GDPR-Richtlinie

Diese GDPR-Richtlinie beschreibt den organisatorischen Rahmen, den ELMOXEN für den Schutz personenbezogener Daten und die Einhaltung der Datenschutz-Grundverordnung (EU) 2016/679 (DSGVO) berücksichtigt.

Im Unterschied zu Informationen über die konkrete Verarbeitung personenbezogener Daten oder den Einsatz von Cookies liegt der Schwerpunkt dieser Richtlinie auf internen Verantwortlichkeiten, organisatorischen Abläufen, Risikoprävention und Maßnahmen zur datenschutzkonformen Verwaltung von Verarbeitungstätigkeiten.

1. Verantwortung für den Datenschutz

Der Schutz personenbezogener Daten ist ein Bestandteil der über die Website durchgeführten Tätigkeiten.

Bei der Beurteilung einer Verarbeitung personenbezogener Daten werden insbesondere folgende Faktoren berücksichtigt:

  • Art der jeweiligen Tätigkeit;

  • eingesetzte Technologien;

  • mögliche Risiken für die Rechte und Freiheiten betroffener Personen.

Ändern sich die betrieblichen Abläufe, die verwendeten technischen Systeme oder andere Umstände, die Auswirkungen auf Datenschutz, Sicherheit oder Compliance haben können, können die bestehenden Datenschutzverfahren erneut überprüft und entsprechend bewertet werden.

2. Datenschutz bei der Gestaltung von Funktionen und Prozessen

Werden neue Funktionen, technische Werkzeuge oder Abläufe eingeführt, bei denen personenbezogene Daten verarbeitet werden können, sollen die einschlägigen Datenschutzanforderungen bereits während der Planung und Ausgestaltung berücksichtigt werden.

Soweit dies für die jeweilige Verarbeitung angemessen ist, orientiert sich die Konfiguration insbesondere an folgenden Grundsätzen:

  • Zugriff auf personenbezogene Daten nur im tatsächlich erforderlichen Umfang;

  • Nutzung personenbezogener Daten nur soweit, wie dies für die jeweilige Tätigkeit notwendig ist.

Auch Standardeinstellungen können daraufhin überprüft werden, ob sich eine Verarbeitung personenbezogener Daten vermeiden oder auf das erforderliche Maß beschränken lässt.

Damit werden insbesondere die Grundsätze des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen berücksichtigt.

3. Bewertung und Steuerung von Datenschutzrisiken

Verarbeitungstätigkeiten werden entsprechend dem möglichen Risiko für die Rechte und Freiheiten betroffener Personen beurteilt.

Bei einer solchen Risikobewertung können unter anderem folgende Aspekte berücksichtigt werden:

  • Art und Zweck der Verarbeitung;

  • Umfang der verarbeiteten Daten;

  • Kategorien der betroffenen personenbezogenen Daten;

  • eingesetzte Technologien;

  • Art und Umfang der Zugriffsberechtigungen;

  • mögliche Folgen einer unbefugten Nutzung, Offenlegung, Veränderung oder eines Verlusts personenbezogener Daten.

Ergibt die Bewertung, dass eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben kann, wird geprüft, ob nach den Anforderungen der DSGVO eine Datenschutz-Folgenabschätzung erforderlich ist.

4. Datenschutz-Folgenabschätzung

Soweit die gesetzlichen Voraussetzungen der DSGVO erfüllt sind, kann vor Beginn einer betreffenden Verarbeitung eine Datenschutz-Folgenabschätzung, auch Data Protection Impact Assessment (DPIA), durchgeführt werden.

Eine solche Bewertung dient insbesondere dazu:

  • datenschutzbezogene Risiken zu identifizieren;

  • Wahrscheinlichkeit und mögliche Schwere der Auswirkungen zu bewerten;

  • geeignete Maßnahmen zur Verringerung der festgestellten Risiken zu bestimmen;

  • zu beurteilen, ob die geplante Verarbeitung unter angemessenen Datenschutzbedingungen durchgeführt werden kann.

Ergibt die Bewertung, dass trotz vorgesehener Schutzmaßnahmen weiterhin ein Risiko besteht, das nicht angemessen reduziert werden kann, werden die nach der DSGVO und den sonstigen anwendbaren Datenschutzvorschriften erforderlichen weiteren Maßnahmen geprüft.

5. Umgang mit externen Auftragsverarbeitern

Werden externe Dienstleister eingesetzt, die personenbezogene Daten im Auftrag von ELMOXEN verarbeiten, werden bei deren Auswahl die nach den anwendbaren Datenschutzvorschriften erforderlichen Schutzanforderungen berücksichtigt.

Art und Umfang der übertragenen Verarbeitung richten sich nach dem tatsächlichen betrieblichen Bedarf und den jeweils zugewiesenen Aufgaben.

Soweit die DSGVO dies verlangt, wird das Verhältnis zu einem Auftragsverarbeiter durch einen Vertrag oder ein anderes rechtlich bindendes Instrument geregelt, das die einschlägigen Datenschutzanforderungen erfüllt.

Ein entsprechend beauftragter und autorisierter Dienstleister soll personenbezogene Daten:

  • nur innerhalb des ihm übertragenen Aufgabenbereichs verarbeiten;

  • entsprechend den anwendbaren Weisungen und rechtlichen Anforderungen behandeln.

6. Zugriffs- und Berechtigungsmanagement

Der Zugriff auf personenbezogene Daten wird nach dem tatsächlichen betrieblichen Bedarf beschränkt.

Berechtigungen können entsprechend den jeweiligen Aufgaben und Zuständigkeiten vergeben werden. Sobald eine Zugriffsberechtigung für die Erfüllung der betreffenden Aufgabe nicht mehr erforderlich ist, kann sie geändert oder entzogen werden.

Ziel dieser Maßnahmen ist insbesondere, das Risiko zu verringern, dass personenbezogene Daten durch nicht autorisierte Personen eingesehen, verwendet oder verändert werden.

7. Umgang mit Verletzungen des Schutzes personenbezogener Daten

Bei Ereignissen, die die Sicherheit personenbezogener Daten beeinträchtigen können, werden die konkreten Umstände des Vorfalls bewertet.

Dabei können insbesondere berücksichtigt werden:

  • Art des Vorfalls;

  • Umfang der betroffenen Daten und Personen;

  • mögliche Folgen für die betroffenen Personen.

Wird eine Verletzung des Schutzes personenbezogener Daten festgestellt, werden angemessene Maßnahmen ergriffen, um den Vorfall einzudämmen und mögliche Auswirkungen soweit wie möglich zu begrenzen.

Soweit nach der DSGVO eine Meldung an die zuständige Datenschutzaufsichtsbehörde erforderlich ist, erfolgt diese grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Verletzung, sofern die gesetzlichen Voraussetzungen hierfür erfüllt sind.

Ist die Verletzung voraussichtlich mit einem hohen Risiko für die persönlichen Rechte und Freiheiten der betroffenen Personen verbunden, werden diese nach Maßgabe der DSGVO ebenfalls informiert, sofern keine gesetzliche Ausnahme eingreift.

8. Verzeichnisse und Dokumentation

Abhängig von Art und Umfang der Verarbeitung sowie den jeweils geltenden gesetzlichen Anforderungen können Dokumentationen und Aufzeichnungen geführt werden, um die Einhaltung der datenschutzrechtlichen Pflichten nachvollziehbar zu machen.

Diese Unterlagen können sich insbesondere beziehen auf:

  • Verarbeitungstätigkeiten mit personenbezogenen Daten;

  • technische und organisatorische Schutzmaßnahmen;

  • durchgeführte Risikobewertungen;

  • erteilte Zugriffsberechtigungen;

  • Maßnahmen im Zusammenhang mit Datenschutz- oder Sicherheitsereignissen.

Soweit gesetzlich erforderlich, werden entsprechende Aufzeichnungen in einer Weise geführt, die eine Überprüfung der getroffenen Datenschutzmaßnahmen ermöglicht.

9. Datenschutzbewusstsein und Schulung

Personen, die zur Verarbeitung oder zum Zugriff auf personenbezogene Daten berechtigt sind, sollen ihre jeweiligen datenschutzbezogenen Pflichten kennen.

Abhängig von der konkreten Aufgabe können entsprechende Hinweise oder Schulungsmaßnahmen insbesondere folgende Themen betreffen:

  • Vertraulichkeit personenbezogener Informationen;

  • ordnungsgemäßer Zugriff auf personenbezogene Daten;

  • Bearbeitung von Anfragen betroffener Personen;

  • Vorgehensweise bei tatsächlichen oder vermuteten Sicherheitsvorfällen.

Eine Zugriffsberechtigung auf personenbezogene Daten berechtigt nicht dazu, diese Informationen für andere als die jeweils vorgesehenen und autorisierten Zwecke zu verwenden.

10. Datenschutzbeauftragter

Soweit die gesetzlichen Voraussetzungen der DSGVO oder anderer anwendbarer Datenschutzvorschriften erfüllt sind, wird geprüft, ob ein Datenschutzbeauftragter beziehungsweise Data Protection Officer (DPO) zu benennen ist.

Bei dieser Beurteilung werden insbesondere Art, Umfang, Zweck und Größenordnung der tatsächlich durchgeführten Verarbeitungstätigkeiten berücksichtigt.

Diese Richtlinie stellt für sich genommen keine Erklärung darüber dar, dass bereits ein Datenschutzbeauftragter benannt wurde.

11. Zusammenarbeit mit Datenschutzaufsichtsbehörden

Soweit dies nach den anwendbaren Datenschutzvorschriften erforderlich ist, erfolgt eine Zusammenarbeit mit der zuständigen Datenschutzaufsichtsbehörde.

Für datenschutzrechtliche Verarbeitungstätigkeiten mit Bezug zu Deutschland können je nach Zuständigkeit insbesondere die deutschen Datenschutzaufsichtsbehörden des Bundes oder der Länder zuständig sein.

Eine solche Zusammenarbeit kann insbesondere umfassen:

  • Bearbeitung von Anfragen einer zuständigen Aufsichtsbehörde;

  • Mitwirkung bei datenschutzrechtlichen Prüfungen oder Kontrollen;

  • Bearbeitung gesetzlich vorgeschriebener Mitteilungen oder sonstiger Kommunikation.

Welche Aufsichtsbehörde im konkreten Fall zuständig ist, richtet sich nach den gesetzlichen Zuständigkeitsregelungen und den Umständen der jeweiligen Verarbeitung.

12. Regelmäßige Überprüfung der Datenschutzmaßnahmen

Datenschutzbezogene Prozesse können erneut überprüft werden, wenn sich wesentliche Änderungen ergeben, beispielsweise bei:

  • betrieblichen Abläufen;

  • eingesetzten Systemen oder Technologien;

  • identifizierten oder neu auftretenden Risiken;

  • anwendbaren gesetzlichen Anforderungen.

Eine solche Überprüfung kann insbesondere umfassen:

  • Wirksamkeit der bereits getroffenen Schutzmaßnahmen;

  • bestehende Zugriffsberechtigungen;

  • organisatorische Datenschutzverfahren;

  • bereits bekannte sowie neu erkannte Risiken.

Soweit erforderlich, werden die betreffenden Maßnahmen angepasst, damit das Schutzniveau weiterhin der tatsächlich durchgeführten Datenverarbeitung und den daraus entstehenden Risiken entspricht.

13. Aktualisierung dieser GDPR-Richtlinie

Diese Richtlinie kann angepasst werden, wenn sich insbesondere folgende Rahmenbedingungen ändern:

  • datenschutzrechtliche Vorschriften;

  • technische Gegebenheiten;

  • organisatorische Abläufe;

  • Art und Weise der Verwaltung personenbezogener Daten.

Änderungen werden berücksichtigt, soweit dies erforderlich ist, um den organisatorischen Datenschutzrahmen an die tatsächlichen Abläufe und die anwendbaren rechtlichen Anforderungen anzupassen.

14. Kontakt

Bei Fragen zu dieser GDPR-Richtlinie oder zu organisatorischen Maßnahmen im Zusammenhang mit dem Schutz personenbezogener Daten kann ELMOXEN über folgende Kontaktdaten erreicht werden:

Shopname: ELMOXEN
Kontaktadresse: 11892 Brookington Dr, Bridgeton, MO 63044
Telefon: +1 (314) 483-7265
E-Mail: supportteam@elmoxen.com
Servicegebiet: Deutschland