Datenschutz | Dents

Vorwort

Unsere Corporate Data Protection Policy legt strenge Anforderungen für die Verarbeitung personenbezogener Daten von Kunden, Interessenten, Geschäftspartnern und Mitarbeitern fest. Es erfüllt die Anforderungen der europäischen Datenschutzrichtlinie (DSGVO) und gewährleistet die Einhaltung der Grundsätze nationaler und internationaler Datenschutzgesetze.

Die Richtlinie legt die geltenden Datenschutz- und Sicherheitsstandards für unser Unternehmen fest und regelt den Informationsaustausch zwischen unseren Konzernunternehmen. Als Leitlinie haben wir sieben Datenschutzgrundsätze – darunter Transparenz, Datensparsamkeit und Datensicherheit – festgelegt.

Unsere Manager und Mitarbeiter sind verpflichtet, sich an die Richtlinie zu halten und ihre lokalen Datenschutzgesetze einzuhalten.

Als Verantwortlicher für den betrieblichen Datenschutz ist es meine Pflicht sicherzustellen, dass die Regeln und Grundsätze des Datenschutzes eingehalten werden Dents werden verfolgt.

Robert Jentob

Vorsitzende

23/5/18

Inhalt

I. Ziel der Datenschutzerklärung

II. Geltungsbereich der Datenschutzrichtlinie

III. Anwendung nationaler Gesetze

IV. Grundsätze für die Verarbeitung personenbezogener Daten

1. Fairness und Rechtmäßigkeit

2. Beschränkung auf einen bestimmten Zweck

3. Transparenz

4. Datenreduktion und Datensparsamkeit

5. Löschung

6. Sachliche Richtigkeit; aktuelle Daten

7. Vertraulichkeit und Datensicherheit

V. Zuverlässigkeit der Datenverarbeitung

1. Kunden- und Partnerdaten

1.1 Datenverarbeitung im Rahmen eines Vertragsverhältnisses

1.2 Datenverarbeitung zu Werbezwecken

1.3 Zustimmung zur Datenverarbeitung

1.4 Datenverarbeitung aufgrund gesetzlicher Erlaubnis

1.5 Datenverarbeitung aufgrund berechtigten Interesses

1.6 Verarbeitung hochsensibler Daten

1.7 Automatisierte Einzelentscheidungen

1.8 Benutzerdaten und Internet

2. Mitarbeiterdaten

2.1 Datenverarbeitung für das Beschäftigungsverhältnis

2.2 Datenverarbeitung aufgrund gesetzlicher Erlaubnis

2.3 Einwilligung zur Datenverarbeitung

2.4 Datenverarbeitung aufgrund berechtigten Interesses

2.5 Verarbeitung hochsensibler Daten

2.6 Automatisierte Entscheidungen

2.7 Telekommunikation und Internet

VI. Übermittlung personenbezogener Daten

VII. Auftragsdatenverarbeitung

VIII. Rechte der betroffenen Person

IX. Vertraulichkeit der Verarbeitung

X. Verarbeitungssicherheit

XI. Datenschutzkontrolle

XII. Datenschutzvorfälle

XIII. Verantwortlichkeiten und Sanktionen

ICH. Ziel der Datenschutzrichtlinie

Im Rahmen ihrer sozialen Verantwortung verpflichtet sich die Dewhurst Dent Group (die Gruppe) zur Einhaltung der Datenschutzgesetze. Diese Datenschutzrichtlinie gilt weltweit für den Konzern und basiert auf weltweit anerkannten Grundprinzipien des Datenschutzes. Die Gewährleistung des Datenschutzes ist die Grundlage für vertrauensvolle Geschäftsbeziehungen und den Ruf aller Unternehmen der Gruppe als attraktiver Arbeitgeber.

Die Datenschutzrichtlinie bietet eine der notwendigen Rahmenbedingungen für grenzüberschreitende

Datenübertragung zwischen den Konzerngesellschaften. Sie stellt ein angemessenes Datenschutzniveau sicher

durch die DSGVO und die nationalen Gesetze zur grenzüberschreitenden Datenübertragung vorgeschrieben, auch in Länder, die noch keine angemessenen Datenschutzgesetze haben.

II. Geltungsbereich der Datenschutzrichtlinie

Diese Datenschutzerklärung gilt für alle Unternehmen und Bereiche des Konzerns, d.h. Dents, Gabi, Dents Australia Pty, Corgi Strumpfwaren Ltd, D.Charles Astle (Auktionäre) und Hersil Fabrics.

Die Datenschutzerklärung erstreckt sich auf die gesamte Verarbeitung personenbezogener Daten

III. Anwendung nationaler Gesetze

Diese Datenschutzrichtlinie umfasst die international anerkannten Datenschutzgrundsätze

ohne die bestehenden nationalen Gesetze zu ersetzen. Es ergänzt die nationalen Datenschutzgesetze. Der

einschlägiges nationales Recht geht vor, falls es dieser Datenschutzerklärung widerspricht

Richtlinie, oder es gelten strengere Anforderungen als diese Richtlinie. Der Inhalt dieser Datenschutzerklärung

sind auch mangels entsprechender nationaler Rechtsvorschriften zu beachten. Die Meldung

Anforderungen an die Datenverarbeitung nach nationalem Recht sind zu beachten.

Jedes Unternehmen der Gruppe ist für die Einhaltung dieser Datenschutzrichtlinie und der gesetzlichen Verpflichtungen verantwortlich. Alle Mitarbeiter müssen diese Richtlinie und alle damit verbundenen Richtlinien lesen, verstehen und einhalten, wenn sie personenbezogene Daten verarbeiten, und jeder Verstoß kann zu Disziplinarmaßnahmen führen.

IV. Grundsätze für die Verarbeitung personenbezogener Daten

1. Fairness und Rechtmäßigkeit

Bei der Verarbeitung personenbezogener Daten müssen die Persönlichkeitsrechte der betroffenen Personen gewahrt werden.

Personenbezogene Daten müssen rechtmäßig und fair erhoben und verarbeitet werden. Die Datenschutzgesetzgebung erlaubt die Verarbeitung für bestimmte Zwecke, die in dieser Richtlinie dargelegt sind. Die betroffenen Personen werden über die Zwecke der Verarbeitung ihrer personenbezogenen Daten informiert, die in der Datenschutzerklärung des Unternehmens zu finden sind.

2. Beschränkung auf einen bestimmten, eindeutigen und rechtmäßigen Zweck

Personenbezogene Daten dürfen nur für festgelegte, ausdrückliche und legitime Zwecke verarbeitet werden und werden nicht in einer Weise verarbeitet, die mit diesen Zwecken unvereinbar ist. Nachträgliche Zweckänderungen sind nur eingeschränkt möglich und bedürfen der Begründung.

3. Transparenz

Die betroffene Person muss darüber informiert werden, wie mit ihren Daten umgegangen wird. [Mitarbeiter erhalten eine Datenschutzerklärung, in der sie darüber informiert werden, wie ihre Daten verarbeitet werden.] Die Informationen sind präzise, transparent, leicht zugänglich und in klarer und verständlicher Sprache.

Personenbezogene Daten werden grundsätzlich direkt bei der betroffenen Person erhoben. Bei der Erhebung der Daten muss die betroffene Person Folgendes entweder kennen oder darüber informiert werden:

» Die Identität des Datenverantwortlichen

» Zweck der Datenverarbeitung

» Dritte oder Kategorien von Dritten, an die die Daten übermittelt werden könnten

Personenbezogene Daten können auch indirekt erhoben werden (z. B. von Dritten oder öffentlich zugänglichen Quellen). Die betroffene Person wird nach Erhebung/Erhalt der Daten schnellstmöglich über die vorstehenden Informationen informiert.

4. Datenreduktion und Datensparsamkeit

Personenbezogene Daten müssen für die Zwecke, für die sie verarbeitet werden, angemessen, relevant und auf das Notwendige beschränkt sein. Vor der Verarbeitung personenbezogener Daten müssen Sie feststellen, ob und in welchem Umfang die Verarbeitung personenbezogener Daten erforderlich ist, um den verfolgten Zweck zu erreichen.

Wo es der Zweck erlaubt und der Aufwand im Verhältnis zum verfolgten Ziel steht, sind anonymisierte oder statistische Daten zu verwenden. Personenbezogene Daten dürfen nicht im Voraus erhoben und für mögliche zukünftige Zwecke gespeichert werden, es sei denn, dies ist nach nationalem Recht erforderlich oder zulässig.

5. Löschung

Wenn personenbezogene Daten nicht mehr benötigt werden, werden sie gemäß den Richtlinien und Richtlinien des Unternehmens zur Datenaufbewahrung gelöscht. Die betroffenen Personen werden in ihren Datenschutzrichtlinien über den Zeitraum informiert, für den Daten gespeichert werden, und wie dieser Zeitraum bestimmt wird.

Gegebenenfalls sind Dritte zur Löschung nicht mehr benötigter Daten zu verpflichten.

6. Sachliche Richtigkeit; aktuelle Daten

Die gespeicherten personenbezogenen Daten müssen korrekt sein und – falls erforderlich – auf dem neuesten Stand gehalten werden. Es sind geeignete Vorkehrungen zu treffen, dass unrichtige oder unvollständige Daten gelöscht, berichtigt, ergänzt oder aktualisiert werden.

7. Vertraulichkeit und Datensicherheit

Personenbezogene Daten unterliegen der Vertraulichkeit. Sie sind personenbezogen vertraulich zu behandeln und durch geeignete organisatorische und technische Maßnahmen gegen unbefugten Zugriff, rechtswidrige Verarbeitung oder Verbreitung sowie zufälligen Verlust, Beschädigung, Veränderung oder Zerstörung zu sichern. Wir haben Sicherheitsvorkehrungen getroffen, die unserer Größe, unserem Umfang, unseren Ressourcen und den identifizierten Risiken entsprechen und regelmäßig bewertet und getestet werden. Wir haben Verfahren eingerichtet, um mit mutmaßlichen Verletzungen des Schutzes personenbezogener Daten umzugehen, und werden betroffene Personen oder alle zuständigen Aufsichtsbehörden benachrichtigen, wenn wir gesetzlich dazu verpflichtet sind.

Personenbezogene Daten werden nur an Drittanbieter übermittelt, die sich bereit erklären, unsere erforderlichen Richtlinien und Verfahren einzuhalten, und die sich bereit erklären, angemessene Maßnahmen zur Aufrechterhaltung der Datensicherheit zu ergreifen. Personenbezogene Daten werden nicht in ein anderes Land übermittelt, wenn keine angemessenen Garantien vorhanden sind.

IN. Zuverlässigkeit der Datenverarbeitung

Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten ist nur auf Grundlage der nachfolgenden Rechtsgrundlagen zulässig.

Eine dieser Rechtsgrundlagen ist auch dann erforderlich, wenn der Zweck der Erhebung, Verarbeitung und Nutzung der personenbezogenen Daten gegenüber dem ursprünglichen Zweck geändert werden soll

1. Kunden- und Partnerdaten

1.1 Datenverarbeitung im Rahmen eines Vertragsverhältnisses

Zur Begründung, Durchführung und Beendigung eines Vertrages können personenbezogene Daten der jeweiligen Interessenten, Kunden und Partner verarbeitet werden. Dies umfasst auch Beratungsleistungen für den Vertragspartner, soweit dies im Zusammenhang mit dem Vertragszweck steht. Vor Vertragsabschluss – während der Phase der Vertragsanbahnung – können personenbezogene Daten verarbeitet werden, um Angebote oder Bestellungen vorzubereiten oder andere Anfragen des Interessenten zu erfüllen, die sich auf den Vertragsabschluss beziehen. Interessenten können während des Vertragsvorbereitungsprozesses unter Verwendung der von ihnen bereitgestellten Informationen kontaktiert werden. Etwaige Einschränkungen, die von den Interessenten verlangt werden, müssen eingehalten werden.

1.2 Datenverarbeitung zu Werbezwecken

Sofern sich die betroffene Person an ein Konzernunternehmen wendet, um Informationen anzufordern (z. B. Anforderung von Informationsmaterial zu einem Produkt), ist die Datenverarbeitung zur Erfüllung dieser Anfrage zulässig.

Kundenbindungs- oder Werbemaßnahmen unterliegen weiteren gesetzlichen Vorgaben. Personenbezogene Daten können für Zwecke der Werbung oder der Markt- und Meinungsforschung verarbeitet werden, sofern dies mit dem Zweck, für den die Daten ursprünglich erhoben wurden, vereinbar ist. Die betroffene Person muss über die Verwendung ihrer Daten zu Werbezwecken informiert werden. Werden Daten nur zu Werbezwecken erhoben, so ist die Angabe seitens der betroffenen Person freiwillig. Die betroffene Person wird darauf hingewiesen, dass die Angabe von Daten zu diesem Zweck freiwillig ist. Bei der Kommunikation mit der betroffenen Person wird deren Einwilligung zur Verarbeitung der Daten zu Werbezwecken eingeholt. Bei der Einwilligung sollte der betroffenen Person die Wahl zwischen verfügbaren Kontaktmöglichkeiten wie Post, E-Mail und Telefon gegeben werden (Einwilligung siehe V.1.3). Widerspricht die betroffene Person der Nutzung ihrer Daten für Werbezwecke, so dürfen sie für diese Zwecke nicht mehr verwendet werden und müssen für diese Zwecke gesperrt werden. Etwaige sonstige Beschränkungen aus bestimmten Ländern bezüglich der Nutzung von Daten zu Werbezwecken sind zu beachten.

1.3 Zustimmung zur Datenverarbeitung

Daten können nach Einwilligung der betroffenen Person verarbeitet werden. Vor der Einwilligung ist die betroffene Person gemäß IV.3 zu informieren. dieser Datenschutzerklärung. Die Einwilligungserklärung ist zu Dokumentationszwecken schriftlich oder elektronisch einzuholen. Unter bestimmten Umständen, wie z. B. Telefongesprächen, kann die Einwilligung mündlich erteilt werden. Die Erteilung der Einwilligung ist zu dokumentieren.

1.4 Datenverarbeitung aufgrund gesetzlicher Erlaubnis

Die Verarbeitung personenbezogener Daten ist auch zulässig, wenn die nationale Gesetzgebung dies verlangt, verlangt oder erlaubt. Art und Umfang der Datenverarbeitung müssen für die gesetzlich zulässige Datenverarbeitungstätigkeit erforderlich sein und den einschlägigen gesetzlichen Vorschriften entsprechen.

1.5 Datenverarbeitung aufgrund berechtigten Interesses

Personenbezogene Daten können auch verarbeitet werden, wenn dies für ein berechtigtes Interesse der Gruppe erforderlich ist. Berechtigte Interessen sind grundsätzlich rechtlicher (z. B. Forderungsbeitreibung) oder kaufmännischer (z. B. Vermeidung von Vertragsverletzungen) Natur. Personenbezogene Daten dürfen nicht zur Wahrung berechtigter Interessen verarbeitet werden, wenn im Einzelfall Anhaltspunkte dafür vorliegen, dass die Interessen der betroffenen Person schutzwürdig sind und diese überwiegen. Vor einer Datenverarbeitung ist zu prüfen, ob schutzwürdige Interessen bestehen.

1.6 Verarbeitung hochsensibler Daten

Hochsensible personenbezogene Daten dürfen nur verarbeitet werden, wenn dies gesetzlich vorgeschrieben ist oder die betroffene Person ausdrücklich eingewilligt hat. Diese Daten können auch verarbeitet werden, wenn dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen gegenüber der betroffenen Person zwingend erforderlich ist. Wenn die Verarbeitung hochsensibler Daten geplant ist, muss der Vorsitzende oder CEO des betreffenden Unternehmens (die Datenschutzbeauftragten sind) vorab informiert werden.

1.7 Automatisierte Einzelentscheidungen

Eine automatisierte Verarbeitung personenbezogener Daten, die der Bewertung bestimmter Aspekte (z. B. Bonität) dient, kann nicht die alleinige Grundlage für Entscheidungen sein, die negative Rechtsfolgen haben oder die betroffene Person erheblich beeinträchtigen könnten. Die betroffene Person muss über die Tatsachen und Ergebnisse automatisierter Einzelentscheidungen und die Möglichkeit zur Stellungnahme informiert werden. Um Fehlentscheidungen zu vermeiden, muss eine Prüfung und Plausibilitätsprüfung durch einen Mitarbeiter erfolgen.

1.8 Benutzerdaten und Internet

Werden auf Websites oder in Apps personenbezogene Daten erhoben, verarbeitet und genutzt, müssen die betroffenen Personen in einer Datenschutzerklärung und ggf. Informationen über Cookies darüber informiert werden. Die Datenschutzerklärung und eventuelle Cookie-Informationen müssen so integriert werden, dass sie für die betroffenen Personen leicht identifizierbar, direkt zugänglich und durchgängig verfügbar sind. Werden Nutzungsprofile (Tracking) erstellt, um die Nutzung von Websites und Apps auszuwerten, müssen die betroffenen Personen in der Datenschutzerklärung immer entsprechend informiert werden. Personenbezogenes Tracking darf nur erfolgen, wenn es nach nationalem Recht erlaubt ist oder die betroffene Person einwilligt. Bei einem pseudonymen Tracking sollte der betroffenen Person in der Datenschutzerklärung die Möglichkeit zum Opt-Out eingeräumt werden. Wenn Websites oder Apps in einem auf registrierte Nutzer beschränkten Bereich auf personenbezogene Daten zugreifen können, muss die Identifizierung und Authentifizierung der betroffenen Person beim Zugriff ausreichenden Schutz bieten.

2. Mitarbeiterdaten

2.1 Datenverarbeitung für das Beschäftigungsverhältnis

In Arbeitsverhältnissen können personenbezogene Daten verarbeitet werden, wenn dies zur Erfüllung des Arbeitsvertrags erforderlich ist, einschließlich der Anbahnung, Durchführung und Beendigung des Arbeitsverhältnisses. Bei der Anbahnung eines Beschäftigungsverhältnisses können personenbezogene Daten der Bewerber verarbeitet werden. Im Falle einer Ablehnung sind die Daten des Bewerbers innerhalb von 6 Monaten zu löschen, es sei denn, der Bewerber hat einer Weiterspeicherung für ein künftiges Auswahlverfahren zugestimmt.

Im bestehenden Arbeitsverhältnis kann eine Datenverarbeitung zum Zwecke der Durchführung des Arbeitsvertrages erforderlich sein, es können aber auch andere gesetzliche Grundlagen für die Verarbeitung vorliegen, wie nachfolgend dargestellt. Sollte es während des Bewerbungsverfahrens erforderlich sein, Informationen über einen Bewerber von dritter Seite einzuholen, sind die Anforderungen der entsprechenden nationalen Gesetze zu beachten. In Zweifelsfällen ist eine Einwilligung der betroffenen Person einzuholen. Es kann alternative Rechtsgrundlagen für die Verarbeitung personenbezogener Daten im Zusammenhang mit dem Beschäftigungsverhältnis geben. Dies können gesetzliche Anforderungen, die Einwilligung des Mitarbeiters oder das berechtigte Interesse des Unternehmens sein.

2.2 Datenverarbeitung aufgrund gesetzlicher Verpflichtung

Die Verarbeitung personenbezogener Mitarbeiterdaten ist auch zulässig, wenn die nationale Gesetzgebung dies verlangt, verlangt oder erlaubt. Art und Umfang der Datenverarbeitung müssen für die gesetzlich zulässige Datenverarbeitungstätigkeit erforderlich sein und den einschlägigen gesetzlichen Vorschriften entsprechen.

2.3 Einwilligung zur Datenverarbeitung

Mitarbeiterdaten können nach Einwilligung der betroffenen Person verarbeitet werden. Einwilligungserklärungen müssen freiwillig abgegeben werden. Eine unfreiwillige Einwilligung ist unwirksam. Die Einwilligungserklärung ist zu Dokumentationszwecken schriftlich oder elektronisch einzuholen. Unter bestimmten Umständen kann die Zustimmung mündlich erteilt werden, wobei sie in diesem Fall ordnungsgemäß dokumentiert werden muss.

Ein Mitarbeiter stimmt der Verarbeitung seiner personenbezogenen Daten zu, wenn er seine Zustimmung entweder durch eine Erklärung oder eine positive Handlung zur Verarbeitung deutlich macht. Wenn die Einwilligung in einem Dokument erteilt wird, das sich mit anderen Angelegenheiten befasst, muss die Einwilligung von diesen anderen Angelegenheiten getrennt aufbewahrt werden. Mitarbeiter müssen die Einwilligung jederzeit einfach widerrufen können.

Sofern keine andere Rechtsgrundlage für die Verarbeitung besteht, ist für die Verarbeitung besonderer Kategorien von Daten eine ausdrückliche Einwilligung erforderlich (siehe Abschnitt 2.5 unten). In der Regel stützt sich das Unternehmen auf eine andere Rechtsgrundlage und benötigt keine ausdrückliche Zustimmung zur Verarbeitung von Daten besonderer Kategorien.

2.4 Datenverarbeitung aufgrund berechtigten Interesses

Personenbezogene Daten können auch verarbeitet werden, wenn dies zur Wahrung eines berechtigten Interesses der Gruppe oder eines Dritten erforderlich ist. Berechtigte Interessen sind grundsätzlich rechtlicher (z. B. Geltendmachung, Durchsetzung oder Verteidigung von Rechtsansprüchen), finanzieller (z. B. Bewertung von Unternehmen) oder sonstiger (z. B. Es ist notwendig, um lebenswichtige Interessen der Einzelperson oder einer anderen Person zu schützen, oder es ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt.)

Personenbezogene Daten dürfen nicht auf Grundlage eines berechtigten Interesses verarbeitet werden, wenn diese Interessen im Einzelfall durch die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Die geltend gemachten berechtigten Interessen werden in den geltenden Datenschutzhinweisen dargelegt. Darüber hinaus sind etwaige zusätzliche Anforderungen nach nationalem Recht (z. B. Mitbestimmungsrechte der Arbeitnehmervertreter und Informationsrechte der Betroffenen) zu berücksichtigen.

2.5 Verarbeitung hochsensibler Daten

Hochsensible personenbezogene Daten dürfen nur unter bestimmten Voraussetzungen verarbeitet werden. Hochsensible Daten sind Daten über rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten, Gesundheitsdaten und Daten über das Sexualleben und die Orientierung der betroffenen Person. Nach nationalem Recht können weitere Datenkategorien als hochsensibel gelten oder die Datenkategorien unterschiedlich inhaltlich ausgefüllt werden. Darüber hinaus können Daten, die sich auf strafrechtliche Verurteilungen und Straftaten beziehen, oft nur unter besonderen Voraussetzungen nach nationalem Recht verarbeitet werden. Die Verarbeitung muss nach nationalem Recht ausdrücklich erlaubt oder vorgeschrieben sein. Darüber hinaus kann eine Verarbeitung gestattet werden, wenn dies für die verantwortliche Stelle zur Erfüllung ihrer Rechte und Pflichten im Bereich des Arbeitsrechts erforderlich ist. Der Mitarbeiter kann der Verarbeitung auch ausdrücklich zustimmen. Wenn die Verarbeitung hochsensibler Daten geplant ist, muss der Datenschutzbeauftragte vorab informiert werden.

Hochsensible Daten können unter folgenden Umständen verarbeitet werden:

Mit ausdrücklicher Zustimmung der betroffenen Person
Wenn die Verarbeitung zur Erfüllung oder Ausübung von Pflichten oder Rechten erforderlich ist, die dem für die Datenverarbeitung Verantwortlichen oder der betroffenen Person im Zusammenhang mit Beschäftigung, Sozialversicherung oder Sozialschutz gesetzlich auferlegt werden, und der Arbeitgeber über ein entsprechendes Richtliniendokument und zusätzliche Garantien verfügt
Wenn die Verarbeitung zum Schutz lebenswichtiger Interessen der Einzelperson oder einer anderen Person erforderlich ist und die Einzelperson nicht in der Lage ist, ihre Einwilligung zu erteilen
Wenn sich die Verarbeitung auf personenbezogene Daten bezieht, die die Person öffentlich gemacht hat
Wenn die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist
Wenn die Verarbeitung aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist, vorausgesetzt, dass der Arbeitgeber über ein entsprechendes Richtliniendokument und zusätzliche Schutzmaßnahmen verfügt. Dies kann die Verarbeitung von Daten zum Zwecke der Förderung der Gleichbehandlung umfassen
Wenn die Verarbeitung für die Beurteilung der Arbeitsfähigkeit der Person oder im Rahmen eines Kontakts mit einem Angehörigen der Gesundheitsberufe erforderlich ist und der Vertraulichkeitsgarantie unterliegt

2.6 Automatisierte Entscheidungen

Sofern im Rahmen des Beschäftigungsverhältnisses personenbezogene Daten automatisiert verarbeitet werden und dabei bestimmte personenbezogene Daten ausgewertet werden (z. B. im Rahmen der Personalauswahl oder der Auswertung von Kompetenzprofilen), kann diese automatische Verarbeitung nicht die alleinige Grundlage für Entscheidungen mit nachteiligen Folgen oder sein erhebliche Auswirkungen auf den betroffenen Mitarbeiter. Zur Vermeidung von Fehlentscheidungen muss das automatisierte Verfahren sicherstellen, dass eine natürliche Person den Sachverhalt inhaltlich bewertet und diese Bewertung Grundlage für die Entscheidung ist. Die betroffene Person muss auch über die Tatsachen und Ergebnisse der automatisierten Verarbeitung und die Möglichkeit zur Stellungnahme informiert werden. Das Unternehmen plant keine automatisierte Entscheidungsfindung, wird die Mitarbeiter jedoch schriftlich benachrichtigen, wenn sich die Position ändert.

2.7 Telekommunikation und Internet

Telefonanlagen, E-Mail-Adressen, Intranet und Internet sowie interne soziale Netzwerke werden vom Unternehmen vorrangig für dienstliche Einsätze bereitgestellt. Sie sind Werkzeug und Unternehmensressource. Sie können im Rahmen der geltenden gesetzlichen Bestimmungen und unternehmensinternen Richtlinien verwendet werden. Bei einer berechtigten Nutzung zu privaten Zwecken sind ggf. die Gesetze zum Fernmeldegeheimnis und die jeweiligen nationalen Telekommunikationsgesetze zu beachten. Eine allgemeine Überwachung der Telefon- und E-Mail-Kommunikation sowie der Intranet-/Internetnutzung findet nicht statt. Zur Abwehr von Angriffen auf die IT-Infrastruktur oder einzelne Nutzer können für die Verbindungen zu den Netzwerken der Konzerngesellschaften Schutzmaßnahmen implementiert werden, die technisch schädliche Inhalte blockieren oder die Angriffsmuster analysieren. Aus Sicherheitsgründen kann die Nutzung von Telefonanlagen, E-Mail-Adressen, des Intranets/Internets und interner sozialer Netzwerke für einen vorübergehenden Zeitraum protokolliert werden. Eine Auswertung dieser personenbezogenen Daten kann nur bei Verdacht auf Verstöße gegen Gesetze oder Richtlinien des Konzerns erfolgen. Die jeweiligen nationalen Gesetze sind in gleicher Weise wie die Konzernregelungen zu beachten.

WIR. Übermittlung personenbezogener Daten

Die Übermittlung personenbezogener Daten an Empfänger außerhalb oder innerhalb der Gruppe unterliegt den Genehmigungsanforderungen für die Verarbeitung personenbezogener Daten gemäß Abschnitt V. Personenbezogene Daten werden nicht an Dritte weitergegeben, es sei denn, es wurden bestimmte Sicherheitsvorkehrungen getroffen und vertragliche Vereinbarungen getroffen. Der Datenempfänger muss verpflichtet werden, die Daten nur für die festgelegten Zwecke und gemäß unseren Weisungen zu verwenden.

Für den Fall, dass Daten an einen Empfänger außerhalb des Konzerns in ein Drittland, einschließlich eines Landes außerhalb der EU, übermittelt werden, stellen wir sicher, dass in diesem Land ein angemessenes Schutzniveau besteht, um personenbezogene Daten zu schützen, das dem Schutzniveau entspricht in dieser Datenschutzerklärung dargelegt. Werden Daten von einem Dritten an ein Konzernunternehmen übermittelt, ist sicherzustellen, dass die Daten zweckgebunden verwendet werden.

VII. Auftragsdatenverarbeitung

Datenverarbeitung im Auftrag bedeutet, dass ein Anbieter mit der Verarbeitung personenbezogener Daten beauftragt wird, ohne dass dies der Fall ist

die Verantwortung für den zugehörigen Geschäftsprozess übertragen wird. In diesen Fällen eine Vereinbarung

über Datenverarbeitung im Auftrag müssen mit externen Anbietern und zwischen Unternehmen abgeschlossen werden

innerhalb der Gruppe. Der Kunde behält die volle Verantwortung für die korrekte Durchführung der Datenverarbeitung. Der Anbieter darf personenbezogene Daten nur nach Weisung des Kunden verarbeiten. Bei der Auftragserteilung sind folgende Anforderungen einzuhalten; die beauftragende Abteilung hat für deren Einhaltung Sorge zu tragen.

Der Anbieter muss nach seiner Fähigkeit ausgewählt werden, die erforderlichen technischen und organisatorischen Schutzmaßnahmen abzudecken.
Die Bestellung muss schriftlich erfolgen. Die Weisungen zur Datenverarbeitung und die Verantwortlichkeiten von Auftraggeber und Anbieter sind zu dokumentieren.
Die vom Datenschutzbeauftragten bereitgestellten vertraglichen Standards zum Datenschutz sind zu berücksichtigen.
Vor Beginn der Datenverarbeitung muss sich der Auftraggeber davon überzeugen, dass der Anbieter die Pflichten einhalten wird. Die Einhaltung der Datensicherheitsanforderungen kann ein Anbieter in dokumentieren

insbesondere durch Vorlage eines geeigneten Nachweises. Je nach Risiko der Datenverarbeitung sind die Überprüfungen während der Vertragslaufzeit regelmäßig zu wiederholen.

Setzen Sie nur Personal und andere Personen ein, die bezüglich der Daten zur Verschwiegenheit verpflichtet sind.
Halten Sie Sicherheitsverpflichtungen ein, die denen entsprechen, die dem Arbeitgeber gemäß der DSGVO auferlegt werden.
Benachrichtigen Sie den Arbeitgeber über jeden Verstoß in Bezug auf die vom Arbeitgeber weitergegebenen personenbezogenen Daten.
Beauftragen Sie einen Unterauftragsverarbeiter nur mit vorheriger Zustimmung des Arbeitgebers.
1. Bei einer grenzüberschreitenden Auftragsdatenverarbeitung sind die jeweiligen nationalen Anforderungen zur Weitergabe personenbezogener Daten ins Ausland zu erfüllen. Insbesondere dürfen personenbezogene Daten aus dem Europäischen Wirtschaftsraum in einem Drittland nur verarbeitet werden, wenn der Anbieter nachweisen kann, dass er über ein dieser Datenschutzerklärung gleichwertiges Datenschutzniveau verfügt. Geeignete Werkzeuge können sein:
  1. Vereinbarung über EU-Standardvertragsklauseln zur Auftragsdatenverarbeitung in Drittländern mit dem Anbieter und etwaigen Subunternehmern.
  2. Teilnahme des Anbieters an einem von der EU akkreditierten Zertifizierungssystem zur Bereitstellung eines ausreichenden Datenschutzniveaus.
  3. Anerkennung verbindlicher Unternehmensregeln des Anbieters zur Schaffung eines angemessenen Datenschutzniveaus durch die zuständigen Aufsichtsbehörden für den Datenschutz.

VIII. Rechte der betroffenen Person

Jede betroffene Person hat folgende Rechte;

Die betroffene Person kann Auskunft darüber verlangen, welche personenbezogenen Daten über sie gespeichert sind, wie die Daten zu welchem Zweck erhoben wurden. Soweit weitergehende Rechte bestehen

Unterlagen des Arbeitgebers (z.B. Personalakte) zum Arbeitsverhältnis einsehen unter

die einschlägigen Arbeitsgesetze, diese bleiben unberührt.

Werden personenbezogene Daten an Dritte übermittelt, müssen Angaben zur Identität gemacht werden

des Empfängers oder der Kategorien von Empfängern.

Sind personenbezogene Daten unrichtig oder unvollständig, kann die betroffene Person deren Berichtigung verlangen

oder ergänzt.

Die betroffene Person kann der Verarbeitung ihrer Daten für Zwecke der Werbung oder der Markt-/Meinungsforschung widersprechen. Die Daten müssen für diese Verwendung gesperrt werden.
Die betroffene Person kann die Löschung ihrer Daten verlangen, wenn für die Verarbeitung dieser Daten keine Rechtsgrundlage besteht oder die Rechtsgrundlage weggefallen ist. Gleiches gilt, wenn der Zweck der Datenverarbeitung entfallen ist oder aus anderen Gründen entfallen ist. Bestehende Aufbewahrungsfristen und entgegenstehende schutzwürdige Interessen sind zu beachten.
Die betroffene Person hat grundsätzlich ein Widerspruchsrecht gegen die Verarbeitung ihrer Daten, wenn wir uns auf ein berechtigtes Interesse (oder das eines Dritten) an der Verarbeitung stützen und die besondere Situation der betroffenen Person dafür spricht der Verarbeitung aus diesem Grund widersprechen. Dies ist zu berücksichtigen, wenn die Wahrung seiner Interessen aufgrund einer besonderen persönlichen Situation gegenüber dem Interesse des Verantwortlichen überwiegt. Dies gilt nicht, sofern eine Rechtsvorschrift die Verarbeitung der Daten erfordert oder die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
Die betroffene Person kann die Einschränkung der Verarbeitung ihrer personenbezogenen Daten verlangen. Dies ermöglicht es der betroffenen Person, die Aussetzung der Verarbeitung personenbezogener Daten zu verlangen, beispielsweise wenn sie möchte, dass der Arbeitgeber ihre Richtigkeit oder den Grund für die Verarbeitung feststellt.
Die betroffene Person kann unter bestimmten Umständen die Übertragung ihrer personenbezogenen Daten an eine andere Partei verlangen.

IX. Vertraulichkeit der Verarbeitung

Personenbezogene Daten unterliegen der Vertraulichkeit. Jede unbefugte Erhebung, Verarbeitung oder Nutzung solcher Daten durch Mitarbeiter ist untersagt. Jede Datenverarbeitung durch einen Mitarbeiter, zu der er im Rahmen seiner rechtmäßigen Pflichten nicht befugt ist, ist unautorisiert. Es gilt das Need-to-know-Prinzip. Mitarbeiter dürfen nur dann Zugang zu personenbezogenen Daten haben, wenn dies für Art und Umfang der jeweiligen Aufgabe angemessen ist. Dies erfordert eine sorgfältige Aufschlüsselung und Trennung sowie Umsetzung von Rollen und Verantwortlichkeiten. Mitarbeitern ist es untersagt, personenbezogene Daten für private oder gewerbliche Zwecke zu nutzen, an unbefugte Personen weiterzugeben oder in sonstiger Weise zugänglich zu machen. Vorgesetzte müssen ihre Mitarbeiter zu Beginn des Beschäftigungsverhältnisses über die Verpflichtung zur Wahrung des Datengeheimnisses informieren. Diese Verpflichtung bleibt auch nach Beendigung des Arbeitsverhältnisses bestehen.

X. Verarbeitungssicherheit

Personenbezogene Daten müssen vor unbefugtem Zugriff und unrechtmäßiger Verarbeitung oder Offenlegung sowie vor versehentlichem Verlust, Änderung oder Zerstörung geschützt werden. Dies gilt unabhängig davon, ob Daten elektronisch oder in Papierform verarbeitet werden. Vor der Einführung neuer Methoden der Datenverarbeitung, insbesondere neuer IT-Systeme, müssen technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten definiert und umgesetzt werden. Diese Maßnahmen müssen sich am Stand der Technik, den Risiken der Verarbeitung und der Schutzbedürftigkeit der Daten (ermittelt durch das Verfahren zur Informationsklassifizierung) orientieren. Die verantwortliche Stelle kann sich insbesondere an ihren Datenschutzbeauftragten wenden.

XI. Datenschutzkontrolle

Einhaltung der Datenschutzrichtlinie und des geltenden Datenschutzes Gesetze werden regelmäßig überprüft. Die Ergebnisse der Datenschutzkontrollen sind dem Datenschutzbeauftragten zu melden.

XII. Datenschutzvorfälle

Alle Mitarbeiter müssen Fälle von Verstößen gegen diese Datenschutzrichtlinie oder andere Vorschriften zum Schutz personenbezogener Daten (Datenschutzvorfälle) unverzüglich ihrem Vorgesetzten oder Datenschutzbeauftragten melden. Der für die Funktion oder den Bereich verantwortliche Manager ist verpflichtet, den zuständigen Datenschutzbeauftragten unverzüglich über Datenschutzvorfälle zu informieren.

In Fällen von

» unsachgemäße Übermittlung personenbezogener Daten an Dritte,

» unsachgemäßer Zugriff Dritter auf personenbezogene Daten, oder

» Verlust personenbezogener Daten

die erforderlichen Unternehmensmeldungen (Information Security Incident Management) sind zu erstellen

unverzüglich mitzuteilen, damit etwaigen Meldepflichten nach nationalem Recht nachgekommen werden kann.

XIII. Verantwortlichkeiten und Sanktionen

Die Organe der Konzerngesellschaften sind für die Datenverarbeitung in ihrem Verantwortungsbereich verantwortlich. Sie sind daher verpflichtet, dafür Sorge zu tragen, dass die gesetzlichen und in der Datenschutzrichtlinie enthaltenen Anforderungen an den Datenschutz eingehalten werden (z. B. nationale Meldepflichten). Die Führungskräfte sind dafür verantwortlich, dass organisatorische, personelle und technische Maßnahmen getroffen werden, damit die Datenverarbeitung im Einklang mit dem Datenschutz erfolgt. Die Einhaltung dieser Anforderungen liegt in der Verantwortung der jeweiligen Mitarbeiter. Führen behördliche Stellen Datenschutzkontrollen durch, ist der Datenschutzbeauftragte unverzüglich zu informieren. Die unsachgemäße Verarbeitung personenbezogener Daten oder sonstige Verstöße gegen die Datenschutzgesetze können in vielen Ländern strafrechtlich verfolgt werden und Schadensersatzansprüche nach sich ziehen. Verstöße, die einzelne Mitarbeiter zu vertreten haben, können zu arbeitsrechtlichen Sanktionen führen.