Velocity Datenschutzrichtlinie

2. Grundsätze des Datenschutzes

Es gibt mehrere datenschutzrechtliche Grundsätze, die bei der Verarbeitung personenbezogener Daten beachtet werden müssen. Im folgenden Abschnitt finden Sie eine Beschreibung, wie wir die Einhaltung dieser Grundsätze erreichen wollen:

• Rechenschaftspflicht: Wir sind dafür verantwortlich und müssen in der Lage sein, nachzuweisen, dass die wichtigsten Grundsätze und Regeln des Datenschutzgesetzes eingehalten werden.  
• Rechtmäßigkeit, Fairness und Transparenz: Personenbezogene Daten dürfen nur rechtmäßig, fair und auf transparente Weise verarbeitet werden. Das bedeutet, dass wir die betroffenen Personen darüber informieren müssen, wie und warum wir ihre Daten verarbeiten (Transparenz), dass die Verarbeitung mit der Beschreibung übereinstimmen muss, die den betroffenen Personen gegeben wurde (Fairness), und dass die Verarbeitung auf einer der Rechtsgrundlagen beruht, die im Datenschutzrecht festgelegt sind (Rechtmäßigkeit). 
• Zweckbeschränkung: Wir müssen genau angeben, wofür die von uns erfassten personenbezogenen Daten verwendet werden (bevor wir sie erfassen), und die Verarbeitung dieser personenbezogenen Daten auf das beschränken, was zur Erfüllung des angegebenen Zwecks erforderlich ist.  
• Minimierung der Datenmenge: Die von uns erhobenen personenbezogenen Daten müssen angemessen und relevant sein und dürfen nur so weit gehen, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist.  
• Korrektheit: Wir verfügen über Verfahren, die sicherstellen, dass personenbezogene Daten korrekt sind und auf dem neuesten Stand gehalten werden. 
• Begrenzung der Speicherung: Personenbezogene Daten werden so aufbewahrt, dass wir die betroffene Person nicht länger identifizieren können, als es für die Zwecke, für die die personenbezogenen Daten verarbeitet werden, erforderlich ist.
• Sicherheit/Integrität und Vertraulichkeit: Wir setzen geeignete technische und organisatorische Maßnahmen ein, um die Integrität und Vertraulichkeit personenbezogener Daten zu schützen, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung und vor versehentlichem Verlust, Zerstörung oder Beschädigung.

a. Rechenschaftspflicht

Überwachung

Verstöße im Zusammenhang mit personenbezogenen Daten oder die Nichteinhaltung unserer gesetzlichen Verpflichtungen im Rahmen der Datenschutzgesetze haben erhebliche Auswirkungen. Es liegt in unserer Verantwortung, alle personenbezogenen Daten in Übereinstimmung mit unseren gesetzlichen Verpflichtungen und den Grundsätzen des Datenschutzes zu verarbeiten.

Wenn wir die Anforderungen des Datenschutzrechts an die Rechenschaftspflicht nicht erfüllen, besteht nicht nur das Risiko der Nichteinhaltung, sondern auch ein erhebliches Risiko für unseren Ruf.

Wir bewerten die Einhaltung dieser Richtlinie in zweierlei Hinsicht:

1. Einhaltung der Vorschriften über den Schutz personenbezogener Daten im Allgemeinen
2. Die Wirksamkeit der Datenschutzmaßnahmen im Zusammenhang mit unseren betrieblichen Verfahren

Wir führen regelmäßig Überprüfungen durch und folgen den Regeln des PDAC-Zyklus (Plan-Do-Act-Check) zur Kontrolle und kontinuierlichen Verbesserung unserer Prozesse. Damit soll sichergestellt werden, dass ein angemessenes Niveau der Einhaltung der Vorschriften erreicht wird.

Meldung von Verletzungen des Schutzes personenbezogener Daten

Wir sind verpflichtet, eine Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde zu melden, sofern dies gesetzlich vorgeschrieben ist (diese Frist beginnt mit dem Zeitpunkt, zu dem wir von dem Vorfall Kenntnis erhalten).

Wenn der Verdacht besteht, dass eine Verletzung des Schutzes personenbezogener Daten stattgefunden hat, für die wir (als für die Verarbeitung Verantwortliche) verantwortlich sind, muss dies intern vom Datenschutzbeauftragten (DSB) und dem Vorfallsteam untersucht werden. Führt der Vorfall zu einem Risiko für die betroffenen Personen, muss er innerhalb von 72 Stunden nach Bekanntwerden des Vorfalls an die zuständige Aufsichtsbehörde gemeldet werden.

Ausbildung

Alle Mitarbeiter müssen eine für ihre Position relevante Datenschutzschulung absolvieren.

Das Team der Personalabteilung ist dafür verantwortlich, dass neue Mitarbeiter im Rahmen der Einarbeitung geschult werden. Alle Mitarbeiter werden jährlich oder bei jeder wesentlichen Änderung des Gesetzes oder unserer Richtlinien und Verfahren, je nachdem, was häufiger vorkommt, erneut zum Thema Datenschutz geschult. Velocity Quality ist für die Pflege der Schulungsunterlagen und die Aufbewahrung der aktuellsten Schulungsmaterialien und -dokumente verantwortlich.

Verantwortung

Jeder Mitarbeiter, der mit personenbezogenen Daten umgeht, ist dafür verantwortlich, die personenbezogenen Daten im Einklang mit dieser Richtlinie und dem geltenden Datenschutzrecht zu behandeln und zu verarbeiten.

In Velocity gibt es Positionen mit spezifischen Verantwortungsbereichen:

• Die Unternehmensleitung ist letztlich dafür verantwortlich, dass wir unseren rechtlichen Verpflichtungen nachkommen. 
• Der Datenschutzbeauftragte von Velocity trägt die Gesamtverantwortung für die Einhaltung des Datenschutzgesetzes.
• Die Team Datenschutz trägt die Gesamtverantwortung für die tägliche Umsetzung dieser Richtlinie und für:
  • Regelmäßige Überprüfung aller Datenschutzverfahren und -strategien
  • Organisation von Datenschutzschulungen und -beratung für alle Mitarbeiter und diejenigen, die unter diese Richtlinie fallen
  • Antwort an Betroffene, die wissen wollen, welche personenbezogenen Daten wir über sie gespeichert haben
  • Überprüfung und Genehmigung von Verträgen oder Vereinbarungen mit Dritten, die unsere personenbezogenen Daten verarbeiten, sowie von Verträgen oder Vereinbarungen über die Verarbeitung
  • Führen eines Verzeichnisses der Verarbeitungstätigkeiten einschließlich regelmäßiger Überprüfungen und Genehmigungen
• Der Leiter der Informationstechnologie ist verantwortlich für:
  • Sicherstellung, dass alle für die Datenspeicherung verwendeten Systeme, Dienste und Geräte akzeptablen Sicherheitsstandards entsprechen
  • Durchführung regelmäßiger Überprüfungen und Scans, um sicherzustellen, dass die Sicherheitshardware und -software ordnungsgemäß funktionieren
  • Bewertung der Dienste Dritter, die Velocity zur Speicherung oder Verarbeitung personenbezogener Daten zu nutzen gedenkt

Überblick über die Verarbeitungstätigkeiten

Das Datenschutzrecht stellt umfangreiche Anforderungen an die Dokumentation und den Nachweis der Einhaltung der Datenschutzpflichten. Ein wesentliches Element ist dabei die datenschutzrechtliche Übersicht über die Verarbeitungstätigkeiten. Wir weisen die Einhaltung des Datenschutzes durch Dokumentation in der Foxondo-Anwendung nach.

„Privacy by design“ (eingebauter Datenschutz)

Wir sind bestrebt, unsere internen Prozesse so zu strukturieren, dass die Grundsätze des Datenschutzes in jede Phase der Verarbeitungstätigkeiten eingebettet sind. „Privacy by design“ bedeutet, dass wir vor und während jeder Verarbeitungstätigkeit, die wir durchführen, geeignete technische und organisatorische Maßnahmen ergreifen müssen, um Sicherheitsvorkehrungen in die Verarbeitung zu integrieren. Dies ist wichtig, um die betroffenen Personen zu schützen und die Anforderungen des Datenschutzrechts zu erfüllen.

Wir sind stets bestrebt, sowohl bei der Festlegung der Mittel für die Verarbeitung als auch bei der Verarbeitung selbst geeignete technische und organisatorische Maßnahmen zu ergreifen, um die Einhaltung des Grundsatzes der Datenminimierung zu gewährleisten.

Um sicherzustellen, dass bei der Entwicklung neuer Systeme oder Prozesse bzw. bei der Überprüfung oder Erweiterung bestehender Systeme oder Prozesse alle Datenschutzanforderungen ermittelt und berücksichtigt werden, muss vor Beginn eines Projekts eine Vorabprüfung der Datenschutzfolgenabschätzung (eine vorläufige, kürzere Datenschutzfolgenabschätzung) durchgeführt werden. Je nach Ergebnis kann eine vollständige Datenschutzfolgenabschätzung gesetzlich vorgeschrieben sein.

b. Rechtmäßigkeit, Fairness und Transparenz

Wir sind dafür verantwortlich, den Kontext zu verstehen, in dem die Verarbeitung personenbezogener Daten im Rahmen unserer täglichen Arbeit stattfindet. Wir wollen sicherstellen, dass dies auf faire Weise und im Einklang mit dem Gesetz geschieht und dass wir dies den betroffenen Personen klar beschreiben können. Wir werden personenbezogene Daten immer rechtmäßig, fair und transparent in Übereinstimmung mit den Rechten der betroffenen Person verarbeiten.

Unsere Drittanbieter/Auftragnehmer, die personenbezogene Daten in unserem Auftrag verarbeiten, sind ebenfalls zum Datenschutz verpflichtet. Als solche sind wir gesetzlich dazu verpflichtet:

• nur die Dienste von Drittanbietern/Auftragnehmern in Anspruch zu nehmen, die nachweisen können, dass sie das Datenschutzrecht, z. B. die DSGVO, einhalten;
• vorgeschriebene vertragliche Vereinbarungen mit Drittanbietern/Auftragnehmern zu treffen, die den Anforderungen des Datenschutzrechts, z. B. der DSGVO, entsprechen; und
• gegenüber den Datenschutzbehörden nachzuweisen, dass wir diese rechtlichen Verpflichtungen eingehalten haben.

Erhebung personenbezogener Daten und Benachrichtigung

Wir dürfen personenbezogene Daten nur erheben, wenn dies für rechtmäßige Zwecke erforderlich oder ausdrücklich erlaubt ist. Wir werden nur dann personenbezogene Daten von betroffenen Personen erheben, wenn eine der folgenden Aussagen zutrifft:

• Wir sind dazu aufgrund einer gesetzlichen Verpflichtung verpflichtet, z. B. aufgrund von EU-Recht oder geltendem lokalen Recht.
• Die Verarbeitung ist für Geschäftszwecke und für unsere Organisation erforderlich, um ihre vertraglichen Verpflichtungen gegenüber den betroffenen Personen einzugehen oder zu erfüllen.
• Die Verarbeitung erfolgt in unserem (berechtigten) Interesse, und die betroffenen Personen haben keine überwiegenden, entgegenstehenden Interessen.
• Die Personen haben eingewilligt. Diese Einwilligung muss aus freien Stücken gegeben und gemäß dem geltenden Datenschutzrecht eingeholt werden, z. B. Art. 7 DSGVO.
• Die Datenverarbeitung liegt im lebenswichtigen Interesse der betroffenen Person oder einer anderen Person.

Wenn wir personenbezogene Daten erheben, informieren wir die betroffenen Personen unentgeltlich in knapper, transparenter, verständlicher und leicht zugänglicher Form und in klarer und einfacher Sprache über die Verarbeitung ihrer personenbezogenen Daten. Dazu gehören auch Informationen über Dritte, an die ihre personenbezogenen Daten weitergegeben werden, und über den Zweck, zu dem dies geschieht.

Soweit personenbezogene Daten innerhalb der Velocity Group aus dem DSGVO-Gebiet in die USA übertragen werden, gilt Folgendes:

• Velocity unterliegt den Ermittlungs- und Durchsetzungsbefugnissen der US Federal Trade Commission (FTC);
• Velocity ist zur Schlichtung von Ansprüchen und zur Einhaltung der in Anhang I der Grundsätze des Datenschutzrahmens (DPF Principles) festgelegten Bedingungen verpflichtet, vorausgesetzt, dass eine Person ein verbindliches Schiedsverfahren beantragt hat, indem sie Ihre Organisation benachrichtigt und die in Anhang I der Grundsätze festgelegten Verfahren und Bedingungen befolgt hat;
• Velocity ist verpflichtet, personenbezogene Daten als Reaktion auf rechtmäßige behördliche Anordnungen offenzulegen, einschließlich der Erfüllung internationaler Sicherheits- oder Strafverfolgungsanforderungen;
• Velocity haftet im Falle der Weitergabe an Dritte;

 

c. Zweckbindung: Verarbeitung für begrenzte Zwecke

Personenbezogene Daten, die für einen bestimmten Zweck erhoben wurden, dürfen in der Regel nicht für einen anderen Zweck verwendet werden. Wir sind bestrebt, personenbezogene Daten nur für Zwecke zu verarbeiten, die nach dem Datenschutzrecht ausdrücklich erlaubt sind. Wir informieren die betroffenen Personen über diese Zwecke.

d. Minimierung der Datenmenge: Angemessene, relevante und nicht übermäßige Verarbeitung

Bei jeder Verarbeitung sollten nur so viele personenbezogene Daten verwendet werden, wie zur erfolgreichen Erfüllung eines bestimmten Zwecks erforderlich sind. Wir sind stets bestrebt, personenbezogene Daten nur in dem Umfang zu erheben, wie sie für den der betroffenen Person mitgeteilten Zweck erforderlich sind, und erheben keine personenbezogenen Daten, die wir nicht benötigen.

e. Korrektheit: Sicherstellen, dass personenbezogene Daten korrekt sind

Wir sind bestrebt, sicherzustellen, dass unsere Systeme und Prozesse zur Identifizierung ungenauer Informationen robust sind und dass wir schnell handeln, um ungenaue personenbezogene Daten zu aktualisieren oder zu löschen. Wir bemühen uns, sicherzustellen, dass die von uns gespeicherten personenbezogenen Daten korrekt sind und auf dem neuesten Stand gehalten werden. Die betroffenen Personen können uns auffordern, sie betreffende unrichtige personenbezogene Daten zu korrigieren.

f. Begrenzung der Speicherung: Rechtzeitige Verarbeitung und Aufbewahrung von Daten

Wir sind bestrebt, die personenbezogenen Daten der betroffenen Personen nicht länger aufzubewahren, als dies nach geltendem Recht erforderlich ist. Wir unternehmen alle erforderlichen Schritte, um alle nicht mehr benötigten personenbezogenen Daten aus unseren Systemen (elektronisch oder in Papierform) zu vernichten oder zu löschen.

Alle Mitarbeiter müssen sicherstellen, dass sie mit dem Löschungskonzept / der Aufbewahrungsrichtlinie vertraut sind.

g. Sicherheit/Integrität und Vertraulichkeit: Sicherheit der personenbezogenen Daten

Wir sollten stets darauf achten, dass alle von uns gespeicherten personenbezogenen Daten einem Sicherheitsniveau unterliegen, das dem potenziellen Risiko angemessen ist. Wir ergreifen angemessene Sicherheitsmaßnahmen gegen die unrechtmäßige und unbefugte Verarbeitung personenbezogener Daten sowie gegen den versehentlichen Verlust oder die Beschädigung personenbezogener Daten gemäß unserer Informationssicherheitsrichtlinie. Zu den Sicherheitsverfahren gehören (sind aber nicht beschränkt auf)

• Zugangskontrollen – Besucher dürfen Einrichtungen nicht ohne die Hilfe von Mitarbeitern betreten und haben nur in Begleitung Zutritt zu Orten, an denen personenbezogene Daten aufbewahrt werden.
• Sichere abschließbare Schreibtische und Schränke – Schreibtische und Schränke werden verschlossen gehalten, wenn sie vertrauliche Informationen jeglicher Art enthalten. (Personenbezogene Daten werden immer als vertraulich betrachtet.)
• Zugangskontrollen – Die auf einem Computer gespeicherten Daten werden durch starke Passwörter und Identifizierungstechnologien geschützt.
• Kontrolle des Aufbewahrungsortes – Daten werden niemals direkt auf mobilen Geräten wie Laptops, Tablets oder Smartphones gespeichert (sondern auf zentralen Servern).
• Entsorgungsmethoden – Papierdokumente werden in verschlossenen Behältern entsorgt und von einem zugelassenen und zertifizierten Schredderdienst vernichtet. Digitale Speichermedien werden mit einer vollständigen Datenüberschreibung gelöscht oder physisch vernichtet, wenn sie nicht mehr benötigt werden.
• Geräte – Datennutzer stellen sicher, dass einzelne Bildschirme keine vertraulichen Informationen für Passanten zeigen und dass sie sich von ihrem PC abmelden oder ihn sperren, wenn er unbeaufsichtigt bleibt.