HiOrg-Server und die DS-GVO
Der Stichtag für die Wirksameit der Datenschutz-Grundverordnung (DS-GVO) kommt näher, und die Sensibilität im Bezug auf dieses wichtige Thema wächst spürbar. Wir merken dies an der erhöhten Anzahl von Rückfragen, aber auch an verunsicherten Aussagen wie „…man weiß ja nicht so genau, wie das bei HiOrg-Server so läuft“, die an uns herangetragen wurden.
In diesem Beitrag wollen wir Sie daher über die Relevanz der Themen Datenschutz und Datensicherheit bei HiOrg-Server, sowie insbesondere über die Änderungen anlässlich der gesetzlichen Neuregelungen informieren.
Schon seit Jahren liegt uns bei der Entwicklung und dem Betrieb von HiOrg-Server der Schutz und die Sicherheit der Nutzerdaten sehr am Herzen. Vor längerem haben wir beispielsweise über ein erfolgreiches externes Datenschutz-Audit berichtet und auch auf unserer Infoseite stellen wir viele Informationen zum Umgang mit Nutzerdaten bereit, die wir natürlich streng nach allen relevanten Datenschutz-Richtlinien behandeln.
Dazu gehört auch, dass wir schon seit langer Zeit unseren Kunden nahelegen eine besondere Vereinbarung zur Auftragsdatenvereinbarung mit uns abzuschließen. Obwohl diese schon umfangreicher und konkreter ausgearbeitet war als das bisher gültige BDSG es gefordert hatte, gibt es nach der neuen Gesetzeslage nun einige Anforderungen an eine solche Vereinbarung, welche in unserer bestehenden Vorlage nicht erfasst waren.
Aus diesem Grund haben wir bereits eine aktualisierte DV-Vereinbarung erarbeitet, die allen Anforderungen der DS-GVO und des BDSG-neu (sowie der entsprechenden DSG der Kirchen) genügt, und auch eine aktualisierte Version der „Anlage technische und organisatorische Maßnahmen (TOM)“ enthält.
Leider liegt diese Vereinbarung derzeit (Stand: 04.05.2018) noch zur Prüfung beim unabhängigen Datenschutzzentrum Saarland, ebenso steht die abschließende Freigabe seitens unseres Haupt-Rechenzentrums (als Co-Autor der Anlage TOM) noch aus.
Sobald diese Prüfungen abgeschlossen sind, werden Sie als Admin die neue Vereinbarung über einen entsprechenden Hinweis direkt in Ihrem HiOrg-Server erhalten.
„Privacy by design“ und „Privacy by default“
Die von der DS-GVO geforderten Punkte Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen setzen wir im HiOrg-Server z.B. so um, dass in sämtlichen Formularmasken nur die Daten als Pflichtfelder abgefragt werden, die zwingend zur Bearbeitung des Datensatzes erforderlich sind. Diese Datenfelder erkennen Sie an einem * neben dem Eingabefeld („Datensparsamkeit“).
Grundsätzlich ist durch personalisierte Zugänge für jeden Benutzer und das differenzierte Rechtesystem gewährleistet, dass jeder Nutzer nur die Daten sehen kann, die er aufgrund seiner Aufgaben und Tätigkeiten in der Organisation auch sehen darf und zu seiner Arbeit benötigt („Privacy by Design“). Zusätzlich werden schon seit Jahren sämtliche Daten über eine verschlüsselte Verbindung übertragen, damit es „unterwegs“ nicht zu Datendiebstahl kommt.
Im System kann jedes Mitglied selbst wählen, welche seiner persönlichen Daten für andere Mitglieder sichtbar sein dürfen: dazu kann das „Schloss“-Symbol vor jedem Datenfeld geöffnet oder geschlossen werden. Bei der Anlage eines neuen Mitgliedes sind diese Schlösser grundsätzlich „geschlossen“ („Privacy by default“). Sie als Admin können in den System-Einstellungen sogar festlegen, dass diese Daten immer geschützt sind und auch vom Mitglied nicht freigegeben werden dürfen. Generell empfehlen wir außerdem, dass Sie Ihre Mitglieder motivieren, ihre personenbezogenen Daten selbstständig einzutragen und zu pflegen.
Checkbox auf Anforderungsformular / Teilnehmeranmeldung
Werden mittels eines Kontaktformulars personenbezogene Daten übertragen, so sollte dies erst geschehen, nachdem der Nutzer über die Verwendung der Daten informiert wurde und aktiv seine Zustimmung gegeben hat. Wir haben dazu die öffentlichen Formulare zur Dienstanforderung (HiOrg-Server PRO) und die Teilnehmeranmeldung (HiOrg-Server KURSE), welche Sie in Ihrer Webseite einbinden können, entsprechend angepasst. Zukünftig gibt es eine Checkbox für die Einwilligung zur Datenverarbeitung. Diese muss der Nutzer aktivieren, bevor die Daten abgesendet werden können.
Da die Bedürfnisse für die Beschriftung dieser Checkbox individuell abweichen und wir keine Rechtsberatung geben können, lassen sich die Texte im Menü „System > Einstellungen > Rechnungen / Anforderungsformular“ bzw. „System > Einstellungen > Ausbildung allgemein“ einfach anpassen.
BDSG-konforme Mustervorlage „Teilnehmerdatenblatt“
Da die bislang beliebte Teilnehmerliste (in welcher jeder Kursteilnehmer auch die Daten anderer Teilnehmer einsehen kann) bereits jetzt nicht mehr zulässig ist, haben wir in HiOrg-Server KURSE eine neue Mustervorlage hinterlegt. Diese ermöglicht unkompliziert die Ausgabe der Teilnehmerdaten auf einzelne Blätter, so wie es das BDSG vorsieht. Bitte achten Sie darauf, dass die Häkchen „bei Anzeige ins PDF-Format umwandeln“ und „neue Seite nach 1 Kursteilnehmer“ gesetzt sind. Jedem Teilnehmer kann dann sein individuelles Blatt zur Unterschrift und Überprüfung seiner Daten ausgehändigt werden.
Bei Fragen zu HiOrg-Server in Verbindung mit der DS-GVO können Sie sich jederzeit an uns wenden. Wir helfen Ihnen gerne weiter.
Da wir eingentlich die Helfer auch informieren müssen, welche Daten wir speichern und dafür eine Genehmigung brauchen wäre es schön, wenn es ein Formular gäbe, auf dem HiOrg das offenlegt und wir uns diesen Bogen unterschreiben lassen könnnen und mit in die Personalakte nehmen.
Vorab: Wir sind keine Juristen, daher sind die folgenden Aussagen nicht verbindlich und müssen in Ihrem konkreten Einzelfall überprüft werden.
Grundsätzlich muss man unterscheiden zwischen der Einwilligung zur Datenspeicherung und Ihrer Informationspflicht.
Für die Einwilligung benötigen Sie tatsächlich eine nachweisbare Bestätigung (z.B. Unterschrift), diese ist aber seit Jahren auf den gängigen Aufnahmeformularen zur Organisation meist enthalten. Die Einwilligung ist aber meist unabhängig von der Art der Verarbeitung (Papier, elektronisch per Excel, Auftragsverarbeitung), deshalb muss bei Wechsel von einer „internen“ Verarbeitung zu einer Auftragsverarbeitung mit dem HiOrg-Server eigentlich keine gesonderte Einwilligung vom Helfer eingeholt werden.
Die Informationspflicht (welche durch die DS-GVO etwas verschärft wurde) muss allerdings nicht zwingend durch eine Bestätigung nachgewiesen werden. Insofern müssen Sie derzeit eigentlich keine neue Unterschrift beim Helfer einholen.
Welche Daten konkret verarbeitet werden, kann sich von einer Gliederung/Organisation zur nächsten unterscheiden (Stichwort: benutzerdefinierte Felder), deshalb können wir keine vollständige/allgemeingültige Auskunft hierzu machen. In unserer AV-Vereinbarung (auch schon in der vorhergehenden ADV) listen wir die gängigen Datentypen auf (für welche wir Standardfelder vorsehen).