SN:IT Richtlinien

IT Ordnung der Piratenpartei Sachsen

Piraten sind eine technikaffine Gemeinschaft, denen die Nutzung von IT selbstverständlich ist. Als Partei nutzen sie die Kompetenz ihrer Mitglieder, die ehrenamtlich auch IT Aufgaben übernehmen. Die Verantwortung bei dieser Delegation bleibt grundsätzlich bei der Partei, diese Richtlinien sollen den Rahmen für eine verantwortliche und kompetente Mitarbeit in der IT der Piraten Sachsen abstecken.

- dabei ist die Privatsphäre der Betroffenen zu wahren
- für Transparenz parteiinterner Abläufe zu sorgen
- hierfür nötige Sicherheit zu gewährleisten
- ohne die Aktiven unangemessen zu reglementieren

Präambel

Die Piraten haben die Bedeutung der Information für die Gesellschaft erkannt und wollen als zentrales politisches Anliegen Informationsprozesse aktiv gestalten. Die Piraten sind deshalb in besonderer Weise einem sorgfältigen und vertrauenswürdigen Umgang mit Information verpflichtet - in der Kommunikation untereinander wie im Wirken nach außen und in der politischen Meinungsbildung. Jeder Aktive bei den Piraten muss sich der Verantwortung für Vertraulichkeit, Verlässlichkeit und Verfügbarkeit von Informationen bewusst sein.
Diese IT-Richtlinie dient als Rahmenrichtlinie für ggf. weitere Beschreibungen von IT-Prozessen. Sie umfasst die Prozessbeschreibung der Datenverarbeitung in der Piratenpartei Sachsen (PPSN), benennt die Zuständigkeiten und die Regelungen zum Datenschutz und zur Datensicherheit.

Grundsätze und Begriffe

Für die hier behandelten Informationen und Prozesse ist grundsätzlich die Piratenpartei verantwortlich. Sie handelt durch Aktive - sei es auf Grund von Satzung (Vorstandmitglieder), formeller oder informeller Delegation von Aufgaben (Ernennung von Sprechern, Beauftragung von Mitarbeitern). Diese Aktiven erfüllen ihre Aufgaben als Treuhänder und sind an diese Richtlinie gebunden. Vertrauliche Daten sind neben den personenbezogenen Daten solche, deren Veröffentlichung der Partei Schaden zufügen könnte - insbesondere Zugangsdaten zu Parteimedien.

Umgang mit vertraulicher Information

Jeder Aktive, der im Auftrag der PPSN Umgang mit vertraulicher Information hat, ist vor der Aufnahme seiner Tätigkeit über den Umgang mit vertraulichen Informationen zu belehren. Diese Belehrung muss ggf. auch die Belehrung im Sinne des BDSG umfassen. Die Belehrung ist mit einer entsprechenden Verpflichtung aktenkundig zu machen.
Vertrauliche Information darf ohne Zustimmung des Treuhandgebers nicht weitergegeben werden. Für die vertrauliche Verarbeitung von Daten gelten folgende Grundsätze:

Datenspeicherung und Verarbeitung

Die Daten sind in einem stark verschlüsselten Container zu halten, der mit einem ausreichenden Passwort gesichert ist. Die Verarbeitung erfolgt Offline, vor Öffnen des Containers sind grundsätzlich Netzwerkverbindungen zu trennen. Die Daten sind ein einem offenen Format zu speichern, damit eine Datenweiternutzung nach Wechsel des Verantwortlichen möglich ist. Bei der Bearbeitung der Daten ist darauf zu achten, dass keine temporären oder Sicherungskopien außerhalb des verschlüsselten Containers abgelegt werden.

Datensicherung

Es sind regelmäßige - ebenso verschlüsselte - Kopien auf unabhängigen Medien als Sicherheitskopien beim Verantwortlichen und bei einer unabhängigen Stelle der PPSN abzulegen. Der Zugangscode für die Verschlüsselung ist in einem versiegelten und bezeichneten Umschlag bei der Geschäftsstelle der PPSN zu hinterlegen. Diese Maßnahme soll sicherstellen, dass bei Ausfall des Verantwortlichen der Datenbestand von einem neuen Treuhänder übernommen werden kann. Die Öffnung des Umschlags mit dem Passwort darf nur aus diesem Grund auf Vorstandsbeschluss unter Zeugen erfolgen, der neue Verantwortliche hat anschließend das Passwort zu ändern und erneut zu hinterlegen.

Nutzungsbegrenzung

Die Nutzung, Anfertigung von Kopien oder Auszügen aus den Daten ist nur im Rahmen der übertragenen Aufgabe zulässig. Nach Beendigung einer Tätigkeit (und ggf. Entlastung) sind die Daten zu übergeben, anschließend sind sie beim Abgebenden vollständig und definitiv zu löschen.

Datenübermittlung

Soweit eine Datenübermittlung zulässig ist, darf sie innerhalb der Partei sowie in der Kommunikation mit Betroffenen auch per e-Mail erfolgen, sofern vertrauenswürdige Public Keys des Empfängers zu Verschlüsselung und eine Signierung mit dem Schlüssel des Senders erfolgt. Zur Kontrolle der Weitergabe sind regelmäßige. summarische Abgleiche des Datenbestandes vorzunehmen - insbesondere vor Parteitagen.

Parteiinterne Verwaltung

Die parteiinterne Verwaltung betrifft die Pflege der Mitgliederdaten und die Finanzverwaltung. Für die Pflege der Mitgliederdaten ist der Generalsekretär zuständig, für die Finanzverwaltung der Schatzmeister - bzw. die entsprechenden Personen in den Untergliederungen.

Mitgliederverwaltung

Da die PPSN derzeit nicht über rechtssichere Prozeduren zum Abschluss von digitalen Verträgen verfügt (z.B. qualifizierte digitale Signaturen), die Parteizugehörigkeit aber wesentliche Grundrechte berührt und auch ein besonderes sensibles Merkmal nach §3 Absatz 9 BDSG ist, kann derzeit nicht auf eine Schriftform der Willensbekundung zum Betritt zur PPSN verzichtet werden.

• Mitgliedsanträge
  

Jeder Mitgliedsantrag - auch der noch nicht entschiedene oder an Untergliederungen gerichtete - ist an den Generalsekretär der PPSN weiterzuleiten. Dieser übernimmt die Daten in die Mitgliederdatei - unter ggf. entsprechender Kennzeichnung (Antragsteller). Der Antrag ist zu archivieren (# beim Gensek - später in der Geschäftsstelle).
Der Generalsekretär legt den Antrag dem Vorstand vor und dokumentiert den Aufnahme bzw. Ablehnungsbeschluss mit Datum. Im Falle der Aufnahme informiert er das neue Mitglied mit einem Begrüßungsschreiben, das den Hinweis auf die Beitragspflicht als Voraussetzung für die Wahrnehmung der Mitgliedsrechte enthält, die Möglichkeiten der Mitwirkung (Parteimedien, Treffen) aufzeigt und die Fundstellen der rechtlichen Grundlagen der PPSN enthält.

1. Hinweis: Auf den Antragsformularen sollte deutlicher zwischen obligaten und freiwilligen Angaben unterschieden werden.-- Privacy 10:38, 6. Apr. 2010 (CEST) - GebDat, e-Mail, Telefonnummer werden als freiwillig aber nützlich gekennzeichnet - Frage Mindestalter wegen Rechtsgeschäft

• Änderungen am Mitgliedsstatus
  

Der Generalsekretär erfasst vorübergehende und definitive Änderungen am Mitgliedsstatus (z.B. Ruhen der Parteirechte bei Zahlungsverzug, Austritt, Ausschluss) mit Datum in der Mitgliederdatei. Die Mitgliedsdaten sind ggf. für die weitere Verwendung zu sperren und nach Ablauf der Löschfristen (i.d.R. 10 Jahre) definitiv zu löschen.

• Datenhaltung
  

Die Datenhaltung erfolgt lokal beim Generalsekretär. Er ist für die Einhaltung des Datenschutzes und die Sicherung des Datenbestandes verantwortlich. Die PPSN stellt die Soft- und Hardware nicht zur Verfügung. Auf die Regelungen im Umgang mit vertraulichen Daten wird verwiesen.

• Datenweitergabe
  

Der Generalsekretär übermittelt die Änderungen ggf. an den Generalsekretär der zuständigen Untergliederung sowie die Kontaktdaten an den Schatzmeister (ggf. per e-Mail mit Verschlüsselung und Signatur).
Er überträgt die Daten nach Maßgabe der Bundespartei der Piraten in das zentrale Mitgliederverzeichnis - dabei sind alle Optionen der Datensicherung zu nutzen.

• Datenauskunft
  

Der Generalsekretär gibt Betroffenen auf Anfrage Auskunft über die zu Ihnen gespeicherten Mitgliedsdaten. Die Auskunft kann - bei Vorliegen eines vertrauenswürdiger Public Key - per e-Mail erfolgen.

Finanzverwaltung

Der Schatzmeister verwaltet ein Bankkonto, das über Onlinebanking geführt wird. Die Kontoauszüge werden sicher in einem verschlüsselten Container gespeichert. Der Bezahlstatus wird in der Mitgliederliste des Schatzmeisters vermerkt.
Diese Daten werden gemäß Parteigesetz an den Schatzmeister der Bundespartei übermittelt, der auch das Verfahren festlegt. Die Übermittlung ist zulässig, da sie sich aus dem Parteigesetz ergibt. Desgleichen werden die Daten an die GenSeks der Untergliederungen übermittelt. Bei der Übermittlung sind sichere Verfahren und Verschlüsselung anzuwenden.

Parteimedien

Mit den Parteimedien treten die Piraten untereinander und mit Interessenten in Verbindung, sie ist ein wesentlicher Teil der Öffentlichkeitsarbeit. Die Beteiligung möglichst vieler Piraten ist erwünscht.

Website

Die Website ist das offizielle Aushängeschild der sächsischen Piraten. Sie informiert über unsere Aktivitäten und lädt Mitglieder wie Interessierte zum Mitmachen ein. Sie soll den Informationsfluss abbilden und assoziierte Medien zugängig machen, insbesondere sind hierüber die offiziellen Dokumente zu erreichen. Die Website enthält einen Blog mit Beiträgen, die redaktionell von der Piratenpartei Sachsen verantwortet sind. Leser können Kommentare schreiben, die redaktionell vor Veröffentlichung auf Rechtsverstöße überprüft werden, aber nicht mit der Meinung der Piraten übereinstimmen müssen.

Der Server für die Webseite wird protokollierungsfrei betrieben, sodaß insbesondere IP Adresse und Referer der Nutzer nicht gespeichert werden.

Auch die verwendete Software ist so einzustellen, dass für Gäste keine automatischen Benutzerdaten persistent gespeichert werden (IP-Adresse, Referer, Session-ID, Cookiedaten).

Bei der Verwendung von Fremdinhalten ist eine direkte Einbindung, die zu einem Laden des Fremdinhaltes ohne aktives Tun des Nutzers führt zu unterlassen (sog. Hotlinks), da bei dieser Methode Daten des Benutzers, die von seinem Webclient stammen an Drittseiten gelangen, die ausserhalb unserer Verantwortung liegen und deren datenschutzkonforme Verwendung wir nicht kontrollieren können.

Fremdinhalte sind so einzubinden, dass die Verbindung zu dem Drittserver ausdrücklich aktiv vom Benutzer angefordert werden muss. Bei grafisch gesteuerten Verknüpfungen sind die nötigen Grafiken auf unserem Webserver zu speichern und von dort einzubinden. Dabei ist insbesondere dem Urheberrecht durch Beschränkung auf Kleinzitate und entsprechende Kennzeichnung zu wahren.

Einladung zur Aktivität (für MG wie Interessierte) Soll Informationsfluss abbilder Blog -mit Kommentarmöglichkeit Twitteranzeige (serverseitig geholt)

• Mailinglisten
• e-Mail
• soziale Netzwerke
• Umfrage-Tools