Support & Lerncenter

Fokus: „WO werden WELCHE Daten WIE für diese Verarbeitung erfasst/gesammelt?“
Phase „Kollektion“ gemäß dem Standard Datenschutzmodell (SDM)

Im Rahmen der Erfassung von Datenverarbeitungstätigkeiten nach Artikel 30 DSGVO ist es entscheidend, die Sammlung und Erhebung von personenbezogenen Daten präzise zu dokumentieren. Dieser Leitfaden hilft Ihnen, das Feld „WO werden WELCHE Daten WIE für diese Verarbeitung erfasst/gesammelt?“ detailliert und verständlich zu beschreiben.

1. WO – Erfassungsort der Daten
Beschreiben Sie den physischen oder virtuellen Ort, an dem die Daten gesammelt werden. Dies kann ein Arbeitsplatz im Unternehmen, ein physischer Standort (z. B. ein Ladengeschäft) oder ein digitaler Ort (z. B. ein Webformular oder eine App) sein.

• Beispiel: „Die Daten werden über ein Online-Bewerbungsportal erfasst.“

• Beispiel: „Es werden folgende personenbezogene Daten erfasst: Name, E-Mail-Adresse, Telefonnummer, und Lebenslauf (einschließlich Bildungs- und Berufshistorie).“

• Beispiel: „Die Daten werden durch die betroffene Person über ein verschlüsseltes Online-Formular eingegeben und direkt in das Bewerbermanagementsystem übertragen.“

• Technische Mittel: Wenn die Erfassung digital erfolgt, beschreiben Sie die genutzten technischen Mittel. Beispiele wären Web-Formulare, mobile Apps, Datenbanken oder spezielle Softwarelösungen.
• Sicherheitsmaßnahmen: Falls bereits bei der Erfassung Maßnahmen zur Datensicherheit getroffen werden (z. B. Verschlüsselung), sollten diese ebenfalls erwähnt werden.
• Automatisierte Prozesse: Wenn die Daten automatisch, etwa durch Web-Tracking oder Sensoren, gesammelt werden, ist dies anzugeben.

Fokus: „WO und WIE werden diese Daten gespeichert/aufbewahrt?“
Phase „Bereithaltung“ gemäß dem Standard Datenschutzmodell (SDM)

Im Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 DSGVO ist es wichtig, den Umgang mit gespeicherten Daten detailliert zu dokumentieren. In der Phase „Bereithaltung“ geht es darum, zu beschreiben, wo und wie die personenbezogenen Daten, die Sie erfasst haben, gespeichert und aufbewahrt werden.

1. WO – Speicherort der Daten
Geben Sie an, an welchem Ort die Daten physisch oder virtuell gespeichert werden. Unterscheiden Sie dabei, ob es sich um lokale Speicher (z. B. Server in Ihren Geschäftsräumen) oder externe Speicher (z. B. Cloud-Dienste) handelt.

• Beispiel: „Die Daten werden auf einem internen Server im Rechenzentrum des Unternehmens gespeichert.“
• Alternative: „Die Daten werden in einem Cloud-Dienst gespeichert, der sich in einem Rechenzentrum innerhalb der Europäischen Union befindet.“

• Beispiel: „Die Daten werden in verschlüsselter Form auf dem Server gespeichert. Der Zugriff ist nur autorisierten Mitarbeitenden möglich und erfolgt über ein Passwort-geschütztes System.“

• Technologie: Beschreiben Sie, welche Technologien Sie verwenden, z. B. Datenbanken, Dateisysteme, verschlüsselte Speicherlösungen.
• Zugriffskontrolle: Erklären Sie, wie Sie den Zugriff auf die gespeicherten Daten steuern und einschränken (z. B. nur bestimmte Mitarbeitende haben Zugriff, Nutzung von Zwei-Faktor-Authentifizierung).
• Backup: Falls regelmäßige Backups gemacht werden, sollten Sie dies ebenfalls erwähnen, um die Datensicherheit zu verdeutlichen.

Fokus: „WIE und WO werden diese Daten dann von WEM benutzt oder weiterverarbeitet?“
Phase „Nutzung“ gemäß dem Standard Datenschutzmodell (SDM)

Im Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 DSGVO ist es wichtig, genau zu dokumentieren, wie die erfassten Daten im Unternehmen genutzt und weiterverarbeitet werden. In der Phase „Nutzung“ beschreiben Sie, wie, wo und von wem die personenbezogenen Daten verwendet werden.

1. WIE – Art und Weise der Nutzung
Beschreiben Sie, auf welche Weise die personenbezogenen Daten in Ihrem Unternehmen verwendet werden. Dies könnte die Verarbeitung zu bestimmten Zwecken, wie der Verwaltung, Analyse oder Weitergabe an andere Abteilungen, beinhalten. Erklären Sie auch, ob die Nutzung manuell oder automatisiert erfolgt und welche Tools oder Systeme verwendet werden.

• Beispiel: „Die Daten werden genutzt, um Bewerbungen zu verwalten und passende Kandidaten auszuwählen. Dies erfolgt mithilfe einer Bewerbermanagementsoftware.“

• Beispiel: „Die Daten werden zentral in der Personalabteilung verarbeitet und in der Cloud-Datenbank des Unternehmens aufbewahrt.“

• Beispiel: „Die Daten werden ausschließlich von autorisierten Mitarbeitenden der Personalabteilung genutzt. IT-Mitarbeitende haben nur für Wartungszwecke Zugriff. Externe Dienstleister sind nicht beteiligt.“

• Systeme und Software: Nennen Sie die verwendeten Softwarelösungen oder Tools, die bei der Verarbeitung und Nutzung der Daten eingesetzt werden.
• Zugriffskontrollen: Beschreiben Sie, wie der Zugang zu den Daten geregelt ist, und wer die Erlaubnis hat, sie zu verwenden oder zu bearbeiten.
• Sicherheitsmaßnahmen: Geben Sie an, welche Maßnahmen zur Sicherung der Daten während der Nutzung getroffen werden (z. B. Zugriffsbeschränkungen oder Protokollierung von Zugriffsversuchen).

Fokus: „WANN (nach welcher Zeit) werden die Daten oder Teile der Daten WIE gelöscht/vernichtet?“
Phase „Beseitigung“ gemäß dem Standard Datenschutzmodell (SDM)

Im Rahmen der Dokumentation der Datenverarbeitung nach Artikel 30 DSGVO ist es wichtig, die Löschung und Vernichtung personenbezogener Daten genau zu beschreiben. In der Phase „Beseitigung“ geht es darum, festzulegen, wann die Daten gelöscht werden und wie dies erfolgt.

1. WANN – Zeitrahmen der Löschung
Beschreiben Sie, nach welchem Zeitraum die Daten gelöscht werden. Dies richtet sich in der Regel nach den Aufbewahrungsfristen, die für bestimmte Arten von Daten gelten. Der Zeitraum kann abhängig von gesetzlichen Vorgaben, internen Richtlinien oder der Dauer, für die die Daten benötigt werden, variieren.

• Beispiel: „Die Bewerbungsdaten werden 6 Monate nach Abschluss des Bewerbungsverfahrens gelöscht.“

• Beispiel: „Die Daten werden aus dem System entfernt und mithilfe einer speziellen Software unwiderruflich gelöscht. Papierunterlagen werden durch einen zertifizierten Dienstleister sicher vernichtet.“

• Löschfrist: Nennen Sie die genauen Fristen, nach denen die Daten gelöscht werden, und stellen Sie sicher, dass diese Fristen den gesetzlichen Vorgaben entsprechen.
• Löschverfahren: Erklären Sie, ob die Löschung manuell oder automatisiert erfolgt und ob spezielle Löschsoftware oder -prozesse verwendet werden.
• Sicherheitsmaßnahmen: Geben Sie an, welche Maßnahmen ergriffen werden, um sicherzustellen, dass die Daten unwiderruflich gelöscht oder vernichtet werden.