§ 34e BUAGVerantwortlichkeiten und Datensicherheitsmaßnahmen

(1) Die Urlaubs- und Abfertigungskasse ist als Betreiberin des Systems Verantwortliche im Sinne des Art. 4 Z 7 DSGVO für die von ihr nach den §§ 34a bis 34d verarbeiteten Daten. Sofern sich die Urlaubs- und Abfertigungskasse als Betreiberin des Systems der BauID-GmbH als Dienstleisterin bedient, ist diese hinsichtlich der von ihr verarbeiteten Daten gesetzliche Auftragsverarbeiterin im Sinne des Art. 4 Z 8 DSGVO. Sie ist in dieser Funktion verpflichtet, die Datenschutzpflichten gemäß Art. 28 Abs. 3 lit. a bis h DSGVO wahrzunehmen.

(2) Die Urlaubs- und Abfertigungskasse hat ein sicheres Verfahren zur Datenabfrage mittels der BauID-Karte sicherzustellen und den Zugriff auf die von ihr verarbeiteten Daten mittels der BauID-Karte zu dokumentieren. Innerhalb der Organisation der Urlaubs- und Abfertigungskasse sind die Zugangsberechtigungen und Zugriffsrechte auf die in den § 34b Abs. 1 Z 1 bis 4 genannten personenbezogenen Daten zu regeln. Die im BauID-System erfassten und verarbeiteten personenbezogenen Daten sind zu löschen, sobald sie nicht mehr benötigt werden, jedenfalls nach Ablauf von fünf Jahren nach der letztmaligen Verwendung der BauID-Karte. Die Abfrageprotokolle sind zu löschen, sobald sie nicht mehr benötigt werden, jedenfalls nach Ablauf von drei Jahren nach Abfrage. Die Urlaubs- und Abfertigungskasse hat auf Basis eines IT-Sicherheitskonzeptes alle getroffenen Datensicherheitsmaßnahmen zu dokumentieren. Aus dieser Dokumentation muss hervorgehen, ob sowohl der Zugriff als auch die Weitergabe der Daten ordnungsgemäß erfolgt und die Daten Unbefugten nicht zugänglich sind.