DATENSCHUTZRICHTLINIE

DATENSCHUTZRICHTLINIE

bei

BIZON INT Sp. z o.o.

mit Sitz in Tomice, ul. Europejska 4.

Einführung

In Verfolgung des verfassungsmäßigen Rechts jeder Person auf Schutz des Privatlebens und der Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016. zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), um technische und organisatorische Maßnahmen zum Schutz verarbeiteter personenbezogener Daten anzuwenden, die den Risiken und den geschützten Datenkategorien angemessen sind, insbesondere zum Schutz der Daten gegen ihre Weitergabe an Unbefugte, ihre Kenntnisnahme durch Unbefugte, ihre Verarbeitung unter Verstoß gegen die vorgenannte Verordnung sowie gegen ihre Veränderung, ihren Verlust, ihre Beschädigung oder ihre Vernichtung, wird die folgende Verfahrensordnung eingeführt.

Kapitel 1

Allgemeine Bestimmungen

§ 1. Für die Zwecke dieses Dokuments gelten folgende Begriffsbestimmungen

1) Verordnung - bedeutet das die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung);Datenschutzverordnung);

2) personenbezogene Daten - sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;

3) Datensatz - ein strukturierter Satz personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob der Satz zentralisiert, dezentralisiert oder funktional bzw. geografisch verteilt ist;

4) Datenverarbeitung - ist ein Vorgang oder eine Reihe von Vorgängen, die mit oder ohne Hilfe automatisierter Verfahren an personenbezogenen Daten oder einer Reihe personenbezogener Daten vorgenommen werden, wie das Erheben, das Speichern, die Organisation, die Aufbewahrung, die Anpassung oder Veränderung, das Erfassen, das Abfragen, die Benutzung, die Weitergabe durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung, die Kombination oder die Verknüpfung sowie das Einschränken, Löschen oder Vernichten

5) Computersystem - bezeichnet eine Gesamtheit von zusammenwirkenden Geräten, Programmen, Informationsverarbeitungsverfahren und Softwarewerkzeugen, die zum Zweck der Datenverarbeitung eingesetzt werden;

6) Datensicherheit im EDV-System - bedeutet die Implementierung und den Betrieb geeigneter technischer und organisatorischer Maßnahmen zum Schutz der Daten vor unberechtigter Verarbeitung

7) Löschung der Daten - bedeutet die Vernichtung der personenbezogenen Daten oder ihre Änderung, die keine Identifizierung des Datensubjekts ermöglicht;

8) Verantwortlicher - die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet; werden die Zwecke und Mittel der Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten bestimmt, so kann der Verantwortliche auch durch das Unionsrecht oder das Recht der Mitgliedstaaten benannt werden, oder es können die spezifischen Kriterien für seine Benennung festgelegt werden;

9) Einwilligung der betroffenen Person - jede Willensbekundung, die ohne Zwang, für den konkreten Fall, in Kenntnis der Sachlage und unmissverständlich erfolgt und mit der die betroffene Person entweder durch eine Erklärung oder eine eindeutige bestätigende Handlung ihr Einverständnis mit der Verarbeitung sie betreffender personenbezogener Daten zum Ausdruck bringt;

10) Datenempfänger - ist jede natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, an die personenbezogene Daten weitergegeben werden, unabhängig davon, ob es sich um einen Dritten handelt oder nicht. Öffentliche Stellen, die im Rahmen eines bestimmten Verfahrens im Einklang mit dem Unionsrecht oder dem Recht der Mitgliedstaaten personenbezogene Daten erhalten können, gelten jedoch nicht als Empfänger; die Verarbeitung dieser Daten durch diese öffentlichen Stellen muss den für die Zwecke der Verarbeitung geltenden Datenschutzvorschriften entsprechen;

11) Drittland - bezeichnet ein Land, das nicht zum Europäischen Wirtschaftsraum gehört;

12) technische und organisatorische Maßnahmen - bezeichnet die technischen und organisatorischen Maßnahmen, die erforderlich sind, um die Vertraulichkeit, Integrität und Verantwortlichkeit der verarbeiteten personenbezogenen Daten zu gewährleisten;

13) Einschränkung der Verarbeitung - bedeutet die Kennzeichnung gespeicherter personenbezogener Daten, um deren zukünftige Verarbeitung einzuschränken;

14) Profiling - ist jede Form der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Faktoren einer Person zu bewerten, insbesondere um Aspekte bezüglich ihrer Leistung, wirtschaftlichen Lage, Gesundheit, persönlichen Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Standort oder Ortswechsel zu analysieren oder vorherzusagen;

15) Pseudonymisierung - ist die Verarbeitung personenbezogener Daten in einer Weise, dass sie ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer bestimmten betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und durch technische und organisatorische Maßnahmen sichergestellt ist, die eine Zuordnung zu einer identifizierten oder identifizierbaren natürlichen Person unmöglich machen;

16) Auftragsverarbeiter - ist eine natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die personenbezogene Daten im Auftrag des für die Verarbeitung Verantwortlichen verarbeitet;

17) Verletzung des Schutzes personenbezogener Daten - bezeichnet eine Verletzung der Sicherheit, die zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Änderung, zur unbefugten Weitergabe oder zum unbefugten Zugriff auf übermittelte, gespeicherte oder anderweitig verarbeitete personenbezogene Daten führt.

 

Kapitel 2

Der für die Verarbeitung personenbezogener Daten Verantwortliche

§ 2. Der für die Verarbeitung Verantwortliche ist insbesondere verpflichtet:

1. Unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie des Risikos einer Verletzung von Rechten oder Freiheiten natürlicher Personen mit unterschiedlicher Eintrittswahrscheinlichkeit und Schwere der Bedrohung geeignete technische und organisatorische Maßnahmen zu treffen, um sicherzustellen, dass die Verarbeitung im Einklang mit der Verordnung erfolgt, und um dies nachweisen zu können. Diese Maßnahmen sind bei Bedarf zu überprüfen und zu aktualisieren.

2. Der Verantwortliche führt ein Verzeichnis der Verarbeitungen. Das Register muss die folgenden Informationen enthalten:

Kapitel 3

Technische und organisatorische Maßnahmen

§ 3. Der für die Verarbeitung Verantwortliche hat für die Zwecke des Datenschutzes die in der Verordnung genannten Anforderungen zu erfüllen:

a) eine Datenschutz-Folgenabschätzung durchzuführen,

b) eine Risikoanalyse im Hinblick auf die an den jeweiligen Prozessen beteiligten Ressourcen durchzuführen,

c) nur Personen, die von dem für die Verarbeitung Verantwortlichen ermächtigt wurden, dürfen die Daten verarbeiten (Anlage Nr. 1),

d) Betrauungsverträge zur Datenverarbeitung sind gemäß Anlage Nr. 2 abgeschlossen,

e) diese Datenschutzrichtlinie wurde erstellt und umgesetzt.

§ 4. Zum Schutz personenbezogener Daten werden die folgenden Maßnahmen zum physischen Schutz personenbezogener Daten angewendet:

§ 5. Zum Schutz personenbezogener Daten werden die folgenden Hardware-Maßnahmen der IT- und Telekommunikationsinfrastruktur eingesetzt:

§ 6. Zum Schutz personenbezogener Daten werden im Rahmen von Softwaretools und Datenbanken folgende Schutzmaßnahmen angewendet:

§ 7 Zum Schutz personenbezogener Daten werden die folgenden organisatorischen Maßnahmen getroffen:

Kapitel 4 

DPIA-Verfahren

(Data Protection Impact Assessment)

§ 8. Die Datenschutz-Folgenabschätzung (DPIA) muss für jeden Prozess durchgeführt werden.

§ 9. DPIA ist jedes Mal durchzuführen, wenn eine wesentliche Änderung des Prozesses der Verarbeitung personenbezogener Daten eintritt, z. B. Wechsel des Dienstleisters, Änderung der Datenverarbeitungsmethode, Austausch der am Prozess beteiligten Ressourcen.

§ 10. Die Datenschutzfolgenabschätzung wird zusammen mit der Risikoanalyse mindestens einmal jährlich in Bezug auf die Prozesse durchgeführt, die als Ergebnis der zuvor durchgeführten Datenschutzfolgenabschätzung ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen angezeigt haben.

 

Kapitel 5

Verfahren zur Risikoanalyse und Plan zum Umgang mit dem Risiko 

§ 11. Der Verantwortliche hat die Risikoanalyse für die an den Prozessen beteiligten Ressourcen durchzuführen.

§ 12. Die Risikoanalyse ist mindestens einmal jährlich durchzuführen und bildet die Grundlage für die Aktualisierung des Verfahrens zum Umgang mit Risiken.

§ 13. Auf der Grundlage der Ergebnisse der durchgeführten Risikoanalyse setzt der Datenverwalter selbstständig die Methoden des Risikomanagements um.

§ 14. Der für die Verarbeitung Verantwortliche wählt jedes Mal die Art und Weise des Umgangs mit dem Risiko und bestimmt, welche Risiken und in welcher Reihenfolge zuerst berücksichtigt werden sollen.

 

Kapitel 6

Verfahren der Zusammenarbeit mit externen Unternehmen 

§ 15. 1. Jeder Inanspruchnahme von Dienstleistungen durch einen Auftragsverarbeiter muss der Abschluss einer Vereinbarung über die Betrauung mit der Verarbeitung personenbezogener Daten vorausgehen.

2. Der für die Verarbeitung Verantwortliche führt das Register der externen Subjekte, denen die personenbezogenen Daten zur Verarbeitung anvertraut wurden.

§ 16. Der für die Verarbeitung Verantwortliche muss jedes Mal, bevor er eine Vereinbarung über die Beauftragung der Verarbeitung personenbezogener Daten abschließt, die Einhaltung der Verordnung bei allen Auftragsverarbeitern überprüfen, deren Dienste er in Anspruch nehmen will, indem er das Verfahren der Zusammenarbeit mit externen Stellen nutzt.

 

Kapitel 7

Verfahren zum Schutz der Daten durch Voreinstellung

(Berücksichtigung des Datenschutzes in der Entwurfsphase) 

§ 17. Bei der Entwicklung eines neuen Produkts oder einer neuen Dienstleistung hat der für die Verarbeitung Verantwortliche die Rechte der betroffenen Personen in jeder wichtigen Phase des Entwurfs und Umsetzung zu berücksichtigen. Er hat durch geeignete technische und organisatorische Maßnahmen sicherzustellen, dass grundsätzlich nur solche personenbezogenen Daten verarbeitet werden, die für den jeweiligen Verarbeitungszweck (Menge der zu erhebenden Daten, Umfang und Dauer der Verarbeitung sowie deren Verfügbarkeit) erforderlich sind.

§ 18. Im Falle der Absicht, die Verarbeitung personenbezogener Daten in einem neuen Prozess zu beginnen, muss der Verantwortliche die Datenschutzfolgenabschätzung für diesen Prozess durchführen.

 

Kapitel 8

Verfahren zum Management von Vorfällen 

§ 20. Im Falle einer Verletzung des Schutzes personenbezogener Daten hat der Verantwortliche zu prüfen, ob die Verletzung das Risiko einer Verletzung der Rechte oder Freiheiten natürlicher Personen mit sich bringt.

§ 21. Stellt der für die Verarbeitung Verantwortliche fest, dass die Verletzung zu einem Risiko der Verletzung von Rechten oder Freiheiten natürlicher Personen geführt hat, benachrichtigt er die Aufsichtsbehörde unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach der Feststellung der Verletzung unter Verwendung des Verfahrens zum Management von Sicherheitsvorfällen. 72 h von der Identifizierung eines Verstoßes mithilfe des Verfahrens zur Verwaltung von Sicherheitsvorfällen.

§ 22. Der für die Verarbeitung Verantwortliche benachrichtigt die betroffenen Personen im Falle einer Verletzung, die das Risiko einer Verletzung ihrer Rechte oder Freiheiten zur Folge hat, auf der Grundlage eines Musters für die Benachrichtigung der betroffenen Person über die Verletzung, es sei denn, der für die Verarbeitung Verantwortliche hat Maßnahmen ergriffen, die die Wahrscheinlichkeit eines hohen Risikos einer solchen Verletzung ausschließen.

§ 23. Der Verantwortliche ist verpflichtet, die Verstöße zu dokumentieren und ein Register der Verstöße zu führen, die eine Verletzung der Rechte und Freiheiten der natürlichen Personen zur Folge haben.

Kapitel 9

Verfahren zur Verwirklichung der individuellen Rechte 

§ 24. Der für die Verarbeitung Verantwortliche hat jeden Einzelfall zu prüfen, wenn eine betroffene Person den Willen zur Ausübung ihrer Rechte gemäß der Verordnung mitteilt.

§ 25. Der für die Verarbeitung Verantwortliche hat die folgenden Rechte der betroffenen Personen unverzüglich auszuüben:

§ 26. Bei Ausübung des Rechts auf Berichtigung, Löschung und Einschränkung der Verarbeitung unterrichtet der für die Verarbeitung Verantwortliche unverzüglich die Empfänger der Daten, denen er die Daten übermittelt hat, es sei denn, dies ist unmöglich oder erfordert einen unverhältnismäßigen Aufwand.

§ 27. Der für die Verarbeitung Verantwortliche darf die Ausübung der Rechte der betroffenen Personen verweigern, wenn sich eine solche Möglichkeit aus den Bestimmungen der Verordnung ergibt; die Verweigerung der Ausübung der Rechte der betroffenen Personen bedarf jedoch einer Begründung unter Angabe der sich aus der Verordnung ergebenden Rechtsgründe.

Kapitel 10

Verfahren zur Einholung der Einwilligung und zur Unterrichtung der betroffenen Person

§ 28. 1. In jedem Fall, in dem Daten direkt bei der betroffenen Person erhoben werden, erfüllt der für die Verarbeitung Verantwortliche die Informationspflicht gegenüber der betroffenen Person.

2. Im Falle der Erhebung von Daten eines Mitarbeiters ist die Muster-Informationspflicht anzuwenden.

§ 29. In jedem Fall der Erhebung von Daten aus anderen Quellen als der betroffenen Person hat der für die Verarbeitung Verantwortliche die Informationspflicht gegenüber der betroffenen Person unverzüglich, spätestens jedoch beim ersten Kontakt mit der betroffenen Person zu erfüllen,

§ 30. Klauseln sind immer dann zu verwenden, sofern eine Einwilligung der betroffenen Person vorliegt.

 

Kapitel 11

Schlussbestimmungen

§ 31. Alle in diesem Dokument beschriebenen Grundsätze sind von den zur Verarbeitung personenbezogener Daten berechtigten Personen unter besonderer Berücksichtigung der Interessen der Betroffenen zu beachten.

§ 32. Dieses Dokument ist ab dem Datum seiner Genehmigung durch den Verantwortlichen verbindlich