Verarbeitungsverzeichnis
der einzelnen Datenschutzfolgenabschätzung –
hier Auftragsverarbeitung
nach Art. 4, 28 ff., 30 Abs. 2 und 35 DSGVO
(Nachweis der Rechtmäßigkeit, der Verarbeitung
nach Treu und Glauben, Transparenz
gem. Art. 5 Abs. 1 lit. a DSGVO)
Hinweis: Bitte alle grauen Felder ausfüllen – danach als Word Dokument zurück an den bDSB
| Lfd. Nr.: (* Liste beim bDSB) | Datum | xx.xx.202x | |
| [ ] | Neue Auftragsverarbeitung | ||
| [ ] | Änderung einer bestehen Auftragsverarbeitung |
| Benennung des Vertragsgegenstandes |
| 1. | Name und Anschrift der datenverarbeitenden Stelle (Auftraggeber) | |
| 1.1 | Name und Anschrift | |
| 1.2 | Organisationskennziffer, Amt | Abteilung, ggf. Sachgebiet |
| Dezernat, Amt |
| 2. | Name und Anschrift der datenverarbeitenden Stelle (Auftragsverarbeiter/ Auftragnehmer) |
| 2.1 | Name/ Firmenbezeichnung und Anschrift |
| 2.2 | Name des Verantwortlichen (Geschäftsführer und ggf. Vertreter) |
| 3 | Kontaktdaten der Datenschutzbeauftragten |
| 3.1 | Datenschutzbeauftragter des Auftraggebers |
| Stadt Köln, Datenschutzbeauftragter, Frank Fricke, Stadthaus Deutz - Westgebäude Willy-Brandt-Platz 2, 50679 Köln, Postfach 10 35 64, 50679 Köln, datenschutzbeauftragter@stadt-koeln.de | |
| 3.2 | Datenschutzbeauftragter des Auftragsverarbeiters |
| 4. | Art der verarbeiteten personenbezogenen Daten | |
| DKB vom | ||
| Schutzstufe |
| 5. | Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten (Art. 30 Abs. 1 lit. c DSGVO | ||
| 5.1 | Kategorien betroffener Personen | ||
| [ ] | Beschäftigte | ||
| [ ] | Antragsteller/ Bürger | ||
| [ ] | Patienten | ||
| [ ] | |||
| [ ] | |||
| 5.2 | Kategorien personenbezogener Daten | ||
| [ ] | Adressdaten | ||
| [ ] | Beschäftigtendaten | ||
| [ ] | Gesundheitsdaten | ||
| [ ] | Kontendaten | ||
| [ ] | Kontendaten | ||
| [ ] |
| 6. | Zweck der Verarbeitung, Rechts- und Vertragsgrundlage sowie Beschreibung der technischen und organisatorischen Maßnahmen (Art. 28, 30, 32 Abs. 1 lit. d DSGVO) |
| 6.1 | Zweck der Verarbeitung (Leistungsbeschreibung) |
| 6.2 | Rechtmäßigkeit der Verarbeitung (Betreffendes ankreuzen, Rest streichen) | |
| [ ] | Einwilligung zu der Verarbeitung (Art. 6 Abs. 1 lit. a DSGVO) | |
| [ ] | Verarbeitung zur Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO) | |
| i.V.m. | ||
| [ ] | Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich (spezifische Rechtsgrundlage; Art. 6 Abs. 1 lit. c DSGVO) | |
| i.V.m. [spezialgesetzlicher Regelung] | ||
| [ ] | Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen (Art. 6 Abs. 1 lit. d DSGVO) | |
| i.V.m. [spezialgesetzlicher Regelung] | ||
| [ ] | die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde (Art. 6 Abs. 1 lit. e DSGVO) | |
| i.V.m. [spezialgesetzlicher Regelung] |
| 6.3 | Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags (Art. 28 Abs. 3 DSGVO) | |||
| [ ] | Vertrag zur Datenverarbeitung im Auftrag/ Auftragsverarbeitung liegt vor | XX.XX.202X | ||
| 6.4 | Auftragsverarbeiter/ Auftragnehmer bietet hinreichende Garantien dafür, dass die Verarbeitung im Einklang mit den Anforderungen der DSGVO erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet (Art. 28 Abs. 1 DSGVO) | |||
| [ ] | die technischen und organisatorischen Maßnahmen bei dem Auftrags-verarbeiter/ Auftragsnehmer sind nachgewiesen durch | |||
| [ ] | Checkliste Datenschutz Stadt Köln vom | xx.xx.xxxx | ||
| [ ] | aussagekräftige Selbstauskünfte des Auftragnehmers vom | xx.xx.xxxx | ||
| [ ] | Zertifikation | DIN …. | ||
| [ ] | im Falle des KI-Einsatzes – durch die vollständig ausgefüllte und nachgewiesene „Anlage KI“ bezüglich Systemsicherheit, Fehler-Monitoring und Diskriminierungsfreiheit. |
| 7. | Fristen für die Löschung der Datenkategorien zu Ziff. 5 (Art. 28 Abs. 3, 30 Abs. 1 lit. f DSGVO) Die festgelegten Löschfristen stehen unter dem Vorbehalt archivrechtlicher Bestimmungen. Vor jeder Vernichtung oder Löschung von Unterlagen und Daten hat die zuständige Dienststelle das Historische Archiv der Stadt Köln zu beteiligen und die Erforderlichkeit einer Anbietung gemäß den Bestimmungen des Archivgesetzes Nordrhein-Westfalen zu klären. Erst nach Durchführung des Anbietungsverfahrens bzw. nach Freigabe durch das Historische Archiv darf die Löschung erfolgen. |
| 8 | Datenübermittlung in Drittländer (Art. 30 Abs. 2 lit. c DSGVO) | |
| [ ] | Nein | |
| [ ] | Ja: | |
| Drittländer… |
| 9. | Gewährleistung der Informationspflichten bei der Erhebung der Verarbeitung der personenbezogenen Daten (Art. 13, 14 DSGVO und ggf. § 11 DSG NRW) |
| Erfüllung der Informationspflichten mit Datenschutz-/ Zustimmungserklärung durch | |
| [ ] | Auftraggeber (bitte Text der verfahrens-/ maßnahmenspezifischen Datenschutzerklärung beifügen) |
| [ ] | Auftragsverarbeiter/ Auftragnehmer |
- Protokoll der datenschutzrechtlichen Konsultation (nach Art. 35 Abs. 2, 39 Abs. 1 lit. c DSGVO)
[durch den bDSB auszufüllen]
| Köln, den Frank Fricke Beauftragter für den Datenschutz der Stadt Köln |
- Ergebnis der Vor-Ort-Prüfung beim Auftragsverarbeiter/Auftragnehmer (Art. 28 Abs. 3 lit. h DSGVO)
[durch den bDSB auszufüllen]
| Köln, den Frank Fricke Beauftragter für den Datenschutz der Stadt Köln |
12. Schlusszeichnung der Datenschutzfolgenabschätzung für die Auftragsverarbeitung durch die verantwortliche Stelle (Art. 35 Abs. 1 DSGVO)[durch Fachdienststelle auszufüllen]
| [ ] | Datenklassifizierungsbogen vorhanden |
| [ ] | Zweck und Rechtmäßigkeit der Verarbeitung sind bestimmt |
| [ ] | Schriftlicher Vertrag zur Auftragsverarbeitung ist vorhanden und Nachweis der technischen und organisatorischen Maßnahmen beim Auftragsverarbeiter/ Auftragnehmer liegt vor: [ ] Checkliste Datenschutz [ ] sonstige aussagekräftige Unterlagen [ ] entsprechendes Zertifikate [ ] (Bei Einsatz von KI-Systemen): Die spezifischen KI-Garantien gemäß separat beigefügter „Anlage KI“ wurden vollumfänglich geprüft. |
| [ ] | Konsultation des Datenschutzbeauftragten erfolgt, s. Ziff. 10. (in den Fällen der Schutzstufen ab „C“ des Datenklassifizierungsbogens) |
| [ ] | Nach Abgleich der Risikofaktoren unter besonderer Berücksichtigung der Schutzbedürftigkeit der personenbezogenen Daten, der Auswahl des Auftragnehmers sowie der dort getroffenen technischen und organisatorischen Schutzmaßnahmen im Rahmen Auftragsverarbeitung ist das Restrisiko bei der Verarbeitung der personenbezogenen Daten der Betroffenen unter Anwendung des Verhältnismäßigkeitsgrundsatzes vertretbar. |
| Datum | Name, Vorname Dienststellenleiter/in |
| Datum | Unterschrift Dienststellenleiter/in |