From b9df879312c1087ebe53dd4454cf85859f5266df Mon Sep 17 00:00:00 2001 From: Peter Ludikovsky Date: Thu, 29 Mar 2018 16:21:23 +0200 Subject: [PATCH] Aktualisiert --- DSGVO.html | 58 +++++++--- DSGVO.md | 308 ++++++++++++++++++++++++++++++++--------------------- Makefile | 2 +- 3 files changed, 233 insertions(+), 135 deletions(-) diff --git a/DSGVO.html b/DSGVO.html index 28d6a5d..09186a6 100644 --- a/DSGVO.html +++ b/DSGVO.html @@ -3,9 +3,6 @@ - - - @@ -36,12 +33,19 @@

Inhalt

Was ist die DSGVO

@@ -74,7 +78,11 @@
  • Und diese direkt oder indirekt identifizierbar machen

    • Sensible Daten

    @@ -87,7 +95,10 @@ Beispiel: * Direkt: per Name + Geburtsdatum * Indirekt: im Unternehmen 15 Männe
  • Sobald signifikater Teil der Verarbeitung sensible Daten umfasst: Da­ten­schutzbe­auf­trag­ter Pflicht!

    • Verarbeitung

    @@ -100,7 +111,11 @@ Signifikant: Streitpunkt, wird erst noch von DSB geregelt Fotos: Im Mitarbeiterv
  • Jede Verarbeitung braucht einen Prozess, der im Verfahrensverzeichnis dokumentiert ist

    • Erfassung von personenbezogenen Daten

    @@ -121,15 +136,21 @@ Für Verarbeitung von Gehaltsdaten ist kein Zugriff auf Geschlecht oder Alter no
  • € 20 Mio.
  • Je nachdem was mehr ist!
    • -
  • Tatsächliche Strafe im Ermessen der Da­ten­schutzbehörde
    • +
  • Tatsächliche Strafe im Ermessen der Da­ten­schutzbehörde +

    • Verantwortlichkeiten & Haftungen

    • Auskunftspflicht an Da­ten­schutzbehörde
      • -
    • Meldepflicht entfällt
      • +
    • Meldepflicht für neue Anwendungen entfällt
    • Verarbeitungsverzeichnis ist Pflicht!
    +

    Rechte und Pflichten

    Rechte und Pflichten

    @@ -137,7 +158,10 @@ Für Verarbeitung von Gehaltsdaten ist kein Zugriff auf Geschlecht oder Alter no
  • Recht auf Auskunft: jede Person kann jederzeit über jede Kontaktmöglichkeit Auskunft über ihre verarbeitete Daten verlangen
    • Innerhalb von 4 Wochen ab Eingang zu erledigen
      • -
    • In komplexen Fällen um 2 Monate verlängerbar, ist zu begründen
      • +
    • In komplexen Fällen um 2 Monate verlängerbar, ist zu begründen +
    • @@ -151,7 +175,8 @@ Für Verarbeitung von Gehaltsdaten ist kein Zugriff auf Geschlecht oder Alter no

    Rechte und Pflichten

    @@ -159,7 +184,10 @@ Rechnungsdaten z.B. 7 Jahre aufzuheben Alles andere ist zu löschen!
  • Recht auf Übertragung: jede Person kann jederzeit über jede Kontaktmöglichkeit die Ausfertigung ihrer Daten in einem maschinenlesbaren Format verlangen, zur Übertragung an ein anderes Unternehmen
    • Innerhalb von 4 Wochen ab Eingang zu erledigen
      • -
    • In komplexen Fällen um 2 Monate verlängerbar, ist zu begründen
      • +
    • In komplexen Fällen um 2 Monate verlängerbar, ist zu begründen +
    • diff --git a/DSGVO.md b/DSGVO.md index 0702f9c..5ae2e4c 100644 --- a/DSGVO.md +++ b/DSGVO.md @@ -1,162 +1,232 @@ ---- -author: Jan Fritz, Peter Ludikovsky, Tomasz Kijas -date: 2018-03-25 -keywords: Datenschutz, DSGVO, Daten, Persönliche Daten, Sensible Daten -... -# Da­ten­schutz - Grund­ver­ord­nung +[Da­ten­schutz - Grund­ver­ord­nung]{style="font-size: 95%"} +============================================================ -## Bedeutung für kleine Unternehmen +Bedeutung für kleine Unternehmen +-------------------------------- -## Inhalt +Inhalt +------ -* Was ist die DSGVO -* Verantwortlichkeiten & Haftungen -* Personenbezogene Daten -* Sensible Daten -* Verarbeitungsverzeichnis -* Da­ten­schutzbe­auf­trag­ter -* Fragen & Antworten +- Was ist die DSGVO +- Definitionen + - Personenbezogene / Sensible Daten +- Verarbeitung + - Umgang mit und Erfassung von personenbezogenen Daten + - Verantwortlichkeiten & Haftungen +- Rechte und Pflichten +- Verarbeitungsverzeichnis +- Datenschutzbeauftragter +- Fragen? -## Was ist die DSGVO +Was ist die DSGVO +----------------- -* Rechtlich Bindende Verordnung der EU -* Als Verordnung direkt in allen EU-Staaten rechtlich bindend -* Gültig ab 24. Mai 2016 -* Bindend ab 25. Mai 2018 -* Regelt die Prozesse, Verantwortungen & Strafen bei der Verarbeitung von personenbezogenen Daten -* Ersetzt die DSG2000 -* Verschärfte Haftung bei Verstößen und Fahrlässigkeiten +- Rechtlich Bindende Verordnung der EU +- Als Verordnung direkt in allen EU-Staaten rechtlich bindend +- Gültig ab 24. Mai 2016 +- Bindend ab 25. Mai 2018 +- Regelt die Prozesse, Verantwortungen & Strafen bei der Verarbeitung + von personenbezogenen Daten +- Ersetzt die DSG2000 +- Verschärfte Haftung bei Verstößen und Fahrlässigkeiten +Definitionen +============ -# Definitionen +Personenbezogene Daten +---------------------- -## Personenbezogene Daten - -* Alle Informationen die sich auf eine natürliche Person beziehen - * Name, Geburtsdatum, Geschlecht, Haarfarbe, Finanzinformationen, E-Mail, … -* Und diese direkt oder indirekt identifizierbar machen +- Alle Informationen die sich auf eine natürliche Person beziehen + - Name, Geburtsdatum, Geschlecht, Haarfarbe, Finanzinformationen, + E-Mail, … +- Und diese direkt oder indirekt identifizierbar machen -## Sensible Daten -* Personenbezogene Daten, deren bekannt werden einen potentiellen Nachteil mit sich bringen können - * Sexuelle Identität, Religiosität, politische Meinung, Gewerkschaftszugehörigkeit, Gesundheitsdaten, Fotos und Videos, … -* Gesundheitsdaten bedeuten auch Krankenstandsmeldung! -* Sobald signifikater Teil der Verarbeitung sensible Daten umfasst: Da­ten­schutzbe­auf­trag­ter Pflicht! +- Direkt: per Name + Geburtsdatum +- Indirekt: im Unternehmen 15 Männer, 2 Frauen, im Fragebogen M/W zur + Auswahl + + +Sensible Daten +-------------- + +- Personenbezogene Daten, deren bekannt werden einen potentiellen + Nachteil mit sich bringen können + - Sexuelle Identität, Religiosität, politische Meinung, + Gewerkschaftszugehörigkeit, Gesundheitsdaten, Fotos und Videos, + … +- Gesundheitsdaten bedeuten auch Krankenstandsmeldung! +- Sobald signifikater Teil der Verarbeitung sensible Daten umfasst: + Da­ten­schutzbe­auf­trag­ter Pflicht! +Verarbeitung +============ -# Verarbeitung -## Umgang mit personenbezogenen Daten +Umgang mit personenbezogenen Daten +---------------------------------- -* Zugriff darf nur bestimmten Personen gestattet sein -* Nur im Rahmen der Tätigkeit wenn begründet -* Keine Daten ausserhalb des unbedingt benötigten -* Absicherung nach Stand der Technik -* Jede Verarbeitung braucht einen Prozess, der im Verfahrensverzeichnis dokumentiert ist +- Zugriff darf nur bestimmten Personen gestattet sein +- Nur im Rahmen der Tätigkeit wenn begründet +- Keine Daten ausserhalb des unbedingt benötigten +- Absicherung nach Stand der Technik +- Jede Verarbeitung braucht einen Prozess, der im + Verfahrensverzeichnis dokumentiert ist -## Erfassung von personenbezogenen Daten +Erfassung von personenbezogenen Daten +------------------------------------- -* Opt-In: nur erfassen, wenn Person dem zustimmt -* Informiertes Einverständnis: Person muss informiert werden, welche Daten zu welchem Zweck erfasst werden -* Minimale Erfassung: Anwendungen dürfen nur das unbedingt notwendige erfassen. +- Opt-In: nur erfassen, wenn Person dem zustimmt +- Informiertes Einverständnis: Person muss informiert werden, welche + Daten zu welchem Zweck erfasst werden +- Minimale Erfassung: Anwendungen dürfen nur das unbedingt notwendige + erfassen. -## Verantwortlichkeiten & Haftungen +Verantwortlichkeiten & Haftungen +-------------------------------- -* Hauptverantwortlich: Geschäftsführer -* Kann Umsetzung delegieren -* Haftung kann nicht komplett abgegeben werden -* Strafen - * 4% des Jahresumsatzes des Unternehmens - * € 20 Mio. - * Je nachdem was mehr ist! -* Tatsächliche Strafe im Ermessen der Da­ten­schutzbehörde +- Hauptverantwortlich: Geschäftsführer +- Kann Umsetzung delegieren +- Haftung kann nicht komplett abgegeben werden +- Strafen + - 4% des Jahresumsatzes des Unternehmens + - € 20 Mio. + - Je nachdem was mehr ist! +- Tatsächliche Strafe im Ermessen der Da­ten­schutzbehörde + -## Verantwortlichkeiten & Haftungen +Verantwortlichkeiten & Haftungen +-------------------------------- -* Auskunftspflicht an Da­ten­schutzbehörde -* Meldepflicht entfällt -* Verarbeitungsverzeichnis ist Pflicht! - -# Rechte und Pflichten - -## Rechte und Pflichten - -* Recht auf Auskunft: jede Person kann jederzeit über jede Kontaktmöglichkeit Auskunft über ihre verarbeitete Daten verlangen - * Innerhalb von 4 Wochen ab Eingang zu erledigen - * In komplexen Fällen um 2 Monate verlängerbar, ist zu begründen - -## Rechte und Pflichten - -* Recht auf Vergessen / Löschung: jede Person kann jederzeit über jede Kontaktmöglichkeit die Löschung ihrer Daten verlangen - * Innerhalb von 4 Wochen ab Eingang zu erledigen - * In komplexen Fällen um 2 Monate verlängerbar, ist zu begründen - * Ausnahme: Löschung aus rechtlichen Gründen nicht möglich +- Auskunftspflicht an Da­ten­schutzbehörde +- Meldepflicht für neue Anwendungen entfällt +- Verarbeitungsverzeichnis ist Pflicht! +Rechte und Pflichten +==================== -## Rechte und Pflichten +Rechte und Pflichten +-------------------- -* Recht auf Übertragung: jede Person kann jederzeit über jede Kontaktmöglichkeit die Ausfertigung ihrer Daten in einem maschinenlesbaren Format verlangen, zur Übertragung an ein anderes Unternehmen - * Innerhalb von 4 Wochen ab Eingang zu erledigen - * In komplexen Fällen um 2 Monate verlängerbar, ist zu begründen +- Recht auf Auskunft: jede Person kann jederzeit über jede + Kontaktmöglichkeit Auskunft über ihre verarbeitete Daten verlangen + - Innerhalb von 4 Wochen ab Eingang zu erledigen + - In komplexen Fällen um 2 Monate verlängerbar, ist zu begründen + -## Rechte und Pflichten +Rechte und Pflichten +-------------------- -* Informationspflicht: - * bei Datenverlusten (Datendiebstahl) ist innerhalb von 72h ab bekannt werden die Da­ten­schutzbehörde zu informieren - * bei sensiblen Daten auch die betroffenen Personen - -# Verarbeitungsverzeichnis - -## Verarbeitungsverzeichnis - -* Aufzeichnung aller Verarbeitungsvorgänge -* Nicht unter 250 Mitarbeitern -* Ausnahme - * Rechte oder Freiheiten der betroffenen Personen gefährdet - * Wenn Daten nicht nur gelegentlich verarbeitet werden -* Im Zweifel ist es besser eines zu führen +- Recht auf Vergessen / Löschung: jede Person kann jederzeit über jede + Kontaktmöglichkeit die Löschung ihrer Daten verlangen + - Innerhalb von 4 Wochen ab Eingang zu erledigen + - In komplexen Fällen um 2 Monate verlängerbar, ist zu begründen + - Ausnahme: Löschung aus rechtlichen Gründen nicht möglich +Rechte und Pflichten +-------------------- -## Verarbeitungsverzeichnis +- Recht auf Übertragung: jede Person kann jederzeit über jede + Kontaktmöglichkeit die Ausfertigung ihrer Daten in einem + maschinenlesbaren Format verlangen, zur Übertragung an ein anderes + Unternehmen + - Innerhalb von 4 Wochen ab Eingang zu erledigen + - In komplexen Fällen um 2 Monate verlängerbar, ist zu begründen + - +Rechte und Pflichten +-------------------- -# Da­ten­schutzbe­auf­trag­ter +- Informationspflicht: + - bei Datenverlusten (Datendiebstahl) ist innerhalb von 72h ab + bekannt werden die Da­ten­schutzbehörde zu informieren + - bei sensiblen Daten auch die betroffenen Personen -## Da­ten­schutzbe­auf­trag­ter +Verarbeitungsverzeichnis +======================== -* Pflicht für Firmen mit >250 MA *oder* -* 10 MA hauptsächlich mit der Verarbeitung beschäftigt sind *oder* -* Hauptsächtlich sensible Daten verarbeitet werden -* Aufgaben: - * Führung des Verarbeitungsverzeichnisses - * Kontrolle und Dokumentation der Verarbeitungsprozesse, schon bei der Konzeption +Verarbeitungsverzeichnis +------------------------ -# Fragen? +- Aufzeichnung aller Verarbeitungsvorgänge +- Nicht unter 250 Mitarbeitern +- Ausnahme + - Rechte oder Freiheiten der betroffenen Personen gefährdet + - Wenn Daten nicht nur gelegentlich verarbeitet werden +- Im Zweifel ist es besser eines zu führen + + +Verarbeitungsverzeichnis +------------------------ + + +Da­ten­schutzbe­auf­trag­ter +============================ + +Da­ten­schutzbe­auf­trag­ter +---------------------------- + +- Pflicht für Firmen mit >250 MA *oder* +- 10 MA hauptsächlich mit der Verarbeitung beschäftigt sind *oder* +- Hauptsächtlich sensible Daten verarbeitet werden +- Aufgaben: + - Führung des Verarbeitungsverzeichnisses + - Kontrolle und Dokumentation der Verarbeitungsprozesse, schon bei + der Konzeption + +Fragen? +======= diff --git a/Makefile b/Makefile index c89805b..5dc8854 100644 --- a/Makefile +++ b/Makefile @@ -1,6 +1,6 @@ all: DSGVO.html -DSGVO.html: +DSGVO.html: DSGVO.md pandoc -t revealjs --standalone --smart --slide-level=2 \ -V 'revealjs-url:https://cdn.jsdelivr.net/npm/reveal.js@3/' \ -o DSGVO.html DSGVO.md