imported>Aka: doppelten Link entfernt, Kleinkram

2024-09-25T17:58:06Z

doppelten Link entfernt, Kleinkram

Neue Seite

In einem '''Datenschutzkonzept''' (Abk. '''DSK''') werden die für eine [[datenschutzrecht]]liche Beurteilung notwendigen Informationen zur Erhebung, Verarbeitung und Nutzung [[personenbezogene Daten|personenbezogener Daten]] beschrieben. Es dokumentiert die Art und den Umfang der erhobenen, verarbeiteten oder genutzten personenbezogenen Daten. Die Beschreibung der Daten oder Datenfelder nennt man in der Regel [[Datenfeldkatalog]]. Aus der Festlegung datenschutzrechtlicher Anforderungen ergibt sich die Rechtsgrundlage und Zweckbindung für die Erhebung, Verarbeitung und Nutzung der personenbezogenen Daten. Eine Beschreibung der Schnittstellen als [[Schnittstellenkatalog]] und aller vorgesehenen Auswertungen von Daten ([[Auswertekatalog]]) geben einen Überblick über die Nutzung bzw. Übermittlung von personenbezogenen Daten. Weiterhin werden die umgesetzten technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten gemäß Art. 32 DSGVO dokumentiert. Hierzu gehören Maßnahmen zur Pseudonymisierung und Verschlüsselung, zur Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sowie Verfahren zur Wiederherstellung der Daten im Fall eines physischen oder technischen Zwischenfalls.

Das Datenschutzkonzept gibt als umfassendes Dokument Auskunft über die Rechtmäßigkeit der Datenverarbeitung bei der Erhebung, Verarbeitung und Nutzung personenbezogener Daten. Das Datenschutzkonzept gehört neben [[Fachkonzept]], [[Betriebskonzept]] und [[Sicherheitskonzept]] zur Dokumentation eines [[IV-Verfahren]]s (Prozess, Projekt, IV-Anwendung bzw. [[IV-System]]).

In einem Sicherheitskonzept oder IT-Sicherheitskonzept (Abkürzung SiKo) werden im Unterschied zum Datenschutzkonzept nur die Sicherheitsmaßnahmen beschrieben. Grundlage für ein IT-Sicherheitskonzept ist im Regelfall eine Sicherheitsbetrachtung mit Risikoanalyse auf der Basis einer Bedrohungsanalyse. Neben dem Begriff IT-Sicherheitskonzept wird häufig auch von Sicherheitskonzept oder Datensicherheitskonzept gesprochen.

In älteren IT-Sicherheitskonzepten wird auch der alte Rechtsbegriff ''Datensicherung'' für das Thema „IT-Sicherheit“ verwendet. In diesem Kontext handelt es sich jedoch ''nicht'' um Sicherheitskopien von Daten im Sinne eines sog. [[Backup]].

== Personenbezogene Daten ==
Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (betroffene Person).<ref>Art. 4 Nr. 1 [[Datenschutz-Grundverordnung|DSGVO]]</ref>
=== Besondere Kategorien personenbezogener Daten ===
Besondere Kategorien personenbezogener Daten umfassen Angaben zur rassischen und ethnischen Herkunft, politischen Meinungen, religiösen oder weltanschaulichen Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit, Sexualleben, sexuellen Orientierung sowie genetische und biometrische Daten, die zur eindeutigen Identifizierung einer natürlichen Person verwendet werden können (Art. 9 Abs. 1 [[DSGVO]]).<ref>{{Literatur |Titel=Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (Text von Bedeutung für den EWR) |Datum=2016-04-27 |Online=http://data.europa.eu/eli/reg/2016/679/oj/deu |Abruf=2024-08-09}}</ref>

Die Verarbeitung besonderer Kategorien personenbezogener Daten ist gemäß Art. 9 Abs. 1 DSGVO grundsätzlich untersagt, es sei denn, eine der Ausnahmen gemäß Art. 9 Abs. 2 DSGVO liegt vor, wie z. B. die ausdrückliche Einwilligung der betroffenen Person oder lebenswichtige Interessen.<ref>{{Literatur |Titel=Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (Text von Bedeutung für den EWR) |Datum=2016-04-27 |Online=http://data.europa.eu/eli/reg/2016/679/oj/deu |Abruf=2024-08-09}}</ref>

=== Kategorien personenbezogener Daten ===
;Kundendaten
:Personenbezogene Daten von Betroffenen, zu denen ein Vertragsverhältnis oder vertragsähnliches Verhältnis als Auftragnehmer besteht.

;Lieferantendaten
:Personenbezogene Daten von Betroffenen, zu denen ein Vertragsverhältnis oder vertragsähnliches Verhältnis als Auftraggeber besteht. Sofern es sich hierbei um natürliche Personen handelt.

;Mitarbeiterdaten
:Personenbezogene Daten der Beschäftigten eines Unternehmens.

;Aktionärsdaten
:Personenbezogene Daten der Aktionäre des Unternehmens ([[Aktiengesellschaft]]).

;Mitgliederdaten
:Personenbezogene Daten der Mitglieder eines Vereins ([[Vereinsrecht]]) oder Verbandes ([[Verband (Recht)]]).

;Personenbezogene Daten für Geschäftszwecke
:Personenbezogene Daten, die im Rahmen der [[DSGVO]] und des [[BDSG]] für Geschäftszwecke verwendet werden. Dies umfasst auch den Adresshandel, sofern dieser den Anforderungen der DSGVO entspricht.<ref name=":0">{{Internetquelle |url=https://www.gesetze-im-internet.de/bdsg_2018/ |titel=BDSG - nichtamtliches Inhaltsverzeichnis |abruf=2024-08-09}}</ref>

=== Verantwortliche Stelle ===
Verantwortlicher ist die [[Natürliche Person|natürliche]] oder [[juristische Person]], [[Behörde]], Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von [[Personenbezogene Daten|personenbezogenen Daten]] entscheidet (Art. 4 Nr. 7 [[DSGVO]]).<ref name=":0" />

== Aufbau und Gliederung eines Datenschutzkonzeptes ==
Folgende Punkte '''müssen zwingend''' in einem Datenschutzkonzept vorhanden sein:
* Beschreibung der personenbezogenen Daten und Angabe der jeweiligen Zweckbindung (Nutzungszweck)
* Angaben zum Verantwortlichen einschließlich Kontaktinformationen und, falls vorhanden, des [[Datenschutzbeauftragter (Datenschutz-Grundverordnung)|Datenschutzbeauftragten]].<ref>{{Literatur |Titel=Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (Text von Bedeutung für den EWR) |Datum=2016-04-27 |Online=http://data.europa.eu/eli/reg/2016/679/oj/deu |Abruf=2024-08-09}}</ref>
* Beschreibung der Gewährleistung von Betroffenenrechten
* Beschreibung der technischen und organisatorischen Maßnahmen zum Datenschutz

Mögliche Darstellungsarten der einzelnen Inhalte sind:
* Datenflussdiagramm (Datenfelder, Tabellen oder Datenarten werden mit den Schnittstellen in den einzelnen Verarbeitungsschritten dargestellt)
* Datenfeldkatalog

{| class="wikitable"
!Datenfeldnummer|| Datenart ||Datenfeldname||Beschreibung||Verwendungszweck||Speicherort||Löschfrist
|-
|''laufende Nummer'' || ''Art und Kategorie (siehe oben unter 1 personenbezogene Daten)'' ||''technischer Datenfeldname''||''Erklärender Datenfeldname oder Zusammensetzung bei berechneten Feldern''||''Nutzung des Datums mit Zweckbindung''||''logischer und physischer Speicherort''||''Wann wird gelöscht? (Datum, Termin oder gesetzliche [[Aufbewahrungsfrist]])''
|}

== Siehe auch ==
* [[Federal Trade Commission]]

== Weblinks ==
* [https://www.ftc.gov/tips-advice/business-center/privacy-and-security/data-security Protecting Personal Information: A Guide for Business] (PDF)

== Einzelnachweise ==
<references />

{{Rechtshinweis}}
[[Kategorie:Datenschutz]]

Datenschutzkonzept - Versionsgeschichte

imported>Aka: doppelten Link entfernt, Kleinkram