Kategorie: Digitales Recht

Im Verarbeitungsverzeichnis ist lediglich die vorgesehene Frist für die Löschung zu protokollieren. Jeder einzelne Löschvorgang muss nicht verzeichnet werden. Das österreichische Datenschutzgesetz hat für den Fall, dass die Löschung aus Backups aus wirtschaftlichen oder technischen Gründen nicht unverzüglich erfolgen kann, festgelegt, dass die Löschung auch zu einem späteren Zeitpunkt vorgenommen werden kann. Die Verarbeitung der …

Wie protokolliere ich die Löschung eines konkreten Empfängers aus einem Newsletterverteiler, ohne die Daten in der Protokollierung zu nennen (dort zu speichern)? Und was ist mit Sicherungsbackups, in denen die Daten (noch lange) enthalten sein werden? Read More »

Im Verarbeitungsverzeichnis sind nicht alle Datenquellen aufzuzeichnen, allerdings muss im Rahmen der Informationspflichten bzw beim Auskunftsersuchen über die Herkunft der Daten Bescheid gegeben werden können.

Hierbei sind mehrere Punkte zu beachten: Die DSGVO findet auch auf die analoge Verarbeitung personenbezogener Daten Anwendung, wenn diese einer Ordnung unterliegen. Wenn die Kundenkarten daher beispielsweise alphabetisch, geographisch oder nach dem Datum des erstmaligen Kontaktes geordnet sind, unterliegen sie der DSGVO. Lediglich Akten in Papierform, die nicht nach bestimmten Kriterien geordnet werden, unterliegen nicht …

Ich notiere Gesundheitsdaten, Namen, Adressen und Telefonnummer von Patienten schriftlich auf Papier, nur die Buchhaltung und Rechnungen laufen über den PC. Wie soll das Datenverarbeitungsverzeichnis aussehen? Read More »

Im Verarbeitungsverzeichnis sind unter anderem die Kategorien von Empfängern (Auftragsverarbeiter, andere Verantwortliche, sonstige Empfänger) anzugeben. Der Steuerberater wäre daher unter diesem Punkt anzugeben. Das Verarbeitungsverzeichnis soll einen allgemeinen Überblick über die im Unternehmen vorhandenen Datenverarbeitungen bieten. Jeder Unternehmer sollte sich zuerst überlegen, zu welchen Zwecken er Daten verarbeitet. Anschließend sollten für jeden Zweck die Kategorien …

Datenverarbeitungsverzeichnis und die Weitergabe von Daten an Steuerberater/Rechtsanwalt (Buchhaltung, Steuerabwicklung, etc) Read More »

Grundsätzlich muss zumindest pro Verantwortlichen ein eigenes Stammblatt geführt werden. Es gibt Meinungen in der Literatur, die bei Auftragsverarbeitern im Massengeschäft (Cloud Service-Provider, Hosting-Anbieter, Software-as-a-Service-Plattformen) an dieser Stelle die Angaben auf die bloße Kategorie von Verantwortlichen beschränken, um das Verzeichnis handhabbar zu erhalten. Sofern eine Anfrage der Aufsichtsbehörde nach dem Verzeichnis der Verarbeitungstätigkeit eingeht, sollte dieser Punkt …

Muss ich als Auftragsverbeiter (IT-Dienstleister) pro Kunde ein Verfahrensverzeichnis führen oder reicht eines, wo ich die Datenzwecke, -kategorien, -typen allgemein erfasse? Read More »

Nein, das Verarbeitungsverzeichnis ist ein bloß „internes“ Dokument, das lediglich der Datenschutzbehörde vorgewiesen werden muss, wenn diese danach fragt.

Das Verarbeitungsverzeichnis ist schriftlich zu führen. Die DSGVO lässt auch ein elektronisches Verarbeitungsverzeichnis zu. Abgesehen davon sind in der DSGVO keine Formvorschriften über Verarbeitungsverzeichnisse enthalten. Sie können dieses also in einem Word- oder Exceldokument oder sogar handschriftlich verfassen.

Nein. Aufgrund des Territorialitätsprinzips gilt für Unternehmen, die eine Niederlassung in Österreich haben das österreichische Datenschutzgesetz sowie die DSGVO. Ein Verarbeitungsverzeichnis muss in Ihrem Fall nur am Ort Ihrer Niederlassung – also in Österreich – geführt werden.

Im Verarbeitungsverzeichnis sind der Zweck der Verarbeitung, die Kategorien der betroffenen Personen und die Kategorien der personenbezogenen Daten, die Kategorien von Empfängern, gegebenenfalls die Übermittlung von personenbezogenen Daten an ein Drittland, die vorgesehene Speicherdauer sowie eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen zur Sicherheit der Datenverarbeitung anzugeben. Es ist jedoch weder anzugeben, wo die …

Wie funktioniert die Dokumentationspflicht im Verarbeitungsverzeichnis in Bezug auf elektronisch erfasste Dokumente (Geschäftsbriefe, Protokolle, etc.), die Texte und Daten beliebiger Art enthalten können? Read More »

Nein, es ist nicht jede einzelne tatsächlich durchgeführte Datenverarbeitung anzugeben. Das Verarbeitungsverzeichnis dient lediglich als Überblick über die im Unternehmen vorhandenen Datenverarbeitungen.

Der genaue Vorgang ist nicht im Verarbeitungsverzeichnis anzugeben. Im Verarbeitungsverzeichnis müssen jedoch unter anderem die Kategorien von Empfängern (Auftragsverarbeiter und sonstige Empfänger der Daten) genannt werden. Hierbei dient Outlook als Auftragsverarbeiter (es verarbeitet die personenbezogenen Daten in Ihrem Auftrag). Dies ist im Verarbeitungsverzeichnis anzuführen.

Sollte sich in der Datenverarbeitung in Ihrem Unternehmen nichts ändern – beispielsweise keine neuen Datenverarbeitungen, Datenkategorien oder Empfänger hinzukommen -, so muss das Verarbeitungsverzeichnis nur einmal erstellt werden. Sobald sich hinsichtlich der im Unternehmen vorhandenen Datenverarbeitungen etwas ändert, ist das Verarbeitungsverzeichnis zu aktualisieren.

Ja, denn auch die personenbezogenen Daten von Mitarbeitern werden durch die DSGVO geschützt. Darüber hinaus werden nach der derzeitigen Rechtslage in Österreich auch juristische Personen durch die DSGVO geschützt. Diese Situation ist nicht gewollt, allerdings aufgrund einer fehlenden Zweidrittelmehrheit im Nationalrat entstanden. Es bleibt abzuwarten, ob dieser Punkt bis zum 25. Mai 2018 bereinigt werden …

Die einzigen personenbezogenen Daten sind die der Mitarbeiter. Müssen wir trotzdem ein Verarbeitungsverzeichnis erstellen? Read More »

Diese Datenverarbeitung ist im Verarbeitungsverzeichnis anzuführen. Hierbei sind der Zweck der Verarbeitung, die Kategorien der betroffenen Personen und die Kategorien der personenbezogenen Daten, die Kategorien von Empfängern, gegebenenfalls die Übermittlung von personenbezogenen Daten an ein Drittland, die vorgesehene Speicherdauer sowie eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen zur Sicherheit der Datenverarbeitung anzugeben.

Grundsätzlich ist jedes Unternehmen verpflichtet ein eigenes Verarbeitungsverzeichnis zu führen. Sind die Datenverarbeitungen jedoch in den Unternehmen zum Teil ident, kann man diese natürlich einmal formulieren und für die anderen Verarbeitungsverzeichnisse übernehmen.

Ja, jedes Unternehmen kann für unterschiedliche personenbezogene Daten gleichzeitig Verantwortlicher und Auftragsverarbeiter sein. Ich bin beispielsweise als IT-Dienstleister Verantwortlicher im Sinne der DSGVO für die personenbezogenen Daten meiner eigenen Kunden/Auftraggeber. Programmiere ich einen Webshop und habe zur Wartung Zugriff auf die Bestelldaten, so verarbeite ich für meinen Kunden personenbezogene Daten seiner Kunden. Im Hinblick auf …

15. Müssen in einem EPU beide Verarbeitungsverzeichnisse (für Verantwortliche + Auftragsverarbeiter) von derselben Person geführt werden? Read More »

Nein, auch der Auftragsverarbeiter muss ein Verzeichnis führen. Dieses unterscheidet sich jedoch im Umfang vom Verarbeitungsverzeichnis des Verantwortlichen, da der Auftragsverarbeiter naturgemäß nicht alle Informationen über die Datenverarbeitung besitzt.

Nein! Das Verarbeitungsverzeichnis soll lediglich einen Überblick über die im Unternehmen vorhandenen Datenverarbeitungen bieten. Hierbei ist es nicht notwendig, dass der genaue Ort der Datenspeicherung angeführt wird. Sie können das natürlich machen um die Daten im Einzelfall schneller auffinden zu können.

Es ist nicht erforderlich, dass tatsächlich jeder einzelne Datensatz in das Verarbeitungsverzeichnis eingetragen wird. Dieses soll keine Datenbank mit allen im Unternehmen vorhandenen Daten darstellen, sondern der Datenschutzbehörde einen Überblick über die im Unternehmen vorhandenen Datenverarbeitungen bieten. Aus diesem Grund enthält das Verfahrensverzeichnis auch nur die Kategorien der personenbezogenen Daten (nicht „Max Mustermann, 01.01.1980,…“, sondern …

Muss ich als Personaler jeden Bewerber in das Verarbeitungsverzeichnis schreiben? Read More »

Es ist nicht erforderlich, dass tatsächlich jeder einzelne Datensatz in das Verarbeitungsverzeichnis eingetragen wird. Dieses soll keine Datenbank mit allen im Unternehmen vorhandenen Daten darstellen, sondern der Datenschutzbehörde einen Überblick über die im Unternehmen vorhandenen Datenverarbeitungen bieten. Aus diesem Grund enthält das Verfahrensverzeichnis auch nur die Kategorien der personenbezogenen Daten (nicht „Max Mustermann, 01.01.1980,…“, sondern …

9. Wie protokolliert man alle Daten im Verarbeitungsverzeichnis? Read More »