Datenschutz-Guidelines
Kontext
In der Datenfabrik werden Daten auf zweierlei Ebenen verarbeitet. Zum einen auf Plattform-Ebene, um Nutzern Zugriff zu ermöglichen. Zum anderen Daten, welche spezifisch für Anwendungsfälle sind.
Verantwortlicher im Sinne der DSGVO ist auf Plattform-Ebene das ZIT, der jeweilige Betriebsdienstleister handelt als Auftragsverarbeiter für den IT‑Betrieb der Plattform.
Für die Datenverarbeitung innerhalb einzelner Anwendungsfälle ist der jeweilige Anwendungsfall‑Geber datenschutzrechtlich verantwortlich.
Guidelines
Die Verarbeitung von Daten innerhalb der Anwendungsfälle ist nicht durch die Plattform begrenzt und wird durch den Anwendungsfall-Geber gestaltet, welche dafür datenschutzrechtlich verantwortlich sind.
Achtung
Im Pilotbetrieb sind ausschließlich Daten zu verarbeiten, die dem Schutzbedarf „normal“ (nach BSI‑Standard 200 ‑ 2) zuzuordnen sind.
Die Einstufung erfolgt durch die datenbereitstellende Stelle bzw. dem Zuständigen Datenschutzbeauftragten dieser.
Dokumentation der personenbezogenen Datenverarbeitung
Bei allen personenbezogenen Daten welche im Rahmen der Datenfabrik Anwendungsfälle verarbeitet werden, sollten folgende Kriterien dokumentiert werden:
- Erhebung und Verarbeitung
- Rechtsgrundlage
- Zweck der Verarbeitung
- Umfang und Kategorien der verarbeiteten personenbezogenen Daten
- geplante Speicherdauer (falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer)
- Empfänger bzw. Kategorien von Empfängern der Daten (die diese Daten bereits erhalten haben oder künftig noch erhalten werden) (z.B. auch nachgelagerte Auftragsverarbeiter)
- Herkunft der Daten, soweit diese nicht bei den betroffenen Personen selbst erhoben wurden
- Löschprozess nach Beendigung
- Benennung eines Verantwortlichen im Sinne der DSGVO
Anonymisierung von personenbezogenen Daten
Wenn möglich sollten anonymisierte Daten verwendet werden, d.h. es darf kein Rückschluss auf natürliche Personen möglich sein. Weitere Informationen dazu finden sich z.B. unter: