Einleitung
Diese Richtlinie ist eine interne Verordnung der VETTRONIC s.r.o., ID-Nr.: 17531713, mit Sitz in Vodní 2415/3, Předměstí, 746 01 Opava, Tschechische Republik, eingetragen im Handelsregister des Bezirksgerichts in Ostrava, Abteilung C, Beilage 90412 (nachfolgend „Verantwortlicher“) zum Schutz der vom Verantwortlichen verarbeiteten personenbezogenen Daten. Diese Richtlinie wird im Zusammenhang mit dem Inkrafttreten der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr in der jeweils geltenden Fassung (nachfolgend „Verordnung“) erlassen.
Diese Richtlinie enthält verbindliche Anweisungen, Informationen, Regeln, Verfahren und Ratschläge für die Mitarbeiter des Verantwortlichen und alle Mitwirkenden. Diese verpflichten sich zur Einhaltung der Verordnung. Die Richtlinie ist auch für die Geschäftsführung verbindlich. Im Sinne dieser Richtlinie werden alle natürlichen Personen, die zur Einhaltung dieser Richtlinie verpflichtet sind, im Folgenden als „Verpflichtete Person(en)“ bezeichnet.
Ziel dieser Richtlinie ist die Gewährleistung eines angemessenen Schutzes personenbezogener Daten. Durch die Einhaltung dieser Richtlinie wird das Risiko verringert, dass der Verantwortliche seinen Verpflichtungen aus der Verordnung und anderen anwendbaren und wirksamen Rechtsvorschriften nicht nachkommt.
Im Sinne dieses Dokuments bezeichnet der Ausdruck „personenbezogene Daten“ alle Informationen über eine bestimmte oder bestimmbare natürliche Person, auf die sich die personenbezogenen Daten beziehen. Eine identifizierte oder identifizierbare Person ist eine natürliche Person, die direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennnummer, einem Code oder zu einem oder mehreren spezifischen Elementen, die Ausdruck der physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind. Im Sinne dieser Richtlinie sind „betroffene Personen“ insbesondere Kunden, potenzielle Kunden, Lieferanten und potenzielle Lieferanten des Verantwortlichen sowie Bewerber um eine Stelle bei dem Verantwortlichen.
„Verarbeitung personenbezogener Daten“ ist jeder Vorgang bzw. jede Reihe von Vorgängen, der/die mit oder ohne Hilfe automatisierter Verfahren ausgeführt werden und im Zusammenhang mit personenbezogenen Daten oder einer Reihe personenbezogener Daten steht, wie z. B. das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Nutzung, die Weitergabe durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung, die Kombination oder die Verknüpfung sowie das Einschränken, Löschen oder Vernichten.
„Datenträger mit personenbezogenen Daten“ ist jedes Material oder Gerät, auf dem personenbezogene Daten erfasst oder gespeichert werden. Dies kann Papierdokumente, einschließlich Ordner und Akten, wie auch elektronische Daten auf CDs, DVDs, externen Festplatten, Software, Computerlaufwerke, Server usw. umfassen.
Der Verantwortliche verarbeitet personenbezogene Daten im Rahmen seiner Geschäftstätigkeit. Der Verantwortliche verarbeitet personenbezogene Daten nur im erforderlichen Umfang. Andere Daten über natürliche Personen, die nicht im Zusammenhang mit der Tätigkeit des Verantwortlichen stehen, dürfen von den verpflichteten Personen nicht erhoben werden. Darüber hinaus ist es den verpflichteten Personen untersagt, verarbeitete personenbezogene Daten unter Verstoß gegen diese Richtlinie, geschlossene Verträge oder geltende Rechtsvorschriften zu verarbeiten.
Grundlegende Pflichten der verpflichteten Personen
Verpflichtete Personen dürfen personenbezogene Daten nur für die Zwecke verwenden, für die sie erhoben wurden.
Alle personenbezogenen Daten sind vertraulich, d. h. sie unterliegen der Geheimhaltung. Die verpflichteten Personen sind nicht berechtigt, diese Informationen an Dritte weiterzugeben oder zu übermitteln, es sei denn dies erfolgt zu dem Zweck, zu dem die personenbezogenen Daten erhoben wurden. Die verpflichteten Personen dürfen personenbezogene Daten und damit zusammenhängende Informationen sowie Informationen über vom Verantwortlichen gesicherte personenbezogene Daten nicht an Mitarbeiter, Familienmitglieder, enge Bekannte usw. weitergeben.
Es ist verboten, personenbezogene Daten in irgendeiner Weise zusammenzuführen oder Datenbanken mit personenbezogenen Daten einzurichten, es sei denn, dies ist erforderlich für den Zweck, für den die personenbezogenen Daten erhoben wurden, und der Verantwortliche hat seine ausdrückliche Einwilligung zu diesen Tätigkeiten erteilt.
Verpflichtete Personen sind nicht berechtigt, die Daten zu verkaufen, zu vermieten oder sonst Dritten entgeltlich oder unentgeltlich zur Verfügung zu stellen oder die Daten zu ihrem eigenen wirtschaftlichen Vorteil oder zum Vorteil Dritter zu nutzen.
Verpflichtete Personen haben nur Zugang zu den personenbezogenen Daten, die für die Ausübung ihrer Tätigkeit für den Verantwortlichen unbedingt erforderlich sind. Insbesondere ist es verboten, ohne ausdrückliche Weisung des Verantwortlichen zu versuchen, auf gesicherte Daten zuzugreifen, die einer anderen verpflichteten Person anvertraut wurden. Dies gilt auch für Soft- und Hardware, die einer anderen verpflichteten Person anvertraut wurden.
Verpflichtete Personen verpflichten sich, den Verantwortlichen unverzüglich nach Bekanntwerden einer Sicherheitsverletzung zu benachrichtigen und die Einzelheiten der Sicherheitsverletzung mitzuteilen.
Verpflichtete Personen müssen den Grundsatz des „aufgeräumten Arbeitsplatzes“ beachten, d. h. sie sind verpflichtet, vor Verlassen ihres Arbeitsplatzes zu kontrollieren, ob alle Datenträger, die personenbezogene Daten enthalten, entsprechend dieser Richtlinie ordnungsgemäß gesichert wurden. Verpflichtete Personen dürfen ihren Arbeitsplatz nicht verlassen, ohne diese Kontrolle durchgeführt zu haben, es sei denn, das Verbleiben am Arbeitsplatz birgt ein größeres Risiko als die Beschädigung, der Verlust oder der Diebstahl des Datenträgers mit personenbezogenen Daten.
Verpflichtete Personen sind verpflichtet, die erforderlichen Maßnahmen zu treffen, um Beschädigung, Verlust oder Diebstahl der Datenträger mit personenbezogene Daten zu verhindern.
Alle Aufzeichnungen oder schriftlichen Unterlagen, die personenbezogene Daten enthalten, sind unverzüglich zu vernichten, sobald sie nicht mehr benötigt werden.
Pflichten bei einzelnen Verarbeitungstätigkeiten
Bei den einzelnen Verarbeitungstätigkeiten müssen die verpflichteten Personen die folgenden verbindlichen Anweisungen befolgen:
Kommunikation
Jegliche Kommunikation per E-Mail darf nur über die sichere E-Mail-Adresse erfolgen, die der Verantwortliche der verpflichteten Person zugewiesen hat. Die Verwendung persönlicher E-Mail-Adressen für die Kommunikation mit personenbezogenen Daten, die vom Verantwortlichen verarbeitet werden, ist nicht gestattet.
Die gesamte Kommunikation muss über Geräte erfolgen, die der verpflichteten Person vom Verantwortlichen überlassen wurden, oder über Geräte, die vom Verantwortlichen für einen bestimmten Zweck genehmigt wurden.
Die Übermittlung personenbezogener Daten per Telefon oder ungesicherter E-Mail ist untersagt.
Hat die verpflichtete Person Zweifel an der Identität einer anderen Person, an die sie personenbezogene Daten übermitteln soll, so ist sie bis zur Klärung dieser Zweifel zur Geheimhaltung verpflichtet.
Stellt die verpflichtete Person bei der Bearbeitung von Unterlagen fest, dass diese ein Dokument enthalten, das nur für den privaten Gebrauch der betroffenen Person bestimmt ist, so hat sie die Bearbeitung der in diesem Dokument enthaltenen personenbezogenen Daten unverzüglich einzustellen, das Dokument gegen zufälliges Lesen zu sichern (z. B. durch Verschließen in einem Umschlag) und es der betroffenen Person auszuhändigen oder für eine spätere Aushändigung an die betroffene Person sicher aufzubewahren.
Jede Sendung, die an eine natürliche Person (d. h. nicht an den Verantwortlichen) adressiert ist, muss dem Empfänger so schnell wie möglich ungeöffnet ausgehändigt werden. Andere Sendungen werden geöffnet und den zuständigen Beschäftigten übergeben. Sendungen an den Verantwortlichen sind immer mit dem Eingangsdatum zu versehen. Wenn eine solche Kennzeichnung das Dokument entwerten könnte, wird das Datum auf dem Umschlag vermerkt, in dem das Dokument eingegangen ist.
Personaleinstellung
Die Einstellung erfolgt durch die Geschäftsführung. Niemand sonst hat Zugang zu den Daten der Bewerber.
Bei der Einstellung neuer Mitarbeiter verweist die verpflichtete Person auf die Datenschutzrichtlinie des Unternehmens. Damit soll sichergestellt werden, dass die betroffene Person über die Verarbeitung und Nutzung von Daten durch den Verantwortlichen informiert ist, bevor sie diesem Daten zur Verfügung stellt.
Bei Bewerbern, mit denen aufgrund unzureichender Qualifikation oder anderer Faktoren kein Arbeitsverhältnis zustande kommt, sind die sie betreffenden Informationen unverzüglich zu vernichten, d. h. alle elektronischen Kopien dieser Informationen sind unwiderruflich zu löschen und alle Unterlagen, die solche personenbezogenen Daten enthalten, sind zu vernichten.
Im Falle von Bewerbern, die für eine bestimmte Stelle nicht ausgewählt wurden, denen aber wahrscheinlich in naher Zukunft eine andere Stelle angeboten wird, können deren personenbezogene Daten nach der Besetzung der Stelle verarbeitet werden, jedoch nur für einen angemessenen Zeitraum, d. h. für drei Monate. Nach Ablauf dieser Frist ist davon auszugehen, dass die betroffene Person nicht mehr an dem Stellenangebot interessiert ist, und der Verpflichtete vernichtet die personenbezogenen Daten.
Bewerbern dürfen keine falschen oder irreführenden Auskünfte erteilt werden.
Es ist unzulässig, mehr Informationen über die Bewerber einzuholen, als die verpflichtete Person zur Beurteilung ihrer Eignung benötigt.
Personalakten
Bei der Einstellung erhebt der Verantwortliche von der betroffenen Person nur die Daten, die er zur Erfüllung seiner gesetzlichen Pflichten und zur Ausübung seiner Rechte als Arbeitgeber im Zusammenhang mit dem Arbeitsverhältnis mit dem Arbeitnehmer, der Lohnabrechnung, der Abführung von Steuern, Abgaben und Pflichtbeiträgen zur Sozial-, Kranken- und gegebenenfalls Unfallversicherung, der Führung von Anwesenheitslisten, der Erfüllung von Pflichten im Zusammenhang mit dem Arbeitsschutz und der Erfassung von Dienstreisen benötigt.
Verpflichtete Personen sind nicht berechtigt, im Zusammenhang mit der Verarbeitung weitere personenbezogene Daten von den Beschäftigten zu erheben.
Die erhobenen personenbezogenen Daten werden in Personalakten an einem sicheren Ort in einem abgeschlossenen Büro aufbewahrt. Verpflichtete Personen dürfen diese Akten nur den im Verzeichnis der Verarbeitungstätigkeiten Nr. 3 aufgeführten Auftragsverarbeitern zur Verfügung stellen. Die Mitnahme von Personalakten aus dem jeweiligen Büro ist ohne ausdrückliche Anweisung des Verantwortlichen strengstens untersagt. Die Akte eines Arbeitnehmers enthält immer einen Arbeitsvertrag oder eine Vereinbarung über die Ausführung eines Auftrags oder die Erbringung einer Arbeitsleistung sowie gegebenenfalls eine Verdienstbescheinigung, einen Eingangsfragebogen, eine Erklärung des Steuerpflichtigen zur Einkommensteuer und eine persönliche Einkommensteuererklärung. Die Personalakte kann weitere Dokumente enthalten, die in unmittelbarem Zusammenhang mit dem Beschäftigungsverhältnis stehen.
Verpflichtete Personen sind nicht berechtigt, anderen Mitarbeitern mehr personenbezogene Daten zur Verfügung zu stellen, als für die Zusammenarbeit erforderlich ist.
Die verpflichtete Person hat die betroffene Person unmittelbar vor Beendigung des Beschäftigungsverhältnisses über die vom Verantwortlichen festgelegten Datenschutzbestimmungen zu informieren. Gleichzeitig wird die betroffene Person über die Verarbeitung ihrer personenbezogenen Daten in Kenntnis gesetzt.
Kunden-Lieferanten-Beziehungen
Nur die vom Verantwortlichen benannte verpflichtete Person ist berechtigt, mit Kunden und Lieferanten zu kommunizieren. Verpflichtete Personen haben nur Zugriff auf personenbezogene Daten von Kunden und Lieferanten, wenn und soweit dies erforderlich ist. Die Kommunikation erfolgt immer nach den im Abschnitt „Kommunikation“ oben beschriebenen Regeln.
Verpflichtete Personen müssen jeden neuen Kunden oder Lieferanten nachweislich über die geltenden Datenschutzbestimmungen informieren (durch Versenden einer E-Mail-Benachrichtigung).
Über die Eintreibung fälliger Forderungen entscheidet der Geschäftsführer. In diesem Fall werden die erforderlichen Daten an den Erbringer der Rechtsdienstleistung übermittelt.
Verpflichtete Personen haben über alle Tatsachen, die ihnen im Zusammenhang mit den Kunden-Lieferanten-Beziehungen des Verpflichteten bekannt werden, Stillschweigen zu bewahren.
Projektinformationen werden in Auftragsordnern aufbewahrt, die im Büro des Projektleiters zur Verfügung stehen. Die Auftragsakten enthalten u. a. technische Daten über das Projekt und den Projektfortschritt. Verpflichtete Personen sind nicht befugt, Unterlagen, die personenbezogene Daten enthalten, in die Auftragsakte aufzunehmen, es sei denn, dies ist unbedingt erforderlich. Verpflichtete Personen können im Rahmen der Projektdurchführung auf Auftragsakten zugreifen. Einsicht in Auftragsakten bereits durchgeführter Projekte erhalten die Verpflichteten nur im Rahmen der Bearbeitung von Reklamationen oder sonstigen Ansprüchen aus dem durchgeführten Projekt.
Datensammlung
Zugang zur Datensammlung haben nur der Geschäftsführer des Unternehmens oder ggf. ein von ihm mit der Verwaltung der Datensammlung beauftragter Mitarbeiter sowie der vertraglich gebundene Buchhaltungsdienstleister. Die zugriffsberechtigten Personen sind jedoch nicht berechtigt, ohne Wissen und Zustimmung des Geschäftsführers Eintragungen in die Datensammlung vorzunehmen.
Die Anmeldedaten für die Datensammlung sind vertraulich zu behandeln und das Passwort ist besonders zu schützen, da mit der Datensammlung eine Reihe verbindlicher und rechtskräftiger Handlungen vorgenommen werden können.
Personenbezogene Daten können über die Datensammlung an Dritte übermittelt werden, wenn dies gesetzlich vorgeschrieben ist (Weitergabe an das Finanzamt, die Krankenkasse, die Tschechische Sozialversicherungsanstalt, eine Versicherungsgesellschaft usw.) oder wenn der Verantwortliche durch eine gerichtliche Verfügung oder eine andere Entscheidung einer für die Überwachung der Tätigkeit des Verantwortlichen zuständigen Verwaltungsbehörde dazu verpflichtet wurde.
Marketing
Der Verantwortliche ist befugt, Marketingmaßnahmen durchzuführen und die Darstellung des Unternehmens und seiner Produkte auf www.vettronic.eu zu publizieren. In diesen Darstellungen kann der Verantwortliche die Kontaktdaten einer verpflichteten Person angeben, wenn die Offenlegung dieser Kontaktdaten mit der Stellenbeschreibung vereinbar ist.
Verpflichtete Personen sind nicht berechtigt, die auf der Website veröffentlichten Informationen ohne Wissen und ausdrückliche Anweisung des Geschäftsführers des Unternehmens zu ändern.
Der Verantwortliche hat einen Facebook-Account eingerichtet, um die Sichtbarkeit des Unternehmens zu erhöhen. Die zur Verwaltung des Accounts befugte Person ist nicht berechtigt, Dritten Zugang zum Account zu gewähren. Diese Person ist nicht berechtigt, personenbezogene Daten über diesen Account zu verbreiten. Die für den Account verantwortliche Person kann Fragen der Nutzer beantworten, darf aber nicht aktiv mit den Nutzern in Kontakt treten.
Buchhaltung
Alle Buchhaltungsunterlagen werden in einem verschlossenen Büro gesammelt und an den Bearbeiter, d. h. den vertraglich gebundenen Buchhaltungsdienstleister, übermittelt. Die Übermittlung der Buchhaltungsdaten erfolgt über die Software Pohoda, in die der bevollmächtigte Mitarbeiter laufend alle Verkaufsdaten einträgt.
Alle Buchhaltungsunterlagen werden mit der Buchhaltungssoftware Pohoda geführt.
Verpflichtete Personen dürfen Dritten keinen Zugriff auf das Pohoda-Benutzerkonto gewähren und das Passwort zum Benutzerkonto nicht an Dritte weitergeben.
In allen buchhalterischen Angelegenheiten dürfen verpflichtete Personen nur mit einem vertraglich gebundenen Buchhalter kommunizieren, der mit dem Verantwortlichen eine Geheimhaltungsvereinbarung abgeschlossen hat.
Verpflichtete Personen sind nicht befugt, ohne ausdrückliche Anweisung des Verantwortlichen Dritten buchhalterische Informationen zugänglich zu machen.
Hardware
Verpflichtete Personen sind verpflichtet, nur die Hardware zu verwenden, die ihnen vom Verantwortlichen zur Verfügung gestellt wurde oder deren Verwendung der Verantwortliche im Zusammenhang mit der Verarbeitung personenbezogener Daten genehmigt hat. Verpflichtete Personen sind nicht berechtigt, die Sicherheitseinstellungen der ihnen anvertrauten Hardware zu verändern.
Verpflichtete Personen sind nicht berechtigt, die ihnen anvertraute Hardware außerhalb der vom Verantwortlichen dafür vorgesehenen Räumlichkeiten zu verwenden. Dies gilt nicht für mobile Geräte, deren Verwendung außerhalb der dafür vorgesehenen Räumlichkeiten vom Verantwortlichen genehmigt wurde.
Wird die Hardware mit Zustimmung des Verantwortlichen außerhalb der vorgesehenen Räumlichkeiten verbracht, verpflichtet sich die verpflichtete Person, das Gerät an einem sicheren Ort aufzubewahren. Während des Transports ist das Gerät stets von der verpflichteten Person zu beaufsichtigen. Die verpflichtete Person ist nicht berechtigt, das Gerät Dritten zur Verfügung zu stellen.
Wird der verpflichteten Person ein Benutzerkonto zugewiesen, so hat sie dieses mit einem geeigneten und ausreichend starken Passwort zu sichern. Das Passwort muss immer Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen enthalten und mindestens acht Zeichen lang sein. Verpflichtete Personen dürfen die Passwörter zu ihren Benutzerkonten nicht an Dritte weitergeben und tragen die volle Verantwortung für den Zugang zu personenbezogenen Daten über ihre Benutzerkonten.
Es ist verboten, Passwort-Informationen auf der Hardware oder an leicht zugänglichen und sichtbaren Stellen anzubringen.
Es ist verboten, ohne Wissen und ausdrückliche Zustimmung des Verantwortlichen Software auf der Hardware des Verantwortlichen zu installieren.
Es ist verboten, Hardware oder Geräte des Verantwortlichen, die von diesem verarbeitete personenbezogene Daten enthalten, mit unbekannten oder ungesicherten Netze zu verbinden.
Auf allen Computern und Telefonen muss nach mindestens drei Minuten Inaktivität eine automatische Bildschirm- oder Displaysperre aktiviert werden, so dass zum Entsperren des Geräts ein Sicherheitspasswort eingegeben werden muss.
Büro- und Hardwaresicherheit
Verpflichtete Personen, die vom Verantwortlichen einen Schlüssel oder ein anderes Zugangsmittel zu einem vom Verantwortlichen genutzten Gebäude erhalten haben, sind verpflichtet, diese Zugangsmittel zu verwahren und vor Beschädigung, Zerstörung und insbesondere vor Verlust oder Diebstahl zu schützen. Bei Verlust oder Diebstahl eines solchen Zugangsmittels hat die verpflichtete Person unverzüglich den Verantwortlichen zu benachrichtigen, der geeignete Maßnahmen ergreift, um ein Bekanntwerden, einen Verlust oder einen Diebstahl der im Gebäude gespeicherten Daten zu verhindern (d. h. insbesondere sofortiger Austausch des Schlosses, Deaktivierung des Zugangschips usw.).
Verpflichtete Personen dürfen die Zugangsmittel zum Gebäude nicht unbeaufsichtigt an einem ungesicherten Ort zurücklassen oder Dritten zur Verfügung stellen.
Verpflichtete Personen, die vom Verantwortlichen Hardware erhalten haben, auf der von diesem verarbeitete personenbezogene Daten gespeichert sind, dürfen diese Hardware nicht an einem ungesicherten Ort ohne Aufsicht oder Zugang Dritter zurücklassen. Bei Beschädigung, Verlust, Zerstörung oder Diebstahl der Geräte hat die verpflichtete Person den Verantwortlichen unverzüglich zu benachrichtigen. Wenn die verpflichtete Person vermutet, dass die ihr anvertraute Hardware gehackt werden könnte, muss sie unverzüglich den Verantwortlichen benachrichtigen und alle erforderlichen Maßnahmen ergreifen, um den Angriff zu verhindern (d. h. sie muss sich unverzüglich mit dem IT-Administrator in Verbindung setzen und dessen Anweisungen befolgen).
Vor Verlassen der gesicherten und verschließbaren Räume des Verantwortlichen haben sich verpflichtete Personen stets zu vergewissern, dass alle elektrischen Geräte ausreichend gesichert, die Fenster gut verschlossen und die Türen ordnungsgemäß verriegelt sind. Verpflichtete Personen dürfen Räumlichkeiten, die an ein Sicherheitssystem angeschlossen sind, nicht verlassen, ohne zuvor das Sicherheitssystem aktiviert zu haben. Die Bestimmungen dieses Absatzes gelten nicht, wenn sich noch eine andere verpflichtete Person in den Räumlichkeiten befindet.
Das Firmenarchiv ist durch eine abschließbare Tür geschützt. Nur die Geschäftsführer und die von ihnen benannten Personen haben Zugang zum Archiv. Diese Personen haben dafür Sorge zu tragen, dass die Tür des Archivs zu jeder Zeit ordnungsgemäß verschlossen ist und dass alle Fenster des Archivs geschlossen sind. Verpflichtete Personen dürfen das Archiv nicht verlassen, ohne sich davon überzeugt zu haben, dass dies geschehen ist.
Sicherheitsvorfälle
Ein Sicherheitsvorfall ist eine Verletzung des Schutzes personenbezogener Daten, die zur ungewollten oder rechtswidrigen Vernichtung oder Weitergabe oder zum ungewollten oder rechtswidrigen Verlust von übermittelten, gespeicherten oder anderweitig verarbeiteten personenbezogenen Daten oder zum ungewollten oder rechtswidrigen Zugriff auf diese Daten führt.
Stellt die verpflichtete Person einen Sicherheitsvorfall oder einen drohenden Sicherheitsvorfall fest, so hat sie den Verantwortlichen unverzüglich zu unterrichten.
Im Falle eines Sicherheitsvorfalls meldet der Verantwortliche die Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem er von der Verletzung Kenntnis erhalten hat, der zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Stuft der Verantwortliche die Angelegenheit als geringfügig ein, d. h., ohne Risiko für die Rechte und Freiheiten natürlicher Personen, wird er die Aufsichtsbehörde nicht benachrichtigen, sondern Maßnahmen ergreifen, um eine Wiederholung des Vorfalls zu verhindern.
Bei der Bewertung des mit der Sicherheitsverletzung verbundenen Risikos berücksichtigt der Verantwortliche die Kategorie der vom Sicherheitsvorfall betroffenen personenbezogenen Daten, die Art der Sicherheitsverletzung und die Zahl der betroffenen Personen. Ein erhöhtes Risiko besteht insbesondere bei besonderen Datenkategorien (z. B. Gesundheitsdaten) oder bei Daten, bei denen der betroffenen Person ein Schaden entsteht oder bei denen ihre Rechte beeinträchtigt werden können. Der Verantwortliche prüft auch, ob die Verletzung vorsätzlich oder fahrlässig begangen wurde. Vorsätzliches Handeln erhöht das Risiko eines Sicherheitsvorfalls erheblich.
Kommt der Verantwortliche zu dem Schluss, dass der Sicherheitsvorfall Auswirkungen auf die Rechte und Freiheiten natürlicher Personen haben könnte, so gibt er in dem Bericht Folgendes an:
- Identität des Verantwortlichen;
- Art der Sicherheitsverletzung;
- ergriffene Maßnahmen;
- wahrscheinliche Folgen;
- Kontaktdaten des Bevollmächtigten.
Wenn der Vorfall ein hohes Risiko für die Rechte und Freiheiten der betroffenen Person darstellt, muss der Verantwortliche auch die betroffene Person über den Vorfall informieren. Dies gilt nicht, wenn diese Verpflichtung einen unverhältnismäßigen Aufwand erfordern würde. In diesem Fall müssen jedoch alle betroffenen Personen in gleicher Weise durch öffentliche Bekanntmachung informiert werden.
Haftung
Der Verantwortliche hat die verpflichteten Personen darauf hingewiesen, dass sie sich strafbar machen können, wenn sie die Geheimhaltungspflicht in Bezug auf die vom Verantwortlichen verarbeiteten personenbezogenen Daten gemäß § 44 und § 44a des Gesetzes Nr. 101/2000 Sb. über den Schutz personenbezogener Daten verletzen.
Der Verantwortliche hat die verpflichteten Personen auch darauf hingewiesen, dass sie im Falle einer unbefugten Verarbeitung personenbezogener Daten eine Straftat nach § 180 des Gesetzes Nr. 40/2009 Sb. über den Schutz personenbezogener Daten, in der jeweils geltenden Fassung, begehen können.
Darüber hinaus ist der Verantwortliche berechtigt, von den verpflichteten Personen den Ersatz des ihm durch deren Zuwiderhandlung entstandenen Schadens bis zu der Höhe zu verlangen, die im Arbeitsgesetzbuch oder im Bürgerlichen Gesetzbuch in der jeweils geltenden Fassung vorgesehen ist.
Dokumentation der ergriffenen Maßnahmen
Die vom Verantwortlichen beauftragte Person ist verpflichtet, eine Akte zu führen, die folgende Unterlagen enthält:
- Datenblätter für DSGVO-Analysen
- GAP-Analyse
- Informationen zur Verarbeitung – Partner
- Informationen zur Verarbeitung – Mitarbeiter (Muster)
- Änderung des Arbeitsvertrags (Muster)
- Geheimhaltungsvereinbarungen mit Auftragsverarbeitern
- Datenschutzrichtlinie
- Erklärung zu Cookies
- Verwendete Musterzustimmungen
- Aufzeichnungen über Verarbeitungstätigkeiten
- Diese Richtlinie
- Alle anderen Dokumente zum Schutz personenbezogener Daten
Regeln für die Archivierung und Aktenvernichtung
Zur Vereinheitlichung des Verfahrens für den Umgang mit Dokumenten oder anderen Unterlagen, die vom Verantwortlichen im Rahmen seiner Tätigkeit erstellt werden oder sich in seinem Besitz befinden, hat der Verantwortliche die folgenden verbindlichen Regeln festgelegt. Die Verantwortung für die ordnungsgemäße Führung des Archivs liegt beim Geschäftsführer, der für die systematische Archivierung sorgt.
Das Archivmaterial ist so aufzubewahren, dass es nicht beschädigt, zerstört, verloren oder gestohlen werden kann. Archivmaterial darf nur in begründeten Fällen und mit Zustimmung des bevollmächtigten Geschäftsführers außer Haus gegeben werden.
Dokumente werden spätestens am 31. März des auf ihre Erstellung folgenden Jahres im Archiv des Verantwortlichen abgelegt. Vor der Ablage im Archiv sind die Dokumente mit dem Dokumententitel, dem Zeitstempel, dem Vernichtungszeichen und der Aufbewahrungsfrist zu kennzeichnen. Das Vernichtungszeichen gibt den dokumentarischen Wert der einzelnen Dokumentenarten an:
- A – Das Dokument hat dauerhaften dokumentarischen Wert und muss auf unbestimmte Zeit aufbewahrt werden;
- V – Das Dokument wird einem Bewertungsverfahren unterzogen, um zu entscheiden, ob es dauerhaft aufzubewahren ist. Der dokumentarische Wert des Dokuments wird vom Archivleiter, d. h. dem bevollmächtigten Geschäftsführer, bewertet;
- S – Das Dokument ist nach Ablauf der Aufbewahrungsfrist zu vernichten.
Das Archiv dient in erster Linie der Aufbewahrung folgender Unterlagen:
Aufbewahrungsfristen
- Gesellschaftsvertrag
- Satzung
- Richtlinien
- Vorschriften
- Einladungen
- Protokoll
- Beschlüsse
- Anwesenheitslisten
- Liste der Partner
- Verträge mit Kunden
- Verträge mit Lieferanten
- Aufzeichnungen über getätigte Geschäfte
- Belege zu den getätigten Geschäften
- Vertragsdokumente ohne Einfluss auf die USt-Berechnung
- Personalfragebögen
- Arbeitsverträge
- Vereinbarungen über die Ausführung eines Auftrags
- Vereinbarungen über die Ausführung von Arbeiten
- Einkommensteuererklärung für Steuerpflichtige
- Mitarbeiterkarten
- Persönliche Einkommensteuererklärungen
- Verdienstnachweise
- Anwesenheitslisten bei Fortbildungen
- Mitarbeiter-Anwesenheitslisten
- Jahresabschlüsse – Bilanzen, Gewinn- und Verlustrechnungen, Anhänge
- Steuererklärung
- Buchhaltungsunterlagen
- Geschäftsbücher
- Kontenpläne
- Unterlagen zur Umsatzsteuererklärung und zum Steuerbescheid
- Kaufverträge für bewegliche Vermögenswerte
- Werkverträge
- Kaufverträge für unbewegliche Vermögenswerte
- Werkverträge
- Verschiedenes