GDPR

Diese GDPR-Richtlinie beschreibt den organisatorischen Rahmen, nach dem MIREQO den Schutz personenbezogener Daten unter Berücksichtigung der Grundsätze der Datenschutz-Grundverordnung (EU) 2016/679 (DSGVO) gestaltet.

Im Unterschied zur Datenschutzerklärung und zur Cookie-Richtlinie liegt der Schwerpunkt dieser Richtlinie auf der Organisation des Datenschutzes, der Umsetzung von Verantwortlichkeiten, der Risikoprävention und den Verfahren im Zusammenhang mit dem Schutz personenbezogener Daten.

1. Verantwortung für den Datenschutz

Der Schutz personenbezogener Daten ist ein wesentlicher Bestandteil der über die Website durchgeführten Tätigkeiten.

Bei der Bewertung von Verfahren zur Verarbeitung personenbezogener Daten werden insbesondere folgende Faktoren berücksichtigt:

Art der jeweiligen Tätigkeit
eingesetzte Technologien
mögliche Risiken für die Rechte und Freiheiten betroffener Personen

Ändern sich Tätigkeiten, eingesetzte Systeme oder andere Umstände, die sich auf Sicherheit oder Datenschutzkonformität auswirken können, werden die entsprechenden Datenschutzverfahren erneut überprüft.

2. Datenschutz bereits bei der Gestaltung

Werden neue Funktionen, Technologien oder Abläufe eingeführt, die eine Verarbeitung personenbezogener Daten beinhalten können, werden Datenschutzanforderungen bereits bei ihrer Planung berücksichtigt.

Soweit angemessen, orientiert sich die Gestaltung von Systemen und Einstellungen insbesondere an folgenden Grundsätzen:

Zugriff auf personenbezogene Daten nur in dem Umfang, in dem er tatsächlich erforderlich ist
Verarbeitung und Nutzung personenbezogener Daten nur in dem Umfang, der für die jeweilige Tätigkeit erforderlich ist

Auch Voreinstellungen werden überprüft, um eine nicht erforderliche Verarbeitung personenbezogener Daten nach Möglichkeit zu vermeiden.

3. Bewertung und Management von Risiken

Tätigkeiten, die mit der Verarbeitung personenbezogener Daten verbunden sind, können anhand der möglichen Risiken für die Rechte und Freiheiten betroffener Personen bewertet werden.

Dabei können insbesondere folgende Faktoren berücksichtigt werden:

Art der Verarbeitung
Umfang der verarbeiteten Daten
Art der betroffenen Daten
eingesetzte Technologien
Art und Umfang der Zugriffsmöglichkeiten
mögliche Folgen einer unbefugten Nutzung

Kann eine Verarbeitung voraussichtlich ein höheres Risiko für die Rechte und Freiheiten betroffener Personen verursachen, wird entsprechend den Anforderungen der DSGVO geprüft, ob eine Datenschutz-Folgenabschätzung (DPIA) erforderlich ist.

4. Datenschutz-Folgenabschätzung

Soweit die Voraussetzungen der DSGVO erfüllt sind, kann vor Beginn der betreffenden Verarbeitung eine Datenschutz-Folgenabschätzung durchgeführt werden.

Diese Bewertung dient insbesondere dazu:

relevante Risiken zu erkennen
die Wahrscheinlichkeit und mögliche Schwere potenzieller Auswirkungen zu bewerten
Maßnahmen zur Verringerung der festgestellten Risiken zu bestimmen
zu prüfen, ob die Verarbeitung unter angemessenen Datenschutzbedingungen durchgeführt werden kann

Zeigt die Bewertung, dass ein Risiko trotz geeigneter Maßnahmen nicht ausreichend verringert werden kann, werden die nach anwendbarem Recht erforderlichen weiteren Schritte geprüft.

5. Umgang mit Dienstleistern, die personenbezogene Daten verarbeiten

Werden externe Stellen eingesetzt, um personenbezogene Daten im Auftrag von MIREQO zu verarbeiten, werden bei deren Auswahl die nach den anwendbaren Datenschutzvorschriften erforderlichen Schutzvoraussetzungen berücksichtigt.

Die übertragenen Tätigkeiten werden entsprechend den tatsächlichen betrieblichen Anforderungen und den jeweils zugewiesenen Verantwortlichkeiten festgelegt.

Soweit dies nach der DSGVO erforderlich ist, wird das Verhältnis zu Stellen, die personenbezogene Daten im Auftrag verarbeiten, durch Vereinbarungen oder andere rechtsverbindliche Dokumente geregelt, die den anwendbaren Anforderungen entsprechen.

Autorisierte Stellen dürfen personenbezogene Daten nur:

im Rahmen der ihnen zugewiesenen Tätigkeiten verarbeiten
entsprechend den jeweils anwendbaren Vorgaben und Weisungen verarbeiten

6. Zugriffs- und Berechtigungsmanagement

Der Zugriff auf personenbezogene Daten wird entsprechend dem tatsächlichen betrieblichen Bedarf beschränkt.

Berechtigungen werden anhand der jeweiligen Aufgaben vergeben und können geändert oder entzogen werden, wenn sie nicht mehr erforderlich sind.

Damit soll insbesondere das Risiko verringert werden, dass personenbezogene Daten von unbefugten Personen oder Stellen eingesehen, verwendet oder verändert werden.

7. Umgang mit Datenschutzverletzungen

Ereignisse, die die Sicherheit personenbezogener Daten beeinträchtigen können, werden insbesondere im Hinblick auf folgende Aspekte bewertet:

Art des Ereignisses
Umfang der möglichen Auswirkungen
mögliche Folgen für betroffene Personen

Wird eine Verletzung des Schutzes personenbezogener Daten festgestellt, werden die erforderlichen Maßnahmen ergriffen, um das Ereignis zu kontrollieren und mögliche Auswirkungen soweit wie möglich zu begrenzen.

Soweit nach anwendbarem Recht eine Meldung an eine zuständige Aufsichtsbehörde oder eine Benachrichtigung betroffener Personen erforderlich ist, werden die entsprechenden Pflichten nach den Voraussetzungen und Anforderungen der DSGVO behandelt.

8. Dokumentation und Aufzeichnungen

Abhängig von Art und Umfang der jeweiligen Tätigkeiten umfasst das Datenschutzmanagement, soweit gesetzlich erforderlich, auch die Führung notwendiger Unterlagen und Aufzeichnungen, um die Umsetzung der nach der DSGVO erforderlichen Maßnahmen nachweisen zu können.

Die entsprechende Dokumentation kann insbesondere Folgendes betreffen:

Tätigkeiten zur Verarbeitung personenbezogener Daten
getroffene technische und organisatorische Maßnahmen
Risikobewertungen
Zugriffsberechtigungen
weitere Maßnahmen im Zusammenhang mit dem Schutz personenbezogener Daten

9. Datenschutzbewusstsein und Unterweisung

Personen, die zum Zugriff auf personenbezogene Daten berechtigt sind, müssen sich ihrer Verantwortung im Umgang mit diesen Daten bewusst sein.

Abhängig von den jeweiligen Aufgaben können Unterweisungen und Maßnahmen zur Sensibilisierung insbesondere folgende Themen umfassen:

Anforderungen an die Vertraulichkeit
ordnungsgemäßer Zugriff auf personenbezogene Daten
Umgang mit Anfragen betroffener Personen
angemessene Maßnahmen bei tatsächlichen oder vermuteten Sicherheitsvorfällen

Eine Berechtigung zum Zugriff auf personenbezogene Daten bedeutet nicht, dass diese Daten für Zwecke außerhalb des jeweiligen Berechtigungsumfangs verwendet werden dürfen.

10. Datenschutzbeauftragter

Soweit die gesetzlichen Voraussetzungen nach der DSGVO erfüllt sind, wird geprüft, ob ein Datenschutzbeauftragter (DPO) zu benennen ist.

Die Beurteilung richtet sich nach Art, Umfang, Zweck und Größenordnung der tatsächlich durchgeführten Verarbeitungstätigkeiten.

Diese Richtlinie stellt keine Erklärung darüber dar, dass ein Datenschutzbeauftragter benannt wurde.

11. Zusammenarbeit mit Datenschutzaufsichtsbehörden

Soweit dies nach anwendbarem Recht erforderlich ist, erfolgt bei Angelegenheiten des Schutzes personenbezogener Daten eine Zusammenarbeit mit den jeweils zuständigen Datenschutzaufsichtsbehörden.

Für Tätigkeiten, die den deutschen Datenschutzvorschriften unterliegen, richtet sich die Zuständigkeit nach den jeweils geltenden gesetzlichen Regelungen und den zuständigen Datenschutzaufsichtsbehörden.

Eine solche Zusammenarbeit kann insbesondere umfassen:

Bearbeitung von Anfragen zuständiger Aufsichtsbehörden
Mitwirkung bei Prüfungen oder Überprüfungen
Bearbeitung gesetzlich vorgesehener Mitteilungen und Kommunikation

12. Überprüfung der Datenschutzkonformität

Ändern sich Tätigkeiten, eingesetzte Systeme, festgestellte Risiken oder anwendbare gesetzliche Anforderungen wesentlich, werden die Verfahren zum Schutz personenbezogener Daten erneut überprüft.

Die Überprüfung kann insbesondere Folgendes umfassen:

Wirksamkeit der getroffenen Schutzmaßnahmen
bestehende Zugriffsberechtigungen
organisatorische Verfahren
bereits festgestellte oder neu auftretende Risiken

Soweit erforderlich, werden entsprechende Anpassungen vorgenommen, damit das Datenschutzniveau den tatsächlich durchgeführten Tätigkeiten angemessen bleibt.

13. Änderungen dieser GDPR-Richtlinie

Diese GDPR-Richtlinie kann aktualisiert werden, wenn sich insbesondere folgende Bereiche ändern:

gesetzliche oder regulatorische Anforderungen
technische Entwicklungen
organisatorische Abläufe
die Art und Weise der Verwaltung von Tätigkeiten zur Verarbeitung personenbezogener Daten

Soweit Änderungen erforderlich sind, um die Angemessenheit und Einheitlichkeit des organisatorischen Datenschutzrahmens aufrechtzuerhalten, werden diese bewertet und entsprechend berücksichtigt.