DatenschutzrichtliniederInhaltsverzeichnis
I.
II.
III.

Ziel der Datenschutzrichtlinie
Geltungsbereich und Änderung der Datenschutzrichtlinie
Prinzipien für die Verarbeitung personenbezogener Daten
1.
2.
3.
4.
5.
6.
7.

IV.

Fairness und Rechtmäßigkeit
ZweckbindungTransparenz
Datenvermeidung und Datensparsamkeit
Löschung und Speicherbegrenzung
Sachliche Richtigkeit und Datenaktualität
Vertraulichkeit und Datensicherheit

Zulässigkeit der Datenverarbeitung
1. Klienten- und Partnerdaten
1.1 Datenverarbeitung für eine vertragliche Beziehung
1.2 Einwilligung in die Datenverarbeitung
1.3 Datenverarbeitung aufgrund gesetzlicher Erlaubnis
1.4 Datenverarbeitung aufgrund berechtigten Interesse
1.5 Verarbeitung besonders schutzwürdiger Daten
1.6 Automatisierte Einzelentscheidungen
1.7 Nutzerdaten und Internet
2. Mitarbeiterdaten
2.1 Datenverarbeitung für das Arbeitsverhältnis
2.2 Datenverarbeitung aufgrund gesetzlicher Erlaubnis
2.3 Kollektivregelungen für Datenverarbeitungen
2.4 Einwilligung in die Datenverarbeitung
2.5 Datenverarbeitung aufgrund berechtigten Interesse
2.6 Verarbeitung besonders schutzwürdiger Daten
2.7 Automatisierte Entscheidungen
2.8 Telekommunikation und Internet

V.
VI.
VII.
VIII.
IX.
X.
XI.
XII.
XIII.
XIV.

Übermittlung personenbezogener Daten
Auftragsdatenverarbeitung
Rechte des Betroffenen
Vertraulichkeit der Verarbeitung
Sicherheit der Verarbeitung
Datenschutzkontrolle
Datenschutzvorfälle
Verantwortlichkeiten und Sanktionen
Datenschutzbeauftragter
Inkraftsetzung

I. Ziel der Datenschutzrichtlinie
Die Infinity Innovative Projects GesmbH verpflichten sich im Rahmen seiner gesellschaftlichen
Verantwortung zur nationalen und internationalen Einhaltung des gesetzlichen Datenschutzrechtes.
Diese Datenschutzrichtlinie gilt für alle Standorte der Infinity Innovative Projects GmbH und beruht
auf akzeptierten Grundprinzipien zum Datenschutz.
Die Wahrung des Datenschutzes ist eine Basis für vertrauensvolle Geschäftsbeziehungen und die
Reputation der Infinity Innovative Projects GmbH als attraktiver Arbeitgeber.
Die Datenschutzrichtlinie schafft die notwendigen Rahmenbedingungen für den Umgang mit Daten.
Sie gewährleistet das von der Europäischen Datenschutzrichtlinie und den nationalen Gesetzen
verlangten Datenschutzniveau.
Dazu gehören neben vielen anderen Vorgaben:• Die strikte Einhaltung der Vorgaben der EU Datenschutz Verordnung durch die gesamte
Belegschaft• Die unbedingte Verpflichtung zur Geheimhaltung und Vertraulichkeit• Datenschutzkonforme Arbeitsplatzgestaltung• Die permanente Kontrolle und Weiterentwicklung von technischen und organisatorischen
Maßnahmen zur Wahrung des Datenschutzes (data protection by design und data protection
by default)

II. Geltungsbereich und Änderung der Datenschutzrichtlinie
Diese Datenschutzrichtlinie richtet sich nach den Vorgaben der EU Datenschutzverordnung und dendazugehörigen nationalen Gesetzen.
Diese Datenschutzrichtlinie gilt für die gesamte Infinity Innovative Projects GmbH mit all ihren
Mitarbeitern an allen Standorten.
Die jeweils aktuellste Version der Datenschutzrichtlinie kann auf der Webseite der Infinity Innovative
Projects GmbH, www.we-are-infinity.com, abgerufen werden.

III. Prinzipien für die Verarbeitung personenbezogener Daten
Fairness und Rechtmäßigkeit
Bei der Verarbeitung personenbezogener Daten muss das informationelle Selbstbestimmungsrecht
des Betroffenen gewahrt werden. Personenbezogene Daten müssen auf rechtmäßige Weise erhoben
und verarbeitet werden.
Zweckbindung
Die Verarbeitung personenbezogener Daten darf lediglich die Zwecke verfolgen, die vor der Erhebung
der Daten festgelegt wurden. Nachträgliche Änderungen der Zwecke sind nur eingeschränkt möglich
und bedürfen einer Rechtfertigung.
Transparenz
Der Betroffene muss über den Umgang mit seinen Daten informiert werden. Grundsätzlich sind
personenbezogene Daten bei dem Betroffenen selbst zu erheben. Bei Erhebung der Daten muss derBetroffene mindestens Folgendes erkennen können oder entsprechend informiert werden über:• die Identität der verantwortlichen Stelle• den Zweck der Datenverarbeitung• die hinterlegten Aufbewahrungsfristen• Dritte oder Kategorien von Dritten, an die die Daten gegebenenfalls übermittelt werden
Datenvermeidung und Datensparsamkeit
Vor einer Verarbeitung personenbezogener Daten muss geprüft werden, ob und in welchem
Umfang diese notwendig sind, um den mit der Verarbeitung angestrebten Zweck zu erreichen. Wennes zur Erreichung des Zwecks möglich ist und der Aufwand in einem angemessenen Verhältnis zu dem
angestrebten Zweck steht, sind anonymisierte oder statistische Daten zu verwenden.
Personenbezogene Daten dürfen nicht auf Vorrat für potentielle zukünftige Zwecke gespeichert
werden, es sei denn, dies ist durch staatliches Recht vorgeschrieben oder erlaubt.
Löschung und Speicherbegrenzung
Personenbezogene Daten, die nach Ablauf von gesetzlichen oder geschäftsprozessbezogenen
Aufbewahrungsfristen nicht mehr erforderlich sind, müssen gelöscht werden.
Bestehen im Einzelfall Anhaltspunkte für schutzwürdige Interessen oder für eine historische
Bedeutung dieser Daten, müssen die Daten weiter gespeichert bleiben, bis das schutzwürdige
Interesse rechtlich geklärt ist.
Sachliche Richtigkeit und Datenaktualität
Personenbezogene Daten sind richtig, vollständig und – soweit erforderlich – auf dem aktuellen Standzu speichern. Es sind angemessene Maßnahmen zu treffen, um sicherzustellen, dass nicht zutreffende,
unvollständige oder veraltete Daten gelöscht, berichtigt, ergänzt oder aktualisiert werden.

Vertraulichkeit und Datensicherheit
Für personenbezogene Daten gilt das Datengeheimnis.
Sie müssen im persönlichen Umgang vertraulich behandelt werden und durch angemesseneorganisatorische und technische Maßnahmen gegen unberechtigten Zugriff, unrechtmäßige
Verarbeitung oder Weitergabe, sowie versehentlichen Verlust, Veränderung oder Zerstörung
gesichert werden.

IV. Zulässigkeit der Datenverarbeitung
1. Kunden- und Partnerdaten
1.1
Datenverarbeitung für eine vertragliche Beziehung
Personenbezogene Daten des betroffenen Interessenten, Kunden oder Partners dürfen zur
Begründung, zur Durchführung und zur Beendigung eines Vertrages verarbeitet werden. Dies
umfasst auch die Betreuung des Vertragspartners, sofern dies im Zusammenhang mit dem
Vertragszweck steht. Im Vorfeld eines Vertrages- also in der der Vertragsanbahnungsphase –ist die Verarbeitung von personenbezogenen Daten zur Erstellung von Angeboten oder zur
Erfüllung sonstiger auf einen Vertragsabschluss gerichteter Wünsche des Interessenten
erlaubt. Interessenten dürfen während der Vertragsanbahnungsphase unter Verwendung
der Daten kontaktiert werden, die sie bekannt gegeben haben. Eventuell vom Interessenten
geäußerte Einschränkungen sind zu beachten.
1.2
Einwilligung in die Datenverarbeitung
Eine Datenverarbeitung kann aufgrund einer Einwilligung des Betroffenen stattfinden. Vor
der Einwilligung muss der Betroffene gemäß Pkt. III. lit 3 dieser Richtlinie informiert werden.
Die Einwilligung ist aus Beweisgründen grundsätzlich schriftlich oder elektronisch einzuholen.
Unter Umständen, z. B. bei telefonischer Beratung, kann die Einwilligung auch mündlich
erteilt werden. Ihre Erteilung muss dokumentiert werden.
1.3
Datenverarbeitung aufgrund gesetzlicher Erlaubnis
Die Verarbeitung personenbezogener Daten ist auch dann zulässig, wenn staatliche
Rechtsvorschriften die Datenverarbeitung verlangen, voraussetzen oder gestatten. Die Art
und der Umfang der Datenverarbeitung müssen für die gesetzlich zulässige
Datenverarbeitung erforderlich sein und richten sich nach diesen Rechtsvorschriften.
1.4
Datenverarbeitung aufgrund berechtigten Interesse
Die Verarbeitung personenbezogener Daten kann auch erfolgen, wenn dies zur
Verwirklichung eines berechtigten Interesses der Infinity Innovative Projects GmbHerforderlich ist. Berechtigte Interessen sind in der Regel rechtliche (z.B. Durchsetzung vonoffenen Forderungen) oder wirtschaftliche (z.B. Vermeidung von Vertragsstörungen). Eine
Verarbeitung personenbezogener Daten aufgrund eines berechtigten Interesses darf nicht
erfolgen, wenn es im Einzelfall einen Anhaltspunkt dafür gibt, dass schutzwürdige Interessen
des Betroffenen das Interesse an der Verarbeitung überwiegen. Die schutzwürdigenInteressen sind für jede Verarbeitung zu prüfen.

1.5
Datenverarbeitung besonders schutzwürdiger Daten
Die Verarbeitung besonders schutzwürdiger personenbezogener Daten darf nur erfolgen,
wenn dies gesetzlich erforderlich ist oder der Betroffene ausdrücklich eingewilligt hat. Die
Verarbeitung dieser Daten ist auch dann zulässig, wenn sie zwingend notwendig ist, um
rechtliche Ansprüche gegenüber Betroffenen geltend zu machen, auszuüben oder zu
verteidigen.
1.6
Automatisierte Einzelentscheidungen
Automatisierte Verarbeitungen personenbezogener Daten, durch die einzelne
Persönlichkeitsmerkmale bewertet werden, dürfen nicht die ausschließliche Grundlage fürEntscheidungen mit negativen Folgen oder erheblichen Beeinträchtigungen für den
Betroffenen sein. Dem Betroffenen muss die Tatsache und das Ergebnis einer
automatisierten Einzelentscheidung mitgeteilt und die Möglichkeit zu einer Stellungnahme
gegeben werden. Zur Vermeidung von Fehlentscheidungen muss eine Kontrolle und eine
Plausibilitätsprüfung durch einen Mitarbeiter gewährleistet werden.
1.7
Nutzerdaten und Internet
Wenn auf Webseiten oder in Apps personenbezogene Daten erhoben, verarbeitet undgenutzt werden, sind die Betroffenen hierüber in Datenschutzhinweisen und ggf. CookieHinweisen zu informieren. Die Datenschutzhinweise und ggf. Cookie-Hinweise sind so zu
integrieren, dass diese für die Betroffenen leicht erkennbar, unmittelbar erreichbar undständig verfügbar sind.
Werden zur Auswertung des Nutzungsverhaltens von Webseiten und Apps Nutzungsprofile
erstellt (Tracking), so müssen die Betroffenen darüber in jedem Fall in den
Datenschutzhinweisen informiert werden. Ein personenbezogenes Tracking darf nur
erfolgen, wenn das nationale Recht dies zulässt oder der Betroffene eingewilligt hat. Erfolgt
das Tracking unter einem Pseudonym, so soll dem Betroffenen in den Datenschutzhinweiseneine Widerspruchsmöglichkeit eröffnet werden (Opt-out).
Werden bei Webseiten oder Apps in einem registrierungspflichtigen Bereich Zugriffe auf
personenbezogene Daten ermöglicht, so sind die Identifizierung und Authentifizierung der
Betroffenen so zu gestalten, dass ein für den jeweiligen Zugriff angemessener Schutz erreichtwird.

2. Mitarbeiterdaten
2.1
Datenverarbeitung für das Arbeitsverhältnis
Für das Arbeitsverhältnis dürfen die personenbezogenen Daten verarbeitet werden, die für
die Begründung, Durchführung und Beendigung des Arbeitsvertrages erforderlich sind.
Bei der Anbahnung eines Arbeitsverhältnisses dürfen personenbezogene Daten vonBewerbern verarbeitet werden. Nach Ablehnung sind die Daten des Bewerbers unter
Berücksichtigung beweisrechtlicher Fristen zu löschen, es sei denn, der Bewerber hat in eine
weitere Speicherung für einen späteren Auswahlprozess eingewilligt. Eine Einwilligung ist
auch für eine Verwendung der Daten für weitere Bewerbungsverfahren oder vor der
Weitergabe der Bewerbung an andere Unternehmensteile erforderlich.

Im bestehenden Arbeitsverhältnis muss die Datenverarbeitung immer auf den Zweck desArbeitsvertrages bezogen sein, sofern nicht einer der nachfolgenden Erlaubnistatbestände
für die Datenverarbeitung eingreift.
Ist während der Anbahnung des Arbeitsverhältnisses oder im bestehenden Arbeitsverhältnis
die Erhebung weiterer Informationen über den Bewerber bei einem Dritten erforderlich, sinddie jeweiligen nationalen gesetzlichen Anforderungen zu berücksichtigen. Im Zweifel ist eine
Einwilligung des Betroffenen einzuholen.
Für Verarbeitungen von personenbezogenen Daten, die im Kontext des Arbeitsverhältnisses
stehen, jedoch nicht originär der Erfüllung des Arbeitsvertrages dienen, muss jeweils einerechtliche Legitimation vorliegen. Das können gesetzliche Anforderungen,
Kollektivregelungen mit Arbeitnehmervertretungen, eine Einwilligung des Mitarbeiters oderdie berechtigten Interessen des Unternehmens sein.
2.2
Datenverarbeitung aufgrund gesetzlicher Erlaubnis
Die Verarbeitung personenbezogener Mitarbeiterdaten ist auch dann zulässig, wenn
staatliche Rechtsvorschriften die Datenverarbeitung verlangen, voraussetzen oder gestatten.
Die Art und der Umfang der Datenverarbeitung müssen für die gesetzliche zulässige
Datenverarbeitung erforderlich sein und richten sich nach diesen Rechtsvorschriften. Besteht
ein gesetzlicher Handlungsspielraum, müssen die schutzwürdigen Interessen des Betroffenen
Mitarbeiters berücksichtigt werden.
2.3
Kollektivregelungen für DatenverarbeitungenGeht eine Verarbeitung über den Zweck der Vertragsabwicklung hinaus, so ist sie auch dannzulässig, wenn sie durch Kollektivregelung gestattet wird. Kollektivregelungen sind
Tarifverträge oder Vereinbarungen zwischen Arbeitgeber und Arbeitnehmervertretungen im
Rahmen der Möglichkeiten des jeweiligen Arbeitsrechts. Die Regelungen müssen sich auf den
konkreten Zweck der gewünschten Verarbeitung erstrecken und sind im Rahmen desstaatlichen Datenschutzrechts gestaltbar.
2.4
Einwilligung in die Datenverarbeitung
Eine Verarbeitung von Mitarbeiterdaten kann aufgrund einer Einwilligung des Betroffenen
stattfinden.
Einwilligungserklärungen müssen freiwillig abgegeben werden. Unfreiwillige Einwilligungensind unwirksam. Die Einwilligungserklärung ist aus Beweisgründen grundsätzlich schriftlichoder elektronisch einzuholen. Erlauben die Umstände dies ausnahmsweise nicht, kann die
Einwilligung mündlich erteilt werden. Ihre Erteilung muss in jedem Fall ordnungsgemäß
dokumentiert werden. Bei einer informierten freiwilligen Angabe von Daten durch den
Betroffenen kann eine Einwilligung angenommen werden, wenn nationales Recht keine
explizite Einwilligung vorschreibt. Vor der Einwilligung muss der Betroffene gemäß dieser
Datenschutzrichtlinie informiert werden.
2.5
Datenverarbeitung aufgrund berechtigten Interesse
Die Verarbeitung personenbezogener Mitarbeiterdaten kann auch verfolgen, wenn dies zur
Verwirklichung eines berechtigten Interesses der Infinity Innovative Projects GmbHerforderlich ist. Berechtigte Interessen sind in der Regel rechtlich (z.B. die Geltendmachung,Ausübung oder Verteidigung rechtlicher Ansprüche) oder wirtschaftlich begründet.

Eine Verarbeitung personenbezogener Daten aufgrund eines berechtigten Interesses darf
nicht erfolgen, wenn es im Einzelfall einen Anhaltspunkt dafür gibt, dass schutzwürdige
Interessen des Mitarbeiters das Interesse an der Verarbeitung überwiegen. Das Vorliegenschutzwürdiger Interessen ist für jede Verarbeitung zu überprüfen.
Kontrollmaßnahmen, die eine Verarbeitung von Mitarbeitern erfordern, dürfen nur
durchgeführt werden, wenn dazu gesetzliche Verpflichtung besteht oder ein begründeter
Anlass gegeben ist. Auch bei Vorliegen eines begründeten Anlasses muss die
Verhältnismäßigkeit der Kontrollmaßnahme geprüft werden. Die berechtigten Interessen desUnternehmens an der Durchführung der Kontrollmaßnahme (z.B. Einhaltung rechtlicher
Bestimmungen und unternehmensinterner Regeln) müssen gegen ein mögliches
schutzwürdiges Interesse des von der Maßnahme betroffenen Mitarbeiters am Ausschluss
der Maßnahme abgewogen werden und dürfen nur durchgeführt werden, wenn sie
angemessen sind. Das berechtigte Interesse des Unternehmens und die möglichen
schutzwürdigen Interessen der Mitarbeiter müssen vor jeder Maßnahme festgestellt und
dokumentiert werden. Zudem müssen ggf. nach staatlichem Recht bestehende weitere
Anforderungen (z.B. Mitbestimmungsrechte der Arbeitnehmervertretung undInformationsrechte der Betroffenen) berücksichtigt werden.
2.6
Verarbeitung besonders schutzwürdiger Daten
Besonders schutzwürdige personenbezogene Daten dürfen nur unter bestimmten
Voraussetzungen verarbeitet werden. Besonders schutzwürdige Daten sind Daten über die
rassische und ethnische Herkunft, über politische Meinungen, über religiöse oderphilosophische Überzeugungen, über Gewerkschaftszugehörigkeiten oder über die
Gesundheit oder das Sexualleben des Betroffenen.
Ebenso dürfen Daten, die Strafdaten betreffen, häufig nur unter besonderen, vonstaatlichem Recht aufgestellten Voraussetzungen verarbeitet werden.
Die Verarbeitung muss aufgrund staatlichen Rechts ausdrücklich erlaubt oder vorgeschrieben
sein. Zusätzlich kann eine Verarbeitung erlaubt sein, wenn sie notwendig ist, damit dieverantwortliche Stelle ihren Rechten und Pflichten auf dem Gebiet des Arbeitsrechts
nachkommen kann. Der Mitarbeiter kann freiwillig auch ausdrücklich in die Verarbeitungeinwilligen.
2.7
Automatisierte Entscheidungen
Soweit im Beschäftigungsverhältnis personenbezogene Daten automatisiert verarbeitet
werden, durch die einzelne Persönlichkeitsmerkmale bewertet werden (z.B. im Rahmen der
Personalauswahl oder der Auswertung von Fähigkeitsprofilen), darf eine solche
automatisierte Verarbeitung nicht die ausschließliche Grundlage für Entscheidungen mit
negativen Folgen oder erheblichen Beeinträchtigungen für die betroffenen Mitarbeiter sein.
Um Fehlentscheidungen zu vermeiden, muss in automatisierten Verfahren gewährleistet
sein, dass eine inhaltliche Bewertung des Sachverhalts durch eine natürliche Person erfolgt
und diese Bewertung Grundlage für die Entscheidung ist. Dem betroffenen Mitarbeiter muss
außerdem die Tatsache und das Ergebnis einer automatisierten Einzelentscheidung
mitgeteilt und die Möglichkeit einer Stellungnahme gegeben werden.

2.8
Telekommunikation und Internet
Telefonanlagen, E-Mail Adressen, Intranet und Internet sowie soziale Netzwerke werden inerster Linie im Rahmen der betrieblichen Aufgabenstellung durch das Unternehmen zur
Verfügung gestellt. Sie sind Arbeitsmittel und Unternehmensressource. Sie dürfen im
Rahmen der jeweils geltenden Rechtsvorschriften und der unternehmensinternen Richtlinien
genutzt werden.
Eine generelle Überwachung der Telefon- und E-Mail Kommunikation bzw. der Intranet- undInternetnutzung findet statt. Zu Abwehr von Angriffen auf die IT- Infrastruktur oder auf
einzelne Nutzer sind Schutzmaßnahmen an den Übergängen in das Schneider & Partner
Netzwerk implementiert worden, die technisch schädigende Inhalte blockieren oder die
Muster von Angriffen analysieren. Aus Gründen der Sicherheit und Nachvollziehbarkeit kanndie Nutzung der Telefonanlagen, der E-Mail Adressen, des Intranets und Internets sowie derinternen sozialen Netzwerke zeitlich befristet protokolliert werden.
Personenbezogene Auswertungen dieser Daten dürfen nur bei einem konkreten
begründeten Verdacht eines Verstoßes gegen Gesetze oder Richtlinien der Schneider &Partner Steuerberatung GmbH erfolgen. Diese Kontrollen dürfen nur durch ermittelnde
Bereiche und unter Wahrung des Verhältnismäßigkeitsprinzips erfolgen. Die jeweiligen
nationalen Gesetze sind ebenso zu beachten wie die hierzu bestehenden
Unternehmensregelungen.

V. Übermittlung personenbezogener Daten
Eine Übermittlung von personenbezogenen Daten an Empfänger außerhalb der Infinity Innovative
Projects GmbH oder an Empfänger innerhalb des Unternehmens unterliegt den
Zulässigkeitsvoraussetzungen der Verarbeitung personenbezogener Daten unter Punkt IV.
Der Empfänger der Daten muss darauf verpflichtet werden, diese nur zu den festgelegten Zwecken zu
verwenden.
Im Falle einer Datenübermittlung an einen Empfänger außerhalb der Infinity Innovative Projects
GmbH in einem Drittstaat muss dieser ein zu dieser Datenschutzrichtlinie gleichwertiges
Datenschutzniveau gewährleisten. Dies gilt nicht, wenn die Übermittlung aufgrund einer gesetzlichen
Verpflichtung erfolgt.
Im Falle einer Datenübermittlung von Dritten an Infinity Innovative Projects GmbH muss sichergestellt
sein, dass die Daten für die vorgesehenen Zwecke verwendet werden dürfen.

VI. Auftragsdatenverarbeitung
Eine Auftragsdatenverarbeitung liegt vor, wenn ein Auftragnehmer mit der Verarbeitung
personenbezogener Daten beauftragt wird, ohne dass ihm die Verantwortung für den
zugehörigen Geschäftsprozess übertragen wird. In diesen Fällen ist mit externen
Auftragnehmern eine Vereinbarung über eine Auftragsdatenverarbeitung abzuschließen.
Dabei behält das beauftragende Unternehmen die volle Verantwortung für die korrekte
Durchführung der Datenverarbeitung. Der Auftragnehmer darf personenbezogene Daten nur
im Rahmen der Weisungen des Auftraggebers verarbeiten. Bei der Erteilung des Auftrags
sind die nachfolgenden Vorgaben einzuhalten; der beauftragende Fachbereich muss ihre
Umsetzung sicherstellen.
1. Der Auftragnehmer ist nach seiner Eignung zur Gewährleistung der erforderlichen technischen
und organisatorischen Schutzmaßnahmen auszuwählen.
2. Der Auftrag ist in Textform zu erteilen. Dabei sind die Weisungen zur Datenverarbeitung und
die Verantwortlichkeiten des Auftraggebers und des Auftragnehmers zu dokumentieren.
3. Der Auftraggeber muss sich vor Beginn der Datenverarbeitung von der Einhaltung der Pflichten
des Auftragnehmers überzeugen. Die Einhaltung der Anforderungen an die Datensicherheit
kann ein Auftragnehmer insbesondere durch Vorlage einer geeigneten Zertifizierung
nachweisen. Je nach Risiko der Datenverarbeitung ist die Kontrolle gegebenenfalls während
der Vertragslaufzeit regelmäßig zu wiederholen.
4. Bei einer grenzüberschreitenden Auftragsdatenverarbeitung sind die jeweiligen nationalen
Anforderungen für eine Weitergabe personenbezogener Daten ins Ausland zu erfüllen.
Insbesondere darf die Verarbeitung personenbezogener Daten aus dem Europäischen
Wirtschaftsraum in einem Drittstaat nur stattfinden, wenn der Auftragnehmer ein zu dieser
Datenschutzrichtlinie gleichwertiges Datenschutzniveau nachweist.
5. Anerkennung verbindlicher Unternehmensregeln des Auftragnehmers zur Schaffung eines
angemessenen Datenschutzniveaus durch die zuständigen Datenschutz Aufsichtsbehörden.

VII. Rechte des Betroffenen
Jeder Betroffene kann die folgenden Rechte wahrnehmen. Ihre Geltendmachung ist
umgehend durch den verantwortlichen Bereich zu bearbeiten und darf für den Betroffenen
zu keinerlei Nachteilen führen.
1. Der Betroffene kann Auskunft darüber verlangen, welche personenbezogenen Daten welcher
Herkunft über ihn zu welchem Zweck gespeichert sind. Falls im Arbeitsverhältnis nach dem
jeweiligen Arbeitsrecht weitergehende Einsichtsrechte in Unterlagen des Arbeitgebers (z.B.
Personalakte) vorgesehen sind, so bleiben diese unberührt.
2. Werden personenbezogene Daten an Dritte übermittelt, muss auch über die Identität desEmpfängers oder über die Kategorien von Empfängern Auskunft gegeben werden.
3. Sollten personenbezogene Daten unrichtig oder unvollständig sein, kann der Betroffene ihre
Berichtigung oder Ergänzung verlangen.

4. Der Betroffene kann der Verarbeitung seiner personenbezogenen Daten zu Zwecken der
Werbung oder der Markt- und Meinungsforschung widersprechen. Für diese Zwecke müssen
die Daten gesperrt werden.
5. Der Betroffene ist berechtigt, die Löschung seiner Daten zu verlangen, wenn die
Rechtsgrundlage für die Verarbeitung der Daten fehlt oder weggefallen ist. Gleiches gilt fürden Fall, dass der Zweck der Datenverarbeitung durch Zeitablauf oder aus anderen Gründen
entfallen ist. Bestehende Aufbewahrungspflichten und einer Löschung entgegenstehende
schutzwürdige Interessen müssen beachtet werden.
6. Der Betroffene hat ein grundsätzliches Widerspruchsrecht gegen die Verarbeitung seiner
Daten, das zu berücksichtigen ist, wenn sein schutzwürdiges Interesse aufgrund einerbesonderen persönlichen Situation das Interesse an der Verarbeitung überwiegt. Dies gilt
nicht, wenn eine Rechtsvorschrift zur Durchführung der Verarbeitung verpflichtet.

VIII. Vertraulichkeit der Verarbeitung
Personenbezogene Daten unterliegen dem Datengeheimnis. Eine unbefugte Erhebung,Verarbeitung oder Nutzung ist den Mitarbeitern untersagt.
Unbefugt ist jede Verarbeitung, die ein Mitarbeiter vornimmt, ohne damit im Rahmen derErfüllung seiner Aufgaben betraut und entsprechend berechtigt zu sein. Es gilt das
Need-to-know-Prinzip: Mitarbeiter dürfen nur Zugang zu personenbezogenen Datenerhalten, wenn und soweit dies für ihre jeweiligen Aufgaben erforderlich ist. Dies erfordert
die sorgfältige Aufteilung und Trennung von Rollen und Zuständigkeiten sowie deren
Umsetzung und Pflege im Rahmen von Berechtigungskonzepten.
Mitarbeiter dürfen personenbezogene Daten nicht für eigene private oder wirtschaftliche
Zwecke nutzen, an Unbefugte übermitteln oder diesen auf andere Weise zugänglich machen.
Vorgesetzte müssen ihre Mitarbeiter bei Beginn des Beschäftigungsverhältnisses über die Pflicht zur
Wahrung des Datengeheimnisses unterrichten. Diese Verpflichtung besteht auch nach Beendigung desBeschäftigungsverhältnisses fort.

IX. Sicherheit der Verarbeitung
Personenbezogene Daten sind jederzeit gegen unberechtigten Zugriff, unrechtmäßige Verarbeitungoder Weitergabe, sowie gegen Verlust, Verfälschung oder Zerstörung zu schützen. Dies gilt unabhängig
davon, ob die Datenverarbeitung elektronisch oder in Papierform erfolgt. Vor Einführung neuer
Verfahren der Datenverarbeitung, insbesondere neuer IT-Systeme, sind technische undorganisatorische Maßnahmen zum Schutz personenbezogener Daten festzulegen und umzusetzen.
Diese Maßnahmen haben sich am Stand der Technik, den von der Verarbeitung ausgehenden Risiken
und dem Schutzbedarf der Daten (ermittelt durch den Prozess zur Informationsklassifizierung) zu
orientieren. Bei solchen Anpassungen bzw. Änderungen wird der Datenschutzbeauftragte der Infinity
Innovative Projects GmbH zur Prozessbegleitung mit einbezogen.

Die technisch organisatorischen Maßnahmen zum Schutz personenbezogener Daten sind Teil desunternehmensweiten Informationssicherheits- und Datenschutz-Managements undmüssen kontinuierlich an die technischen Entwicklungen und an organisatorische Änderungenangepasst werden.

X. Datenschutzkontrolle
Die Einhaltung der Richtlinien zum Datenschutz und der geltenden Datenschutzgesetze wird
regelmäßig durch Datenschutzaudits und weitere Kontrollen überprüft. Die Durchführung obliegt dem
Datenschutzbeauftragten und weiteren von der Unternehmensleitung bestimmten Personen mit
Auditrechten. Die Ergebnisse der Datenschutzkontrollen sind im Wesentlichen derUnternehmensleitung mitzuteilen.
Auf Antrag werden die Ergebnisse von Datenschutzkontrollen der zuständigenDatenschutzaufsichtsbehörde zur Verfügung gestellt. Die Datenschutzaufsichtsbehörde kann im
Rahmen der ihr nach staatlichem Recht zustehenden Befugnisse auch eigene Kontrollen der Einhaltung
der Vorschriften dieser Richtlinie durchführen.

XI. Datenschutzvorfälle
Jeder Mitarbeiter soll der Geschäftsleitung und dem Datenschutzbeauftragten unverzüglich Fälle vonVerstößen gegen diese Datenschutzrichtlinie oder andere Vorschriften zum Schutz
personenbezogener Daten (Datenschutzvorfälle) melden.
In Fällen von• unrechtmäßiger Übermittlung personenbezogener Daten an Dritte• unrechtmäßiger Zugriff durch Dritte auf personenbezogene Daten, oder
• bei Verlust personenbezogener Datensind die im Unternehmen vorgesehenen Meldungen (Information Security Incident Management)
unverzüglich vorzunehmen, damit nach staatlichem Recht bestehende Meldepflichten vonDatenschutzvorfällen erfüllt werden können.

XII. Verantwortlichkeiten und Sanktionen
Die Geschäftsleitung ist für die verordnungskonforme Datenverarbeitung personenbezogener Datenverantwortlich.
Damit ist sie verpflichtet sicherzustellen, dass die gesetzlichen und die in der Datenschutzrichtlinie
enthaltenen Anforderungen des Datenschutzes eingehalten werden (z.B. nationale Meldepflichten).
Es ist eine Managementaufgabe der Geschäftsleitung, durch organisatorische, personelle undtechnische Maßnahmen eine ordnungsgemäße Datenverarbeitung unter Beachtung desDatenschutzes sicherzustellen. Die Umsetzung dieser Vorgaben liegt in der Verantwortungder zuständigen Mitarbeiter. Bei Datenschutzkontrollen
Datenschutzbeauftragte umgehend zu informieren.

durch

Behördenistder

Der Datenschutzbeauftragte ist im Unternehmen Ansprechpartner für den Datenschutz. Er kann
Kontrollen durchführen und hat die Mitarbeiter mit den Inhalten der Datenschutzrichtlinien vertraut
zu machen.
Die Geschäftsleitung ist verpflichtet, den Datenschutzbeauftragten in seiner Tätigkeit zu unterstützen.
Die für Geschäftsprozesse und Projekte fachlich Verantwortlichen müssen den
Datenschutzbeauftragten rechtzeitig über neue Verarbeitungen personenbezogener Daten
informieren. Bei Datenverarbeitungsvorhaben, aus denen sich besondere Risiken fürPersönlichkeitsrechte der Betroffenen ergeben können, ist der Datenschutzbeauftragte schon vor
Beginn der Verarbeitung zu beteiligen. Dies gilt insbesondere für besonders schutzwürdige
personenbezogene Daten.
Die Geschäftsleitung hat sicherzustellen, dass ihre Mitarbeiter im erforderlichen Umfang zum
Datenschutz geschult werden. Eine missbräuchliche Verarbeitung personenbezogener Daten oderandere Verstöße gegen das Datenschutzrecht werden in vielen Staaten auch strafrechtlich verfolgt undkönnen Schadensersatzansprüche nach sich ziehen. Zuwiderhandlungen, für die einzelne Mitarbeiterverantwortlich sind, können zu arbeitsrechtlichen Sanktionen führen.

XIII. Der Datenschutzbeauftragte
Der Datenschutzbeauftragte als internes, fachlich weisungsunabhängiges Organ wirkt auf die
Einhaltung der Datenschutzvorschriften hin.
Er ist verantwortlich für die Überwachung der Einhaltung der Richtlinien zum Datenschutz.
Der Datenschutzbeauftragte unterrichtet die Geschäftsleitung zeitnah über Datenschutzrisiken.
Jeder Betroffene kann sich mit Anregungen, Anfragen, Auskunftsersuchen oder Beschwerden im
Zusammenhang mit Fragen des Datenschutzes oder der Datensicherheit an den
Datenschutzbeauftragten wenden. Anfragen und Beschwerden werden auf Wunsch vertraulichbehandelt.
Anfragen von Aufsichtsbehörden sind immer auch dem Datenschutzbeauftragten zu Kenntnis zu
bringen.
Der Datenschutzbeauftragte kann wie folgt erreicht werden:
Infinity Innovative Projects GmbH
Datenschutzbeauftragter
Schwarzottstraße 2a ; 2620 Neunkirchen
Telefon: 02635/90400-329
datenschutz@schneider-partner.at

IX. Inkraftsetzung
Dieses Dokument wird einmal jährlich sowie bei Bedarf auf Vollständigkeit und Aktualität überprüft.
Änderungen dieses Dokuments liegen in der Verantwortung des Zuständigen für DatenschutzManagement in Abstimmung mit dem Datenschutzbeauftragten.
Dieses Dokument ist allen Mitarbeitern zugänglich zu halten.