Verarbeitungsverzeichnis

Verzeichnis von Verarbeitungstätigkeiten des Verantwortlichen (Art. 30 DSGVO)

Angaben zum Verantwortlichen (Art. 30 Abs. 1 lit. a DSGVO):

Verantwortlicher:

Andere Baustelle Ulm e.V.

Einrichtung der Jugendberufshilfe

Schillerstrasse 1/7

89077 Ulm

Gesetzliche Vertreter:

Petra Schuhmann

Datenschutzbeauftragter:

Martin Hanak

Keplerstraße 12

73054 Eislingen (Deutschland)

info@hanak-datenschutz.de

 

 


Übersicht der Verarbeitungstätigkeiten

Betreuung von Teilnehmern. 3

Betrieb der Firmenwebseite. 9

Bewerbermanagement 14

Lieferantenmanagement 19

Mitgliederverwaltung. 25

Parkplatzverwaltung im Auftrag der Stadt Ulm.. 31

Personalmanagement 37

Schreinerdienstleistung. 42

Spenden und Sponsoring. 47

Anhang. 52

Schutzbedarfsfeststellung. 52

Risikobewertung. 54

 


 

Betreuung von Teilnehmern

1.    Verantwortliche Organisationseinheit:

Geschäftsführung

2.    Fachverantwortlicher:

Petra Schuhmann, E-Mail: schuhmann@ab-ulm.de, Tel.:  0731 – 140057-16

3.    Zwecke der Verarbeitungstätigkeit:

Zweck der Datenverarbeitung ist ein Ausbildungs- oder Förder- oder sonstiges Unterstützungsverhältnis zwischen der Anderen Baustelle Ulm e.V. und den Betroffenen (Teilnehmern). Dies kann bspw. die Unterstützung im Bereich der schulischen Ausbildung, Betreuung im Lebensumfeld, Sicherung der Grundbedürfnisse und persönliche Entwicklung, die Begleitung und Unterstützung bei Behördengängen, Unterstützung bei der Klärung familiärer Probleme, die Vermittlung von Praktika und Einführung in den Arbeitsmarkt, Unterstützung bei laufenden Strafverfahren oder die Integrationsunterstützung von Flüchtlingen sein. Zu diesem Zweck ist es zudem erforderlich, die Daten an die finanzierenden behördlichen Auftraggeber zu übermitteln. Die Verarbeitung und Weiterleitung der Daten erfolgt auf Basis einer Einwilligung, die vom jeweiligen Auftraggeber zur Verfügung gestellt wird.

4.    Kategorien personenbezogener Daten:

Der Umfang der verarbeiteten Datenarten ist abhängig von der Art der Unterstützung. Folgende Datenarten können erfasst und verarbeitet werden:

·        Name

·        Kontaktdaten

·        Geburtsort, und -datum

·        Daten zur Krankenversicherung

·        Daten zur beruflichen Situation

·        gesundheitliche Situation

·        familiäre Situation

·        Schulbildung

·        Lebenslaufdaten

·        Daten zu Straftaten

·        Wünsche und Ziele für die weitere Entwicklung

·        aktuelle Problemstellung

·        Zielvereinbarungen

·        Staatsangehörigkeit

·        Geschlecht

·        Kontaktdaten zugehöriger amtlicher Ansprechpartner

·        Kontaktdaten zuständiger Ärzte

·        Anwesenheitszeiten

·        Betreuungsverlauf

·        besondere Vorkommnisse

·        gerichtliche Auflagen und Weisungen

 

5.    Kategorien betroffener Personen:

Von der Verarbeitung betroffene Personen sind die Teilnehmer der Anderen Baustelle Ulm e.V.

6.    Kategorien von Empfängern:

Die Daten werden im Rahmen der Zweckbestimmung unter Beachtung der jeweiligen datenschutz-rechtlichen Regelungen bzw. etwaiger vorliegender Einwilligungserklärungen erhoben und ggf. an andere Empfänger und Dritte übermittelt. Als solche kommen insbesondere in Betracht: 

Empfänger intern:

  • Geschäftsführung
  • Verwaltung
  • CaseManager
  • Betreuungspersonal

Empfänger extern: 

·        Auftraggeber (bspw. Stadt Ulm und/oder ESF) und sonstige involvierte Behörden (Gerichte, Jugendamt, Jugendgerichtshilfe, Bewährungshilfe etc.)

·        Für ein Beschäftigungsverhältnis erforderliche Daten (i.d.R. Name und Kontaktdaten) werden bei der Praktikumsvermittlung dem Praktikums-betrieb übermittelt.

  • Auftragsverarbeiter im Sinne der DSGVO

Externe Datenverarbeiter können beispielsweise solche in den Bereichen Wartung und Pflege der EDV-Systeme oder der Unternehmens-Webseite sein. Diese sind in der Regel Auftragsverarbeiter im Sinne von Art. 4 Nr. 10 DSGVO, so dass die Verarbeitung der Daten durch sie keine Übermittlung im Sinne von Art. 4 Nr. 2 DSGVO darstellt. 

6.1        Auftragnehmer (Auftragsverarbeiter):

·        Stefan Mende (Schweinfurth)

 

7.    Zugriffsberechtigte:

Zugriffsberechtigt auf die verarbeiteten personenbezogenen Daten seitens der der Anderen Baustelle Ulm e.V. sind ausschließlich die Geschäftsführung, der CaseManager, das entsprechende Betreuungspersonal und die Verwaltung.

8.    Rechtsgrundlage der Verarbeitungstätigkeit:

Die Verarbeitung ist für die Erfüllung eines Vertrags oder einer vorvertraglichen Maßnahme gem. Art. 6 Abs. 1 lit. b DSGVO erforderlich.

Daneben erfolgen die Verarbeitungen auch in den Fällen, in denen wir vom Betroffenen eine Einwilligung erhalten haben wie bspw. zur Übermittlung der Daten an den Auftraggeber (z.B. Europäischer Sozialfond). Eine Einwilligung gem. Art. 6 Abs. 1 lit. a DSGVO liegt vor. Die Anforderungen an die Einwilligung gem. Art. 7 Abs. 1-4 DSGVO sowie insbesondere für Kinder gem. Art. 8 DSGVO werden erfüllt.

9.        Bereitstellung der Daten:

Die Erhebung und Verarbeitung der Daten ist für die Teilnahme an unseren Unterstützungsprogrammen erforderlich. Ohne Die Bereitstellung der Daten kann ein Teilnahmevertrag nicht abgeschlossen werden.

Eine sonstige Verpflichtung zur Bereitstellung der Daten besteht in der Regel nicht.

10.    Quelle der Daten

Wir erheben personenbezogene Daten grundsätzlich im direkten Kontakt.

Die Daten werden bei der betroffenen Person im Rahmen des persönlichen Erstgesprächs und während der folgenden Betreuung direkt erhoben.

11.    10. Einwilligung:

Einwilligungen werden von den behördlichen Auftraggebern bereitgestellt und in deren Auftrag eingeholt.

Zudem wird in bestimmten Fällen eine Einwilligung zur Schweigepflichtsentbindung eingeholt, sofern dies für die Betreuung erforderlich ist.

12.    Informationspflichten:

Informiert gem. Art 13 DSGVO wird schriftlich als Anhang zum Vertrag oder im Rahmen des Erstgesprächs, sofern kein schriftlicher Vertrag geschlossen wird.

13.    Datenübermittlungen in Drittländer oder internationale Organisationen:

Die personenbezogenen Daten werden innerhalb Deutschlands, der EU oder des Europäischen Wirtschaftsraumes verarbeitet. In allen diesen Ländern besteht aufgrund der EU Datenschutz-Grundverordnung ein einheitlich hohes Datenschutzniveau, wonach Ihre Daten umfangreich geschützt sind.

Es findet keine geplante Übermittlung in Drittstaaten statt.

14.    Fristen für die Löschung der Datenkategorien:

Die Daten des Betroffenen werden nach Ende der vereinbarten Betreuungsmaßnahme gelöscht. Die Betreuungsphase und somit auch die Aufbewahrungsfrist endet i.d.R. mit Erreichen des 27. Lebensjahres. Die Löschung erfolgt innerhalb eines Monats nach Ablauf der Frist. Sofern ein Widerspruch gegen die Verarbeitung der Daten im Zusammenhang mit vorzeitiger Beendigung der Betreuung erfolgt, findet die Löschung vorzeitig statt.

15.    Eingesetzte Anwendungen:

·        Microsoft Outlook

·        Microsoft Office

 

16.    Risikoanalyse:

16.1     Schwellenwertanalyse (nach G29)

Findet eine Bewertung oder Einstufung betroffener Personen statt?

nein

Findet eine automatisierte Entscheidungsfindung mit Rechtswirkung oder ähnlich bedeutsamer Wirkung statt?

nein

Findet eine systematische Überwachung statt?

nein

Werden Daten verarbeitet, die vertraulich sind oder sich auf den höchstpersönlichen Lebensbereich der betroffenen Personen beziehen?

ja

Werden Daten in großem Umfang verarbeitet?

nein

Werden Daten verarbeitet, die in besonderer Weise zu Identitätsdiebstahl bzw. Identitätsbetrug genutzt werden können?

nein

Werden Daten verarbeitet, die zum Abgleichen oder Zusammenführen von Datensätzen genutzt werden können?

nein

Werden Daten verarbeitet, deren mangelnder Schutz finanzielle Risiken oder erhebliche wirtschaftliche Nachteile für die betroffenen Personen birgt?

nein

Werden Daten von Schutzbedürftigen verarbeitet?

ja

Findet eine innovative Nutzung oder Anwendung neuer technologischer oder organisatorischer Lösungen statt?

nein

Birgt die Verarbeitung die Gefahr, dass die betroffenen Personen an der Ausübung eines Rechts oder der Nutzung einer Dienstleistung bzw. Durchführung eines Vertrags gehindert werden?

nein

Je mehr eine Verarbeitung diese Kriterien erfüllt, desto verpflichtender hält die G29* eine Folgenabschätzung. Die Gruppe schlägt vor, dass eine Risikobewertung notwendig ist, sobald eine Verarbeitung zwei oder mehr Punkte erfüllt.

Es muss eine DSFA durchgeführt werden.

* Die G29 ist ein unabhängiges Beratungsgremium der Europäischen Kommission. Seine Aufgabe ist es, Informationen, Empfehlungen und Stellungnahmen zu Themen auszuarbeiten, die in puncto Datenschutz bei der Verarbeitung personenbezogener Daten in der Europäischen Gemeinschaft relevant sind.

16.2     Schutzbedarfsfeststellung:

Vertraulichkeit: hoch

Begründung: Aufgrund der Sensibilität (Gesundheitsdaten, Daten zu Straftaten, etc.) handelt es sich um personenbezogene Daten, bei deren Verarbeitung der Betroffene in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen erheblich beeinträchtigt werden kann. Die Beeinträchtigung würde von einzelnen Betroffenen als nicht tolerabel eingeschätzt werden. Zudem muss davon ausgegangen werden, dass für den Betroffenen eine Ansehens- oder Vertrauensbeeinträchtigung ist zu erwarten ist.

Integrität: hoch

Begründung: Eine Beeinträchtigung der persönlichen Unversehrtheit kann nicht ausgeschlossen werden. Falsche Daten können zudem zu Beeinträchtigungen in der Betreuung führen, die von einzelnen Betroffenen als nicht tolerabel eingeschätzt wird.

Verfügbarkeit: hoch

Begründung: Die maximale tolerierbare Ausfallzeit liegt zwischen einer und 24 Stunden

Die Bewertungskriterien für die Schutzbedarfsfeststellung sind in Anhang Schutzbedarfsfeststellung aufgeführt.

16.3     Risikobewertung:

Das Risiko für diese Verarbeitungstätigkeit wurde als nicht hoch bewertet.

Als ausschlaggebend für diese Bewertung ist die ungünstigste Bewertung der Einzelrisiken aus den Bereichen Vertraulichkeit, Integrität und Verfügbarkeit. Diese wurden in Schweregrad und Eintrittswahrscheinlichkeit bewertet. Es wird von einem hohen Risiko ausgegangen, wenn beide Bewertungen mindestens als substanziell eingestuft wurden.

 

Schweregrad des Risikos

Eintrittswahrscheinlichkeit

Vertraulichkeit

substanziell

Grund:

überschaubar

Grund:

 

Integrität

substanziell

Grund:

überschaubar

Grund:

Verfügbarkeit

geringfügig

Grund:

überschaubar

Grund:

 

 

Die Bewertungskriterien für die Risikobewertung sind in Anhang Risikobewertung aufgeführt.

 

 

Die Risikobewertung dient zur Feststellung der Erforderlichkeit einer Datenschutz-Folgenabschätzung. Darüber hinaus ist es erforderlich das Risiko der Verarbeitungstätigkeit zu kennen, um mögliche und eintretende Datenschutzverstöße bzgl. Meldepflicht und Informationspflicht bewerten zu können.

16.4     Fazit

Es ist bei dieser Verarbeitungstätigkeit von keinem hohen Risiko auszugehen.

Es muss eine DSFA durchgeführt werden.


Betrieb der Firmenwebseite

1.    Verantwortliche Organisationseinheit:

Geschäftsführung

2.    Fachverantwortlicher:

Petra Schuhmann, E-Mail: schuhmann@ab-ulm.de, Tel.:  0731 – 140057-16

3.    Zwecke der Verarbeitungstätigkeit:

Zweck der Datenverarbeitung ist die Veröffentlichung der Vereinskontaktdaten sowie die Außendarstellung des Vereins im Internet.

4.    Kategorien personenbezogener Daten:

·        Internetnutzungsdaten

o   IP-Adresse

o   Datum und Uhrzeit des Abrufs

o   übertragene Datenmenge

o   Meldung über erfolgreichen Abruf

o   verwendetes Betriebssystem

o   Browser und Browsertyp

o   die Internetseite, von der weitergeleitet wurde

o   besuchte Seiten

o   anfragende Domain

  • Kontaktdaten

5.    Kategorien betroffener Personen:

Von der Verarbeitung betroffene Personen sind die Internetbesucher der Unternehmenswebsite der Anderen Baustelle Ulm e.V. Diese ist unter www.ab-ulm.de zu erreichen.

6.    Kategorien von Empfängern:

  • Auftragsverarbeiter - Auftragsverarbeiter i.S.d. Art. 4 i.V.m. Art. 28 DSGVO
  • Geschäftsführung

6.1        Auftragnehmer (Auftragsverarbeiter):

·        1&1 IONOS SE (Montabaur)

 

7.    Zugriffsberechtigte:

Zugriffsberechtigt seitens auf die Internetnutzungsdaten ist ausschließlich die Geschäftsführung der Anderen Baustelle Ulm e.V.

8.    Rechtsgrundlage der Verarbeitungstätigkeit:

Die Verarbeitung ist zur Wahrung des berechtigten Interesses des Verantwortlichen oder eines Dritten gem. Art. 6 Abs. 1 lit. f DSGVO (für Zwecke der Datensicherheit, insbesondere zur Abwehr von Angriffsversuchen auf unseren Webserver) erforderlich und es überwiegen keine Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person.

9.        Quelle der Daten:

Wir erheben personenbezogene Daten grundsätzlich im direkten Kontakt mit dem Betroffenen. Die zum oben genannten Zweck verarbeiteten personenbezogenen Daten werden während der Nutzung unserer Internetseite direkt vom Betroffenen erhoben.

10.    Informationspflichten:

Die Informationspflichten gemäß Art. 13 DSGVO werden über die Datenschutzerklärung auf der Unternehmenswebsite der der Anderen Baustelle Ulm e.V. erfüllt. Die Datenschutzerklärung ist unter www.ab-ulm.de/j/privacy zu erreichen.

11.    Datenübermittlungen in Drittländer oder internationale Organisationen:

Die personenbezogenen Daten werden innerhalb Deutschlands, der EU oder des Europäischen Wirtschaftsraumes verarbeitet. In allen diesen Ländern besteht aufgrund der EU Datenschutz-Grundverordnung ein einheitlich hohes Datenschutzniveau, wonach Ihre Daten umfangreich geschützt sind.

Es findet keine geplante Übermittlung in Drittstaaten statt.

12.    Fristen für die Löschung der Datenkategorien:

Die Daten werden unverzüglich nach Zweckerfüllung gelöscht, sofern keine anderen gesetzlichen oder vertraglichen Aufbewahrungspflichten bestehen. Die Löschung erfolgt automatisch durch den Hosting-Anbieter nach 7 Tagen.

13.    Beschreibung der technischen und organisatorischen Maßnahmen:

Der Zugang zur Website erfolgt HTTPS-verschlüsselt. Die technischen und organisatorischen Maßnahmen erfolgen in erster Linie durch den Hosting-Anbieter, der die Logfiles erstellt und speichert. Im Falle des Downloads der Logfiles zu Auswertungszwecken greifen die eigenen technisch organisatorischen Maßnahmen.

14.    Eingesetzte Anwendungen:

Die Erfassung, Speicherung und Löschung der Daten erfolgen auf dem Server des Hosting-Anbieters.

15.    Risikoanalyse:

15.1     Schwellenwertanalyse (nach G29)

Findet eine Bewertung oder Einstufung betroffener Personen statt?

nein

Findet eine automatisierte Entscheidungsfindung mit Rechtswirkung oder ähnlich bedeutsamer Wirkung statt?

nein

Findet eine systematische Überwachung statt?

nein

Werden Daten verarbeitet, die vertraulich sind oder sich auf den höchstpersönlichen Lebensbereich der betroffenen Personen beziehen?

nein

Werden Daten in großem Umfang verarbeitet?

nein

Werden Daten verarbeitet, die in besonderer Weise zu Identitätsdiebstahl bzw. Identitätsbetrug genutzt werden können?

nein

Werden Daten verarbeitet, die zum Abgleichen oder Zusammenführen von Datensätzen genutzt werden können?

nein

Werden Daten verarbeitet, deren mangelnder Schutz finanzielle Risiken oder erhebliche wirtschaftliche Nachteile für die betroffenen Personen birgt?

nein

Werden Daten von Schutzbedürftigen verarbeitet?

nein

Findet eine innovative Nutzung oder Anwendung neuer technologischer oder organisatorischer Lösungen statt?

nein

Birgt die Verarbeitung die Gefahr, dass die betroffenen Personen an der Ausübung eines Rechts oder der Nutzung einer Dienstleistung bzw. Durchführung eines Vertrags gehindert werden?

nein

Je mehr eine Verarbeitung diese Kriterien erfüllt, desto verpflichtender hält die G29* eine Folgenabschätzung. Die Gruppe schlägt vor, dass eine Risikobewertung notwendig ist, sobald eine Verarbeitung zwei oder mehr Punkte erfüllt.

Es muss vorbehaltlich einer Auflistung der Aufsichtsbehörden keine DSFA durchgeführt werden.

* Die G29 ist ein unabhängiges Beratungsgremium der Europäischen Kommission. Seine Aufgabe ist es, Informationen, Empfehlungen und Stellungnahmen zu Themen auszuarbeiten, die in puncto Datenschutz bei der Verarbeitung personenbezogener Daten in der Europäischen Gemeinschaft relevant sind.

15.2     Schutzbedarfsfeststellung:

Vertraulichkeit: normal

Begründung: Da ein Angreifer mit dem Abgreifen der IP-Adressen ohne Mithilfe des Netzbetreibers keinen Personenbezug herstellen kann, erscheint eine Beeinträchtigung der persönlichen Unversehrtheit des Betroffenen nicht möglich. Auch andere Beeinträchtigungen oder finanzielle Auswirkungen scheinen nicht möglich zu sein.

Integrität: normal

Begründung: Sofern der schwer vorstellbare Fall eintritt, dass die Logfiles des Internet-Providers falsche Daten beinhalten ist davon auszugehen, dass der Betroffene dadurch keine Nachteile hat. Vor allem bei falschen IP-Adressen kann der Betroffene keine Auswirkungen erfahren, da der Bezug zu seiner Person damit nicht mehr besteht.

Verfügbarkeit: normal

Begründung: Da ein Betroffener keinen Nutzen aus den gespeicherten Internetnutzungsdaten hat, kann ihm durch den Verlust dieser Daten somit auch kein Nachteil entstehen. Zudem ist es nicht wahrscheinlich, dass in den hoch sicheren modernen Rechenzentren des Providers Logfiles abhanden kommen.

Die Bewertungskriterien für die Schutzbedarfsfeststellung sind in Anhang Schutzbedarfsfeststellung aufgeführt.

15.3     Risikobewertung:

Das Risiko für diese Verarbeitungstätigkeit wurde als nicht hoch bewertet.

Als ausschlaggebend für diese Bewertung ist die ungünstigste Bewertung der Einzelrisiken aus den Bereichen Vertraulichkeit, Integrität und Verfügbarkeit. Diese wurden in Schweregrad und Eintrittswahrscheinlichkeit bewertet. Es wird von einem hohen Risiko ausgegangen, wenn beide Bewertungen mindestens als substanziell eingestuft wurden.

 

Schweregrad des Risikos

Eintrittswahrscheinlichkeit

Vertraulichkeit

geringfügig

Grund: Da ein Angreifer mit dem Abgreifen der IP-Adressen ohne Mithilfe des Netzbetreibers keinen Personenbezug herstellen kann, entstehen dem Betroffenen keine Beeinträchti-gungen.

geringfügig

Grund: Der Hosting-Anbieter betreibt ein modernes sicheres Rechenzentrum. Aufgrund der geringen Bedeutsamkeit der gespeicherten Daten scheint der Anlass zu gering um einen derart hohen kriminellen Auffand zu betreiben.

Integrität

geringfügig

Grund: Es sind keine echten Beeinträchtigungen für den Betroffenen zu erwarten. Im Falle dessen, dass die IP-Adresse falsch ist, ist der Betroffene nicht mehr der Betroffene, da sein Personenbezug nicht mehr besteht. Sollte stattdessen bspw. ein falscher Browser oder eine verfälschte Nutzungszeit aufgezeichnet werden, ist davon auszugehen, dass es dem Betroffenen ebenfalls egal ist, da diese Daten nur in seltensten anlassbezogenen Fällen ausgewertet werden.

geringfügig

Grund: Ein technisch bedingtes falsches erfassen der Daten ist in einem modernen Rechenzentrum eher ausgeschlossen. Am ehesten erfolgt das Verfälschen der Daten (insb. Der IP-Adresse) durch den betroffenen selbst, der über VPN-Verbindungen seinen „digitalen“ Aufenthalts-ort im Internet nahezu jedem Standort der Welt zuordnen kann.

Verfügbarkeit

geringfügig

Grund: Da ein Betroffener keinen Nutzen aus den gespeicherten Internetnutzungsdaten hat, kann ihm durch den Verlust dieser Daten somit auch kein Nachteil entstehen.

geringfügig

Grund: Das Rechenzentrum des Hosting-Anbieters spiegelt Platten, Server, Serverräume etc. und führt in regelmäßigen Abständen Datensicherungen durch. Bei Daten, die unter solchen Voraussetzungen verarbeitet werden sind bestens gesichert. Von einem Verfügbarkeitsproblem muss hier nicht ausgegangen werden.

 

Die Bewertungskriterien für die Risikobewertung sind in Anhang Risikobewertung aufgeführt.

 

 

Die Risikobewertung dient zur Feststellung der Erforderlichkeit einer Datenschutz-Folgenabschätzung. Darüber hinaus ist es erforderlich das Risiko der Verarbeitungstätigkeit zu kennen, um mögliche und eintretende Datenschutzverstöße bzgl. Meldepflicht und Informationspflicht bewerten zu können.

15.4     Fazit

Es ist bei dieser Verarbeitungstätigkeit von keinem hohen Risiko auszugehen.

Es muss vorbehaltlich einer Auflistung der Aufsichtsbehörden keine DSFA durchgeführt werden.

Bewerbermanagement

1.    Verantwortliche Organisationseinheit:

Geschäftsführung

2.    Fachverantwortlicher:

Petra Schuhmann, E-Mail: schuhmann@ab-ulm.de, Tel.:  0731 – 140057-16

3.    Zwecke der Verarbeitungstätigkeit:

Zweck der Verarbeitung ist die Auswahl und Anstellung von geeignetem Fachpersonal.

4.    Kategorien personenbezogener Daten:

·        Bewerberdaten wie bspw:

o   Angaben zur Person

o   Kontaktdaten

o   Lebenslauf und Zeugnisse

o   Foto

5.    Kategorien betroffener Personen:

Von der Verarbeitung betroffene Personen sind alle, die sich bei der Anderen Baustelle Ulm e.V. um eine Anstellung oder ein Praktikum bewerben.

6.    Kategorien von Empfängern:

Als mögliche Empfänger der Daten kommen die Verwaltung, die Geschäftsführung, entsprechende leitende Mitarbeiter sowie Auftragsverarbeiter im Sinne der DSGVO in Betracht.

6.1        Auftragnehmer (Auftragsverarbeiter):

·        Stefan Mende (Schweinfurth)

 

7.    Zugriffsberechtigte:

Zugriffsberechtigt auf die verarbeiteten Daten seitens der Anderen Baustelle Ulm e.V. sind die Geschäftsführung, die Verwaltung und der entsprechende leitende Mitarbeiter.

8.    Rechtsgrundlage der Verarbeitungstätigkeit:

Die Verarbeitung ist für Zwecke des Beschäftigungsverhältnisses gem. Art. 88 DSGVO i.V.m. § 26 Abs. 1 BDSG erforderlich.

Daneben erfolgen die Verarbeitungen auch in den Fällen, in denen wir vom Betroffenen eine Einwilligung erhalten haben (z.B. zur längeren Speicherung und Berücksichtigung der Bewerberdaten über die gesetzlichen Bestimmungen hinaus).

9.        Quelle der Daten:

Die Daten werden über die eingehenden Bewerbungen direkt von der betroffenen Person erhoben.

10.    Einwilligung

Für die Verarbeitung von Bewerberdaten über die gesetzlich vorgeschriebene Höchstdauer von 6 Monaten hinaus erbitten wir den Betroffenen schriftlich um eine Einwilligung, sofern es dafür berechtigte Gründe gibt (z.B. freiwerdende Stellen in absehbarer Zeit, auf die der Bewerber passen würde). Dies ist zwingend erforderlich, da ohne Einwilligung eine Berücksichtigung der Bewerbung nach dieser Frist gesetzlich nicht zulässig ist.

11.    Informationspflichten:

Die Informationen zur Erhebung und Verarbeitung der Daten gemäß Art. 13 DSGVO werden dem Bewerber zusammen mit der Eingangsbestätigung als Anhang zur Verfügung gestellt. Dies erfolgt i.d.R. elektronisch mit einem Verweis auf das im Datenschutzbereich der Website hinterlegte Informationsdokument.

12.    Datenübermittlungen in Drittländer oder internationale Organisationen:

Die personenbezogenen Daten werden innerhalb Deutschlands, der EU oder des Europäischen Wirtschaftsraumes verarbeitet. In allen diesen Ländern besteht aufgrund der EU Datenschutz-Grundverordnung ein einheitlich hohes Datenschutzniveau, wonach Ihre Daten umfangreich geschützt sind.

Es findet keine geplante Übermittlung in Drittstaaten statt.

13.    Fristen für die Löschung der Datenkategorien:

Die Löschung von Bewerbungen erfolgt nach 6 Monaten, sofern keine Einwilligung zur längeren Speicherung vorliegt. Dies entspricht einer Aufbewahrungsfrist von 2 Monaten gem. § 21 Abs. 5 AGG plus vertretbarer Bearbeitungszeit. Bei Übernahme in ein Beschäftigungsverhältnis werden die Bewerberdaten zu den Mitarbeiterdaten (Personalakte) übernommen.

14.    Eingesetzte Anwendungen:

·        Microsoft Outlook

·        Microsoft Office

·        Adobe Acrobat

 

15.    Risikoanalyse:

15.1     Schwellenwertanalyse (nach G29)

Findet eine Bewertung oder Einstufung betroffener Personen statt?

nein

Findet eine automatisierte Entscheidungsfindung mit Rechtswirkung oder ähnlich bedeutsamer Wirkung statt?

nein

Findet eine systematische Überwachung statt?

nein

Werden Daten verarbeitet, die vertraulich sind oder sich auf den höchstpersönlichen Lebensbereich der betroffenen Personen beziehen?

nein

Werden Daten in großem Umfang verarbeitet?

nein

Werden Daten verarbeitet, die in besonderer Weise zu Identitätsdiebstahl bzw. Identitätsbetrug genutzt werden können?

nein

Werden Daten verarbeitet, die zum Abgleichen oder Zusammenführen von Datensätzen genutzt werden können?

nein

Werden Daten verarbeitet, deren mangelnder Schutz finanzielle Risiken oder erhebliche wirtschaftliche Nachteile für die betroffenen Personen birgt?

nein

Werden Daten von Schutzbedürftigen verarbeitet?

nein

Findet eine innovative Nutzung oder Anwendung neuer technologischer oder organisatorischer Lösungen statt?

nein

Birgt die Verarbeitung die Gefahr, dass die betroffenen Personen an der Ausübung eines Rechts oder der Nutzung einer Dienstleistung bzw. Durchführung eines Vertrags gehindert werden?

nein

Je mehr eine Verarbeitung diese Kriterien erfüllt, desto verpflichtender hält die G29* eine Folgenabschätzung. Die Gruppe schlägt vor, dass eine Risikobewertung notwendig ist, sobald eine Verarbeitung zwei oder mehr Punkte erfüllt.

Es muss vorbehaltlich einer Auflistung der Aufsichtsbehörden keine DSFA durchgeführt werden.

* Die G29 ist ein unabhängiges Beratungsgremium der Europäischen Kommission. Seine Aufgabe ist es, Informationen, Empfehlungen und Stellungnahmen zu Themen auszuarbeiten, die in puncto Datenschutz bei der Verarbeitung personenbezogener Daten in der Europäischen Gemeinschaft relevant sind.

15.2     Schutzbedarfsfeststellung:

Vertraulichkeit: hoch

Begründung: Der Umfang der Daten ist i.d.R. hoch genug, um ein sogenanntes social hacking zu ermöglichen. Zudem können Gesundheitsdaten im Lebenslauf enthalten sein. Die Folgen eines Vertraulichkeitsverlustes können im ungünstigsten Fall dazu führen, dass sich eine unbefugte Person als der Betroffene ausgibt und einen (über den Nachweis des Vorfalls revidierbaren) erheblichen finanziellen Schaden verursacht.

Integrität: normal

Begründung: Ein unbemerktes verfälschen der Daten kann eine falsche Bewertung des Betroffenen zur Folge haben. Besonders gravierende Änderungen führen womöglich sogar dazu, dass der Bewerber im Auswahlverfahren nicht weiter berücksichtigt wird. Daraus ergibt sich jedoch keine Verschlechterung der Ist-Situation des Betroffenen, sondern ein unverändertes Fortbestehen selbiger. Nichtsdestotrotz ist es im Sinne des Verantwortlich die Datenintegrität zu wahren um den Bestgeeigneten unter den Bewerbern für sich heraus zu finden.

Verfügbarkeit: normal

Begründung: Ein Verlust der Verfügbarkeit der Daten hat im Extremfall zur Folge, dass der Betroffene im Bewerbungsverfahren nicht berücksichtigt wird. Dies ist zwar zuungunsten des Bewerbers, hat jedoch keine Verschlechterung der bestehenden persönlichen oder finanziellen Situation zur Folge. Es ist auch damit zu rechnen, dass im Falle des Datenverlusts und der sich daraus ergebenden fehlenden Reaktion seitens des Verantwortlichen ein Nachfragen durch den Betroffenen erfolgt und die Daten somit neu angefordert werden können.

Aufgrund der hohen Vertraulichkeit werden Mitarbeiter, die mit Bewerberdaten Umgang haben besonders sensibilisiert. Ihre Räumlichkeiten sind bei Abwesenheit verschlossen und der Computerzugang wird anderen Personen gegenüber verwehrt.

Die Bewertungskriterien für die Schutzbedarfsfeststellung sind in Anhang Schutzbedarfsfeststellung aufgeführt.

15.3     Risikobewertung:

Das Risiko für diese Verarbeitungstätigkeit wurde als nicht hoch bewertet.

Als ausschlaggebend für diese Bewertung ist die ungünstigste Bewertung der Einzelrisiken aus den Bereichen Vertraulichkeit, Integrität und Verfügbarkeit. Diese wurden in Schweregrad und Eintrittswahrscheinlichkeit bewertet. Es wird von einem hohen Risiko ausgegangen, wenn beide Bewertungen mindestens als substanziell eingestuft wurden.

 

Schweregrad des Risikos

Eintrittswahrscheinlichkeit

Vertraulichkeit

substanziell

Grund: Der Umfang der Daten ist i.d.R. hoch genug, um ein sogenanntes social hacking zu ermöglichen. Zudem können Gesundheitsdaten im Lebenslauf enthalten sein. Die Folgen eines Vertraulichkeitsverlustes können im ungünstigsten Fall dazu führen, dass sich eine unbefugte Person als der Betroffene ausgibt und einen (über den Nachweis des Vorfalls revidierbaren) erheblichen finanziellen Schaden verursacht.

überschaubar

Grund: Der Diebstahl von Bewerbungsdaten ist schwer möglich. Für die Datenübertragung per Mail wird dem Bewerber die dem Stand der Technik entsprechende PGP-Verschlüsselung angeboten. Darüber hinaus sind alle Räumlichkeiten, in denen Bewerberdaten verarbeitet werden, bei Abwesenheit der Verantwortlichen verschlossen. Die verarbeitenden Mitarbeiter sind geschult und auf Verschwiegenheit verpflichtet.

Integrität

geringfügig

Grund: Ein Integritätsverlust kann eine falsche Bewertung des Betroffenen zur Folge haben. Besonders gravierende Änderungen führen womöglich sogar dazu, dass der Bewerber im Auswahlverfahren nicht weiter berücksichtigt wird. Daraus ergibt sich jedoch keine Verschlechterung der Ist-Situation des Betroffenen.

geringfügig

Grund: Eine Veränderung der Daten ist sehr unwahrscheinlich, da die Daten in ihrem Format unverändert bleiben. Es findet weder eine Schrifterkennung noch ein Übertrag in eine Bewerber-managementsoftware statt.

Verfügbarkeit

geringfügig

Grund: Ein Verlust der Verfügbarkeit der Daten hat im Extremfall zur Folge, dass der Betroffene im Bewerbungsverfahren nicht berücksichtigt wird. Für gewöhnlich wird der Vorfall jedoch festgestellt, sodass der Bewerber seine Daten erneut einreichen kann.

Die Situation ist zwar zuungunsten des Bewerbers, hat jedoch keine Verschlechterung der bestehenden persönlichen oder finanziellen Situation zur Folge.

überschaubar

Grund: Ein Datenverlust ist möglich. Dies kann sowohl durch menschliches Versagen (versehentliches Vernichten der Daten) als auch durch kriminelle Energie (Viren, Verschlüsselungs-trojaner, etc.) erfolgen.

In den meisten Fällen muss jedoch davon ausgegangen werden, dass ein solcher Vorfall entdeckt und darauf reagiert wird.

Gegen das versehentliche Löschen, Verschlüsselungstrojaner etc. hilft zudem das regelmäßige Backup, welches ein Widerherstellen der Daten ermöglicht.

Die Bewertungskriterien für die Risikobewertung sind in Anhang Risikobewertung aufgeführt.

 

 

Die Risikobewertung dient zur Feststellung der Erforderlichkeit einer Datenschutz-Folgenabschätzung. Darüber hinaus ist es erforderlich das Risiko der Verarbeitungstätigkeit zu kennen, um mögliche und eintretende Datenschutzverstöße bzgl. Meldepflicht und Informationspflicht bewerten zu können.

15.4     Fazit

Es ist bei dieser Verarbeitungstätigkeit von keinem hohen Risiko auszugehen.

Es muss vorbehaltlich einer Auflistung der Aufsichtsbehörden keine DSFA durchgeführt werden.

Lieferantenmanagement

1.    Verantwortliche Organisationseinheit:

Geschäftsführung

2.    Fachverantwortlicher:

Petra Schuhmann, E-Mail: schuhmann@ab-ulm.de, Tel.:  0731 – 140057-16

3.    Zwecke der Verarbeitungstätigkeit:

Zweck der Datenverarbeitung ist die Vereinbarung von Terminen, die nicht unmittelbar dem Kunden zuzuordnen sind sowie die Bestellabwicklung mit Lieferanten. Zudem erhalten wir Kontaktdaten von Betroffenen für eine mögliche zukünftige Zusammenarbeit.

4.    Kategorien personenbezogener Daten:

·        Kontaktdaten

o   Name

o   Telefon

o   E-Mail

  • Bankdaten
  • Steuernummer
  • Termindaten

5.    Kategorien betroffener Personen:

Von der Verarbeitung betroffene Personen sind bestehende, wie auch potenzielle Lieferanten der Anderen Baustelle Ulm e.V. und deren Mitarbeiter.

6.    Kategorien von Empfängern:

Die Daten werden im Rahmen der Zweckbestimmung unter Beachtung der jeweiligen datenschutz-rechtlichen Regelungen bzw. etwaiger vorliegender Einwilligungserklärungen erhoben und ggf. an andere Empfänger und Dritte übermittelt. Als solche kommen insbesondere in Betracht: 

Empfänger intern:

  • Geschäftsführung
  • Verwaltung
  • Betriebsleitung Schreinerei

Empfänger extern: 

  • Steuerberater
  • Auftragsverarbeiter im Sinne der DSGVO

Externe Datenverarbeiter können beispielsweise solche in den Bereichen Wartung und Pflege der EDV-Systeme oder der Unternehmens-Webseite sein. Diese sind in der Regel Auftragsverarbeiter im Sinne von Art. 4 Nr. 10 DSGVO, so dass die Verarbeitung der Daten durch sie keine Übermittlung im Sinne von Art. 4 Nr. 2 DSGVO darstellt. 

Als Empfänger kommt bei der Erfüllung gesetzlicher Übermittlungspflichten zudem das Finanzamt in Betracht, insbesondere nach Abgabenordnung (§ 147 AO) und Umsatzsteuergesetz (§ 14 UStG).

6.1        Auftragnehmer (Auftragsverarbeiter):

·        Stefan Mende (Schweinfurth)

·        IT sure GmbH (Neu-Ulm)

 

7.    Zugriffsberechtigte:

Zugriffsberechtigt auf die verarbeiteten personenbezogenen Daten seitens der der Anderen Baustelle Ulm e.V. sind ausschließlich die Geschäftsführung, der Betriebsleiter der Schreinerei und die Verwaltung.

8.    Rechtsgrundlage der Verarbeitungstätigkeit:

Die Verarbeitung ist für die Erfüllung eines Vertrags oder einer vorvertraglichen Maßnahme gem. Art. 6 Abs. 1 lit. b DSGVO erforderlich.

Darüber hinaus ist die Verarbeitung zur Erfüllung der rechtlichen Verpflichtung bzgl. der gesetzlichen Aufbewahrung steuerlich relevanter Dokumente gem. Art. 6 Abs. 1 lit. c DSGVO erforderlich.

Insgesamt bestehen in Deutschland eine Vielzahl von Rechtsgrundlagen für eine Verarbeitung Ihrer Daten. Als Rechtsgrundlagen für die Verarbeitung sei hier beispielhaft die Datenverarbeitung aufgrund gesetzlicher Aufbewahrungsfristen, die sich für die hier beschriebene Verarbeitungstätigkeit in erster Linie aus § 147 AO und §14 UStG ergeben, genannt.

9.        Bereitstellung der Daten:

Die Erhebung und Verarbeitung der Daten ist Voraussetzung für die Abrechnung der von uns erworbenen Güter bzw. Dienstleistungen. Werden die notwendigen Informationen nicht bereitgestellt, kann auch die Abrechnung als Bestandteil des Kaufvertrages nicht erfolgen.

Eine sonstige Verpflichtung zur Bereitstellung der Daten besteht in der Regel nicht.

10.    Quelle der Daten

Wir erheben die Daten grundsätzlich im direkten Kontakt.

Die zum oben genannten Zweck verarbeiteten personenbezogenen Daten werden bei der Terminabsprache oder der Bestellung direkt beim Betroffen erhoben.

11.    Informationspflichten:

Die Informationspflichten gem. Art. 13 DSGVO werden durch Bereitstellung der entsprechenden Informationsdokumente im Datenschutzbereich der Homepage erfüllt. Die Betroffenen werden zum Zeitpunkt der Datenerhebung darauf hingewiesen, dass dieses Dokument dort bereitgestellt wird.

12.    Datenübermittlungen in Drittländer oder internationale Organisationen:

Die personenbezogenen Daten werden innerhalb Deutschlands, der EU oder des Europäischen Wirtschaftsraumes verarbeitet. In allen diesen Ländern besteht aufgrund der EU Datenschutz-Grundverordnung ein einheitlich hohes Datenschutzniveau, wonach Ihre Daten umfangreich geschützt sind.

Es findet keine geplante Übermittlung in Drittstaaten statt.

13.    Fristen für die Löschung der Datenkategorien:

Daten mit vertraglichem Hintergrund werden 10 Jahre aufbewahrt und anschließend gelöscht. Dies entspricht der gesetzlichen Aufbewahrungsfrist gemäß §147 AO. Sofern keine weiteren vertraglichen oder gesetzlichen Aufbewahrungsfristen bestehen werden personenbezogene Daten nach Zweckerfüllung gelöscht.

14.    Eingesetzte Anwendungen:

·        Microsoft Outlook

·        Microsoft Office

·        Forma Office

 

15.    Risikoanalyse:

15.1     Schwellenwertanalyse (nach G29)

Findet eine Bewertung oder Einstufung betroffener Personen statt?

nein

Findet eine automatisierte Entscheidungsfindung mit Rechtswirkung oder ähnlich bedeutsamer Wirkung statt?

nein

Findet eine systematische Überwachung statt?

nein

Werden Daten verarbeitet, die vertraulich sind oder sich auf den höchstpersönlichen Lebensbereich der betroffenen Personen beziehen?

nein

Werden Daten in großem Umfang verarbeitet?

nein

Werden Daten verarbeitet, die in besonderer Weise zu Identitätsdiebstahl bzw. Identitätsbetrug genutzt werden können?

nein

Werden Daten verarbeitet, die zum Abgleichen oder Zusammenführen von Datensätzen genutzt werden können?

nein

Werden Daten verarbeitet, deren mangelnder Schutz finanzielle Risiken oder erhebliche wirtschaftliche Nachteile für die betroffenen Personen birgt?

nein

Werden Daten von Schutzbedürftigen verarbeitet?

nein

Findet eine innovative Nutzung oder Anwendung neuer technologischer oder organisatorischer Lösungen statt?

nein

Birgt die Verarbeitung die Gefahr, dass die betroffenen Personen an der Ausübung eines Rechts oder der Nutzung einer Dienstleistung bzw. Durchführung eines Vertrags gehindert werden?

nein

Je mehr eine Verarbeitung diese Kriterien erfüllt, desto verpflichtender hält die G29* eine Folgenabschätzung. Die Gruppe schlägt vor, dass eine Risikobewertung notwendig ist, sobald eine Verarbeitung zwei oder mehr Punkte erfüllt.

Es muss vorbehaltlich einer Auflistung der Aufsichtsbehörden keine DSFA durchgeführt werden.

* Die G29 ist ein unabhängiges Beratungsgremium der Europäischen Kommission. Seine Aufgabe ist es, Informationen, Empfehlungen und Stellungnahmen zu Themen auszuarbeiten, die in puncto Datenschutz bei der Verarbeitung personenbezogener Daten in der Europäischen Gemeinschaft relevant sind.

15.2     Schutzbedarfsfeststellung:

Vertraulichkeit: normal

Begründung: Art und Umfang der Daten ist i.d.R. von geringer Bedeutsamkeit. Zudem handelt es sich hierbei fast ausschließlich um Daten, die der Öffentlichkeit ohnehin zur Verfügung stehen, da Unternehmen Ihre Kontaktdaten i.d.R. zu Marketingzwecken veröffentlichen.

Integrität: normal

Begründung: Falsche Daten haben im Lieferantenmanagement keine gravierenden Auswirkungen. Im schlimmsten Fall stimmt die Bankverbindung nicht und der Rechnungsbetrag wird falsch überwiesen. Dadurch entsteht für den Verantwortlichen ein Aufwand für die Wiederbeschaffung und der Betroffene erhält sein Geld mit einer Verzögerung. Diese sollte sich jedoch in Grenzen halten.

Verfügbarkeit: normal

Begründung: Ein Verlust der Daten ist eher für den Verantwortlichen als für den Betroffenen von Nachteil, da dieser seine Bestellungen evtl. nicht wie benötigt durchführen kann. I.d.R. sollte die Wiederbeschaffung der Daten ohne irgendwelche Nachteile innerhalb kürzester Zeit umsetzbar sein.

Die Bewertungskriterien für die Schutzbedarfsfeststellung sind in Anhang Schutzbedarfsfeststellung aufgeführt.

15.3     Risikobewertung:

Das Risiko für diese Verarbeitungstätigkeit wurde als nicht hoch bewertet.

Als ausschlaggebend für diese Bewertung ist die ungünstigste Bewertung der Einzelrisiken aus den Bereichen Vertraulichkeit, Integrität und Verfügbarkeit. Diese wurden in Schweregrad und Eintrittswahrscheinlichkeit bewertet. Es wird von einem hohen Risiko ausgegangen, wenn beide Bewertungen mindestens als substanziell eingestuft wurden.

 

Schweregrad des Risikos

Eintrittswahrscheinlichkeit

Vertraulichkeit

geringfügig

Grund: Die verarbeiteten Lieferantendaten beschränken sich fast ausschließlich auf wenige, der Öffentlichkeit ohnehin zugängliche Daten.

Bei Verlust der Vertraulichkeit der Daten bestünde das größte Risiko für den Betroffenen im Social Engineering, bei dem sich ein Unbefugter beim Betroffenen für den Verantwortlichen ausgibt um an weitere Informationen zu gelangen.

überschaubar

Grund: Der Diebstahl von Bewerbungsdaten ist schwer möglich, da alle schützenswerten Lieferantendaten in den Systemen des Verantwortlichen hinterlegt sind. Die Zugänge zu den Systemen ist über Benutzer-berechtigungen beschränkt. Büroräume werden bei Verlassen verschlossen.

Für Papierdokumente findet eine datenschutzkonforme Vernichtung über Aktenvernichter der Stufe 4 statt.

Zudem sind alle Mitarbeiter des Verantwortlichen zur Verschwiegenheit verpflichtet.

Integrität

geringfügig

Grund: Falsche Daten haben keine gravierenden Auswirkungen. Im schlimmsten Fall stimmt die Bank-verbindung nicht und der Rechnungs-betrag wird falsch überwiesen. Dadurch erhält der Betroffene sein Geld mit einer Verzögerung. Diese sollte sich jedoch in Grenzen halten.

geringfügig

Grund: Eine Veränderung der Daten ist möglich. Dies gilt vor allem für die Bankverbindung, die beim Übertrag in die entsprechende unterstützende Software händisch falsch übertragen werden kann. Der Fehler würde jedoch spätestens nach der ersten falsch überwiesenen Zahlung bemerkt und korrigiert werden.

Verfügbarkeit

geringfügig

Grund: Ein Verlust der Daten ist eher für den Verantwortlichen als für den Betroffenen von Nachteil, da dieser seine Bestellungen evtl. nicht wie benötigt durchführen kann. I.d.R. sollte die Wiederbeschaffung der Daten ohne irgendwelche Nachteile innerhalb kürzester Zeit umsetzbar sein.

überschaubar

Grund: Ein Datenverlust ist möglich. Dies kann sowohl durch menschliches Versagen (versehentliches Vernichten der Daten) als auch durch kriminelle Energie (Viren, Verschlüsselungs-trojaner, etc.) erfolgen.

In den meisten Fällen muss jedoch davon ausgegangen werden, dass ein solcher Vorfall entdeckt und darauf reagiert wird.

Gegen das versehentliche Löschen, Verschlüsselungstrojaner etc. hilft zudem das regelmäßige Backup, welches ein Widerherstellen der Daten ermöglicht.

 

Die Bewertungskriterien für die Risikobewertung sind in Anhang Risikobewertung aufgeführt.

 

 

Die Risikobewertung dient zur Feststellung der Erforderlichkeit einer Datenschutz-Folgenabschätzung. Darüber hinaus ist es erforderlich das Risiko der Verarbeitungstätigkeit zu kennen, um mögliche und eintretende Datenschutzverstöße bzgl. Meldepflicht und Informationspflicht bewerten zu können.

15.4     Fazit

Es ist bei dieser Verarbeitungstätigkeit von keinem hohen Risiko auszugehen.

Es muss vorbehaltlich einer Auflistung der Aufsichtsbehörden keine DSFA durchgeführt werden.


 

Mitgliederverwaltung

1.    Verantwortliche Organisationseinheit:

Geschäftsführung

2.    Fachverantwortlicher:

Petra Schuhmann, E-Mail: schuhmann@ab-ulm.de, Tel.:  0731 – 140057-16

3.    Zwecke der Verarbeitungstätigkeit:

Zweck der Datenverarbeitung ist die Verwaltung der Mitglieder der Anderen Baustelle Ulm e.V. Hierzu zählen auch die Organisation von Mitgliederversammlungen einschließlich postalischer Einladung und der Führung einer Teilnehmerliste i.V.m. der Protokollführung sowie der Information zu Vereinsangelegenheiten. Dies bedingt aber auch die Verarbeitung der Daten zum Zweck des Beitragseinzugs und aus Gründen der Vorderungsverfolgung usw. Ferner erfolgen Datenverarbeitungen aus Gründen der Betreuung und Wartung von IT-Systemen und Anwendungen.

4.    Kategorien personenbezogener Daten:

·        Kontaktdaten

o   Name

o   Adresse

  • Bankdaten

5.    Kategorien betroffener Personen:

Von der Verarbeitung betroffene Personen sind die Mitglieder der Anderen Baustelle Ulm e.V.

6.    Kategorien von Empfängern:

Die Daten werden im Rahmen der Zweckbestimmung unter Beachtung der jeweiligen datenschutz-rechtlichen Regelungen bzw. etwaiger vorliegender Einwilligungserklärungen erhoben und ggf. an andere Empfänger und Dritte übermittelt. Als solche kommen insbesondere in Betracht: 

Empfänger intern:

  • Geschäftsführung
  • Verwaltung
  • Vorstand

Empfänger extern: 

  • Auftragsverarbeiter im Sinne der DSGVO

Externe Datenverarbeiter können beispielsweise solche in den Bereichen Wartung und Pflege der EDV-Systeme oder der Unternehmens-Webseite sein. Diese sind in der Regel Auftragsverarbeiter im Sinne von Art. 4 Nr. 10 DSGVO, so dass die Verarbeitung der Daten durch sie keine Übermittlung im Sinne von Art. 4 Nr. 2 DSGVO darstellt. 

Als Empfänger kommt bei der Erfüllung gesetzlicher Übermittlungspflichten zudem das Finanzamt in Betracht, insbesondere nach  Abgabenordnung (§ 147 AO) und Umsatzsteuergesetz  (§ 14 UStG).

6.1        Auftragnehmer (Auftragsverarbeiter):

·        Stefan Mende (Schweinfurth)

·        IT sure GmbH (Neu-Ulm)

 

7.    Zugriffsberechtigte:

Zugriffsberechtigt auf die verarbeiteten personenbezogenen Daten seitens der der Anderen Baustelle Ulm e.V. sind ausschließlich die Geschäftsführung, der Vorstand und die Verwaltung.

8.    Rechtsgrundlage der Verarbeitungstätigkeit:

Die Verarbeitung ist für die Erfüllung eines Vertrags oder einer vorvertraglichen Maßnahme gem. Art. 6 Abs. 1 lit. b DSGVO erforderlich.

Darüber hinaus ist die Verarbeitung zur Erfüllung der rechtlichen Verpflichtung bzgl. der gesetzlichen Aufbewahrung steuerlich relevanter Dokumente gem. Art. 6 Abs. 1 lit. c DSGVO erforderlich.

Insgesamt bestehen in Deutschland eine Vielzahl von Rechtsgrundlagen für eine Verarbeitung Ihrer Daten. Als Rechtsgrundlagen für die Verarbeitung sei hier beispielhaft die Datenverarbeitung aufgrund gesetzlicher Aufbewahrungsfristen, die sich für die hier beschriebene Verarbeitungstätigkeit in erster Linie aus § 147 AO und §14 UStG ergeben, genannt.

9.        Bereitstellung der Daten:

Die Erhebung und Verarbeitung der Daten ist für die Begründung und den Erhalt der Mitgliedschaft Voraussetzung. Werden die notwendigen Informationen nicht bereitgestellt, kann auch die Abrechnung als Bestandteil des Mitgliedsvertrages nicht erfolgen.

Eine sonstige Verpflichtung zur Bereitstellung der Daten besteht in der Regel nicht.

10.    Quelle der Daten

Wir erheben personenbezogene Daten grundsätzlich im direkten Kontakt.

Die zum oben genannten Zweck verarbeiteten personenbezogenen Daten werden über den Mitgliedsantrag direkt beim Betroffen erhoben.

11.    Informationspflichten:

Die Informationspflichten gem. Art. 13 DSGVO werden dem Betroffenen schriftlich mit dem Antrag auf Mitgliedschaft ausgehändigt.

12.    Datenübermittlungen in Drittländer oder internationale Organisationen:

Die personenbezogenen Daten werden innerhalb Deutschlands, der EU oder des Europäischen Wirtschaftsraumes verarbeitet. In allen diesen Ländern besteht aufgrund der EU Datenschutz-Grundverordnung ein einheitlich hohes Datenschutzniveau, wonach Ihre Daten umfangreich geschützt sind.

Es findet keine geplante Übermittlung in Drittstaaten statt.

13.    Fristen für die Löschung der Datenkategorien:

Daten aus dem Mitgliedsverhältnis werden nach Ausscheiden des Mitglieds für 10 Jahre aufbewahrt und anschließend gelöscht. Dies entspricht der gesetzlichen Aufbewahrungsfrist gemäß §147 AO. Sofern keine weiteren vertraglichen oder gesetzlichen Aufbewahrungsfristen bestehen werden personenbezogene Daten nach Zweckerfüllung gelöscht.

Daten von Ehrenmitgliedern werden unverzüglich nach Vertragsbeendigung gelöscht. Eine gesetzliche Aufbewahrungsfrist besteht nicht, da keine steuerlich relevanten Unterlagen existieren.

14.    Eingesetzte Anwendungen:

·        SFirm

·        Microsoft Office

·        DATEV

 

15.    Risikoanalyse:

15.1     Schwellenwertanalyse (nach G29)

Findet eine Bewertung oder Einstufung betroffener Personen statt?

nein

Findet eine automatisierte Entscheidungsfindung mit Rechtswirkung oder ähnlich bedeutsamer Wirkung statt?

nein

Findet eine systematische Überwachung statt?

nein

Werden Daten verarbeitet, die vertraulich sind oder sich auf den höchstpersönlichen Lebensbereich der betroffenen Personen beziehen?

nein

Werden Daten in großem Umfang verarbeitet?

nein

Werden Daten verarbeitet, die in besonderer Weise zu Identitätsdiebstahl bzw. Identitätsbetrug genutzt werden können?

nein

Werden Daten verarbeitet, die zum Abgleichen oder Zusammenführen von Datensätzen genutzt werden können?

nein

Werden Daten verarbeitet, deren mangelnder Schutz finanzielle Risiken oder erhebliche wirtschaftliche Nachteile für die betroffenen Personen birgt?

nein

Werden Daten von Schutzbedürftigen verarbeitet?

nein

Findet eine innovative Nutzung oder Anwendung neuer technologischer oder organisatorischer Lösungen statt?

nein

Birgt die Verarbeitung die Gefahr, dass die betroffenen Personen an der Ausübung eines Rechts oder der Nutzung einer Dienstleistung bzw. Durchführung eines Vertrags gehindert werden?

nein

Je mehr eine Verarbeitung diese Kriterien erfüllt, desto verpflichtender hält die G29* eine Folgenabschätzung. Die Gruppe schlägt vor, dass eine Risikobewertung notwendig ist, sobald eine Verarbeitung zwei oder mehr Punkte erfüllt.

Es muss vorbehaltlich einer Auflistung der Aufsichtsbehörden keine DSFA durchgeführt werden.

* Die G29 ist ein unabhängiges Beratungsgremium der Europäischen Kommission. Seine Aufgabe ist es, Informationen, Empfehlungen und Stellungnahmen zu Themen auszuarbeiten, die in puncto Datenschutz bei der Verarbeitung personenbezogener Daten in der Europäischen Gemeinschaft relevant sind.

15.2     Schutzbedarfsfeststellung:

Vertraulichkeit: hoch

Begründung: Die Art und der Umfang der Daten entspricht der des Lieferantenmanagements. Die Schutzkategorie wurde entgegen der des Lieferantenmanagements jedoch um eine Stufe höher gewählt, da hier auch Privatpersonen betroffen sein können. Bei diesen muss davon ausgegangen werden, dass sie den versuchten Missbrauch vor allem der Kontodaten schwerer verkraften, da sie sich dagegen wegen geringerer finanzieller Möglichkeiten, fehlender Rechtschutzversicherungen, etc. aller Wahrscheinlichkeit nach schlechter wehren können und somit der relative zu erbringende Aufwand des Betroffenen deutlich höher ist.

Integrität: normal

Begründung: Falsche Daten können dazu führen, dass Mitglieder nicht zu Versammlungen eingeladen oder Zahlungen den Mitgliedern nicht zugeordnet werden können. Die Auswirkungen sind jedoch überschaubar und Probleme schnell bereinigt.

Verfügbarkeit: normal

Begründung: Ein Verlust der Daten sorgt ähnlich wie die Unrichtigkeit der Daten dafür, dass Mitglieder nicht zu Versammlungen eingeladen oder Zahlungen den Mitgliedern nicht zugeordnet werden können. Aufgrund regelmäßiger Datensicherungen ist eine rasche Wiederherstellung jedoch problemlos möglich. Die Auswirkungen sind eher unbedeutend, da die Daten der Mitglieder nicht für eine kurzfristige Nutzung erforderlich sind.

Die Bewertungskriterien für die Schutzbedarfsfeststellung sind in Anhang Schutzbedarfsfeststellung aufgeführt.

15.3     Risikobewertung:

Das Risiko für diese Verarbeitungstätigkeit wurde als nicht hoch bewertet.

Als ausschlaggebend für diese Bewertung ist die ungünstigste Bewertung der Einzelrisiken aus den Bereichen Vertraulichkeit, Integrität und Verfügbarkeit. Diese wurden in Schweregrad und Eintrittswahrscheinlichkeit bewertet. Es wird von einem hohen Risiko ausgegangen, wenn beide Bewertungen mindestens als substanziell eingestuft wurden.

 

Schweregrad des Risikos

Eintrittswahrscheinlichkeit

Vertraulichkeit

überschaubar

Grund: Vor allem der Verlust von Bankdaten für Privatpersonen an Kriminelle kann für den Betroffenen für deutliche Unannehmlichkeiten sorgen, die jedoch trotz einiger Schwierigkeiten überwindbar sind. Die möglichen Folgen wie ungeplante Zahlungen müssen hier als schwerwiegendste mögliche Folgen in Betracht gezogen werden. Dies entspricht der Einstufung als überschaubaren Schweregrad des von deutschen Datenschutzbehörden empfohlenen PIA-Tools zur Erstellung von Risikoanalysen und Datenschutz-Folgenabschätzungen.

geringfügig

Grund: Die sensiblen Bankdaten der Betroffenen sind werden mit einer Software verarbeitet, die auf ausschließlich einem Rechner lokal installiert ist. Der Raum des Rechners wird bei Verlassen des Mitarbeiters abgeschlossen. Der Mitarbeiter ist geschult, sensibilisiert, zur Verschwiegenheit verpflichtet und nutzt sichere, einmalige Passwörter.

Für die IT-Sicherheit (z.B. hinsichtlich regelmäßiger Sicherheitsupdates, Firewall, Backups, Virenschutz, etc.) sorgt ein externes Unternehmen.

Integrität

geringfügig

Grund: Betroffene werden durch mangelnde Datenintegrität kaum beeinträchtigt. Falsche Daten können dazu führen, dass Mitglieder nicht zu Versammlungen eingeladen oder Zahlungen den Mitgliedern nicht zugeordnet werden können. Die Auswirkungen sind jedoch über-schaubar und Probleme schnell bereinigt.

überschaubar

Grund: Falsche Daten sind durchaus möglich. Dies ist seitens des Verantwortlichen bspw. nicht vermeidbar, wenn der Betroffene den Wohnsitz wechselt oder einen ehebedingten Namenswechsel erfährt und diese Änderungen nicht meldet. Dies bleibt jedoch ein eher selten eintretender Fall.

Verfügbarkeit

geringfügig

Grund: Von einer mangelnden Verfügbarkeit sind Betroffene nicht beeinträchtigt. Der Datenverlust kann über Datensicherungen jederzeit wiederhergestellt werden. Zudem ist eine kurzfristige Verfügbarkeit der Mitgliedsdaten nicht erforderlich.

überschaubar

Grund: Ein Datenverlust ist möglich. Dies kann sowohl durch menschliches Versagen (versehentliches Vernichten der Daten) als auch durch kriminelle Energie (Viren, Verschlüsselungs-trojaner, etc.) erfolgen.

In den meisten Fällen muss jedoch davon ausgegangen werden, dass ein solcher Vorfall entdeckt und darauf reagiert wird.

Gegen das versehentliche Löschen, Verschlüsselungstrojaner etc. hilft zudem das regelmäßig erstellte Backup.

 

Die Bewertungskriterien für die Risikobewertung sind in Anhang Risikobewertung aufgeführt.

 

 

Die Risikobewertung dient zur Feststellung der Erforderlichkeit einer Datenschutz-Folgenabschätzung. Darüber hinaus ist es erforderlich das Risiko der Verarbeitungstätigkeit zu kennen, um mögliche und eintretende Datenschutzverstöße bzgl. Meldepflicht und Informationspflicht bewerten zu können.

15.4     Fazit

Es ist bei dieser Verarbeitungstätigkeit von keinem hohen Risiko auszugehen.

Es muss vorbehaltlich einer Auflistung der Aufsichtsbehörden keine DSFA durchgeführt werden.


 

Parkplatzverwaltung im Auftrag der Stadt Ulm

1.    Verantwortliche Organisationseinheit:

Geschäftsführung

2.    Fachverantwortlicher:

Petra Schuhmann, E-Mail: schuhmann@ab-ulm.de, Tel.:  0731 – 140057-16

3.    Zwecke der Verarbeitungstätigkeit:

Zweck der Datenverarbeitung ist die Verwaltung von Parkplätzen im Auftrag der Stadt Ulm. Hierzu zählt das Einkassieren der Parkplatzmieten, die Forderungsverfolgung, die Übermittlung von Vertragsänderungen sowie die Beschwerdenachverfolgung. Ferner erfolgen Datenverarbeitungen aus Gründen der Betreuung und Wartung von IT-Systemen und Anwendungen.

4.    Kategorien personenbezogener Daten:

·        Kontaktdaten

o   Name

o   Adresse

o   Telefon

o   E-Mail

  • Bankdaten
  • Identifikationswort

5.    Kategorien betroffener Personen:

Von der Verarbeitung betroffene Personen sind die Mieter der zu verwaltenden Parkplätze sowie involvierte Mitarbeiter der Stadt Ulm als Auftraggeber.

6.    Kategorien von Empfängern:

Die Daten werden im Rahmen der Zweckbestimmung unter Beachtung der jeweiligen datenschutz-rechtlichen Regelungen bzw. etwaiger vorliegender Einwilligungserklärungen erhoben und ggf. an andere Empfänger und Dritte übermittelt. Als solche kommen insbesondere in Betracht: 

Empfänger intern:

  • Geschäftsführung
  • Verwaltung

Empfänger extern: 

  • Steuerberater
  • Ggf. die Stadt Ulm als Parkplatzinhaber zu Nachweiszwecken
  • Auftragsverarbeiter im Sinne der DSGVO

Externe Datenverarbeiter können beispielsweise solche in den Bereichen Wartung und Pflege der EDV-Systeme oder der Unternehmens-Webseite sein. Diese sind in der Regel Auftragsverarbeiter im Sinne von Art. 4 Nr. 10 DSGVO, so dass die Verarbeitung der Daten durch sie keine Übermittlung im Sinne von Art. 4 Nr. 2 DSGVO darstellt. 

Als Empfänger kommt bei der Erfüllung gesetzlicher Übermittlungspflichten zudem das Finanzamt in Betracht, insbesondere nach Abgabenordnung (§ 147 AO) und Umsatzsteuergesetz (§ 14 UStG).

6.1        Auftragnehmer (Auftragsverarbeiter):

·        Stefan Mende (Schweinfurth)

·        IT sure GmbH (Neu-Ulm)

 

7.    Zugriffsberechtigte:

Zugriffsberechtigt auf die verarbeiteten personenbezogenen Daten seitens der der Anderen Baustelle Ulm e.V. sind ausschließlich die Geschäftsführung und die Verwaltung.

8.    Rechtsgrundlage der Verarbeitungstätigkeit:

Die Verarbeitung ist für die Erfüllung eines Vertrags oder einer vorvertraglichen Maßnahme gem. Art. 6 Abs. 1 lit. b DSGVO erforderlich.

Darüber hinaus ist die Verarbeitung zur Erfüllung der rechtlichen Verpflichtung bzgl. der gesetzlichen Aufbewahrung steuerlich relevanter Dokumente gem. Art. 6 Abs. 1 lit. c DSGVO erforderlich.

Insgesamt bestehen in Deutschland eine Vielzahl von Rechtsgrundlagen für eine Verarbeitung Ihrer Daten. Als Rechtsgrundlagen für die Verarbeitung sei hier beispielhaft die Datenverarbeitung aufgrund gesetzlicher Aufbewahrungsfristen, die sich für die hier beschriebene Verarbeitungstätigkeit in erster Linie aus § 147 AO und §14 UStG ergeben, genannt.

9.        Bereitstellung der Daten:

Die Erhebung und Verarbeitung der Daten ist für den Abschluss und die Erfüllung des Vertrages erforderlich. Werden die notwendigen Informationen nicht bereitgestellt, kann auch die Abrechnung als Bestandteil des Vertrages nicht erfolgen.

Eine sonstige Verpflichtung zur Bereitstellung der Daten besteht in der Regel nicht.

10.    Quelle der Daten

Wir erheben personenbezogene Daten grundsätzlich im direkten Kontakt.

Die zum oben genannten Zweck verarbeiteten personenbezogenen Daten werden über den Vertragsabschluss direkt beim Betroffen erhoben.

11.    Informationspflichten:

Die Informationspflichten gem. Art. 13 DSGVO werden dem Mieter schriftlich als Anhang zum Mietvertrag ausgehändigt.

12.    Datenübermittlungen in Drittländer oder internationale Organisationen:

Die personenbezogenen Daten werden innerhalb Deutschlands, der EU oder des Europäischen Wirtschaftsraumes verarbeitet. In allen diesen Ländern besteht aufgrund der EU Datenschutz-Grundverordnung ein einheitlich hohes Datenschutzniveau, wonach Ihre Daten umfangreich geschützt sind.

Es findet keine geplante Übermittlung in Drittstaaten statt.

13.    Fristen für die Löschung der Datenkategorien:

Die Daten werden für 10 Jahre aufbewahrt und anschließend gelöscht. Dies entspricht der gesetzlichen Aufbewahrungsfrist gemäß §147 AO. Sofern keine weiteren vertraglichen oder gesetzlichen Aufbewahrungsfristen bestehen werden personenbezogene Daten nach Zweckerfüllung gelöscht.

14.    Eingesetzte Anwendungen:

·        SFirm

·        Microsoft Office

·        Microsoft Outlook

·        DATEV

 

15.    Risikoanalyse:

15.1     Schwellenwertanalyse (nach G29)

Findet eine Bewertung oder Einstufung betroffener Personen statt?

nein

Findet eine automatisierte Entscheidungsfindung mit Rechtswirkung oder ähnlich bedeutsamer Wirkung statt?

nein

Findet eine systematische Überwachung statt?

nein

Werden Daten verarbeitet, die vertraulich sind oder sich auf den höchstpersönlichen Lebensbereich der betroffenen Personen beziehen?

nein

Werden Daten in großem Umfang verarbeitet?

nein

Werden Daten verarbeitet, die in besonderer Weise zu Identitätsdiebstahl bzw. Identitätsbetrug genutzt werden können?

nein

Werden Daten verarbeitet, die zum Abgleichen oder Zusammenführen von Datensätzen genutzt werden können?

nein

Werden Daten verarbeitet, deren mangelnder Schutz finanzielle Risiken oder erhebliche wirtschaftliche Nachteile für die betroffenen Personen birgt?

nein

Werden Daten von Schutzbedürftigen verarbeitet?

nein

Findet eine innovative Nutzung oder Anwendung neuer technologischer oder organisatorischer Lösungen statt?

nein

Birgt die Verarbeitung die Gefahr, dass die betroffenen Personen an der Ausübung eines Rechts oder der Nutzung einer Dienstleistung bzw. Durchführung eines Vertrags gehindert werden?

nein

Je mehr eine Verarbeitung diese Kriterien erfüllt, desto verpflichtender hält die G29* eine Folgenabschätzung. Die Gruppe schlägt vor, dass eine Risikobewertung notwendig ist, sobald eine Verarbeitung zwei oder mehr Punkte erfüllt.

Es muss vorbehaltlich einer Auflistung der Aufsichtsbehörden keine DSFA durchgeführt werden.

* Die G29 ist ein unabhängiges Beratungsgremium der Europäischen Kommission. Seine Aufgabe ist es, Informationen, Empfehlungen und Stellungnahmen zu Themen auszuarbeiten, die in puncto Datenschutz bei der Verarbeitung personenbezogener Daten in der Europäischen Gemeinschaft relevant sind.

15.2     Schutzbedarfsfeststellung:

Vertraulichkeit: hoch

Begründung: Die Art und der Umfang der Daten entspricht der des Lieferantenmanagements. Die Schutzkategorie wurde entgegen der des Lieferantenmanagements jedoch um eine Stufe höher gewählt, da hier auch Privatpersonen betroffen sein können. Bei diesen muss davon ausgegangen werden, dass sie den versuchten Missbrauch vor allem der Kontodaten schwerer verkraften, da sie sich dagegen wegen geringerer finanzieller Möglichkeiten, fehlender Rechtschutzversicherungen, etc. aller Wahrscheinlichkeit nach schlechter wehren können und somit der relative zu erbringende Aufwand des Betroffenen deutlich höher ist.

Integrität: normal

Begründung: Falsche Daten können dazu führen, dass Zahlungen den Parkplatzinhabern nicht zugeordnet werden können. Die Auswirkungen sind jedoch überschaubar und Probleme schnell bereinigt.

Verfügbarkeit: normal

Begründung: Ein Verlust der Daten sorgt ähnlich wie die Unrichtigkeit der Daten dafür, dass Zahlungen und Parkplätze den Parkplatzinhabern nicht zugeordnet werden können. Aufgrund regelmäßiger Datensicherungen ist eine rasche Wiederherstellung jedoch problemlos möglich. Die Auswirkungen sind eher unbedeutend, da die Daten nicht für eine kurzfristige Nutzung erforderlich sind.

Die Bewertungskriterien für die Schutzbedarfsfeststellung sind in Anhang Schutzbedarfsfeststellung aufgeführt.

15.3     Risikobewertung:

Das Risiko für diese Verarbeitungstätigkeit wurde als nicht hoch bewertet.

Als ausschlaggebend für diese Bewertung ist die ungünstigste Bewertung der Einzelrisiken aus den Bereichen Vertraulichkeit, Integrität und Verfügbarkeit. Diese wurden in Schweregrad und Eintrittswahrscheinlichkeit bewertet. Es wird von einem hohen Risiko ausgegangen, wenn beide Bewertungen mindestens als substanziell eingestuft wurden.

 

Schweregrad des Risikos

Eintrittswahrscheinlichkeit

Vertraulichkeit

überschaubar

Grund: Vor allem der Verlust von Bankdaten für Privatpersonen an Unbefugte kann für den Betroffenen für deutliche Unannehmlichkeiten sorgen, die jedoch trotz einiger Schwierigkeiten überwindbar sind. Die möglichen Folgen wie ungeplante Zahlungen müssen hier als schwerwiegendste mögliche Folgen in Betracht gezogen werden. Dies entspricht der Einstufung als überschaubaren Schweregrad des von deutschen Datenschutzbehörden empfohlenen PIA-Tools zur Erstellung von Risikoanalysen und Datenschutz-Folgenabschätzungen.

geringfügig

Grund: Die sensiblen Bankdaten der Betroffenen sind werden mit einer Software verarbeitet, die auf ausschließlich einem Rechner lokal installiert ist. Der Raum des Rechners wird bei Verlassen des Mitarbeiters abgeschlossen. Der Mitarbeiter ist geschult, sensibilisiert, zur Verschwiegenheit verpflichtet und nutzt sichere, einmalige Passwörter.

Für die IT-Sicherheit (z.B. hinsichtlich regelmäßiger Sicherheitsupdates, Firewall, Backups, Virenschutz, etc.) sorgt ein externes Unternehmen.

Integrität

geringfügig

Grund: Betroffene werden durch mangelnde Datenintegrität kaum beeinträchtigt. Falsche Daten können dazu führen, dass Zahlungen den Parkplatzinhabern nicht zugeordnet werden können. Die Auswirkungen sind jedoch überschaubar und Probleme schnell bereinigt.

überschaubar

Grund: Falsche Daten sind durchaus möglich. Dies ist seitens des Verantwortlichen bspw. nicht vermeidbar, wenn der Betroffene den Wohnsitz wechselt oder einen ehebedingten Namenswechsel erfährt und diese Änderungen nicht meldet. Dies bleibt jedoch ein eher selten eintretender Fall.

Verfügbarkeit

geringfügig

Grund: Von einer mangelnden Verfügbarkeit sind Betroffene nicht beeinträchtigt. Der Datenverlust kann über Datensicherungen jederzeit wiederhergestellt werden. Zudem ist eine kurzfristige Verfügbarkeit der Daten nicht erforderlich.

überschaubar

Grund: Ein Datenverlust ist möglich. Dies kann sowohl durch menschliches Versagen (versehentliches Vernichten der Daten) als auch durch kriminelle Energie (Viren, Verschlüsselungs-trojaner, etc.) erfolgen.

In den meisten Fällen muss jedoch davon ausgegangen werden, dass ein solcher Vorfall entdeckt und darauf reagiert wird.

Gegen das versehentliche Löschen, Verschlüsselungstrojaner etc. hilft zudem das regelmäßig erstellte Backup.

 

Die Bewertungskriterien für die Risikobewertung sind in Anhang Risikobewertung aufgeführt.

 

 

Die Risikobewertung dient zur Feststellung der Erforderlichkeit einer Datenschutz-Folgenabschätzung. Darüber hinaus ist es erforderlich das Risiko der Verarbeitungstätigkeit zu kennen, um mögliche und eintretende Datenschutzverstöße bzgl. Meldepflicht und Informationspflicht bewerten zu können.

15.4     Fazit

Es ist bei dieser Verarbeitungstätigkeit von keinem hohen Risiko auszugehen.

Es muss vorbehaltlich einer Auflistung der Aufsichtsbehörden keine DSFA durchgeführt werden.


Personalmanagement

1.    Verantwortliche Organisationseinheit:

Geschäftsführung

2.    Fachverantwortlicher:

Petra Schuhmann, E-Mail: schuhmann@ab-ulm.de, Tel.:  0731 – 140057-16

3.    Zwecke der Verarbeitungstätigkeit:

Zwecke der Verarbeitung sind:

·        die Abrechnung von Lohn und Gehalt einschließlich Spesenabrechnungen

·        die Erfassung der Arbeits-, Urlaubs- und Fehlzeiten, beispielsweise zur Führung eines Arbeitszeitkontos sowie der Abwesenheitsplanung

·        die Personalaktenführung zur Verwaltung der Mitarbeiter

·        die Erfassung und der Nachweis der Durchführung von Schulungen und sonstigen Maßnahmen

·        die Prüfung der Zugangs- und Zutrittsberechtigung

·        Abrechnungsdaten können evtl. für die Abrechnung von Projekten mit dem ESF verarbeitet werden

·        ggf. die Vorstellung unseres Unternehmens und seiner Mitarbeiter zu Marketingzwecken in Print- und elektronischen Medien (auf Basis der Einwilligung).

 

4.    Kategorien personenbezogener Daten:

·        Mitarbeiterdaten

o   Name

o   Anschrift

o   Zeitwirtschaftsdaten

o   Daten zur Arbeitsleistung

o   Lebenslauf

o   Bewerbungsunterlagen

o   Religionszugehörigkeit

·        Abrechnungsdaten

o   Bankverbindungsdaten

o   Lohn-/Entgeltdaten

o   Sozialversicherungsdaten

·        Steuerdaten wie Steuerklasse oder Freibeträge

 

5.    Kategorien betroffener Personen:

Von der hier beschriebenen Datenverarbeitung sind alle Mitarbeiter, Auszubildende und Praktikanten betroffen.

6.    Kategorien von Empfängern:

Die Daten werden im Rahmen der Zweckbestimmung unter Beachtung der jeweiligen datenschutz-rechtlichen Regelungen bzw. etwaiger vorliegender Einwilligungserklärungen erhoben und ggf. an andere Empfänger und Dritte übermittelt. Als solche kommen insbesondere in Betracht: 

Empfänger intern:

  • Geschäftsführung
  • Verwaltung
  • Vorstand

Empfänger extern: 

  • Einzugsstellen, insb. Krankenkassen, Rentenversicherungen
  • Ggf. Arbeitsamt
  • Berufsschulen
  • Abrechnungsstellen des Europäischen Sozialfonds
  • Schulungsdienstleister
  • Steuerberater
  • Auftragsverarbeiter im Sinne der DSGVO
  • Verantwortliche öffentliche Stellen

Externe Datenverarbeiter können beispielsweise solche in den Bereichen Wartung und Pflege der EDV-Systeme oder der Unternehmens-Webseite sein. Diese sind in der Regel Auftragsverarbeiter im Sinne von Art. 4 Nr. 10 DSGVO, so dass die Verarbeitung der Daten durch sie keine Übermittlung im Sinne von Art. 4 Nr. 2 DSGVO darstellt. 

Als Empfänger kommt bei der Erfüllung gesetzlicher Übermittlungspflichten zudem das Finanzamt in Betracht, insbesondere nach  Abgabenordnung (§ 147 AO) und Umsatzsteuergesetz  (§ 14 UStG).

6.1        Auftragnehmer (Auftragsverarbeiter):

·        Stefan Mende (Schweinfurth)

·        IT sure GmbH (Neu-Ulm)

 

7.    Zugriffsberechtigte:

Zugriffsberechtigt auf die verarbeiteten personenbezogenen Daten seitens der der Anderen Baustelle Ulm e.V. sind ausschließlich die Geschäftsführung, der Vorstand und die Verwaltung.

8.    Rechtsgrundlage der Verarbeitungstätigkeit:

Die Verarbeitung ist für Zwecke des Beschäftigungsverhältnisses gem. Art. 88 DSGVO i.V.m. § 26 Abs. 1 BDSG-neu erforderlich und dient somit der Erfüllung eines Vertrags gem. Art. 6 Abs. 1 lit. b DSGVO.

Darüber hinaus ist die Verarbeitung zur Erfüllung der rechtlichen Verpflichtung bzgl. der gesetzlichen Aufbewahrung (z.B. für Arbeitszeitnachweise oder steuerlich relevante Dokumente) gem. Art. 6 Abs. 1 lit. c DSGVO erforderlich.

Insgesamt bestehen in Deutschland eine Vielzahl von Rechtsgrundlagen für eine Verarbeitung Ihrer Daten. Als Rechtsgrundlagen für die Verarbeitung sei hier beispielhaft die Datenverarbeitung aufgrund gesetzlicher Aufbewahrungsfristen, die sich für die hier beschriebene Verarbeitungstätigkeit in erster Linie aus § 155 BGB, § 147 AO und §16 ArbZG ergeben, genannt.

Daneben erfolgen die Verarbeitungen auch in den Fällen, in denen Sie uns Ihre Einwilligung gegeben haben.

9.        Bereitstellung der Daten:

Die in dieser Verarbeitungstätigkeit genannten Daten sind für den Abschluss eines Arbeitsvertrages oder die Begründung eines sonstigen Beschäftigungsverhältnisses zwingend erforderlich. Ein Beschäftigungsverhältnis ist ohne Bereitstellung der Daten gesetzlich nicht zulässig.

10.    Quelle der Daten

Die Daten werden über den Einstellungsprozesses direkt von der betroffenen Person erhoben. Ein Teil der Daten geht zudem aus dem Bewerbungsprozess mit ein.

11.    Informationspflichten:

Die Mitarbeiter werden über Art und Umfang der Verarbeitung ihrer Daten gemäß Artikel 13 DSGVO informiert. Dies erfolgt schriftlich über einen Anhang zum Arbeitsvertrag.

12.    Datenübermittlungen in Drittländer oder internationale Organisationen:

Die personenbezogenen Daten werden innerhalb Deutschlands, der EU oder des Europäischen Wirtschaftsraumes verarbeitet. In allen diesen Ländern besteht aufgrund der EU Datenschutz-Grundverordnung ein einheitlich hohes Datenschutzniveau, wonach Ihre Daten umfangreich geschützt sind.

Es findet keine geplante Übermittlung in Drittstaaten statt.

13.    Fristen für die Löschung der Datenkategorien:

Die von uns erhobenen personenbezogenen Daten werden bis zum Ablauf der gesetzlichen Aufbewahrungspflicht gespeichert und danach gelöscht, es sei denn, dass nach Artikel 6 Abs. 1 S. 1 lit. c DSGVO aufgrund von steuer- und handelsrechtlichen Aufbewahrungs- und Dokumentationspflichten (aus HGB, StGB oder AO) die Verpflichtung zur längerfristigen Speicherung der Daten besteht oder Sie in eine darüberhinausgehende Speicherung nach Art. 6 Abs. 1 S. 1 lit. a DSGVO eingewilligt haben.

Vorbehaltlich solcher Aufbewahrungspflichten werden Daten gelöscht, wenn der Zweck, zu dem sie erhoben wurden, weggefallen ist.

14.    Eingesetzte Anwendungen:

·        SFirm

·        Microsoft Office

·        Microsoft Outlook

·        Lexware financial office plus

·        Adobe Acrobat

 

15.    Risikoanalyse:

15.1     Schwellenwertanalyse (nach G29)

Findet eine Bewertung oder Einstufung betroffener Personen statt?

nein

Findet eine automatisierte Entscheidungsfindung mit Rechtswirkung oder ähnlich bedeutsamer Wirkung statt?

nein

Findet eine systematische Überwachung statt?

nein

Werden Daten verarbeitet, die vertraulich sind oder sich auf den höchstpersönlichen Lebensbereich der betroffenen Personen beziehen?

ja

Werden Daten in großem Umfang verarbeitet?

nein

Werden Daten verarbeitet, die in besonderer Weise zu Identitätsdiebstahl bzw. Identitätsbetrug genutzt werden können?

nein

Werden Daten verarbeitet, die zum Abgleichen oder Zusammenführen von Datensätzen genutzt werden können?

nein

Werden Daten verarbeitet, deren mangelnder Schutz finanzielle Risiken oder erhebliche wirtschaftliche Nachteile für die betroffenen Personen birgt?

nein

Werden Daten von Schutzbedürftigen verarbeitet?

nein

Findet eine innovative Nutzung oder Anwendung neuer technologischer oder organisatorischer Lösungen statt?

nein

Birgt die Verarbeitung die Gefahr, dass die betroffenen Personen an der Ausübung eines Rechts oder der Nutzung einer Dienstleistung bzw. Durchführung eines Vertrags gehindert werden?

nein

Je mehr eine Verarbeitung diese Kriterien erfüllt, desto verpflichtender hält die G29* eine Folgenabschätzung. Die Gruppe schlägt vor, dass eine Risikobewertung notwendig ist, sobald eine Verarbeitung zwei oder mehr Punkte erfüllt.

Es muss vorbehaltlich einer Auflistung der Aufsichtsbehörden keine DSFA durchgeführt werden.

* Die G29 ist ein unabhängiges Beratungsgremium der Europäischen Kommission. Seine Aufgabe ist es, Informationen, Empfehlungen und Stellungnahmen zu Themen auszuarbeiten, die in puncto Datenschutz bei der Verarbeitung personenbezogener Daten in der Europäischen Gemeinschaft relevant sind.

15.2     Schutzbedarfsfeststellung:

Vertraulichkeit: hoch

Begründung:

Integrität: normal

Begründung:

Verfügbarkeit: normal

Begründung:

Die Bewertungskriterien für die Schutzbedarfsfeststellung sind in Anhang Schutzbedarfsfeststellung aufgeführt.

15.3     Risikobewertung:

Das Risiko für diese Verarbeitungstätigkeit wurde als nicht hoch bewertet.

Als ausschlaggebend für diese Bewertung ist die ungünstigste Bewertung der Einzelrisiken aus den Bereichen Vertraulichkeit, Integrität und Verfügbarkeit. Diese wurden in Schweregrad und Eintrittswahrscheinlichkeit bewertet. Es wird von einem hohen Risiko ausgegangen, wenn beide Bewertungen mindestens als substanziell eingestuft wurden.

 

Schweregrad des Risikos

Eintrittswahrscheinlichkeit

Vertraulichkeit

überschaubar

Grund:

geringfügig

Grund:

 

Integrität

geringfügig

Grund:

überschaubar

Grund:

Verfügbarkeit

geringfügig

Grund:

überschaubar

Grund:

 

 

Die Bewertungskriterien für die Risikobewertung sind in Anhang Risikobewertung aufgeführt.

 

 

Die Risikobewertung dient zur Feststellung der Erforderlichkeit einer Datenschutz-Folgenabschätzung. Darüber hinaus ist es erforderlich das Risiko der Verarbeitungstätigkeit zu kennen, um mögliche und eintretende Datenschutzverstöße bzgl. Meldepflicht und Informationspflicht bewerten zu können.

15.4     Fazit

Es ist bei dieser Verarbeitungstätigkeit von keinem hohen Risiko auszugehen.

Es muss vorbehaltlich einer Auflistung der Aufsichtsbehörden keine DSFA durchgeführt werden.


 

Schreinerdienstleistung

1.    Verantwortliche Organisationseinheit:

Geschäftsführung

2.    Fachverantwortlicher:

Petra Schuhmann, E-Mail: schuhmann@ab-ulm.de, Tel.:  0731 – 140057-16

3.    Zwecke der Verarbeitungstätigkeit:

Im Rahmen dieser Verarbeitungstätigkeit werden personenbezogene Daten erhoben, erfasst, gespeichert, verarbeitet, abgefragt, genutzt, übermittelt usw. Insgesamt spricht man von der „Verarbeitung“ von Daten. Dieser Begriff der „Verarbeitung“ bildet den Oberbegriff über alle diese Tätigkeiten.

Zweck der Datenverarbeitung ist die Erbringung und Abrechnung der vertraglich festgelegten Schreinerdienstleistung. Neben diesen Verarbeitungen bedarf es auch einer verwaltungsmäßigen Abwicklung zum Zwecke der Abrechnung dieser Dienstleistung. Diese Verarbeitung erfolgt aus Gründen des Controllings/der Rechnungsprüfung, zur Geltendmachung, Ausübung sowie Verteidigung von Rechtsansprüchen usw.

Ferner erfolgen Datenverarbeitungen zu Zwecken der Betreuung und Wartung von IT-Systemen und Anwendungen.

4.    Kategorien personenbezogener Daten:

·        Mitarbeiterdaten

o   Name

o   Anschrift

·        Bankverbindungsdaten

·        Ggf. Steuernummer

 

5.    Kategorien betroffener Personen:

Von der hier beschriebenen Datenverarbeitung sind alle Kunden der Schreinerwerkstatt betroffen.

6.    Kategorien von Empfängern:

Die Daten werden im Rahmen der Zweckbestimmung unter Beachtung der jeweiligen datenschutz-rechtlichen Regelungen bzw. etwaiger vorliegender Einwilligungserklärungen erhoben und ggf. an andere Empfänger und Dritte übermittelt. Als solche kommen insbesondere in Betracht: 

Empfänger intern:

  • Geschäftsführung
  • Verwaltung
  • Betriebsleitung Schreinerei

Empfänger extern: 

  • Steuerberater
  • Auftragsverarbeiter im Sinne der DSGVO

Externe Datenverarbeiter können beispielsweise solche in den Bereichen Wartung und Pflege der EDV-Systeme oder der Unternehmens-Webseite sein. Diese sind in der Regel Auftragsverarbeiter im Sinne von Art. 4 Nr. 10 DSGVO, so dass die Verarbeitung der Daten durch sie keine Übermittlung im Sinne von Art. 4 Nr. 2 DSGVO darstellt. 

Als Empfänger kommt bei der Erfüllung gesetzlicher Übermittlungspflichten zudem das Finanzamt in Betracht, insbesondere nach Abgabenordnung (§ 147 AO) und Umsatzsteuergesetz (§ 14 UStG).

6.1        Auftragnehmer (Auftragsverarbeiter):

·        Stefan Mende (Schweinfurth)

·        IT sure GmbH (Neu-Ulm)

·        Sander und Doll (Remscheid)

 

7.    Zugriffsberechtigte:

Zugriffsberechtigt auf die verarbeiteten personenbezogenen Daten seitens der der Anderen Baustelle Ulm e.V. sind ausschließlich die Geschäftsführung, die Betriebsleitung der Schreinerei und die Verwaltung.

8.    Rechtsgrundlage der Verarbeitungstätigkeit:

Die Verarbeitung ist für die Erfüllung eines Vertrags oder einer vorvertraglichen Maßnahme gem. Art. 6 Abs. 1 lit. b DSGVO erforderlich.

Darüber hinaus ist die Verarbeitung zur Erfüllung der rechtlichen Verpflichtung bzgl. der gesetzlichen Aufbewahrung steuerlich relevanter Dokumente gem. Art. 6 Abs. 1 lit. c DSGVO erforderlich.

Insgesamt bestehen in Deutschland eine Vielzahl von Rechtsgrundlagen für eine Verarbeitung Ihrer Daten. Als Rechtsgrundlagen für die Verarbeitung sei hier beispielhaft die Datenverarbeitung aufgrund gesetzlicher Aufbewahrungsfristen, die sich für die hier beschriebene Verarbeitungstätigkeit in erster Linie aus § 147 AO und §14 UStG ergeben, genannt.

9.        Bereitstellung der Daten:

Die in dieser Verarbeitungstätigkeit genannten Daten sind für den Abschluss eines Dienstleistungs- und Kaufvertrages zwingend erforderlich. Eine Auftragserteilung ist ohne Bereitstellung der Daten nicht möglich.

10.    Quelle der Daten

Die Daten werden bei der Auftragserteilung direkt von der betroffenen Person erhoben.

11.    Informationspflichten:

Der Betroffene über Art und Umfang der Verarbeitung ihrer Daten gemäß Artikel 13 DSGVO informiert. Dies erfolgt zum Zeitpunkt der Auftragsannahme.

12.    Datenübermittlungen in Drittländer oder internationale Organisationen:

Die personenbezogenen Daten werden innerhalb Deutschlands, der EU oder des Europäischen Wirtschaftsraumes verarbeitet. In allen diesen Ländern besteht aufgrund der EU Datenschutz-Grundverordnung ein einheitlich hohes Datenschutzniveau, wonach Ihre Daten umfangreich geschützt sind.

Es findet keine geplante Übermittlung in Drittstaaten statt.

13.    Fristen für die Löschung der Datenkategorien:

Die Daten werden für 10 Jahre aufbewahrt und anschließend gelöscht. Dies entspricht der gesetzlichen Aufbewahrungsfrist für steuerlich relevante Unterlagen gemäß §147 AO. Sofern keine weiteren vertraglichen oder gesetzlichen Aufbewahrungsfristen bestehen werden personenbezogene Daten nach Zweckerfüllung gelöscht.

14.    Eingesetzte Anwendungen:

·        SFirm

·        Microsoft Office

·        Microsoft Outlook

·        Adobe Acrobat

 

15.    Risikoanalyse:

15.1     Schwellenwertanalyse (nach G29)

Findet eine Bewertung oder Einstufung betroffener Personen statt?

nein

Findet eine automatisierte Entscheidungsfindung mit Rechtswirkung oder ähnlich bedeutsamer Wirkung statt?

nein

Findet eine systematische Überwachung statt?

nein

Werden Daten verarbeitet, die vertraulich sind oder sich auf den höchstpersönlichen Lebensbereich der betroffenen Personen beziehen?

nein

Werden Daten in großem Umfang verarbeitet?

nein

Werden Daten verarbeitet, die in besonderer Weise zu Identitätsdiebstahl bzw. Identitätsbetrug genutzt werden können?

nein

Werden Daten verarbeitet, die zum Abgleichen oder Zusammenführen von Datensätzen genutzt werden können?

nein

Werden Daten verarbeitet, deren mangelnder Schutz finanzielle Risiken oder erhebliche wirtschaftliche Nachteile für die betroffenen Personen birgt?

nein

Werden Daten von Schutzbedürftigen verarbeitet?

nein

Findet eine innovative Nutzung oder Anwendung neuer technologischer oder organisatorischer Lösungen statt?

nein

Birgt die Verarbeitung die Gefahr, dass die betroffenen Personen an der Ausübung eines Rechts oder der Nutzung einer Dienstleistung bzw. Durchführung eines Vertrags gehindert werden?

nein

Je mehr eine Verarbeitung diese Kriterien erfüllt, desto verpflichtender hält die G29* eine Folgenabschätzung. Die Gruppe schlägt vor, dass eine Risikobewertung notwendig ist, sobald eine Verarbeitung zwei oder mehr Punkte erfüllt.

Es muss vorbehaltlich einer Auflistung der Aufsichtsbehörden keine DSFA durchgeführt werden.

* Die G29 ist ein unabhängiges Beratungsgremium der Europäischen Kommission. Seine Aufgabe ist es, Informationen, Empfehlungen und Stellungnahmen zu Themen auszuarbeiten, die in puncto Datenschutz bei der Verarbeitung personenbezogener Daten in der Europäischen Gemeinschaft relevant sind.

15.2     Schutzbedarfsfeststellung:

Vertraulichkeit: normal

Begründung:

Integrität: normal

Begründung:

Verfügbarkeit: normal

Begründung:

Die Bewertungskriterien für die Schutzbedarfsfeststellung sind in Anhang Schutzbedarfsfeststellung aufgeführt.

15.3     Risikobewertung:

Das Risiko für diese Verarbeitungstätigkeit wurde als nicht hoch bewertet.

Als ausschlaggebend für diese Bewertung ist die ungünstigste Bewertung der Einzelrisiken aus den Bereichen Vertraulichkeit, Integrität und Verfügbarkeit. Diese wurden in Schweregrad und Eintrittswahrscheinlichkeit bewertet. Es wird von einem hohen Risiko ausgegangen, wenn beide Bewertungen mindestens als substanziell eingestuft wurden.

 

Schweregrad des Risikos

Eintrittswahrscheinlichkeit

Vertraulichkeit

geringfügig

Grund:

geringfügig

Grund:

Integrität

geringfügig

Grund:

geringfügig

Grund:

Verfügbarkeit

geringfügig

Grund:

geringfügig

Grund:

 

 

Die Bewertungskriterien für die Risikobewertung sind in Anhang Risikobewertung aufgeführt.

 

 

Die Risikobewertung dient zur Feststellung der Erforderlichkeit einer Datenschutz-Folgenabschätzung. Darüber hinaus ist es erforderlich das Risiko der Verarbeitungstätigkeit zu kennen, um mögliche und eintretende Datenschutzverstöße bzgl. Meldepflicht und Informationspflicht bewerten zu können.

15.4     Fazit

Es ist bei dieser Verarbeitungstätigkeit von keinem hohen Risiko auszugehen.

Es muss vorbehaltlich einer Auflistung der Aufsichtsbehörden keine DSFA durchgeführt werden.


 

Spenden und Sponsoring

1.    Verantwortliche Organisationseinheit:

Geschäftsführung

2.    Fachverantwortlicher:

Petra Schuhmann, E-Mail: schuhmann@ab-ulm.de, Tel.:  0731 – 140057-16

3.    Zwecke der Verarbeitungstätigkeit:

Im Rahmen dieser Verarbeitungstätigkeit werden personenbezogene Daten erhoben, erfasst, gespeichert, verarbeitet, abgefragt, genutzt, übermittelt usw. Insgesamt spricht man von der „Verarbeitung“ von Daten. Dieser Begriff der „Verarbeitung“ bildet den Oberbegriff über alle diese Tätigkeiten.

Zweck der Datenverarbeitung ist das Ausstellen von Spendenquittungen nach erfolgten Spenden, die Überprüfung der Eingänge nach dem Geldwäschegesetz sowie die Erfüllung der Nachweispflicht gegenüber dem Finanzamt.

Ferner erfolgen Datenverarbeitungen zu Zwecken der Betreuung und Wartung von IT-Systemen und Anwendungen.

4.    Kategorien personenbezogener Daten:

·        Mitarbeiterdaten

o   Name

o   Anschrift

·        Bankverbindungsdaten

 

5.    Kategorien betroffener Personen:

Von der hier beschriebenen Datenverarbeitung sind alle Spendenden und Sponsoren der Anderen Baustelle Ulm e.V. betroffen.

6.    Kategorien von Empfängern:

Die Daten werden im Rahmen der Zweckbestimmung unter Beachtung der jeweiligen datenschutz-rechtlichen Regelungen bzw. etwaiger vorliegender Einwilligungserklärungen erhoben und ggf. an andere Empfänger und Dritte übermittelt. Als solche kommen insbesondere in Betracht: 

Empfänger intern:

  • Geschäftsführung
  • Verwaltung
  • Vorstand

Empfänger extern: 

  • Steuerberater
  • Finanzamt
  • Auftragsverarbeiter im Sinne der DSGVO

Externe Datenverarbeiter können beispielsweise solche in den Bereichen Wartung und Pflege der EDV-Systeme oder der Unternehmens-Webseite sein. Diese sind in der Regel Auftragsverarbeiter im Sinne von Art. 4 Nr. 10 DSGVO, so dass die Verarbeitung der Daten durch sie keine Übermittlung im Sinne von Art. 4 Nr. 2 DSGVO darstellt. 

6.1        Auftragnehmer (Auftragsverarbeiter):

·        Stefan Mende (Schweinfurth)

·        IT sure GmbH (Neu-Ulm)

 

7.    Zugriffsberechtigte:

Zugriffsberechtigt auf die verarbeiteten personenbezogenen Daten seitens der der Anderen Baustelle Ulm e.V. sind ausschließlich die Geschäftsführung, der Vorstand und die Verwaltung.

8.    Rechtsgrundlage der Verarbeitungstätigkeit:

Die Verarbeitung ist für die Erfüllung eines Vertrags oder einer vorvertraglichen Maßnahme gem. Art. 6 Abs. 1 lit. b DSGVO erforderlich.

Darüber hinaus ist die Verarbeitung zur Erfüllung der rechtlichen Verpflichtung bzgl. der gesetzlichen Aufbewahrung steuerlich relevanter Dokumente gem. Art. 6 Abs. 1 lit. c DSGVO erforderlich.

Insgesamt bestehen in Deutschland eine Vielzahl von Rechtsgrundlagen für eine Verarbeitung Ihrer Daten. Als Rechtsgrundlagen für die Verarbeitung sei hier beispielhaft die Datenverarbeitung aufgrund gesetzlicher Aufbewahrungsfristen, die sich für die hier beschriebene Verarbeitungstätigkeit in erster Linie aus § 147 AO und §14 UStG ergeben, genannt.

9.        Quelle der Daten

Die Daten werden bei beim Empfang der Spende oder Abschluss des Sponsorenvertrags direkt von der betroffenen Person erhoben.

10.    Informationspflichten:

Der Betroffene über Art und Umfang der Verarbeitung ihrer Daten gemäß Artikel 13 DSGVO informiert. Dies erfolgt über Veröffentlichung des entsprechenden Informationsdokuments über die Homepage und im Rahmen des E-Mail-Verkehrs.

11.    Datenübermittlungen in Drittländer oder internationale Organisationen:

Die personenbezogenen Daten werden innerhalb Deutschlands, der EU oder des Europäischen Wirtschaftsraumes verarbeitet. In allen diesen Ländern besteht aufgrund der EU Datenschutz-Grundverordnung ein einheitlich hohes Datenschutzniveau, wonach Ihre Daten umfangreich geschützt sind.

Es findet keine geplante Übermittlung in Drittstaaten statt.

12.    Fristen für die Löschung der Datenkategorien:

Die Daten werden für 10 Jahre aufbewahrt und anschließend gelöscht. Dies entspricht der gesetzlichen Aufbewahrungsfrist für steuerlich relevante Unterlagen gemäß §147 AO. Sofern keine weiteren vertraglichen oder gesetzlichen Aufbewahrungsfristen bestehen werden personenbezogene Daten nach Zweckerfüllung gelöscht.

13.    Eingesetzte Anwendungen:

·        SFirm

·        Microsoft Office

·        Microsoft Outlook

·        DATEV

 

14.    Risikoanalyse:

14.1     Schwellenwertanalyse (nach G29)

Findet eine Bewertung oder Einstufung betroffener Personen statt?

nein

Findet eine automatisierte Entscheidungsfindung mit Rechtswirkung oder ähnlich bedeutsamer Wirkung statt?

nein

Findet eine systematische Überwachung statt?

nein

Werden Daten verarbeitet, die vertraulich sind oder sich auf den höchstpersönlichen Lebensbereich der betroffenen Personen beziehen?

nein

Werden Daten in großem Umfang verarbeitet?

nein

Werden Daten verarbeitet, die in besonderer Weise zu Identitätsdiebstahl bzw. Identitätsbetrug genutzt werden können?

nein

Werden Daten verarbeitet, die zum Abgleichen oder Zusammenführen von Datensätzen genutzt werden können?

nein

Werden Daten verarbeitet, deren mangelnder Schutz finanzielle Risiken oder erhebliche wirtschaftliche Nachteile für die betroffenen Personen birgt?

nein

Werden Daten von Schutzbedürftigen verarbeitet?

nein

Findet eine innovative Nutzung oder Anwendung neuer technologischer oder organisatorischer Lösungen statt?

nein

Birgt die Verarbeitung die Gefahr, dass die betroffenen Personen an der Ausübung eines Rechts oder der Nutzung einer Dienstleistung bzw. Durchführung eines Vertrags gehindert werden?

nein

Je mehr eine Verarbeitung diese Kriterien erfüllt, desto verpflichtender hält die G29* eine Folgenabschätzung. Die Gruppe schlägt vor, dass eine Risikobewertung notwendig ist, sobald eine Verarbeitung zwei oder mehr Punkte erfüllt.

Es muss vorbehaltlich einer Auflistung der Aufsichtsbehörden keine DSFA durchgeführt werden.

* Die G29 ist ein unabhängiges Beratungsgremium der Europäischen Kommission. Seine Aufgabe ist es, Informationen, Empfehlungen und Stellungnahmen zu Themen auszuarbeiten, die in puncto Datenschutz bei der Verarbeitung personenbezogener Daten in der Europäischen Gemeinschaft relevant sind.

14.2     Schutzbedarfsfeststellung:

Vertraulichkeit: normal

Begründung:

Integrität: normal

Begründung:

Verfügbarkeit: normal

Begründung:

Die Bewertungskriterien für die Schutzbedarfsfeststellung sind in Anhang Schutzbedarfsfeststellung aufgeführt.

14.3     Risikobewertung:

Das Risiko für diese Verarbeitungstätigkeit wurde als nicht hoch bewertet.

Als ausschlaggebend für diese Bewertung ist die ungünstigste Bewertung der Einzelrisiken aus den Bereichen Vertraulichkeit, Integrität und Verfügbarkeit. Diese wurden in Schweregrad und Eintrittswahrscheinlichkeit bewertet. Es wird von einem hohen Risiko ausgegangen, wenn beide Bewertungen mindestens als substanziell eingestuft wurden.

 

Schweregrad des Risikos

Eintrittswahrscheinlichkeit

Vertraulichkeit

geringfügig

Grund:

geringfügig

Grund:

Integrität

geringfügig

Grund:

geringfügig

Grund:

Verfügbarkeit

geringfügig

Grund:

geringfügig

Grund:

 

 

Die Bewertungskriterien für die Risikobewertung sind in Anhang Risikobewertung aufgeführt.

 

 

Die Risikobewertung dient zur Feststellung der Erforderlichkeit einer Datenschutz-Folgenabschätzung. Darüber hinaus ist es erforderlich das Risiko der Verarbeitungstätigkeit zu kennen, um mögliche und eintretende Datenschutzverstöße bzgl. Meldepflicht und Informationspflicht bewerten zu können.

14.4     Fazit

Es ist bei dieser Verarbeitungstätigkeit von keinem hohen Risiko auszugehen.

Es muss vorbehaltlich einer Auflistung der Aufsichtsbehörden keine DSFA durchgeführt werden.


 

Anhang

Schutzbedarfsfeststellung

Die Schutzbedarfsermittlung erfolgt nach BSI-Standard 100-2. Berücksichtigt werden Schäden, die bei Verlust der Vertraulichkeit, Integrität oder Verfügbarkeit für einen Geschäftsprozess bzw. eine Anwendung einschließlich ihrer Daten entstehen können. Die angewandten Schutzbedarfskategorien unterteilen sich in:

·        „normal“ - die Schadensauswirkungen sind begrenzt und überschaubar

·        „hoch“ - die Schadensauswirkungen können beträchtlich sein

·        „sehr hoch“ - die Schadensauswirkungen können ein existentiell bedrohliches, katastrophales Ausmaß erreichen

und werden in 6 verschiedene Schadensszenarien gruppiert. Häufig treffen dabei für einen Schaden mehrere Schadensszenarien zu. So kann beispielsweise der Ausfall einer Anwendung die Aufgabenerfüllung beeinträchtigen, was direkte finanzielle Einbußen nach sich zieht und gleichzeitig auch zu einem Imageverlust führt.

 

Die Abgrenzung der einzelnen Kategorien erfolgt über die folgenden vom BSI-Standard vorgeschlagenen Orientierungstabellen:

Schutzbedarfskategorie „normal“

1.      Verstoß gegen Gesetze, Vorschriften und Verträge

·        Verstöße gegen Vorschriften und Gesetze mit geringfügigen Konsequenzen

·        Geringfügige Vertragsverletzungen mit maximal geringen Konventionalstrafen

2.      Beeinträchtigung des informationellen Selbstbestimmungsrechts

·        Es handelt sich um personenbezogene Daten, durch deren Verarbeitung der Betroffene in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen beeinträchtigt werden kann.

3.      Beeinträchtigung der persönlichen Unversehrtheit

·        Eine Beeinträchtigung erscheint nicht möglich.

4.      Beeinträchtigung der Aufgabenerfüllung

·        Die Beeinträchtigung würde von den Betroffenen als tolerabel eingeschätzt werden.

·        Die maximal tolerierbare Ausfallzeit ist größer als 24 Stunden.

5.      Negative Innen- oder Außenwirkung

·        Eine geringe bzw. nur interne Ansehens- oder Vertrauensbeeinträchtigung ist zu erwarten.

6.      Finanzielle Auswirkungen

·        Der finanzielle Schaden bleibt für die Institution tolerabel.

 


 

Schutzbedarfskategorie „hoch“

1.      Verstoß gegen Gesetze, Vorschriften und Verträge

·        Verstöße gegen Vorschriften und Gesetze mit erheblichen Konsequenzen

·        Vertragsverletzungen mit hohen Konventionalstrafen

2.      Beeinträchtigung des informationellen Selbstbestimmungsrechts

·        Es handelt sich um personenbezogene Daten, bei deren Verarbeitung der Betroffene in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen erheblich beeinträchtigt werden kann.

3.      Beeinträchtigung der persönlichen Unversehrtheit

·        Eine Beeinträchtigung der persönlichen Unversehrtheit kann nicht absolut ausgeschlossen werden.

4.      Beeinträchtigung der Aufgabenerfüllung

·        Die Beeinträchtigung würde von einzelnen Betroffenen als nicht tolerabel eingeschätzt.

·        Die maximal tolerierbare Ausfallzeit liegt zwischen einer und 24 Stunden.

5.      Negative Innen- oder Außenwirkung

·        Eine breite Ansehens- oder Vertrauensbeeinträchtigung ist zu erwarten.

6.      Finanzielle Auswirkungen

·        Der Schaden bewirkt beachtliche finanzielle Verluste, ist jedoch nicht existenzbedrohend.

 

Schutzbedarfskategorie „sehr hoch“

1.      Verstoß gegen Gesetze, Vorschriften und Verträge

·        Fundamentaler Verstoß gegen Vorschriften und Gesetze

·        Vertragsverletzungen, deren Haftungsschäden ruinös sind

2.      Beeinträchtigung des informationellen Selbstbestimmungsrechts

·        Es handelt sich um personenbezogene Daten, bei deren Verarbeitung eine Gefahr für Leib und Leben oder die persönliche Freiheit des Betroffenen gegeben ist.

3.      Beeinträchtigung der persönlichen Unversehrtheit

·        Gravierende Beeinträchtigungen der persönlichen Unversehrtheit sind möglich.

·        Gefahr für Leib und Leben

4.      Beeinträchtigung der Aufgabenerfüllung

·        Die Beeinträchtigung würde von allen Betroffenen als nicht tolerabel eingeschätzt werden.

·        Die maximal tolerierbare Ausfallzeit ist kleiner als eine Stunde.

5.      Negative Innen- oder Außenwirkung

·        Eine landesweite Ansehens- oder Vertrauensbeeinträchtigung, eventuell sogar existenzgefährdender Art, ist denkbar.

6.      Finanzielle Auswirkungen

·        Der finanzielle Schaden ist für die Institution existenzbedrohend.

Risikobewertung

Die Abgrenzung der einzelnen Kategorien erfolgt über die folgenden, aus dem PIA-Tool der Französischen Datenschutzbehörde entnommenen, Orientierungstabellen. Grund für diese Wahl ist, dass im Falle der Erforderlichkeit einer Datenschutz-Folgenabschätzung das dieses PIA-Tool das von den deutschen Behörden empfohlene Verfahren zur Durchführung selbiger ist. Die Risikoanalyse kann in diesem Fall direkt übernommen werden.

Orientierungshilfe zur Bewertung des Schweregrads

geringfügig

überschaubar

substanziell

groß

Die Betroffenen werden nicht beeinträchtigt oder haben einige temporäre Unannehmlichkeiten, die sie ohne Schwierigkeiten überwinden können.
Beispiele für Auswirkungen:

Die Betroffenen können deutliche Unannehmlichkeiten erfahren, die sie jedoch trotz einiger Schwierigkeiten überwinden können.
Beispiele für Auswirkungen:

Die Betroffenen können erhebliche Konsequenzen erleiden, die sie nur mit erheblichen Schwierigkeiten überwinden können.
Beispiele für Auswirkungen:

Die Betroffenen können erhebliche und auch nicht rückgängig zu machende Folgen erleiden.
Beispiele für Auswirkungen:

- Körperlich: flüchtige Kopfschmerzen

 

- körperlich: geringfügige körperliche Beeinträchtigung (z. B. leichte Erkrankung nach Nichteinhaltung von Kontraindikationen), üble Nachrede, die physische und psychische Auswirkungen hat.

 

- körperlich: ernsthafte körperliche Beeinträchtigung, die zu langfristigem Schaden führen (Verschlimmerung von Gesundheitszustand aufgrund von schlechter Pflege, oder Nichteinhaltung von Kontraindikationen), Verletzung der körperlichen Unversehrtheit, etc.

- körperlich: dauerhafte oder längerfristige körperliche Beeinträchtigung, dauerhafte Beeinträchtigung der körperlichen Unversehrtheit, Tod

 

- materiell: Zeitverschwendung, durch Wiederholung von Formalitäten oder durch Warten auf deren Durchführung, Empfang von Spam-Mails, Verwendung öffentlich zugänglicher Daten für gezielte Werbung etc.,

- materiell: ungeplante Zahlungen (z. B. unberechtigte Bußgelder), Verweigerung des Zugangs zu administrativen oder kommerziellen Dienstleistungen, gezielte Online-Werbung zu einem ein Aspekt, der seitens des Betroffenen vertraulich bleiben sollte, etc.

- materiell: nicht kompensierbarer Verlust von Geldern, Verlust einzigartiger und nicht wiederkehrender Möglichkeiten (Hypothek, Studien, Praktika oder Beschäftigung, Prüfungsverbot), Verlust der Wohnung, Verlust des Arbeitsplatzes, etc.

- materiell: finanzielles Risiko, hohe Verschuldung, Arbeitsunfähigkeit, Unfähigkeit umzuziehen, Verlust von Beweisen bei Rechtsstreitigkeiten, Verlust des Zugangs zu lebenswichtiger Infrastruktur (Wasser, Strom), etc.

- psychisch: einfaches Ärgernis, Gefühl des Eindringens ins Privatleben ohne wirklichen Schaden (Werbung) usw.

- psychisch: geringe aber objektiv verstellbare psychische Beeinträchtigung, Gefühl der Verletzung der Privatsphäre ohne irreparablen Schaden, Einschüchterung in sozialen Netzwerken, etc.

- psychisch: schwere psychische Störung (Depression, Phobie), Gefühl der irreparablen Beeinträchtigung der Privatsphäre, Opfer von Erpressung, Cybermobbing und Mobbing usw.

- psychisch: langfristige oder dauerhafte psychische Beeinträchtigung, strafrechtliche Sanktion, Entführung, Verlust der Familienbande, Unmöglichkeit, vor Gericht zu erscheinen, Änderung des Verwaltungsstatus und / oder Verlust der rechtlichen Autonomie (Vormundschaft) usw.

 

Orientierungshilfe zur Bewertung der Eintrittswahrscheinlichkeit

geringfügig

überschaubar

substanziell

groß

Für die ausgewählten Risikoquellen scheint es nicht möglich, einen Schaden der Betroffenen zu verursachen (z.B. Diebstahl von Papierdokumenten aus einem Raum, dessen Zutritt mit Kartenleser und Zugangscode geschützt ist).

Für die ausgewählten Risikoquellen scheint es schwer möglich, einen Schaden für den Betroffenen zu verursachen (z.B. Diebstahl von Papierdokumenten aus einem Raum, dessen Zutritt mit Kartenleser geschützt ist).

Für die ausgewählten Risikoquellen scheint es möglich, einen Schaden für den Betroffenen zu verursachen (z.B. Diebstahl von Papierdokumenten, die in den Büros einer Organisation gespeichert sind, deren Zugang von einer Person an der Rezeption kontrolliert wird).

Für die ausgewählten Risikoquellen scheint es sehr einfach, einen Schaden für den Betroffenen zu verursachen (z.B. Diebstahl von Papierdokumenten in der öffentlichen Lobby aufbewahrt werden)