WIEMER / ARNDT
Datenschutz
IT Sicherheit
Website & Marketing
News
Kontakt
Team
Unser Shop
DSMS
Newsletter
Der Weg
Remote Audit
Selbstauskunft zum Datenschutzstatus in Ihrem Unternehmen
Remote-Audit zum Datenschutz
1
Steckbrief
2
Allgemeine Rahmenbedingungen
3
Umgang Patientendaten
4
Dienstleister und andere Dritte
5
Sicherheit der Verarbeitung
6
Zusätzliche Informationen
Angaben zum Unternehmen
Name des Unternehmens
*
Kontaktdaten Geschäftsführung
*
E-Mail
*
Konzern/ Holding mit Tochtergesellschaften?
*
Nein
Ja
Tochtergesellschaft eines Konzerns/ einer Holding?
*
Nein
Ja
Anzahl der Mitarbeitenden inkl. Ehrenamtliche und Praktikantinnen/en, etc.?
*
Existiert eine Mitarbeitervertretung?
*
Nein
Ja
Ist ein Dateschutzbeauftragter bestellt?
Ja
Kontaktdaten Datenschutzbeauftragter
Ist ein IT-Sicherheitsbeauftragter benannt?
Ja
Kontaktdaten (IT-Sicherheitsbeauftragter)
Angaben zur Kommunikationsstruktur
Wie wird kommuniziert: Angaben zum Arbeiten auf Rechner oder mit Smartphones.
Wie viele PC-/Terminal-Arbeitsplätze gibt es im Unternehmen?
*
Wie viele mobile Endgeräte (Notebooks, Smartphone, Tablet, etc.) existieren?
*
Wie viele Arbeitsplätze haben Internet- und E-Mail-Zugriff?
*
Datenschutzkoordination
Wurden Ressourcen in Form von Personal, Weiterbildungen und / oder Softwareanschaffungen bzgl. Datenschutz freigegeben?
Ressourcen für Datenschutz?
Nein
Ja
Weitere Angaben zu Ressourcenfreigabe
Anschaffung von DSGVO-Software z.B. zur Erstellung von Dokumentationen
Abonnement von Fachliteratur
Abstellung von Mitarbeitern für das Thema Datenschutz
Wechsel von Softwaresystemen hin zu datenschutzfreundlichen Alternativen
Einhaltung der Rechenschaftspflicht nach DSGVO
Gemäß Art. 5 Abs. 2 DSGVO sind Unternehmen dazu verpflichtet die Einhaltung des Datenschutzes nachweisen zu können.
Haben Sie ein Verzeichnis von Verarbeitungstätigkeiten erstellt?
Nein
Ja
Unklar
Weitere Angaben zu Verarbeitungstätigkeiten
Haben Sie Ihre Prozesse (Verarbeitungstätigkeiten) auf die Grundprinzipien hin überprüft?
Nein
Ja
Unklar
Hilfetext: Erklärung der Grundprinzipien 1.) Vereinbarkeit des Zweckes, 2.) Anzuwendende Rechtsgrundlagen, 3.) Transparenz, 4.) Verarbeitung nach Treu und Glauben, 5.) Datenminimierung, 6.) Datenrichtigkeit, 7.) Datenintegrität, -vertraulichkeit und -verfügbarkeit
Weiter Angaben (Überprüfung Grundprinzipien)
Haben Sie eine Schutzbedarfsanalyse zu jeder Verarbeitungstätigkeit durchgeführt?
Nein
Ja
Unklar
Weitere Angaben zu durchgeführten Schutzbedarfsanalysen
Haben Sie jede Verarbeitungstätigkeit auf die Notwendigkeit einer Datenschutzfolgenabschätzung (DSFA) hin überprüft?
Nein
Ja
Unklar
Weitere Angaben (DSFA)
Haben Sie bereits eine DSFA durchführen müssen?
Nein
Ja
Unklar
Datum der letzten DSFA
Datumsformat:TT Punkt MM Punkt JJJJ
Name des Verfahrens
Haben Sie ein Datenschutzkonzept ausgearbeitet und dort alle getroffenen Maßnahmen, Prozesse und Dokumentationen beschrieben?
Nein
Ja
Unklar
Datum (Datenschutzkonzept)
Datumsformat:TT Punkt MM Punkt JJJJ
Überprüfen Sie regelmäßig (1x pro Jahr), ob der Datenschutz in Ihrem Unternehmen eingehalten wird?
Nein
Ja
Hilfetext: 1.) Jährliche Neuerstellung aller Dokumentationen zur DSGVO, 2.) Jährliche Aktualisierung des Datenschutzkonzeptes, 3.) Jährliche Rechenschaftsberichte des DSB, 4.) Regelmäßige Datenschutzaudits, 5.) IST Analyse zum Datenschutz inkl. kontinuierlichem Verbesserungsprozess
Weitere Angaben (Datenschutzeinhaltung)
Gibt es interne Regelungen zum Umgang mit personenbezogenen Daten und zur Einhaltung gesetzlicher Vorgaben?
Nein
Ja
Hilfetext: 1.) Dienstanweisungen, Richtlinien, BV’s wurden erarbeitet, 2.) Alle Mitarbeitenden haben Kenntnis von den internen Regelungen, 3.) Die Regelungen werden anlassbezogen/ in regelmäßigen Abständen auf Aktualität und Umsetzbarkeit hin überprüft und ggf. angepasst
Weitere Angaben (Nennung der Richtlinien)
Haben Sie einen Prozess für die Bewältigung einer „Datenschutzpanne“, bzw. "Verletzung der Vertraulichkeit" beschrieben?
Nein
Ja
Anzahl der Datenschutzpannen in den letzten 24 Monaten
keine
1-5
6-10
11-20
21-30
mehr als 30
Weitere Angaben (Datenschutzpanne)
Grundlagen für Verarbeitungen
Es werden 8 Rechtsgrundlagen der Datenverarbeitung unterschieden. Die Gängigsten sind die Einwilligung und der Vertrag, die wir im weiteren abfragen.
Rechtmäßigkeit der Verarbeitung / Einwilligung
Sofern Verarbeitungen stattfinden, die nur durch eine Einwilligung zulässig sind, ist zu prüfen, ob die eingeholten Einwilligungen konform erteilt worden sind.
Einholung von Einwilligungen
Führen einer Einwilligungsdatenbank
Jährliches Überprüfen aller Einwilligungstexte auf aktuelle Rechtssicherheit
Einwilligungen werden sparsam verwenden und auf andere Rechtsgrundlagen abgestellt
Weitere Angaben (Einwilligung)
Rechtmäßigkeit der Verarbeitung / Vertrag
Sofern Verarbeitungen stattfinden, die durch einen Vertrag zulässig sind, ist der Vertrag entsprechend zu formulieren.
Hinweise zum Datenschutz in Verträgen
Hinweis zum Datenschutz ist gegeben
Jährliches Überprüfung der Verträge inkl. Anlagen wird durchgeführt
Datenschutzbestimmungen seitens des Patienten (z.B. Überwachungsmaßnahmen im Wohnumfeld) sind im Vertrag aufgenommen
Weitere Angaben (Vertrag)
Datenweitergabe / Übermittlung
Bei der Unterstützung des Patienten / der Patientin werden oft unterstützende Leistungen angeboten. Falls hierzu ein Datenaustausch mit z. B. Apotheken, Ärzten oder Therapeuten stattfindet, ist dies nur zulässig, sofern eine Entbindung der Schweigepflicht vorliegt.
Wie gewährleisten Sie die Rechtmäßigkeit? Haben Sie entsprechende Anlagen am Pflegevertrag?
Prüfung der Rechtsgrundlage
Einholen von Einwilligungserklärung
Einholen von Entbindung der Schweigepflicht
Weitere Angaben zur Datenweitergabe / Übermittlung
Veranstaltungen
Sofern für Patienten, Mitarbeiter, Kunden und/oder Angehörige Veranstaltungen wie Fortbildungen, Erfahrungsaustauschgespräche, Sommerfeste, Tag der offenen Tür stattfinden, sind hier für Grundsätze umzusetzen.
Hinweise zur datenschutzkonformen Kommunikation von und bei Veranstaltungen
Einwilligung zur Einladung
Fotoeinwilligung
Kommunikation der Veranstaltung, bzw. Homepage, Newsletter, Social Media
Verhaltensregeln zur Wahrung der Vertraulichkeit
Einverständnis zur Dokumentation
Weitere Angaben (Veranstaltungen)
Weitere Angaben zur Tagespflege
Schlüsselverwaltung
Der Schutz der Zugangsmittel zum Büroraum oder zu Räumen Dritten ist eine wichtige Pflicht. Welche Sicherungsmaßnahmen haben Sie getroffen?
Weitere Angaben zur Schlüsselverwaltung:
Aufbewahrung Dokumentation beim Kunden oder im Homeoffice ausserhalb der Arbeitsstelle
Dokumente sind vor Einsichtnahme durch Unbefugte zu schützen.
Weitere Angaben zur Umsetzung der Pflegedokumentation
Transport Daten
Wie werden Dokumente ausserhalb des Unternehmens transportiert: z.B. auf Endgeräten auf dem dokumentiert wird, Dokumentation in Papierform, sonstige Dokumente?
Weitere Angaben zum Transport von personenbezogenen Daten
z.B. Festplatten, Labtops, USB Sticks
Information zur Datenverarbeitung
Klären Sie Ihre Kunden / Klienten und / oder Interessenten auf Verlangen oder automatisiert über Ihre Grundsätze der Datenverarbeitung auf (Einhaltung von Informationspflichten) und haben Sie klare Prozesse wann und wo über die Datenverarbeitung informiert wird?
Information zur Datenverarbeitung
Einfügen / Verlinken von Datenschutzhinweisen auf Rechnungen, Angeboten und / oder sonstigen Unterlagen wird umgesetzt
Verlinkung in E-Mail Signaturen und Homepage
Übergabe der Information beim Erstkontakt (keine Einwilligung!) wird durchgeführt
Übergabe bzw. Hinweis auf Information findet auf Anfrage statt
Weitere Angaben zu Information zur Datenverarbeitung
Umsetzung Betroffenenrechte
Können Sie Anfragen von Klienten (bzw. Betroffenen im Allgemeinen) bzgl. Auskunft, Berichtigung, Einschränkung, Löschung, Widerspruch, Übertragung und Sperrung nachkommen?
Umsetzung Betroffenenrechte
Beschriebene Prozesse vorhanden
Eindeutige Identifizierung von Kunden und Nutzern
Routine etabliert, die vollständiges Löschen von Daten erlaubt
Weitere Angaben zu Umsetzung von Betroffenenrechten
Weitere Angaben zur Nennung der Richtlinien
Hilfetext: 1.) Prozess beschrieben, 2.) Muster-Protokoll über Einsichtnahme vorhanden
Trennungsgebot
Dokumentationen und Akte unterliegen dem Trennungsgebot, siehe DSGVO nach Art. 4 Nr. 2., wonach personenbezogene Daten nur für den jeweiligen Zweck vorgehalten werden dürfen.
Wie wird die Trennung umgesetzt?
Dienstleister und andere Dritte
Bitte kreuzen Sie an welche Prozesse / Dienstleistungen Sie ausgelagert haben. Hierbei kann es sich um eine Auftragsverarbeitung handeln. Wenn Sie Auftragsverarbeiter im Ausland in Anspruch nehmen, ist entscheidend, wo das Unternehmen seinen Hauptsitz hat und nicht wo die Daten verarbeitet werden.
Lohnbüro: Sitz des Datenverarbeiters?
EU / EWR
Drittland
Intern
Vertrag zur Auftragsverarbeitung (Lohnbüro) geschlossen?
Ja
Nein
Zusatzvereinbarung Lohnbüro geschlossen?
Ja
Nein
Begründung (Lohnbüro)
IT-Dienstleister: Sitz des Datenverarbeiters?
EU / EWR
Drittland
Intern
Vertrag zur Auftragsverarbeitung (IT-Dienstleister) geschlossen?
Ja
Nein
Zusatzvereinbarung IT-Dienstleister geschlossen?
Ja
Nein
Begründung (IT-Dienstleister)
Aktenvernichter: Sitz (Konzernmutter) des Datenverarbeiters?
EU / EWR
Drittland
Intern
Vertrag zur Auftragsverarbeitung (Aktenvernichter) geschlossen?
Ja
Nein
Zusatzvereinbarung Aktenvernichter geschlossen?
Ja
Nein
Begründung (Aktenvernichter)
Hoster: Sitz (Konzernmutter) des Datenverarbeiters?
EU / EWR
Drittland
Intern
Vertrag zur Auftragsverarbeitung (Hoster) geschlossen?
Ja
Nein
Zusatzvereinbarung Hoster geschlossen?
Ja
Nein
Begründung (Hoster)
Banking-Tools: Sitz (Konzernmutter) des Datenverarbeiters?
EU / EWR
Drittland
Intern
Vertrag zur Auftragsverarbeitung (Banking-Tools) geschlossen?
Ja
Nein
Zusatzvereinbarung Banking-Tools geschlossen?
Ja
Nein
Begründung (Banking-Tools)
Software Personalverwaltung: Sitz (Konzernmutter) des Datenverarbeiters?
EU / EWR
Drittland
Intern
Vertrag zur Auftragsverarbeitung (Personalverwaltung) geschlossen?
Ja
Nein
Zusatzvereinbarung Personalverwaltung geschlossen?
Ja
Nein
Begründung (Personalverwaltung)
Software allgemeine Datenverarbeitung: Sitz (Konzernmutter) des Datenverarbeiters?
EU / EWR
Drittland
Intern
Vertrag zur Auftragsverarbeitung (Datenverarbeitung) geschlossen?
Ja
Nein
Zusatzvereinbarung Datenverarbeitung geschlossen?
Ja
Nein
Begründung (Datenverarbeitung)
Software Videokonferenz: Sitz (Konzernmutter) des Datenverarbeiters?
EU / EWR
Drittland
Intern
Vertrag zur Auftragsverarbeitung (Videokonferenz) geschlossen?
Ja
Nein
Zusatzvereinbarung für Videokonferenz geschlossen?
Ja
Nein
Begründung (Videokonferenz)
Software Leistungsabrechnung: Sitz (Konzernmutter) des Datenverarbeiters?
EU / EWR
Drittland
Intern
Vertrag zur Auftragsverarbeitung mit externen Leistungsabrechnung geschlossen?
Ja
Nein
Zusatzvereinbarung Leistungsabrechnung geschlossen?
Ja
Nein
Begründung (Leistungsabrechnung)
Software Leistungsdokumentation: Sitz (Konzernmutter) des Datenverarbeiters?
EU / EWR
Drittland
Intern
Vertrag zur Auftragsverarbeitung (Leistungsdokumentation) geschlossen?
Ja
Nein
Zusatzvereinbarung für Leistungsdokumentation geschlossen?
Ja
Nein
Begründung (Leistungsdokumentation)
Software digitale Führerscheinkontrolle: Sitz (Konzernmutter) des Datenverarbeiters?
EU / EWR
Drittland
Intern
Vertrag zur Auftragsverarbeitung (Führerscheinkontrolle) geschlossen?
Ja
Nein
Zusatzvereinbarung für die Führerscheinkontrolle geschlossen?
Ja
Nein
Begründung (Führerscheinkontrolle)
Personalzusatzleistungen: Sitz (Konzernmutter) des Datenverarbeiters (z.B. Jobrad)?
EU / EWR
Drittland
Intern
Vertrag zur Auftragsverarbeitung (Personalzusatzleistungen) geschlossen?
Ja
Nein
Zusatzvereinbarung Personalzusatzleistungen geschlossen?
Ja
Nein
Begründung (Personalzusatzleistungen)
Ist die Verpflichtung auf den Datenschutz und das Datengeheimnis mit folgenden Dienstleistern abgeschlossen?
Reinigungsservice
Wachdienst
Fahrdienst
Betriebsarzt
Weitere Angaben zu Dienstleistern
Apps / Messengerdienste
Die Nutzung von Messenger-Diensten wie WhatsApp ist grundsätzlich nicht zustimmungsfähig. Die verantwortliche Stelle kann ausschliesslich Maßnahmen zur Risikominderung veranlassen.
Messengerdienste
Die verantwortliche Stelle hat Maßnahmen zur Risikominderung veranlaßt.
Alle Betroffenen sind hinsichtlich der Risiken bei Nutzung des Messenger-Dienstes aufgeklärt worden.
Die Nutzung erfolgt nur auf dienstlichen Geräten.
Weitere Angaben zur Risikominderung
Verpflichtung auf die Vertraulichkeit
Alle Mitarbeitenden die regelmässige personenbezogene Daten verarbeiten, sind auf die Vertraulichkeit zu verpflichten.
Sind die Mitarbeitenden auf die Vertraulichkeit verpflichtet?
Nein
Ja
Datum der letzen Aktualisierung der Verpflichtung?
Datumsformat:TT Punkt MM Punkt JJJJ
Weitere Angaben (Aufbewahrungsort)
Sensibilisierung zum Datenschutz
Wurden alle Mitarbeitenden, die mit personenbezogenen Daten betraut sind, hinsichtlich des Datenschutzes geschult?
Nein
Ja
Sensibilisierung zum Datenschutz
Schulung via E-Learning (Selbststudium)
Präsenzschulung
Rundmail zur Sensibilisierung
Anfertigung von Schulungsprotokollen mit Unterschrift der Beteiligten
E-Mail mit einer Präsentation zum Thema Datenschutz im Anhang
Nutzung von Datenschutzzeichen
Weitere Angaben (Sensibilisierung zum Datenschutz)
Zutrittskontrolle
Gibt es Zutrittsregelungen (für Mitarbeitenden, Klienten, Externe)?
Das Führen einer Schlüsselliste, Dokumentation der Schlüssel Ausgabe /Rückgabe
Externe werden in Empfang genommen, in den Geschäftsräumen begleitet
Die Personalien der Externen werden dokumentiert (Besucherbuch)
Weitere Angaben zur Zutrittskontrolle
Videoüberwachung
Werden Bereiche im Unternehmen per Kamera überwacht?
Alle Betroffenen werden im Bereich der Überwachung auf diese hingewiesen (Informationsschild mit allen relevanten Angaben ist vorhanden)
Ein Videoüberwachungskonzept liegt vor
Weitere Angaben zur Videoüberwachung
Datenlöschung / Archivordnung
Löschen Sie Datensätze regelmäßig, bei denen keine Aufbewahrungspflicht mehr besteht oder deren Zweck erfüllt ist?
Automatische Löschung von Datensätzen, die nicht mehr benötigt werden oder deren gesetzliche Aufbewahrungsfrist abgelaufen ist
Manuelle jährliche Kontrolle aller Datensätze, ob sie gelöscht werden können
Alle Mitarbeitenden kennen die jeweiligen Aufbewahrungsfristen in Ihrem Zuständigkeitsbereich und löschen entsprechend
Weitere Angaben zur Datenlöschung / Archivordnung
Datenträgervernichtung
Wie ist die Papier- und Aktenvernichtung geregelt und dokumentiert?
Interne Vernichtung laut Prozessbeschreibung (DIN 66399, 1-3)
Extern durch einen Dienstleister, Vernichtungsprotokolle werden vorgehalten
Weitere Angaben zur Datenträgervernichtung
Grundsätzliche technische Checks zur IT Sicherheit
Erstellen Sie Backups?
Backup & Recovery-Konzept (ausformuliert)
Regelmäßige Backup-Tests
Multiredundante Backups
Sichere Aufbewahrung der Sicherungsmedien
Lagerng vor Ort, aber außerhalb des Serverraums
Weitere Angaben (Backups)
Archiv
Gibt es einen separaten Archivraum und wie ist der Zutritt geregelt?
Festgelegter Personenkreis von Berechtigten
Zutritte zum Archiv werden protokolliert (z.B. Zugangsprotokoll)
Dienstleister befinden sich z.B. bei Wartungen nicht alleine im Archiv
Wartungen/Störungen werden dokumentiert
Weitere Angaben zum Archiv
Severraum
Wie ist der Serverraum ausgestattet?
Serverraum klimatisiert
USV
Schutzsteckdosenleisten Serverraum
Feuer- und Rauchmeldeanlagen
Feuerlöscher Serverraum
keine Lagerung brennbarer Materialien
Keine sanitären Anschlüsse im oder oberhalb des Serverraums
Weitere Angaben zum Serverraum
Anwendungen
Ist Ihre Software auf dem aktuellsten Stand?
Einschalten von automatischen Updates
Regelmäßige Kontrolle von Updates
Update Richtlinie im Unternehmen
Weitere Angaben zur Nutzung von Anwednungen
Netzwerksicherheit
Ist Ihre Software auf dem aktuellsten Stand?
Anti-Viren-Software Server
Anti-Virus-Software Clients
Firewalls
Verschlüsselung von Datenträgern
Email-Verschlüsselung
Einsatz von VPN bei Remote-Zugriffen
Bereitstellung über verschlüsselte Verbindungen wie sftp, https
Sperre externer Schnittstellen (USB)
Automatische Desktopsperre
Weitere Angaben zur Netwerksicherheit
Monitoring von Anomalien
Haben Sie ein Berechtigungskonzept?
Nein
Ja
Protokollieren Sie die Zugriffe?
Technische Protokollierung der Eingabe, Änderung und Löschung von Daten
Protokollierung der Zugriffe und Abrufe
Weitere Angaben zum Berechtigungskonzept
IT-Sicherheits-Konzept und Notfall-Maßnahmenplan
Haben Sie ein IT-Sicherheits-Konzept?
Nein
Ja
Datum der letzten Aktualisierung des IT-Sicherheitskonzeptes
Datumsformat:MM Schrägstrich TT Schrägstrich JJJJ
Nennung Verantwortlichkeit
Haben Sie einen Notfall-Maßnahmenplan?
Nein
Ja
Datum der Aktualisierung des Notfall-Maßnahmenplans
Datumsformat:MM Schrägstrich TT Schrägstrich JJJJ
Aufbewahrungsort der Kontaktliste der IT-Sicherheitsverantwortlichen
Überprüfung Ihrer Website auf Datenschutzkonformität
Sie haben Sie die Möglichkeit Ihre Website auf die Einhaltung des Datenschutzes durch uns überprüfen zu lassen. Dafür erstellen wir Ihnen eine Webaudit mit Maßnahmen zu Umsetzung, die Sie mit Ihrem Dienstleiter nutzen können. Das erstellen wir Ihnen ein Angebot in Höhe von 180,- EUR.
Website 1
Website 2
Website 3
Prüfung von Dokumenten
Gerne überprüfen wir Ihre vorhandenen Dokumente, wie Einwilligungen, Verträge, das Datenschutzkonzept, etc. Dafür erstellen wir Ihnen gerne ein Angebot. Um dies möglichst spezifisch erstellen zu können, haben Sie die Möglichkeit diese hier vorab zu übermitteln. Bitte laden Sie keine Dokumente mit Personenbezug hoch, bzw. schwärzen Sie die Namen.
Datei 1
Datei 2
Datei 3
Datei 4
Terminvorschläge für Ihr Auswertungsgespräch
Nachdem wir Ihre Selbstauskunft ausgewertet haben, möchten wir Sie gerne individuell beraten, wie Sie Ihr Datenschutzniveau optimieren können. Dafür stehen wir Ihnen telefonisch, bzw. per Videochat für die Auswertung der Selbstauskunft und für das Webaudit zur Verfügung. Bitte teilen Sie uns doch gerne jetzt schon 2 Termine mit, die Ihnen gut passen. Wir werden, dann einen Termin schriftlich bestätigen.
Terminvorschlag 1
Datumsformat:TT Punkt MM Punkt JJJJ
Uhrzeit
:
HH
MM
Terminvorschlag 2
Datumsformat:TT Punkt MM Punkt JJJJ
Uhrzeit
:
HH
MM
Einverständniserklärung
*
Hier finden Sie die
die Betroffeneninformationen zur Datenverarbeitung
.
Vielen Dank und bis bald...
WIEMER / ARNDT UG (haftungsbeschränkt) Adolfstraße 4 13347 Berlin T +49 (0) 30.403649830 E kontakt@wiemer-arndt.de
