuständig.

Mitarbeiterschulungen

Die Mitarbeiter der Parasol Island werden in regelmäßigen Abständen geschult. Dies wird in einer eigenen Richtlinie beschrieben (ISMS, 02_15)

Einsatz von Auftragsverarbeitern

Alle Dienstleister sind vor Beauftragung auf die Einhaltung des Datenschutzes zu verpflichten. Der Einsatz von Auftragsverarbeitern benötigt einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Dabei ist sicherzustellen, dass der Auftragsverarbeiter allen Anforderungen an den Datenschutz genügt. Siehe hierzu auch:

  • Allgemeine Informationssicherheitsrichtlinie (ISMS, 02_01)
  • Richtlinie zu IT-Dienstleistungen (ISMS, 02_10)
  • Richtlinie zu externen Dienstleistern (ISMS, 02_11)

Prüfung der Umsetzung

Die Einhaltung der Regelungen zum Datenschutz sind regelmäßig zu überprüfen und zu überwachen. Dies obliegt dem Datenschutzbeauftragten. Dieser Prozess ist zu dokumentieren.

Da Datenschutz und Informationssicherheit bei der Parasol Island sehr eng miteinander verbunden sind, weil z.B. Regelungen zum Umgang mit sensiblen Daten – seien es projektbezogene Daten oder personenbezogene Daten – identisch sind, oder die verantwortlichen Rollen von gleichen Mitarbeitern besetzt sind, kann es sich als sinnvoll erweisen, Prüfungen und Überwachungsmethoden zu vereinheitlichen.

Die Parasol Island als Auftragsverarbeiter

Ist die Parasol Island Auftragsverarbeiter, so basiert diese Verarbeitung auf einem Auftragsverarbeitungsvertrag. Dieser ist vor Verarbeitungsbeginn zu unterzeichnen und sollte in Abstimmung mit dem Datenschutzbeauftragten erstellt werden.

Die Parasol Island verpflichtet sich zur Einhaltung der gesetzlichen Regelungen sowie der in diesem Vertrag geschlossenen Vereinbarungen. Daher etabliert die Parasol Island u.a. die in den folgenden Abschnitten beschriebenen Prozesse und Vorgehen.

Einsatz von Unterauftragsverarbeitern

Externe Dienstleister werden, wie oben beschrieben, vor ihrer Beauftragung überprüft. Beim Einsatz externer Dienstleister als Unterauftragsverarbeiter ist darauf zu achten, dass diese im AVV festgelegt werden, wenn bei Vertragsschluss bereits bekannt ist, um welche Unterauftragsverarbeiter es sich handelt.

Sollten Unterauftragsverarbeiter erst nach Vertragsschluss hinzugezogen werden, so muss zusätzlich zu der Standardprüfung betrachtet werden, ob der Einsatz dieses Dienstleisters bestehenden Auftragsverarbeitungsverträgen entspricht. Eventuell muss die Zustimmung des Auftraggebers eingeholt werden. Zusätzlich müssen bestehende Verpflichtungen aus bestehenden Auftragsverarbeitungsverträgen an den Unterauftragsverarbeiter weitergegeben werden

Meldeprozesse

Die wichtigste Meldung an einen Auftraggeber ist das Auftreten eines Datenschutzvorfalls, da dieser eventuell innerhalb von 72 Stunden vom Verantwortlichen an die Datenschutzbehörde gemeldet werden muss. Es ist sicherzustellen, dass solche Vorfälle unverzüglich an den Auftraggeber gemeldet werden. Dies schließt insbesondere die Feststellung rechtswidriger Datenverarbeitungen ein.

Darüber hinaus müssen an den Auftraggeber folgende Informationen gemeldet werden. Je nach Ausgestaltung des Auftragsverarbeitungsvertrages steht ihm ein Mitspracherecht zu.

  • Änderung des Datenschutzbeauftragten
  • Änderung von TOMs
  • Änderung von Unterauftragsverarbeitern

Verzeichnis von Verarbeitungstätigkeiten

Die Parasol Island führt ein Verzeichnis aller Verarbeitungstätigkeiten, die sie im Auftrag von anderen durchführt. Dabei werden alle gesetzlichen Vorgaben (Art. 30 DSGVO Absatz 2) eingehalten. Diese Informationen können durch weitere Daten ergänzt werden, wenn dies für die Parasol Island vorteilhaft ist.

Unterstützung des Auftraggebers

Während der Auftragsverarbeitung unterstützt die Parasol Island den Auftraggeber bei der Durchführung von Datenschutzfolgeabschätzungen und der Dokumentation der darauf resultierenden Ergebnisse. Diese Tätigkeiten werden von der Geschäftsführung freigegeben und anschließend vom Datenschutzbeauftragen koordiniert.

Ebenfalls unterstützt die Parasol Island den Verantwortlichen beim Umgang mit Betroffenenrechten, soweit dies möglich und der Verarbeitung angemessen ist. Der Datenschutzbeauftragte ist bei solchen Anfragen zu kontaktieren, sofern der Auftraggeber diesen nicht direkt in seiner Anfrage adressiert hat.

Die Details betreffend der Unterstützung durch die Parasol Island sind im Auftragsverarbeitungsvertrag zu regeln und geregelt.

Retrieved from "https://wiki.psl.dev/index.php?title=02_06_PSL_ISMS_Datenschutzrichtlinie&oldid=31250"