Handreichungen zur praktischen Umsetzung der Datenschutz-Grundverordnung (DSGVO)

Ergebnisse des Projekts „Umsetzung der EU-Datenschutz-Grundverordnung: Aufbau Datenschutzmanagementsysteme (DSMS)“, 2018,
durchgeführt von der Universität Bielefeld, der Fachhochschule Bielefeld, der Universität Paderborn und der Universität Siegen, unterstützt von der DFN-CERT GmbH,
gefördert vom Ministerium für Kultur und Wissenschaft des Landes Nordrhein-Westfalen.

Stand: 30.9.2019

Haftungsausschluss: Die im Projekt produzierten Handreichungen wurden mit größtmöglicher Sorgfalt erstellt. Die Ersteller übernehmen aber keinerlei Gewähr für die Richtigkeit und Aktualität der bereitgestellten Materialien. Sämtliche Dokumente müssen von der nutzenden Hochschule geprüft und an die lokalen Gegebenheiten und Rechtsgrundlagen (insb. Landesdatenschutzgesetze) angepasst werden und sind mit den behördlichen Datenschutzbeauftragten abzustimmen.

Abschlussbericht des Projekts

Im Projekt wurden Musterprozesse entwickelt und Handreichungen erarbeitet, um die Hochschulen bei der Umsetzung der DSGVO zu unterstützen. Dabei wurde von den folgenden Handlungsfeldern ausgegangen.

 

1. Verfahrensdokumentation / Verzeichnis von Verarbeitungstätigkeiten (VVT)

Das Verzeichnis von Verarbeitungstätigkeiten (VVT) gemäß Art. 30 DSGVO bildet die Basis eines Datenschutzmanagementsystems. Das VVT muss vom Verantwortlichen (ebenso vom Auftragsverarbeiter) für jede in seinem Verantwortungsbereich stattfindende Verarbeitung personenbezogener Daten erstellt werden. Es ist die Grundlage für die verfahrensspezifische Rechenschaftspflicht. Dazu bietet es sich an Informationen in das VVT aufzunehmen, die über die Anforderungen des Art. 30 hinausgehen.

2. proaktive Informationspflichten

Betroffene Personen müssen gemäß Art. 12ff DSGVO über jede Verarbeitung ihrer personenbezogenen Daten transparent sowie in einer verständlichen und leicht zugänglichen Form informiert werden. Dies kann über klassische papierbasierte Informationsblätter erfolgen, aber auch elektronisch bspw. über webbasierte Datenschutzerklärungen.

3. Betroffenenrechte (Auskunft)

Über die Informationspflichten hinaus müssen vom Verantwortlichen die weiteren Betroffenenrechte gewahrt und bei Anfragen innerhalb einer Frist von einem Monat umgesetzt werden. Das betrifft neben Löschung, Berichtigung und Einschränkung der Verarbeitung insbesondere auch das Auskunftsrecht der betroffenen Person gemäß Art. 15 DSGVO.

4. Schwellwertanalyse und Datenschutz-Folgenabschätzung

Besteht für eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen, so muss der Verantwortliche gemäß Art. 35 DSGVO die Risiken im Rahmen einer Datenschutz-Folgen­ab­schätzung bewerten und basierend auf den Ergebnissen geeignete Maßnahmen zur Bewältigung der Risiken ergreifen. Das voraussichtliche Bestehen von Risiken lässt sich im Rahmen einer datenschutzrechtlichen Schwellwertanalyse sowie der informationssicherheitstechnischen Schutzbedarfsfeststellung abschätzen.

5. Technische und organisatorische Maßnahmen (TOM)

Der Sicherheit der Verarbeitung wird in der DSGVO einen besonderer Stellenwert eingeräumt. Neu sind dabei die Grundsätze Technikgestaltung (Privacy by Design) und datenschutzfreundliche Voreinstellungen (Privacy by Default) gemäß Art. 25 DSGVO. Die Sicherheit der Verarbeitung muss durch geeignete technische und organisatorische Maßnahmen gewährleistet werden, die über die klassischen informationssicherheitstechnischen Schutzziele Verfügbarkeit, Vertraulichkeit, Integrität hinausgehen (Art. 32 DSGVO). Weiter sind Verfahren für die regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zu etablieren (Art. 24 DSGVO).

6. Meldung von Datenschutzverletzungen

Wird die Sicherheit eines Systems / einer Verarbeitung kompromittiert und kommt es dadurch zu einer Verletzungen des Schutzes personenbezogener Daten, so muss diese vom Verantwortlichen (unverzüglich und möglichst binnen 72 Stunden) an die Aufsichtsbehörden gemeldet werden (Art. 33 DSGVO).

7. Rechtmäßigkeit

Jede Verarbeitung personenbezogener Daten muss die datenschutzrechtlichen Grundsätze (Art. 5 DSGVO) einhalten und rechtmäßig erfolgen, d. h. es muss eine von sechs vorgegebenen Bedingungen erfüllt sein (Art. 6 DSGVO, Abs. 1):

  1. Einwilligung der betroffenen Person in die Verarbeitung

  2. Erforderlich zur Erfüllung eines Vertrags mit der betroffenen Person

  3. Erfüllung rechtlicher Verpflichtungen

  4. Wahrung lebenswichtiger Interessen der betroffenen Person

  5. Wahrnehmung einer Aufgabe, die im öffent­lichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt

  6. Berechtigtes Interesse des Verarbeiters (nicht für Behörden in Erfüllung ihrer Aufgaben)

Einwilligungserklärungen

Für die Verarbeitung von personenbezogenen Daten muss, sofern keine Rechtsgrundlage gemäß (Art. 6 DSGVO, Abs. 1, lit. b.−f.) vorliegt, im Vorfeld, spätestens aber bei der Datenerhebung, eine Einwilligung der betroffenen Person eingeholt werden (Art. 7 DSGVO). Damit eine Einwilligung rechtskräftig ist, muss sie freiwillig erteilt werden und informiert sowie in Form einer eindeutig bestätigenden Handlung erfolgen.

Auftragsverarbeitung

Werden Daten durch Dritte im Auftrag eines Verantwortlichen verarbeitet, so ist ein geeigneter Auftragsverarbeiter auszuwählen und es ist eine Vereinbarung zu schließen (Art. 28 DSGVO).

Gemeinsame Verantwortlichkeit / Joint Controller

Werden die Zwecke und Mittel einer Verarbeitung gemeinsam festgelegt, so besteht eine gemeinsame Verantwortlichkeit und die Partner müssen transparent festlegen, wer welche datenschutzrechtlichen Aufgaben und Pflichten übernimmt (Art. 26 DSGVO).

8. Sensibilisierung und Schulung

Alle Beschäftigten, die mit der Verarbeitung personenbezogener Daten befasst oder daran beteiligt sind, müssen hinsichtlich des Datenschutzes sensibilisiert und geschult werden. Die Umsetzung muss durch den Datenschutzbeauftragten überprüft werden (Art. 39. DSGVO). Hierzu wurden in einem parallelen IuK-Projekt zur „Erstellung eines Sensibilisierungskonzeptes“ personalisierte und zielgruppengerechte Materialien erstellt, u. a. eine E-Learning-Einheit zu Grundlagen des Datenschutzes.

9. Rechenschaftspflicht

Datenschutzleitlinie

In der Datenschutzleitlinie werden die Datenschutzziele in der Hochschule festgelegt, beispielsweise der Aufbau eines Datenschutzmanagementsystems. Sie bildet das Selbstverständnis der Hochschule bezüglich der Umsetzung des Datenschutzes ab und dient als Orientierungshilfe für Entscheidungen. Die Leitlinie muss von der Hochschulleitung als Vertreter des Verantwortlichen verabschiedet und getragen werden.

Datenschutzkonzept

Ein Datenschutzkonzept konkretisiert die Vorgaben der Datenschutzleitlinie. Dort werden die Organisationsstruktur und Verantwortlichkeiten sowie die Prozesse zur Umsetzung der datenschutzrechtlichen Vorgaben behandelt.

Rollen und Verantwortlichkeiten

Die Gesamtverantwortung für den Datenschutz obliegt der Hochschulleitung. Die Verantwortung kann zusammen mit den Aufgaben der Datenverarbeitung delegiert werden. Zusätzlich gibt es weitere Rollen, beispielsweise den Informationssicherheitsbeauftragten oder die in Art. 37 DSGVO festgelegte Rolle des Datenschutzbeauftragten.

10. Präsentationen / Folien des Projekts

Download sämtlicher Ergebnisdokumente als ZIP-Archiv (24 MB)

                    gefördert durch das 

Impressum / Datenschutzhinweise