EU-DSGVo

ist eine Verordnung der Europäischen Union, mit der die Regeln zur Verarbeitung personenbezogener Daten durch die meisten Datenverarbeiter,
sowohl private wie öffentliche, EU-weit vereinheitlicht werden.
Dadurch soll einerseits der Schutz personenbezogener Daten innerhalb der Europäischen Union sichergestellt, und auch andererseits der freie Datenverkehr
innerhalb des Europäischen Binnenmarktes gewährleistet werden.

Lt. Kapitel 3 (Artikel 12 bis 23) der DSGVO:

Rechte der betroffenen Person (Transparenz und Modalitäten, Informationspflicht und Recht auf Auskunft zu personenbezogenen Daten, Berichtigung und Löschung –
das „Recht auf Vergessenwerden“ –, Widerspruchsrecht und automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling)

Das bedeutet:

Eine Person muss einwilligen, dass Ihre Daten gespeichert werden. Sie kann jederzeit von einem Auskunftsrecht gebrauch machen, was bedeutet, dass offengelegt
werden muss, welche Daten über die Person gespeichert werden, und sie kann darauf bestehen, dass Ihre Daten, sofern möglich und nicht geschäftsgefährend, gelöscht werden.

Lt. Kapitel 4 (Artikel 24 bis 43) der DSGVO:

Verantwortlicher und Auftragsverarbeiter (Allgemeine Pflichten, Sicherheit personenbezogener Daten, Datenschutz-Folgenabschätzung und vorherige Konsultation, Datenschutzbeauftragter, Verhaltensregeln und Zertifizierung)

Das bedeutet:

Es ist dafür Sorge zu tragen, dass kein Unbefugter Zugriff auf die Daten erlangt. Der Datenschutzbeauftragte (D4) informiert ist über die Speicherung der Daten und
das entsprechende Verhaltensregeln, wie Löschfristen, definiert sind.

Datenbank-Schemata

Bei dem Erstellen einer Applikation sollte mit D4 geklärt sein, ob es Daten gibt, die ggf. verschlüsselt werden müssen.
Mit dem Datenbankservice kann zudem abgestimmt werden, ob eine Applikation einen geschützten Bereich,
z.B einen verschlüsselten Tablespace, erhält.

Sollte eine Applikation sich in einen internen und externen Nutzungsbereich aufsplitten, so sollten diese über separate
Schemata getrennt sein.
Eine Adminstrative Applikation sollte immer im internen Netz liegen, sofern die Administratoren vom internen Netz aus arbeiten.
Zugriffe auf Daten von extern, sollten über eine separate Applikation und Schema erfolgen. So ist sichergestellt, dass bei möglichen Angriffen die Daten geschützt sind.

Zugriff auf Daten von außerhalb des DESY-Netzes

Generell befinden sich unsere Datenbank-Cluster alle im Internen Netz. Bei der Nutzung von APEX-Applikationen können diese
geziehlt für eine externe Nutzung freigeschaltet werden. Um eine Applikation nach außen freizuschalten muss D4 und der LB-Service informiert werden.
Der APEX-Service muss für den Fehler- oder Angriffsfall informiert sein, welche Applikationen von außen erreichbar sind, D4 muss generell über alle
Freischaltungen informiert sein und diesen zustimmen und der LB-Service nimmt die Freischaltung letzendich vor.
Die Anfrage läuft über apex.application-service@desy.de, d4@desy.de und lb-service@desy.de

Einrichten oder Nutzung von speziellen URL's und Zertifikaten

Wenn eine Applikation über eine spezielle URL erreichbar sein soll, wie z.B. MeineApplikation.desy.de, dann werden Zertifikate benötigt.
Hierfür ist ein Zertifikatsantrag notwendig. Unterstützung bieten wir dazu an.
Mit Bereitstellung des Zeritifikats, also nach erfolreicher Antragsstellung, wird über den LB-Service ein entsprechender Zugriff über die
gewünschte URL eingerichtet.
Hinweis: Zertifikate laufen aus, sie müssen regelmässig verlängert werden damit diese nicht ungültig werden.
Das Aufwand und Nutzen sollten abgeschätzt werden. Ggf. ist eine Verlinkung einer Applikation auf einer Webseite ausreichend.

D4

D4 pflegt ein sogenannten Verfahrensverzeichnis. Alle Datenbanken oder Datenbankapplikationen, die Personendaten speichern, müssen in diesem
Verzeichnis registriert sein. Hierzu ist sich das D4 (DESY Datenschutzbeauftragte) zu wenden. d4@desy.de

In diese Verzeichnis ist aufgeführt welche Daten zu welchem Zweck gespeichert sind/werden und wem diese Daten zur Verfügung stehen.

BR

Werden Daten von DESYanern erhoben, so ist zudem der Betriebsrat in die Verarbeitung der Daten einzubeziehen. Der BR muss hierbei sicherstellen, dass die Datenerfassung betrieblich notwendig ist und nicht der Überwachung des Mitarbeiters dienlich ist.