GDPR-Compliance-Richtlinie

Diese Richtlinie beschreibt den organisatorischen Rahmen, den KELMAVO für den Schutz personenbezogener Daten im Einklang mit den Grundsätzen der Datenschutz-Grundverordnung (EU) 2016/679 (DSGVO) zugrunde legt.

Im Mittelpunkt stehen die interne Organisation des Datenschutzes, die Zuordnung von Verantwortlichkeiten, die Bewertung und Begrenzung von Risiken sowie die Verfahren, die bei der Verarbeitung personenbezogener Daten berücksichtigt werden.

1. Verantwortung für den Datenschutz

Der Schutz personenbezogener Daten ist ein wesentlicher Bestandteil der über die Website durchgeführten Tätigkeiten.

Bei der Beurteilung von Datenverarbeitungen werden insbesondere folgende Faktoren berücksichtigt:

  • Art der jeweiligen Tätigkeit;

  • eingesetzte Technologien;

  • mögliche Risiken für die Rechte und Freiheiten betroffener Personen.

Ändern sich Geschäftsabläufe, eingesetzte Systeme oder andere Umstände, die Auswirkungen auf Sicherheit oder Datenschutz-Compliance haben können, werden die einschlägigen Verfahren erneut bewertet.

2. Datenschutz bei der Gestaltung neuer Funktionen und Prozesse

Werden neue Funktionen, technische Werkzeuge oder Abläufe eingeführt, die eine Verarbeitung personenbezogener Daten beinhalten können, werden Datenschutzanforderungen bereits in der Gestaltungsphase berücksichtigt.

Soweit angemessen, orientiert sich die technische und organisatorische Ausgestaltung insbesondere an folgenden Grundsätzen:

  • Zugriff auf personenbezogene Daten nur im tatsächlich erforderlichen Umfang;

  • Nutzung personenbezogener Daten nur soweit dies für die jeweilige Tätigkeit notwendig ist.

Auch Standardeinstellungen werden daraufhin geprüft, unnötige Verarbeitungen personenbezogener Daten möglichst zu vermeiden.

3. Bewertung und Steuerung von Datenschutzrisiken

Verarbeitungstätigkeiten werden danach beurteilt, welche Risiken sie für die Rechte und Freiheiten betroffener Personen mit sich bringen können.

Bei einer solchen Risikobewertung können insbesondere folgende Aspekte berücksichtigt werden:

  • Art der Verarbeitung;

  • Umfang der verarbeiteten Daten;

  • Kategorien der betroffenen Daten;

  • eingesetzte Technologien;

  • Art und Umfang der Zugriffsmöglichkeiten;

  • mögliche Folgen einer unbefugten Nutzung oder Offenlegung.

Kann eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen zur Folge haben, wird nach Maßgabe der DSGVO geprüft, ob eine Datenschutz-Folgenabschätzung erforderlich ist.

4. Datenschutz-Folgenabschätzung

Soweit die gesetzlichen Voraussetzungen der DSGVO erfüllt sind, kann vor Beginn der betreffenden Verarbeitung eine Datenschutz-Folgenabschätzung durchgeführt werden.

Ziel einer solchen Bewertung ist insbesondere:

  • relevante Datenschutzrisiken zu identifizieren;

  • Eintrittswahrscheinlichkeit und mögliche Schwere der Auswirkungen zu bewerten;

  • geeignete Maßnahmen zur Risikominderung festzulegen;

  • zu prüfen, ob die Verarbeitung unter angemessenen Datenschutzbedingungen durchgeführt werden kann.

Ergibt die Bewertung, dass ein verbleibendes Risiko nicht durch geeignete Maßnahmen ausreichend reduziert werden kann, werden nach Maßgabe des anwendbaren Rechts weitere erforderliche Schritte geprüft.

5. Umgang mit externen Auftragsverarbeitern

Werden externe Dienstleister eingesetzt, die personenbezogene Daten im Auftrag verarbeiten, werden bei deren Auswahl die nach anwendbarem Datenschutzrecht erforderlichen Schutzanforderungen berücksichtigt.

Die übertragenen Aufgaben werden entsprechend dem tatsächlichen betrieblichen Bedarf und der jeweiligen Verantwortungsverteilung festgelegt.

Soweit die DSGVO dies verlangt, wird die Zusammenarbeit mit Auftragsverarbeitern durch eine den gesetzlichen Anforderungen entsprechende Vereinbarung oder ein anderes rechtlich wirksames Dokument geregelt.

Beauftragte und autorisierte Stellen sollen personenbezogene Daten:

  • nur innerhalb des ihnen zugewiesenen Aufgabenbereichs verarbeiten;

  • nur entsprechend den jeweils anwendbaren Weisungen verwenden.

6. Berechtigungs- und Zugriffsmanagement

Der Zugriff auf personenbezogene Daten wird auf den Umfang beschränkt, der für die jeweilige Tätigkeit tatsächlich erforderlich ist.

Zugriffsrechte werden anhand konkreter Aufgaben und Zuständigkeiten vergeben und können geändert oder entzogen werden, sobald sie für die jeweilige Tätigkeit nicht mehr benötigt werden.

Damit soll insbesondere das Risiko reduziert werden, dass personenbezogene Daten von nicht autorisierten Personen eingesehen, verwendet oder verändert werden.

7. Umgang mit Verletzungen des Schutzes personenbezogener Daten

Bei Sicherheitsvorfällen, die personenbezogene Daten betreffen können, werden insbesondere folgende Aspekte bewertet:

  • Art des Vorfalls;

  • Umfang der möglichen Betroffenheit;

  • mögliche Folgen für betroffene Personen.

Wird eine Verletzung des Schutzes personenbezogener Daten festgestellt, werden erforderliche Maßnahmen getroffen, um den Vorfall einzudämmen und mögliche Auswirkungen soweit wie möglich zu begrenzen.

Soweit nach anwendbarem Recht eine Meldung an die zuständige Aufsichtsbehörde oder eine Benachrichtigung betroffener Personen erforderlich ist, erfolgt diese nach den Voraussetzungen und Vorgaben der DSGVO.

8. Dokumentation und Verzeichnisse

Abhängig von Art und Umfang der durchgeführten Tätigkeiten werden, soweit gesetzlich erforderlich, geeignete Unterlagen und Aufzeichnungen geführt, um die Umsetzung der nach der DSGVO erforderlichen Maßnahmen nachvollziehbar zu dokumentieren.

Diese Dokumentation kann sich insbesondere beziehen auf:

  • Verarbeitungstätigkeiten mit personenbezogenen Daten;

  • technische und organisatorische Schutzmaßnahmen;

  • Risikobewertungen;

  • Zugriffs- und Berechtigungsvergaben;

  • Maßnahmen im Zusammenhang mit Datenschutz- oder Sicherheitsvorfällen.

9. Datenschutzbewusstsein und Schulung

Personen, die zum Zugriff auf personenbezogene Daten berechtigt sind, sollen ihre Verantwortung beim Umgang mit diesen Informationen kennen.

Je nach Tätigkeitsbereich können entsprechende Hinweise oder Schulungsinhalte insbesondere folgende Themen umfassen:

  • Vertraulichkeit personenbezogener Informationen;

  • ordnungsgemäße Nutzung von Zugriffsrechten;

  • Bearbeitung von Anfragen betroffener Personen;

  • Vorgehensweise bei tatsächlichen oder vermuteten Sicherheitsvorfällen.

Eine Zugriffsberechtigung bedeutet nicht, dass personenbezogene Daten für Zwecke außerhalb des jeweils autorisierten Aufgabenbereichs verwendet werden dürfen.

10. Datenschutzbeauftragter

Soweit die gesetzlichen Voraussetzungen der DSGVO erfüllt sind, wird ein Datenschutzbeauftragter bestellt.

Ob eine solche Verpflichtung besteht, wird anhand der tatsächlich durchgeführten Verarbeitungstätigkeiten beurteilt. Dabei können insbesondere berücksichtigt werden:

  • Art der Verarbeitung;

  • Umfang;

  • Zweck;

  • Größenordnung der Verarbeitung.

Diese Richtlinie stellt für sich genommen keine Erklärung dar, dass bereits ein Datenschutzbeauftragter bestellt wurde.

11. Zusammenarbeit mit Datenschutzaufsichtsbehörden

Soweit nach anwendbarem Recht erforderlich, arbeitet KELMAVO bei datenschutzrechtlichen Angelegenheiten mit der jeweils zuständigen Aufsichtsbehörde zusammen.

Für Verarbeitungstätigkeiten, die dem deutschen Datenschutzrecht unterliegen, richtet sich die Zuständigkeit nach der jeweils einschlägigen deutschen Datenschutzaufsichtsbehörde.

Eine solche Zusammenarbeit kann insbesondere umfassen:

  • Bearbeitung behördlicher Anfragen;

  • Mitwirkung bei Prüfungen oder Kontrollen;

  • Bearbeitung gesetzlich vorgesehener Mitteilungen und sonstiger Kommunikation.

12. Überprüfung der Datenschutz-Compliance

Verfahren zum Schutz personenbezogener Daten werden erneut geprüft, wenn sich wesentliche Änderungen ergeben, insbesondere bei:

  • Veränderungen der betrieblichen Abläufe;

  • Änderungen eingesetzter Systeme;

  • neu erkannten oder wesentlich veränderten Risiken;

  • Änderungen der anwendbaren Rechtslage.

Die Überprüfung kann unter anderem folgende Bereiche umfassen:

  • Wirksamkeit vorhandener Schutzmaßnahmen;

  • bestehende Zugriffsberechtigungen;

  • organisatorische Abläufe;

  • bekannte und neu auftretende Datenschutzrisiken.

Soweit erforderlich, werden entsprechende Anpassungen vorgenommen, damit das Schutzniveau mit den tatsächlich durchgeführten Verarbeitungstätigkeiten im Einklang bleibt.

13. Aktualisierung dieser Richtlinie

Diese GDPR-Compliance-Richtlinie kann angepasst werden, wenn sich wesentliche Rahmenbedingungen ändern.

Hierzu können insbesondere gehören:

  • Änderungen gesetzlicher oder regulatorischer Anforderungen;

  • technische Entwicklungen;

  • Anpassungen organisatorischer Abläufe;

  • Änderungen bei der Verwaltung von Verarbeitungstätigkeiten.

Erforderliche Änderungen werden berücksichtigt, wenn dies notwendig ist, um den organisatorischen Datenschutzrahmen weiterhin angemessen und konsistent auszugestalten.

14. Kontakt

Bei Fragen zu dieser GDPR-Compliance-Richtlinie oder zur Organisation des Datenschutzes können Sie KELMAVO über folgende Kontaktdaten erreichen:

Shopname: KELMAVO
Kontaktadresse: 311 SE 8th St, Gainesville, FL 32601
Telefon: +1 (352) 461-8275
E-Mail: careteam@kelmavo.com
Servicegebiet: Deutschland