Das neue Gesetz zum Schutz des Bürgers bei der Verarbeitung seiner Daten (DSG M-V) ist am 18. April 2002 in Kraft getreten. Es verpflichtet jede Daten verarbeitende Stelle zur Führung eines Verfahrensverzeichnisses, welches aus Beschreibungen für alle automatisierten und nicht-automatisierten Verfahren besteht. Im § 18 DSG M-V ist festgelegt, welche Angaben das Verfahrensverzeichnis enthalten muss. Es bestehen keine Vorschriften bezüglich der Form.
Der Landesbeauftragte für den Datenschutz wird bei anstehenden Beratungs- und Kontrollbesuchen das Verfahrensverzeichnis anfordern. Zu diesem Grund sowie zur Erleichterung der eigenen Führung der Verzeichnisse in den öffentlichen Stellen wird empfohlen, für das Verfahrensverzeichnis das vorgegebene Muster (download Formulare: *.pdf / *.rtf ) mit den Hinweisen zum Ausfüllen zu verwenden.
Alternativ besteht die Möglichkeit, das Verzeichnis in elektronischer Form zu führen und zu übersenden. Hierzu stellt der Landesbeauftragte für den Datenschutz eine auf Microsoft Access basierende Anwendung (download Anwendung) als selbentpackendes Archiv zur Verfügung.
Neben dieser Bekanntmachung kann beim Landesbeauftragten für den Datenschutz auch eine Broschüre unter dem Titel "Landesdatenschutzgesetz 2002 mit Erläuterungen" angefordert oder unter der genannten Adresse herunter geladen werden.
Neue Verfahren müssen anhand der oben erläuterten Vorgaben aus § 18 DSG M-V beschrieben werden. Für Verfahren, die beim In-Kraft-Treten des neuen Gesetzes bereits in Betrieb waren, können für einen Übergangszeitraum bis zum 17. April 2005 noch die Dateibeschreibung und das Geräteverzeichnis nach § 16 des alten Datenschutzgesetzes genutzt werden.
Bezeichnung der Daten verarbeitenden Stelle
Verarbeitende Stelle ist diejenige Behörde bzw. öffentliche Stelle, bei der die rechtliche Verantwortung für die Verarbeitung von personenbezogenen Daten liegt. Erfolgt die Verarbeitung durch einen Auftragnehmer (z. B. Dienstleistungsrechenzentrum), trägt die rechtliche Verantwortung trotzdem der Auftraggeber, der somit auch verarbeitende Stelle bleibt. Die Bezeichnung sollte Name und Anschrift der verarbeitenden Stelle enthalten.
Ansprechpartner
Für eventuelle Rückfragen des Landesbeauftragten für den Datenschutz sollte der Name des Ansprechpartners (ggf. eines Vertreters) sowie dessen/deren Telefonnummer eingetragen werden, der über den Aufbau und den Inhalt des Verfahrens Auskünfte erteilen kann.
Bezeichnung des Verfahrens
Der Verfahrensname muss eine eindeutige Zuordnung der Beschreibung zum entsprechenden Verfahren erlauben und die Gefahr der Verwechslung mit anderen Verfahren ausschließen. Die bloße Angabe einer Nummer oder Abkürzung wird hierfür in der Regel nicht genügen. Empfehlenswert ist es, dem oftmals nicht aussagekräftigen kurzen Verfahrensnamen die Bezeichnung der Verfahrensart voranzustellen. Beispiele: "HKR-Verfahren PROfiskal", "Polizeiinformationssystem LAPIS"
Weitere Angaben zum Verfahren
Es ist anzugeben, ob bei der Verarbeitung personenbezogener Daten automatisierte Verfahren eingesetzt werden. Automatisierte Verfahren bedürfen der Freigabe durch den Leiter der Daten verarbeitenden Stelle oder einen dafür beauftragten Vertreter. Im Formular ist anzugeben, wann und von wem die schriftliche Freigabe erfolgte. Bei Verbund- oder Abrufverfahren muss klargestellt werden, welche Stelle für welchen Bereich der DV verantwortlich ist. Bei großen, verschiedene Aufgabenbereiche umfassende Stellen ist es empfehlenswert, zusätzlich den konkreten Bereich anzugeben.
Bei der Festlegung der Zweckbestimmung sind folgende Punkte zu beachten:
* Der Zweck des Verfahrens ist schon bei dessen Konzeption, nicht erst bei der Durchführung der Datenverarbeitung zu bestimmen.
* Die Zweckbestimmung ist für das gesamte Verfahren zu ermitteln, die ungeprüfte Übernahme des Erhebungszwecks reicht nicht aus.
* Maßgeblich für die Zweckbestimmung ist die Ebene der materiellen Verwaltungsaufgaben, nicht die der Datenverarbeitungstechnik.
Beispiel: nicht "Erfassung von (Eigentümer-)Daten", sondern "Gebäude- und Wohnungsstatistik 2002"
* Die Aufgabe ist allgemein verständlich und möglichst konkret zu benennen, ggf. zu umschreiben.
Beispiel: nicht "Planungsaufgaben", sondern "Planung und Verteilung der für das 3. Quartal 2002 anstehenden Sanierungsaufgaben"
* Dienen die einzelnen Datenarten unterschiedlichen Zwecken, sollten in der Regel verschiedene Verfahrensbeschreibungen angelegt werden. Wenn die Trennung schwer möglich oder unpraktisch ist oder wenn das Verfahren insgesamt mehrere Zwecke erfüllen soll, sind alle Zwecke, gegebenenfalls differenziert nach den (laufenden Nummern der) Datenarten, zu nennen.
Beispiel: "Eigenheimförderung wegen X (Datenfelder Nr. 1 bis 6), Eigenheimförderung wegen Y (Datenfelder Nr. 1 bis 3 und Nr. 7 bis 9)".
Rechtsgrundlage der Verarbeitung
Die Rechtsgrundlage der Verarbeitung (genauer: des Verfahrens) nach Nummer 2 steht in direktem Zusammenhang mit dem Zweck und sollte daher auch mit diesem zusammen genannt werden. Dabei sind die einschlägigen Vorschriften so genau wie möglich anzugeben.
Beispiel: "X-Verfahren nach § 3 Abs. 5-7 Y-Gesetz und § 10 Abs. 2 Z-Gesetz".
Automatisierte Einzelentscheidungen
Automatisierte Einzelentscheidungen dürfen nur eingesetzt werden, wenn die Voraussetzungen des § 12 Abs. 2 vorliegen:
* Nr. 1 wenn ein Gesetz dies vorsieht (Rechtsgrundlage angeben) oder
* Nr. 2 wenn der Betroffene vor der Entscheidung die Möglichkeit erhält, seine besonderen persönlichen Interessen geltend zu machen (hierzu entsprechende Erläuterung angeben).
Besonders sensible Daten nach § 7 Abs. 2
Verarbeitungen besonders sensibler Daten nach § 7 Abs. 2 sollten besonders kennzeichnet werden, da sich bei Erstellung und Betrieb dieser Verfahren zusätzlich zu beachtende Besonderheiten ergeben. Es ist anzugeben, nach welcher Alternative des § 7 Abs. 2 oder Abs. 3 Nr. 1 bis 4 die Verarbeitung zulässig ist.
Die Arten der zu verarbeitenden Daten sind detailliert und aussagekräftig zu beschreiben wobei in die Beschreibung auf keinen Fall die personenbezogenen Daten selbst aufgenommen werden dürfen. Da die Beschreibungen von jedermann eingesehen werden können, müssen die "Feldbezeichnungen" allgemeinverständlich sein ("sprechende Namen" verwenden).
Beispiel: Nachname des Antragstellers
Das Erläuterungsfeld dient ggf. der verständlicheren Inhaltsbezeichnung. Die Arten der gespeicherten Daten sind in drei Kategorien (Formulare) unterteilt:
3a) Grunddaten (Hier sind nicht zutreffende Bezeichnungen zu streichen oder zu ersetzen),
3b) Weitere Daten,
3c) Daten nach § 7 Abs. 2 (Wegen der besonderen Sensibilität dieser Daten werden sie gesondert erfragt.)
Hier ist festzulegen, wer erfasst werden darf. Dies geschieht durch die Bezeichnung der allen Betroffenen gemeinsamen Merkmale, die sich aus dem Inhalt der Aufgabe und der Zweckbestimmung des Verfahrens ergeben. Die Beschreibung des Personenkreises sollte so präzise erfolgen, dass für jede beliebige Person entschieden werden kann, ob sie zum Kreis gehört oder nicht. Örtliche Angaben sind nur erforderlich, soweit sie sich nicht aus der örtlichen Zuständigkeit der verarbeitenden Stelle ergeben. Auch mehrere Personenkreise sind unter Umständen anzugeben, etwa neben den Hauptbetroffenen Angehörige oder Zeugen, die dann getrennt festzulegen sind.
Beispiele: "Antragsteller für die XY-Förderung" (sofern noch nicht entschieden), "Empfänger der XY-Förderung" (positiv entschieden), "Wohngeldempfänger", "volljährige Einwohner des Ortsteiles XY"
Empfänger sind sowohl Stellen (Dritte), an die Daten übermittelt werden, als auch Betroffene und Auftragnehmer, sofern sie innerhalb eines Verfahrens Daten erhalten. Es sind nicht nur Übermittlungen im Sinne des § 3 Abs. 4 Nr. 4 gemeint, sondern alle Datenweitergaben. Die Mitteilungen müssen auch nicht regelmäßig erfolgen. Darüber hinaus kommt es nicht darauf an, ob die Mitteilung auf ein Ersuchen hin erfolgt.
Beispiele: "XY-Behörde", "Presse", "Wirtschaftsunternehmen des Landkreises XY", "Forschungseinrichtungen", "Berechtigte nach XY-Gesetz"
Übermittlungen an Stellen außerhalb der Europäischen Union (sog. Drittstaaten) unterliegen den besonderen Voraussetzungen des § 16. Die Angaben in der Verfahrensbeschreibung sollen sicherstellen, dass nachprüfbar bleibt, ob diese Voraussetzungen vorliegen. Es ist bereits dann ein Hinweis aufzunehmen, wenn zwar noch kein Zeitpunkt und keine näheren Umstände der Übermittlung festliegen, jedoch bereits beabsichtigt ist, zur gegenseitigen Unterrichtung oder Zusammenarbeit personenbezogene Daten zu übermitteln.
Da in der Regel nicht alle im Verfahren verarbeiteten Daten auch an Drittstaaten übermittelt werden sollen, ist der Umfang der Übermittlung zu beschreiben. Dazu sind in die Beschreibung Angaben zu Zwecken, Datenarten sowie Zielländern oder Ländergruppen aufzunehmen.
Beispiel: "Beabsichtigte Übermittlung von Personaldaten (Name, Alter, Ausbildungsabschluss, Schulfächer, Schulart) der Lehrer von Mecklenburg-Vorpommern an Polen zur Vorbereitung eines regelmäßigen Lehreraustausches im Rahmen des Projektes Intensivierung der Zusammenarbeit auf dem Gebiet des Bildungswesens"
Für alle Verfahren sind nach § 21 Abs. 1 die erforderlichen und angemessenen technischen und organisatorischen Sicherheitsmaßnahmen zu ergreifen. Diese sind in der Verfahrensbeschreibung sowohl für automatisierte als auch für nicht-automatisierte Verfahren aufzuzählen und zu erläutern. Als Struktur sollten die in der Aufzählung des § 21 Abs. 2 genannten Sicherheitsziele dienen.
Da für automatisierte Verfahren nach § 22 Abs. 5 ohnehin ein Sicherheitskonzept zu erstellen ist, genügen in diesem Falle auch stichwortartige Beschreibungen mit Verweisen auf die entsprechenden Kapitel des Konzeptes. Auch die besonderen Maßnahmen des § 22 sind zu berücksichtigen. Daneben sollten auch der Aktualisierungsstand des Konzeptes und ein Hinweis auf den Freigabevermerk aufgenommen werden. Dies dient gleichzeitig der internen Datenschutzkontrolle.
Der Umfang der Darstellungen ist so zu wählen, dass eine erste Einschätzung möglich ist, ob die getroffenen Maßnahmen geeignet und angemessen sind.
Sperrungs- und Löschungsfristen
Angaben zu Sperrungs- und Löschfristen sind zwar kein vorgeschriebener Bestandteil des Verfahrensverzeichnisses; gleichwohl wird empfohlen, diese Angaben mit in das Verzeichnis aufzunehmen. Dies dient einerseits der Selbstkontrolle, andererseits erleichtert es externe Datenschutzprüfungen.
Nach § 13 DSG M-V sind Daten zu löschen, wenn sie für eine rechtmäßige Aufgabenerfüllung der Behörde nicht mehr erforderlich sind. Stehen die in § 13 Abs. 2 DSG M-V genannten Punkte einer Löschung entgegen, tritt an die Stelle der Löschung eine Sperrung.
Datenart
Es sind diejenigen Daten aufzulisten, die laut Rechts- oder Verwaltungsvorschrift einer Sperrung oder Löschung unterliegen.
Frist der Sperrung
Falls aus Gründen, die in §13 DSG M-V genannt sind, anstelle der Löschung die Sperrung tritt, ist analog zum Punkt "Frist der Löschung" die gesetzlich geregelte Aufbewahrungsfrist einzutragen.
Beispiel: 5 Jahre
Frist der Löschung
Es ist der Zeitraum der Speicherung einzutragen, in dem laut Rechts- oder Verwaltungsvorschrift eine Löschung der Daten erfolgen muß.
Beispiel: 10 Jahre
Dauer der Speicherung geregelt durch
In Verbindung mit der Angabe von "Rechtsgrundlage und Zweck der Speicherung" und der o. g. "Speicherdauer" ist hier die Grundlage (Rechts- oder Verwaltungsvorschrift) für die Aufbewahrungsfristen anzugeben.
Beispiel: §11 Abs. 3 LMG