Anlage 4: Technische und organisatorische Maßnahmen
1. Zugangskontrolle (IT-Systeme u. Anwendungen)
Ziel: Es ist zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können.
Vorschlag:
Der Zugang zu den Mitgliederdaten und zu den Daten der Nutzer*innen im Liquid Feedback erfolgt ausschließlich über eine passwortgeschützte und verschlüsselte virtuelle Maschine (VM).
2. Zugriffskontrolle (Auf Daten und Informationen)
Ziel: Gewährleistung, dass die zur Benutzung eines automatisierten Verarbeitungssystems Berechtigten ausschließlich zu den von ihrer Zugangsberechtigung umfassten personenbezogenen Daten Zugang haben.
Vorschlag:
In der VM ist kein Zugriff von oder auf andere Systeme möglich. Der Zugriff auf die jeweilige VM ist nur für die Vereinsmitglieder möglich, welche auf Grund Ihrer Funktion Zugriff benötigen.
Zugänge zu den externen Servern werden nur den Mitgliedern zur Verfügung gestellt, welche auf Grund Ihrer Funktion einen Zugriff benötigen und nur für die Daten die sie für ihre Arbeit benötigen.
3. Trennbarkeit
Ziel: Zu unterschiedlichen Zwecken erhobene Daten müssen getrennt verarbeitet werden können.
Vorschlag:
Die Daten unterschiedlicher Dienste werden soweit möglich auf unterschiedlichen Systemen verarbeitet.
4. Pseudonymisierung
Ziel: die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können.
Vorschlag:
Kürzung der IP-Adressen in Log-Dateien und Reichweitenmessung
Freigewählte Benutzer*innennamen
II. Integrität (Art. 32 Abs. 1 lit. b DSGVO)
5. Weitergabekontrolle
Ziel: Gewährleistung, dass bei der Übermittlung personenbezogener Daten sowie beim Transport von Datenträgern die Vertraulichkeit und Integrität der Daten geschützt werden.
Vorschlag:
Durchgängiger Einsatz von Transportverschlüsselung
6. Eingabekontrolle
Ziel: Gewährleistung, dass nachträglich überprüft und festgestellt werden kann, welche personenbezogenen Daten zu welcher Zeit und von wem in automatisierte Verarbeitungssysteme eingegeben oder verändert worden sind.
Vorschlag:
Benutzer und Uhrzeit werden bei der jeweiligen Änderung im System registriert. Es werden die Ereignis- und Anmeldeprotokolle der Server verwendet.
III. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)
7. Verfügbarkeitskontrolle
Ziel: Gewährleistung, dass personenbezogene Daten gegen Zerstörung oder Verlust geschützt sind.
Vorschlag:
Regelmäßige Backups
möglichst ausfallsicheres Hosting
automatisches Monitoring der von uns betriebenen Diensten
8. Wiederherstellbarkeit
Ziel: Gewährleistung, dass eingesetzte Systeme im Störungsfall wiederhergestellt werden können.
Vorschlag:
Regelmäßige Backups
IV. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung
(Art. 32 Abs. 1 lit. d DSGVO; Art. 25 Abs. 1 DSGVO)
9. Leitlinie(n), Richtlinien, Arbeitsanweisungen und Sicherheitskonzepte
Vorschlag:
Einhaltung des Vier-Augen-Prinzips (mindestens 2 Datenverarbeitende Personen pro Aufgabengebiet zur gegenseitigen Kontrolle)
Mitglieder welche Zugang zu personenbezogenen Daten haben, werden nach den gesetzlichen Vorgaben auf das Daten- und Fernmeldegeheimnis verpflichtet und zum Thema Datenschutz und Datensicherheit geschult.
10. Regelmäßige Kontrollen, Dokumentation und ggf. Optimierung
Die Datenschutz und -sicherheitskonzepte werden regelmäßig von den verarbeitenden Personen auf Tauglichkeit/Angemessenheit überprüft und gegebenenfalls angepasst.
11. Datenschutzfreundliche Voreinstellung (Art. 25 DSGVO)
Vorschlag:
Es werden nur Daten erhoben, die für die Arbeit des Vereins, Erfüllung des satzungsgemäßen Zwecks oder die Erbringung der jeweiligen Dienstleistungen erforderlich sind.
Verarbeitungsverzeichnis
link für Bsp: https://www.lda.bayern.de/media/muster_1_verein_verzeichnis.pdf
*Verarbeitungstätigkeiten
- Mitgliederverwaltung
- Name, Adresse, Geburtsdatum, E-Mail Adresse
- Udo, Christian als Vertreter
- keine Aufbewahrungsfrist?
- Verwaltung der Vereinstätigkeiten
- Beitragsverwaltung
- Name, Bankverbindung, evtl. Adresse?
- Udo, Christian als Vertreter
- 10 Jahre Aufbewahrungsfrist
- Vereinsfinanzierung
- Verarbeitung der Anmeldungen der Bürger*innenbeteiligungsplattform
- Name, Adresse, Geburtsdatum, E-Mail-Adresse
- keine Aufbewahrungsfrist
- Erfüllung des Vereinszwecks
- Betrieb der Bürger*innenbeteiligungsplattform
- IP-Adressen¹, Browserkennungen (User-Agent), Pseudonyme, E-Mail-Adressen, Registrierungstoken, Abstimmungsdaten, freiwillige zusätzliche Angaben (bspw. Kontaktdaten)
- Betrieb der Ständigen Mitgliederversammlung
- IP-Adressen¹, Browserkennungen (User-Agent), Pseudonyme, E-Mail-Adressen, Abstimmungsdaten, freiwillige zusätzliche Angaben (bspw. Kontaktdaten)
- Betrieb des WordPress-Netzwerk
- IP-Adressen¹, Browserkennungen (User-Agent), Cookies/Nutzername/Passwort bei Anmeldungen im Admin-Bereich
- Pseudonyme
- Christian, Thomas, Astrid
- Betrieb der Reichweitenanalyse-Software
- IP-Adressen¹, Browserkennungen (User-Agent)
- Thomas, Christian
- Betrieb der Kollaborations-Software
- IP-Adressen¹, Browserkennungen (User-Agent), Cookies
- Funktionsfähigkeit der Software
- Betrieb des Wiki
- IP-Adressen¹, Browserkennungen (User-Agent), Cookies
- Funktionsfähigkeit der Software
- Betrieb des Gruppenchat
- IP-Adressen¹, Browserkennungen (User-Agent), Cookies
- Funktionsfähigkeit der Software
- Betrieb des Mail-Systems
- IP-Adressen¹, Browserkennungen (User-Agent), Cookies, unverschlüsselte Inhaltsdaten
- Funktionsfähigkeit der Software
- Betrieb der Datensynchronisierung-Software
- IP-Adressen¹, Browserkennungen (User-Agent)
- Funktionsfähigkeit der Software
¹ es werden nur die ersten 16 (von ingesamt 32) Bits von IPv4-Adressen und die ersten 32 (von ingesamt 128) Bits von IPv6-Adressen maximal 30 Tage gespeichert, außer die Daten sind für Strafverfolgungen, Angriffsabwehr und ähnliches nötig
*Datenschutzerklärung Mitglieder
Zwecke der Verarbeitung
Der Verein erhebt, verarbeitet und nutzt personenbezogene Daten seiner Mitglieder unter Einsatz von Datenverarbeitungsanlagen zur Erfüllung der in dieser Satzung aufgeführten Zwecke und Aufgaben (z.B. Name und
Anschrift, Bankverbindung, Telefonnummern und E-Mail-Adressen, Geburtsdatum, Funktionen im Verein) entsprechend Artikel 6 der Datenschutz-Grundverordnung (DSGVO).
Eine anderweitige Datenverwendung (z.B. Datenverkauf) ist nicht statthaft.
Dauer der Verarbeitung
Wir verarbeiten die Daten nur solange, wie es zur Erfüllung unseres Mitgliedsvertrages oder geltender Rechtsvorschriften erforderlich ist, z.B. gesetzliche Aufbewahrungsfristen oder strafrechtliche Verfolgung.
Rechte und Pflichten der Mitglieder
Jedes Mitglied hat im Rahmen der gesetzlichen Vorschriften der DSGVO das Recht auf:
- Auskunft nach Artikel 15 DSGVO,
- Berichtigung nach Artikel 16 DSGVO,
- Löschung nach Artikel 17 DSGVO,
- Einschränkung der Verarbeitung nach Artikel 18 DSGVO,
- Datenübertragbarkeit nach Artikel 20 DSGVO und
- Widerspruch nach Artikel 21 DSGVO.
Den Organen des Vereins, allen Mitarbeiter*innen oder sonst für den Verein Tätigen ist es untersagt, personenbezogene Daten unbefugt zu anderen als dem zur jeweiligen Aufgabenerfüllung gehörenden Zweck zu verarbeiten, bekannt zu geben, Dritten zugänglich zu machen oder sonst zu nutzen. Diese Pflicht besteht auch über das Ausscheiden der oben genannten Personen aus dem Verein hinaus.
Durch Ihre Mitgliedschaft und die damit verbundene Anerkennung dieser Datenschutzerklärung stimmen Sie der
- Erhebung,
- Verarbeitung (Speicherung, Veränderung und Übermittlung),
- Nutzung
personenbezogener Daten im Rahmen der Erfüllung der satzungsgemäßen Aufgaben und Zwecke des Vereins zu.
Newsletter:
Sie sind damit einverstanden, dass wir Ihre E-Mail-Adresse für einen regelmäßigen Newsletter über regelmäßige Informationen der aktuelle Vereinstätigkeiten verwenden.
Mitgliederversammlung:
Gemäß § 8a unserer Vereinssatzung tagt unsere Mitgliederversammlung online, in der sogenannten Ständigen Mitgliederversammlung. Damit verbunden ist eine Anmeldung auf unserer Mitgliederplattform, damit Sie Ihre Mitgliederrechte, im Sinne des Vertragsverhältnisses Verein und Mitglieder, wahrnehmen können. Dazu verwenden wir Ihre E-Mail-Adresse um Ihnen die Einladung zur Mitgliederversammlung zuzuschicken. Sie können frei entscheiden, ob Sie mit Pseudonym auftreten oder Ihren bürgerlichen Namen verwenden. Alle angemeldeten Mitglieder können Ihr Profil, Ihre Abstimmungen und Ihre Anmerkungen sehen.
Austritt aus dem Verein
Beim Austritt aus dem Verein werden Ihre Abstimmungsdaten, Profil und Anmerkungen in der Ständigen Mitgliederversammlung pseudonymisiert, d.h. die Daten sind noch lesbar, können aber nicht mehr Ihrer Person zugeordnet werden. Ihre sonstigen personenbezogenen Daten werden 30 Tage nach Zugang Ihrer Kündigung gelöscht, mit Ausnahme der Daten, die auf Grund gesetzlicher Vorschriften (z. B. § 147 Abgabenordnung) oder zum Zwecke der Strafverfolgung aufbewahrt werden müssen.
Datenschutzbeauftragte*r
Zur Wahrnehmung der Aufgaben und Pflichten nach der Datenschutz-Grundverordnung und dem Bundesdatenschutzgesetz bestellt der Vorstand eine*n Datenschutzbeauftragte*n. Datenschutzbeauftragte des Vereins Demokratielabor e.V. ist Cornelia Beuster, zu erreichen unter der E-Mail-Adresse: dsb@demokratielabor.org.
*Datenschutzerklärung Anmeldungen auf der Beteiligungsplattform "Liquid Erfurt"
Datenverarbeitung durch Demokratielabor e.V.
Die Plattform wird vom Demokratielabor e.V. angeboten, betreut und weiterentwickelt. Den Vereinsmitgliedern, die mit der Verwaltung von Daten der Plattformnutzer*innen betraut sind, ist es untersagt, personenbezogene Daten unbefugt zu anderen als dem zur jeweiligen Aufgabenerfüllung gehörenden Zweck zu verarbeiten, bekannt zu geben, Dritten zugänglich zu machen oder sonst zu nutzen.
Zwecke der Verarbeitung
Der Verein erhebt, verarbeitet und nutzt personenbezogene Daten der Plattformnutzer*innen unter Einsatz von Datenverarbeitungsanlagen zur Erfüllung der in dieser Satzung aufgeführten Zwecke und Aufgaben (z.B. Name und
Anschrift und E-Mail-Adressen, Geburtsdatum) entsprechend Artikel 6 der Datenschutz-Grundverordnung (DSGVO). Zusätzlich verarbeiten wir auf der Beteiligungsplattform Daten lt. Art. 9 der DSGVO, insbesondere Daten über Ihre politischen Meinungen und weltanschaulichen Überzeugungen.
Dauer der Verarbeitung
Wir verarbeiten die Daten nur solange, wie Sie auf der Plattform registriert sind oder solange es wegen geltender Rechtsvorschriften erforderlich ist, z.B. strafrechtliche Verfolgung.
Ihre Rechte
Sie haben im Rahmen der gesetzlichen Vorschriften der DSGVO das Recht auf:
- Auskunft nach Artikel 15 DSGVO,
- Berichtigung nach Artikel 16 DSGVO,
- Löschung nach Artikel 17 DSGVO,
- Einschränkung der Verarbeitung nach Artikel 18 DSGVO,
- Datenübertragbarkeit nach Artikel 20 DSGVO und
- Widerspruch nach Artikel 21 DSGVO.
Durch Ihre Registrierung und die damit verbundene Anerkennung dieser Datenschutzerklärung stimmen Sie der
- Erhebung,
- Verarbeitung (Speicherung, Veränderung und Übermittlung),
- Nutzung
personenbezogener Daten zum Betrieb der Beteiligungsplattform
Newsletter:
Sie sind damit einverstanden, dass wir Ihre E-Mail-Adresse für einen regelmäßigen Newsletter über Informationen aus dem Stadtrat verwenden.
Wenn Sie auf der Beteiligungsplattform angemeldet sind, können Sie frei darüber entscheiden, ob sie mit einem Pseudonym oder ihren bürgerlichen Namen auftreten. Jedoch erhalten Sie, wenn sie die Plattform mit einem Pseudonym verwenden nicht die Möglichkeit Delegationen zu empfangen. Alle Registrierten auf der Plattform können Ihr Profil, Abstimmungsdaten und Meinungsäußerungen sehen.
Sollten Sie die Bürgerbeteiligungsplattform nicht mehr nutzen möchten, können Sie ihr Benutzerkonto löschen. Ihre Abstimmungsergebnisse und Kommentare werden in pseudonymisierter Form weiterhin angezeigt, um die Integrität der Ergebnisse zu erhalten. Alle anderen Daten werden mit einer Frist von 30 Tagen gelöscht.
- Löschen von Daten bei Austritten
- wie lange sollen die Daten nach Austritt vorgehalten werden
- Löschen von Daten bei Abmeldungen von der Bürgerbeteiligungsplattform
- Pseudonymisieren der Abstimmungsergebnisse
- speichern von
---------------------------------------------
Notwendige Daten
- Code anfordern
- Name + Postadresse (E-Mailadresse optional?) -> s. Nutzungsbedingungen
- Plattformnutzung
- Mailadresse
- Anmelde- und Screenname