Titel: Handlungsanweisung | DSGVO V25-1
Beschreibung:
Schlagwörter: ALTBAYERISCHER Lohnsteuerhilfeverein e.V. • www.altbayerischer.de • info@altbayerischer.de V25-1 HANDLUNGSANWEISUNG | DSGVO Umsetzung der Vorgaben aus der Datenschutzgrundverordnung Diese Handlungsrichtlinie zur Datenschutzgrundverordnung (DSGVO) geben wir Ihnen als Beratungsstellenleiter:in für die Umsetzung in Ihrer Beratungsstelle an die Hand. Falls neue Gegebenheiten der Rechtsprechung oder Abstimmungen der Aufsichtsbehörden aufkommen und diese von datenschutzrechtlicher Bedeutung sind, werden wir Ihnen dies zeitnah mitteilen und die Handlungsrichtlinie aktualisieren. 1. Abschließbare Büroräume Büroräume sollen bei längerer Abwesenheit abgeschlossen werden. 1.1. Schlüsselliste Die Vergabe von Schlüsseln zur Beratungsstelle muss in einer Schlüsselliste dokumentiert werden. Gleiches gilt für Token oder sonstigen, zutrittsgewährenden Elementen. 1.2. Handakten dürfen nicht offen einsehbar sein Handakten der Mitglieder dürfen nicht offen zugänglich und von Dritten einsehbar sein – insbesondere nicht durch andere Mitglieder. 1.3. Falls das Büro für andere Personen zugänglich ist: 1.3.1. PC – Sperrung Bei Verlassen des Arbeitsplatzes (Kaffee holen, etc.) muss der PC gesperrt werden (z. B. durch Windowstaste + L), bzw. sollte sich dieser bei Inaktivität nach 10 bis 15 Minuten selbst sperren. 1.3.2. PC – Passwortschutz Der PC muss passwortgeschützt sein, wenn möglich, sollte die Festplatte zudem verschlüsselt werden (z. B. mit BitLocker). Es muss ein geeignetes Passwortverfahren verwendet und dabei folgendes beachtet werden: a) Mindestens 8 Zeichen b) Groß- und Kleinschreibung c) Zahlen und ggf. Sonderzeichen d) Passwortwechsel alle 6 Monate e) Zur Dokumentation von Passwörtern sind digitale Passwort-Manager (z. B. Lastpass, 1 Password, KeePass 2) zu verwenden. Eine Speicherung in unsicheren Formaten wie Notizbüchern, Post-its oder losen Zetteln (z. B. unter der Tastatur oder dem Mauspad) ist nicht zulässig. 1.3.3. Abschließbare Aktenschränke Vorhandene Handakten zu Mitgliedern mit Dokumentationen, Nachweisen, Belegen, etc., müssen stets in abschließbaren Schränken aufbewahrt und diese bei Verlassen des Büros/der Beratungsstelle abgeschlossen werden. 2. Aktenvernichtung Handakten und digitale Akten, die personenbezogene Daten enthalten, sind nach Ablauf der gesetzlichen Aufbewahrungsfrist von 10 Jahren datenschutzkonform zu vernichten, bzw. sind die entsprechenden Dateien zu löschen. Die Vernichtung hat entweder mittels eines Aktenvernichters der Sicherheitsstufe 4 gemäß DIN 66399 oder durch einen entsprechend zertifizierten externen Dienstleister zu erfolgen. 3. Externe Dienstleister Arrow-Circle-Right Vereinbarung zur Auftragsverarbeitung erforderlich Sind externe Dienstleister bei der Beratungsstelle eingebunden (z. B. IT-Dienstleister zum Warten der IT-Systeme, Datenvernichter) und kann nicht ausgeschlossen werden, dass diese personenbezogene Daten bekommen oder Einsicht haben könnten, muss eine Vereinbarung zur Auftragsverarbeitung (AV) abgeschlossen werden. 4. Mitarbeiter:innen Arrow-Circle-Right Verpflichtung auf das Datengeheimnis erforderlich Sämtliche Mitarbeiter:innen in den Beratungsstellen müssen zur Vertraulichkeit und auf das Datengeheimnis Art. 24 DSGVO verpflichtet werden. (Download Musterformular „Verpflichtung zum Datengeheimnis“ interner Bereich) 5. Reinigungskräfte Arrow-Circle-Right Verpflichtung auf das Datengeheimnis erforderlich Eingesetzte Reinigungskräfte für die Büroräume sollten zur Verschwiegenheit verpflichtet werden. (Download Musterformular „Verpflichtung zum Datengeheimnis“ interner Bereich) 6. Onlinepräsenz - keine selbst erstellten Konten bzw. Websites Die eigenständige Erstellung und Veröffentlichung von Websites oder Auftritten in sozialen Netzwerken im Namen des Altbayerischer LStHV e.V. ist nicht gestattet und wird ausdrücklich nicht empfohlen. 7. Clouddienst Die Nutzung von Clouddiensten mit Unternehmenssitz außerhalb des europäischen Wirtschaftsraums (EWR) ist unzulässig, da dies eine unrechtmäßige Übermittlung personenbezogener Daten in Drittländer darstellen kann. Die Datensicherung in die ALH Cloud erfolgt zentral über den Clouddienst der HV (Tax Business) bzw. über die integrierte Sicherungsfunktion von Steuersoft (EST-Plus). Exclamation-circle Achtung: Die Verwendung eines Clouddienstes zur Datensicherung entbindet nicht von der gesetzlich vorgeschriebenen Handaktenführungspflicht (Ausnahme: ALH Cloud mit Zusatzvereinbarung EST-Plus bzw. Tax Business). ALTBAYERISCHER Lohnsteuerhilfeverein e.V. • www.altbayerischer.de • info@altbayerischer.de Arrow-Circle-Right Fazit für die Beratungspraxis Versuchen Sie möglichst von allen Mitgliedern die Einwilligung zur unverschlüsselten E-Mail Kommunikation zu bekommen bzw. mit den Mitgliedern über die ALH Postbox zu kommunizieren. Ohne diese Einwilligung bzw. die ALH Postbox bleibt nur die Möglichkeit steuerrelevante Belege mit Passwortschutz per Verschlüsselungsprogramm oder postalisch zu versenden. V25-1 HANDLUNGSANWEISUNG | DSGVO Umsetzung der Vorgaben aus der Datenschutzgrundverordnung 8. Antivirensoftware und Firewall erforderlich Zwingender Einsatz und regelmäßige Updates der Antivirensoftware und der Firewall. 9. Datensicherung Die Daten müssen regelmäßig mittels geeignetem Backupkonzept gesichert werden, wenn diese nicht in der ALH Cloud gespeichert werden. 10. PC-Wartung/-Reparatur außer Haus - Sicherheitsmaßnahmen Werden PC‘s zur Wartung/Reparatur Dienstleistern überlassen, müssen besondere Vorkehrungen getroffen werden! Eine Vereinbarung zur Auftragsverarbeitung (AV) ist erforderlich. 11. Datenschutzbeauftragte:r Ab 20 Mitarbeitern in einer Beratungsstelle ist gemäß DSGVO in Verbindung mit dem Bundesdatenschutzgesetz ein Datenschutzbeauftragte: r zu bestellen. 12. Löschanfragen von Mitgliedsdaten Für Löschanfragen von Mitgliedsdaten ist folgender Text zu verwenden: „Darüber hinaus bestätigen wir Ihnen die Vernichtung und Löschung Ihrer personenbezogenen Daten zum Kündigungswirkungsdatum, welches auf Antrag von der Hauptverwaltung bestätigt wird, sofern diese keiner gesetzlichen Aufbewahrungspflicht des Altbayerischen Lohnsteuerhilfevereins e.V. unterliegen. Personenbezogene Daten die einer gesetzlichen Aufbewahrungspflicht unterliegen, werden nach Ablauf der jeweiligen gesetzlichen Frist datenschutzkonform vernichtet oder gelöscht. 13. Vereinseigene E-Mailadresse Zur Kommunikation ist ausschließlich die vom Verein zur Verfügung gestellte E-Mailadresse zu verwenden, da der Versand von sensiblen personenbezogenen Daten von Mitgliedern über die private E-Mailadresse eine Datenschutzverletzung darstellt. 14. Versand steuerrelevanter Unterlagen per E-Mail Steuerunterlagen und Belege sowie Steuerbescheide dürfen nur mit Einwilligung zur unverschlüsselten E-Mail Kommunikation per E-Mail versendet werden. An das Finanzamt können Belege per NACHDIGAL sicher per Elster übertragen werden. Eine Anleitung hierzu finden Sie im internen Bereich zur jeweiligen Steuersoftware. Steuerrelevante Belege Verwaltungsformulare Steuerunterlagen • Beitrittserklärung • Checkliste fehlende Unterlagen • Mitgliedsausweis • Beratungsprotokoll • Vollständigkeitserklärung • Elsterprotokoll (Kopie der Steuererklärung) • SEPA-Lastschriftformular • Vorläufige Berechnung • Vollmacht Finanzamt • Steuerbescheid • Beitragsrechnung LIGHTBULB-ON Tipp: Verschlüsselungsprogramm Ein kostenloses Verschlüsselungsprogramm unter vielen wäre z. B. 7zip Download unter www.7-zip.de, (Kurzanleitung als Download im internen Bereich). Ein Passwort könnte dem Mitglied zum Beispiel im Beratungstermin genannt werden oder in der E-Mail: Das Passwort zum Öffnen der Datei entspricht Ihrem Geburtsdatum im Format TT.MM.JJJJ
Download
Beschreibung:
Schlagwörter: ALTBAYERISCHER Lohnsteuerhilfeverein e.V. • www.altbayerischer.de • info@altbayerischer.de V25-1 HANDLUNGSANWEISUNG | DSGVO Umsetzung der Vorgaben aus der Datenschutzgrundverordnung Diese Handlungsrichtlinie zur Datenschutzgrundverordnung (DSGVO) geben wir Ihnen als Beratungsstellenleiter:in für die Umsetzung in Ihrer Beratungsstelle an die Hand. Falls neue Gegebenheiten der Rechtsprechung oder Abstimmungen der Aufsichtsbehörden aufkommen und diese von datenschutzrechtlicher Bedeutung sind, werden wir Ihnen dies zeitnah mitteilen und die Handlungsrichtlinie aktualisieren. 1. Abschließbare Büroräume Büroräume sollen bei längerer Abwesenheit abgeschlossen werden. 1.1. Schlüsselliste Die Vergabe von Schlüsseln zur Beratungsstelle muss in einer Schlüsselliste dokumentiert werden. Gleiches gilt für Token oder sonstigen, zutrittsgewährenden Elementen. 1.2. Handakten dürfen nicht offen einsehbar sein Handakten der Mitglieder dürfen nicht offen zugänglich und von Dritten einsehbar sein – insbesondere nicht durch andere Mitglieder. 1.3. Falls das Büro für andere Personen zugänglich ist: 1.3.1. PC – Sperrung Bei Verlassen des Arbeitsplatzes (Kaffee holen, etc.) muss der PC gesperrt werden (z. B. durch Windowstaste + L), bzw. sollte sich dieser bei Inaktivität nach 10 bis 15 Minuten selbst sperren. 1.3.2. PC – Passwortschutz Der PC muss passwortgeschützt sein, wenn möglich, sollte die Festplatte zudem verschlüsselt werden (z. B. mit BitLocker). Es muss ein geeignetes Passwortverfahren verwendet und dabei folgendes beachtet werden: a) Mindestens 8 Zeichen b) Groß- und Kleinschreibung c) Zahlen und ggf. Sonderzeichen d) Passwortwechsel alle 6 Monate e) Zur Dokumentation von Passwörtern sind digitale Passwort-Manager (z. B. Lastpass, 1 Password, KeePass 2) zu verwenden. Eine Speicherung in unsicheren Formaten wie Notizbüchern, Post-its oder losen Zetteln (z. B. unter der Tastatur oder dem Mauspad) ist nicht zulässig. 1.3.3. Abschließbare Aktenschränke Vorhandene Handakten zu Mitgliedern mit Dokumentationen, Nachweisen, Belegen, etc., müssen stets in abschließbaren Schränken aufbewahrt und diese bei Verlassen des Büros/der Beratungsstelle abgeschlossen werden. 2. Aktenvernichtung Handakten und digitale Akten, die personenbezogene Daten enthalten, sind nach Ablauf der gesetzlichen Aufbewahrungsfrist von 10 Jahren datenschutzkonform zu vernichten, bzw. sind die entsprechenden Dateien zu löschen. Die Vernichtung hat entweder mittels eines Aktenvernichters der Sicherheitsstufe 4 gemäß DIN 66399 oder durch einen entsprechend zertifizierten externen Dienstleister zu erfolgen. 3. Externe Dienstleister Arrow-Circle-Right Vereinbarung zur Auftragsverarbeitung erforderlich Sind externe Dienstleister bei der Beratungsstelle eingebunden (z. B. IT-Dienstleister zum Warten der IT-Systeme, Datenvernichter) und kann nicht ausgeschlossen werden, dass diese personenbezogene Daten bekommen oder Einsicht haben könnten, muss eine Vereinbarung zur Auftragsverarbeitung (AV) abgeschlossen werden. 4. Mitarbeiter:innen Arrow-Circle-Right Verpflichtung auf das Datengeheimnis erforderlich Sämtliche Mitarbeiter:innen in den Beratungsstellen müssen zur Vertraulichkeit und auf das Datengeheimnis Art. 24 DSGVO verpflichtet werden. (Download Musterformular „Verpflichtung zum Datengeheimnis“ interner Bereich) 5. Reinigungskräfte Arrow-Circle-Right Verpflichtung auf das Datengeheimnis erforderlich Eingesetzte Reinigungskräfte für die Büroräume sollten zur Verschwiegenheit verpflichtet werden. (Download Musterformular „Verpflichtung zum Datengeheimnis“ interner Bereich) 6. Onlinepräsenz - keine selbst erstellten Konten bzw. Websites Die eigenständige Erstellung und Veröffentlichung von Websites oder Auftritten in sozialen Netzwerken im Namen des Altbayerischer LStHV e.V. ist nicht gestattet und wird ausdrücklich nicht empfohlen. 7. Clouddienst Die Nutzung von Clouddiensten mit Unternehmenssitz außerhalb des europäischen Wirtschaftsraums (EWR) ist unzulässig, da dies eine unrechtmäßige Übermittlung personenbezogener Daten in Drittländer darstellen kann. Die Datensicherung in die ALH Cloud erfolgt zentral über den Clouddienst der HV (Tax Business) bzw. über die integrierte Sicherungsfunktion von Steuersoft (EST-Plus). Exclamation-circle Achtung: Die Verwendung eines Clouddienstes zur Datensicherung entbindet nicht von der gesetzlich vorgeschriebenen Handaktenführungspflicht (Ausnahme: ALH Cloud mit Zusatzvereinbarung EST-Plus bzw. Tax Business). ALTBAYERISCHER Lohnsteuerhilfeverein e.V. • www.altbayerischer.de • info@altbayerischer.de Arrow-Circle-Right Fazit für die Beratungspraxis Versuchen Sie möglichst von allen Mitgliedern die Einwilligung zur unverschlüsselten E-Mail Kommunikation zu bekommen bzw. mit den Mitgliedern über die ALH Postbox zu kommunizieren. Ohne diese Einwilligung bzw. die ALH Postbox bleibt nur die Möglichkeit steuerrelevante Belege mit Passwortschutz per Verschlüsselungsprogramm oder postalisch zu versenden. V25-1 HANDLUNGSANWEISUNG | DSGVO Umsetzung der Vorgaben aus der Datenschutzgrundverordnung 8. Antivirensoftware und Firewall erforderlich Zwingender Einsatz und regelmäßige Updates der Antivirensoftware und der Firewall. 9. Datensicherung Die Daten müssen regelmäßig mittels geeignetem Backupkonzept gesichert werden, wenn diese nicht in der ALH Cloud gespeichert werden. 10. PC-Wartung/-Reparatur außer Haus - Sicherheitsmaßnahmen Werden PC‘s zur Wartung/Reparatur Dienstleistern überlassen, müssen besondere Vorkehrungen getroffen werden! Eine Vereinbarung zur Auftragsverarbeitung (AV) ist erforderlich. 11. Datenschutzbeauftragte:r Ab 20 Mitarbeitern in einer Beratungsstelle ist gemäß DSGVO in Verbindung mit dem Bundesdatenschutzgesetz ein Datenschutzbeauftragte: r zu bestellen. 12. Löschanfragen von Mitgliedsdaten Für Löschanfragen von Mitgliedsdaten ist folgender Text zu verwenden: „Darüber hinaus bestätigen wir Ihnen die Vernichtung und Löschung Ihrer personenbezogenen Daten zum Kündigungswirkungsdatum, welches auf Antrag von der Hauptverwaltung bestätigt wird, sofern diese keiner gesetzlichen Aufbewahrungspflicht des Altbayerischen Lohnsteuerhilfevereins e.V. unterliegen. Personenbezogene Daten die einer gesetzlichen Aufbewahrungspflicht unterliegen, werden nach Ablauf der jeweiligen gesetzlichen Frist datenschutzkonform vernichtet oder gelöscht. 13. Vereinseigene E-Mailadresse Zur Kommunikation ist ausschließlich die vom Verein zur Verfügung gestellte E-Mailadresse zu verwenden, da der Versand von sensiblen personenbezogenen Daten von Mitgliedern über die private E-Mailadresse eine Datenschutzverletzung darstellt. 14. Versand steuerrelevanter Unterlagen per E-Mail Steuerunterlagen und Belege sowie Steuerbescheide dürfen nur mit Einwilligung zur unverschlüsselten E-Mail Kommunikation per E-Mail versendet werden. An das Finanzamt können Belege per NACHDIGAL sicher per Elster übertragen werden. Eine Anleitung hierzu finden Sie im internen Bereich zur jeweiligen Steuersoftware. Steuerrelevante Belege Verwaltungsformulare Steuerunterlagen • Beitrittserklärung • Checkliste fehlende Unterlagen • Mitgliedsausweis • Beratungsprotokoll • Vollständigkeitserklärung • Elsterprotokoll (Kopie der Steuererklärung) • SEPA-Lastschriftformular • Vorläufige Berechnung • Vollmacht Finanzamt • Steuerbescheid • Beitragsrechnung LIGHTBULB-ON Tipp: Verschlüsselungsprogramm Ein kostenloses Verschlüsselungsprogramm unter vielen wäre z. B. 7zip Download unter www.7-zip.de, (Kurzanleitung als Download im internen Bereich). Ein Passwort könnte dem Mitglied zum Beispiel im Beratungstermin genannt werden oder in der E-Mail: Das Passwort zum Öffnen der Datei entspricht Ihrem Geburtsdatum im Format TT.MM.JJJJ
Download
