Source: https://bcs-service-center.de/datenschutz/
Timestamp: 2019-07-22 05:22:20+00:00

Document:
Bayern Card-Services Datenschutz
Der Schutz Ihrer Privatsphäre und der Privatsphäre Ihrer Kunden bei der Verarbeitung personenbezogener Daten ist für uns ein wichtiges Anliegen.
Die BCS erhebt, verarbeitet oder nutzt persönliche Daten, die beim Besuch des BCS Service-Center erhoben werden, gemäß der DSG-VO, BDSG neu und dem TMG und anderen gesetzlichen Bestimmungen, die für den elektronischen Geschäftsverkehr und den Datenschutz gelten. Sie hat technische und organisatorische Maßnahmen getroffen, die sicherstellen, dass die Bestimmungen zum Datenschutz sowohl von ihr als auch von externen Dienstleistern beachtet werden. Ihre Sicherheitsmaßnahmen werden entsprechend der technologischen Entwicklung fortlaufend verbessert, getestet und regelmäßig durch interne wie externe Stellen geprüft.
Die Nutzungsdaten werden ausschließlich zum Zweck der Ermöglichung der Inanspruchnahme des Service-Centers erhoben oder verwendet. Nutzungsbezogene Daten, die während der Nutzung der Webseiten anfallen, werden unmittelbar nach Beendigung des Zugriffs auf die Webseiten gelöscht
Teilweise setzt die BCS für ihre Website sogenannte Session Cookies ein, um den Besuch der Seite komfortabler zu machen. Die Session Cookies werden nach Ende des Besuchs automatisch zurückgesetzt sobald der Nutzer sich ausloggt.
Cookies sind kleine Textdateien, die vom Webserver an den PC des Nutzers verschickt und dort meist auf seiner Festplatte abgespeichert werden. Sie werden nicht Bestandteil des Systems des Nutzers und können auch keinen Schaden anrichten.
Die meisten Browser sind so eingestellt, dass sie Cookies automatisch akzeptieren. Der Nutzer kann das Speichern von Cookies jedoch deaktivieren oder seinen Browser so einstellen, dass er ihn auf die Sendung eines Cookies hinweist.
Die Website des BCS Service-Center kann Links zu Websites anderer Anbieter enthalten, auf die sich diese Datenschutzerklärung nicht erstreckt.
Verantwortlicher im Sinne des Art. 24 DS-GVO:
Bayern Card-Services GmbH S-Finanzgruppe, Barer Straße 24, 80333 München („BCS“)
5. Datenschutzverpflichtung der BCS im Rahmen von Mailingdienstleistungen im Auftrag der Sparkasse
Die BCS verpflichtet sich, die im Rahmen der Auftragsabwicklung übermittelten Daten streng vertraulich und unter Beachtung der Vorschriften des Bundesdatenschutzgesetzes und nach Maßgabe der nachfolgenden Regelungen zu behandeln:
5.1 Umfang, Art und Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten, Art der Daten, Kreis der Betroffenen.
Die BCS erhebt, verarbeitet oder nutzt folgende Datenarten:
Mailingmaßnahmen / Full-Service Prämienversand im BCS Service-Center
Mailingmaßnahmen gemäß gesondertem Auftrag.
Die BCS erhebt, verarbeitet und nutzt sämtliche personenbezogenen Daten ausschließlich zur vertragsgemäßen Durchführung ihrer Dienstleistung gemäß dem vorgenannten Zweck. Der BCS ist es untersagt, die Daten zu einem anderen Zweck als zu dem der Durchführung der übernommenen Dienstleistung zu erheben, zu verarbeiten oder zu nutzen.
Beschäftigte i. S. d. § 26 BDSG neu
5.2 Technisch-organisatorische Maßnahmen i.S.v. Art. 32 DS-GVO
Die BCS verpflichtet sich zur Umsetzung der nachfolgend dargelegten technischen und organisatorischen Maßnahmen. Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es der BCS gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren. Die BCS hat auf Anforderung die Angaben nach Art. 28 Absatz 3 h DS-GVO der Sparkasse zur Verfügung zu stellen.
5.2.1 Zutrittskontrolle
Ein unbefugter Zutritt ist zu verhindern, wobei der Begriff räumlich zu verstehen ist. Es werden folgende technische bzw. organisatorische Maßnahmen zur Zutrittskontrolle, insbesondere auch zur Legitimation der Berechtigten ergriffen:
Der Zutritt zu den Räumlichkeiten erfolgt über Chipkarte.
Die Zutrittsberechtigung zu den Serverräumen ist auf bestimmte Mitarbeiter beschränkt.
Fenster und Türen sind gem. Dienstanweisung beim Verlassen der Büroräume zu verschließen.
5.2.2 Zugangskontrolle
Das Eindringen Unbefugter in die DV-Systeme ist zu verhindern. Technische (Kennwort- / Passwortschutz) und organisatorische (Benutzerstammsatz) Maßnahmen hinsichtlich der Benutzeridentifikation und Authentifizierung:
Die internen Kennwortrichtlinien geben eine Zwangsänderung des Kennwortes alle 90 Tage vor. Die Passwörter müssen aus mindestens 8 Zeichen mit Groß- und Kleinschreibung und Sonderzeichen bestehen.
Die Benutzerkonten sind eindeutigen Benutzern zugeordnet. Keine unpersönlichen Sammelkonten.
Eine automatische Bildschirmsperre erfolgt nach maximal 30 Minuten.
5.2.3 Zugriffskontrolle
Berechtigungsmechanismus mit Möglichkeit zur exakten Differenzierung auf Feldebene.
Die Wiederherstellung von Daten aus Backup-Systemen erfolgt durch ein revisionssicheres, verbindliches Verfahren (Restore durch IT-Abteilung auf Anweisung von Abteilungsleitung oder Geschäftsführung).
Trennung von Berechtigungsbewilligung (organisatorisch) durch Abteilungsleitung / Geschäftsführung und Berechtigungsvergabe (technisch) durch die IT-Abteilung.
Zugriff auf die Netzlaufwerke haben ausschließlich berechtigte Benutzer(gruppen).
5.2.4 Weitergabekontrolle
Aspekte der Weitergabe personenbezogener Daten sind zu regeln: Elektronische Übertragung, Datentransport, Übermittlungskontrolle. Maßnahmen bei Transport, Übertragung und Übermittlung oder Speicherung auf Datenträger (manuell oder elektronisch) sowie bei der nachträglichen Überprüfung:
Die Weitergabe personenbezogener Daten erfolgt grundsätzlich über das BCS Service-Center mit SSL-Verschlüsselung.
5.2.5 Eingabekontrolle
Vertragliche Beschränkung der Arbeit mit personenbezogenen Daten der Sparkasse auf die im Zusammenhang mit der Leistungserbringung stehenden Mitarbeiter.
5.2.6 Auftragskontrolle
Die weisungsgemäße Auftragsdatenverarbeitung ist zu gewährleisten. Maßnahmen (technisch / organisatorisch) zur Abgrenzung der Kompetenzen zwischen BCS und Sparkasse:
Die Rechte und Pflichten zwischen BCS und Sparkasse sind in der Datenschutzverpflichtung eindeutig geregelt.
Zur Kontrolle der Vertragsausführung kann die Sparkasse die unter Punkt 5.7 genannten Kontrollrechte wahrnehmen.
5.2.7 Verfügbarkeitskontrolle
Es besteht ein Backup- und Recovery-Konzept mit täglicher Sicherung und katastrophensicherer Aufbewahrung der Datenträger.
Sachkundiger Einsatz von Schutzprogrammen (Virenscanner, Firewalls, Verschlüsselungsprogramme, SPAM-Filter) und schriftliche Konzeption ihres Einsatzes (Virenschutzkonzept usw.)
Unterbrechungsfreie Stromversorgung (Batterieraum für Notfälle)
Einsatz redundanter Systeme (wenigstens Festplattenspiegelung)
5.2.8 Trennungskontrolle
Die Daten verschiedener Auftraggebenden Sparkassen werden getrennt gesichert und verarbeitet.
Die Daten der Sparkasse werden nach Beendigung des Auftrages in Abstimmung vollständig aus den Systemen und Datensicherungen der BCS bzw. eines etwaigen Unterauftragnehmers gelöscht.
5.3 Berichtigung, Sperrung und Löschung von Daten
Die BCS hat nur nach Weisung der Sparkasse die Daten, die im Auftrag verarbeitet werden, zu berichtigen, zu löschen oder zu sperren. Soweit ein Betroffener sich unmittelbar an die BCS zwecks Berichtigung oder Löschung seiner Daten wenden sollte, wird die BCS dieses Ersuchen unverzüglich an die Sparkasse weiterleiten.
5.4 Kontrollen und sonstige Pflichten der BCS
Die BCS hat zusätzlich zu der Einhaltung der Regelungen dieses Auftrags nach Art. 28 Absatz 3 DS-GVO folgende Pflichten:
Schriftliche Bestellung – soweit gesetzlich vorgeschrieben – eines Datenschutzbeauftragten, der seine Tätigkeit gemäß Art. 39 DS-GVO ausüben kann. Dessen Kontaktdaten werden der Sparkasse zum Zweck der direkten Kontaktaufnahme mitgeteilt.
Die Wahrung des Datengeheimnisses entsprechend § 53 BDSG neu. Alle Personen, die auftragsgemäß auf personenbezogene Daten der Sparkasse zugreifen können, müssen auf das Datengeheimnis verpflichtet und über die sich aus diesem Auftrag ergebenden besonderen Datenschutzpflichten sowie die bestehende Weisungs- bzw. Zweckbindung belehrt werden.
Die Umsetzung und Einhaltung aller für diesen Auftrag notwendigen technischen und organisatorischen Maßnahmen entsprechend Art. 32 DS-GVO und Anlage.
Die unverzügliche Information der Sparkasse über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde nach Art. 57 DS-GVO. Dies gilt auch, soweit eine zuständige Behörde nach Art. 58 DS-GVO bei der BCS ermittelt.
Die Durchführung der Auftragskontrolle mittels regelmäßiger Prüfungen durch die BCS im Hinblick auf die Vertragsausführung bzw. -erfüllung, insbesondere Einhaltung und ggf. notwendige Anpassung von Regelungen und Maßnahmen zur Durchführung des Auftrags.
Nachweisbarkeit der getroffenen technischen und organisatorischen Maßnahmen gegenüber der Sparkasse. Hierzu kann die BCS auch aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren) oder eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach BSI-Grundschutz) vorlegen.
5.5 Unterauftragsverhältnisse
Soweit bei der Verarbeitung oder Nutzung personenbezogener Daten der Sparkasse Unterauftragnehmer einbezogen werden sollen, wird dies genehmigt, wenn folgende Voraussetzungen vorliegen:
Die BCS ist - unter Wahrung der unter Punkt 5.4 erläuterten Pflicht zur Auftragskontrolle - zur Einschaltung der nachfolgend genannten Unterauftragnehmer berechtigt:
S-Markt & Mehrwert GmbH & Co. KG, Standort Elsdorf, Stammelner Straße, 50189 Elsdorf-Heppendorf
NetMarket PMS GmbH, Stammelner Straße 26, 50189 Heppendorf
Dienstleister für Sonderverarbeitungen:
Gamisch Marketingservice, Max-Planck-Straße 38, 50858 Köln
(z.B. für die Verarbeitung abweichender Mailingformate)
Rurtalwerkstätten Lebenshilfe Düren, Veldener-Str. 7-9, 52349 Düren
(z.B. für manuellen Kuvertierungen)
Briefodruck Fülle KG, Fuchstalstrasse 8, 07570 Wünschendorf
(z.B. bei Schnappmatik-Mailings)
Dienstleister bei Kapazitätsengpässen:
Thieka GmbH, Konrad-Zuse-Straße 2, 41516 Grevenbroich (Personalisierung)
pri.ma.id UG, Siebengebirgsblick 16, 53343 Wachtberg (Personalisierung)
Caritas Wertarbeit/CariPrint, Heinrich-Rohlmann-Str. 13 | 50829 Köln
(Karte aufspenden, manuelle Kuvertierung)
Stibo Hürth GmbH, Innungstraße 20, 50354 Hürth (Selfmailer-Verarbeitung)
Weitere Unterauftragnehmer dürfen von der BCS oder ihren Unterauftragnehmern nur nach vorheriger schriftlicher Zustimmung der Sparkasse eingeschaltet werden.
Die vertraglichen Vereinbarungen mit dem/den Unterauftragnehmer/n sind so zu gestalten, dass sie den Datenschutzbestimmungen im Vertragsverhältnis zwischen BCS und Sparkasse entsprechen.
Bei der Unterbeauftragung sind der Sparkasse Kontroll- und Überprüfungsrechte entsprechend dieser Vereinbarung und des Art. 28 Absatz 3 DS-GVO i.V.m. Punkt 5.2.6 zu Art. 28 Absatz 4 DS-GVO beim Unterauftragnehmer einzuräumen. Dies umfasst auch das Recht der Sparkasse, auf schriftliche Anforderung Auskunft über den wesentlichen Vertragsinhalt und die Umsetzung der datenschutzrelevanten Verpflichtungen im Unterauftragsverhältnis, erforderlichenfalls durch Einsicht in die relevanten Vertragsunterlagen, zu erhalten.
Nicht als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die die BCS bei Dritten als Nebenleistung zur Unterstützung bei der Auftragsdurchführung in Anspruch nimmt. Dazu zählen z.B. Telekommunikationsleistungen, Wartung und Benutzerservice, Reinigungskräfte, Prüfer oder die Entsorgung von Datenträgern. Die BCS ist jedoch verpflichtet, zur Gewährleistung des Schutzes und der Sicherheit der Daten der Sparkasse auch bei fremd vergebenen Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen.
5.6 Kontrollrechte der Sparkasse
Die Sparkasse hat das Recht, die in Punkt 5.2.6 zu Art. 28 Absatz 4 DS-GVO vorgesehene Auftragskontrolle im Benehmen mit der BCS durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen. Die BCS verpflichtet sich, der Sparkasse auf Anforderung die zur Wahrung ihrer Verpflichtung zur Auftragskontrolle erforderlichen Auskünfte zu geben und die entsprechenden Nachweise verfügbar zu machen.
Im Hinblick auf die Kontrollverpflichtungen der Sparkasse nach Art. 28 Absatz 3 DS-GVO vor Beginn der Datenverarbeitung und während der Laufzeit des Auftrags stellt die BCS sicher, dass sich die Sparkasse von der Einhaltung der getroffenen technischen und organisatorischen Maßnahmen überzeugen kann. Hierzu weist die BCS der Sparkasse auf Anfrage die Umsetzung der technischen und organisatorischen Maßnahmen gemäß Art. 32 DS-GVO und der Anlage nach. Dabei kann der Nachweis der Umsetzung solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, auch durch Vorlage eines aktuellen Testats, von Berichten oder Berichtsauszügen unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren) oder einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach BSI-Grundschutz) erbracht werden.
5.7 Mitteilung bei Verstößen
Die BCS erstattet in allen Fällen der Sparkasse eine Meldung, wenn durch sie, die bei ihr beschäftigten Personen Verstöße oder die von ihr eingeschalteten Unterauftragnehmer gegen Vorschriften zum Schutz personenbezogener Daten der Sparkasse oder gegen die im Auftrag getroffenen Festlegungen vorgefallen sind.
Es ist bekannt, dass nach Art 33 DS-GVO Informationspflichten im Falle des Abhandenkommens oder der unrechtmäßigen Übermittlung oder Kenntniserlangung von personenbezogenen Daten bestehen können. Deshalb sind solche Vorfälle ohne Ansehen der Verursachung unverzüglich der Sparkasse mitzuteilen. Dies gilt auch bei schwerwiegenden Störungen des Betriebsablaufs, bei Verdacht auf sonstige Verletzungen gegen Vorschriften zum Schutz personenbezogener Daten oder anderen Unregelmäßigkeiten beim Umgang mit personenbezogenen Daten der Sparkasse. Die BCS hat im Benehmen mit der Sparkasse angemessene Maßnahmen zur Sicherung der Daten sowie zur Minderung möglicher nachteiliger Folgen für Betroffene zu ergreifen. Soweit die Sparkasse Pflichten nach Art. 33 DS-GVO treffen, hat die BCS sie hierbei zu unterstützen.
5.8 Weisungsbefugnis der Sparkasse
Der Umgang mit den Daten erfolgt ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisung der Sparkasse (Art. 28 Absatz 3 DS-GVO). Die Sparkasse behält sich im Rahmen der in dieser Vereinbarung getroffenen Auftragsbeschreibung ein umfassendes Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor, das sie durch Einzelweisungen konkretisieren kann. Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam abzustimmen und zu dokumentieren. Auskünfte an Dritte oder den Betroffenen darf die BCS nur nach vorheriger schriftlicher Zustimmung durch die Sparkasse erteilen.
Mündliche Weisungen wird die BCS unverzüglich schriftlich oder per E-Mail (in Textform) bestätigen. Die BCS verwendet die Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben. Kopien und Duplikate werden ohne Wissen der Sparkasse nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind. Die BCS hat die Sparkasse unverzüglich entsprechend Art. 33 Absatz 2 DS-GVO zu informieren, wenn sie der Meinung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften. Die BCS ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen bei der Sparkasse bestätigt oder geändert wird.
5.9 Löschung von Daten und Rückgabe von Datenträgern
Nach Abschluss der vertraglichen Arbeiten oder früher nach Aufforderung durch die Sparkasse – spätestens mit Beendigung der Leistungsvereinbarung – hat die BCS sämtliche in ihren Besitz gelangte Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, der Sparkasse auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial. Das Protokoll der Löschung ist auf Anforderung vorzulegen.
Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch die BCS entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Sie kann sie zu ihrer Entlastung bei Vertragsende der Sparkasse übergeben.
6. Analyse- und Trackingmaßnahmen
7. Ansprechpartner für Fragen des Datenschutzes
Bei Fragen zur Verarbeitung von personenbezogenen Daten oder zum Thema Datenschutz allgemein steht der Datenschutzbeauftragte der BCS zur Verfügung (E-Mail: ds@bayerncard.de; bitte in der Betreffzeile "Fragen zum Datenschutz im Rahmen BCS Service-Center" vermerken).
© 2019 Bayern Card-Services GmbH

References: Art. 24
 § 26
 Art. 32
 Art. 28
 Art. 28
 Art. 39
 § 53
 Art. 32
 Art. 57
 Art. 58
 Art. 28
 Art. 28
 Art. 28
 Art. 28
 Art. 32
 Art. 33
 Art. 33