Zum Hauptinhalt springen

Datenverarbeitungssysteme erfassen (Teil 2 der Reihe DSGVO-Dokumentation)

Teil 2 der Video-Reihe "DSGVO-Dokumentation mit preeco": Systeme mit personenbezogenen Daten anlegen und die Angaben zu Hosting, Ort der Daten, Zugang, Backup, Betroffenenrechten und Mitbestimmung pflegen.

Letzte Aktualisierung:
Transkript des Videos
In diesem Video erfassen Sie in preeco | datenschutz die Systeme, in denen Ihr Unternehmen personenbezogene Daten verarbeitet. Welche Systeme haben wir? Ohne diese Übersicht lässt sich kein Verzeichnis führen und keine Maßnahme planen. Die Systeme finden Sie unter Datenverarbeitungssysteme. Murat Aydın, der IT-Leiter, hat die Systeme von Kaltenbach angelegt. Wir sehen uns an, wie so ein Eintrag entsteht. Mit Neu legen Sie ein System an. Wählen Sie Datenverarbeitungssystem erstellen. Zum Anlegen genügen die Bezeichnung und die Organisation, zu der das System gehört. Mit Erstellen legen Sie das System an. Alle weiteren Angaben ergänzen Sie danach über Bearbeiten. Beim ERP hat Murat das schon getan. Öffnen Sie das System und klicken Sie auf Bearbeiten. Unter Allgemein steht die Beschreibung: Das ERP steuert Aufträge, Rechnungen, Lager und Einkauf. Die kategorische Einordnung sagt, wofür das System da ist, hier ERP und Kernsystem. Der Typ beschreibt die Form, etwa eine Anwendung oder ein Server. Datenschutzrelevant heißt: Hier liegen personenbezogene Daten. Nur solche Systeme erscheinen in dieser Liste. preeco | datenschutz und preeco | informationssicherheit teilen sich dieselben Systemdaten. In der Informationssicherheit heißen die Systeme Assets. Dazu Hersteller und Produkt. Wer das System liefert, ist oft auch der Ansprechpartner für den Vertrag. Wo liegen die Daten? Für das ERP ist das Deutschland. Beim Newsletterdienst MailHarbor liegen die Daten in den USA. Dieses Land außerhalb der EU taucht später im Verzeichnis wieder auf, wenn es um Übermittlungen in Drittländer geht. Das Betriebsmodell: Das ERP läuft selbst gehostet im eigenen Serverraum. Ob die Daten verschlüsselt gespeichert und übertragen werden, steht gleich darunter. Backup und Wiederherstellung: Wann wurde zuletzt ein Restore getestet? Lebenszyklus und Support-Ende zeigen, wann ein System ersetzt werden muss. Unter Unterstützung der Betroffenenrechte halten Sie fest, wie das System Auskunft, Berichtigung und Löschung erlaubt. Kann das ERP einen Kunden vollständig löschen? Wenn nicht, schreiben Sie hier auf, wie Sie es lösen. Bei der HR-Software Personalwolke kommt der Betriebsrat ins Spiel. Systeme, die Leistung oder Verhalten überwachen können, sind mitbestimmungspflichtig. Halten Sie fest, ob der Betriebsrat zugestimmt hat. Zurück zum ERP: Wie viele Personen arbeiten mit dem System, und aus welchen Abteilungen? Gibt es ein Berechtigungskonzept? Das ist die erste Frage, die ein Prüfer stellt. Dazu Mehr-Faktor-Anmeldung und Single Sign-on. Und was passiert mit dem Zugang, wenn jemand das Unternehmen verlässt? Diese Fragen kann Ihre IT beantworten. Genau danach fragt die Aufsicht, wenn sie die Sicherheit der Verarbeitung prüft. Mit Speichern sichern Sie die Angaben. In der Detailansicht sehen Sie alle Angaben auf einen Blick. Die Sprungmarken oben führen zu jedem Abschnitt, auch zu Datenfeldern und Datenflüssen. Die sehen wir uns im nächsten Teil an. Unter Beziehungen sehen Sie, welche Verarbeitungstätigkeiten dieses System nutzen. Beim ERP sind es schon fünf. Diese Verknüpfungen entstehen, wenn Sie das Verzeichnis anlegen. Das zeigt Teil fünf. Kaltenbach hat jetzt neun Systeme erfasst, vom ERP bis zur Videoanlage in den Stores. Welche Angaben die Tabelle zeigt, wählen Sie unter Spalten. Mit Typ und Ort der Daten sehen Sie zum Beispiel sofort, welche Systeme in der Cloud laufen und wo die Daten liegen. Die IT pflegt die Systemliste, der Datenschutz prüft die Angaben zum Datenschutz. Das System gehört dem, der es betreibt. Im nächsten Teil hinterlegt Kaltenbach, welche Daten in den Systemen liegen und wohin sie fließen.

Bevor Sie ein Verzeichnis der Verarbeitungstätigkeiten führen oder Maßnahmen nach Art. 32 DSGVO planen, brauchen Sie eine Übersicht der Systeme, in denen personenbezogene Daten liegen. In diesem Teil erfasst die Velomanufaktur Kaltenbach ihre Systeme in preeco | datenschutz, vom ERP bis zur Videoanlage in den Stores. Dieser Artikel ist Teil 2 der Video-Reihe "DSGVO-Dokumentation mit preeco".

Voraussetzungen

  • Ihr Team verfügt über eine Lizenz für preeco | datenschutz.
  • Organisation, Abteilungen und Kontakte der Anbieter sind angelegt (Teil 1 der Reihe).
  • Jemand aus der IT kann die technischen Fragen zu Hosting, Zugang und Backup beantworten.

Ein System anlegen

  1. Öffnen Sie Datenverarbeitungssysteme, klicken Sie auf Neu und wählen Sie Datenverarbeitungssystem erstellen.
  2. Zum Anlegen genügen die Bezeichnung und die Organisation, zu der das System gehört. Klicken Sie auf Erstellen.
  3. Alle weiteren Angaben ergänzen Sie danach über Bearbeiten. Tragen Sie unter Allgemein die Beschreibung ein, dazu Hersteller / Anbieter und die Produkt- / Lizenz-Bezeichnung. Der Anbieter ist oft auch Ihr Vertragspartner, wenn später ein Vertrag zur Auftragsverarbeitung nötig wird.
  4. Die Kategorische Einordnung sagt, wofür das System da ist, zum Beispiel ERP und Kernsystem. Der Typ beschreibt die Form, etwa eine Anwendung oder ein Server.
  5. Setzen Sie Datenschutzrelevant, wenn das System personenbezogene Daten verarbeitet. Nur diese Systeme erscheinen in der Liste der Datenverarbeitungssysteme.

preeco | datenschutz und preeco | informationssicherheit teilen sich eine Plattform. Die Informationssicherheit sieht dieselben Systeme als Assets, Sie pflegen jedes System also nur einmal.

Hosting und Ort der Daten

  1. Wählen Sie unter Betriebsmodell / Hosting, ob das System selbst gehostet wird oder beim Anbieter läuft.
  2. Tragen Sie Hosting-Standort und Ort der Daten (Länder) ein. Ein Land außerhalb der EU, bei Kaltenbach die USA für den Newsletterdienst, taucht später im Verzeichnis wieder auf, wenn es um Übermittlungen in Drittländer geht.

Zugang, Backup und Verschlüsselung

  1. Halten Sie fest, wie viele Personen mit dem System arbeiten und aus welchen Abteilungen.
  2. Beantworten Sie die Fragen zum Berechtigungskonzept / Zugriffssteuerung, zur Mehr-Faktor-Authentifizierung, zur SSO-Lösung und zur Account-Löschung bei Austritt.
  3. Unter Backup vorhanden? tragen Sie auch die Backup-Frequenz ein und wann zuletzt ein Restore getestet wurde.
  4. Geben Sie an, ob die Daten verschlüsselt gespeichert und verschlüsselt übertragen werden.

Nach diesen Punkten fragt die Aufsichtsbehörde, wenn sie die Sicherheit der Verarbeitung nach Art. 32 Abs. 1 DSGVO prüft. Lassen Sie die Angaben von der IT ausfüllen und vom Datenschutz gegenlesen.

Betroffenenrechte, Mitbestimmung und Lebenszyklus

  1. Unter Unterstützung der Betroffenenrechte beschreiben Sie, wie das System Auskunft, Berichtigung und Löschung erlaubt.
  2. Kann das System einzelne Personen nicht vollständig löschen, schreiben Sie unter Maßnahmen für die Löschung von persönlichen Daten auf, wie Sie das lösen.
  3. Bei Systemen, die Leistung oder Verhalten von Beschäftigten überwachen können, ist der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG zu beteiligen. Halten Sie unter Mitbestimmung notwendig? und Mitbestimmung erfolgt? fest, ob er zugestimmt hat.
  4. Lebenszyklus-Phase und End-of-Life zeigen, wann ein System ersetzt werden muss.
  5. Speichern Sie. Das System steht jetzt in der Liste.

Detailansicht und Liste

  • Die Detailansicht zeigt alle Angaben auf einen Blick. Die Sprungmarken oben führen zu jedem Abschnitt, auch zu Datenfeldern und Datenflüssen.
  • Im Reiter Beziehungen sehen Sie, welche Verarbeitungstätigkeiten das System nutzen. Diese Verknüpfungen entstehen, wenn Sie das Verzeichnis anlegen (Teil 5 der Reihe).
  • Welche Angaben die Liste zeigt, wählen Sie unter Spalten. Mit Typ und Ort der Daten sehen Sie zum Beispiel sofort, welche Systeme in der Cloud laufen und wo die Daten liegen.

In der Praxis pflegt die IT die Systemliste, und der Datenschutz prüft die Angaben zum Datenschutz.

Eine Kurzfassung als Video finden Sie auf der Produktseite Verarbeitungstätigkeiten und Systeme.

Nächster Schritt

Im nächsten Teil hinterlegt Kaltenbach je System, welche Datenfelder darin liegen und wohin die Daten fließen.

Alle Teile der Reihe

← Teil 1: Organisation, Datenschutzbeauftragter, Kontakte · Teil 3: Datenfelder und Datenflüsse →

  1. Auftakt: DSGVO-Dokumentation aufbauen
  2. Teil 1: Organisation, Datenschutzbeauftragter, Kontakte
  3. Teil 2: Systeme erfassen (dieser Artikel)
  4. Teil 3: Datenfelder und Datenflüsse
  5. Teil 4: TOMs nach Art. 32
  6. Teil 5: Die erste Verarbeitungstätigkeit
  7. Teil 6: Verzeichnis mit KI und Team füllen
  8. Teil 7: Prüfen, freigeben, vorlegen
  9. Teil 8: Informationspflichten nach Art. 13 und 14
  10. Teil 9: Veröffentlichen
  11. Teil 10: Fehlende AV-Verträge erkennen
  12. Teil 11: AV-Vertrag erstellen und unterzeichnen

Änderungen und Irrtümer können vorkommen. Die Angaben in diesem Artikel wurden sorgfältig zusammengestellt, erheben jedoch keinen Anspruch auf Vollständigkeit oder Richtigkeit.

Weitere Kurzanleitungen

Vertrag zur Auftragsverarbeitung erstellen und unterzeichnen (Teil 11 der Reihe DSGVO-Dokumentation) Fehlende Verträge zur Auftragsverarbeitung erkennen (Teil 10 der Reihe DSGVO-Dokumentation) Informationspflichten auf der Website veröffentlichen (Teil 9 der Reihe DSGVO-Dokumentation) Informationspflichten nach Art. 13 und 14 DSGVO erstellen (Teil 8 der Reihe DSGVO-Dokumentation)

Passende Glossarbegriffe

Betroffenenrechte
Zurück zu den Kurzanleitungen