1. Einleitung

Diese Richtlinie legt die Verpflichtungen von BAPON IT Services Ltd fest, einem in England und Wales unter der Nummer 14795862 eingetragenen Unternehmen mit Sitz in Victory House, 400 Pavillion Drive, Northampton Business Park, Northampton, United Kingdom, NN4 7PA („das Unternehmen“) in Bezug auf den Datenschutz und die Rechte von Kunden („betroffene Personen“) hinsichtlich ihrer personenbezogenen Daten gemäß der EU-Datenschutz-Grundverordnung 2016 („DSGVO“).

Die DSGVO definiert „personenbezogene Daten“ als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen. Eine natürliche Person ist identifizierbar, wenn sie direkt oder indirekt, insbesondere anhand einer Kennung wie eines Namens, einer Kennnummer, Standortdaten, einer Online-Kennung oder eines oder mehrerer Merkmale ihrer physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität, identifiziert werden kann.

Diese Richtlinie legt die Pflichten des Unternehmens in Bezug auf die Erhebung, Verarbeitung, Übermittlung, Speicherung und Löschung personenbezogener Daten fest. Die hierin festgelegten Verfahren und Grundsätze sind jederzeit vom Unternehmen, seinen Mitarbeitenden, Vertretenden, Auftragnehmenden und sonstigen im Auftrag des Unternehmens tätigen Parteien einzuhalten. 

Das Unternehmen verpflichtet sich nicht nur, den Buchstaben, sondern auch den Geist des Gesetzes zu wahren. Es legt großen Wert auf den korrekten, rechtmäßigen und fairen Umgang mit allen personenbezogenen Daten und achtet die gesetzlichen Rechte, die Privatsphäre und das Vertrauen aller Personen, mit denen es zu tun hat.

2. Die Datenschutzgrundsätze 

Diese Richtlinie soll die Einhaltung der DSGVO gewährleisten. Die DSGVO legt die folgenden Grundsätze fest, die alle Parteien beim Umgang mit personenbezogenen Daten einhalten müssen. Alle personenbezogenen Daten müssen:

2.1 Rechtmäßig, nach Treu und Glauben und in transparenter Weise in Bezug auf die betroffene Person verarbeitet. 

2.2 Die Daten werden für festgelegte, eindeutige und rechtmäßige Zwecke erhoben und nicht in einer Weise weiterverarbeitet, die mit diesen Zwecken unvereinbar ist. Eine Weiterverarbeitung zu Archivzwecken im öffentlichen Interesse, zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken gilt nicht als unvereinbar mit den ursprünglichen Zwecken. 

2.3 Angemessen, relevant und auf das für die jeweiligen Verarbeitungszwecke erforderliche Maß beschränkt. 

2.4 Richtig und erforderlichenfalls auf dem neuesten Stand. Es sind alle angemessenen Maßnahmen zu ergreifen, um sicherzustellen, dass personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden. 

2.5 In einer Form gespeichert, die eine Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke der Verarbeitung der personenbezogenen Daten erforderlich ist. Personenbezogene Daten dürfen länger gespeichert werden, sofern sie ausschließlich zu Archivzwecken im öffentlichen Interesse, zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken verarbeitet werden und geeignete technische und organisatorische Maßnahmen gemäß der DSGVO zum Schutz der Rechte und Freiheiten der betroffenen Person umgesetzt werden. 

2.6 Die Verarbeitung erfolgt auf eine Weise, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet. Dazu gehören der Schutz vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor versehentlichem Verlust, Zerstörung oder Beschädigung durch geeignete technische oder organisatorische Maßnahmen. 

3. Rechte betroffener Personen

Die DSGVO legt die folgenden Rechte der betroffenen Personen fest (weitere Einzelheiten finden Sie in den jeweils angegebenen Abschnitten dieser Richtlinie):

3.1 Das Recht auf Information (Teil 12). 

3.2 Das Recht auf Auskunft (Teil 13);

3.3 Das Recht auf Berichtigung (Teil 14); 

3.4 Das Recht auf Löschung (auch als „Recht auf Vergessenwerden“ bezeichnet) (Teil 15);

3.5 Das Recht auf Einschränkung der Verarbeitung (Teil 16);

3.6 Das Recht auf Datenübertragbarkeit (Teil 17); 

 3.7 Das Widerspruchsrecht (Teil 18); und 

3.8 Rechte in Bezug auf automatisierte Entscheidungsfindung und Profiling (Teile 19 und 20).

Die Grundsätze des Datenschutzes erklärt

4. Rechtmäßige, faire und transparente Datenverarbeitung

4.1 Die DSGVO soll sicherstellen, dass personenbezogene Daten rechtmäßig, fair und transparent verarbeitet werden, ohne die Rechte der betroffenen Person zu beeinträchtigen. Gemäß DSGVO ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn mindestens eine der folgenden Voraussetzungen erfüllt ist: 

4.1.1 Die betroffene Person hat in die Verarbeitung ihrer personenbezogenen Daten für einen oder mehrere bestimmte Zwecke eingewilligt. 

4.1.2 Die Verarbeitung ist für die Erfüllung eines Vertrags erforderlich, dessen Vertragspartei die betroffene Person ist, oder um auf Antrag der betroffenen Person vor Abschluss eines Vertrags Maßnahmen zu ergreifen. 

4.1.3 Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt. 

4.1.4 Die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen; 

4.1.5 Die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung einer dem Verantwortlichen übertragenen öffentlichen Gewalt erfolgt; oder

4.1.6 Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere wenn es sich bei der betroffenen Person um ein Kind handelt.

5. Festgelegte, eindeutige und legitime Zwecke 

5.1 Das Unternehmen erhebt und verarbeitet die in Teil 21 dieser Richtlinie aufgeführten personenbezogenen Daten. Dazu gehören auch personenbezogene Daten, die direkt bei den betroffenen Personen erhoben werden. 

5.2 Das Unternehmen erhebt, verarbeitet und speichert personenbezogene Daten ausschließlich für die in Teil 21 dieser Richtlinie genannten Zwecke (oder für andere Zwecke, die nach der DSGVO ausdrücklich zulässig sind). 

5.3 Betroffene werden jederzeit über den Zweck oder die Zwecke informiert, zu denen das Unternehmen ihre personenbezogenen Daten verwendet. 

Weitere Informationen dazu, wie betroffene Personen informiert werden, finden Sie in Teil 12.

6. Angemessene, relevante und auf das erforderliche Maß beschränkte Verarbeitung von Daten 

Das Unternehmen erhebt und verarbeitet personenbezogene Daten ausschließlich für die spezifischen Zwecke, über die die betroffenen Personen gemäß Teil 5 oben informiert wurden oder werden, und nur in dem dafür erforderlichen Umfang, wie in Teil 21 unten beschrieben.

7. Richtigkeit und Aktualität der Daten 

7.1 Das Unternehmen stellt sicher, dass alle von ihm erhobenen, verarbeiteten und gespeicherten personenbezogenen Daten korrekt und aktuell sind. Dies umfasst unter anderem die Berichtigung personenbezogener Daten auf Antrag einer betroffenen Person, wie in Teil 14 unten beschrieben. 

7.2 Die Richtigkeit personenbezogener Daten ist bei ihrer Erhebung zu prüfen. Erweisen sich personenbezogene Daten als unrichtig oder veraltet, werden unverzüglich alle angemessenen Schritte unternommen, um diese Daten gegebenenfalls zu berichtigen oder zu löschen. 

8. Aufbewahrung von Daten 

8.1 Das Unternehmen speichert personenbezogene Daten nur so lange, wie es angesichts des Zwecks oder der Zwecke, für die diese Daten ursprünglich erhoben, gespeichert und verarbeitet wurden, erforderlich ist. 

8.2 Werden personenbezogene Daten nicht mehr benötigt, werden alle angemessenen Maßnahmen ergriffen, um sie unverzüglich zu löschen oder anderweitig zu vernichten. 

8.3 Ausführliche Informationen zum Ansatz des Unternehmens zur Datenaufbewahrung, einschließlich der Aufbewahrungsfristen für bestimmte Arten personenbezogener Daten, die das Unternehmen speichert, erhalten Sie auf Anfrage.

9. Sichere Verarbeitung

Das Unternehmen stellt sicher, dass alle erhobenen, gespeicherten und verarbeiteten personenbezogenen Daten sicher aufbewahrt und vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor versehentlichem Verlust, versehentlicher Zerstörung oder Beschädigung geschützt werden. Weitere Einzelheiten zu den technischen und organisatorischen Maßnahmen finden Sie in den Teilen 22 bis 27 dieser Richtlinie.

10. Rechenschaftspflicht und Dokumentation

10.1 Datenschutzbeauftragte der Gesellschaft ist Lilly Immaculate. Sie ist per E-Mail unter dataprotection@bapon.net erreichbar. 

10.2 Der Datenschutzbeauftragte ist für die Überwachung der Umsetzung dieser Richtlinie und der Einhaltung dieser Richtlinie, der sonstigen datenschutzbezogenen Richtlinien des Unternehmens, der DSGVO und anderer geltender Datenschutzgesetze verantwortlich. 

10.3 Das Unternehmen führt schriftliche interne Aufzeichnungen über die Erhebung, Speicherung und Verarbeitung aller personenbezogenen Daten. Diese enthalten folgende Angaben: 

10.3.1 Name und Kontaktdaten des Unternehmens, seines Datenschutzbeauftragten und aller gegebenenfalls eingesetzten externen Auftragsverarbeiter.

10.3.2 Die Zwecke, zu denen das Unternehmen personenbezogene Daten erhebt, speichert und verarbeitet.

10.3.3 Angaben zu den Kategorien personenbezogener Daten, die das Unternehmen erhebt, speichert und verarbeitet, sowie zu den Kategorien betroffener Personen, auf die sich diese personenbezogenen Daten beziehen. 

10.3.4 Einzelheiten zu Übermittlungen personenbezogener Daten in Länder außerhalb des EWR, einschließlich sämtlicher Übermittlungsmechanismen und Sicherheitsvorkehrungen.

10.3.5 Angaben dazu, wie lange das Unternehmen personenbezogene Daten speichert; und 

10.3.6 Detaillierte Beschreibungen aller technischen und organisatorischen Maßnahmen, die das Unternehmen zum Schutz personenbezogener Daten ergriffen hat. 

11. Datenschutz-Folgenabschätzungen

11.1 Das Unternehmen führt für alle neuen Projekte und/oder neue Verwendungszwecke personenbezogener Daten Datenschutz-Folgenabschätzungen durch.

11.2 Datenschutz-Folgenabschätzungen werden vom Datenschutzbeauftragten überwacht und müssen Folgendes umfassen:

11.2.1 Die Art der personenbezogenen Daten, die erhoben, gespeichert und verarbeitet werden.

11.2.2 Der Zweck bzw. die Zwecke, für den bzw. die personenbezogene Daten verwendet werden sollen; 

11.2.3 die Ziele des Unternehmens; 

11.2.4 Wie die personenbezogenen Daten verwendet werden sollen; 

11.2.5 Die internen und/oder externen Parteien, die zu konsultieren sind; 

11.2.6 Die Erforderlichkeit und Verhältnismäßigkeit der Datenverarbeitung im Hinblick auf den Zweck bzw. die Zwecke, zu denen sie erfolgt; 

11.2.7 Risiken für betroffene Personen; 

11.2.8 Risiken, die innerhalb des Unternehmens bestehen oder für das Unternehmen entstehen; und

11.2.9 Vorgeschlagene Maßnahmen zur Minimierung und zum Umgang mit ermittelten Risiken.

12. Betroffene Personen informieren

12.1 Das Unternehmen stellt jeder betroffenen Person zum Zeitpunkt der Datenerhebung die in diesem Teil 12.1 aufgeführten Informationen bereit: 

12.1.1 Angaben zum Unternehmen, einschließlich, aber nicht beschränkt auf die Identität des Datenschutzbeauftragten;

12.1.2 Der Zweck bzw. die Zwecke, zu denen die personenbezogenen Daten erhoben und verarbeitet werden (wie in Teil 18 dieser Richtlinie näher beschrieben), sowie die Rechtsgrundlage für diese Erhebung und Verarbeitung;

12.1.3 Gegebenenfalls die berechtigten Interessen, auf die sich das Unternehmen zur Rechtfertigung der Erhebung und Verarbeitung der personenbezogenen Daten stützt; 

12.1.4 Wenn die personenbezogenen Daten nicht direkt bei der betroffenen Person erhoben wurden: die Kategorien der erhobenen und verarbeiteten personenbezogenen Daten; 

12.1.5 Bei einer Übermittlung personenbezogener Daten an einen oder mehrere Dritte sind Angaben zu diesen Empfängern zu machen; 

12.1.6 Falls personenbezogene Daten an einen Dritten außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt werden, Angaben zu dieser Übermittlung, einschließlich, aber nicht beschränkt auf die getroffenen Schutzmaßnahmen (weitere Informationen finden Sie in Teil 25 dieser Richtlinie);

12.1.7 Einzelheiten zur Aufbewahrung von Daten; 

12.1.8 Angaben zu den Rechten der betroffenen Person gemäß DSGVO;

12.1.9 Angaben zum Recht der betroffenen Person, ihre Einwilligung in die Verarbeitung ihrer personenbezogenen Daten durch das Unternehmen jederzeit zu widerrufen; 

12.1.10 Angaben zum Recht der betroffenen Person, sich bei der Aufsichtsbehörde zu beschweren (der „Aufsichtsbehörde“ im Sinne der DSGVO);

12.1.11 Gegebenenfalls Einzelheiten zu gesetzlichen oder vertraglichen Anforderungen oder Verpflichtungen, aufgrund derer die personenbezogenen Daten erhoben und verarbeitet werden müssen, sowie zu den Folgen einer Nichtbereitstellung dieser Daten; und

12.1.12 Angaben zu automatisierten Entscheidungen oder Profiling, die unter Verwendung der personenbezogenen Daten erfolgen, einschließlich Informationen darüber, wie Entscheidungen getroffen werden, welche Bedeutung sie haben und welche Folgen sich daraus ergeben. 

13. Auskunftsrecht betroffener Personen 

13.1 Betroffene Personen können jederzeit Auskunftsanfragen („SARs“) stellen, um zu erfahren, welche personenbezogenen Daten das Unternehmen über sie speichert, wie es diese personenbezogenen Daten verarbeitet und warum.

13.2 Betroffene Personen, die eine Auskunftsanfrage (SAR) stellen möchten, sollten dies per E-Mail an den Datenschutzbeauftragten des Unternehmens unter dataprotection@bapon.net tun. 

13.3 Anfragen auf Auskunft (SARs) werden in der Regel innerhalb eines Monats nach Eingang beantwortet. Bei komplexen Anfragen und/oder einer großen Anzahl von Anfragen kann sich diese Frist jedoch um bis zu zwei Monate verlängern. Ist eine solche Fristverlängerung erforderlich, wird die betroffene Person darüber informiert. 

13.4 Alle eingegangenen Anträge auf Auskunft (SARs) werden vom Datenschutzbeauftragten des Unternehmens bearbeitet.

13.5 Das Unternehmen erhebt keine Gebühr für die Bearbeitung gewöhnlicher Auskunftsersuchen. Das Unternehmen behält sich das Recht vor, angemessene Gebühren für zusätzliche Kopien von Informationen zu erheben, die einer betroffenen Person bereits zur Verfügung gestellt wurden, sowie für offensichtlich unbegründete oder übermäßige Anfragen, insbesondere wenn sie wiederholt gestellt werden.

14. Berichtigung personenbezogener Daten

14.1 Betroffene Personen haben das Recht, vom Unternehmen die Berichtigung unrichtiger oder unvollständiger personenbezogener Daten zu verlangen.

14.2 Das Unternehmen berichtigt die betreffenden personenbezogenen Daten und informiert die betroffene Person innerhalb eines Monats nach deren Mitteilung über das Problem über die Berichtigung. Bei komplexen Anfragen kann die Frist um bis zu zwei Monate verlängert werden. Ist eine solche Verlängerung erforderlich, wird die betroffene Person darüber informiert.

14.3 Wurden betroffene personenbezogene Daten an Dritte weitergegeben, sind diese über erforderliche Berichtigungen der betreffenden Daten zu informieren. 

15. Löschung personenbezogener Daten

15.1 Betroffene Personen haben das Recht, unter den folgenden Umständen die Löschung der sie betreffenden personenbezogenen Daten zu verlangen, die das Unternehmen gespeichert hat: 

15.1.1 Das Unternehmen die betreffenden personenbezogenen Daten für den Zweck bzw. die Zwecke, für den bzw. die sie ursprünglich erhoben oder verarbeitet wurden, nicht mehr benötigt; 

15.1.2 Die betroffene Person möchte ihre Einwilligung dazu widerrufen, dass das Unternehmen ihre personenbezogenen Daten speichert und verarbeitet; 

15.1.3 Die betroffene Person widerspricht der Speicherung und Verarbeitung ihrer personenbezogenen Daten durch das Unternehmen und es liegen keine überwiegenden berechtigten Interessen vor, die eine Fortsetzung dieser Verarbeitung rechtfertigen (weitere Informationen zum Widerspruchsrecht finden Sie in Teil 17 dieser Richtlinie); 

15.1.4 Die personenbezogenen Daten wurden unrechtmäßig verarbeitet; 

15.1.5 Die personenbezogenen Daten müssen gelöscht werden, damit das Unternehmen einer bestimmten rechtlichen Verpflichtung nachkommen kann. 

15.2 Sofern keine berechtigten Gründe gegen die Löschung personenbezogener Daten vorliegen, sind alle Löschanträge innerhalb eines Monats nach Eingang des Antrags der betroffenen Person zu erfüllen und ist die betroffene Person über die Löschung zu informieren. Bei komplexen Anträgen kann die Frist um bis zu zwei Monate verlängert werden. Ist eine solche Verlängerung erforderlich, wird die betroffene Person darüber informiert. 

15.3 Wurden personenbezogene Daten, die auf Antrag einer betroffenen Person gelöscht werden sollen, an Dritte weitergegeben, sind diese Dritten über die Löschung zu informieren (es sei denn, dies ist unmöglich oder würde einen unverhältnismäßigen Aufwand erfordern).

16. Einschränkung der Verarbeitung personenbezogener Daten

16.1 Betroffene Personen können verlangen, dass das Unternehmen die Verarbeitung der über sie gespeicherten personenbezogenen Daten einstellt. Geht ein solches Verlangen ein, speichert das Unternehmen nur die Menge personenbezogener Daten über die betroffene Person, die gegebenenfalls erforderlich ist, um eine weitere Verarbeitung der betreffenden personenbezogenen Daten zu verhindern.

16.2 Wurden betroffene personenbezogene Daten an Dritte weitergegeben, sind diese über die geltenden Einschränkungen ihrer Verarbeitung zu informieren (es sei denn, dies ist unmöglich oder mit unverhältnismäßigem Aufwand verbunden). 

17. Datenübertragbarkeit 

17.1 Das Unternehmen darf personenbezogene Daten automatisiert verarbeiten. Haben betroffene Personen der Verarbeitung ihrer personenbezogenen Daten auf diese Weise zugestimmt oder ist die Verarbeitung anderweitig zur Erfüllung eines Vertrags zwischen dem Unternehmen und der betroffenen Person erforderlich, haben betroffene Personen gemäß DSGVO das Recht, eine Kopie ihrer personenbezogenen Daten zu erhalten und diese für andere Zwecke zu verwenden (nämlich zur Übermittlung an andere Verantwortliche). 

17.2 Soweit technisch möglich, werden personenbezogene Daten auf Anfrage einer betroffenen Person direkt an den gewünschten Verantwortlichen übermittelt. 

17.3 Allen Anträgen auf Auskunft über personenbezogene Daten ist innerhalb eines Monats nach Eingang des Antrags der betroffenen Person nachzukommen. Bei komplexen oder zahlreichen Anträgen kann diese Frist um bis zu zwei Monate verlängert werden. Ist eine solche Fristverlängerung erforderlich, wird die betroffene Person darüber informiert.

18. Automatisierte Entscheidungsfindung 

18.1 Das Unternehmen kann personenbezogene Daten für automatisierte Entscheidungsprozesse verwenden. Haben solche Entscheidungen rechtliche oder ähnlich erhebliche Auswirkungen auf betroffene Personen, haben diese nach der DSGVO das Recht, die Entscheidungen anzufechten, menschliches Eingreifen zu verlangen, ihren eigenen Standpunkt darzulegen und eine Erklärung der Entscheidung zu erhalten. 

18.2 Das in diesem Teil 19 beschriebene Recht gilt in folgenden Fällen nicht:

18.2.1 Die Entscheidung ist für den Abschluss oder die Erfüllung eines Vertrags zwischen uns und der betroffenen Person erforderlich;

18.2.2 Die Entscheidung ist gesetzlich zulässig; oder 

18.2.3 Die betroffene Person hat ihre ausdrückliche Einwilligung erteilt. 

19. Profiling 

19.1 Das Unternehmen kann personenbezogene Daten zu Profiling-Zwecken verwenden. Für die Verwendung personenbezogener Daten zu Profiling-Zwecken gilt Folgendes: 

19.1.1 Den betroffenen Personen werden klare Informationen über das Profiling bereitgestellt, einschließlich seiner Bedeutung und der voraussichtlichen Folgen;

19.1.2 Es sind geeignete mathematische oder statistische Verfahren anzuwenden;

19.1.3 Es sind technische und organisatorische Maßnahmen zu ergreifen, um das Fehlerrisiko zu minimieren. Treten Fehler auf, müssen diese Maßnahmen eine einfache Behebung ermöglichen.

19.2 Alle zum Zweck des Profilings verarbeiteten personenbezogenen Daten sind so zu schützen, dass diskriminierende Auswirkungen des Profilings verhindert werden (weitere Informationen zur Datensicherheit finden Sie in den Teilen 22 bis 26 dieser Richtlinie).

20. Widerspruch gegen die Verarbeitung personenbezogener Daten 

20.1 Betroffene Personen haben das Recht, der Verarbeitung ihrer personenbezogenen Daten durch das Unternehmen auf Grundlage berechtigter Interessen und für Direktmarketing (einschließlich Profiling) zu widersprechen. 

20.2 Widerspricht eine betroffene Person der Verarbeitung ihrer personenbezogenen Daten durch das Unternehmen auf Grundlage seiner berechtigten Interessen, stellt das Unternehmen die Verarbeitung unverzüglich ein, es sei denn, es kann nachweisen, dass seine berechtigten Gründe für die Verarbeitung gegenüber den Interessen, Rechten und Freiheiten der betroffenen Person überwiegen oder dass die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. 

20.3 Widerspricht eine betroffene Person der Verarbeitung ihrer personenbezogenen Daten durch das Unternehmen zu Zwecken der Direktwerbung, hat das Unternehmen diese Verarbeitung unverzüglich einzustellen. 

21. Erhebung, Speicherung und Verarbeitung personenbezogener Daten

21.1 Die folgenden personenbezogenen Daten werden vom Unternehmen erhoben, gespeichert und verarbeitet, um Bestellungen beim Unternehmen abzuwickeln:

21.1.1 Name; 

21.1.2 Kontaktdaten, einschließlich E-Mail-Adresse, Postanschrift und Telefonnummer;

21.1.3 Lieferinformationen zur Bestellung; 

21.1.4 Personenbezogene Daten anderer betroffener Personen, die die betroffene Person uns möglicherweise übermittelt (sofern die betroffene Person zuvor gemäß den Geschäftsbedingungen des Unternehmens die Zustimmung dieser Personen eingeholt hat). 

21.2 Zusätzlich zu den vorstehenden Angaben erhebt, speichert und verarbeitet das Unternehmen über unsere Website die folgenden personenbezogenen Daten: 

21.2.1 demografische Angaben wie Postleitzahl, Präferenzen und Interessen;

21.2.2 IP-Adresse;

21.2.3 Typ und Version des Webbrowsers; und

21.2.4 Betriebssystem.

22. Datensicherheit – Übermittlung personenbezogener Daten und Kommunikation 

Das Unternehmen stellt sicher, dass bei sämtlichen Mitteilungen und sonstigen Übermittlungen personenbezogener Daten die folgenden Maßnahmen ergriffen werden: 

22.1 Alle E-Mails, die personenbezogene Daten enthalten, müssen verschlüsselt werden; 

22.2 Alle E-Mails mit personenbezogenen Daten müssen als „vertraulich“ gekennzeichnet sein; 

22.3 Personenbezogene Daten dürfen nur über sichere Netzwerke übertragen werden; eine Übertragung über ungesicherte Netzwerke ist unter keinen Umständen zulässig; 

22.4 Personenbezogene Daten im Textkörper einer gesendeten oder empfangenen E-Mail sind aus dem E-Mail-Text zu kopieren und sicher zu speichern. Die E-Mail selbst ist zu löschen. Auch alle damit verbundenen temporären Dateien sind zu löschen; 

22.5 Personenbezogene Daten in Papierform sind direkt an den Empfänger zu übergeben oder auf dem üblichen Postweg zu versenden; und 

22.6 Alle personenbezogenen Daten, die physisch in Papierform oder auf elektronischen Wechselmedien übertragen werden, sind in einem geeigneten, als „vertraulich“ gekennzeichneten Behältnis zu transportieren. 

23. Datensicherheit – Speicherung 

Das Unternehmen stellt sicher, dass hinsichtlich der Speicherung personenbezogener Daten die folgenden Maßnahmen ergriffen werden:

23.1 Alle elektronischen Kopien personenbezogener Daten sind sicher und passwortgeschützt sowie verschlüsselt aufzubewahren;

23.2 Alle Papierunterlagen mit personenbezogenen Daten sowie elektronische Kopien auf physischen, austauschbaren Datenträgern sind sicher in einer verschlossenen Box, Schublade, einem Schrank oder Ähnlichem aufzubewahren;

23.3 Alle elektronisch gespeicherten personenbezogenen Daten müssen regelmäßig gesichert werden. Die Sicherungskopien sind extern aufzubewahren und zu verschlüsseln; 

23.4 Personenbezogene Daten dürfen ohne die förmliche schriftliche Genehmigung des Datenschutzbeauftragten nicht auf einem mobilen Gerät (einschließlich, aber nicht beschränkt auf Laptops, Tablets und Smartphones) gespeichert werden, unabhängig davon, ob das Gerät dem Unternehmen gehört oder nicht. Liegt eine solche Genehmigung vor, sind die zum Zeitpunkt der Genehmigung erteilten Anweisungen und Beschränkungen strikt einzuhalten. Die Daten dürfen nicht länger als unbedingt erforderlich gespeichert werden; und 

23.5 Personenbezogene Daten dürfen nicht auf Geräte übertragen werden, die einem Mitarbeiter persönlich gehören. Eine Übertragung personenbezogener Daten auf Geräte von Beauftragten, Auftragnehmern oder anderen im Namen des Unternehmens tätigen Parteien ist nur zulässig, wenn die betreffende Partei zugestimmt hat, den Wortlaut und den Geist dieser Richtlinie sowie der DSGVO uneingeschränkt einzuhalten (gegebenenfalls durch Nachweis gegenüber dem Unternehmen, dass alle geeigneten technischen und organisatorischen Maßnahmen ergriffen wurden). 

24. Datensicherheit – Entsorgung

Wenn personenbezogene Daten aus irgendeinem Grund gelöscht oder anderweitig entsorgt werden müssen (auch wenn Kopien erstellt wurden, die nicht mehr benötigt werden), sind sie sicher zu löschen und zu entsorgen.

25. Datensicherheit – Verwendung personenbezogener Daten

Das Unternehmen stellt sicher, dass im Umgang mit personenbezogenen Daten die folgenden Maßnahmen ergriffen werden:

25.1 Personenbezogene Daten dürfen nicht informell weitergegeben werden. Benötigt ein Mitarbeiter, Beauftragter, Subunternehmer oder eine andere im Auftrag des Unternehmens tätige Partei Zugriff auf personenbezogene Daten, auf die sie noch keinen Zugriff hat, muss dieser Zugriff förmlich beim Datenschutzbeauftragten beantragt werden;

25.2 Personenbezogene Daten dürfen ohne Genehmigung des Datenschutzbeauftragten nicht an Beschäftigte, Beauftragte, Auftragnehmer oder sonstige Parteien weitergegeben werden, unabhängig davon, ob diese im Auftrag des Unternehmens tätig sind oder nicht;

25.3 Mit personenbezogenen Daten ist jederzeit sorgfältig umzugehen. Sie dürfen zu keinem Zeitpunkt unbeaufsichtigt oder für unbefugte Mitarbeitende, Beauftragte, Subunternehmer oder sonstige Parteien einsehbar zurückgelassen werden;

25.4 Werden personenbezogene Daten auf einem Computerbildschirm angezeigt und soll der betreffende Computer für eine bestimmte Zeit unbeaufsichtigt bleiben, muss der Nutzer den Computer und den Bildschirm sperren, bevor er sich entfernt; und 

25.5 Werden die vom Unternehmen gespeicherten personenbezogenen Daten für Marketingzwecke verwendet, ist der Datenschutzbeauftragte dafür verantwortlich, die erforderliche Einwilligung einzuholen und sicherzustellen, dass keine betroffenen Personen der Verwendung widersprochen haben, sei es direkt oder über einen Drittanbieterdienst wie den TPS.

26. Datensicherheit – IT-Sicherheit 

Das Unternehmen stellt sicher, dass die folgenden Maßnahmen zur IT- und Informationssicherheit ergriffen werden:

26.1 Alle zum Schutz personenbezogener Daten verwendeten Passwörter sollten regelmäßig geändert werden und keine leicht zu erratenden oder anderweitig kompromittierbaren Wörter oder Formulierungen enthalten. Alle Passwörter müssen eine Kombination aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen enthalten;

26.2 Passwörter dürfen unter keinen Umständen aufgeschrieben oder zwischen Mitarbeitenden, Beauftragten, Auftragnehmern oder anderen im Namen des Unternehmens tätigen Parteien weitergegeben werden, unabhängig von Position oder Abteilung. Wird ein Passwort vergessen, muss es über das dafür vorgesehene Verfahren zurückgesetzt werden. IT-Mitarbeitende haben keinen Zugriff auf Passwörter; und

26.3 Sämtliche Software (einschließlich, aber nicht beschränkt auf Anwendungen und Betriebssysteme) ist stets auf dem aktuellen Stand zu halten. Die IT-Mitarbeitenden des Unternehmens sind dafür verantwortlich, alle sicherheitsrelevanten Updates so bald wie vernünftigerweise und praktisch möglich zu installieren, sofern keine berechtigten technischen Gründe dagegensprechen.

27. Organisatorische Maßnahmen

Das Unternehmen stellt sicher, dass bei der Erhebung, Speicherung und Verarbeitung personenbezogener Daten folgende Maßnahmen ergriffen werden: 

27.1 Alle Beschäftigten, Beauftragten, Auftragnehmer und sonstigen im Namen des Unternehmens tätigen Personen werden umfassend über ihre individuellen Verantwortlichkeiten und die Verantwortlichkeiten des Unternehmens gemäß der DSGVO und dieser Richtlinie informiert und erhalten eine Kopie dieser Richtlinie; 

27.2 Zugriff auf die vom Unternehmen gespeicherten personenbezogenen Daten erhalten ausschließlich Mitarbeitende, Vertretende, Subunternehmende oder sonstige im Auftrag des Unternehmens tätige Parteien, die diesen Zugriff benötigen, um ihre übertragenen Aufgaben ordnungsgemäß auszuführen; 

27.3 Alle Mitarbeitenden, Beauftragten, Auftragnehmenden und sonstigen Personen, die im Auftrag des Unternehmens mit personenbezogenen Daten umgehen, werden dafür angemessen geschult;

27.4 Alle Beschäftigten, Beauftragten, Auftragnehmer und sonstigen im Auftrag des Unternehmens tätigen Personen, die personenbezogene Daten verarbeiten, werden angemessen beaufsichtigt;

27.5 Alle Beschäftigten, Beauftragten, Auftragnehmer und sonstigen im Auftrag des Unternehmens tätigen Personen, die personenbezogene Daten verarbeiten, sind verpflichtet und werden dazu angehalten, bei Gesprächen über arbeitsbezogene Angelegenheiten, die personenbezogene Daten betreffen, am Arbeitsplatz wie auch außerhalb davon mit Sorgfalt, Umsicht und Diskretion vorzugehen;

27.6 Die Methoden zur Erhebung, Speicherung und Verarbeitung personenbezogener Daten werden regelmäßig bewertet und überprüft; 

27.7 Die Leistung der Beschäftigten, Beauftragten, Auftragnehmer oder sonstigen im Namen des Unternehmens tätigen Personen, die personenbezogene Daten verarbeiten, wird regelmäßig bewertet und überprüft; 

27.8 Alle Mitarbeiter, Beauftragten, Auftragnehmer und sonstigen Personen, die im Auftrag des Unternehmens personenbezogene Daten verarbeiten, sind vertraglich verpflichtet, dies gemäß den Grundsätzen der DSGVO und dieser Richtlinie zu tun;

27.9 Alle Beauftragten, Auftragnehmenden oder sonstigen Parteien, die im Namen des Unternehmens tätig sind und personenbezogene Daten verarbeiten, müssen sicherstellen, dass sämtliche ihrer Mitarbeitenden, die an der Verarbeitung personenbezogener Daten beteiligt sind, denselben Bedingungen unterliegen wie die betreffenden Mitarbeitenden des Unternehmens gemäß dieser Richtlinie und der DSGVO; und

27.10 Verstößt ein Beauftragter, Auftragnehmer oder eine andere im Namen des Unternehmens tätige Partei beim Umgang mit personenbezogenen Daten gegen ihre Pflichten aus dieser Richtlinie, stellt diese Partei das Unternehmen von allen Kosten, Verbindlichkeiten, Schäden, Verlusten, Ansprüchen oder Verfahren frei, die sich aus diesem Verstoß ergeben können, und hält es schadlos.

28. Übermittlung personenbezogener Daten in ein Land außerhalb des EWR

28.1 Das Unternehmen übermittelt personenbezogene Daten in Länder außerhalb des EWR, einschließlich Indien („Übermittlung“ umfasst auch die Bereitstellung aus der Ferne).

28.2 Eine Übermittlung personenbezogener Daten in ein Land außerhalb des EWR erfolgt nur, wenn eine oder mehrere der folgenden Voraussetzungen erfüllt sind:

28.2.1 Die Übermittlung erfolgt in ein Land, ein Gebiet oder einen oder mehrere bestimmte Sektoren in diesem Land (oder an eine internationale Organisation), für das bzw. die die Europäische Kommission ein angemessenes Schutzniveau für personenbezogene Daten festgestellt hat; 

28.2.2 Die Übermittlung erfolgt in ein Land (oder an eine internationale Organisation), das bzw. die angemessene Garantien in Form einer rechtsverbindlichen Vereinbarung zwischen Behörden oder öffentlichen Stellen bietet; verbindlicher Unternehmensregeln; von der Europäischen Kommission angenommener Standarddatenschutzklauseln; der Einhaltung eines von einer Aufsichtsbehörde (z. B. dem Information Commissioner’s Office) genehmigten Verhaltenskodex; einer Zertifizierung im Rahmen eines genehmigten Zertifizierungsmechanismus (wie in der DSGVO vorgesehen); von der zuständigen Aufsichtsbehörde vereinbarter und genehmigter Vertragsklauseln oder von Bestimmungen, die in Verwaltungsvereinbarungen zwischen Behörden oder öffentlichen Stellen aufgenommen wurden und von der zuständigen Aufsichtsbehörde genehmigt sind; 

28.2.3 Die Übermittlung erfolgt mit der informierten Einwilligung der betreffenden betroffenen Person(en); 

28.2.4 Die Übermittlung ist für die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Unternehmen erforderlich (oder für vorvertragliche Maßnahmen, die auf Anfrage der betroffenen Person ergriffen werden);

28.2.5 Die Übermittlung ist aus wichtigen Gründen des öffentlichen Interesses erforderlich; 

28.2.6 Die Übermittlung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich; 

28.2.7 Die Übermittlung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder anderer Personen zu schützen, wenn die betroffene Person aus körperlichen oder rechtlichen Gründen nicht in der Lage ist, ihre Einwilligung zu erteilen; oder

28.2.8 Die Übermittlung erfolgt aus einem Register, das nach britischem oder EU-Recht dazu bestimmt ist, der Öffentlichkeit Informationen bereitzustellen, und das allgemein oder zumindest denjenigen zugänglich ist, die ein berechtigtes Interesse am Zugang zu diesem Register nachweisen können.

29. Meldung von Datenschutzverletzungen 

29.1 Alle Datenschutzverletzungen sind unverzüglich dem Datenschutzbeauftragten des Unternehmens zu melden. 

29.2 Kommt es zu einer Verletzung des Schutzes personenbezogener Daten und ist dadurch wahrscheinlich ein Risiko für die Rechte und Freiheiten betroffener Personen gegeben (z. B. finanzieller Verlust, Verletzung der Vertraulichkeit, Diskriminierung, Rufschädigung oder sonstige erhebliche soziale oder wirtschaftliche Schäden), muss der Datenschutzbeauftragte sicherstellen, dass das Information Commissioner’s Office unverzüglich, in jedem Fall jedoch innerhalb von 72 Stunden nach Bekanntwerden der Verletzung, informiert wird.

29.3 Wenn eine Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko (also ein höheres Risiko als das in Teil 26.2 beschriebene) für die Rechte und Freiheiten betroffener Personen zur Folge hat, muss der Datenschutzbeauftragte sicherstellen, dass alle betroffenen Personen direkt und unverzüglich über die Verletzung informiert werden. 

29.4 Meldungen zu Datenschutzverletzungen müssen folgende Angaben enthalten:

29.4.1 Die Kategorien und die ungefähre Anzahl der betroffenen Personen. 

29.4.2 Die Kategorien und die ungefähre Anzahl der betroffenen personenbezogenen Datensätze. 

29.4.3 Name und Kontaktdaten des Datenschutzbeauftragten des Unternehmens (oder einer anderen Kontaktstelle, bei der weitere Informationen erhältlich sind);

29.4.4 Die wahrscheinlichen Folgen der Datenschutzverletzung.

29.4.5 Einzelheiten zu den Maßnahmen, die das Unternehmen zur Behebung der Datenschutzverletzung ergriffen hat oder zu ergreifen beabsichtigt, einschließlich gegebenenfalls Maßnahmen zur Abmilderung möglicher nachteiliger Folgen.

30. Umsetzung der Richtlinie 

Diese Richtlinie gilt ab dem Jahr 2024. Sie entfaltet keine rückwirkende Wirkung und gilt daher nur für Sachverhalte, die ab diesem Datum eintreten.