Verfasser: Gerald Kortschak Thema: DSGVO/DSG (Was – Wie ... · “geeignete“ TOM – techn. und...

www.sevian7.com/www.dsgvo2018.at/www.digital-coaches.at /derschenner.at

Verfasser:GeraldKortschakThema:DSGVO/DSG(Was– Wie– bittekonkret)


Dipl.-Ing.GeraldKortschak,BSc,CMC

• Selbständigseit2001• IT-Systeme&Unternehmensberatung• Zertifizierungen:CMC,CDISE,CDC,geprüfterDatenschutzexperte• IT-SecurityExpertGroup,Spr.Ö• FH-Lektor:FHSt.Pölten• DSGVO-Vorträge&Workshops• DSGVO-Begleitung(0-2400MA)


Quelle:WKÖInformationsfolderJuni2017

FAKTEN


WelcheTeilesindbetroffen?

Quelle:https://www.wko.at/branchen/information-consulting/unternehmensberatung-buchhaltung-informationstechnologie/it-dienstleistung/it-dienstleister-als-datenschutzbeauftragter.html


AnleitungVdV – Die8Ws!• (weralsVerantwortlicherbenanntwird)WER• (welcheDaten-Kategorienerfasstwerden)WAS• (Datengespeichertundverarbeitetwerden– betroffeneSysteme,)WO• (wasistderRechtsgrundderzurAnwendungkommt)WARUM•(ZweckderjeweiligenDatenverarbeitung)WOZU• (wennDatenweitergegebenwerden- anwenwerdendieDatenübergeben,auchobinnerhalbderEUoderDrittland)WOHIN

• (werdenDatengespeichert– welcheLöschfristenkommenzurAnwendung)WIELANGE• (welcheDatensicherheitsmaßnahmenwerdenergriffen).WIESICHER


RolleninderDSGVO

VERANTWORTLICHER(Auftraggeber)

AUFTRAGSVERARBEITER(Auftragnehmer)

BETROFFENE(R)Dritte/r

EMPFÄNGER

?


UmwelcheDatengehtesüberhaupt?


physiologische

UmwelcheDatengehtes?alleInformationen,diesichaufeineidentifizierteoderidentifizierbarenatürlichePerson beziehen:

physische wirtschaftliche

psychische

soziale

kulturellegenetische

Name, Adresse, Geburtsdatum, Bankdaten, etc.


ethnischeHerkunft

rassischeHerkunft

politischeMeinung

Religion

Weltanschauung

Gewerkschafts-zugehörigkeit

sexuelleOrientierung

„genetische Daten“ personenbezogene Daten zu den ererbten odererworbenen genetischen Eigenschaften einer natürlichen Person, die eindeutigeInformationen über die Physiologie oder die Gesundheit dieser natürlichenPerson liefern und insbesondere aus der Analyse einer biologischen Probe derbetreffenden natürlichen Person gewonnen wurden.

„biometrische Daten“mit speziellen technischen Verfahren gewonnene personenbezogene Daten zuden physischen, physiologischen oder verhaltenstypischen Merkmalen einernatürlichen Person, die die eindeutige Identifizierung dieser natürlichen Personermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten.

„Gesundheitsdaten“personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheiteiner natürlichen Person, einschließlich der Erbringung vonGesundheitsdienstleistungen, beziehen und aus denen Informationen über derenGesundheitszustand hervorgehen.


WasbedeutetDatenverarbeitung?jedermitoderohneHilfeautomatisierterVerfahrenausgeführterVorgangimZusammenhangmitpersonenbezogenenDaten

Speichern

Erheben

OrdnenAbfragen

Verbreiten

Löschen

Einschränken

VernichtenOrganisieren

!AuchmanuelleDaten unterliegenderDSGVO,wennsieineinemDateisystemgespeichertsindundeinergewissenOrdnungunterliegen.

TC


DIEDSGVOUNTERSAGT

DIEVERARBEITUNG

außer...


RechtmäßigkeitderVerarbeitung1/2

lebenswichtigesInteressedesBetroffenen

z.B.:MedizinischerBereich

ErfüllungrechtlicherVerpflichtung,z.B.:

Rechnungslegung(Finanzrecht) Mitarbeiter-Abrechnung(Sozialversicherungsnummer)

VerarbeitungfürErfüllungeinesVertragesnotwendig

z.B.:Online-Bestellungà Lieferadresse Angebotslegung,Auftragserfüllung,...

GenerellVerbotsgesetz,außer:


RechtmäßigkeitderVerarbeitung2/2GenerellVerbotsgesetz,außer:

EinwilligungseitensdesBetroffenenliegtvor

BedingungenfürEinwilligungerfüllen! Achtung:EigeneBedingungenfürEinwilligungeinesKindes

AnonymisierteVerarbeitung

KeineIdentifizierungderbetroffenenPersonmöglich

WahrungeinesberechtigtenInteressesdesVerantwortlichen

Betrugsverhinderung(ErwG:47) Direktwerbung(ErwG:47)


Zustimmungserklärungwie?

WelcheDatenarten(Name,Geburtsdatum,...)werden

zuwelchemZweck(zBNewsletter)gespeichertund/oder

anwenübermittelt?(Firma,Land,Zweck)

Widerrufsbelehrung

schriftlichempfohlen!


TOMs(techn.&organ.Maßnahmen


“geeignete“TOM–techn.undorg.Maßnahmen

• diePseudonymisierung undVerschlüsselung personenbezogenerDaten;• dieFähigkeit,dieVertraulichkeit,Integrität,VerfügbarkeitundBelastbarkeit derSystemeundDiensteimZusammenhangmitderVerarbeitungaufDauersicherzustellen;• dieFähigkeit,dieVerfügbarkeitderpersonenbezogenenDatenunddenZugangzuihnen beieinemphysischenodertechnischenZwischenfallraschwiederherzustellen;• einVerfahrenzurregelmäßigenÜberprüfung,BewertungundEvaluierungderWirksamkeitdertechnischenundorganisatorischenMaßnahmenzurGewährleistungderSicherheitderVerarbeitung.

x


Datensicherheitsmaßnahmen(§54DSG[fürBehörden])

Risikobewertung Maßnahme

Zugangskontrolle

Datenträgerkontrolle

Speicherkontrolle

Benutzerkontrolle

Zugriffskontrolle

Übertragungskontrolle

Eingabekontrolle

Transportkontrolle

Wiederherstellung

stabilesSystem:Zuverlässigkeit/Datenintegrität


TOMS

• BeispielKundenkarteiinPapierformNotebook,Tablet,SmartphoneUSB-Sticks...• BeiIT-Systemsindinsbesondere,Zugriffskontrollen(sicherePasswörter),Pseudonymisierung undVerschlüsselungssysteme,Firewalls,Spam-Filter,Anti-Viren-ProgrammeundBackupswichtig.


DruckeralsSicherheitslücke


Transaktionsdruck

• Einleger• Schreiber• Zusammenstellung• divweiterePartner

KontrolledesDatenflusseserschwert.PotentialfürOEMslt.Druckerhersteller-Branche.


RechtederBetroffenen


DSGVO– RechtederbetroffenenPersonenAuskunftsrecht(Art.15)

Berichtigung(Art.16)

Löschung(Art.17)– RechtaufVergessenwerden

Widerspruch(Art.21)

EinschränkungderVerarbeitung(Art.18)

RechtaufDatenübertragbarkeit(Art.20)

WK


RechtaufLöschungDemVerlangenistgrundsätzlichFolgezuleisten,esseidennspezielleAblehnungsgründeliegenvor.DerwichtigsteAblehnungsgrundsind

diegesetzlichen Aufbewahrungsfristen.

Daten,dienuraufgrundeinerEinwilligunglängeralsdiegesetzlichenFristengespeichertwurden,sindaufVerlangendesBetroffenenumgehendzulöschen.

ImVerarbeitungsverzeichnissinddieAufbewahrungsfristen,wennmöglich,ebenfalls

anzuführen.


Aufbewahrungsfristen- Allgemein• SteuerrechtlicheAufbewahrungspflichtnach§ 132Abs 1BAO: 7Jahre• UnternehmensrechtlicheAufbewahrungspflichtnach§§ 190,212UGB: 7Jahre• AllgemeinerSchadenersatznach§ 1489ABGB(Entschädigungsklagen):3Jahre (wennSchadenundSchädigerbekannt)/ansonsten 30Jahre


RechtaufDatenübertragbarkeit

• Beispiel:EinKundemöchtedieDruckereiwechselnundseineDatenmitnehmen.UmdiePflichtzuerfüllenreichtesaus,ihmdieDatenineinemgängigenFormat(Word,Excel,…elektronisch(E-Mail,USB-Stick,…)zukommenzulassen.

• PDFssolltenhierfürnichtverwendetwerden

• Voraussetzung:• automatisierteVerarbeitung• giltnichtfürPapier


Datenschutzbeauftrager &Risiko


FAZIT


10WegpunktezurDSGVOFeststellungIST-Zustand

BestellungDatenschutzbeauftragterja/nein

DokumentationderVerarbeitungsvorgänge

Datenschutz-Folgenabschätzung

MeldungvonVerstößen

VerträgemitAuftragsverarbeitern

FormulareprüfenundAnpassen

Informationspflichten/Betroffenenrechte

Sicherheitsmaßnahmen

Mitarbeiterschulungen


Verfahrensverzeichnis

Stammdatenblatt

Logbuch AntworttexteBegehren

Data-Breach-Notification

TOMs Verträge


WKhilft

BP

Förderungfür:WIFI-KurseBeratungen(FokusC)vonCertifiedData&ITSecurityExpert50%bismax.€1.000,--Potential-Analysezu100%gefördert(CertifiedDigitalConsultant)

OnlineHilfestellungenundTipps:• wko.at/datenschutz

MitRatundTat:RechtsserviceWK-STMK0316/601- 601

IhreFachgruppe



Ing.DI(FH)HaraldSCHENNER,CMCundDIGeraldKortschak,BSc,CMCwww.derSchenner.at |www.sevian7.com

www.dsgvo2018.at

GeprüfteDatenschutz-Experten


Wirweisenausdrücklichdaraufhin,dassessichbeidenvorliegendenUnterlagenumeinunentgeltlichesServicederAutorenhandeltunddieInformationenkeineUnternehmensberatungdarstellen.JeglicheHaftungfürdieAktualität,RichtigkeitundVollständigkeitderdargestelltenInformationenwirdausgeschlossen.

AlleRechte,insbesonderedasRechtderVervielfältigungundVerbreitungsowiederÜbersetzung,vorbehalten.KeinTeildieserPowerPoint-PräsentationdarfinirgendeinerForm(durchFotokopie,MikrofilmodereinanderesVerfahren)ohneschriftlicheGenehmigungderAutorenreproduziertoderunterVerwendungelektronischerSystemegespeichert,verarbeitet,vervielfältigtoderverbreitetwerden.

DiefürSchulenundHochschulenvorgesehenefreieWerknutzung„VervielfältigungzumeigenenSchulgebrauch“giltfürdiesesWerknicht,weilesseinerBeschaffenheitundBezeichnungnachnichtzumUnterrichtsgebrauchbestimmtist.

Date post:	02-Sep-2019
Category:	Documents
Upload:	others
View:	2 times
Download:	0 times

Verfasser: Gerald Kortschak Thema: DSGVO/DSG (Was – Wie ... · “geeignete“ TOM – techn. und...

Documents