Verfahrensbeschreibung
							
	Erstmalige Beschreibung eines standardisierten Verfahrens zur Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen

	Änderung der Verfahrensbeschreibung vom:  	 
Evtl. Datum und AZ der datenschutzrechtlichen Freigabe: 

1. Bezeichnung des Verfahrens und allgemeine Angaben
Bezeichnung des Verfahrens 
(Die Bezeichnung des Verfahrens soll allgemein verständlich sein. Beispiel: „Personaldatei“. )	Stand dieser Verfahrensbeschreibung	
     	     	
Angaben zum Verantwortlichen - Dienststelle bzw. Dienststellen, in denen das Verfahren eingesetzt wird (Abteilung/Referat/wissenschaftliche Einrichtung)
(Auch die Dienststelle bzw. die Dienststellen, in denen das Verfahren eingesetzt wird, sind im Klartext zu bezeichnen (z. B. „Einwohnermeldeamt“ oder „Ausländeramt“). Außerdem sollten an dieser Stelle Angaben zur Postanschrift und zur Erreichbarkeit mittels Telefon, Telefax und E-Mail erfolgen.)	
Bezeichnung der Dienststelle:      
Straße:      
Postleitzahl:      
Ort:      
Abteilung/Sachgebiet:      
Telefon:      
Telefax:      
E-Mail:      
Internet-Adresse:      		
Nähere Auskunft erteilt:
-	bei fachlichen Fragen:
-	bei technischen Fragen:
-	bei datenschutzrechtlichen Fragen: 	Name, Kontaktdaten	
Name und Kontaktdaten des behördlichen Datenschutzbeauftragten:
	Tel. 0851/509 – 1126; 
E-Mail: datenschutz@uni-passau.de 
Webseite: www.uni-passau.de/datenschutz 	

Stand: 07.05.2019

Falls zutreffend: Angaben zu weiteren gemeinsam für die Verarbeitung Verantwortlichen
„Gemeinsam für die Verarbeitung Verantwortliche“ liegen vor, wenn zwei oder mehrere Verantwortliche gemeinsam die Zwecke und Mittel der Verarbeitung festlegen (Art. 26 DSGVO).
	
Bezeichnung:
Straße:      
Postleitzahl:      
Ort:      
Abteilung/Sachgebiet:      
Telefon:      
Telefax:      
E-Mail:      
Internet-Adresse: 	
Nähere Auskunft erteilt:
-	bei fachlichen Fragen:
-	bei technischen Fragen:
-	bei datenschutzrechtlichen Fragen: 	Name, Kontaktdaten
     	
Name und Kontaktdaten des Datenschutzbeauftragten des gemeinsam für die Verarbeitung Verantwortlichen:

2. Zweck und Rechtsgrundlagen der Verarbeitung personenbezogener Daten (z.B. Erhebung, Speicherung, Veränderung, Verwendung, Vernichtung) sowie Informationen über die Herkunft der Daten 
Aufgaben, zu deren Erfüllung die personenbezogenen Daten verarbeitet werden 	Rechtsgrundlagen (mit Art.- oder §§-Angabe - Die Rechtsgrundlagen regelmäßiger Datenübermittlungen sind unter Nr. 5 anzugeben.)	Herkunft der Daten	

			

3. Kategorien der verarbeiteten personenbezogenen Daten
In der Spalte Besonderheiten ist ein „x“ zu setzen, wenn das jeweilige Datum einer besonderen Kategorie personenbezogener Daten gemäß Art. 9 DSGVO oder Art. 10 DSGVO zuzuordnen ist. 

Lfd. Nr.	Bezeichnung der Daten (es reichen aussagekräftige Oberbegriffe, z.B. Namen, Anschriften; keine Angaben von Feldnummern des Datensatzes)	Besonderheiten	
     	     

		

Hinweis: Erfolgt eine umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten, so ist eine Datenschutz-Folgenabschätzung durchzuführen, s. 4.

4. Notwendigkeit einer Datenschutzfolgenabschätzung
Bei bestimmten Formen der Verarbeitung, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben (z.B. Verwendung neuer Technologien; Art, Umfang, Umstände und Zwecke der Verarbeitung), ist vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten vorzunehmen. 

Eine Datenschutz-Folgenabschätzung ist insbesondere bei Zutreffen folgender Fälle erforderlich:

 	Eine systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen, die sich 	auf automatisierte Verarbeitung einschließlich Profiling gründet und die ihrerseits als Grundlage 	für Entscheidungen dient, die Rechtswirkung gegenüber natürlichen Personen entfalten oder diese 	in ähnlich erheblicher Weise beeinträchtigen, findet statt

	Eine umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Ar-	tikel 9 Absatz 1 DSGVO (Daten zur rassischen und ethnischen Herkunft, politische Meinungen, 	Gesundheitsdaten etc.) oder von personenbezogenen Daten über strafrechtliche Verurteilungen und 	Straftaten gemäß Artikel 10 DSGVO findet statt

	Eine systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche findet statt	

5. Kreis der betroffenen Personen
Lfd. Nr. von Abschnitt 3	Bezeichnung der betroffenen Personen	

6. Art der regelmäßig zu übermittelnden Daten und deren Empfänger
(auch andere Stelle innerhalb der Behörde, wenn andere Aufgabe erfüllt wird) 
Lfd. Nr. von Abschnitt 3	Empfänger und Aufgabe, zu deren Erfüllung die Daten übermittelt werden, sowie weitere Angaben zum Empfänger (z. B. öffentliche bzw. nicht-öffentliche Stelle)	Rechtsgrundlage der Übermittlung	automatisiertes Abrufverfahren
ja/nein	Anlass und Häufigkeit der Übermittlung	
     	     	     	     	     	

7. Regelfristen für die Löschung der Daten oder für die Prüfung der Löschung
Anzugeben ist stets auch der Beginn von Löschungs- bzw. Prüfungsfristen. Beispiel: „Die gespeicherten Daten werden spätestens 3 Jahre nach der vollständigen Rückzahlung des Darlehens gelöscht“.
 Lfd. Nr. von Ab-schnitt 3	Löschungsfrist     

	

Hinweis: Personenbezogene Daten in Dateien dürfen erst gelöscht werden, wenn die betreffenden Unterlagen zuvor dem Universitätsarchiv angeboten wurden (z. B. Personalakten und andere wichtige personenbezogene Unterlagen, wie z. B. Prüfungsprotokolle). Vgl. hierzu auch die Archivordnung der Universität. Im Zweifel wenden Sie sich bitte an den Leiter des Universitätsarchivs Herrn Mario Puhane.

8. Verantwortliche Organisationseinheit
(z.B. Verarbeitungs- und nutzungsberechtigt: Sachbearbeiter für .....  im Sachgebiet....., teilnutzungsberechtigt: Sachbearbeiter für ..........  im Sachgebiet ...............)
(Beispiel für das Meldewesen einer kreisfreien Stadt: Verarbeitungs- und nutzungsberechtigt: Meldesachbearbeiter, teilnutzungsberechtigt:  Sozialhilfesachbearbeiter, Wohngeldsachbearbeiter, Sachbearbeiter der KfZ-Zulassungsstelle, Sachbearbeiter des Ausländeramtes)
Lfd. Nr. von Ab-schnitt 3:	Bezeichnung der verantwortlichen Organisationseinheit	Art und Umfang der Nutzung	

			

9. Bei Auftragsverarbeitung:  Auftragsverarbeiter
Findet eine Auftragsverarbeitung statt:            ja
 nein	
Angaben zum Auftragsverarbeiter:
     	

10. Empfänger vorgesehener Datenübermittlungen in Drittländer bzw. an internationale Organisationen 
(Staaten außerhalb der EU - Soweit es sich um regelmäßige Datenübermittlungen handelt, sind diese auch in Nr. 6 anzugeben.)
	
 Lfd. Nr. von Abschnitt 3:	Empfängerstaat:	
 Lfd. Nr. von Abschnitt 3:	Empfänger oder Kategorien von Empfängern:	
Lfd. Nr. von Abschnitt 3:	Art der Daten oder Datenkategorien:	
Lfd. Nr. von Abschnitt 3:	Art der vertraglichen Regelungen:	
Dokumentation geeigneter Garantien gemäß Art. 46 DSGVO	

_______________     ________________	_________________________
Ort,			Datum,		Unterschrift

Ab hier interner Teil für den behördlichen Datenschutzbeauftragten (nicht zur Veröffentlichung bestimmt):

11.	Allgemeine Beschreibung der Art der für das Verfahren eingesetzten Datenverarbeitungsanlagen und der genutzten Software

Rechner, auf denen das Verfahren eingesetzt wird:	 Großrechner
 Netzwerkserver
 Stand-alone-Rechner
 mobiler Rechner	
Netzanbindung:	 lokales Netzwerk
 Intranet
 externes Netzwerk (z. B. Internet)	
Eingesetzte(s) Betriebssystem(e):	     	
Beschreibung der für die Erstellung bzw. dem Betrieb des Verfahrens genutzten Software (z. B. Angaben zu dem genutzten Datenbanksystem, Eigen- oder Fremdentwicklung, Programmiersprache)  	     	

12.	Allgemeine Beschreibung der nach Art. 24 I, Art. 25, Art. 32 DSGVO zur Gewährleistung der Sicherheit der Verarbeitung ergriffenen Maßnahmen, die es ermöglicht, vorläufig zu beurteilen, ob die Maßnahmen angemessen sind

Maßnahmen der Zugangskontrolle:
(z. B. Festlegung der zutrittsberechtigten Personen, Einsatz von Zugangskontrollsystemen, Maßnahmen der Innen- und Außenhautsicherung, Absicherung des lokalen Netzwerkes) 	     

Maßnahmen der Datenträgerkontrolle:
(z. B. Einrichtung eines Datenträgerarchivs, Maßnahmen gegen unbefugtes Entfernen von Datenträgern, datenschutzgerechte Entsorgung nicht mehr benötigter Datenträger)	     

Maßnahmen der Speicherkontrolle:
(z. B. Einsatz von Benutzercodes (Benutzerkennungen), Einführung revisionsfähiger Zugriffsberechtigungen, Protokollierung des Dateizugriffs, 	Einsatz von Verschlüsselungsroutinen)	     

	
Maßnahmen der Benutzerkontrolle:
(z. B. Identifikation und Authentifizierung der Benutzer, Sicherung der Datenstationen und der Übertragungsleitungen, Protokollierung der Benutzer und deren Aktivitäten)	     

	
Maßnahmen der Zugriffskontrolle:
(z. B. Identifikation und Authentifizierung der Benutzer, revisionsfähige Rechtevergabe, Einführung zugriffsbeschränkender Maßnahmen)	     

	
Maßnahmen der Übermittlungskontrolle:
(z. B. Prüfung der Zulässigkeit einer Übermittlung, Festlegung der Übermittlungswege und der Datenempfänger, Protokollierung der Datenübermittlung)	     

	
Maßnahmen der Eingabekontrolle:
(z. B. Einsatz der elektronischen Signatur, Protokollierung von Eingaben, Veränderungen und Löschungen)	     

	
Maßnahmen der Auftragskontrolle:
(z. B. sorgfältige Auswahl des Auftragnehmers, Abgrenzung der Kompetenzen und Pflichten zwischen Auftragnehmer und Auftraggeber, Kontrolle der ordnungsgemäßen
Vertragsausführung)	     

	
Maßnahmen der Transportkontrolle:
(z. B. Sicherung des Übertragungs- und Transportweges, Protokollierung des Transportweges, Verwendung sicherer Transportbehälter, Verschlüsselung der Daten)	     

	
Maßnahmen der Organisationskontrolle:
(z. B. Erlass von Datenschutzrichtlinien und Dienstanweisungen, Erstellen eines Notfallkonzepts, regelmäßige Datensicherung)	     

	

_______________     ________________	_________________________
Ort,			Datum,		Unterschrift