Pflichtinformationen

Zwecke der Verarbeitung

Entgegennahme, Prüfung, Dokumentation und Beantwortung von Datenschutzanfragen von betroffenen Personen und Koordination mit zuständigen Stellen.

Beschreibung der Kategorien betroffener Personen

Studierende, Beschäftigte, Bewerbende, Alumni, Gäste, externe betroffene Personen.

Beschreibung der Kategorien von personenbezogenen Daten

Identitäts- und Kontaktdaten; Inhalt der Anfrage und Korrespondenz; ggf. beigefügte Nachweise; ausnahmsweise besondere Kategorien nach Art. 9 DSGVO, sofern von der anfragenden Person übermittelt und für die Bearbeitung erforderlich.

Rechtsgrundlage der Verarbeitung

Von den betroffenen Personen werden ihre personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung verarbeitet, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 38 Abs. 4 DSGVO.

Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch werden

Interne Organisationseinheiten der TU (zuständige Dezernate, Fakultäten, Einrichtungen, IT, Rechtsabteilung, Hochschulleitung); Auftragsverarbeiter für Betrieb der genutzten Systeme.

Drittland oder internationale Organisation

Personenbezogene Daten werden nicht in ein Drittland übermittelt. Eine Übermittlung in ein Drittland ist auch nicht geplant.

Fristen für die Löschung der verschiedenen Datenkategorien

Die aktenrelevanten Unterlagen werden grundsätzlich drei Jahre nach Schließung des Vorgangs (z. d. A.) aufbewahrt. Unterlagen, die nur vorübergehend zur Identitätsprüfung oder Bearbeitung benötigt werden, insbesondere Identitätsnachweise und nicht mehr erforderliche Anlagen, werden gelöscht, sobald sie hierfür nicht mehr erforderlich sind. Soweit aufgrund eines laufenden behördlichen oder gerichtlichen Verfahrens, geltend gemachter Rechtsansprüche oder sonstiger gesetzlicher Anforderungen eine weitere Aufbewahrung erforderlich ist, werden die betroffenen Unterlagen bis zum Wegfall dieses Grundes aufbewahrt. Nach Ablauf der maßgeblichen Aufbewahrungsfrist erfolgt die Aussonderung nach Maßgabe der für die TU Braunschweig geltenden Aufbewahrungs- und Archivregelungen.

Datenquelle

Die personenbezogenen Daten werden bei der anfragenden Person direkt erhoben.

Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO erfolgt nicht.

Zwecke der Verarbeitung

Beratung und Beantwortung interner datenschutzbezogener Anfragen aus Dezernaten, Fakultäten, Einrichtungen und Projekten.

Beschreibung der Kategorien betroffener Personen

Interne Ansprechpersonen/Projektverantwortliche; inhaltlich ggf. indirekter Bezug zu Studierenden/Beschäftigten.

Beschreibung der Kategorien von personenbezogenen Daten

Kontaktdaten der Anfragenden; Anliegen/Korrespondenz; Vorgangsmetadaten; Projektdokumente.

Rechtsgrundlage der Verarbeitung

Von den betroffenen Personen werden ihre personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung verarbeitet, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 39 Abs. 1 lit. a DSGVO.

Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch werden

Anfragende Organisationseinheiten; Hochschulleitung bei grundsätzlichen Themen; ggf. IT/Rechtsabteilung.

Drittland oder internationale Organisation

Personenbezogene Daten werden nicht in ein Drittland übermittelt. Eine Übermittlung in ein Drittland ist auch nicht geplant.

Fristen für die Löschung der verschiedenen Datenkategorien

Die aktenrelevante Beratungsdokumentation, insbesondere Anfrage, wesentliche Korrespondenz, Beratungsergebnis und Vorgangsmetadaten, wird grundsätzlich drei Jahre nach Schließung des Vorgangs (z. d. A.) aufbewahrt. Stellungnahmen und Beratungsunterlagen, die für eine fortdauernde Verarbeitung weiterhin erforderlich sind, werden für die Dauer ihrer fachlichen Relevanz und anschließend grundsätzlich drei Jahre aufbewahrt. Unterlagen, die nur vorübergehend zur Prüfung oder Beratung benötigt werden, insbesondere überlassene Projektdokumente und sonstige Arbeitsunterlagen, werden gelöscht, sobald sie hierfür und für die nachvollziehbare Dokumentation der Beratung nicht mehr erforderlich sind. Soweit aufgrund eines laufenden behördlichen oder gerichtlichen Verfahrens, geltend gemachter Rechtsansprüche oder sonstiger gesetzlicher Anforderungen eine weitere Aufbewahrung erforderlich ist, werden die betroffenen Unterlagen bis zum Wegfall dieses Grundes aufbewahrt. Nach Ablauf der maßgeblichen Aufbewahrungsfrist erfolgt die Aussonderung nach Maßgabe der für die TU Braunschweig geltenden Aufbewahrungs- und Archivregelungen.

Datenquelle

Interne Organisationseinheiten; vorhandene Dokumente.

Zwecke der Verarbeitung

Beratung zur Prüfung der Erforderlichkeit einer DSFA durch Organisationseinheiten; Beratung zur Durchführung von DSFA; ggf. Mitwirkung bei der Konsultation der Aufsichtsbehörde.

Beschreibung der Kategorien betroffener Personen

Kontaktdaten der Projektbeteiligten; Projektdokumente, Datenfluss- und Risikoanalysen; keine produktiven Personendaten, außer zu Prüfzwecken erforderlich.

Rechtsgrundlage der Verarbeitung

Von den betroffenen Personen werden ihre personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung verarbeitet, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 39 Abs. 1 lit. c DSGVO.

Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch werden

Projektteams/Organisationseinheiten; Hochschulleitung; ggf. zuständige Aufsichtsbehörde im Fall der Konsultation.

Drittland oder internationale Organisation

Personenbezogene Daten werden nicht in ein Drittland übermittelt. Eine Übermittlung in ein Drittland ist auch nicht geplant.

Fristen für die Löschung der verschiedenen Datenkategorien

Die für die Beratung und Überwachung einer Datenschutz-Folgenabschätzung erforderliche Dokumentation wird grundsätzlich für die Dauer der von der Datenschutz-Folgenabschätzung erfassten Verarbeitung und für drei Jahre nach deren Beendigung aufbewahrt. Unterlagen, die nur vorübergehend zur Prüfung oder Beratung benötigt werden, insbesondere Arbeitskopien, Projektdokumente und zu Prüfzwecken bereitgestellte personenbezogene Daten, werden gelöscht, sobald sie für die Beratung und deren nachvollziehbare Dokumentation nicht mehr erforderlich sind. Soweit aufgrund eines laufenden behördlichen oder gerichtlichen Verfahrens, geltend gemachter Rechtsansprüche oder sonstiger gesetzlicher Anforderungen eine weitere Aufbewahrung erforderlich ist, werden die betroffenen Unterlagen bis zum Wegfall dieses Grundes aufbewahrt. Nach Ablauf der maßgeblichen Aufbewahrungsfrist erfolgt die Aussonderung nach Maßgabe der für die TU Braunschweig geltenden Aufbewahrungs- und Archivregelungen.

Datenquelle

Die personenbezogenen Daten werden bei der betroffenen Person direkt erhoben.

Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO erfolgt nicht.

Zwecke der Verarbeitung

Planung und Durchführung von Prüfungen/Audits, Stichproben und Kontrollen zur Einhaltung der Datenschutzanforderungen; Dokumentation von Feststellungen, Empfehlungen und Nachverfolgung von Maßnahmen.

Beschreibung der Kategorien betroffener Personen

Interne Verantwortliche/Ansprechpersonen in geprüften Bereichen; ggf. mittelbar Studierende/Beschäftigte, wenn Systeme mit Personenbezug geprüft werden (Verwendung von Test-/pseudonymisierten Daten angestrebt).

Beschreibung der Kategorien von personenbezogenen Daten

Auditberichte, Prüfprotokolle, Maßnahmenpläne; System- und Berechtigungsdaten (User-IDs, Rollen); in Ausnahmefällen Stichprobenmetadaten; keine produktiven Personaldaten, soweit möglich.

Rechtsgrundlage der Verarbeitung

Von den betroffenen Personen werden ihre personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung verarbeitet, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 39 Abs. 1 lit. b DSGVO.

Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch werden

Geprüfte Bereiche; Hochschulleitung; ggf. Justiziariat (Abteilung 11), ggf. Stabsstelle CISO.

Drittland oder internationale Organisation

Personenbezogene Daten werden nicht in ein Drittland übermittelt. Eine Übermittlung in ein Drittland ist auch nicht geplant.

Fristen für die Löschung der verschiedenen Datenkategorien

Auditberichte, wesentliche Prüfprotokolle, Maßnahmenpläne und die Dokumentation der Maßnahmenumsetzung werden grundsätzlich drei Jahre nach Schließung des Auditvorgangs (z. d. A.) aufbewahrt. Der Auditvorgang wird erst geschlossen, wenn die erforderliche Nachverfolgung festgestellter Maßnahmen abgeschlossen ist. Personenbezogene Prüf- und Arbeitsdaten, insbesondere System- und Berechtigungsauszüge, Stichprobendaten, Logauszüge und sonstige zu Prüfzwecken angefertigte Kopien, werden gelöscht, sobald sie für die Durchführung des Audits, die Dokumentation der Feststellungen und eine erforderliche Nachprüfung nicht mehr benötigt werden. Soweit aufgrund eines laufenden behördlichen oder gerichtlichen Verfahrens, geltend gemachter Rechtsansprüche oder sonstiger gesetzlicher Anforderungen eine weitere Aufbewahrung erforderlich ist, werden die betroffenen Unterlagen bis zum Wegfall dieses Grundes aufbewahrt. Nach Ablauf der maßgeblichen Aufbewahrungsfrist erfolgt die Aussonderung nach Maßgabe der für die TU Braunschweig geltenden Aufbewahrungs- und Archivregelungen.

Datenquelle

Interviews, Dokumenten- und Systemprüfungen; interne Richtlinien/Prozesse; Konfigurationsauszüge.

Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO erfolgt nicht.

Zwecke der Verarbeitung

Fachliche Abstimmungen, Konsultationen (Art. 36 DSGVO), Beteiligung an Prüf-/Beanstandungsverfahren, Stellungnahmen, Nachweis der Compliance-Kommunikation.

Beschreibung der Kategorien betroffener Personen

Ansprechpersonen beim Aufsichtsbehörden; interne Kontaktpersonen; ggf. betroffene Personen im Kontext eines Verfahrens.

Beschreibung der Kategorien von personenbezogenen Daten

Kontaktdaten; Schriftwechsel; Verfahrensunterlagen; Stellungnahmen; Aktenzeichen.

Rechtsgrundlage der Verarbeitung

Von den betroffenen Personen werden ihre personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung verarbeitet, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 39 Abs. 1 lit. d DSGVO.

Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch werden

Aufsichtsbehörden; interne Organisationseinheiten/Hochschulleitung.

Drittland oder internationale Organisation

Personenbezogene Daten werden nicht in ein Drittland übermittelt. Eine Übermittlung in ein Drittland ist auch nicht geplant.

Fristen für die Löschung der verschiedenen Datenkategorien

Die aktenrelevante Beratungsdokumentation zu Datenschutzvorfällen, insbesondere die Dokumentation der Bewertung, der Empfehlungen, wesentlicher Korrespondenz und der ergriffenen Maßnahmen, wird grundsätzlich drei Jahre nach Schließung des Vorgangs (z. d. A.) aufbewahrt. Der Vorgang wird erst geschlossen, wenn die für die Beratung erforderliche Bewertung und die unmittelbaren Folgemaßnahmen abgeschlossen sind. Unterlagen, die nur vorübergehend zur Untersuchung oder Beratung benötigt werden, insbesondere Logauszüge, Datenexporte, Screenshots und Kopien betroffener personenbezogener Daten, werden gelöscht, sobald sie für die Untersuchung, Bewertung und nachvollziehbare Dokumentation des Vorfalls nicht mehr erforderlich sind. Soweit aufgrund eines laufenden behördlichen oder gerichtlichen Verfahrens, geltend gemachter Rechtsansprüche oder sonstiger gesetzlicher Anforderungen eine weitere Aufbewahrung erforderlich ist, werden die betroffenen Unterlagen bis zum Wegfall dieses Grundes aufbewahrt. Nach Ablauf der maßgeblichen Aufbewahrungsfrist erfolgt die Aussonderung nach Maßgabe der für die TU Braunschweig geltenden Aufbewahrungs- und Archivregelungen.

Datenquelle

Eingehende Schreiben/Anforderungen; interne Zuarbeiten.

Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO erfolgt nicht.

Zwecke der Verarbeitung

Beratung der verantwortlichen Stelle zum Umgang mit Datenschutzvorfällen.

Beschreibung der Kategorien betroffener Personen

Von einem Vorfall betroffene Personen (Studierende, Beschäftigte, Dritte); meldende Beschäftigte; Ansprechpersonen externer Dienstleister.

Beschreibung der Kategorien von personenbezogenen Daten

Kontaktdaten; Vorfallsbeschreibung; betroffene Datenkategorien und Umfang; Risikoanalyse; Maßnahmen-/Kommunikationsdokumentation; ausnahmsweise besondere Kategorien nach Art. 9 DSGVO, sofern betroffen.

Rechtsgrundlage der Verarbeitung

Von den betroffenen Personen werden ihre personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung verarbeitet, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 39 Abs. 1 lit. a DSGVO.

Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch werden

Interne Organisationseinheiten

Drittland oder internationale Organisation

Personenbezogene Daten werden nicht in ein Drittland übermittelt. Eine Übermittlung in ein Drittland ist auch nicht geplant.

Fristen für die Löschung der verschiedenen Datenkategorien

Die aktenrelevante Beratungsdokumentation zu Datenschutzvorfällen, insbesondere die Dokumentation der Bewertung, der Empfehlungen, wesentlicher Korrespondenz und der ergriffenen Maßnahmen, wird grundsätzlich drei Jahre nach Schließung des Vorgangs (z. d. A.) aufbewahrt. Der Vorgang wird erst geschlossen, wenn die für die Beratung erforderliche Bewertung und die unmittelbaren Folgemaßnahmen abgeschlossen sind. Nur vorübergehend zur Untersuchung oder Beratung benötigte Unterlagen, insbesondere Logauszüge, Datenexporte, Screenshots und Kopien betroffener personenbezogener Daten, werden gelöscht, sobald sie für die Untersuchung, Bewertung und nachvollziehbare Dokumentation des Vorfalls nicht mehr erforderlich sind. Nach Ablauf der Aufbewahrungsfrist erfolgt die Aussonderung nach Maßgabe der für die TU Braunschweig geltenden Aufbewahrungs- und Archivregelungen.

Datenquelle

Die personenbezogenen Daten werden aus allen internen Datenquellen erhoben.

Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO erfolgt nicht.