Vanderbilt Internationale Datenschutzrichtlinie ACT365

Transkript

1 Vanderbilt Internationale Datenschtzrichtlinie ACT365 Datm: Version 0.1 In dieser Datenschtzrichtlinie wird erklärt, wie die Vanderbilt International GmbH nd ihre Tochternternehmen ( Vanderbilt oder wir ) Ihre Daten erfasst, speichert, ntzt, offenlegt, teilt nd überträgt. BITTE LESEN SIE DIESE DATENSCHUTZERKLÄRUNG AUFMERKSAM DURCH, EHE SIE DIE WEBSITE, SOFTWARE UND DIENSTE VON VANDERBILT (ZUSAMMEN ALS VANDERBILT-DIENSTE BEZEICHNET) NUTZEN. INDEM SIE DIE VANDERBILT-DIENSTE NUTZEN, STIMMEN SIE DIESER DATENSCHUTZRICHTLINIE ZU UND ERKLÄREN SICH EINVERSTANDEN, DASS IHRE DATEN DIESER DATENSCHUTZRICHTLINIE ENTSPRECHEND ERFASST, GESPEICHERT, GENUTZT, WEITERGEGEBEN, GETEILT UND ÜBERTRAGEN WERDEN. WIR KÖNNEN DIESE DATENSCHUTZRICHTLINE JEDERZEIT ÄNDERN, FALLS BESTIMMUNGEN DERSELBEN UNVOLLSTÄNDIG ODER VERALTET SIND UND SOLCHE ÄNDERUNGEN SINNVOLL SIND. WENN WIR ERHEBLICHE ÄNDERUNGEN AN DIESER DATENSCHUTZRICHTLINIE VORNEHMEN, VERÖFFENTLICHEN WIE DIE AKTUELLE FASSUNG AUF DER WEBSITE. DIESE TRITT SOFORT IN KRAFT. Einführng Zweck dieses Dokments ist eine genae Beschreibng der Datenschtzaflagen von Vanderbilt International in Hinsicht af das Prodkt ACT365. Daz gehören Aflagen im Umgang mit personenbezogenen Daten, drch die sichergestellt werden soll, dass das Unternehmen die Aflagen des relevanten Gesetzes (der Datenschtz-Grndverordnng; DSGVO) erfüllt. Begründng Vanderbilt International hat sich nach den Datenschtzgrndsätzen des relevanten Gesetzes z richten. Diese Richtlinie findet af sämtliche personenbezogenen Daten, die von Vanderbilt International in Bezg af dessen Dienstanbieter nd Knden im Verlaf seiner Aktivitäten erfasst, verarbeitet nd gespeichert werden, Anwendng. Umfang Die Richtlinie bezieht sich af personenbezogene nd sensible Daten, die von Vanderbilt International z einem Datensbjekt verarbeitet werden. Die Richtlinie gilt gleichermaßen für personenbezogene Daten in maneller nd atomatisierter Form. Sämtliche personenbezogenen nd sensiblen personenbezogenen Daten werden von Vanderbilt International mit der gleichen Sorgfalt behandelt. Beide Kategorien werden, sofern nicht anders angegeben, in der vorliegenden Richtlinie gleichermaßen als personenbezogene Daten bezeichnet. Diese Richtlinie gilt zsätzlich zm zgehörigen Datensbjekt-Zgriffsanfrageverfahren, der Datenvorratsspeicherngsrichtlinie, der Datenvorratszeitramliste nd dem Datenverlst- Benachrichtigngsverfahren.

2 Vanderbilt International als Datenkontroller Im Verlaf seiner täglichen Betriebsabläfe erfasst, verarbeitet nd speichert Vanderbilt International personenbezogene Daten in Bezg af: Knden von Vanderbilt International Mit Vanderbilt International verbndene Drittanbieter Die Daten müssen der DSGVO gemäß af faire Weise erfasst nd verarbeitet werden. Es wird nicht von allen Mitgliedern des Personals erwartet, dass sie sich mit den Datenschtzgesetzen askennen. Vanderbilt International verpflichtet sich jedoch, sicherzstellen, dass seine Mitarbeiter asreichend über die Gesetze informiert sind, m ein Datenschtzproblem vorwegnehmen oder identifizieren z können, sofern eines aftreten sollte. Unter solchen Umständen haben die Mitarbeiter dafür z sorgen, dass der Datenschtzbeaftragte informiert wird nd angemessene korrigierende Maßnahmen getroffen werden. Afgrnd der Art der von Vanderbilt International erbrachten Dienstleistngen findet ein regelmäßiger nd aktiver Astasch von personenbezogenen Daten zwischen Vanderbilt International nd dessen Datensbjekten statt. Darüber hinas tascht Vanderbilt International im Aftrag des Datensbjektes personenbezogene Daten mit Datenverarbeitern as. Dies erfolgt im Einklang mit den Pflichten von Vanderbilt International gemäß den Bestimmngen des Vertrages mit seinen Datenverarbeitern. Die vorliegende Richtlinie mfasst die Leitlinien für den Astasch von Daten sowie das Verfahren, das im Falle z befolgen ist, dass sich ein Mitarbeiter von Vanderbilt International nicht sicher ist, ob solche Daten preisgegeben werden können. Im Allgemeinen hat sich der Mitarbeiter im Zweifelsfall mit dem Datenschtzbeaftragten abzsprechen. Datensbjekt-Zgriffsanfragen Jede förmliche, schriftliche Anfrage eines Datensbjekts nach einer Kopie seiner personenbezogenen Daten (Datensbjekt-Zgriffsanfrage) ist den Bestimmngen der DSGVO gemäß baldmöglichst an den Datenschtzbeaftragten weiterzleiten. Drch die Einhaltng dieser Leitlinien richtet sich Vanderbilt International nach den bewährten Verfahren gemäß geltenden Datenschtzgesetzen. Drittverarbeiter Im Verlaf seiner Rolle als Datenkontroller beaftragt Vanderbilt International eine Reihe von Datenverarbeitern, die personenbezogene Daten in seinem Aftrag verarbeiten. In jedem Fall liegt ein förmlicher, schriftlicher Vertrag mit dem Verarbeiter vor, in dem dessen Pflichten in Bezg af personenbezogene Daten, den spezifischen Zweck oder die Zwecke, z denen er beaftragt wird, nd das Übereinkommen afgeführt werden, dass er die Daten in Übereinstimmng mit der DSGVO z verarbeiten hat. Z diesen Datenverarbeitern gehören. a.: Spport-Personal von Vanderbilt Microsoft Azre [Need fll name]

3 Die Datenschtzgrndsätze Die folgenden Grndprinzipien sind in der DSGVO festgehalten nd bilden die Grndlage der Datenschtzrichtlinie von Vanderbilt International. In seiner Fnktion als Datenkontroller hat Vanderbilt International dafür z sorgen, dass die Daten: af faire nd rechtmäßige Art nd Weise erfasst nd verarbeitet werden. Damit die Daten af faire Art nd Weise erfasst werden können, ist das Datensbjekt zm Zeitpnkt der Datenerfassng af Folgendes hinzweisen: Die Identität des Datenkontrollers Vanderbilt International Der Zweck/die Zwecke, z dem/denen die Daten erfasst werden Die Mitarbeiter, an die die Daten vom Datenkontroller weitergegeben werden. Sonstige Daten, die für eine faire Verarbeitng erforderlich sind. Vanderbilt International leistet diesen Pflichten af folgende Art nd Weise Folge: Sofern möglich, wird vor der Verarbeitng der Daten die Einwilligng des Datensbjektes eingeholt. Ist das Einholen der Einwilligng nicht möglich, hat Vanderbilt International dafür z sorgen, dass die Erfassng der Daten nter einer anderen gesetzlichen Bedingng für die Verarbeitng entspricht gesetzliche Verpflichtng, vertragliche Anforderng sw. Hat Vanderbilt International vor, Aktivitäten per CCTV oder Video afzzeichnen, ist ein gt sichtbarer Hinweis zr fairen Verarbeitng z veröffentlichen. Die Verarbeitng der personenbezogenen Daten erfolgt im Rahmen der rechtmäßigen Aktivitäten von Vanderbilt International, nd Vanderbilt International hat die Rechte nd Ansprüche des Datensbjekts z wahren. Die Daten des Datensbjekts werden aßer an einen von Vanderbilt International beaftragten Dritten, der in seinem Aftrag handelt nicht an Dritte weitergegeben asschließlich für einen oder mehrere spezifizierte, rechtmäßige Zwecke erfasst werden. Vanderbilt International hat Daten z Zwecken z erfassen, die spezifisch, rechtmäßig nd klar angegeben sind. Ein Datensbjekt ist berechtigt, nach den Zwecken, z denen Vanderbilt International Daten pflegt, in Frage z stellen, nd Vanderbilt International wird den Zweck bzw. die Zwecke klar angeben können nicht weiter af eine Art nd Weise verarbeitet werden, die mit dem/den spezifizierten Zweck(en) inkompatibel ist. Jedwede Ntzng von Daten drch Vanderbilt hat mit den Zwecken kompatibel z sein, z denen die Daten erfasst worden sind sicher verwahrt werden. Vanderbilt International hat hohe Sicherheitsstandards anzwenden, m die in seiner Obht befindlichen personenbezogenen Daten z schützen. Es müssen angemessene Sicherheitsvorkehrngen getroffen werden, m die in der Obht von Vanderbilt International in dessen Fnktion als Datenkontroller befindlichen Daten vor nbefgtem Zgriff, Änderng, Vernichtng oder Weitergabe z schützen. Der Zgriff af nd die Verwaltng von Personal- nd Kndendatensätzen ist af diejenigen Mitarbeiter beschränkt, die über eine entsprechende Befgnis nd das Passwort verfügen.

4 5.... bei Bedarf korrekt, vollständig nd aktell gehalten werden. Vanderbilt International verpflichtet sich z Folgendem: Sicherzstellen, dass für regelmäßige Bewertngen der Korrektheit der Daten entsprechende Verwaltngs- nd IT-Valdierngsverfahren vorhanden sind. Regelmäßige Prüfngen nd Adits drchzführen, m sicherzgehen, dass die relevanten Daten stets korrekt nd aktell sind. Vanderbilt International führt alle sechs Monate eine stichprobenartige Prüfng von Daten drch, m die Korrektheit z gewährleisten; die Kontaktangaben von Mitarbeitern nd Details z Angehörigen werden alle zwei Jahre geprüft nd aktalisiert. Regelmäßige Prüfngen drchzführen, m den Bedarf, bestimmte personenbezogene Daten z verwahren, z evalieren angemessen, relevant nd für den Zweck bzw. die Zwecke, für den bzw. die die Daten erfasst nd verarbeitet worden sind, in nicht z hohem Maß. Vanderbilt International hat sicherzstellen, dass die von ihm in Bezg af Datensbjekte verarbeiteten Daten für den jeweiligen Zweck der Erfassng relevant sind. Für eine solche Verarbeitng relevante Daten werden nicht erfasst oder verwahrt nicht länger verwahrt werden, als dies für den/die spezifizierten Zweck(e) notwendig ist. Vanderbilt International hat eine mfassende Matrix von Datenkategorien mit Verweis af den angemessenen Datenverwahrngszeitram jeder Kategorie erstellt. Die Matrix gilt für alle Daten in manellem nd atomatisiertem Format. Nach Ablaf des jeweiligen Zeitrams der Vorratsspeicherng hat Vanderbilt International die Daten z vernichten, z löschen oder anderweitig nntzbar z machen so verwaltet nd gespeichert werden, dass die Daten problemlos abgerfen nd bereitgestellt werden können, wenn ein Datensbjekt eine gültige Datenzgriffsanfrage stellt nd eine Kopie seiner personenbezogenen Daten beantragt. Vanderbilt International hat ein Datensbjekt-Zgriffsanfrage-Verfahren für die effiziente nd mgehende Bearbeitng solcher Anfragen innerhalb der gesetzlich vorgeschriebenen Frist eingerichtet. Datensbjekt-Zgriffsanfragen Die Mitarbeiter von Vanderbilt International taschen im Rahmen der täglichen Betriebsabläfe des Unternehmens aktiv nd regelmäßig Daten mit Datensbjekten as. Stellt ein Datensbjekt eine förmliche Anfrage in Bezg af von Vanderbilt International gespeicherte Daten, entstehen dem Datensbjekt drch eine solche Anfrage Zgriffsrechte. Vanderbilt International hat dem Datensbjekt je nach Art nd Umfang der Anfrage innerhalb eines festgelegten Zeitrams z antworten. Dieser ist im beiliegenden Verfahrensdokment für Datensbjekt-Zgriffsanfragen afgeführt. Die Mitarbeiter von Vanderbilt International haben gegebenenfalls dafür z sorgen, dass solche Anfragen fristgerecht an den Datenschtzbeaftragten weitergeleitet nd so schnell nd effizient wie möglich gemäß DSGVO bearbeitet werden. Umsetzng Als Datenkontroller stellt Vanderbilt International sicher, dass jede ität, die personenbezogene Daten in seinem Aftrag verarbeitet (ein Datenverarbeiter), dabei den Datenschtzgesetzen Folge leistet.

5 Handhabt der Datenverarbeiter die Daten von Vanderbilt International nicht den Gesetzen entsprechend, wird dies als Vertragsbrch gewertet nd gerichtlich geahndet. Verarbeiten die Mitarbeiter von Vanderbilt International personenbezogene Daten nicht in Übereinstimmng mit dieser Richtlinie, kann dies Disziplinarmaßnahmen zr Folge haben. Änderngen an der Datenschtzrichtlinie Nehmen wir wesentliche Änderngen an nserer Datenschtzrichtlinie vor, die Sie betreffen könnten, veröffentlichen wir mit angemessener Frist vor dem Wirksamwerden der Änderng einen entsprechenden Hinweis af nserer Website. Wir empfehlen Ihnen, die Datenschtzrichtlinie regelmäßig häfig z überprüfen, damit Sie rechtzeitig über Änderngen informiert sind. Welche Art von Daten erfassen wir? Beim Betrieb des ACT365 werden zwingend erforderliche oder optionale Daten z Karteninhabern nd Service-Ntzern erfasst nd afgezeichnet. Folgende Daten werden erfasst: Name Zgangskontroll-Token nd/oder Zgangskontroll-PIN-Code -Adresse Telefonnmmer Foto Gültigkeitszeitram 10 bentzerdefinierte Felder Darüber hinas werden Transaktionsdaten z jedem Karteninhaber nd Adit-Daten z jedem Service-Ntzer gespeichert. Wie ntzen wir diese Daten? Wie ntzen die erfassten Daten, m eine sichere Schnittstelle mit Ihrem ACT365 bereitzstellen. Aßerdem werden sie gentzt, damit Ihr Errichter Ihnen Services nd Spport anbieten kann. Wo nd wie werden meine Daten gespeichert? Ihre Daten werden innerhalb der EU gespeichert nd nicht aßerhalb der EU weitergegeben. Sämtliche ACT365-Daten werden in einer Datenbank gehostet. Es werden regelmäßig Sicherngskopien der Datenbank erstellt. Personenbezogene Daten werden af keinem anderen System repliziert oder für einen anderen Zweck verwendet. Der Zgriff af die Datenbank ist drch ein Passwort geschützt. Nr Software-Ingenieren von Vanderbilt, die nbedingt af die Datenbank zgreifen müssen, ist der Zgriff erlabt. Der Zgriff dient allein der Verwaltng nd Kontrolle des Systems oder z Zwecken der Fehlerbehebng. Wie lange werden meine Daten gespeichert? Alle Daten werden so lange gespeichert, wie das Konto des Bentzers af ACT365 aktiv ist. Der Bentzer kann sein Konto jederzeit löschen. Sobald der Bentzer sein Konto löscht, werden alle Daten des Bentzers gelöscht.

6 Wie werden meine Daten geschützt? Der Zgriff af die Datenbank ist drch ein Passwort geschützt. Nr Software-Ingenieren von Vanderbilt, die nbedingt af die Datenbank zgreifen müssen, ist der Zgriff erlabt. Der Zgriff dient allein der Verwaltng nd Kontrolle des Systems oder z Zwecken der Fehlerbehebng. Wie werden diese Daten erfasst? Die Daten werden manell über die Web-Schnittstelle af dem ACT365 eingegeben. Af welcher Rechtsgrndlage berht die Verarbeitng personenbezogener Daten? Bentzer stimmen drch ihre Registrierng des ACT365-Kontos den Geschäftsbedingngen nd der Datenschtzrichtlinie z nd können ihre personenbezogenen Daten innerhalb der Anwendng löschen. Bei der Ntzng bestimmter Dienste innerhalb von ACT365 können Errichter -Bentzer Daten z Endbentzern ohne deren asdrückliche Einwilligng eingeben. In diesem Fall trägt der Errichter - Bentzer die Verantwortng dafür, die Einwilligng des Endbentzers einzholen nd diese Daten z verwalten. Wie kann ich Daten z meiner Person verwalten, löschen oder berichtigen? Ein Bentzer kann sein Konto jederzeit innerhalb der ACT365-Anwendng verwalten, löschen oder berichtigen. Die Daten werden wie weiter oben beschrieben gelöscht. Möchte ein Bentzer seine Daten abfragen oder löschen, mss er daz das Formlar nter asfüllen. Wie ich Zgriff af meine Daten anfordere Möchte ein Bentzer seine Daten abfragen oder löschen, mss er daz das Formlar nter asfüllen. Datenschtzrichtlinie z Kindern Vanderbilt sieht nicht vor, dass seine Vanderbilt-Services ganz oder teilweise von Kindern nter 16 Jahren oder einem entsprechenden Mindestalter in der jeweiligen Rechtsprechng gentzt werden. Diesen Personen ist die Ntzng somit ntersagt. Sollte ns bekannt werden, dass ein Konto mit einem registrierten Bentzer nter 16 Jahren oder einem entsprechenden Mindestalter in der jeweiligen Rechtsprechng verbnden ist, werden wir die mit dem Konto verbndenen Daten nverzüglich löschen. Wenn Sie ein Elternteil oder Vormnd eines Kindes nter 16 Jahren oder einem entsprechenden Mindestalter in der jeweiligen Rechtsprechng sind nd davon asgehen, dass es ns personenbezogene Daten bereitgestellt hat, wenden Sie sich bitte telefonisch oder per E- Mail über die für Ihr Land angegebenen Vanderbilt Spport-Kontaktdaten an ns. Ein Elternteil oder Vormnd eines Kindes nter 16 Jahren oder einem entsprechenden Mindestalter in jedweder Rechtsprechng kann die Löschng der personenbezogenen Daten des jeweiligen Kindes anfordern nd deren Ntzng ntersagen. Globale Aktivitäten Sie stimmen nseren Datenverfahren,. a. der Erfassng, Speicherng, Ntzng, Verarbeitng nd Weitergabe Ihrer Daten gemäß vorliegender Datenschtzrichtlinie, nd der Übertragng nd

7 Verarbeitng Ihrer Daten in Ländern weltweit z, in denen sich nsere Werke, Serviceanbieter oder Partner ngeachtet dessen, wo Sie nsere Services ntzen befinden. Sie erkennen an, dass die Gesetze, Richtlinien nd Standards des Landes, in dem Ihre Daten gespeichert oder verarbeitet werden, sich womöglich von denen Ihres Landes nterscheiden. Im Eropäischen Wirtschaftsram (EWR) speichern wir Ihre personenbezogenen Daten in verschlüsselter Form, selbst wenn wir die von Dritten gespeicherten Daten ntzen. Wir übertragen die Daten nicht aßerhalb des EWR. Kontaktdaten Wenn Sie Fragen oder Kommentare z dieser Datenschtzrichtlinie nd nseren Datenschtzverfahren haben, wenden Sie sich bitte af an ns.

8 Definitionen Um Zweifel aszrämen nd drchgängige Begriffe z verwenden, gelten in dieser Richtlinie die folgenden Begriffe. Daten Dieser Begriff bezieht sich sowohl af atomatisierte nd manelle Daten. Atomatisierte Daten beziehen sich af einem Compter gespeicherte Daten oder Daten, die mit der Absicht gespeichert werden, sie af einem Compter z ntzen. Manelle Daten beziehen sich af Daten, die innerhalb eines Ablagesystems verarbeitet oder mit der Absicht gespeichert werden, dass sie Teil eines Ablagesystems werden. Personenbezogene Daten Sensible personenbezogene Daten Datenkontroller Datensbjekt Datenverarbeiter Datenschtzbeaftragter Daten, die sich af eine lebende Person beziehen, die sich entweder direkt anhand der Daten oder indirekt zsammen mit anderen Daten identifizieren lässt, die wahrscheinlich rechtmäßig in die Obht des Datenkontrollers gelangen werden. (Im Zweifelsfall verweist Vanderbilt International af die Definition der Artikel-29- Datenschtzgrppe in der jeweils gültigen Fassng.) Eine bestimmte Kategorie personenbezogener Daten, die sich af Folgendes beziehen: Rasse oder ethnische Herknft, politische Haltng, religiöse, ideologische oder philosophische Überzegngen, Mitgliedschaft in einer Gewerkschaft, Daten zr psychischen nd körperlichen Gesndheit, Daten in Bezg af die sexelle Orientierng einer Person, Daten zm Begehen eines Verbrechens nd Daten in Bezg af die Verrteilng für eine Straftat. Eine Person oder ität, die entweder allein oder gemeinsam mit anderen den Inhalt nd die Ntzng personenbezogener Daten kontrolliert, indem sie den Zweck nd die Mittel der Verarbeitng der personenbezogenen Daten bestimmt. Eine lebende Person, die das Sbjekt der personenbezogenen Daten ist, d. h. af die sich die Daten entweder direkt oder indirekt beziehen. Eine Person oder ität, die personenbezogene Daten im Aftrag eines Datenkontrollers af der Grndlage eines förmlichen, schriftlichen Vertrages verarbeitet, jedoch kein Angestellter des Datenkontrollers ist nd solche Daten im Rahmen ihres Arbeitsverhältnisses verarbeitet. Eine von Vanderbilt International mit der Überwachng der Einhaltng der geltenden Datenschtzgesetze beaftragte Person, die Datensbjekt-Zgriffsanfragen bearbeitet nd datenschtzbezogene Fragen von Mitarbeitern nd Service-Empfängern beantwortet. Ablagesystem Jedweder Datensatz in Bezg af lebende Personen, der nicht von atomatisch betriebenen Geräten (Comptern) verarbeitet wird nd entweder nach Verweis af Personen oder nach Verweis af Kriterien

9 in Bezg af Personen so strktriert ist, dass spezifische Daten z einer Person jederzeit abrfbar sind.