DSGVO'ya göre Çalışanlar için Veri Koruma Eğitimi — Alman hukukuna göre temel eğitim

Bu eğitim Almanya'daki çalışma için geçerlidir. Almanca kursun çevirisidir; Alman mevzuatı ve işletmenizdeki talimatlar esastır.

15 modül · yaklaşık 53 dakika · 20 soruluk final testi, geçmek için 14 doğru · PDF katılım belgesi

Bu kurs ne hakkında

İşletmede müşteri verilerini kaydeden, başvuruları okuyan, maaş hesaplayan veya sadece e-posta yazan herkes kişisel veri işler — ve böylece Datenschutz-Grundverordnung'un (DSGVO, AB Genel Veri Koruma Tüzüğü) tam ortasında durur.

Kayıt gerekmez. Yalnızca final testinden önce adınızı ve e-posta adresinizi soruyoruz – sadece belgeniz için. İlerlemeniz bu tarayıcıda kaydedilir. İstediğiniz zaman ara verip daha sonra devam edebilirsiniz.

Modül 1 / 15

Konu nedir — ve bu kurs ne değildir

İşletmede isimleri, adresleri, e-postaları, maaşları veya hastalık raporlarını eline alan herkes kişisel veri işler — masada, telefonda, depoda, evden çalışırken. Bu yüzden Datenschutz-Grundverordnung (DSGVO, AB Genel Veri Koruma Tüzüğü) yalnızca BT bölümü için değil, bu tür verilerle çalışan her kişi için geçerlidir. DSGVO m. 32/4, çalışanların kişisel verileri yalnızca talimat üzerine işlemesini şart koşar; DSGVO m. 39/1-b çalışanların bilinçlendirilmesini ve eğitimini veri korumada açıkça bir görev olarak sayar. Bu kurs o eğitimdir.

Bu çevrimiçi eğitim, Almanca „Datenschutz-Unterweisung“ kursumuzun Türkçe çevirisidir; Almanya'da çalışan ve Alman hukukunu — DSGVO ve Bundesdatenschutzgesetz (BDSG, Alman Federal Veri Koruma Kanunu) — anlaşılır Türkçeyle öğrenmek isteyen çalışanlar içindir. Şüphe halinde Almanca sürüm geçerlidir.

Burada ne öğreneceksiniz: DSGVO nerede geçerlidir, kişisel veri nedir, hangi veriler özel olarak korunur, işleme hangi ilkelere göre yapılabilir, ilgili kişilerin hangi hakları vardır, kim hangi rolü taşır, günlük işinizde hangi koruma tedbirleri önemlidir, bir veri ihlalini nasıl tanır ve bildirirsiniz, ihlallerde ne gibi yaptırımlar vardır — ve ciddi bir durumda nasıl karar verirsiniz.

Bu kurs ne sağlar: veri koruma eğitiminin genel, hukuki bölümünü — içerik, tarih ve sonuç belgesiyle birlikte.

Ne sağlamaz: işletmenizin kurallarını. Veri koruma görevliniz (Datenschutzbeauftragter) veya muhatabınız kimdir, bir ihlalde bildirim yolunuz nasıldır, hangi parola kuralı ve hangi silme süreleri geçerlidir — bunu yalnızca şirketiniz bilir. Bunun için „İşletmemizdeki uygulama“ modülü vardır. Kurs ayrıca bir gizlilik politikasının, veri işleme faaliyetleri kaydının ve münferit olayda hukuki danışmanlığın yerine de geçmez.

Akılda tutun

Veri koruma „BT'nin“ veya „veri koruma görevlisinin“ işi değildir. Veri ihlallerinin çoğu iş yerinde ortaya çıkar: yanlış alıcıya giden bir e-posta, açık bırakılan bir ekran, yemekhanede unutulan bir dosya. Bu kurs tam da orada başlar.

Modül 2 / 15

Hukuki çerçeve tek bir yerde — DSGVO ve BDSG

İki düzenleme iç içe geçer. Bunları bir kez bağlantılı olarak gören, kursun geri kalanını daha hızlı anlar.

DSGVO nerede geçerlidir — maddi olarak (m. 2)

DSGVO, tamamen veya kısmen otomatik her işleme için geçerlidir — yani bir bilgisayarın, akıllı telefonun veya sunucunun devrede olduğu her yerde. Ancak kişisel veriler bir dosyalama sisteminde saklanıyorsa veya saklanacaksa bilgisayar olmadan da geçerlidir: bir klasörde, bir kartotekste, yapılandırılmış bir arşivde. Sistemsiz, dağınık, düzensiz notlar kapsam dışındadır — tamamen özel, ailevi faaliyetler de (m. 2/2-c), örneğin evdeki kendi adres defteriniz.

DSGVO nerede geçerlidir — coğrafi olarak (m. 3)

• Veri sorumlusunun veya veri işleyenin AB'de bir yerleşim yeri vardır — o zaman veriler fiilen nerede işlenirse işlensin DSGVO geçerlidir.
• Veri sorumlusu AB dışındadır, ancak AB'deki kişilere mal veya hizmet sunmakta ya da davranışlarını izlemektedir — o zaman da geçerlidir (pazar yeri ilkesi).

Örnekler: Bir Alman şirketi müşteri verilerini saklıyor — DSGVO geçerli. Bir ABD şirketi Almanya'da satış yapıyor ve bunun için kullanıcı verilerini saklıyor — DSGVO geçerli. Bir ABD şirketi yalnızca ABD'deki kişilerin verilerini AB ile hiçbir bağlantı olmadan işliyor — DSGVO geçerli değil.

Akılda tutun

Belirleyici olan vatandaşlık („AB vatandaşı“) değil, kişinin Birlik içinde bulunup bulunmadığı veya veri sorumlusunun burada yerleşik olup olmadığıdır. Ve: Kâğıt veri korumasından muaf değildir — dolaptaki personel dosyası da sunucudaki dosya gibi DSGVO kapsamındadır.

Modül 3 / 15

Kişisel veriler ve işleme

Veri korumanın konusu kişisel verilerdir. DSGVO m. 4/1'e göre bunlar, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin tüm bilgilerdir. Belirleyici olan verinin „gizli“ veya „özel“ olup olmadığı değil, onunla bir insanın tanınıp tanınamayacağıdır — doğrudan veya dolaylı olarak.

Örnekler: ad ve soyad, doğum tarihi, yaş, adres, e-posta adresi, telefon numarası, banka hesabı, personel numarası, sosyal sigorta numarası, kimlik numarası, araç plakası, IP adresi, konum verileri, fotoğraflar, ses, parmak izi, sipariş geçmişi, saç ve göz rengi. İş e-posta adresi ad.soyad@firma.de de kişisel bir veridir — kişi açıkça tanınabilir.

Dolaylı belirleme: „Personel bölümündeki sarışın kadın“ — orada yalnızca bir sarışın kadın çalışıyorsa, bu isim olmadan da kişisel bir veridir. Aynısı takma adlar (personel numarası, müşteri numarası) için de geçerlidir — kişiye geri götüren bir anahtar bir yerde var olduğu sürece (m. 4/5). Yalnızca kimsenin artık kişiyi belirleyemediği gerçekten anonim veriler DSGVO'nun dışında kalır. Tüzel kişilerin verileri (Müller GmbH firması olarak) korunmaz — ancak onların muhatap kişilerinin verileri korunur.

„İşleme“ ne demektir (m. 4/2)

Kişisel verilerle hemen her türlü uğraş bir işlemedir: toplama, kaydetme, düzenleme, saklama, uyarlama, okuma, sorgulama, kullanma, aktarma, eşleştirme, kısıtlama, silme, imha etme.

Akılda tutun

Bakmak bile işlemedir. Kendisini ilgilendirmeyen bir dosyayı açan kişi, talimat olmadan veri işler — ve hiçbir şey „olmasa“ bile bu zaten bir ihlaldir.

Modül 4 / 15

Özel nitelikli kişisel veriler

Bazı veriler yanlış ellere geçerse bir insana özellikle zarar verebilir: ayrımcılığa, dışlanmaya veya kovuşturmaya yol açabilir. Bu yüzden DSGVO m. 9/1 bunları kural olarak işleme yasağı altına alır — işlemeye yalnızca m. 9/2'nin dar tutulmuş istisnalarında izin verilir, örneğin açık rıza varsa veya iş ve sosyal hukuk bunu gerektiriyorsa (§ 26/3 BDSG, örn. ücretin ödenmeye devam etmesi için hastalık raporu).

DSGVO m. 9/1 uyarınca özel nitelikli kategoriler:

• ırksal veya etnik köken
• siyasi görüşler (örn. parti üyeliği)
• dini veya felsefi inançlar
• sendika üyeliği
• genetik veriler
• kimliği tek başına belirlemeye yönelik biyometrik veriler (parmak izi taraması, yüz tanıma)
• sağlık verileri (teşhisler, hastalık günleri, ağır engellilik, hamilelik)
• cinsel yaşama veya cinsel yönelime ilişkin veriler

Yani sosyal sigorta numarası bir m. 9 verisi değildir — ancak yine de özenle korunması gereken hassas bir tanımlayıcıdır. Tersine, sıradan bir vesikalık fotoğraf otomatik olarak biyometrik değildir; m. 9 anlamında biyometrik olması için teknik yöntemlerle ondan kimliği tek başına belirlemeye yarayan bir özellik elde edilmesi gerekir.

Günlük işiniz için

Hastalık günleri, raporlar, ağır engelli kimliği, din mensubiyeti (maaş bordrosundaki kilise vergisi işareti): Bu veriler yalnızca görevi için onlara ihtiyaç duyan kişilere aittir — ekip sohbetine değil, açık arşive değil, koridordaki sohbete değil.

Modül 5 / 15

İşlemenin ilkeleri

DSGVO m. 5 pusuladır. İşletmedeki her işleme bu yedi ilkeyle ölçülmek zorundadır — ve denetim makamları tam olarak bu listeyi izleyerek denetler.

Bu sizin için ne anlama geliyor

Hukuki dayanaklara ve silme sürelerine siz karar vermezsiniz — ama ilkeleri her gün siz uygularsınız. Verileri „şöyle bir“ başka bir amaç için yeniden kullanan, gerekenden fazlasını sorgulayan veya eski kayıtları rahatlık olsun diye elinde tutan kişi, kötü niyet olmasa bile m. 5'i ihlal eder.

Akılda tutun

Amaç, miktar, süre. Bu veriye ne için ihtiyacım var? Gerçekten hepsine ihtiyacım var mı? Ne kadar süre tutabilirim? Bu üç soruyu soran, m. 5'i anlamıştır.

Modül 6 / 15

Hukuki dayanaklar — ne zaman işlenebilir

Veri korumada izin kaydıyla yasak ilkesi geçerlidir: Kişisel veriler yalnızca DSGVO m. 6/1'de sayılan hukuki dayanaklardan biri mevcutsa işlenebilir. Bunlar altı tanedir — a'dan f'ye kadar bentler.

Rıza — en zayıf dayanak

Rıza gönüllü, bilgilendirilmiş, açık ve somut amaç için verilmiş olmalıdır (m. 7). Her zaman geri alınabilir — ve geri alma, verme kadar kolay olmalıdır. Bu yüzden işletmede çoğu zaman yanlış tercihtir: Sözleşmenin ifası için gerekli olan şey rıza gerektirmez; rızaya dayanan ise geri almayla yaşayabilmelidir.

Çalışan verileri — § 26 BDSG

Çalışanların verileri için DSGVO m. 6/1-b'nin yanı sıra ulusal düzenleme olan § 26 BDSG geçerlidir: İşleme, iş ilişkisinin kurulması, yürütülmesi veya sona erdirilmesi için gerekliyse caizdir — maaş bordrosu, çalışma süresi kaydı, izin planlaması, nitelik belgeleri. Çalışanların rızası yalnızca onlara bir dezavantaj tehdidi yoksa gönüllüdür (§ 26/2); bu yüzden istisnadır, kural değil.

Günlük işiniz için

Hukuki dayanağı kendiniz belirlemek zorunda değilsiniz — bunu veri sorumlusu yapar ve veri işleme faaliyetleri kaydında tutar. Ama şunu bilmelisiniz: Dayanak yoksa işleme de yok. Müşteri verilerini yeni bir amaç için kullanmak isteyen, önce sorar — sonra değil.

Modül 7 / 15

İlgili kişilerin hakları

DSGVO, verileri işlenen her kişiye uygulanabilir haklar verir. Bir müşteri, bir aday, bir meslektaş bunları ileri sürebilir — e-postayla, mektupla, telefonla, şekle bağlı olmadan da. Ve talep veri koruma görevlisine değil, o anda telefonu açan kişiye gelir.

Süre: bir ay

DSGVO m. 12/3: Talepler gecikmeksizin, en geç alındıktan sonra bir ay içinde yanıtlanmalıdır. Karmaşık veya çok sayıda talepte süre iki ay daha uzatılabilir — o zaman kişi ilk ay içinde bu konuda bilgilendirilmelidir. Bilgi edinme ücretsizdir (m. 12/5). Süreyi kaçıran, denetim makamına şikâyet (m. 77) ve idari para cezası riskini üstlenir.

Size bir talep gelirse ne yaparsınız

1. Kendiniz yanıtlamayın — ve kimlik netleşmeden telefonda veri vermeyin.
2. Alındığı tarihi not edin. Bir aylık süre alındığı andan itibaren işler, iletildiği andan değil.
3. Derhal yetkili birime iletin (veri koruma görevlisi, yönetim, belirlenmiş muhatap — „İşletmemizdeki uygulama“ modülü).

Akılda tutun

Bir ilgili kişi talebi ne şikâyettir ne de saldırı. Bir haktır. Hata neredeyse hiçbir zaman yanıtta değildir — talebin üç hafta bir posta kutusunda beklemesindedir.

Modül 8 / 15

Roller — veri sorumlusu, veri işleyen, veri koruma görevlisi

Dört kavram, veri korumada kimin neden sorumlu olduğunu düzenler.

Örnek: Müller firması maaş bordrosu için bir bordro bürosunu görevlendiriyor. Veri sorumlusu Müller firması, veri işleyen bordro bürosu, ilgili kişiler çalışanlardır. DSGVO m. 28/3 uyarınca bunun için yazılı bir veri işleme sözleşmesi gerekir — o olmadan verilerin aktarılması caiz değildir. Veri sorumlusu, hizmet sağlayıcının yaptığı her şeyden sorumlu kalır (m. 24).

Veri koruma görevlisi (Datenschutzbeauftragter, DSB)

§ 38/1 BDSG uyarınca bir şirket, kural olarak en az 20 kişi sürekli olarak kişisel verilerin otomatik işlenmesiyle görevliyse bir DSB atamak zorundadır — özellikle riskli işlemeler yapılıyorsa sayıdan bağımsız olarak (DSGVO m. 37, § 38 BDSG). DSB bilgilendirir ve danışmanlık yapar, uyumu denetler, çalışanlar, ilgili kişiler ve denetim makamı için başvuru noktasıdır (m. 39). Görevinde talimata bağlı değildir ve görevini yerine getirdiği için dezavantaja uğratılamaz (m. 38/3). Karar vermez — ve yönetimin yerine sorumlu tutulmaz.

Şirket içindeki görevler

• Yönetim: kuralları belirler, araçları sağlar, organizasyon sorumluluğunu taşır (m. 24).
• Yöneticiler: kuralları ekipte uygular, kontrol eder, eğitir, DSB'yi destekler.
• Çalışanlar: yalnızca talimat üzerine işler (m. 29, m. 32/4), iç ve yasal kurallara uyar, veri ihlallerini ve aykırılıkları derhal yöneticiye veya DSB'ye bildirir.

Akılda tutun

Sorumlu olan şirkettir, DSB değil. DSB danışmanlık yapar ve kontrol eder — emin olmadığınızda muhatabınızdır, şüphe halinde parmakla gösterilecek kişi değil.

Modül 9 / 15

Teknik ve organizasyonel tedbirler (TOM)

TOM, teknik ve organizasyonel tedbirler anlamına gelir (Almanca: technische und organisatorische Maßnahmen). DSGVO m. 32, veri sorumlularını ve veri işleyenleri riske uygun bir koruma düzeyi sağlamakla yükümlü kılar — ve açıkça takma adlandırmayı ve şifrelemeyi, sistemlerin gizliliğinin, bütünlüğünün, erişilebilirliğinin ve dayanıklılığının güvence altına alınmasını, bir olaydan sonra geri yüklenebilirliği (yedekleme) ve etkinliğin düzenli olarak denetlenmesini sayar.

Sizin elinizde olanlar

TOM'ların çoğu yalnızca siz uygularsanız etkili olur:

• Yerinizden ayrılır ayrılmaz ekranı kilitleyin — „sadece kısa bir süre“ için de, odada yalnızca meslektaşlar olsa da. Her meslektaş her şeyi göremez.
• Parolalar: uzun, her hizmet için ayrı, asla paylaşılmaz, monitöre yapıştırılmış kâğıtta değil, ekip sohbetinde değil. İşletme onaylıyorsa parola yöneticisine izin verilir ve tavsiye edilir.
• Temiz masa: personel belgelerini, müşteri listelerini, çıktıları akşam kilit altına alın; yazıcıyı arşiv olarak kullanmayın.
• Kişisel veri içeren veri taşıyıcılar ve kâğıtlar normal çöpe atılmaz — kâğıt öğütücü veya veri koruma konteyneri.
• Erişim yetkilerini verildiği gibi kullanın: Görebilecek olmanız, otomatik olarak bakabileceğiniz anlamına gelmez (m. 32/4).
• İşletme açıkça onaylamadıkça şirket verileri için özel cihaz, bulut hizmeti veya mesajlaşma uygulaması kullanılmaz.

Akılda tutun

Personel dosyası toplantı odasında açıkta duruyorsa en pahalı güvenlik duvarı bile işe yaramaz. Her iş yerinde kendinize sorun: TOM'larımız nerede yazılı, hangileri beni ilgilendiriyor — ve bugün onlara uyuyor muyum?

Modül 10 / 15

Veri ihlalleri — tanımak, bildirmek, belgelemek

Bir veri ihlali — DSGVO „kişisel verilerin korunmasının ihlali“nden söz eder (m. 4/12) — kişisel veriler yetkisiz olarak ifşa edildiğinde, değiştirildiğinde, imha edildiğinde veya kaybolduğunda ya da yetkisiz kişiler erişim sağladığında mevcuttur. Kastın bir rolü yoktur. İhlallerin çoğu dikkatsizliktir.

Tipik durumlar:

• Tüm müşterilere gönderilen toplu e-postada adresler „BCC“ yerine „Kime“ alanında
• Maaş listesi veya teklif içeren e-posta yanlış alıcıya gidiyor
• Personel dosyaları yemekhanede unutuluyor ve okunuyor
• Müşteri verileri içeren dizüstü bilgisayar veya akıllı telefon çalınıyor, USB bellek kayboluyor
• Fidye yazılımı sunucuyu şifreliyor — erişilebilirliğin kaybı da bir ihlaldir
• Çevrimiçi mağazada bir ziyaretçi daha önce oturum açmış müşterinin verilerini görüyor
• BT, yedek olmadan CRM'deki tüm müşterileri yanlışlıkla siliyor

Süreler

72 saat şirkette öğrenildiği andan itibaren işler — DSB'nin bunu öğrendiği andan değil. Bir ihlali üç gün kendine saklayan, şirketin süresini çoktan tüketmiştir. Bildirim yapılıp yapılmayacağına, kazayı yapan kişi değil, riski inceledikten sonra veri sorumlusu karar verir.

Ne yaparsınız — bu sırayla

1. Derhal bildirin — veri koruma görevlisine veya yöneticiye, aynı gün, „gerçekten“ bir ihlal olup olmadığından emin olmasanız bile.
2. Mümkün olduğunca zararı sınırlayın: yanlış alıcıdan silmesini isteyin, cihazı kilitletin, erişimleri değiştirin.
3. Ne olduğunu kayda geçirin: ne, ne zaman, hangi veriler, kaç kişi, kim bilgilendirildi.
4. Örtbas etmeyin, kendiniz „onarmayın“, ilgili kişileri kendi başınıza aramayın — bunu veri sorumlusu koordine eder.

Akılda tutun

Bildirilen bir ihlal bir işlemdir. Gizlenen bir ihlal ikinci bir aykırılıktır — ve o, birincisinden daha pahalıya mal olur (m. 83/4).

Modül 11 / 15

Günlük işte veri koruma — e-posta, oltalama, evden çalışma, mobil cihazlar

Kurallar m. 5 ve m. 32'de yazılıdır — ihlaller ise posta kutunuzda, telefonunuzda ve evden çalışırken mutfak masasında olur. Hemen herkesi ilgilendiren altı durum.

E-posta

• Göndermeden önce alıcıyı kontrol edin — otomatik tamamlama yanlış „Müller“i önermeyi sever. Kişisel veri içeren bir yanlış gönderim bir veri ihlalidir (m. 4/12).
• Alıcıların birbirini tanıması gerekmiyorsa dağıtım listesi „BCC“ye, asla „Kime“ veya „CC“ye değil.
• Hassas veri içeren ekleri şifreleyin veya onaylı bir paylaşım yolu üzerinden gönderin; parolayı ayrı bir yoldan iletin.
• İş e-postaları özel posta kutularına yönlendirilmez.

Oltalama (phishing) ve sosyal mühendislik

Bir insan kapıyı açarsa saldırganların tekniğe ihtiyacı yoktur. Tipik: „yönetimden“ gelen bir e-posta acilen bir maaş listesi veya havale ister; „BT“ parolanızı rica eder; bir bağlantı gerçeğine benzeyen bir oturum açma sayfasına götürür. Tanıma işaretleri: zaman baskısı, gizlilik, alışılmadık kanal, farklı gönderen adresi, yazım hataları, bağlantı hedefi metne uymuyor. Doğru olan her zaman şudur: tıklamayın, hiçbir şey göndermeyin, bilinen bir kanaldan geri sorun (telefon numarası rehberden, e-postadan değil) ve mesajı BT'ye veya DSB'ye bildirin. Ciddi hiç kimse asla parolanızı sormaz.

Evden çalışma ve mobil çalışma

• Yalnızca şirket cihazları veya açıkça onaylanmış cihazlar; VPN kullanın.
• Ekranı ev arkadaşlarının ve ziyaretçilerin okuyamayacağı şekilde yerleştirin; evde de ekran kilidi.
• Çıktılardan kaçının; gerekiyorsa kilitli saklayın ve işletmede imha edin, ev çöpünde değil.
• Gizli telefon görüşmelerini trende, kafede veya açık ofiste yapmayın.

Mobil cihazlar ve veri taşıyıcılar

Dizüstü bilgisayar, akıllı telefon, USB bellek: şifreli, kilit koduyla, asla gözetimsiz arabada veya trende değil. Kaybı derhal bildirin — şifreli bir cihaz belgelenen bir ihlaldir, şifresiz olan ise bildirim yükümlülüğü doğuran.

Telefon ve ziyaretçiler

Telefonda tanımadıklarınıza müşteriler veya meslektaşlar hakkında bilgi vermeyin — „sadece dahili numara“ veya „bugün hasta mı“ bile olsa. Ziyaretçilere eşlik edilir; toplantı odasındaki ekranlar, beyaz tahtalar ve çıktılar önceden kaldırılır.

Akılda tutun

„Gönder“e tıklamadan önceki üç saniye, var olan en ucuz veri koruma tedbiridir. Alıcı, ek, BCC.

Modül 12 / 15

Sorumluluk ve idari para cezaları

Veri koruma ihlallerinin sonuçları vardır — şirket için ve buna sebep olan kişi için.

İdari para cezaları (m. 83)

Denetim makamları iki kademede para cezası verebilir:

Her durumda daha yüksek tutar geçerlidir. Miktar; ihlalin türüne, ağırlığına ve süresine, kast veya ihmale, makamla iş birliğine ve ihlalin kendiliğinden bildirilip bildirilmediğine göre belirlenir (m. 83/2). Ayrıca makam işlemeleri yasaklayabilir (m. 58/2).

Tazminat (m. 82)

Bir ihlal nedeniyle zarara uğrayan her kişinin tazminat hakkı vardır — maddi ve manevi. Manevi zarar şu demektir: Kendi verileri üzerindeki kontrolün kaybı, kötüye kullanım endişesi veya teşhir edilme de tazmin edilebilir. Tazminat borçlusu veri sorumlusudur, duruma göre veri işleyen de.

Şirkette kim sorumlu?

• Şirket, veri sorumlusu olarak para cezasını ve tazminatı üstlenir. Yönetim organizasyondan sorumludur: kurallar, araçlar, kontrol, eğitim (m. 24).
• Veri koruma görevlisi danışmanlık yapar ve denetler — yönetimin yerine sorumlu tutulmaz (m. 38, 39).
• Çalışanlar doğrudan kendi sorumluluk alanlarında sorumludur: Talimatlara aykırılık ihtar ve fesih sonucunu doğurabilir; ağır ihmal veya kastta zarara katılım gündeme gelir. Kendini zenginleştirmek veya birine zarar vermek için kişisel verileri yetkisiz işleyen, § 42/2 BDSG uyarınca suç işlemiş olur — iki yıla kadar hapis cezası; çok sayıda kişinin verisini ticari olarak yetkisiz aktaran, üç yıla kadar (§ 42/1 BDSG).

Akılda tutun

Milyonluk tutarları şirket öder. İşini kaybeden ise personel dosyasını eve götüren veya „BT'den meslektaşa“ parolasını söyleyen kişidir. Her ikisi de önlenebilir — bu kursta yazanlarla.

Modül 13 / 15

Uygulama örneği: Maaş listesi yanlış alıcıya gidiyor

Durum: Cuma, saat 16:40. Personel bölümünden Bayan K. aylık maaş listesini Excel eki olarak bordro bürosuna gönderiyor. Otomatik tamamlama lohn@steuerberater-mueller.de yerine info@mueller-elektrotechnik.de adresini yerleştirmiş — bir müşteri. Liste isimleri, brüt maaşları, vergi sınıflarını, din mensubiyetini (kilise vergisi) ve iki kişide „hastalık parası ek ödemesi“ notunu içeriyor. Bayan K. hatayı saat 16:55'te fark ediyor.

Karar yolu

1. Bu bir veri ihlali mi? Evet. Kişisel veriler yetkisiz bir birime ifşa edildi (m. 4/12). Bunun bir dikkatsizlik olması ve alıcının ciddi bir müşteri olması bunu değiştirmez. Listenin m. 9 verileri içermesi (din, sağlık) riski artırır.

2. Bayan K. hemen ne yapar — ve ne yapmaz?

3. Denetim makamına bildirime kim karar verir? Veri sorumlusu — uygulamada yönetim, DSB ile birlikte. 72 saatlik süre (m. 33) Cuma 16:55'ten itibaren işler, yani Pazartesi 16:55'e kadar. Hafta sonu da sayılır. Burada bir bildirim büyük olasılıkla gereklidir: maaş, din ve sağlık verileri ilgili kişiler için bir risk demektir; alıcının silme teyidi riski azaltabilir, ancak incelemeyi ortadan kaldırmaz.

4. Çalışanlar bilgilendirilmeli mi? m. 34 uyarınca muhtemelen yüksek risk varsa — burada savunulabilir, çünkü maaş ve sağlık verileri etkilendi ve alıcı meslektaşların bir kısmını şahsen tanıyor. Kararı veri sorumlusu verir, bilgilendirme koordineli yapılır, Bayan K. tarafından koridorda değil.

5. Belgeleme. Olay m. 33/5 uyarınca veri ihlali kaydına işlenir — sonunda bildirim gerekmeseydi bile. Ve değerlendirilir: dış adresler için otomatik tamamlamayı gözden geçirmek, maaş listesi için şifrelemeyi zorunlu kılmak.

Olayı belirleyen

Hata değil — o herkesin başına gelir. Belirleyici olan saat 16:55'teki tepkiydi: Pazartesi yerine bildirmek. Bayan K. hafta sonunu bekleseydi, veri sorumlusu bir karar vermesi gerektiğini daha öğrenmeden 72 saatin 64'ü tükenmiş olurdu.

Modül 14 / 15

İşletmemizdeki uygulama

Bu modülü işletmeniz doldurur. Bu eğitimin genel bölümü burada biter — şimdi gelenleri yalnızca şirketiniz bilir.

Şu bilgiler buraya aittir:

Yönetim için

Veri ihlallerinde bildirim yolu bu listenin en önemli noktasıdır — ve en sık belirsiz kalanıdır. DSGVO m. 33'teki 72 saatlik süre şirkette öğrenildiği andan itibaren işler. Cuma akşamı kimi arayacağını bilmeyen, hafta sonunu tüketir — ihmalden değil, kimse ona söylemediği için.

Modül 15 / 15

Belgeleme

Son olarak, bu eğitimi bir belgeye dönüştüren şey.

Neden bir belge: DSGVO m. 5/2, veri sorumlusunu ilkelere uyumu kanıtlayabilmekle yükümlü kılar; m. 24 uygun tedbirlerin kanıtını ister. Çalışanların eğitimi böyle bir tedbirdir — organizasyonel, TOM'un parçası — ve m. 39 bilinçlendirme ve eğitimi açıkça sayar. Bir veri ihlalinden sonra inceleme yapan bir denetim makamı ilk olarak şunu sorar: Çalışanlar eğitilmiş miydi? Bana gösterin.

Tekrar: DSGVO sabit bir süre belirtmez. Denetim makamları ve belgelendirme kuruluşları düzenli bir eğitim bekler — uygulamada yıllık, ayrıca işe alımda ilk işlemeden önce, görev değişikliğinde, işletmedeki bir veri ihlalinden sonra ve mevzuat değişikliklerinde.

Katılımcılar: kişisel verilerle uğraşan herkes — yani yöneticiler, çıraklar, geçici yardımcılar ve geçici işçiler dahil pratikte tüm çalışanlar; dış hizmet sağlayıcılarda bunu m. 28 uyarınca sözleşme düzenler.

Belgeleme: Katılım sertifikanız adı, kursu, tarihi, sonucu, eksiksiz konu listesini ve Akademinin doğrulama sayfasında doğrulanabilen bir sertifika numarasını taşır. Saklayın ve bir kopyasını işletmede veri koruma belgelerini tutan birime verin — kural olarak DSB veya personel bölümü.

Ayrıca belgelenmesi gerekenler: gizlilik taahhüdü (işe alımda olağan) ve „İşletmemizdeki uygulama“ modülündeki işletmeye özgü bölüm. Ancak ikisi birlikte — sertifikalı genel bölüm, imzalı işletme bölümü — bir makamın veya denetçinin görmek istediği eğitim belgesini oluşturur.

Akılda tutun

Kimsenin bulamadığı bir belge, belge değildir. Sertifikayı dosyalayın, tarihi not edin, gelecek yıl tekrarlayın — ve yeni meslektaşları müşteri verileriyle ilk iş gününden önce eğitin, sonra değil.

Final testi

20 soru, her birinde bir doğru cevap. Geçmek için 14 doğru cevap gerekir (70 %). Değerlendirme sunucuda yapılır — bu sayfada cevap anahtarı yoktur.

Sonucunuz