DSGVO-DatenverarbeitungsmodellDienstliche Nutzung privater Endgeräte (Bring Your Own Device)

Durch: Maj Ref DE API Rest

Organisation: PrivatOrganisation: ÖffentlichFunktion: IT

Diese Verarbeitungstätigkeit betrifft die Genehmigung und Registrierung privater Smartphones, Tablets oder Computer für den Zugriff auf dienstliche Ressourcen, die Trennung von dienstlichem und privatem Bereich, die Verwaltung des dienstlichen Bereichs über ein Mobile-Device-Management sowie die Behandlung von Verlust, Diebstahl und Fernlöschung allein dieses Bereichs.

Zwecke (3)

Der Zweck einer Verarbeitung ist das Hauptziel der Nutzung personenbezogener Daten. Diese Daten müssen für einen klar definierten und legitimen Zweck erhoben werden und dürfen nicht später in einer Weise verarbeitet werden, die mit diesem ursprünglichen Ziel unvereinbar ist.

Genehmigung und Registrierung privater Endgeräte

Freiwillige Teilnahme der Beschäftigten auf Grundlage einer Nutzungsvereinbarung oder Richtlinie, Prüfung der Mindestanforderungen an das Gerät, Führung eines Registers der genehmigten Geräte und ihrer Nutzer.

Vertrag oder vorvertragliche Maßnahmen

Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvereinbarung im Rahmen des Beschäftigungsverhältnisses); Einwilligung nach § 25 Abs. 1 TDDDG für die Installation der MDM-Software und den Zugriff auf Informationen im Endgerät, soweit anwendbar; Konkretisierung durch Betriebs- oder Dienstvereinbarung nach Art. 88 DSGVO und Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG

Absicherung des dienstlichen Bereichs auf dem Endgerät

Getrennte Arbeitsumgebung (Container), Prüfung von Betriebssystemversion, Verschlüsselung, Sperre und Schadsoftwareschutz, Verwaltung der dienstlichen Apps, ohne Zugriff auf den privaten Bereich und ohne Standortüberwachung.

Gesetzliche Verpflichtung

Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 32 DSGVO

Vorfallbearbeitung, Verlust und Fernlöschung des dienstlichen Bereichs

Entgegennahme von Verlust- oder Diebstahlsmeldungen, Sperrung des Zugangs und selektive Fernlöschung der dienstlichen Daten, auch beim Ausscheiden der beschäftigten Person.

Gesetzliche Verpflichtung

Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 32 und Art. 33 DSGVO

Daten (3)

Artikel 30 der DSGVO verlangt die Registrierung der verarbeiteten Datenkategorien. Hierbei geht es darum, die Kategorien der verarbeiteten Daten zu definieren. Diese können als gewöhnlich oder sensibel bezeichnet werden.

Registrierung und Genehmigung des Endgeräts

Details der Daten

Vor- und Nachname und Funktion der beschäftigten Personoptional

Gerätetyp, Modell und Betriebssystemoptional

Gerätekennung und Datum der Registrierungoptional

Zustimmung zur Nutzungsvereinbarung und Einwilligung zur MDM-Installationoptional

Aufbewahrungsregeln

Aktiver Bestand:

Für die Dauer der Genehmigung der Gerätenutzung

Endgültige Sortierung

Konformitätsstatus und Verwaltung des dienstlichen Bereichs

Details der Daten

Status von Verschlüsselung, Sperre und Updatesoptional

Liste der installierten dienstlichen Appsoptional

Protokolle der Zugriffe auf dienstliche Ressourcenoptional

Aufbewahrungsregeln

Endgültige Sortierung

Vorfälle und Fernlöschung

Details der Daten

Verlust- oder Diebstahlsmeldung und Datumoptional

Löschbefehl für den dienstlichen Bereich und Ergebnisoptional

Aufbewahrungsregeln

Aktiver Bestand:

Bis zum Abschluss der Vorfallbearbeitung

Endgültige Sortierung

Betroffene Personen (2)

Eine betroffene Person ist jede Person, deren Daten durch die betreffende Datenverarbeitung gesammelt, gespeichert oder verarbeitet werden. Zum Beispiel: Im Rahmen einer Rekrutierungsverarbeitung stellt jeder Bewerber für die betreffende Stelle eine betroffene Person dar.