Hochschule Hannover Expo Plaza 4 30539 Hannover Vorabkontrolle nach § 7 Absatz 3 des Niedersächsischen Datenschutzgesetzes (NDSG) zu dem Verfahren <Bezeichnung der geplanten automatisierten Verarbeitung> Mit der Vorabkontrolle sollen die spezifischen Risiken der automatisierten Verarbeitung personenbezogener Daten für die Rechte und Freiheiten der betroffenen Personen minimiert werden. Die gesetzliche Verpflichtung hierzu ergibt sich u. a. aus § 7 Abs. 3 NDSG: Ein automatisiertes Verfahren darf nur eingesetzt oder wesentlich geändert werden, soweit Gefahren für die Rechte Betroffener, die wegen der Art der zu verarbeitenden Daten oder der Verwendung neuer Technologien entstehen können, durch Maßnahmen nach Absatz 1 (technische und organisatorische Maßnahmen) wirksam beherrscht werden können. Die nach Satz 1 zu treffenden Feststellungen sind schriftlich festzuhalten. Ziel dieser technisch-organisatorischen Analyse ist die Bewertung der Beherrschbarkeit neuer Informations- und Kommunikationsverfahren vor deren Einführung. Mit ihr werden die Abläufe der automatisierten Datenverarbeitung transparent gemacht, Gefahren für die Rechte der Betroffenen aufgezeigt, Risiken abgeschätzt und Sicherungskonzepte entworfen. Lassen sich erkannte Restrisiken nicht hinreichend sicher ausgestalten, darf ein Verfahren nicht zum produktiven Einsatz kommen. Zuständig für die Vorabkontrolle ist der Datenschutzbeauftragte der Hochschule Hannover. Das Ergebnis der Vorabkontrolle und seine Begründung sind schriftlich festzuhalten. Die für das Verfahren verantwortliche Stelle ist für die rechtzeitige Bereitstellung der für eine Vorabkontrolle benötigten Informationen in ausreichender Qualität verantwortlich. Wahrscheinlich ist dazu eine Beteiligung der Hochschul-IT erforderlich. Das folgende Formular soll Ihnen dabei helfen, die erforderlichen Informationen bereitzustellen. Es ist an die Orientierungshilfe Vorabkontrolle … leicht gemacht des Landesbeauftragten für den Datenschutz Niedersachsen angelehnt1. 1 http://www.lfd.niedersachsen.de/portal/live.php?navigation_id=12977&article_id=56138&_psmand=48 Dateiname: 151221 Vorabkontrolle.docx Letzter Bearbeiter: Stephan König Zuletzt gespeichert am: 21. Dez. 2015 Seite 1 von 4 1. Systembeschreibung Detaillierte und verständliche Beschreibung des dem Verfahren zugrunde liegenden Systems. Folgende Aspekte sind dabei insbesondere zu adressieren: Produktname & Version. Hersteller. Lizenzmodell Beschreibung der Funktionen des Systems Art der verarbeiteten und gespeicherten Daten Systemvoraussetzungen (Client, Server, Datenbanken) Schnittstellen zu anderen Systemen Technische Architektur des Systems (mit Abbildung) Angaben zu Speicherorten personenbezogener Daten Zugriffsberechtigte Personengruppen Kreis der Betroffenen 2. Rechtsgrundlage der Datenverarbeitung Datenverarbeitende Stellen sollten vor der Entscheidung zur automatisierten Verarbeitung personenbezogener Daten prüfen, nach welcher gesetzlichen Regelung die Verarbeitung zulässig ist, und den Zweck die Datenverarbeitung konkret festlegen. Die Zulässigkeitsprüfung muss hinsichtlich jeder Verarbeitungsphase erfolgen (Erhebung, Speicherung, Übermittlung, automatisierter Abruf, sonstige Nutzung). Gemäß § 4 NDSG ist die Verarbeitung personenbezogener Daten nur zulässig, wenn eine Rechtsvorschrift dies vorsieht. Sofern die Datenverarbeitung auf Grundlage von Einwilligungserklärungen der Betroffenen erfolgt, wäre § 4 Abs. 1 Nr. 2 NDSG i.V.m. der Einwilligungserklärung anzugeben. In allen anderen Fällen lautet die Rechtsvorschrift dann § 4 Abs. 1 Nr. 1 NDSG i.V.m. der jeweiligen Ermächtigungsnorm. Typische Ermächtigungsnormen im Hochschulbereich sind für die Verarbeitung von: Studierendendaten: § 17 Niedersächsisches Hochschulgesetz (NHG) i.V.m. der Ordnung zur Verarbeitung personenbezogener Daten an der Hochschule Hannover Daten der Beschäftigten in Dienst- und Arbeitsverhältnissen: § 24 NDSG Daten von beamteten Beschäftigten: § 50 Beamtenstatusgesetz (BeamtStG), §§ 88 bis 95 des Niedersächsischen Beamtengesetzes (NBG) Evaluationsdaten: § 5 NHG i.V.m. der Evaluationsordnung Daten für Forschungsvorhaben: § 25 NDSG Für die Beobachtung durch Bildübertragung (Videoüberwachung): § 25a NDSG Allgemeine Ermächtigungsnormen: Datenerhebung: § 9 NDSG Speicherung, Veränderung, Nutzung: § 10 NDSG Übermittlung an andere Behörden: § 11 NDSG Berichtigung, Löschung, Sperrung: § 17 NDSG Auch Dienstvereinbarungen sind Rechtsvorschriften im Sinne des § 4 NDSG. Dateiname: 151221 Vorabkontrolle.docx Letzter Bearbeiter: Stephan König Zuletzt gespeichert am: 21. Dez. 2015 Seite 2 von 4 Darüber hinaus ist zu beschreiben, inwiefern die allgemeinen Grundlagen des Datenschutzes eingehalten werden. Dazu gehören insbesondere: Datenvermeidung Datensparsamkeit Zweckbindung Erforderlichkeit Trennungskontrolle Wahrung der Rechte der Betroffenen (Auskunft, Berichtigung, Löschung, Sperrung usw.) 3. Gefahrenanalyse In der Gefahrenanalyse sind die Gefährdungen für die bedrohten Objekte gegliedert nach Objektgruppen (z.B. Infrastruktur, Hardware, Software, Anwendungsdaten, Personen) zu erfassen und die Auswirkungen zu beschreiben. Dabei sollte der Detaillierungsgrad der Schutzbedürftigkeit2 des Verfahrens angepasst werden. In der Gefahrenanalyse ist von den Grundbedrohungen Verlust von Vertraulichkeit, Integrität und Verfügbarkeit auszugehen. Typische Gefährdungslagen sind höhere Gewalt, organisatorische Mängel, menschliche Fehlhandlungen, technisches Versagen oder vorsätzliche Handlungen. 4. Risikoanalyse Das Risiko wird bestimmt durch die Wahrscheinlichkeit eines Schadenseintritts und durch das Ausmaß des Schadens. Die Wahrscheinlichkeit für den Eintritt eines Schadens ergibt sich wiederum aus: dem Missbrauchsinteresse (Interesse Unbefugter, Daten zu missbrauchen: löschen, manipulieren, unbefugt nutzen). Ein hohes Missbrauchsinteresse liegt z.B. vor, wenn durch den Missbrauch von Daten persönliche Bereicherungen möglich erscheinen, Maßnahmen gegenüber Straftätern verhindert, Konkurrenten massiv benachteiligt und Entscheidungsträger erheblich beeinträchtigt werden können (Erpressung, Rache). dem Aufwand, der notwendig ist, um einen Schaden herbeizuführen, dem Risiko, bei einem Missbrauch entdeckt zu werden, und der Verarbeitungshäufigkeit (Häufigkeit der Vorgänge, bei denen ein Missbrauch oder eine sonstige Beeinträchtigung möglich ist). Das Ausmaß des Schadens aus datenschutzrechtlicher Sicht ergibt sich aus der Beeinträchtigung der Betroffenen. Zur Einschätzung möglicher Risiken kann das Schutzstufenkonzept (siehe Fußnote 2) benutzt werden. Daneben sind der Verwendungszusammenhang der Datenverarbeitung, die Vielfalt der verfolgten Zwecke und die Komplexität des verwendeten Systems (z.B. hochschulinterne Vernetzung, hochschulübergreifende Vernetzung) bei der Risikoabschätzung zu berücksichtigen. Mögliche Schadensersatzansprüche, finanzielle Schäden oder Vertrauensschäden sind dabei zu adressieren. 2 In den allermeisten Fällen sind die an der HsH verarbeiteten personenbezogenen Daten den Schutzstufen A-C zuzuordnen. Für diese reicht ein Grundschutz und das Risiko ist allgemein als gering einzuschätzen. Stufe D bedeutet bereits, dass die unsachgemäße Handhabung der Daten den Betroffenen in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen erheblich beeinträchtigen könnte („Existenz”). Weitere Details finden sich im Schutzstufenkonzept des LfD Niedersachsen: http://www.lfd.niedersachsen.de/download/52033/Schutzstufenkonzept_LfD_Niedersachsen_.pdf Dateiname: 151221 Vorabkontrolle.docx Letzter Bearbeiter: Stephan König Zuletzt gespeichert am: 21. Dez. 2015 Seite 3 von 4 5. Datensicherungskonzept Aus der Gefahren- und Risikoanalyse ist ein Sicherheitskonzept zu entwickeln. Die zu treffenden technischen und organisatorischen Maßnahmen (siehe § 7 NDSG) sind zu beschreiben und zu bewerten. Für den Grundschutzbereich (siehe Fußnote 2) typische technische und organisatorische Maßnahmen finden sich im Abschnitt 8 der Ausfüllhinweise zum Formular Verfahrensbeschreibung3. 6. Beherrschung der Gefahren und Restrisiken Beschreiben und bewerten Sie die Restrisiken, die sich aus dem Verfahren ergeben. Zeigen Sie denkbare Alternativlösungen auf und beschrieben Sie, warum diese nicht zum Einsatz kommen. Erstellen Sie ein Fazit aus den getroffenen Sicherheitsmaßnahmen. Datenverarbeitende Stelle: Ansprechpartner für Rückfragen (OE, Name, Telefonnummer): ____________________________________ Datum und Unterschrift OE-Leitung Stellungnahme des Datenschutzbeauftragten: Datum und Unterschrift Datenschutzbeauftragter 3 http://www.hs-hannover.de/datenschutz/verfahrensbeschreibungen/erstellen-von-verfahrensbeschreibungen/index.html Dateiname: 151221 Vorabkontrolle.docx Letzter Bearbeiter: Stephan König Zuletzt gespeichert am: 21. Dez. 2015 Seite 4 von 4
© Copyright 2025 ExpyDoc