DATENSCHUTZ
Technisch-organisatorische Maßnahmen zum Schutz personenbezogener oder –beziehbarer Daten nach DSGVO Art. 32 bei der IUK GmbH (Stand: 25.05.2018)
1. Schutzstufe und Vertraulichkeit
Bei der Verarbeitung unserer Daten im Büro oder durch Dritte wird nach der Schutzstufe C lt. BDSG verfahren. Es handelt es sich um Daten mit personenbezogenen Angaben, durch deren Missbrauch die Betroffenen in ihrer gesellschaftlichen Stellung oder ihren wirtschaftlichen Verhältnissen (= Ansehen) beeinträchtigt werden können.
Beim Umgang mit und der Verarbeitung von personenbezogenen Daten wird in jedem Fall die Vertraulichkeit gewahrt. Wir arbeiten nur mit DSGVO-konformen Drittanbietern zusammen.
2. Technische und organisatorische Schutzmaßnahmen
Im Folgenden wird das IT-Schutzkonzept beschrieben.
Bei der Aufbewahrung und Verarbeitung von Dokumenten in Papierform orientieren wir uns an der AWV Muster-Verfahrensdokumentation (http://www.awv-net.de/cms/front_content.php?idcat=286) .
2.1 Physische Datensicherung
Der Zugang zum Büro ist nur der Geschäftsführerin und evtl. Mitarbeitern sowie dem Gesellschafter Prof. Dr. Weißbach gestattet. Kunden haben Zugang nur in Begleitung.
Alle Datenträger werden in verschließbaren Aktenschränken aufbewahrt. Zugang ist nur für den Inhaber und seine Mitarbeiter möglich.
2.2 Zugriffs- und Übermittlungskontrolle
Der Zugriff auf Rechner, Laptops und Arbeitsstationen sowie auf den Drucker ist beschränkt auf die Geschäftsführerin, den Gesellschafter und ggf. die eigenen Mitarbeiter. Er ist passwortgeschützt. Der Email-Verkehr ist verschlüsselt. Grundsätzlich werden personenbezogene Daten nur auf dem zentralen Bürorechner und einer externen Festplatte gespeichert. Der unautorisierte Zugriff auf das Netzwerk wird angemessen verhindert.
2.3 Eingabekontrolle
Alle Aktivitäten der Systemverwaltung und gescheiterten Zugriffsversuche werden protokolliert.
2.4 Löschung, Sicherung und kritische Ereignisse
Die Daten werden nur im Rahmen der Leistungsbeauftragung und/oder der gesetzlichen Vorschriften gespeichert. Sie werden regelmäßig gesichert. Wöchentlich erfolgt eine Vollsicherung. Die Daten sind gegen unbeabsichtigte Löschung gesichert und werden gelöscht, wenn sie nicht mehr benötigt werden. Näheres legt der Löschplan fest. Datenverluste, Datendiebstahl, Angriffe gegen die Datenintegrität oder ähnliche Vorfälle werden innerhalb von 72 Std. beim BfDI angezeigt. Wenn ein hohes Risiko für Betroffene besteht, werden diese unverzüglich informiert.
2.5 Informations-, Korrektur- und Beschwerderecht
Kunden und (ehemalige) eigene Mitarbeiter haben jederzeit das Recht, sich über die gespeicherten und verarbeiteten personenbezogenen Daten zu informieren und bei berechtigten Einwänden Korrekturen zu erwirken oder Daten zu löschen. Sie haben das Recht, sich bei Verstößen gegen die DSGVO bei der zuständigen Datenschutz-aufsichtsbehörde zu beschweren.
2.6 Datenschutz-Management
Die Geschäftsführerin hat sich durch Selbststudium geschult. An der Implementation hat Prof. Dr. Hans-Jürgen Weißbach, Frankfurt University of Applied Sciences, mitgewirkt. Es erfolgt eine regelmäßige jährliche Überprüfung und Evaluierung der Datenschutzmaßnahmen und der Datenlöschung. Das Ergebnis wird dokumentiert.
2.7 Zustimmung der eigenen Mitarbeiter und Kunden bei Erhebung personenbezogener Daten
Persönliche Daten werden nur mit ausdrücklicher schriftlicher Zustimmung der betroffenen Personen erhoben und verarbeitet. Die Einverständniserklärung umfasst
- Name und Kontaktdaten der verarbeitenden Person
- Zweck der Verarbeitung
- Rechtsgrundlage oder vertragliche Grundlage der Verarbeitung
- Welche personenbezogenen Daten werden verarbeitet und an wen dürfen Sie im Rahmen der Beauftragung
(Zertifikatsvergabe) mit Zustimmung der Kunden weitergeleitet werden?