· Web viewEU-DATENSCHUTZ-GRUNDVERORDNUNG (DSGVO): MUSTER (Erweiterung der Wiener Fachgruppe der...

EU-DATENSCHUTZ-GRUNDVERORDNUNG (DSGVO): MUSTER(Erweiterung der Wiener Fachgruppe der Buch- und Medienwirtschaft)

Die Experten der Wirtschaftskammern Österreichs haben für ihre Mitgliedsbetriebe nachstehendes Muster eines Datenverarbeitungsverzeichnisses nach Art 30 Abs. 1 EU-Datenschutz-Grundverordnung (DSGVO) für Verantwortliche erstellt.

Als Ausfüllhilfe ist ein bereits ausgefülltes fiktives Beispiel unter Anwendungsbeispiel für Verantwortliche

(PDF-Version) im Download-Bereich verfügbar.

Das hinterlegte Wasserzeichen „Muster“ kann einfach aus dem Word-Dokument entfernt werden.

Die im „Muster“ gelb markierten Textstellen müssen von Ihnen noch befüllt werden.

Wir empfehlen Ihnen den Ankauf der WKÖ Broschüre zum Datenschutz, sofern Sie diese noch nicht haben. LINK zum Webshop:

https://webshop.wko.at/datenschutzanpassungsgesetz-2018.html

Auf den Seiten 138 ff dieser WKO Broschüre finden Sie eine Auswahl der wichtigen bundesgesetzlichen (Aufbewahrungs-)Fristen im Zusammenhang mit der datenschutzrechtlichen Speicherbegrenzung.

***

Stand: März 2018

Dieses Merkblatt ist ein Produkt der Zusammenarbeit aller Wirtschaftskammern. Achtung: Die gelben Textpassagen wurden von der Wiener Fachgruppe der Buch- und Medienwirtschaft ergänzt.

https://webshop.wko.at/datenschutzanpassungsgesetz-2018.html

Hinweis! Diese Information finden Sie auch im Internet unter http://wko.at /datenschutz . Alle Angaben erfolgen trotz sorgfältigster Bearbeitung ohne Gewähr. Eine Haftung der Wirtschaftskammern Österreichs ist

ausgeschlossen. Bei allen personenbezogenen Bezeichnungen gilt die gewählte Form für beide Geschlechter!

Datenverarbeitungsverzeichnis nach Art 30 Abs 1 EU-Datenschutz-Grundverordnung (DSGVO)

(Verantwortlicher)

Inhalt

EU-DATENSCHUTZ-GRUNDVERORDNUNG (DSGVO): MUSTER...................1A. Stammdatenblatt.............................................................................................3B. Datenverarbeitungen/Datenverarbeitungszwecke...........................................4C. Detailangaben zu den Datenverarbeitungen...................................................6D. Allgemeine Beschreibung der technisch-organisatorischen Maßnahmen......32

http://wko.at/

A. STAMMDATENBLATT

Name und Kontaktdaten des (der) für die Verarbeitung (gemeinsam) Verantwortlichen

a. Name(n) und Anschrift(en):

[Name und Anschrift Mitgliedsunternehmen.]

b. E-Mail-Adresse(n) (und allenfalls weitere Kontaktdaten wie zB Tel.Nr.):

[Kontaktdaten Mitgliedsunternehmen.]

c. Name und Kontaktdaten (Anschrift, E-Mail und allenfalls weitere Kontaktdaten wie zB Tel.Nr.) des Datenschutzbeauftragten1:

[Hier würden wir die Kontaktdaten des Datenschutzkoordinators angeben und anmerken, dass kein Datenschutzbeauftragter bestellt wurde.]

d. Name und Kontaktdaten (Anschrift, E-Mail und allenfalls weitere Kontaktdaten wie zB Tel.Nr.) des Vertreters des (der) Verantwortlichen:2

[zu löschen falls nicht anwendbar]

1 Sofern ein Datenschutzbeauftragter verpflichtend oder auf freiwilliger Basis bestellt wurde. HINWEIS: Wenn keine Verpflichtung zur Bestellung eines Datenschutzbeauftragten besteht, der Verantwortliche aber freiwillig einen bestellen möchte, müssen trotzdem alle den Datenschutzbeauftragten betreffenden Bestimmungen der DSGVO eingehalten werden; möchte man das nicht, darf die bestellte Person nicht „Datenschutzbeauftragter“ genannt werden, sondern sollte eine andere Bezeichnung gewählt werden (zB „Datenschutzkoordinator“). Dieser kann, muss aber nicht ins Verarbeitungsverzeichnis aufgenommen werden. Siehe dazu das WKO-Merkblatt „Datenschutzbeauftragter“.2 Darunter sind Vertreter von nicht in der EU niedergelassenen Verantwortlichen zu verstehen.

https://www.wko.at/service/wirtschaftsrecht-gewerberecht/EU-Datenschutz-Grundverordnung:-Der-Datenschutzbeauftragt.html

B. DATENVERARBEITUNGEN/DATENVERARBEITUNGSZWECKE

I. Zwecke und Beschreibung der Datenverarbeitung3:

1. Kundenverwaltung, Rechnungswesen, Logistik und Buchführung

Zweck ist die Verarbeitung von personenbezogenen Daten im Rahmen jeglicher Geschäftsbeziehungen mit Kunden und Lieferanten im Rahmen der Gewerbeausübung samt systematischer Aufzeichnung aller die Einnahmen und Ausgaben betreffenden Geschäftsvorgänge, einschließlich automationsunterstützt erstellter und archivierter Textdokumente (wie zB Korrespondenz) in diesen Angelegenheiten.

2. Personalverwaltung für privatrechtliche Dienstverhältnisse

Zweck ist die Verarbeitung und Evidenthaltung von personenbezogenen Daten für Lohn-, Gehalts-, Entgeltsverrechnung und Einhaltung von Aufzeichnungs-, Auskunfts- und Meldepflichten, soweit dies auf Grund von Gesetzen oder Normen kollektiver Rechtsgestaltung oder arbeitsvertraglicher Verpflichtungen jeweils erforderlich ist, einschließlich automationsunterstützt erstellter und archivierter Textdokumente (wie zB Korrespondenz) in diesen Angelegenheiten; Verwendung und Evidenthaltung von personenbezogenen Daten von Bewerbern, wenn diese Daten vom Betroffenen angegeben wurden.

Eine Verarbeitung von besonderen Kategorien personenbezogener Daten im Sinne der Art. 9 und 10 DSGVO im Rahmen dieser Ausnahme erfolgt ausschließlich aufgrund einer gesetzlichen Ermächtigung oder aufgrund rechtlicher Verpflichtungen.

3. Kundenbetreuung und Marketing für eigene Zwecke

Zweck ist die Verarbeitung von eigenen oder zugekauften Kunden- und Interessentendaten für die Geschäftsanbahnung betreffend das eigene Lieferungs- oder Leistungsangebot sowie zur Durchführung von Werbemaßnahmen und Newsletter-Versand, einschließlich automationsunterstützt erstellter und archivierter Textdokumente (wie zB Korrespondenz) in dieser Angelegenheit.

4. [Weitere Datenverarbeitungen in Ihrem Unternehmen?--> indviduell zu ergänzen]

3 Zum Begriff „Verarbeitung“ siehe das Merkblatt „Wichtige Begriffsbestimmungen“; sollten Daten auch an „Dritte“ oder an Auftragsverarbeiter übermittelt werden, sind auch die Zwecke dieser Datenübermittlungen im Verarbeitungsverzeichnis zu dokumentieren.

https://www.wko.at/service/wirtschaftsrecht-gewerberecht/EU-Datenschutz-Grundverordnung:-Wichtige-Begriffsbestimmu.html

[Das vorliegende Muster wurde ausschließlich zu Ihrer Arbeitserleichterung bei der Verzeichniserstellung für Ihr Unternehmen vorbefüllt mit den drei bisher wesentlichsten vormaligen Standardanwendungen SA001, 002, 022, nunmehr gemäß Entwurf der Verordnung der Datenschutzbehörde über die Ausnahmen von der Datenschutz-Folgenabschätzung (DSFA-AV), so genannte "white list" bezeichnet als DSFA-A01, DSFA-A02 und DSFA-04. Eigene Datenverarbeitungen, die dadurch noch nicht abgedeckt sind, wären zu ergänzen oder der Musterinhalt abzuändern, wenn die eigene Datenverarbeitung im Unternehmen von den Standardanwendungen abweicht. Achtung: Enthält nicht sämtliche Datenarten/-kategorien der Standardanwendungen, sondern nur diejenigen, welche unserer Einschätzung nach für die Buch- und Medienwirtschaft relevant sind gegebenenfalls weitere Datenkategorie zu ergänzen!]

II. Wurde eine Datenschutz-Folgenabschätzung durchgeführt?4

Ja Nein x

Wenn Ja, wann? n/a

Wenn Nein, aus welchem Grund nicht?5

Bei den genannten Datenverarbeitungen handelt es sich um bisherige Standardanwendungen, bei denen gemäß Entwurf der Verordnung der Datenschutzbehörde über die Ausnahmen von der Datenschutz-Folgenabschätzung (DSFA-AV), so genannte "white list", keine Datenschutz-folgenabschätzung durchgeführt werden muss.

4 Zur Datenschutz-Folgenabschätzung siehe das Merkblatt „Datenschutz-Folgenabschätzung“. Im Verarbeitungsverzeichnis sind zwar Angaben zur Datenschutz-Folgenabschätzung nicht zwingend vorgesehen. Aus Gründen der Rechenschaftspflicht empfehlen sich aber grundsätzliche Angaben darüber auch ins Verarbeitungsverzeichnis aufzunehmen.5 Eine Datenschutz-Folgenabschätzung ist nicht durchzuführen, wenn durch die Datenverarbeitung voraussichtlich kein hohes Risiko für die Rechte der Betroffenen besteht oder die Datenverarbeitungsart in der sogenannten „white list“ der Datenschutzbehörde gelistet ist (derzeit besteht noch keine „white list“); Näheres dazu siehe auch das Merkblatt „Datenschutz-Folgenabschätzung“.

https://www.wko.at/service/wirtschaftsrecht-gewerberecht/eu-datenschutz-grundverordnung-datenschutz-folgenabschaetzu.html

https://www.wko.at/service/wirtschaftsrecht-gewerberecht/eu-datenschutz-grundverordnung-datenschutz-folgenabschaetzu.html

C. DETAILANGABEN ZU DEN DATENVERARBEITUNGEN

I. Kundenverwaltung, Rechnungswesen, Logistik und Buchführung

1. Kategorien der betroffenen Personen

Lfd.Nr.

1 Kunden und Lieferanten2 Sachbearbeiter oder Kontaktperson beim Verantwortlichen3 an der Geschäftsabwicklung mitwirkende Dritte4 Kontaktpersonen beim Kunden, Lieferanten oder an der Geschäftsabwicklung mitwirkenden Dritten5 Bloße Zustell-, Lieferungs-, Rechnungsadressaten und dgl.6 Fremdkapitalgeber7 Gesellschafter

2. Rechtsgrundlagen6

Zur Vertragserfüllung erforderlich, rechtliche Verpflichtungen (insbesondere nach BAO und UGB), berechtigte Interessen des Verantwortlichen.

3. Verträge , Zustimmungserklärungen oder sonstige Unterlagen (zB Erledigung der Informationspflichten7) sind abgelegt:8 (freiwillig)

6 Die Rechtsgrundlagen (zB rechtliche Verpflichtung, Einwilligung, Vertragserfüllung, lebenswichtige Interessen des Betroffenen, kein überwiegendes berechtigtes Interesse des Betroffenen) sind nach der DSGVO zwar nicht verpflichtend ins Verarbeitungsverzeichnis aufzunehmen. Allerdings unterliegt der verantwortliche Verarbeiter einer sogenannten Rechenschaftspflicht. Diese besagt eine Nachweispflicht bzgl. der Einhaltung der Pflichten nach der DSGVO. Dazu gehört unter anderem auch der Nachweis, dass die Datenverarbeitung nach den in der DSGVO normierten Rechtmäßigkeitsgrundlagen erfolgt. Siehe das Merkblatt „Grundsätze und Rechtmäßigkeit der Verarbeitung“. 7 Siehe zu den Informationspflichten das Merkblatt „Informationspflichten“. 8 Die Angabe, wo die Unterlagen innerhalb der Organisation abgelegt wurden, ist nicht verpflichtend im Verarbeitungsverzeichnis zu dokumentieren, erleichtert aber vor allem in größeren, arbeitsteilig organisierten Organisationen das Auffinden der entscheidenden Unterlagen (dient also lediglich der innerbetrieblichen Arbeitserleichterung).

https://www.wko.at/service/wirtschaftsrecht-gewerberecht/EU-Datenschutz-Grundverordnung:-Informationspflichten.html

https://www.wko.at/service/wirtschaftsrecht-gewerberecht/EU-Datenschutz-Grundverordnung:-Grundsaetze-und-Rechtmaes.html

[siehe Fußnote – freiwillig zu befüllen, wie und sich gemäß Ihren konkreten innerbetrieblichen Abläufe die Daten und Unterlagen befinden, z.B. im Haus, beim Lohnverrechner, externer Provider etc]

4. Kategorien der verarbeiteten Daten und Ankreuzen, an welche Empfängerkategorien9 sie übermittelt werden

Kategorien der betroffenen Personengruppe aus Punkt 1

des C-BlattesDatenkategorien

Besondere Datenkategorien iSd Art 9 DSGVO, strafrechtlich relevant iSd Art 10 DSGVO

Ban

ken

Rec

htsv

ertr

eter

im

Ges

chäf

tsfa

ll

Wirt

scha

ftstr

euhä

nde

r. B

uchh

alte

r

Ger

icht

e,

Verw

altu

ngsb

ehör

den

Inka

soun

tern

ehm

en

Frem

dfin

anzi

erer

Bet

eilig

te V

ertr

ags-

, G

esch

äfts

part

ner

Vers

iche

rung

en

Kon

zern

leitu

ng

Kun

den

Kunden und Lieferanten Name / Bezeichnung Nein x x x x x x x x xKontaktdaten (Anschrift, Telefonnummer, E-Mailadresse udgl) des Kunden, Lieferanten sowie der Kontaktperson beim Kunden, Lieferanten

Neinx

x x x x x x x x

Daten zur Bonität Nein x xSperrkennzeichen (z. B. Kontaktsperre, Rechnungssperre, Liefersperre, Buchungssperre, Zahlungssperre)

Nein x x x x x x x

Vertragsgegenstand (inkl. Vertragsbedingungen) Nein x x x x x x x x x

Bonus-, Provisionsdaten und dgl. Nein x x x x x xDaten zur Steuerpflicht und Steuerberechnung Nein x x x x x x

Finanzierungs- und Zahlungsbedingungen Nein x x x x x x x x xBankverbindung Nein x x x x x x x x xKreditkartennummern und -unternehmen Nein x x x xDaten zum Kreditmanagement (z. B. Kreditlimit, Wechsellimit) Nein x x x x x

Daten zum Zahlungs- oder Leistungsverhalten des Betroffenen Nein x x x x x x x x

Mahndaten/KlagsdatenNein x x x x x x x

9 n der Rubrik „Empfänger“ sind nur die „Empfängerkategorien“ (zB „Gerichte“, „Banken“ oder „Sozialversicherungsträger“) einzutragen. Bei der Umschreibung der Empfängerkategorien ist darauf zu achten, dass eine Überprüfung der Rechtmäßigkeit ermöglicht wird (so wird zB die bloße Angabe von „Konzern“ als Empfänger nicht ausreichen, weil daraus nicht eruierbar sein wird, ob die Daten rechtmäßig an die Muttergesellschaft und/oder an Schwestergesellschaften übertragen werden).

Konto- und Belegdaten Nein x x x x x x x x x

Sachbearbeiter beim Verantwortlichen

Name, Anrede/GeschlechtNein x x x x x x x x x x

Zusätzliche Daten zur Adressierung beim Verantwortlichen Nein x x x x x x x x x x

Korrespondenzsprachen, sonstige Vereinbarungen und Schlüssel zum Datenaustausch

Nein x x x x x x x x x x

Funktion des SachbearbeitersNein x x x x x x x x x

Umfang der VertretungsbefugnisNein x x x x x x x x x

Bearbeitete GeschäftsfälleNein x x x x x x x x x

An der Geschäftsabwicklung mitwirkende Dritte

Name bzw. BezeichnungNein x x x x x x x x x x

Anrede/GeschlechtNein x x x x x x x x x x

AnschriftNein x x x x x x x x x x

Telefon- und Faxnummer und andere zur Adressierung erforderliche Informationen, die sich durch moderne Kommunikationstechniken ergeben

Neinx x x x x x x x x x

Geburtsjahr (soweit zur Identifikation unbedingt notwendig) Nein x x x x x x x x x x

Geburtstag und -monat (soweit zur Identifikation unbedingt notwendig) Nein x x x x x x x x x x

FirmenbuchdatenNein x x x x x x x x x x

Daten zur BonitätNein

Sperrkennzeichen (z. B. Kontaktsperre, Rechnungssperre, Liefersperre, Buchungssperre, Zahlungssperre)

Nein x x x x x x x

Zuordnung zu einer bestimmten Kategorie der Leistungserbringer (einschließlich regionale Zuordnung, usw.)

Nein x x x

Kenn-Nummern für Zwecke amtlicher Statistik wie UID-Nummer und Intrastat-Kenn-Nummer


Zugehörigkeit zu einem bestimmten Einkaufsverband, Konzern Nein x x x x x x x x x x



Gegenstand der Lieferung oder LeistungNein x x x x x x x x x x

Bonus-, Provisionsdaten und dgl.Nein

x x x x x x

Kontaktperson beim Betroffenen zur Abwicklung der Lieferung oder Leistung Nein x x x x x x x x x x

Liefer- und Leistungsbedingungen (einschließlich Angaben über den Ort der Lieferung oder Leistung, Verpackung, usw. )

Neinx x x x x x x x x x

Daten zur Verzollung (z. B. Ursprungsland, Zolltarifnummer) und Exportkontrolle Nein x x x x x x x x

Daten zur Versicherung der Lieferung oder Leistung und zu ihrer Finanzierung Nein x x x x x x x x

Daten zur Steuerpflicht und Steuerberechnung Nein x x x

Finanzierungs- und ZahlungsbedingungenNein x x x x x x x x x

BankverbindungNein x x x x x x x x x

Kreditkartennummern und -unternehmenNein x x x x x

Daten zum Kreditmanagement (z. B. Kreditlimit, Wechsellimit) Nein x x x x x

Daten zum Zahlungs- oder Leistungsverhalten des Betroffenen Nein x x x x x x x x

Mahndaten/KlagsdatenNein x x x x x x

Konto- und BelegdatenNein x x x x x x x x

Leistungsspezifische Aufwände und Erträge Nein x x x x x

Kontaktperson beim Kunden, Lieferanten

Name, Anrede/GeschlechtNein x x x x x x x x x x

Zugehöriger Kunde, Lieferant oder DritterNein x x x x x x x x x x

Zusätzliche Daten zur Adressierung beim Kunden, Lieferanten oder Dritten Nein x x x x x x x x x x



Funktion des Betroffenen beim Leistungsempfänger oder Leistungserbinger


Umfang der VertretungsbefugnisNein x x x x x x x x x x

Vom Betroffenen bearbeitete GeschäftsfälleNein x x x x x x x x x x

Bloße Zustell-, Lieferungs-, Rechnungsadressaten und dgl.:

Name oder Bezeichnung, Anrede/Geschlecht Nein x x x x x x x x

AnschriftNein x x x x x x x x

Telefon- und Faxnummer und andere zur Adressierung erforderliche Informationen, Nein

x x x x x x x x

die sich durch moderne Kommunikationstechniken ergebenKorrespondenzsprachen, sonstige Vereinbarungen und Schlüssel zum Datenaustausch

Nein x x x x x x x x

Angaben über besondere Bedingungen für die Annahme der Zustellung, Lieferung oder Leistung


Fremdkapitalgeber

Name oder Bezeichnung, Anrede/Geschlecht Nein x x x x x

AnschriftNein x x x x x


Neinx x x x x


Nein x x x x x

BankverbindungNein x x x x x

Forderungen an den VerantwortlichenNein x x x x x

Gegenforderungen des VerantwortlichenNein x x x x x

Gesellschafter

Name oder Bezeichnung, Anrede/Geschlecht Nein x x x x x x

AnschriftNein x x x x x x


Neinx x x x x x


Nein x x x x x x

BankverbindungNein x x x x x x

Ausstehende EinlagenNein x x x x x x

Sonstige Forderungen des Verantwortlichen (z. B. Privatentnahmen) Nein x x x x x x

BezügeNein x x x x x x

Gewinn- und VerlustanteileNein x x x x x x

5. Löschungs- und Aufbewahrungsfristen10 (wenn möglich)

Datenverarbeitung Angabe bzw. Beschreibung der Löschungs- bzw. Aufbewahrungsfristen

Kundenverwaltung, Rechnungswesen und Logistik

Höchstdauer der zulässigen Datenaufbewahrung: Bis zur Beendigung der Geschäftsbeziehung oder bis zum Ablauf der für den Verantwortlichen geltenden Garantie-, Gewährleistungs-, Verjährungs- und gesetzlichen Aufbewahrungsfristen; darüberhinaus bis zur Beendigung von allfälligen Rechtsstreitigkeiten, bei denen die Daten als Beweis benötigt werden.

Buchführung Gesetzliche Aufbewahrungsfristen ( 7 Jahre gemäß UGB / BAO)Kunden- bzw. Lieferantenstammdaten In der Regel mit Ablauf des dritten Jahres nach dem letzten Kontakt mit dem Verantwortlichen.

6. Kategorien von Empfängern11, an die personenbezogene Daten offengelegt werden (inkl. Auftragsverarbeitung), speziell bei Empfängern in Drittländern

a. Kategorien der Empfänger sowie Übermittlungsort (Drittstaat, Internationale Organisation wie zB UNO, OSZE)

Empfängerkategorien (aus 4.) Drittstaat (Angabe des Drittstaats, d.h. Staaten außerhalb der EU)

Internationale Organisation (Angabe der intern. Organisation)

BankenRechtsvertreterWirtschaftstreuhänder / BuchhalterGerichte, VerwaltungsbehördenInkassounternehmenFremdfinanziererVertragspartner / GeschäftspartnerVersicherungenKonzernleitungKunden

10 Nach der DSGVO sind die Löschfristen bzw. Aufbewahrungsfristen nach Möglichkeit ins Verarbeitungsverzeichnis aufzunehmen. Beispielsweise kann bei unbefristeten Verträgen keine konkrete Löschfrist angegeben werden, da der konkrete Vertragsablauf unbestimmt ist. Es empfiehlt sich hier allerdings eine abstrakte Frist anzugeben (zB „nach Ablauf des Vertrages“). 11 Es sind vor allem Übermittlungsempfänger („Dritte“) als auch Auftragsverarbeiter hier zu dokumentieren.

[weitere Empfänger individuell ergänzen, z.B. von Ihnen eingesetzte Auftragsverarbeiter wie IT-Dienstleister (Provider) etc]

[z.B. USA]

b. Dokumentation der getroffenen geeigneten Garantien im Falle einer Übermittlung in Drittstaaten die nicht auf Art 45, 46, 47 oder 49 Abs 1 Unterabsatz 1 DSGVO erfolgt (vor allem wenn kein Angemessenheitsbeschluss der Europäischen Kommission vorliegt, keine Standardvertragsklauseln der Europäischen Kommission oder der nationalen Datenschutzbehörde verwendet werden oder genehmigte Zertifizierungsmechanismen in Anspruch genommen werden, keine Corporate binding rules zur Anwendung kommen (genehmigte verbindliche konzerninterne Datenschutzvorschriften), die Übermittlung nicht für Vertragserfüllungszwecke erforderlich ist oder keine ausdrückliche Einwilligung vorliegt):12

[Betreffend alle unter a) angegebene Drittstaaten außerhalb der EU ohne angemessenes Datenschutzniveau, Angabe der Rechtsgrundlage zur Sicherstellung der Rechtmäßigkeit der Datenübermittlung]

12 Siehe dazu das Merkblatt „Internationaler Datenverkehr“.

https://www.wko.at/service/wirtschaftsrecht-gewerberecht/EU-Datenschutz-Grundverordnung:-Internationaler-Datenverk.html

II. Detailangaben zu Personalverwaltung


Lfd.Nr.

1 Arbeitnehmer, arbeitnehmerähnliche Personengruppen, Leiharbeitnehmer, freie Dienstnehmer, Lehrlinge, Volontäre und Ferialpraktikanten (auch ehemalige Beschäftigte)

2 Organe (und deren Mitglieder) und sonstige Funktionsträger von juristischen Personen und Personengemeinschaften, soweit sie nicht Beschäftigte gemäß Punkt 1 sind (umfasst auch ehemalige Organe und Funktionsträger)

3 Bewerber

2. Rechtsgrundlagen

Zur Vertragserfüllung erforderlich, rechtliche Verpflichtungen, Einwilligung, berechtigte Interessen des Verantwortlichen.

3. Verträge, Zustimmungserklärungen oder sonstige Unterlagen (zB Erledigung der Informationspflichten) sind abgelegt: (freiwillig)

[siehe Fußnote oben – freiwillig zu befüllen, wie und sich gemäß Ihren konkreten innerbetrieblichen Abläufe die Daten und Unterlagen befinden, z.B. im Haus, beim Lohnverrechner, externer Provider etc]

4. Kategorien der verarbeiteten Daten

Kategorien der betroffenen

Personengruppe aus Punkt 1 des

C-Blattes

Datenkategorien Besondere Datenkategorien iSd Art 9 DSGVO,

strafrechtlich relevant iSd Art 10

DSGVO

Glä

ubig

er d

es B

etro

ffene

n

Soz

ialv

ersi

cher

ungs

träge

r

Wah

lvor

stan

d fü

r Bet

riebs

rats

wah

l

Arb

eits

insp

ekto

rat

Org

ane

betri

eb. I

nter

esse

nver

tretu

ng

Gem

eind

ebeh

örde

n in

ve

rwal

tung

spol

izei

liche

n A

gend

enB

ezirk

sver

wal

tung

sbeh

örde

in

verw

altu

ngsp

oliz

eilic

hen

Age

nden

Lehr

lings

stel

leA

rbei

tsm

arkt

serv

ice

Bun

dess

ozia

lam

t

Fina

nzam

t

Ver

sich

erun

gsan

stal

ten

bei A

usza

hlun

g be

troffe

ne B

anke

n

Gew

erks

chaf

t (m

it Zu

stim

mun

g B

etro

ffene

r)

Ges

etzl

iche

Inte

ress

enve

rtret

ung

Bet

riebs

rats

fond

s

Bet

riebs

ärzt

e

Pen

sion

skas

sen

Rec

htsv

ertre

ter

Ger

icht

e

Mitv

ersi

cher

te

Mita

rbei

terv

orso

rgek

asse

n

Kun

den

und

Inte

ress

ente

n de

s V

eran

twor

tlich

en

Arbeitnehmer, arbeitnehmerähnlic

Personalnummer Nein x x x x x x x x x x x x x x x x x x x x x x

Name Nein x x x x x x x x x x x x x x x x x x x x x x x

Frühere Namen (Namensteile)

Nein x x x x x x x x x x x x x x x x x x x x x x

Geburtsdatum Nein x x x x x x x x x x x x x x x x x x x x

Geburtsort Nein x x x x x x x x x x x x x x x x x x x

Geschlecht Nein x x x x x x x x x x x x x x x x x x x x x

Personenstand Ja x x x x x x x x x x x x x

Kinder und sonstige Familienangehörige, im Zusammenhang mit Leistungen, die iVm dem Arbeitsverhältnis des Betroffenen erbracht werden (insb. Name, Geburtsdatum, Sozialversicherungsnummer)

Nein x x x x x x x x x x x x

Gesetzlicher Vertreter Nein x x x x x x x x x x x x x x x x

Staatsbürgerschaft Nein x x x x x x x x x x x

Bankverbindung Nein x x x x x x x

Organisatorische Zuordnung im Betrieb (inkl. Beginn und Ende)

Nein x x x x x x x x x x x x x x

Kontaktdaten Nein x x x x x x x x x x x x x x x x x x x x x x

Wohnadresse und private Kontaktdaten

Nein x x x x x x x x x x x x x x x x x x x

Sozialversicherungsnummer

Ja x x x x x x x x x x x x

Sozialversicherungsträger


Daten zur Krankenscheinverwaltung

Ja x x x x x

Dienstnehmer-Sozialversicherungsdat

Ja x x x x x x

en (Versichertenmeldung, Beitragsgrundlagenmeldung, Erstattungsantrag Krankenentgelt gemäß § 8 EFZG, Arbeits- und Entgeltbestätigung für Kranken-/Wochengeld, MVK)

Eintrittsdatum Nein x x x x x x x x x x x x x

Vordienstzeiten Nein x x x x

Austrittsdatum, Kündigungsfrist

Nein x x x x x x x x x x x x x

Art der Beendigung des Dienstverhältnisses

Nein x x x x x x x

Gesetzliche Beschäftigungsvoraussetzungen

Nein x x x x x x x

Daten der Beschäftigungsbewilligung

Nein x x x x x x x

Bezeichnung der Tätigkeit

Nein x x x x x x x x x

Gruppenzugehörigkeit (Arbeiter/Angestellte)

Nein x x x x x x x x x x x

Kammerzugehörigkeit Nein x x x x x

Sicherheitsstufe / Zugangs-/Zugriffsrechte

Nein x x x x

Lichtbild (für Ausweiskarten)

Nein x x x x

Gültigkeitsdauer der Ausweiskarte

Nein x x x x

Arbeitszeiterfassung Nein x x x x

Sonstige Daten zur Arbeitszeit (insbesondere Geringfügigkeit, Arbeitsstunden, Überstunden, Gleitzeit, Nacht- und Teilzeitarbeit)


Daten zur Urlaubsverwaltung

Nein x x x x x x

Religionsbekenntnis (zur Abwesenheits-verwaltung), sofern angegeben Ja

x x x x

Krankenstand, einschließlich Arbeitsunfall und Berufskrankheit (Beginn, Ende und Dauer) Ja

x x x x x x x x

Zeitpunkt Arbeitsunfalls Ja x x x x x x x x

Kuraufenthalte Ja x x x x x x x x

Mutterschutz (Beginn und Ende)

Ja x x x x x x x x x

Karenzurlaub gemäß MSchG und EKUG (Beginn und Ende)

Ja x x x x x x x x x x

Präsenzdienst, Ausbildungsdienst oder Zivildienst (Beginn und Ende)


Art und Dauer sonstige Abwesenheit wegen Dienstverhinderung /-freistellung


Daten zur Nein x x x x x x x

Entgeltfortzahlung

Beschäftigungsrelevante Daten gem. ASchG, BazillenausscheiderG, Tuberkulosegesetz und ähnlichen Rechtsvorschriften Ja

x x x x x x x

Grad der Behinderung gemäß Behinderteneinstellungsgesetz (nach Bekanntgabe des Betroffenen) Ja

x x x x x x x x x

Gesetzliche, kollektivvertragliche, betriebsvereinbarungsmäßige und einzelvertragliche Grundlagen der Entgeltberechnung (Einstufung)


Brutto- und Nettoentgelt (Daten des Gehaltszettels)


Daten der Entgeltsfortzahlung

Nein

Abzüge vom Nettoentgelt auf Grund Gesetzes oder betrieblicher Vereinbarungen

Nein x x x x x x

Sachbezüge Nein x x x x x x x

Aufwandsentschädigungen


Sozialleistungen iZm Arbeitsverhältnis

Nein x x x x x x x

Höhe des Ja x x x x

Gewerkschaftsbeitrages undBezeichnung und Adresse des Empfängers (nach Bekanntgabe des Betroffenen)

Versicherungsprämien als Leistung des Arbeitgebers

Nein x x x x x x

Verwaltung von Vorschüssen und Darlehen

Nein x x x x

Lohnpfändungsdaten Nein x x x x x

Daten des Lohnzettels (L – 16 Formular)

Nein x x x

Alleinverdiener- oder Alleinerzieher-Absetzbetrag (ja/nein)

Nein x x x x

Wohnsitzfinanzamt Nein

Daten zur Pensionskasse

Nein x x x x x x

Daten zur Verwendung von Dienstfahrzeugen (wie Führerschein, Abrechnungen, Schadensfälle, Versicherungen)

Nein x x x x x

Besondere Qualifikationen (zB Gewerbeschein)

Nein x x x x x

Nebenbeschäftigungen Nein x x

Daten nach dem Berufsausbildungsgesetz und einschlägigen

Nein x x x x x x x

kollektivvertraglichen Regelungen bei Lehrlingen, insb. Lehrvertragsdaten und sonstige Daten aus dem Ausbildungsverhältnis und BerufsschulbesuchSchwerarbeitszeiten

Nein x

Organe (und deren Mitglieder) und sonstige Funktionsträger von juristischen Personen und Personen-gemeinschaften, soweit sie nicht Beschäftigte gemäß Punkt 1 sind (umfasst auch ehemalige Organe und Funktionsträger)

Personal- oder Ordnungsnummer Nein x x x x x x x x x x x x x x x x x

NameNein x x x x x x x x x x x x x x x x x x

Frühere NamenNein x x x x x x x x x x x x x x x x x

Geburtsdatum /-ortNein x x x x x x x x x x x x x x x x

GeschlechtNein x x x x x x x x x x x x x x x x x

PersonenstandNein x x x x x x x x

Kinder und sonstige Familienangehörige, iZm Leistungen, die iVm dem Organverhältnis erbracht werden

Nein x x x x x x x x x x x

Gesetzlicher VertreterNein x x x x x x x x x x x x x

StaatsbürgerschaftNein x x x x x x x x x

Fremdenrechtliche Voraussetzungen der Funktionsausübung

Nein x x x x

BankverbindungNein x x x x x x x x x

WohnadresseNein x x x x x x x x x x x x x x x

Private Kontaktdaten, soweit vom Betroffenen nicht untersagt

Nein x x x x x x x x x x x x x x

Organisatorische Zuordnung im Betrieb einschließlich Beginn und Ende


Umfang der Vertretungsbefugnis Nein x x x

Berufliche Kontaktdaten Nein x x x x x x x x x x x x x x x x x x x x x

Kostenstelle(n)Nein x x x

Datum der Bestellung in die Funktion Nein x x x x x x x x x x x

Daten betreffend die Verhinderung der Funktionsausübung

Nein x x x x x x

Datum der Funktionsbeendigung Nein x x x x x x x x x x x

Art der Funktionsbeendigung Nein x x x x x x x

KammerzugehörigkeitNein x x x x

Sicherheitsstufe / Zugangs- /Zugriffsrechte

Nein x x x x

Lichtbild (für Ausweiskarten) Nein x x x x

Gültigkeitsdauer der Ausweiskarte Nein x x x x

Gesetzliche und vertragliche Grundlagen der Berechnung der Funktionsentschädigung

Nein x x x

Daten zur Berechnung der Funktionsentschädigung (Brutto- und Nettobezüge)

Nein x x x

Daten der Entgeltsfortzahlung Nein

SachbezügeNein x x x x x x x

Aufwandsentschädigungen (wie Reisegebühren)

Nein x x x x

SozialleistungenNein x x x x x

Höhe Gewerkschaftsbeiträge

Jax x x x

und Bezeichnung und Adresse des Empfängers (nach Bekanntgabe des Betroffenen)Versicherungsprämien als Leistung des Arbeitgebers

Nein x x x x x x

Verwaltung von Vorschüssen und Darlehen

Nein x x x x

LohnpfändungsdatenNein x x x x

WohnsitzfinanzamtNein x

Daten zur Pensionskasse Nein x x x x x x

Daten zur Verwendung von Dienstfahrzeugen (insb. Führerschein, Abrechnungen, Schadensfälle, Versicherungen)

Nein x x x x x

Besondere Qualifikationen (zB Gewerbeschein)

Nein x x x x x x

NebenbeschäftigungenNein x x

SchwerarbeitszeitenNein x

Bewerber Name (wenn vom Betroffenen angegeben)

Nein

Geburtsdatum (wenn vom Betroffenen angegeben)

Nein

Staatsbürgerschaft (wenn vom Betroffenen angegeben)

Nein

Geschlecht (wenn vom Betroffenen angegeben)

Nein

Anschrift (wenn vom Nein

Betroffenen angegeben)

Telefonnummer (wenn vom Betroffenen angegeben)

Nein

E-Mail-Adresse (wenn vom Betroffenen angegeben)

Nein

Lichtbild (wenn vom Betroffenen angegeben)

Nein

Ausbildungsdaten (wenn vom Betroffenen angegeben)

Nein

Berufserfahrung und Lebenslauf (wenn vom Betroffenen angegeben)

Nein

Angestrebte Beschäftigung (wenn vom Betroffenen angegeben)

Nein

Beginn der angestrebten Beschäftigung (wenn vom Betroffenen angegeben)

Nein

Sprachkenntnisse Nein

Spezielle Berufserfordernisse

Nein

Testergebnisse Nein

5. Löschungs- und Aufbewahrungsfristen (wenn möglich)

Datenverarbeitung Angabe bzw. Beschreibung der Löschungs- bzw. Aufbewahrungsfristen

Personalverwaltung für privatrechtliche Dienstverhältnisse

Bis zur Beendigung der Beziehung mit dem Betroffenen und darüber hinaus solange als gesetzliche Aufbewahrungsfristen bestehen oder solange Rechtsansprüche aus dem Arbeitsverhältnis gegenüber dem Arbeitgeber geltend gemacht werden können. Bei abgesagten Bewerbern Löschung in der Regel 6 Monate nach Absage (außer der Bewerber willigt ein, in Evidenz gehalten zu werden).

6. Kategorien von Empfängern13, an die personenbezogene Daten offengelegt werden (inkl. Auftragsverarbeitung), speziell bei Empfängern in Drittländern14




Gläubiger des Betroffenen sowie sonstige an der allenfalls damit verbundenen Rechtsverfolgung Beteiligte, auch bei freiwilligen Gehaltsabtretungen für fällige ForderungenSozialversicherungsträger (einschließlich Betriebskrankenkassen);Wahlvorstand für BetriebsratswahlenArbeitsinspektorat, Verkehrs-Arbeitsinspektion und Land- und Forstwirtschaftsinspektion, insbesondere gemäß § 8 Arbeitsinspektionsgesetz;

13 Es sind vor allem Übermittlungsempfänger („Dritte“) als auch Auftragsverarbeiter hier zu dokumentieren.

Organe der betrieblichen Interessensvertretung (insbesondere Betriebsrat gemäß § 89 Z 4 ArbVG, Sicherheitsvertrauensperson nach § 10 ArbeitnehmerInnenschutzgesetz (ASchG), BGBl. Nr. 450/1994 idgF., Jugendvertrauensperson gemäß § 125ff ArbVG und Behinderten- vertrauensperson gemäß § 22a Behinderteneinstellungsgesetz);

Gemeindebehörden in verwaltungspolizeilichen AgendenBezirksverwaltungsbehörde in verwaltungspolizeilichen Agenden (Gewerbebehörde, Zuständigkeiten nach ASchG, usw.);

Lehrlingsstelle gemäß § 19 Berufsausbildungsgesetz und Berufsschulen;

Arbeitsmarktservice;

Bundesamt für Soziales und Behindertenwesen (Bundessozialamt) z. B. gemäß § 16 Behinderteneinstellungsgesetz;

FinanzamtVersicherungsanstalten im Rahmen einer bestehenden

Gruppen- oder Einzelversicherungmit der Auszahlung an den Betroffenen oder an Dritte befasste Banken;

vom Dienstnehmer angegebene Gewerkschaft, mit Zustimmung des Betroffenen;

gesetzliche InteressensvertretungenBetriebsratsfonds gemäß § 73 Abs. 3 ArbVGBetriebsärztePensionskassenRechtsvertreterGerichteMitversicherteMitarbeitervorsorgekassen (MVK) gemäß § 11 Abs. 2 Z 5 und § 13 BMVGKunden und Interessenten des Auftraggebers[weitere Empfänger individuell ergänzen, z.B. von Ihnen eingesetzte Auftragsverarbeiter wie IT-Dienstleister (Provider) etc]

[z.B. USA]

.

b. Dokumentation der getroffenen geeigneten Garantien im Falle einer Übermittlung in Drittstaaten die nicht auf Art 45, 46, 47 oder 49 Abs 1 Unterabsatz 1 DSGVO erfolgt (vor allem wenn kein Angemessenheitsbeschluss der Europäischen Kommission vorliegt, keine Standardvertragsklauseln der Europäischen Kommission oder der nationalen Datenschutzbehörde verwendet werden oder genehmigte Zertifizierungsmechanismen in Anspruch genommen werden, keine Corporate binding rules zur Anwendung kommen (genehmigte verbindliche konzerninterne Datenschutzvorschriften), die Übermittlung nicht für Vertragserfüllungszwecke erforderlich ist oder keine ausdrückliche Einwilligung vorliegt):14




III. Detailangaben zu Kundenbetreuung und Marketing für eigene Zwecke


Lfd.Nr.

1 eigene Kunden, Interessenten, die an den Verantwortlichen selbst herangetreten sind;2 Kontaktperson beim Kunden oder Interessenten;3 Potentielle Interessente, deren Adressen zugekauft oder selbst ermittelt wurden,

2. Rechtsgrundlagen

Zur Vertragserfüllung erforderlich, Einwilligung, berechtigte Interessen des Verantwortlichen, bei bestehenden Kunden insbesondere § 107 TKG

3. Verträge, Zustimmungserklärungen oder sonstige Unterlagen (zB Erledigung der Informationspflichten) sind abgelegt: (freiwillig)

[siehe Fußnote oben – freiwillig zu befüllen, wie und sich gemäß Ihren konkreten innerbetrieblichen Abläufe die Daten und Unterlagen befinden, z.B. im Haus, beim Lohnverrechner, externer Provider etc]

4. Kategorien der verarbeiteten Daten

Kategorien der betroffenen Personengruppe aus Punkt 1 des C-Blattes

Datenkategorien

Besondere Datenkategorien iSd Art 9 DSGVO, strafrechtlich relevant iSd Art 10 DSGVO

Adr

essv

erla

ge u

nd

Dire

ktw

erbe

unte

rneh

men

gem

§ 1

51 G

ewO

19

94

Kon

zern

leitu

ng b

ei

gew

erbl

iche

n K

unde

n un

d G

roßk

unde

n

eigene Kunden; Name / BezeichnungNein

x x

Interessenten, die an den Verantwortlichen selbst herangetreten

sind

Anschrift Nein x x


Nein

Sperrkennzeichen für Werbeaktionen Nein

Untersagung der Übermittlung an Adressverlage

Nein

Berufs-, Branchen- und Geschäftsbezeichnung Nein x x

Geburtsdatum, wenn angegeben Nein x

Personenstand, wenn angegeben Nein

Nachfrageinteressen Nein

Kaufkraftklassifizierung Nein

Betreuungsdaten Nein

Kaufverhalten Nein x

Sonstiges Antwortverhalten zu Werbeaktivitäten

Nein

Bonus- und sonstige Vorteilsdaten Nein

Potentielle Interessenten, deren Adressen zugekauft oder selbst ermittelt wurden

Name /Bezeichnung NeinKontaktdaten (Anschrift, Telefonnummer, E-Mailadresse udgl)

Nein

Öffentlich zugängliche Daten, soweit diese für Werbezwecke relevant

Nein

Zugehörigkeit zu einer bestimmten Interessentenklasse

Nein

Antwortverhalten zu Werbeaktivitäten Nein

Kontaktperson beim Kunden oder Interessenten

Ordnungsnummer NeinName bzw Bezeichnung, Anrede/Geschlecht Nein

Zugehöriger Kunde oder Interessent (Bezeichnung und Anschrift)

Nein


Nein

Korrespondenzsprache NeinFunktion oder betreutes Aufgabengebiet beim Kunden oder Interessenten

Nein

Geburtstag, Personenstand und dgl., soweit die Verwendung vom Betroffenen für Zwecke der Kontaktpflege gestattet wird

Nein

Betreuungsdaten (wie: zugesandtes Werbematerial, Besuchsrythmus, etc.)

Nein

5. Löschungs- und Aufbewahrungsfristen (wenn möglich)

Datenverarbeitung Angabe bzw. Beschreibung der Löschungs- bzw. AufbewahrungsfristenKundenbetreuung und Marketing für eigene Zwecke

Die Daten dürfen bis zum Ablauf des dritten Jahres nach dem letzten Kontakt mit dem Verantwortlichen aufbewahrt werden.

6. Kategorien von Empfängern15, an die personenbezogene Daten offengelegt werden (inkl. Auftragsverarbeitung), speziell bei Empfängern in Drittländern14




Adressverlage gemäß § 151 GewOKonzernleitung bei gewerblichen Kunden und Großkunden

[weitere Empfänger individuell ergänzen, z.B. von Ihnen eingesetzte Auftragsverarbeiter wie IT-Dienstleister (Provider) etc]

[z.B. USA]

b. Dokumentation der getroffenen geeigneten Garantien im Falle einer Übermittlung in Drittstaaten die nicht auf Art 45, 46, 47 oder 49 Abs 1 Unterabsatz 1 DSGVO erfolgt (vor allem wenn kein Angemessenheitsbeschluss der Europäischen Kommission vorliegt, keine Standardvertragsklauseln der Europäischen Kommission oder der nationalen Datenschutzbehörde verwendet werden oder genehmigte

15 Es sind vor allem Übermittlungsempfänger („Dritte“) als auch Auftragsverarbeiter hier zu dokumentieren.

Zertifizierungsmechanismen in Anspruch genommen werden, keine Corporate binding rules zur Anwendung kommen (genehmigte verbindliche konzerninterne Datenschutzvorschriften), die Übermittlung nicht für Vertragserfüllungszwecke erforderlich ist oder keine ausdrückliche Einwilligung vorliegt):16




IV. Detailangaben zur [falls weitere Datenverarbeitungen im Unternehmen]

D. ALLGEMEINE BESCHREIBUNG DER TECHNISCH-ORGANISATORISCHEN MAẞNAHMEN

(HINWEIS: die hier angeführten Maßnahmen verstehen sich als beispielhafte Auflistung; es ist je nach Einzelfall und Risikobehaftung der Datenverarbeitung und tatsächlichen Gegebenheiten in Ihrem Unternehmen zu entscheiden, welche konkreten Maßnahmen von Ihnen zu treffen sind und welche im Einzelfall auch zumutbar sind)

a. Vertraulichkeit17:

i. Zutrittskontrolle: Schutz vor unbefugtem Zutritt zu Datenverarbeitungsanlagen, zB: Schlüssel, Magnet- oder Chipkarten, elektrische Türöffner, Portier, Sicherheitspersonal, Alarmanlagen, Videoanlagen; ii. Zugangskontrolle: Schutz vor unbefugter Systembenutzung, zB: Kennwörter (einschließlich entsprechender Policy), automatische Sperrmechanismen, Zwei-Faktor-Authentifizierung, Verschlüsselung von Datenträgern; iii. Zugriffskontrolle: Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems, zB: Protokollierung von Zugriffen; oder: Zugriff nur für Unternehmensinhaber, Mitarbeiter der Abteilung Rechnungswesen und Mitarbeiter, die an der Geschäftsabwicklung beteiligt sind

b. Integrität18:

i. Weitergabekontrolle: Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport, zB: Verschlüsselung, Virtual Private Networks (VPN), elektronische Signatur; ii. Eingabekontrolle: Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind, zB: Protokollierung, Dokumentenmanagement;

c. Verfügbarkeit und Belastbarkeit:

i. Verfügbarkeitskontrolle: Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust, zB: Backup-Strategie, Virenschutz, Firewall; 17 Verhinderung von (unbeabsichtigter) Offenlegung oder unbefugten Zugang zu personenbezogenen Daten.18 Verhinderung von (unbeabsichtigter) Zerstörung/Vernichtung, (unbeabsichtigter) Schädigung, (unbeabsichtigtem) Verlust, (unbeabsichtigter) Veränderung von personenbezogenen Daten.

d. Pseudonymisierung und Verschlüsselung:E. i. Pseudonymisierung: Sofern für die jeweilige Datenverarbeitung möglich, werden die primären Identifikationsmerkmale

der personenbezogenen Daten in der jeweiligen Datenanwendung entfernt, und gesondert aufbewahrt. F. ii. Verschlüsselung: sofern für die jeweilige Datenverarbeitung möglich, werden folgende Verschlüsselungstechnologien

eingesetzt: ….

e. Evaluierungsmaßnahmen: i. Datenschutz-Management (zB Risikoanalyse, Datenschutz-Folgenabschätzung), einschließlich regelmäßiger Mitarbeiter-Schulungen;

· Web viewEU-DATENSCHUTZ-GRUNDVERORDNUNG (DSGVO): MUSTER (Erweiterung der Wiener Fachgruppe der...

Documents

Transcript of · Web viewEU-DATENSCHUTZ-GRUNDVERORDNUNG (DSGVO): MUSTER (Erweiterung der Wiener Fachgruppe der...