Diese GDPR-Datenschutzrichtlinie beschreibt den organisatorischen Rahmen, den OLMERICO für den Schutz personenbezogener Daten gemäß den Grundsätzen der Datenschutz-Grundverordnung (DSGVO, Verordnung (EU) 2016/679) berücksichtigt.
Im Unterschied zur Datenschutzerklärung und zur Cookie-Richtlinie konzentriert sich diese Richtlinie auf die organisatorische Umsetzung des Datenschutzes, die Zuordnung von Verantwortlichkeiten, die Bewertung und Begrenzung von Risiken sowie die Verfahren zur Einhaltung datenschutzrechtlicher Anforderungen.
1. Verantwortung für den Datenschutz
Der Schutz personenbezogener Daten ist ein wichtiger Bestandteil der über unsere Website ausgeübten Geschäftstätigkeit.
Die Verarbeitung personenbezogener Daten wird unter Berücksichtigung verschiedener Faktoren bewertet. Dazu gehören insbesondere:
-
Die Art der jeweiligen Verarbeitungstätigkeit
-
Die eingesetzten Technologien und Systeme
-
Die möglichen Auswirkungen auf die Rechte und Freiheiten betroffener Personen
Wenn sich Geschäftsabläufe, eingesetzte technische Lösungen oder andere für die Datensicherheit und Datenschutzkonformität relevante Umstände ändern, werden die entsprechenden Datenschutzverfahren erneut überprüft.
2. Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen
Bei der Einführung neuer Website-Funktionen, technischer Werkzeuge oder interner Abläufe, die eine Verarbeitung personenbezogener Daten umfassen können, werden Datenschutzanforderungen bereits bei der Planung berücksichtigt.
Soweit angemessen, orientieren sich die technischen und organisatorischen Einstellungen an folgenden Grundsätzen:
-
Der Zugriff auf personenbezogene Daten wird auf den tatsächlich erforderlichen Personenkreis beschränkt.
-
Die Verwendung personenbezogener Daten wird auf den Umfang begrenzt, der für den jeweiligen Geschäftszweck notwendig ist.
-
Standardeinstellungen werden daraufhin geprüft, ob eine unnötige Verarbeitung personenbezogener Daten vermieden werden kann.
Damit sollen Datenschutzanforderungen möglichst frühzeitig in die Gestaltung und Nutzung der eingesetzten Systeme einbezogen werden.
3. Bewertung und Steuerung von Datenschutzrisiken
Verarbeitungstätigkeiten mit personenbezogenen Daten werden im Hinblick auf mögliche Risiken für die Rechte und Freiheiten betroffener Personen bewertet.
Bei einer solchen Bewertung können insbesondere folgende Aspekte berücksichtigt werden:
-
Art und Zweck der Datenverarbeitung
-
Umfang der verarbeiteten Daten
-
Kategorien der betroffenen personenbezogenen Daten
-
Eingesetzte Technologien
-
Möglichkeiten des Datenzugriffs
-
Mögliche Folgen einer unbefugten Nutzung oder Offenlegung
Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen mit sich bringt, wird geprüft, ob nach den Vorgaben der DSGVO eine Datenschutz-Folgenabschätzung (Data Protection Impact Assessment, DPIA) erforderlich ist.
4. Datenschutz-Folgenabschätzung (DPIA)
Sofern die gesetzlichen Voraussetzungen nach der DSGVO erfüllt sind, kann vor Beginn einer entsprechenden Verarbeitungstätigkeit eine Datenschutz-Folgenabschätzung durchgeführt werden.
Dabei stehen insbesondere folgende Ziele im Mittelpunkt:
-
Ermittlung möglicher Datenschutzrisiken
-
Bewertung der Eintrittswahrscheinlichkeit und der möglichen Schwere negativer Auswirkungen
-
Festlegung geeigneter Maßnahmen zur Risikominderung
-
Prüfung, ob die geplante Verarbeitung unter angemessenen Datenschutzbedingungen durchgeführt werden kann
Wenn die Bewertung ergibt, dass trotz geeigneter Schutzmaßnahmen ein hohes Restrisiko bestehen bleibt, werden die nach geltendem Datenschutzrecht erforderlichen weiteren Schritte geprüft.
5. Verwaltung externer Auftragsverarbeiter
Wenn externe Dienstleister personenbezogene Daten im Auftrag von OLMERICO verarbeiten, werden bei ihrer Auswahl die nach den geltenden Datenschutzvorschriften erforderlichen Schutzanforderungen berücksichtigt.
Die übertragenen Aufgaben und Zuständigkeiten werden entsprechend den tatsächlichen betrieblichen Anforderungen festgelegt.
Soweit Artikel 28 DSGVO dies verlangt, wird die Zusammenarbeit mit Auftragsverarbeitern durch einen entsprechenden Auftragsverarbeitungsvertrag oder ein anderes rechtlich zulässiges Dokument geregelt.
Beauftragte Stellen dürfen personenbezogene Daten ausschließlich:
-
Im Rahmen der ihnen übertragenen Aufgaben verarbeiten
-
Gemäß den für sie geltenden und erteilten Weisungen verwenden
Eine Nutzung außerhalb des festgelegten Auftragsumfangs ist nicht vorgesehen.
6. Verwaltung von Zugriffsrechten
Der Zugriff auf personenbezogene Daten wird entsprechend den tatsächlichen Aufgaben und betrieblichen Erfordernissen beschränkt.
Zugriffsberechtigungen werden auf Grundlage der jeweiligen Zuständigkeiten vergeben. Wenn ein Zugriff nicht mehr erforderlich ist, können die entsprechenden Berechtigungen angepasst oder entzogen werden.
Diese Maßnahmen dienen dazu, das Risiko zu verringern, dass personenbezogene Daten von unbefugten Personen eingesehen, verwendet oder verändert werden.
7. Umgang mit Datenschutzverletzungen
Ereignisse, die die Sicherheit personenbezogener Daten beeinträchtigen könnten, werden hinsichtlich ihrer möglichen Auswirkungen bewertet.
Dabei werden insbesondere folgende Faktoren berücksichtigt:
-
Art des Sicherheitsvorfalls
-
Umfang der betroffenen Daten
-
Mögliche Folgen für die betroffenen Personen
Wird eine Verletzung des Schutzes personenbezogener Daten festgestellt, werden geeignete Maßnahmen ergriffen, um den Vorfall einzudämmen und mögliche Auswirkungen so weit wie möglich zu begrenzen.
Sofern eine Meldepflicht gegenüber der zuständigen Aufsichtsbehörde oder eine Benachrichtigung betroffener Personen nach der DSGVO besteht, werden die entsprechenden gesetzlichen Anforderungen und Fristen eingehalten.
8. Dokumentation und Aufzeichnungen
Abhängig von Art und Umfang der Geschäftstätigkeit werden die nach geltendem Datenschutzrecht erforderlichen Unterlagen und Aufzeichnungen geführt, um die Umsetzung geeigneter Datenschutzmaßnahmen nachvollziehbar zu dokumentieren.
Diese Dokumentation kann insbesondere folgende Bereiche umfassen:
-
Verarbeitungstätigkeiten mit personenbezogenen Daten
-
Umgesetzte technische und organisatorische Schutzmaßnahmen
-
Durchgeführte Risikobewertungen
-
Erteilte Zugriffsberechtigungen
-
Weitere datenschutzbezogene Maßnahmen und Entscheidungen
Die Dokumentation erfolgt im Rahmen der jeweils geltenden gesetzlichen Anforderungen.
9. Datenschutzbewusstsein und Schulung
Personen, die zum Zugriff auf personenbezogene Daten berechtigt sind, müssen sich ihrer datenschutzbezogenen Verantwortung bewusst sein.
Abhängig von den jeweiligen Aufgaben können entsprechende Informationen und Schulungsinhalte insbesondere folgende Themen umfassen:
-
Vertraulichkeit und Schutz personenbezogener Informationen
-
Ordnungsgemäßer Umgang mit Zugriffsrechten
-
Bearbeitung von Anfragen betroffener Personen
-
Vorgehensweise bei tatsächlichen oder vermuteten Sicherheitsvorfällen
Eine bestehende Zugriffsberechtigung berechtigt nicht dazu, personenbezogene Daten außerhalb des vorgesehenen Aufgaben- und Verarbeitungszwecks zu verwenden.
10. Datenschutzbeauftragter (DPO)
Sofern die gesetzlichen Voraussetzungen der DSGVO erfüllt sind, wird ein Datenschutzbeauftragter (Data Protection Officer, DPO) benannt.
Ob eine solche Benennung erforderlich ist, wird anhand der tatsächlich durchgeführten Datenverarbeitung und insbesondere unter Berücksichtigung folgender Faktoren beurteilt:
-
Art der Verarbeitung
-
Umfang der Verarbeitung
-
Zwecke der Verarbeitung
-
Umfang und Struktur der Verarbeitungstätigkeiten
Diese Richtlinie stellt keine Erklärung dar, dass bereits ein Datenschutzbeauftragter bestellt wurde.
11. Zusammenarbeit mit Datenschutzaufsichtsbehörden
Soweit dies nach den geltenden gesetzlichen Vorschriften erforderlich ist, erfolgt eine Zusammenarbeit mit den für den Datenschutz zuständigen Aufsichtsbehörden.
Für Verarbeitungstätigkeiten, die der deutschen Datenschutzaufsicht unterliegen, sind die jeweils zuständigen Datenschutzaufsichtsbehörden auf Bundes- oder Landesebene maßgeblich.
Die Zusammenarbeit kann insbesondere folgende Vorgänge umfassen:
-
Bearbeitung behördlicher Anfragen
-
Unterstützung bei Prüfungen und Kontrollen
-
Bearbeitung sonstiger gesetzlich vorgesehener Mitteilungen
Die Zuständigkeit richtet sich nach den jeweils geltenden gesetzlichen Bestimmungen.
12. Überprüfung der Datenschutzmaßnahmen
Datenschutzbezogene Verfahren werden erneut überprüft, wenn wesentliche Änderungen bei den Geschäftsabläufen, den eingesetzten Systemen, den erkannten Risiken oder den geltenden gesetzlichen Anforderungen eintreten.
Eine solche Überprüfung kann insbesondere folgende Bereiche betreffen:
-
Wirksamkeit der bestehenden Schutzmaßnahmen
-
Verwaltung und Kontrolle von Zugriffsrechten
-
Organisatorische Datenschutzverfahren
-
Bereits erkannte oder neu entstandene Risiken
Wenn sich Anpassungsbedarf ergibt, werden die entsprechenden Maßnahmen überprüft und angepasst, damit das Datenschutzniveau mit den tatsächlichen Verarbeitungstätigkeiten in Einklang bleibt.
13. Änderungen dieser GDPR-Datenschutzrichtlinie
Diese Richtlinie kann angepasst werden, wenn sich die gesetzlichen Anforderungen, die eingesetzten Technologien, die organisatorischen Abläufe oder die Verwaltung personenbezogener Daten ändern.
Änderungen werden geprüft und bei Bedarf aufgenommen, um sicherzustellen, dass der organisatorische Datenschutzrahmen weiterhin angemessen und mit den geltenden Datenschutzanforderungen vereinbar ist.
14. Kontakt zum Datenschutz
Wenn Sie Fragen zu dieser GDPR-Datenschutzrichtlinie oder zum organisatorischen Umgang mit dem Schutz personenbezogener Daten haben, können Sie OLMERICO über die folgenden Kontaktmöglichkeiten erreichen.
Shopname: OLMERICO
Anschrift:
1029 Cedar Place Ct #254
Winston Salem, NC 27107
USA
Telefon: +1 (336) 729-4816
E-Mail: info@olmerico.com
Servicegebiet: Deutschland