Verbindliche interne
Datenschutzvorschriften(Binding Corporate Rules –BCRs)Richtlinien fürVerantwortliche

INHALT1.

einleitunG .............................................................................................................................. 3

2.

Schlüsselwörter ..................................................................................................................... 7

3.

Verpflichtungen als Verantwortliche .................................................................................. 11
Grundprinzipien ........................................................................................................... 11
Rechtsgrundlage für die Verarbeitung personenbezogener Daten ............................. 11
Transparenz und Offenlegung von Informationen ...................................................... 12
Rechte von Einzelpersonen .......................................................................................... 15
Personenbezogenen Daten von Kindern ..................................................................... 16
Besondere Kategorien von personenbezogenen Daten .............................................. 16

4.

Personenbezogene Datenübertragungen ........................................................................... 18Übertragungen von personenbezogenen Daten ......................................................... 18

5.

Praktische Verpflichtungen ................................................................................................. 19
Sicherheit und Vertraulichkeit ..................................................................................... 19
Rechenschaftspflicht .................................................................................................... 20
Schulungsprogramm .................................................................................................... 21
Prüfprogramm.............................................................................................................. 22
Verhältnis zwischen nationalen Gesetzen und den BCRs ............................................ 22
Beschwerdemechanismen ........................................................................................... 23
Zusammenarbeit mit Behörden ................................................................................... 23
Aktualisierungen der Regeln ........................................................................................ 24

6.

Rechte und Haftung des Drittbegünstigten ........................................................................ 25
Rechte von Drittbegünstigten ...................................................................................... 25
Haftung und Beweislast ............................................................................................... 25

7.

Schlussbestimmungen......................................................................................................... 27

1

Schlussbestimmungen ................................................................................................. 27
Anhang i Liste der Unternehmen der KUMON-Gruppe ........................................................... 28
ANHANG II Betreffende Zugang und Beschwerdeverfahren ................................................... 29
1

Beschwerden bei KUMON ............................................................................................... 29

2

Rechte von Einzelpersonen: Betreffende Zugriffsanfragen............................................. 31

3

Rechte von Einzelpersonen: Andere Anfragen ................................................................ 32

Anhang III Compliance-Struktur ............................................................................................... 33
1

Global Data Protection Officer (globaler Datenschutzbeauftragter) .............................. 33

2

Global Data Protection Team .......................................................................................... 34

3

Lokaler Datenschutzmanager .......................................................................................... 34

4Interne Kommunikationsverfahren für Mitarbeiter ........................................................ 35

Anhang IV Schulungsprotokoll ................................................................................................. 36
1

Mitarbeiterschulung ........................................................................................................ 36

Anhang v

PRÜFUNG-Protokoll ................................................................................................. 37

1

Prüfungsgrundsätze ......................................................................................................... 37

2

Struktur der Prüfung ........................................................................................................ 37

3

Prüfverfahren................................................................................................................... 37

ANHANG VI Update-Verfahren ................................................................................................ 391Änderungen an den BCRs ................................................................................................ 39

2

Nicht genehmigungspflichtige Änderungen an den BCRs ............................................... 39

2

1. EINLEITUNG
Wer sind wir?
KUMON ist ein weltweit führender Anbieter von individualisiertem Unterricht, geleitet vom
KUMON Institute of Education Co., Ltd. mit Sitz in Japan. KUMON bietet Lernprogramme fürSchüler verschiedener Altersgruppen an, die auf der unabhängig entwickelten "KUMONMethode" basieren. Diese Lernprogramme werden durch KUMONs globales Netzwerk vonfranchise- und firmeneigenen KUMON-Lerncentern und Partnerlizenznehmern angeboten.

Was sind die BCRs?
Um unser Ziel zu erreichen, so vielen Menschen wie möglich dabei zu helfen, ihr Potenzial zu
entdecken und ihre Fähigkeiten durch die KUMON-Methode maximal zu entwickeln, gibt
KUMON manchmal persönliche Daten zwischen den Unternehmen der KUMON-Gruppe weiter.
Es ist für uns wichtig, dass wir persönliche Daten mit angemessenem Schutz behandeln.
KUMON übernimmt die zugrundeliegenden verbindlichen internen Datenschutzvorschriften(BCRs oder BCRs genannt), um die Prinzipien von KUMON zum Schutz persönlicher Daten und
die Regeln, die wir befolgen, wenn wir persönliche Daten mit KUMON Group-Unternehmen
außerhalb des EWR teilen, festzulegen.
Die BCRs bestehen aus zwei Gruppen von Richtlinien: Die BCRs – Richtlinien für Verantwortlicheund die BCRs – Richtlinien für Auftragsverarbeiter. Dieses Dokument enthält die BCRs – dieRichtlinien für Verantwortliche - und wird hier (im Folgenden) einfach als "BCRs" bezeichnet.
Diese BCRs beschreiben, wie die Unternehmen der KUMON-Gruppe die Datenschutzgesetzeeinhalten, wenn sie als Datenverantwortliche handeln.
Diese BCRs werden auf den entsprechenden Websites von KUMON veröffentlicht.

3

Was wird durch die BCRs abgedeckt?
Diese BCRs decken das Erheben von personenbezogenen Daten aus dem EWR durch die
Unternehmen der KUMON-Gruppe (siehe die Liste in Anhang I) sowie die Übermittlung vonDaten zwischen Unternehmen der KUMON-Gruppe sowie alle anderen Verarbeitungen vonDaten ab. Dies kann Folgendes umfassen:
Franchise-Instructor
Name, Adresse, Name des Lerncenters, Kontaktinformationen,
Daten-Kategorien

Berufs- und Ausbildungsinformationen, Erfahrung und Geschichte
des InstructorsÜbertragungen

An KUMON Institute of Education Co., Ltd. mit Sitz in Japanaußerhalb des EWRAn KUMON Europe & Africa Limited, mit Sitz in GroßbritannienUnterstützung der Instructor/Mitarbeiter des Lerncenters, um
die Service-Qualität zu gewährleisten

Unterstützung der lokalen Unternehmen der KUMON-Gruppe
bei der Verwaltung, Verbesserung und Erweiterung der KUMONLerncenter im Land/der RegionSchulung von Mitarbeitern und Instructorn

Entwicklung

undweitereVerbesserung

derKUMON-

Lernmaterialien und -Lehrmethoden auf lokaler und globaler

Verwendungszwecke

Ebene


Bereitstellung von IT-Support und Wartung des dedizierten
Servers und der Systeme, die von den Unternehmen der
KUMON-Gruppe für die Verwaltung ihrer Region verwendet
werdenGenerierung statistischer Informationen für lokale, regionale
und globale AnalysenEinhaltung von behördlichen Vorschriften und Regeln

Schüler, die mit dem KUMON-Programm lernen (oder daran interessiert sind)
Daten-Kategorien

Name, Schüler-ID, Name des Lerncenters, Adresse, Alter, Schulnote,Lernfortschritt, Dauer der InstruktionÜbertragungen

An KUMON Institute of Education Co., Ltd. mit Sitz in Japanaußerhalb des EWRAn KUMON Europe & Africa Limited, mit Sitz in GroßbritannienErbringung relevanter Dienstleistungen für den Schüler im

Verwendungszwecke

Rahmen der KUMON-Methode4



Unterstützung der Instructor/Mitarbeiter des Lerncenters, um
die Service-Qualität zu gewährleisten

Unterstützung der lokalen Unternehmen der KUMON-Gruppe
bei der Verwaltung, Verbesserung und Erweiterung der KUMONLerncenter im Land/der RegionSchulung von Mitarbeitern und Instructorn

Entwicklung

undweitereVerbesserung

derKUMON-

Lernmaterialien und -Lehrmethoden auf lokaler und globaler
EbeneBereitstellung von IT-Support und Wartung des dedizierten
Servers und der Systeme, die von den Unternehmen der
KUMON-Gruppe für die Verwaltung ihrer Region verwendet
werdenGenerierung statistischer Informationen für lokale, regionale
und globale AnalysenEinhaltung von behördlichen Vorschriften und Regeln

Eltern von Schülern
Daten-Kategorien

Name, Name des Schülers, Beziehung zum Schüler, Adresse,
KontaktinformationenÜbertragungen

An KUMON Institute of Education Co., Ltd. mit Sitz in Japanaußerhalb des EWRAn KUMON Europe & Africa Limited, mit Sitz in GroßbritannienErbringung relevanter Dienstleistungen für den Schüler im
Rahmen der KUMON-Methode

Kontaktaufnahme mit den Eltern, auch um auf Anfragen zu
reagieren oder um Feedback einzuholen oder über den

Verwendungszwecke

Fortschritt des Schülers zu berichtenBereitstellung von IT-Support und Wartung des dedizierten
Servers und der Systeme, die von den Unternehmen der
KUMON-Gruppe für die Verwaltung ihrer Region verwendet
werdenEinhaltung von behördlichen Vorschriften und Regeln

Mitarbeiter
Daten-Kategorien

Name, ID-Nummer, Geburtsdatum, Firmen-E-Mail-Adresse, Firma,
Abteilung/Team, Stellenbezeichnung, Arbeitsbereich,5

Stellenbeschreibung, Mitarbeiterfoto, Betriebszugehörigkeit,
Beschäftigungsart, Bewertung, Vergütung (Gehalt, Bonus, Zuschläge,
Zusatzleistungen), ggf. Kündigungsdatum und -grundÜbertragungen

An KUMON Institute of Education Co., Ltd. mit Sitz in Japanaußerhalb des EWRAn KUMON Europe & Africa Limited, mit Sitz in GroßbritannienPersonal- und Arbeitsmanagement von Konzerngesellschaften,
einschließlich

AnalyseundEntwicklungvonKonzern-

Personalstrategien, -programmen, -systemen und -regeln
Verwendungszwecke

Identifizierung, Kommunikation und Zusammenarbeit mit
Mitarbeitern der KUMON Group Companies im EWR beiverschiedenen ProjektenEinhaltung von behördlichen Vorschriften und Regeln

Die BCRs gelten für alle Arten von Verarbeitungen, ob automatisiert oder manuell, gleichwelcher Art.

Wer muss die BCRs beachten?
Die in 0aufgeführten Unternehmen der KUMON-Gruppe und ihre Mitarbeiter müssen die BCRs
befolgen. Jedes dieser Unternehmen der KUMON-Gruppe ist durch eine konzerninterne
Vereinbarung an die BCRs gebunden und verpflichtet sich, die notwendigen Schritte zu
unternehmen, um sicherzustellen, dass es und seine jeweiligen Mitarbeiter diese BCRs einhalten.
Die Liste der Unternehmen der KUMON-Gruppe in 0kann von Zeit zu Zeit gemäß dem in
0beschriebenen Aktualisierungsverfahren für BCRs aktualisiert werden.

Ich habe eine Frage zu den BCRs. Wen soll ich fragen?
Bei Fragen oder Bedenken bezüglich der BCRs und ihrer Rechte in Bezug auf die von einem
Mitglied der KUMON-Gruppe erhobenen und verarbeiteten Daten können sich Einzelpersonen
an das Global Data Protection Team unter der folgenden E-Mail-Adresse wenden:
bcr@kumon.co.jp

6

2. SCHLÜSSELWÖRTER
Für die Zwecke der BCRs haben die nachstehenden Schlüsselwörter die folgenden Bedeutungen:(a) "Kind" oder "Kinder"

Personen unter 16 Jahren (oder in jedem anderen Alter, in dem
die Zustimmung eines Erziehungsberechtigten nach den
einschlägigen EWR-Gesetzen erforderlich ist, um die
personenbezogenen Daten der Person zu verarbeiten)(b) "DatenVerantwortlicher"

Die natürliche oder juristische Person, Behörde, Einrichtungoder jede andere Stelle, die allein oder gemeinsam mit anderenüber die Zwecke und Mittel der Verarbeitung vonpersonenbezogenen Daten entscheidet oder die nachgeltendem Recht als solche benannt wurde(c) "Auftragsverarbeiter"

Eine natürliche oder juristische Person, Behörde, Einrichtungoder jede andere Stelle, die personenbezogene Daten im
Auftrag des Datenverantwortlichen verarbeitet(d) "EWR"

Der Europäische Wirtschaftsraum. Ungeachtet desVorstehenden ist während der Übergangszeit, in der das
Vereinigte Königreich an die EU-Gesetze gebunden ist, derBegriff "EWR" so auszulegen, dass er das Vereinigte Königreich
einschließt.

(e) "EWR-Gesetze"

Die Gesetze der Europäischen Union und des Mitgliedstaates,
aus dem die personenbezogenen Daten ursprünglich gewonnen
oder erstmals innerhalb des EWR verarbeitet wurden(f) "EWR Leitende Stelle"

KUMON Europe & Africa, Ltd., ein Unternehmen der KUMONGruppe mit Sitz und Geschäftstätigkeit im Vereinigten
Königreich. Ungeachtet des Vorstehenden wird bis zum Endedes Übergangszeitraums, in dem das Vereinigte Königreich an
die EU-Gesetze gebunden ist, KUMON Instituto de Educación deEspaña S. A., ein in Spanien niedergelassenes und operierendes
Unternehmen der KUMON-Gruppe, zum EWR-Federführer.

7(g) "Mitarbeiter"

Jede Person innerhalb der Organisation eines Unternehmens
der KUMON-Gruppe, die unter direkter oder indirekter Leitung
und Aufsicht des Unternehmens der KUMON-Gruppe am
Betrieb des Unternehmens beteiligt ist, was neben Mitarbeitern
mit einem Angestelltenverhältnis (Vollzeitmitarbeiter,
Vertragsmitarbeiter, Teilzeitmitarbeiter usw.) auch leitendeAngestellte, Direktoren, Unternehmensrevisoren und
Zeitarbeiter usw. umfasst. Zur Vermeidung von Zweifeln schließt
der Begriff "Mitarbeiter" keine unabhängigen Auftragnehmer,
Subunternehmer oder Instructor/Personal von KUMON-Centernein.

(h) "Franchise-Instructoroder Instructor"

Jeder Instructor, der autorisiert wurde, Schüler auf derGrundlage der KUMON-Methode anzuleiten, weil er einenFranchise-Vertrag mit KUMON abgeschlossen hat(i) "DSGVO"

Verordnung (EU) 2016/679 des Europäischen Parlaments und
des Rates vom 27. April 2016 zum Schutz natürlicher Personen
bei der Verarbeitung personenbezogener Daten, zum freien
Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG(Datenschutz-Grundverordnung), mit den jeweils geltendenÄnderungen(j) "Erziehungsberechtigter"

Ein Elternteil oder eine Person mit elterlicher Verantwortung füreine bestimmte Person(k) "Einzelperson"

Die in den angegebenen personenbezogenen Daten, die voneinem Unternehmen der KUMON Group im EWR an ein
Unternehmen der KUMON Group außerhalb des EWRübertragen wurden, betroffene Person(l) "KIE"

KUMON Institute of Education Co., Ltd.

(m) "KUMON"

Das jeweilige Unternehmen der KUMON-Gruppe oder alle
Unternehmen der KUMON-Gruppe zusammen, je nach Kontext(n) "Unternehmen der
KUMON-Gruppe"

Jede der in 0, die von Zeit zu Zeit gemäß 0aktualisiert wird,
aufgeführten Stellen8(o) "LeitendeAufsichtsbehörde"Die spanische Datenschutzaufsichtsbehörde (Agencia Españolade Protección de Datos (AEPD)) oder eine andere
Aufsichtsbehörde, die nach geltendem Recht ordnungsgemäß
als leitende Aufsichtsbehörde für die BCRs benannt ist(p) "Mitgliedsstaat"

Jedes Land innerhalb des EWR(q) " Personenbezogene

Alle aus dem EWR stammenden Informationen, die sich auf eine

Daten"

natürliche Person beziehen, die direkt oder indirekt identifiziert
werden kann, insbesondere durch Zuordnung zu einer Kennung
wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu
einer Online-Kennung oder zu einem oder mehreren
besonderen Merkmalen, die Ausdruck der physischen,physiologischen, genetischen, psychischen, wirtschaftlichen,kulturellen oder sozialen Identität dieser natürlichen Person
sind(r) "Verarbeitung"

Jeder mit oder ohne Hilfe automatisierter Verfahren(von personenbezogenen

ausgeführte Vorgang

und jede Vorgangsreihe im

Daten)

Zusammenhang mit personenbezogenen Daten oder einer
Reihe personenbezogener Daten, wie das Erheben, das
Erfassen, die Organisation, die Strukturierung, die Speicherung,die Anpassung oder Veränderung, das Auslesen, das Abfragen,die Benutzung, die Offenlegung durch Übermittlung,
Verbreitung oder eine andere Form der Bereitstellung, derAbgleich oder die Verknüpfung, die Einschränkung, das Löschenoder die Vernichtung(s) "Verarbeitungsland"

Das Land, in dem die angegebenen personenbezogenen Datenverarbeitet werden sollen(t) "Besondere Kategorien

Personenbezogene Daten, aus denen die rassische odervon personenbezogenen

ethnische Herkunft, politische Meinung, religiöse oder

Daten"

philosophische Überzeugung oder die
Gewerkschaftszugehörigkeit hervorgehen sowie allgemeine
Daten, biometrische Daten oder Daten über Gesundheit oder9Sexualleben oder sexuelle Orientierung einer natürlichen
Person(u) "Aufsichtsbehörde"Eine unabhängige öffentliche Behörde, die von einem
Mitgliedstaat eingerichtet wird und für die Überwachung derAnwendung der DSGVO zuständig ist(v) "Dritter"

Eine natürliche oder juristische Person, Behörde, Agentur oder
Einrichtung, die nicht die Einzelperson, derDatenverantwortliche oder KUMON als Auftragsverarbeiter ist.
Zur Vermeidung von Zweifeln schließt der Begriff "Dritter" keine
anderen Unternehmen der KUMON-Gruppe ein.

(w) "Drittbegünstigter"

Die Person, die Rechte als Drittbegünstigter gemäß Abschnitt
6.1.1hat.

103. VERPFLICHTUNGEN ALS VERANTWORTLICHE
Grundprinzipien
3.1.1

Rechtmäßigkeit, Fairness und Transparenz: Die personenbezogenen Daten werden
rechtmäßig, fair und in einer transparenten Weise in Bezug auf die Einzelperson verarbeitet(siehe Abschnitt 3.2und Abschnitt 3.3).

3.1.2

Zweckbeschränkung: Die personenbezogenen Daten werden für festgelegte, eindeutige
und rechtmäßige Zwecke erhoben und nicht in einer mit diesen Zwecken unvereinbaren
Weise weiterverarbeitet.

3.1.3

Datenminimierung: KUMON stellt sicher, dass persönliche Daten angemessen, relevant undauf das beschränkt sind, was in Bezug auf die Zwecke, für die sie gesammelt, übertragen undweiterverarbeitet werden, notwendig ist.

3.1.4

Datenqualität: KUMON stellt sicher, dass die persönlichen Daten korrekt sind und, falls
erforderlich, auf dem neuesten Stand gehalten werden. Zu diesem Zweck werden
Einzelpersonen aufgefordert, KUMON über jede Änderung ihrer persönlichen Daten zu
informieren. KUMON wird alle angemessenen Schritte unternehmen, um sicherzustellen,
dass unrichtige Daten unter Berücksichtigung der Zwecke, für die sie verarbeitet werden,
unverzüglich gelöscht oder berichtigt werden.

3.1.5

Aufbewahrung von persönlichen Daten: KUMON ergreift Maßnahmen, um sicherzustellen,
dass persönliche Daten nicht länger als für die Zwecke, für die sie erhoben wurden,
erforderlich in einer Form aufbewahrt werden, die eine Identifizierung von Personen
ermöglicht, und dass sie sicher verarbeitet und entsorgt werden.

Rechtsgrundlage für die Verarbeitung personenbezogener
Daten
3.2.1

KUMON wird personenbezogene Daten nur dann verarbeiten, wenn einer oder mehrere derfolgenden Gründe erfüllt sind:(a)Die betroffene Person hat eindeutig ihre Zustimmung für einen oder mehrere
bestimmte Zwecke gegeben;

11

(b)

Die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die
betroffene Person ist, oder zur Durchführung von Maßnahmen auf Antrag derbetroffenen Person vor Abschluss eines Vertrags erforderlich;(c)

Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, dersie unterliegt;(d)

Die Verarbeitung ist notwendig, um die lebenswichtigen Interessen der Person zu
schützen;(e)

Die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die imöffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem
Unternehmen übertragen wurde; oder(f)

Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Unternehmens
oder des bzw. der Dritter Auftragsverarbeiter, an die die Daten weitergegeben
werden, erforderlich, sofern nicht die Interessen oder Grundrechte undGrundfreiheiten der betroffenen Person überwiegen.

Transparenz und Offenlegung von Informationen
3.3.1

Offenlegung von Informationen: Der Person werden die folgenden Informationen zur
Verfügung gestellt, wenn personenbezogene Daten von der betroffenen Person gesammelt
werden oder wenn die personenbezogenen Daten nicht direkt von der betroffenen Person
erhalten wurden:(a)

Die Identität von KUMON und seinem Vertreter, falls vorhanden, sowie deren
jeweilige Kontaktdaten;(b)Ggf. Kontaktdaten des globalen Datenschutzbeauftragten, des globalen
Datenschutzteams und/oder des lokalen Datenschutzmanagers;(c)

Die Zwecke der Verarbeitung, für die die Daten bestimmt sind, sowie die
Rechtsgrundlage für die Verarbeitung;(d)Wenn die Verarbeitung auf berechtigten Interessen beruht, die berechtigten
Interessen, die von dem für die Datenverarbeitung Verantwortlichen oder dem
Dritten verfolgt werden;(e)

Die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten,
falls vorhanden;(f)

Das Bestehen des Rechts auf Auskunft und das Recht auf Berichtigung, Löschungoder Einschränkung der Verarbeitung der sie betreffenden personenbezogenen
Daten oder auf Widerspruch gegen die Verarbeitung sowie das Recht auf

12Datenübertragbarkeit;(g)Gegebenenfalls die Tatsache, dass KUMON beabsichtigt, personenbezogene Datenin ein Drittland oder an eine internationale Organisation zu übermitteln, einen
Verweis auf die BCRs oder andere angemessene oder geeignete Schutzmaßnahmen
zur Durchführung einer solchen Übermittlung, und wo diese zur Verfügung gestellt
wurden;(h)

Soweit anwendbar, die allgemeinen Grundprinzipien der Datenverarbeitung gemäß
diesem Abschnitt 3, Abschnitt 4und Abschnitt 5.1die Bestimmungen zur Haftung bei
Verstößen gegen die BCRs und die Rechte des Drittbegünstigten gemäß den
Abschnitten 5.5, 5.6, 5.7, 6.1und 6.2sowie 0zusammen mit den Mitteln zur
Ausübung dieser Rechte;(i)

Der Zeitraum, für den die personenbezogenen Daten gespeichert werden, oder, falls
dies nicht möglich ist, die Kriterien, die zur Bestimmung dieses Zeitraums verwendet
werden;(j)

Wenn die Verarbeitung auf einer Einwilligung oder einer ausdrücklichen
Einwilligung beruht, das Bestehen des Rechts, die Einwilligung jederzeit zu
widerrufen, ohne dass die Rechtmäßigkeit der auf der Einwilligung beruhenden
Verarbeitung vor ihrem Widerruf berührt wird;(k)

Das Recht, eine Beschwerde bei der Aufsichtsbehörde einzureichen;(l)

Ob die Bereitstellung der personenbezogenen Daten eine gesetzliche odervertragliche Verpflichtung darstellt oder eine Voraussetzung für den Abschluss eines
Vertrages ist sowie ob die Person zur Bereitstellung der personenbezogenen Datenverpflichtet ist und welche Folgen die Nichtbereitstellung dieser Daten haben kann;(m)das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling
gemäß Artikel 22 Absätze 1 und 4 DSGVO und - zumindest in diesen Fällen aussagekräftige Informationen über die involvierte Logik sowie die Bedeutung und
die voraussichtlichen Folgen einer solchen Verarbeitung für die betroffene Person
und

(n)

Wenn die personenbezogenen Daten nicht direkt von der Person erhalten wurden,
werden der Person auch Informationen über die Kategorien und Quellen derbetreffenden personenbezogenen Daten zur Verfügung gestellt.

3.3.2

Zeitpunkt der Offenlegung von Informationen: Die in Abschnitt 3.3.1Informationen werden
der Person zur Verfügung gestellt:(a)

Zu dem Zeitpunkt, zu dem die persönlichen Daten von der Person erhalten werden;

13

(b)

Wenn dies zum Zeitpunkt der Erhebung der personenbezogenen Daten nicht
möglich ist, weil die personenbezogenen Daten nicht direkt von der Person erhalten
wurden, so bald wie möglich danach, spätestens jedoch innerhalb eines Monats,unter

Berücksichtigung

derbesonderen

Umstände,

unter

denen

die

personenbezogenen Daten verarbeitet werden;(c)

Wenn die personenbezogenen Daten für die Kommunikation mit der Person
verwendet werden sollen und die personenbezogenen Daten nicht direkt von der
Person erhalten wurden, spätestens zum Zeitpunkt der ersten Kommunikation mit
dieser Person oder(d)Wenn eine Weitergabe an einen anderen Empfänger vorgesehen ist und die
personenbezogenen Daten nicht direkt von der Person erhalten wurden, spätestens
bei der ersten Weitergabe der personenbezogenen Daten.

3.3.3

Gründe für die Nichtoffenlegung: Ungeachtet der Abschnitte 3.3.1und 3.3.2 ist KUMON
nicht verpflichtet, die Informationen an die in Abschnitt 3.3.1Person weiterzugeben, wenn:(a)

Die Person bereits über die Informationen verfügt(b)

Die Daten nicht direkt von der Person erlangt wurden und die Weitergabe
ausdrücklich durch die EWR-Gesetze geregelt ist, denen der Verantwortliche
unterliegt und die angemessene Maßnahmen zum Schutz der berechtigten
Interessen der Person vorsehen;(c)

Die Daten nicht direkt von der Person eingeholt wurden und die Bereitstellung derInformationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand
gemäß Artikel 14 Absatz 5 Buchstabe b) DSGVO bedeuten würde;(d)

Die Daten nicht direkt von der Person erlangt wurden und die personenbezogenen
Daten vertraulich bleiben müssen und einer durch die EWR-Gesetze geregelten
Verpflichtung zur Wahrung des Berufsgeheimnisses unterliegen oder(e)

Das Recht der Europäischen Union oder der Mitgliedstaaten, dem der für die
Verarbeitung Verantwortliche oder der Auftragsverarbeiter unterliegt, die Rechte
des Einzelnen in Bezug auf die Transparenz gemäß Artikel 23 der DSGVO einschränkt,sofern die Einschränkungen nach diesem Recht den Kern der Grundrechte undGrundfreiheiten respektieren und in einer demokratischen Gesellschaft notwendige
und verhältnismäßige Maßnahmen sind, um die in Artikel 23 der DSGVO
vorgesehenen Interessen zu schützen, wie etwa den Schutz der betroffenen Personoder der Rechte und Freiheiten anderer.

143.3.4

Offenlegung der BCRs: Die BCRs werden jeder Einzelperson auf Anfrage zur Verfügung
gestellt. Einzelpersonen haben das Recht, einfachen Zugang zu den BCRs zu haben. KUMON
verpflichtet sich, die BCRs auf der unter https://www.kumongroup.com/eng/bcr/
zugänglichen Website zu veröffentlichen, um sicherzustellen, dass die BCRs für die
Einzelperson leicht zugänglich sind.

3.3.5

Offenlegung von Übertragungen/Verarbeitungen persönlicher Daten: Einzelpersonen
werden über die Übertragung und sonstige Verarbeitung ihrer personenbezogenen Daten
gemäß dem in 0beschriebenen Verfahren informiert.

Rechte von Einzelpersonen
3.4.1

Jede Einzelperson hat das Recht, in Übereinstimmung mit dem in 0beschriebenen Verfahren:(a)eine Bestätigung darüber zu erhalten, ob personenbezogene Daten, die die Person
betreffen, verarbeitet werden oder nicht, Zugang zu den in Abschnitt
3.3.1genannten

Informationen

und

eine

Kopie

aller

sie

betreffenden

personenbezogenen Daten, die von einem Mitglied der KUMON-Gruppe erhoben,
verarbeitet oder übermittelt werden, ohne Einschränkung, in angemessenen
Abständen, ohne übermäßige Verzögerung und kostenlos oder gegen eine
angemessene Gebühr, wenn die Anfrage offensichtlich unbegründet oderübermäßig ist (z. B. wenn die Person mehrere Kopien verlangt);(b)

die Berichtigung von personenbezogenen Daten zu erwirken, insbesondere wennsie unvollständig oder unrichtig sind;(c)das Recht auf unverzügliche Löschung der sie betreffenden personenbezogenen
Daten, wenn die personenbezogenen Daten für die Zwecke, für die sie erhoben oderverarbeitet wurden, nicht mehr erforderlich sind, wenn es keine Rechtsgrundlage
für die Verarbeitung mehr gibt oder aus anderen in der DSGVO vorgeschriebenen
Gründen;(d)das Recht, eine Einschränkung der Verarbeitung in einem bestimmten Umfang zu
erwirken, wenn die betroffene Person ein berechtigtes Interesse an der
Einschränkung der Verarbeitung nachweisen kann;(e)jederzeit aus zwingenden, schutzwürdigen, sich aus seiner besonderen Situation
ergebenden Gründen der Erhebung, Verarbeitung oder Übermittlung seiner
personenbezogenen Daten zu widersprechen, es sei denn, die Erhebung,Verarbeitung oder Übermittlung ist gesetzlich vorgeschrieben (ist der Widerspruch
begründet, muss die Erhebung, Verarbeitung oder Übermittlung eingestellt

15

werden);(f)

auf

Anfrageundkostenlos

derVerarbeitung

der

ihn

betreffenden

personenbezogenen Daten zu Zwecken des Direktmarketings zu widersprechen;
und,
(g)

das Recht, keiner Entscheidung unterworfen zu werden, die ausschließlich auf einer
automatisierten Verarbeitung, einschließlich Profiling, beruht und die rechtlichen
Auswirkungen auf die Person hat oder sie erheblich beeinträchtigt, es sei denn, dies
ist nach der DSGVO zulässig.

3.4.2

Identitätsbestätigung: Sollte KUMON vor der Beantwortung von Anfragen gemäß Abschnitt
3.4.1begründete Zweifel an der Identität der anfragenden Person haben, kann KUMON
Informationen anfordern, die es vernünftigerweise benötigt, um die Identität deranfragenden Person zu bestätigen und die relevanten Informationen, auf die sich die
Anfragebezieht,zufinden.

KUMON

hält

sich

bei

der

DurchführungdesIdentifizierungsprozesses an die nationalen gesetzlichen Anforderungen.
3.4.3

Das Verfahren für die Ausübung der Rechte von Einzelpersonen sowie die spezifischen
Fristen für die Reaktion sind in Anhang II aufgeführt.

Personenbezogenen Daten von Kindern
3.5.1

Zustimmung der Erziehungsberechtigten: Sofern KUMON keine andere legitime
Rechtsgrundlage gemäß DSGVO hat, wird KUMON die persönlichen Daten von Kindern nicht
ohne die Zustimmung der Erziehungsberechtigten sammeln, verwenden oder übertragen.

3.5.2

Verarbeitung der Daten von Kindern auf der Grundlage berechtigter Interessen: Die
Interessen und Rechte von Kindern werden vor der Verarbeitung ihrer personenbezogenen
Daten besonders berücksichtigt, wenn die Verarbeitung auf der Grundlage der in Abschnitt
3.2.1(f) genannten Gründe erfolgt.

Besondere Kategorien von personenbezogenen Daten
3.6.1

Sofern KUMON keine andere legitime Rechtsgrundlage gemäß DSGVO hat, verarbeitet
KUMON besondere Kategorien personenbezogener Daten nur, wenn dies absolut notwendig
ist und wenn KUMON eine ausdrückliche Zustimmung erhalten hat, die eindeutig und frei
gegeben sein muss.

16

3.6.2Der Zugang zu allen besonderen Kategorien personenbezogener Daten wird streng auf die
entsprechenden Mitarbeiter beschränkt.

3.6.3

KUMON stellt sicher, dass besondere Kategorien personenbezogener Daten bei Bedarf mit
erweiterten Sicherheitsmaßnahmen verarbeitet werden.

17

4. PERSONENBEZOGENE DATENÜBERTRAGUNGENÜbertragungen von personenbezogenen Daten
4.1.1Übertragungen personenbezogener Daten zur Datenverarbeitung: KUMON beschränktÜbertragungen und Weiterübertragungen von personenbezogenen Daten an einen
Auftragsverarbeiter (unabhängig davon, ob es sich um eine Drittpartei oder ein anderes
Unternehmen der KUMON-Gruppe handelt), es sei denn, es hat:(a)vor der Übermittlung schriftliche Vereinbarungen mit dem Auftragsverarbeitergetroffen, die die in Abschnitt 5.1.4Anforderungen und alle in der DSGVO
festgelegten Anforderungen erfüllen, und(b)anderweitig die notwendigen Maßnahmen ergriffen, um einen angemessenen
Schutz gemäß der DSGVO für die von der Übermittlung betroffenen
personenbezogenen Daten zu gewährleisten.

4.1.2

Datenübertragungen und Weiterübertragungen: KUMON beschränkt Übertragungen und
Weiterübertragungen personenbezogener Daten an eine Einrichtung außerhalb des EWR(unabhängig davon, ob es sich um eine Drittpartei oder ein anderes Unternehmen der
KUMON-Gruppe handelt), es sei denn, die Übertragung erfolgt in Übereinstimmung mit der
DSGVO in Bezug auf die Übertragung personenbezogener Daten, und insbesondere:(a)die Übermittlung erfolgt an ein Drittland oder eine internationale Organisation, vonder die zuständige Behörde festgestellt hat, dass sie ein angemessenes
Schutzniveau gewährleistet;(b)die Übermittlung unterliegt angemessenen, nach der DSGVO anerkannten
Garantien, die die durchsetzbaren Rechte und wirksamen Rechtsbehelfe derbetroffenen Personen gewährleisten;(c)die Übermittlung erfüllt eine Bedingung, die als eine nach der DSGVO zulässige
Ausnahmeregelung angegeben ist, oder(d)wenn die Übertragung an ein anderes Unternehmen der KUMON Group außerhalb
des EWR erfolgt, findet die Übertragung in Übereinstimmung mit diesen BCRs statt.

18

5. PRAKTISCHE VERPFLICHTUNGEN
Sicherheit und Vertraulichkeit
5.1.1

Technischeundorganisatorische

Maßnahmen

:

KUMON

stelltsicher,dasspersonenbezogene Daten in einer Weise verarbeitet werden, die eine angemessene
Sicherheit der personenbezogenen Daten gewährleistet, einschließlich des Schutzes vor
unbefugter oder unrechtmäßiger Verarbeitung und vor versehentlichem Verlust, Zerstörung
oder Beschädigung, insbesondere wenn die Verarbeitung die Übertragung von Daten überein Netzwerk beinhaltet, sowie vor allen anderen unrechtmäßigen Formen der Verarbeitung.
KUMON stellt dies durch die Umsetzung geeigneter technischer und organisatorischer
Maßnahmen sicher, die von Zeit zu Zeit aktualisiert werden.
5.1.2

Sicherheitsniveau: Die umzusetzenden technischen und organisatorischen Maßnahmen
müssen ein dem Risiko angemessenes Sicherheitsniveau gewährleisten, wobei der Stand derTechnik (wie dieser Ausdruck in Artikel 32 der DSGVO verstanden wird) und die Kosten ihrer
Umsetzung sowie die Art, der Umfang, der Kontext und die Zwecke der Verarbeitung sowie
das Risiko unterschiedlicher Wahrscheinlichkeit und Schwere für die Rechte und Freiheiten
natürlicher Personen zu berücksichtigen sind.

5.1.3

Mitarbeiter-Compliance:

Mitarbeiterdürfenpersonenbezogene

Daten

nur

in

Übereinstimmung mit den BCRs verarbeiten. Jeder Mitarbeiter, der gegen die BCRs verstößt,
kann disziplinarisch belangt werden (bis hin zur Entlassung).
5.1.4

Schriftliche Vereinbarungen mit Auftragsverarbeitern : KUMON stellt sicher, dass jeder
Auftragsverarbeiter (ob eine Drittpartei oder ein anderes Unternehmen der KUMONGruppe), der personenbezogene Daten im Auftrag von KUMON verarbeitet, an eineschriftliche Vereinbarung (wie in Abschnitt 4.1beschrieben) gebunden ist, die alle
erforderlichen Elemente von Artikel 28.3 der DSGVO erfüllt und einschließt, z. B. dass er nur
auf Anweisung von KUMON handelt und für die Umsetzung angemessener Sicherheits- undVertraulichkeitsmaßnahmen verantwortlich ist sowie KUMON unverzüglich über eine
Verletzung personenbezogener Daten informiert.

5.1.5

Verletzung des Schutzes personenbezogener Daten: Wenn es eine Sicherheits- oder
Vertraulichkeitsverletzung gibt, die die personenbezogenen Daten von Personen betrifft:

19

(a)

KUMON meldet die Verletzung unverzüglich der zuständigen Aufsichtsbehörde
unter Berücksichtigung der Anforderungen der DSGVO an die betroffenen
personenbezogenen Daten, es sei denn, eine solche Verletzung wird wahrscheinlich
nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führen. Die
Benachrichtigung der zuständigen Aufsichtsbehörde hat innerhalb von 72 Stunden
nach Bekanntwerden der Verletzung des Schutzes personenbezogener Daten zu
erfolgen. Erfolgt die Benachrichtigung der Aufsichtsbehörde nicht innerhalb von 72
Stunden, sind ihr Gründe für die Verzögerung beizufügen.

(b)

Wenn eine solche Verletzung wahrscheinlich zu einem hohen Risiko für die Rechte
und Freiheiten der Personen führt, wird KUMON diese Verletzung ohne
unangemessene Verzögerung an die betroffenen Personen weitergeben.

(c)Darüber hinaus informiert KUMON das Global Data Protection Team und dieleitende

Stelleim

EWR

unverzüglich

über

alle

Verletzungenvonpersonenbezogenen Daten.
(d)Verletzungen des Schutzes personenbezogener Daten werden dokumentiert(einschließlich der Fakten der Verletzung, der Auswirkungen und der ergriffenen
Abhilfemaßnahmen).

EinesolcheDokumentation

wird

der

zuständigenAufsichtsbehörde auf deren Anfrage zur Verfügung gestellt.

Rechenschaftspflicht
5.2.1

KUMON ist für die Einhaltung dieser BCRs verantwortlich und muss diese nachweisen
können.

5.2.2

Aufbewahrung von Aufzeichnungen: KUMON stellt sicher, dass klare Aufzeichnungen überalle Datenverarbeitungsaktivitäten geführt werden, einschließlich:(a)Namen und Kontaktdaten des für die Verarbeitung Verantwortlichen und ggf. desgemeinsamen für die Verarbeitung Verantwortlichen, des Vertreters des für die
Verarbeitung Verantwortlichen und des Datenschutzbeauftragten;(b)

Kategorien von Personen und personenbezogenen Daten, die von den für die
Datenverarbeitung Verantwortlichen oder in deren Auftrag verarbeitet werden;(c)der Zwecke, für die die personenbezogenen Daten verarbeitet werden;(d)Kategorien der Empfänger, an die die personenbezogenen Daten weitergegeben
wurden oder werden (einschließlich Empfänger in Drittländern oder internationale
Organisationen);

20

(e)

Beschreibungen der technischen und organisatorischen Sicherheitsmaßnahmen,
die vorhanden sind;(f)soweit möglich, der vorgesehenen Fristen für die Löschung der verschiedenen
Datenkategorien;(g)gegebenenfalls Übermittlungen personenbezogener Daten in ein Drittland oder an
eineinternationale

Organisation

sowie

die

DokumentationderSicherheitsvorkehrungen bei Übermittlungen in Länder, bei denen die
Aufsichtsbehörde des Landes, aus dem die Übermittlung stammt, nicht entschieden
hat, dass sie ein angemessenes Schutzniveau gewährleisten; und,
(h)
5.2.3

KUMON

aller anderen Informationen, die gemäß der DSGVO aufgezeichnet werden sollten.
führt

ein

schriftliches,auchelektronisches,

Verzeichnis

derVerarbeitungstätigkeiten und stellt es auf Anfrage der Aufsichtsbehörde zur Verfügung.
5.2.4

Datenschutz-Folgenabschätzung: KUMON bestimmt die Notwendigkeit der Durchführung
von Datenschutz-Folgenabschätzungen für Verarbeitungsvorgänge, die wahrscheinlich zu
einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen führen. Wenn die
Ergebnisse zeigen, dass die Verarbeitung zu einem hohen Risiko führen würde, wenn
KUMON keine Maßnahmen zur Minderung der Risiken ergreift, konsultiert KUMON vor der
Verarbeitung die Aufsichtsbehörde.

5.2.5

Datenschutz

durch

Voreinstellungen:

Technikgestaltung

KUMON

setzt

und

angemessene

durch
technischedatenschutzfreundlicheundorganisatorische

Maßnahmen ein, die darauf ausgerichtet sind, die Datenschutzprinzipien wirksamumzusetzen und die erforderlichen Schutzmaßnahmen in die Verarbeitung zu integrieren,um die Einhaltung dieser BCRs zu erleichtern.
5.2.6

KUMON wird einen globalen Datenschutzbeauftragten ernennen, der mit Unterstützung desTop-Managements die Einhaltung der BCRs in KUMON gemäß dem in 0beschriebenen
Protokoll überwacht und sicherstellt.

Schulungsprogramm
5.3.1

KUMON wird seinen Mitarbeitern gemäß dem in 0beschriebenen Protokoll angemessene
Schulungen zu den BCRs anbieten.

215.3.2Keinem Mitarbeiter ist es gestattet, (i) personenbezogene Daten in ein Land außerhalb des
EWR zu übermitteln oder (ii) personenbezogene Daten außerhalb des EWR zu verarbeiten,
bevor er eine entsprechende Schulung erhalten hat, um dies zu tun.

Prüfprogramm
5.4.1

KUMON wird seine Einhaltung der BCRs gemäß dem in 0beschriebenen Protokoll prüfen.

Verhältnis zwischen nationalen Gesetzen und den BCRs
5.5.1

Wenn die Gesetze eines Landes, in dem die personenbezogenen Daten verarbeitet werden,
ein höheres Schutzniveau für personenbezogene Daten vorschreiben, haben sie Vorrang vor
den BCRs.

5.5.2

Wenn KUMON Grund zu der Annahme hat, dass die bestehende oder künftige nationale
Gesetzgebung des verarbeitenden Landes es daran hindern könnte, seine Verpflichtungengemäß den BCRs zu erfüllen, oder wesentliche Auswirkungen auf die durch die BCRs
gebotenen Garantien haben könnte, informiert KUMON unverzüglich das Global Data
Protection Team (siehe 0), die EWR-Federführung und die zuständige Aufsichtsbehörde,sofern dies nicht durch eine Strafverfolgungsbehörde untersagt ist (einschließlich
strafrechtlicher Verpflichtungen zur Wahrung der Vertraulichkeit einer strafrechtlichen
Untersuchung).

5.5.3

Im Falle eines Konflikts zwischen nationalem Recht und den Verpflichtungen in den BCRs
entscheidet der Globale Datenschutzbeauftragte (siehe 0) verantwortlich, welche
Maßnahmen zu ergreifen sind, und konsultiert im Zweifelsfall die zuständigenAufsichtsbehörden.

5.5.4

Wenn KUMON Grund zu der Annahme hat, dass gesetzliche Anforderungen, denen es ineinem Drittland unterworfen sein könnte, wahrscheinlich eine wesentliche nachteilige
Auswirkung auf die durch die BCRs gewährten Garantien haben, einschließlich rechtlichverbindlicher Aufforderungen zur Offenlegung personenbezogener Daten durch eine
Strafverfolgungsbehörde oder ein staatliches Sicherheitsorgan, informiert KUMON
unverzüglich das Global Data Protection Team (gemäß dem in 0Verfahren) und die
zuständige Aufsichtsbehörde über:(a)die Anfrage (einschließlich der Art der angeforderten Daten);

22

(b)

die anfordernde Stelle und(c)

die Rechtsgrundlage für die Anfrage,es sei denn, dies wird von einer Strafverfolgungsbehörde untersagt (einschließlich
strafrechtlicher Verpflichtungen zur Wahrung der Vertraulichkeit einer strafrechtlichen
Untersuchung). In diesem Fall wird sich KUMON nach besten Kräften bemühen, das Recht
auf Befreiung von dieser Verpflichtung zu erhalten und der zuständigen Aufsichtsbehörde soschnell wie möglich alle erforderlichen Informationen mitzuteilen und seine Bemühungendiesbezüglich nachzuweisen. Wenn KUMON trotz bester Bemühungen nicht in der Lage ist,
die zuständige Aufsichtsbehörde zu benachrichtigen, wird es einmal pro Jahr allgemeine
Informationen über die bei ihm eingehenden Anfragen zur Verfügung stellen (einschließlich
der Anzahl der Offenlegungsanfragen und der Art der angeforderten Daten und desAntragstellers, sofern möglich).
5.5.5

Wenn KUMON verpflichtet ist, personenbezogene Daten an eine Behörde weiterzugeben,
darf dies auf keinen Fall eine massive oder unverhältnismäßige Menge an
personenbezogenen Daten betreffen und nicht in einer Weise wahllos sein, die über das
hinausgeht, was in einer demokratischen Gesellschaft notwendig ist.

Beschwerdemechanismen
5.6.1

Personen, deren personenbezogene Daten von KUMON verarbeitet werden, haben das
Recht, bei KUMON Beschwerden einzureichen, indem sie das in 0beschriebene Verfahren
zur Bearbeitung von Beschwerden nutzen.

Zusammenarbeit mit Behörden
5.7.1

Zusammenarbeit mit der Aufsichtsbehörde: KUMON arbeitet mit der zuständigenAufsichtsbehörde zusammen. Beide unterstützen sich gegenseitig bei der Abwicklung einer
Untersuchung oder Anfrage durch die Aufsichtsbehörde.

5.7.2

Einhaltung der Entscheidung der Aufsichtsbehörde: KUMON akzeptiert, von derzuständigen Aufsichtsbehörde geprüft zu werden, und befolgt die Ratschläge derzuständigen Aufsichtsbehörde zu allen Fragen bezüglich der Auslegung der BCRs. Zur
Vermeidung von Zweifeln soll nichts hierin als Verzicht auf die Rechte von KUMON ausgelegt
werden, eine Entscheidung der zuständigen Aufsichtsbehörde anzufechten.

23

Aktualisierungen der Regeln
5.8.1

Jede Aktualisierung der BCRs wird in Übereinstimmung mit den in 0beschriebenen Verfahren
vorgenommen und den Aufsichtsbehörden gemeldet.

24

6. RECHTE UND HAFTUNG DESDRITTBEGÜNSTIGTEN
Rechte von Drittbegünstigten
6.1.1

Durchsetzung der BCRs: Einzelpersonen haben als Drittbegünstigte das Recht auf
gerichtliche Rechtsbehelfe und auf Wiedergutmachung und gegebenenfalls auf
Entschädigung für materielle oder immaterielle Schäden im Falle eines Verstoßes gegen die
Bestimmungen der BCRs durch ein Unternehmen der KUMON-Gruppe, insbesondere im
Falle eines Verstoßes gegen die Bestimmungen, die Einzelpersonen Rechte verleihen(Abschnitt 3, Abschnitt 4, Abschnitt 5.1, Abschnitt 5.2, Abschnitt 5.5, Abschnitt 5.6, Abschnitt
5.7und Abschnitt 6.2sowie 0und dieser Abschnitt 6.1). Dieses Recht umfasst sowohl
Rechtsbehelfe als auch das Recht auf Entschädigung.

6.1.2

Verantwortliches KUMON Group-Unternehmen: Die leitende Stelle im EWR ist das im EWR
ansässige Unternehmen der KUMON-Gruppe, das für die Beantwortung der Rechte vonDrittbegünstigten verantwortlich ist.

6.1.3

Zuständigkeitsvorschriften: Drittbegünstigte haben das Recht, insbesondere Klage zu
erheben vor:(a)den zuständigen Gerichte des Mitgliedstaates, dessen Gerichtsbarkeit sich nach
Wahl des Drittbegünstigten entweder nach dem Ort der Niederlassung des für die
Datenverarbeitung Verantwortlichen oder nach dem Ort des gewöhnlichen
Aufenthalts des Drittbegünstigten richtet, und(b)

den zuständigen Aufsichtsbehörden, deren Zuständigkeit sich insbesondere nach
Wahl des Drittbegünstigten entweder nach dem Ort seines gewöhnlichen
Aufenthalts oder seines Arbeitsplatzes oder nach dem Ort, an dem der behauptete
Verstoß gegen die BCRs stattgefunden hat, richtet.

Haftung und Beweislast
6.2.1

Verantwortung der leitenden

EWR Stelle in Bezug auf personenbezogene Daten: Dieleitende Stelle im EWR stimmt zu, dass:(a)die leitende Stelle im EWR

für die Handlungen anderer außerhalb des EWR

25

ansässiger Unternehmen der KUMON-Gruppe verantwortlich ist und sichverpflichtet, die erforderlichen Maßnahmen zu ergreifen, um Abhilfe zu schaffen,
und Ersatz für alle materiellen oder immateriellen Schäden zu leisten, die sich aus
der Verletzung der BCRs durch das außerhalb des EWR ansässige Unternehmen der
KUMON-Gruppe ergeben. Die leitende Stelle im EWR bestätigt, dass sie überausreichende Vermögenswerte verfügt, um Schadenersatz für Schäden zu leisten,die sich aus einem solchen Verstoß gegen die BCRs ergeben;(b)

Die leitende Stelle im EWR erkennt die Zuständigkeit der Gerichte oder anderer
zuständiger Behörden in der EU an und übernimmt die Verantwortung für Verstöße
gegen die BCRs und insbesondere für die sich daraus ergebenden individuellen
Rechte und Rechtsbehelfe, als ob der Verstoß durch die EWR leitende Stelle in dem
Mitgliedstaat, in dem es seinen Sitz hat, und nicht durch das außerhalb des EWR
ansässige Unternehmen der KUMON-Gruppe verursacht worden wäre, und(c)

Die leitende Stelle im EWR ist nicht berechtigt, sich auf eine Verletzung der Pflichten
eines dritten Auftragsverarbeiters zu berufen, um ihre eigene Haftung zu vermeiden.

6.2.2

Beweislast für personenbezogene EWR-Daten von Drittbegünstigten:(a)

Die leitende Stelle im EWR trägt die Beweislast dafür, dass das außerhalb des EWR
ansässige Unternehmen der KUMON-Gruppe nicht für einen Verstoß gegen die BCRs
haftbar ist, der dazu geführt hat, dass die Einzelpersonen Schadensersatzansprüche
geltend machen.

(b)

Wenn die leitende Stelle im EWR nachweisen kann, dass das Unternehmen der
KUMON-Gruppe nicht für das schadensverursachende Ereignis verantwortlich ist,kann sie sich von jeglicher Haftung/Verantwortung befreien.

26

7. SCHLUSSBESTIMMUNGEN
Schlussbestimmungen
7.1.1

Die BCRs werden ab dem Datum ihrer Genehmigung durch die Aufsichtsbehörde wirksam.

27

ANHANG I

LISTE DER UNTERNEHMEN DER KUMON-GRUPPE
Alle Rückfragen zu diesen BCRs können an diese E-Mail-Adresse gerichtet werden: bcr@kumon.co.jp
RegionJAPAN

Name des Unternehmens

Adresse/Website
KUMON Kyoiku-Kaikan 5-6-6 Nishinakajima

KUMON Institute of Education

Yodogawa-ku Osaka 532-8511 Japan

Co., Ltd.

KUMON Europe & Africa

https://www.kumon.ne.jp/
4th Floor West, Ealing Cross, 85 Uxbridge Road,
Ealing, London, W5 5TH U.K.

LimitedEUROPAUND
AFRIKAKUMON Instituto de

http://www.kumon.co.uk/
Paseo de la Castellana, 131, planta baja y primera
28046 Madrid, SPANIEN

Educación de España S. A.
KUMON Deutschland GmbH

http://www.kumon.es/
Wiesenstraße 21. 40549 Düsseldorf, DEUTSCHLAND
http://www.kumon.de/28

ANHANG IIBETREFFENDE ZUGANG UNDBESCHWERDEVERFAHREN
1

Beschwerden bei KUMON

1.1

Verantwortliches Team: Der Globale Datenschutzbeauftragte, das Globale Datenschutzteam
und die lokalen Datenschutzmanager sind die wichtigsten zuständigen Abteilungen, die für die
Erfüllung das Auskunftsersuchen von Einzelpersonen und die Bearbeitung ihrer Beschwerden
zuständig sind (siehe 0.

1.2

Kontaktperson: Jede Person kann Beschwerden über die Einhaltung der BCRs vorbringen,indem sie sich an den lokalen Datenschutzmanager des Landes wendet, in dem die Person
ansässig ist (siehe 0). Die Kontaktdaten des zuständigen lokalen Datenschutzmanagers werden
auf der lokalen Website des Unternehmens der KUMON-Gruppe in einem bestimmten Land
zur Verfügung gestellt.

1.3

Empfangsbestätigung: Der lokale Datenschutzmanager bestätigt der betroffenen Person
unverzüglich den Eingang der Beschwerde und gibt ohne unangemessene Verzögerung, in
jedem Fall aber innerhalb eines Monats nach Eingang der Beschwerde, eine inhaltliche
Antwort.

1.4

Beschwerden über personenbezogene Daten aus verschiedenen Gerichtsbarkeiten : Wennsich die Beschwerde auf personenbezogene Daten bezieht, die ihren Ursprung außerhalb desZuständigkeitsbereichs des lokalen Datenschutzmanagers haben, wird dieser die Beschwerde
der Person unverzüglich an das globale Datenschutzteam weiterleiten, das alle Beschwerden
im Rahmen der BCRs bearbeitet. Falls erforderlich, kann das Globale Datenschutzteam mit
anderen Mitarbeitern aus relevanten Unternehmen der KUMON-Gruppe, Geschäfts- undSupport-Einheiten zusammenarbeiten, um die Beschwerde zu bearbeiten. Das Global Data
Protection Team wird der betroffenen Person den Eingang einer Beschwerde innerhalb vonzehn Arbeitstagen bestätigen und innerhalb eines Monats ab dem Datum des Eingangs derBeschwerde eine inhaltliche Antwort geben.

1.5

Zeitrahmen für die Beantwortung: Wenn aufgrund der Komplexität der Beschwerde oder der
Anzahl der Anfragen eine substanzielle Antwort nicht innerhalb der in Abschnitt 1.3bzw.
1.4vorgeschriebenen Frist gegeben werden kann, wird der Beschwerdeführer mit einerangemessenen Schätzung (nicht mehr als zwei zusätzliche Monate) für den Zeitrahmen,
innerhalb dessen eine Antwort gegeben wird, entsprechend informiert.
1.6

Kommt der lokale Datenschutzmanager oder das globale Datenschutzteam zu dem Schluss,dass die Beschwerde berechtigt oder begründet ist, ergreift es angemessene Maßnahmen inÜbereinstimmung mit der Art der Beschwerde, um die Einhaltung der BCRs sicherzustellen.

1.7

Wenn der lokale Datenschutzmanager oder das globale Datenschutzteam die Beschwerde
zurückweist, weil er für unbegründet oder unbegründet hält, wird die Person über dieseFeststellung informiert und in der Antwort des lokalen Datenschutzmanagers oder desglobalen Datenschutzteams an die Person wird darauf hingewiesen, dass sie ihre Beschwerdenoder Ansprüche jederzeit an den globalen Datenschutzbeauftragten richten kann.

1.8

Anfechtung einer Antwort: Wenn der Beschwerdeführer die Antwort des lokalen
Datenschutzmanagers oder des globalen Datenschutzteams oder irgendeinen Aspekt einer
Feststellung bestreitet und die antwortende Partei davon in Kenntnis setzt, wird die
Angelegenheit an den globalen Datenschutzbeauftragten weitergeleitet. Der Globale
Datenschutzbeauftragte prüft den Fall und teilt dem Beschwerdeführer innerhalb eines
Monats (ein Zeitraum, der je nach Komplexität und Anzahl der Anfragen um zwei weitere
Monate verlängert werden kann) nach Eingang der Beschwerde beim zuständigenDatenschutzteam/-manager seine Entscheidung mit, entweder die Feststellungen derantwortenden Partei zu bestätigen oder eine neue Feststellung zu treffen.

1.9

Wird der Beschwerde stattgegeben, veranlasst der Globale Datenschutzbeauftragte allenotwendigen Schritte, die sich daraus ergeben.

1.10 Wenn die betroffene Person der Meinung ist, dass die von KUMON ergriffenen Maßnahmen
nicht ausreichen, um auf ihre Beschwerde einzugehen, kann sie sich mit ihren Beschwerdenoder Ansprüchen immer an die zuständigen Aufsichtsbehörden oder Gerichte derMitgliedstaaten wenden, unabhängig davon, ob sie sich gemäß Abschnitt 6.1.3der BCRs zuerst
direkt an KUMON gewandt hat oder nicht. Die Einzelperson wird in der Antwort, die sie vom
lokalen Datenschutzmanager oder dem globalen Datenschutzteam oder dem globalen
Datenschutzbeauftragten erhält, an dieses Recht erinnert.

30

2

Rechte von Einzelpersonen: Betreffende Zugriffsanfragen

2.1

Die Person kann von KUMON die Ausübung ihres "Auskunftsrechts" verlangen, wenn KUMON
ein Datenverantwortlicher ist.

2.2

Die Anfrage kann schriftlich oder mündlich, auch per E-Mail, an den lokalen
Datenschutzmanager im EWR oder an das Global Data Protection Team gerichtet werden. Der
lokale Datenschutzmanager, der die Anfrage erhält, wird die Details der Anfrage an das Global
Data Protection Team weiterleiten.

2.3

Das Global Data Protection Team wird direkt oder über den lokalen Datenschutzmanager, derdie Anfrage erhält, auf eine gültige Anfrage mit Informationen über die aufgrund der Anfrageergriffenen Maßnahmen antworten, und zwar ohne unangemessene Verzögerung und injedem Fall innerhalb eines Monats (oder einer kürzeren Frist, die nach lokalem Recht
vorgeschrieben ist) nach Eingang der Anfrage. Der Zeitrahmen für die Beantwortung kannunter den in Abschnitt 1.5des Anhangs II der BCRs festgelegten Bedingungen um weitere zwei
Monate verlängert werden.

2.4

KUMON ist nicht verpflichtet, einem Antrag auf Zugang zu personenbezogenen Datennachzukommen, wenn KUMON begründete Zweifel an der Identität der Person hat, die den
Antrag stellt, und nicht die Informationen erhält, die vernünftigerweise erforderlich sind, um
die Identität der Person, die den Antrag stellt, zu bestätigen und die Daten zu finden, nach
denen

diese

Personsucht.

KUMON

hält

sich

bei

der

DurchführungdesIdentifizierungsprozesses an die nationalen gesetzlichen Anforderungen.
2.5

Das Global Data Protection Team wird eine erste Bewertung der Anfrage vornehmen, um zu
entscheiden, ob es sich um eine gültige Anfrage handelt und ob eine Bestätigung der Identität
oder weitere Informationen erforderlich sind. Es wird auch die entsprechenden Mitarbeiter
zur Unterstützung bei der Bearbeitung der Anfrage hinzuziehen, sofern dies erforderlich oderangemessen ist.

2.6

Das Global Data Protection Team wird sich dann schriftlich mit der Person in Verbindung
setzen, um den Erhalt der Anfrage zu bestätigen, um eine Bestätigung der Identität oderweitere Informationen zu erhalten, falls erforderlich, oder um die Anfrage abzulehnen, falls
eine der Ausnahmen für den Zugang zum Thema gilt.

31

2.7

Gültige Anträge können nur dann abgelehnt werden, wenn die Anträge offensichtlich
unbegründet oder überzogen sind.

3

Rechte von Einzelpersonen: Andere Anfragen

3.1

Die betroffene Person kann die Ausübung anderer Rechte verlangen, die in Abschnitt 3.4derBCRs aufgeführt sind. Ein solcher Antrag muss vom lokalen Datenschutzmanager des Landes,
aus dem die personenbezogenen Daten stammen, geprüft und gegebenenfalls nachRücksprache mit dem globalen Datenschutzteam bearbeitet werden. Die in Abschnitt 2.3 desAnhangs II der BCRs festgelegten Antwortfristen sollten entsprechend gelten.

3.2

Wenn eine Anfrage über eine Änderung der persönlichen Daten einer Person eingeht, bei derKUMON der Datenverantwortliche für diese persönlichen Daten ist, müssen diese
Informationen entsprechend berichtigt oder aktualisiert werden, wenn KUMON überzeugt ist,
dass es eine legitime Grundlage dafür gibt.

3.3

Wenn KUMON in seiner Eigenschaft als Datenverantwortlicher persönliche Daten löscht,
anonymisiert, aktualisiert oder korrigiert, benachrichtigt KUMON andere Unternehmen der
KUMON-Gruppe oder Unterauftragsverarbeiter, an die die personenbezogenen Daten
weitergegeben wurden, entsprechend, damit diese ihre Datensätze ebenfalls aktualisieren
können.

3.4

Wenn der an KUMON als Verantwortlicher gerichtete Antrag darauf abzielt, die Verarbeitung
der personenbezogenen Daten der Person einzustellen, weil die Rechte und Freiheiten der
Person aufgrund einer solchen Verarbeitung durch KUMON beeinträchtigt werden, oder auf
der Grundlage anderer zwingender legitimer Gründe, wird die Angelegenheit zur Beurteilung
an das globale Datenschutzteam weitergeleitet. Wenn die von KUMON vorgenommene
Verarbeitung gesetzlich vorgeschrieben ist, wird der Antrag nicht als gültig angesehen.

32

ANHANG III

COMPLIANCE-STRUKTUR

1

Global Data Protection Officer (globaler
Datenschutzbeauftragter)

1.1

Der von KUMON ernannte globale Datenschutzbeauftragte ist für die Aufsicht auf
Führungsebene und die Verantwortung für die Gewährleistung der Einhaltung der BCRs sowie
der geltenden Datenschutzgesetze durch KUMON verantwortlich. Er unterliegt keinem
Interessenkonflikt, berichtet direkt an den Vorstand/CEO von KIE und seine Ernennung, Rolleund Leistung erfolgt in Übereinstimmung mit der DSGVO und den Richtlinien desEuropäischen Datenschutzausschusses zu Datenschutzbeauftragten in ihrer jeweils aktuellen
Fassung. Der Globale Datenschutzbeauftragte erhält keine Anweisungen bezüglich derAusübung seiner Aufgaben und wird von den Führungskräften von KIE unterstützt.

1.2

Zu den Hauptaufgaben des Global Data Protection Officer gehören:(a)Sicherstellung, dass die BCRs und andere Regeln in Bezug auf Datenschutz, Ziele undStandards definiert und kommuniziert werden;(b)

Bereitstellung von klarer und sichtbarer Unterstützung und Ressourcen durch dieGeschäftsleitung für die BCRs sowie für Datenschutzziele und -initiativen im
Allgemeinen;(c)Bewertung,Genehmigung

undPriorisierungvonAbhilfemaßnahmeninÜbereinstimmung mit den Anforderungen der BCRs, strategischen Plänen,Geschäftszielen und regulatorischen Anforderungen;(d)Regelmäßige Bewertung von Datenschutzinitiativen, Errungenschaften und Ressourcen,
um eine kontinuierliche Effektivität und Verbesserung sicherzustellen;(e)Sicherstellung, dass die Geschäftsziele von KUMON mit den BCRs und den damit
verbundenen Datenschutzstrategien, -richtlinien und -praktiken übereinstimmen;(f)

Koordination der Kommunikation zu den BCRs und Datenschutzfragen während desPrüfverfahrens;(g)Bearbeitung aller Beschwerden, die an ihn/sie gemäß den BCRs-Verfahren für Zugang
und Beschwerden der betroffenen Person eskaliert werden; und,(h)

Er fungiert als Ansprechpartner für den Umgang mit Aufsichtsbehörden (oder delegiert
diese Rolle an lokale Datenschutzmanager in Bezug auf Angelegenheiten, dieausschließlich für eine bestimmte Region gelten).

33

2

Global Data Protection Team

2.1

Das Global Data Protection Team besteht aus von KIE ernannten Mitarbeitern und erfüllt unterder Leitung des Global Data Protection Officers die folgenden Aufgaben:(a)Bereitstellung von Leitlinien für die Verarbeitung personenbezogener Daten inÜbereinstimmung mit den BCRs;(b)

Beantwortung von Anfragen und Einhaltung der BCRs von Mitarbeitern, Kunden undanderen Dritten;(c)Bereitstellung von Beiträgen zu Prüfungen der BCRs, Koordinierung von Antworten auf
Prüfungsfeststellungen und Beantwortung von Anfragen der Aufsichtsbehörden;(d)Überwachung von Änderungen der globalen Datenschutzgesetze und Sicherstellung,dass entsprechende Änderungen an den BCRs und den damit verbundenen Richtlinien
und Praktiken von KUMON vorgenommen werden;(e)

Veranlassung von Mitarbeiterschulungen zu den BCRs und zum Datenschutzrecht;(f)Förderung des Bewusstseins für den Datenschutz in allen Geschäftseinheiten undFunktionsbereichen durch Kommunikation und Initiativen;(g)

Evaluierung von Datenschutzprozessen und -verfahren, um sicherzustellen, dass sie
nachhaltig und effektiv sind;(h)Regelmäßige Berichterstattung über den Status der BCRs an den globalen
Datenschutzbeauftragten und ggf. andere Organisationen;(i)Sicherstellen, dass alle Angelegenheiten in Bezug auf die Einhaltung der BCRs dem
globalen Datenschutzteam und gegebenenfalls dem globalen Datenschutzbeauftragten
zur Kenntnis gebracht werden und dass alle Korrekturmaßnahmen innerhalb eines
angemessenen Zeitraums festgelegt und umgesetzt werden, und(j)Sicherstellen, dass alle Änderungen an den BCRs in Übereinstimmung mit den
Aktualisierungsverfahren (siehe Anhang VI) vorgenommen werden.

3

Lokaler Datenschutzmanager

3.1

Jedes Unternehmen der KUMON Group hat einen lokalen Datenschutzmanager, der für dietägliche Einhaltung des Datenschutzes im Unternehmen verantwortlich ist.

3.2

Wenn der globale Datenschutzbeauftragte es für angemessen hält, kann der lokale
Datenschutzmanager für die regionale Zentrale in der KUMON-Gruppe die Aktivitäten der
lokalen Datenschutzmanager für die Tochtergesellschaften der Zentrale koordinieren.

34

Darüber hinaus ist der lokalen Datenschutzmanager, sofern er vom Global Data Protection
Officer dazu beauftragt wurde, die Kontaktstelle für den Umgang mit Aufsichtsbehörden fürausschließlich lokale personenbezogene Datenangelegenheiten.
3.3

Der lokale Datenschutzbeauftragte arbeitet mit dem globalen Datenschutzbeauftragten unddem globalen Datenschutzteam zusammen, z. B. durch:(a)Bereitstellung von Informationen über aktuelles geltendes Recht zum Schutz
personenbezogener Daten;(b)

Durchführung von Schulungen zum Schutz persönlicher Daten im Unternehmen und(c)Bereitstellung von Informationen über den Stand des Schutzes personenbezogener
Daten im Unternehmen.

4Interne Kommunikationsverfahren für Mitarbeiter

4.1

KUMON stellt allen Mitarbeitern eine Hotline zur Verfügung, über die sie alle Anfragen zu den
in den BCRs beschriebenen Themen des Schutzes personenbezogener Daten stellen können.

4.2

Alternativ kann ein Mitarbeiter jede Anfrage im Zusammenhang mit den in den BCRs
dargelegten

Fragenzum

Schutzpersonenbezogener

Daten

an

den

lokalenDatenschutzmanager richten, der diese innerhalb eines Monats nach Eingang der Anfrage
prüft und beantwortet. Wenn die Anfrage Angelegenheiten betrifft, die nicht rein lokal sind,
wird der lokale Datenschutzmanager das globale Datenschutzteam konsultieren.
4.3

Wenn der Mitarbeiter die Antwort des lokalen Datenschutzmanagers oder des globalen
Datenschutzteams oder irgendeinen Aspekt einer Feststellung bestreitet und dies derantwortenden

Parteimitteilt,

wird

die

Angelegenheit

an

den

globalenDatenschutzbeauftragten weitergeleitet. Der Globale Datenschutzbeauftragte prüft den Fallund teilt dem Mitarbeiter innerhalb eines Monats (ein Zeitraum, der je nach Komplexität und
Anzahl der Anfragen um zwei weitere Monate verlängert werden kann) nach Eingang der
Anfrage des zuständigen Datenschutzteams/-managers seine Entscheidung mit, entweder die
Feststellungen der antwortenden Partei zu bestätigen oder eine neue Feststellung zu treffen.
4.4

Beschwerden von Mitarbeitern über den Umgang mit ihren Daten durch die Unternehmen
der KUMON-Gruppe im Rahmen dieser BCRs können wie in 0der BCRs beschrieben eingereicht
werden.

35

ANHANG IVSCHULUNGSPROTOKOLL

1

Mitarbeiterschulung

1.1

Alle Mitarbeiter, die an der Übermittlung, Verarbeitung und Erfassung personenbezogener
Daten beteiligt sind, müssen (i) im Rahmen ihres Einführungsprogramms und (ii) mindestenseinmal pro Jahr zum Thema Datenschutz, einschließlich einer Zusammenfassung der BCRs und
der geltenden Datenschutzgesetze, geschult werden. Eine solche Schulung erfolgt durch ETraining, Vor-Ort-Seminare oder auf andere Weise, die unter den (jeweils) gegebenen
Umständen als geeignet angesehen wird.

1.2

Das Global Data Protection Team bereitet die Schulungsunterlagen vor und stellt sie dem
lokalen Datenschutzmanager zur Verfügung. Der lokale Datenschutzmanager führt dann die
Schulung für die Mitarbeiter im Unternehmen durch, protokolliert und berichtet dem globalen
Datenschutzteam über die Ergebnisse der Schulung.

1.3

Der Zweck dieser Schulungen ist, dass die Mitarbeiter über die grundlegenden Prinzipien desSchutzes, der Vertraulichkeit und der Sicherheit von personenbezogenen Daten und aller
Informationssysteme, die personenbezogene Daten enthalten, geschult werden.

1.4

KUMON wird solche zusätzlichen Schulungsmöglichkeiten anbieten, die es für angemessen
hält, wie z. B.:-

Spezielles E-Training für leitende Angestellte;-

Schulungen, die für bestimmte Abteilungen konzipiert sind (z. B. HR, IT,
Außenstellen); und-Globale Schulungsmöglichkeiten, wie z. B. E-Training über das globale Intranet undkonzerninterne Konferenzen.

1.5

Die Schulung wird zu den folgenden Themen durchgeführt:-Inhalt des lokalen Gesetzes zum Schutz persönlicher Daten;-

Inhalt der BCRs und etwaige Änderungen daran und-Wie sich das Gesetz zum Schutz persönlicher Daten auf KUMON auswirkt(einschließlich bewährter Praktiken für die Einhaltung der BCRs).

36

ANHANG VPRÜFUNG-PROTOKOLL

1

Prüfungsgrundsätze

1.1

KUMON verpflichtet sich, sich regelmäßig Datenschutz-Prüfverfahren zu unterziehen, dieentweder von internen oder akkreditierten externen Prüfern oder auf spezielle Anfrage desglobalen Datenschutzbeauftragten durchgeführt werden.

2

Struktur der Prüfung

2.1

Der globale Datenschutzbeauftragte veranlasst, dass der interne oder akkreditierte externe
Prüfer von KUMON (das "Prüfungsteam") nach eigenem Ermessen unabhängige Prüfungender Einhaltung aller Aspekte der BCRs durchführt, einschließlich der Methoden, diesicherstellen, dass Korrekturmaßnahmen angenommen und umgesetzt werden.

2.2

Das Prüfungsteam ist für die Durchführung und/oder Beaufsichtigung unabhängiger Audits zur
Einhaltung der BCRs verantwortlich und stellt sicher, dass diese Audits alle Aspekte der BCRs
abdecken. Darüber hinaus ist das Prüfungsteam dafür verantwortlich, sicherzustellen, dassalle Probleme oder Fälle von Nichteinhaltung dem globalen Datenschutzteam und den
jeweiligen lokalen Datenschutzmanagern zur Kenntnis gebracht werden.

3

Prüfverfahren

3.1

Die Audits müssen alle Aspekte der BCRs abdecken und Methoden für Korrekturmaßnahmen
aufzeigen, die als Ergebnis des Audits erforderlich sein könnten.

3.2

Es werden Audits zur Einhaltung der BCRs durchgeführt:(a)mindestens jährlich in Übereinstimmung mit den Prüfverfahren von KUMON;(b)

auf Anfrage des globalen Datenschutzbeauftragten und/oder des Vorstands von KIE;
und/oder(c)wie vom Global Data Protection Team als notwendig erachtet (z. B. als Reaktion auf
einen bestimmten Vorfall).

3.3

Das Prüfungsteam führt eine risikobasierte Analyse durch, um den Umfang des Audits zu
bestimmen. Dabei werden relevante Aspekte berücksichtigt, wie z. B.: neue oder spezifische

37

Risiken für das Geschäft des auditierten Unternehmens; Änderungen an den
Sicherheitssystemen oder -verfahren; der Gegenstand früherer Audits oder Beschwerden; Art
und Ort der personenbezogenen Daten sowie die Art der Verarbeitung.
3.4

Das Prüfverfahren wird durch Inspektion vor Ort, Befragung des betroffenen Personals,
Fragebögen, Dokumentenprüfung oder andere Methoden durchgeführt, die das
Prüfungsteam für angemessen hält.

3.5

Die Ergebnisse aller Audits werden dem globalen Datenschutzbeauftragten und dem Vorstandvon KIE mitgeteilt.

3.6

Eine Kopie des Ergebnisses der Prüfung wird den Aufsichtsbehörden auf deren Anfrage zur
Verfügung gestellt.

3.7

Jedes Unternehmen der KUMON Group akzeptiert, von den Aufsichtsbehörden geprüft zu
werden, und befolgt die Ratschläge der Aufsichtsbehörden zu allen Fragen im Zusammenhang
mit diesen Regeln.

38

ANHANG VI

UPDATE-VERFAHREN

1Änderungen an den BCRs

1.1

KUMON wird alle Änderungen an den BCRs unverzüglich über die zuständigenAufsichtsbehörden an die relevanten Aufsichtsbehörden sowie an alle Unternehmen der
KUMON-Gruppe kommunizieren.

2

Nicht genehmigungspflichtige Änderungen an den BCRs

2.1

Aktualisierungen der BCRs oder der Liste der KUMON Group Companies sind möglich, ohne
dass eine erneute Genehmigung beantragt werden muss, vorausgesetzt:(a)

Der globale Datenschutzbeauftragte führt eine aktuelle Liste der an die BCRs
gebundenen Unternehmen der KUMON-Gruppe und der von KUMON mit der
Verarbeitung personenbezogener Daten beauftragten Unterauftragsverarbeiter. Diese
Liste wird Einzelpersonen und Aufsichtsbehörden auf deren berechtigte Anfrage hinzugänglich gemacht.

(b)

Der globale Datenschutzbeauftragte wird die Aufzeichnungen über Änderungen an den
BCRs, einschließlich des Datums des Inkrafttretens der Änderungen und derEinzelheiten der vorgenommenen Änderungen, aufbewahren und der betroffenen
Person oder den Aufsichtsbehörden auf Anfrage die erforderlichen Informationen zur
Verfügung stellen.

(c)Eine Übertragung auf ein neues Mitglied erfolgt erst, wenn das neue Mitglied wirksam
an die BCRs gebunden ist und die Einhaltung der BCRs gewährleisten kann.

(d)Alle Änderungen der BCRs oder der Liste der Unternehmen der KUMON-Gruppe
werden den Aufsichtsbehörden, die die Genehmigungen erteilen, einmal jährlich mit
einer kurzen Erläuterung der Gründe für die Aktualisierung mitgeteilt.

(e)Änderungen an den BCRs, die das durch die BCRs gebotene Schutzniveau
beeinträchtigen oder sich erheblich auf die BCRs auswirken könnten, werden den
betreffenden Aufsichtsbehörden über die zuständige Aufsichtsbehörde unverzüglich
mitgeteilt.

39