Landesverordnung über die zentrale Stelle für ressortübergreifende Personalmanagementverfahren Vom 25. Juni 2020

§ 7 Inkrafttreten, Außerkrafttreten(1) Diese Verordnung tritt am Tage nach ihrer Verkündung in Kraft.(2) Mit Inkrafttreten dieser Verordnung tritt die Landesverordnung über die zentrale Stelle für das Verfahren KoPers vom 5. April 2017 (GVOBl. Schl.-H. S. 252)*) außer Kraft.

Anlage (zu § 1)Verfahren im Sinne des § 1 sind:1. KoPersMit dem integrierten - aus mehreren Modulen bestehenden - KoPers-Verfahren werden die Aufgaben des Personalmanagements digital unterstützt. Dazu gehören neben den Kernaufgaben des Personalmanagements (Personalverwaltung und Abrechnung für Besoldung, Entgelt und Versorgung) auch folgende Module: Stellenverwaltung, Reisemanagement, Bewerbungsmanagement, Organisationsmanagement, Personalkostenplanung, Veranstaltungsmanagement, Beurteilungsmanagement, Self-Services.2. Zentrale AuswertungsdatenbankDie zentrale Auswertungsdatenbank ist eine auf Standardsoftware basierende Infrastruktur bestehend aus einer zentralen Datenbank und einem darauf aufsetzenden Business Intelligence Tool. Aus dem Verfahren KoPers und anderen Quellen extrahierte Daten werden aufbereitet und in Form von Berichten bereitgestellt, die auch in den Personaldienststellen aufgerufen werden können. Die zentrale Auswertungsdatenbank ergänzt insoweit die durch KoPers für das Personalmanagement angebotene IT-Unterstützung.

Aufgrund des § 7 Absatz 4 des Landesdatenschutzgesetzes vom 2. Mai 2018 (GVOBl. Schl.-H. S. 162) verordnet das Finanzministerium:

§ 1 Zentrale StelleDie für die Finanzverwaltung zuständige oberste Landesbehörde ist zentrale Stelle nach § 7 Absatz 4 Landesdatenschutzgesetz für die in der Anlage aufgeführten, im Bereich der Landesverwaltung ressortübergreifend eingesetzten automatisierten Personalmanagementverfahren, die als gemeinsame Verfahren im Sinne des § 7 Absatz 3 Landesdatenschutzgesetz betrieben werden. Die Anlage ist Bestandteil der Verordnung.

§ 2 Beteiligte Stellen(1) Beteiligte Stellen sind die personalverwaltenden Stellen Ministerpräsidentin oder Ministerpräsident, Ministerien und ihre nachgeordneten Behörden und zugeordneten Ämter sowie das Dienstleistungszentrum Personal.(2) Der Landtag, der Landesrechnungshof, das Landesverfassungsgericht sowie andere Träger öffentlicher Verwaltung nach § 2 Absatz 2 und 3 Landesverwaltungsgesetz können gegenüber der zentralen Stelle erklären, dass sie den beteiligten Stellen beitreten, soweit die Voraussetzungen des § 7 Absatz 3 Landesdatenschutzgesetz erfüllt sind. Der Beitritt bedarf zu seiner Wirksamkeit der Zustimmung der zentralen Stelle.

§ 3 Verantwortlichkeit(1) Die zentrale Stelle ist nach Maßgabe der §§ 4 und 5 dieser Verordnung verantwortlich im Sinne von Artikel 4 Nummer 7 und Artikel 26 der Verordnung (EU) 2016/6791.(2) Die beteiligten Stellen sind jeweils nach Maßgabe der §§ 4 und 6 dieser Verordnung verantwortlich im Sinne von Artikel 4 Nummer 7 und Artikel 26 der Verordnung (EU) 2016/679.(3) Die nicht im Rahmen der §§ 4 bis 6 zugewiesenen Pflichten der Verordnung (EU) 2016/679 erfüllen die zentrale Stelle und die beteiligten Stellen jeweils in eigener Verantwortung.

§ 4 Informations-, Meldungs- und Benachrichtigungspflichten(1) Stellt die zentrale Stelle eine Verletzung des Schutzes personenbezogener Daten fest, bewertet sie die Erforderlichkeit einer Meldung an die Aufsichtsbehörde nach Artikel 33 der Verordnung (EU) 2016/679 und einer Benachrichtigung der betroffenen Person nach Artikel 34 der Verordnung (EU) 2016/679. Sie informiert die beteiligte Stelle unverzüglich über die Verletzung und teilt ihr das Ergebnis ihrer Bewertung mit.(2) Stellt die beteiligte Stelle eine Verletzung des Schutzes personenbezogener Daten fest, bewertet sie die Erforderlichkeit einer Meldung an die Aufsichtsbehörde nach Artikel 33 der Verordnung (EU) 2016/679 und einer Benachrichtigung der betroffenen Person nach Artikel 34 der Verordnung (EU) 2016/679. Sie informiert die zentrale Stelle unverzüglich über die Verletzung und teilt ihr das Ergebnis ihrer Bewertung mit. Sofern die Datenschutzverletzungen weitere beteiligte Stellen betreffen oder betreffen können, werden diese von der zentralen Stelle informiert.(3) Die Meldung an die Aufsichtsbehörde nach Artikel 33 der Verordnung (EU) 2016/679 und die Benachrichtigung der betroffenen Person nach Artikel 34 der Verordnung (EU) 2016/679 obliegen der beteiligten Stelle. Die zentrale Stelle soll die Meldung und die Benachrichtigung in geeigneten Fällen übernehmen, insbesondere wenn die Verletzung des Schutzes personenbezogener Daten bei der zentralen Stelle eingetreten ist oder die Ursache für die Verletzung mehr als eine beteiligte Stelle betrifft oder betreffen kann.

§ 5 Verantwortlichkeit der zentralen Stelle(1) Die zentrale Stelle gewährleistet die Ordnungsmäßigkeit der Verfahren wie folgt:1. sie gewährleistet geeignete technische und organisatorische Maßnahmen nach Artikel 24, 25 und 32 der Verordnung (EU) 2016/679 und § 12 Absatz 2 und 3 Landesdatenschutzgesetz sowie die Dokumentation nach Artikel 5 Absatz 2 der Verordnung (EU) 2016/679; sie achtet insbesondere auf datenschutzfreundliche Technikgestaltung und Voreinstellungen nach Artikel 25 der Verordnung (EU) 2016/679;2. sie nimmt das automatisierte Verfahren in ihr Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 der Verordnung (EU) 2016/679 auf;3. sie ist zuständig für die Durchführung von Tests und deren Dokumentation gemäß § 7 Absatz 1 Landesdatenschutzgesetz, zu denen sie von ihr ausgewählte beteiligte Stellen hinzuziehen kann; sie erteilt die Freigaben für die Verfahren; es bedarf keiner Freigabe durch die beteiligten Stellen; die oder der Landesbeauftragte für Datenschutz ist anzuhören;4. sie ist zuständig, soweit erforderlich, für die Durchführung von Datenschutz-Folgenabschätzungen nach Artikel 35 der Verordnung (EU) 2016/679 und gegebenenfalls für eine Konsultation nach Artikel 36 der Verordnung (EU) 2016/679; bei Durchführung einer Datenschutz-Folgenabschätzung kann sie von ihr ausgewählte beteiligte Stellen hinzuziehen;5. sie trifft die Auswahlentscheidung bezüglich des Auftragsverarbeiters bei der Übertragung von Verarbeitungstätigkeiten nach Artikel 28 der Verordnung (EU) 2016/679; sie ist bei Auftragsverarbeitung verantwortlich nach Artikel 28 der Verordnung (EU) 2016/679 gegenüber den jeweiligen Auftragsverarbeitern, insbesondere Dataport;6. sie ist zuständig für die Einbindung des Datenschutzbeauftragten nach Artikel 38 Absatz 1 der Verordnung (EU) 2016/679;7. sie ist federführend dafür verantwortlich, geplante Zertifizierungsverfahren nach Artikel 42 der Verordnung (EU) 2016/679 durch die Aufsichtsbehörde zu begleiten.(2) Die zentrale Stelle kann für die Verfahren Bestimmungen zur ordnungsgemäßen Nutzung der Verfahren durch die beteiligten Stellen erlassen.

§ 6 Verantwortlichkeit der beteiligten Stellen(1) Die beteiligten Stellen sind für die Datenverarbeitung im Rahmen der Nutzung der Verfahren verantwortlich. Daraus folgt insbesondere:1. die Wahrnehmung der Informationspflichten in Abstimmung mit der zentralen Stelle gegenüber betroffenen Personen gemäß Artikel 13 und 14 der Verordnung (EU) 2016/679;2. die Gewährleistung der Rechte der betroffenen Personen gemäß Artikel 15 bis 22 der Verordnung (EU) 2016/679;3. die Aufnahme der Nutzung der Verfahren in ihr jeweiliges Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 der Verordnung (EU) 2016/679.(2) Die zentrale Stelle stellt den beteiligten Stellen die für die Wahrnehmung ihrer Verantwortlichkeit gemäß Absatz 1 notwendigen Informationen in geeigneter Weise bereit.

§ 7 Inkrafttreten, Außerkrafttreten(1) Diese Verordnung tritt am Tage nach ihrer Verkündung in Kraft. Sie tritt mit Ablauf von fünf Jahren nach ihrem Inkrafttreten außer Kraft.(2) Mit Inkrafttreten dieser Verordnung tritt die Landesverordnung über die zentrale Stelle für das Verfahren KoPers vom 5. April 2017 (GVOBl. Schl.-H. S. 252)*) außer Kraft.