Source: https://www.gottfried-baustoffe.de/104-0-Informationspflicht-fuer-Websites.html
Timestamp: 2019-02-21 01:43:32+00:00

Document:
Informationspflicht für Websites - GOTTFRIED | BAUSTOFFE TON & KERAMIK
Der Schutz personenbezogener Daten ist uns ein wichtiges Anliegen. Deshalb verarbeiten wir die perso-nenbezogenen Daten unserer Mitarbeiter, Kunden sowie Geschäftspartner in Übereinstimmung mit den anwendbaren Rechtsvorschriften zum Schutz personenbezogener Daten und zur Datensicherheit.
In dieser Datenschutzrichtlinie wird beschrieben, welche Arten von personenbezogenen Daten wir er-heben, wie diese Daten genutzt werden, an wen sie übermittelt werden und welche Wahlmöglichkeiten und Rechte betroffene Personen im Zusammenhang mit unserer Verarbeitung der Daten haben. Außer-dem beschreiben wir, mit welchen Maßnahmen wir die Sicherheit der Daten gewährleisten und wie be-troffene Personen Kontakt mit uns aufnehmen können, wenn Sie Fragen zu unserer Datenschutzpraxis haben.
Diese Richtlinie regelt die datenschutzkonforme Informationsverarbeitung und die insoweit bei der Adolf Gottfried Tonwerke GmbH/Gottfried Feldspat GmbH bestehenden Verantwortlichkeiten. Alle Mitarbeiter sind zur Einhaltung der Richtlinie verpflichtet.
>> die IT-Abteilung und Administratoren, die über den Einsatz/die Bereitstellung eines Anwendungs-systems entscheiden.
>> die IT-Abteilung und Administratoren, die über die Nutzung des Systems für ihre Aufgaben entschei-det.
>> Benutzer, d.h. diejenigen, die das zur Verfügung gestellte System für die Erledigung ihrer betrieblichen Aufgaben nutzen (bei Speicherung personenbezogener Daten auf einem Arbeitsplatzrechner entscheidet der einzelne Benutzer ggf. auch über die im System erfolgende Verarbeitung und die dazu verwendeten Programme),
>> Jeder Mitarbeiter ist in seinem Verantwortungsbereich für die Umsetzung der Richtlinie verantwort-lich. Die Einhaltung muss von ihm regelmäßig kontrolliert werden.
>> Die für die Verarbeitungen der eingesetzten Systeme Verantwortlichen stellen sicher, dass ihre Mit-arbeiter (Benutzer) über diese Richtlinie informiert werden; das gilt auch für temporär Beschäftigte.
>> Der Datenschutzbeauftragte berät bei der Umsetzung der Richtlinie und prüft deren Einhaltung. In-soweit sind alle Adressaten der Richtlinie dem DSB auskunftspflichtig.
2.1 Die Adolf Gottfried Tonwerke GmbH/Gottfried Feldspat GmbH hat nach Maßgabe des Artikels 37 DS-GVO einen betrieblichen Datenschutzbeauftragten (DSB) und einen Datenschutzkoordinator bestellt. Die Kontaktdaten des Datenschutzbeauftragten sind wie folgt:
René Rautenberg GmbH – datenschutzbeauftragter@er-secure.de
Für alle Fragen zum Datenschutz Fragen Sie bitte unseren Datenschutzkoordinator. Seine Kontaktdaten finden Sie unter: (bitte intern hinterlegen falls der Koordinator wechselt muss die Richtlinie nicht allen neu ausgehändigt werden). Hier ggfls. Noch einen Stellvertreter benennen oder wenn der Datenschutz-koordinator nicht erreichbar ist wenden Sie sich bitte an. (Achim Gottfried, stv. Andreas Hümmer)
Bitte richten Sie alle Fragen an den Datenschutz Koordinator. Ausnahme: Die Informationen sollen ver-traulich behandelt werden. In dem Fall kontaktieren Sie den Datenschutzbeauftragten direkt per Email.
2.2 Der Datenschutzbeauftragte unterrichtet und berät die Unternehmensleitung sowie die Beschäftig-ten hinsichtlich ihrer Datenschutzpflichten. Dafür hat der Datenschutzbeauftragte ein Online Daten-schutz Management System zur Verfügung gestellt. Ihm obliegt die Überwachung der Einhaltung der Datenschutzvorschriften sowie der Strategien des Verantwortlichen für den Schutz personenbezogener Daten der Sensibilisierung und Schulung der Mitarbeiter.
Im Falle risikoreicher Datenverarbeitungen steht der DSB dem Verantwortlichem beratend bei der Ab-schätzung des Risikos zur Seite
2.4 Der DSB wird frühzeitig in alle Datenschutzfragen eingebunden und wird sowohl von der Unter-nehmensleitung als auch den Beschäftigten bei der Erfüllung seiner Aufgaben unterstützt. Der Daten-schutzkoordinator und der DSB sind rechtzeitig einzubinden und zu informieren
2.5 Der Datenschutz-Koordinator ist also insoweit ein dem DSB fachlich zugewiesener Mitarbeiter zur Einhaltung der für das Unternehmen geltenden Datenschutz Vorschriften. Er informiert den DSB über vor Ort aufgetretene Datenschutzfragen. Er erhebt die Angaben über in seinem Zuständigkeitsbereich gesondert eingesetzte Verfahren und gibt die Meldung an den DSB weiter.
2.6 Die Unternehmensleitung überträgt die Aufgabe des Führens eines Verzeichnisses von Verarbei-tungtätigkeiten (Art. 30 DS-GVO) und des Erteilens von Auskünften (Art. 15 DS-GVO) auf den Daten-schutzkoordinator. Für Meldungen, Auskünfte etc. gegenüber den Datenschutzaufsichtsbehörden liegt die bearbeitende Zuständigkeit bei dem Datenschutzkoordinator. Die Fachabteilungen stellen die hierfür erforderlichen Informationen, Unterlagen etc. zur Verfügung. Gleiches gilt für Anfragen, Beschwerden oder Auskunftsersuchen Betroffener (vgl. Ziff. 5.4).
2.7 Jeder Mitarbeiter kann sich unmittelbar mit Hinweisen, Anregungen oder Beschwerden an den Da-tenschutzkoordinator wenden, wobei auf Wunsch absolute Vertraulichkeit gewahrt wird.
2.8 Der Datenschutzkoordinator berichtet jährlich in einem Tätigkeitsbericht der Geschäftsführung über stattgefundene Prüfungen, Beanstandungen und ggf. noch zu beseitigende Organisationsmängel.
3.1 Die Beschaffung von Hard- und Software erfolgt grundsätzlich auf Anforderung der über die Verar-beitungen entscheidenden Person/Abteilung durch die zentrale DV-Beschaffung. Bereits bei der Aus-wahl von Hard-und Software wird das Prinzip der Gewährleistung von Datenschutz durch Technikge-staltung und durch „datenschutzfreundliche" Voreinstellungen als ein tragendes Kriterium beachtet.
Im Falle einer Neuanschaffung (besonders bei Software mittels derer personenbezogene Daten verarbei-tet werden ist der Datenschutzbeauftragte / Datenschutzkoordinator einzuschalten.
Eine Meldung sollte rechtzeitig vorher gemacht werden. Nicht erst wenn die Bestellung erfolgt ist.
Eine Meldung können Sie wie folgt abgeben. Besuchen Sie die Homepage:
https://www.er-secure.de/login.php
3.2 Falls mit der Beschaffung ein neues Verfahren der Verarbeitung personenbezogener Daten einge-führt werden soll, ist der Datenschutzkoordinator rechtzeitig vorab von der anfordernden Stelle zu in-formieren (siehe hierzu Näheres in Ziff. 5.2). Die Beschaffung erfolgt erst nach Stellungnahme des Daten-schutzkoordinators. Der DSB berät dahingehend, ob die Durchführung einer Datenschutz–Folgenabschätzung erforderlich ist. Die Durchführung einer Datenschutz-Folgenabschätzung wird im-mer gemeinsam mit Ihrem DSB gemacht.
3.3 Private Hard- und Software dürfen nicht zur Verarbeitung personenbezogener Daten Verwendung finden. Die dienstliche Nutzung privater Hard- und Software im heimischen und außerbetrieblichen Be-reich (z.B. private Notebooks) bedarf der Genehmigung durch die IT-Abteilung im Einzelfall.
3.4 Die IT-Abteilung führt ein Verzeichnis der eingesetzten Hardware und der verwendeten Anwen-dungsprogramme. Der DSB erhält eine Kopie (alternativ: Der DSB kann auf das Verzeichnis jederzeit zu-greifen).
4.2 Mitarbeiter, die besonderen Geheimhaltungsverpflichtungen (z.B. Fernmeldegeheimnis nach § 88 TKG) unterliegen, werden von den Vorgesetzten ergänzend schriftlich verpflichtet. Die jeweilige Ver-pflichtungserklärung ist zu den Personalakten zu nehmen.
5.1 Über Verfahren, die den Umgang mit personenbezogenen Daten betreffen, führt der Daten- schutzbe-auftragte ein für jedermann einsehbares Verzeichnis von Verarbeitungen gem. Art. 30 DS- GVO – dieses kann jederzeit im Datenschutz Management Tool eingesehen und runter geladen werden. Der für ein Ver-fahren Verantwortliche bzw. der zuständige Datenschutzkoordinator meldet dieses zeitnah gemäß den vom DSB definierten Vorgaben. Gleiches gilt für Veränderungen (Change Request).
5.2 Unabhängig von dieser Meldung ist der Datenschutzkoordinator bei der Planung der Einführung neuer Verarbeitungen bzw. der Veränderung bestehender Verfahren über Zweck und Inhalt der Anwen-dung und die Erfüllung der Benachrichtigungspflicht zu informieren (vgl. Ziff. 6.3). Bei standardisierten Erhebungen (Fragebögen, Preisausschreiben, Eingabefelder auf der Internet-Homepage etc.) ist der Er-hebungsbogen etc. dem Datenschutzkoordinator zur Abstimmung vorzulegen.
5.3 Soweit der Datenschutz-Koordinator oder die Geschäftsleitung feststellt, dass die beabsichtigte Verarbeitung einer Datenschutz-Folgenabschätzung unterliegt, teilt er dies dem DSB umgehend mit. Das Verfahren darf erst nach Zustimmung des DSB durchgeführt werden. Im Zweifel entscheidet die Ge-schäftsleitung.
5.4 Macht ein Betroffener von seinem Auskunftsrecht nach Art. 15 DS-GVO oder seinem Korrektur- oder Widerspruchsrecht nach Art. 16 und Art. 21 DS- GVO Gebrauch, so erfolgt die zentrale Bearbeitung durch den Datenschutzkoordinator (bei Unternehmen mit regelmäßigen Auskunftsbegehren kann auch eine Zuständigkeit der Fachabteilung zweckmäßig sein). Auskunfts- und Einsichtsrechte von Mitarbei-tern werden durch die Personalverwaltung erfüllt.
Es ist sicherzustellen, dass dem Betroffenen seine Daten auf Wunsch in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung gestellt werden können. Welcher Standard diesen Anfor-derungen genügt, ist im Vorfeld einvernehmlich durch den Datenschutzkoordinator und die IT-Abteilung festzulegen.
6.1 Die Erhebung und Verarbeitung personenbezogener Daten darf nur im Rahmen des rechtlich Zuläs-sigen erfolgen. Hierbei sind auch die besonderen Voraussetzungen für die Erhebung und Verarbeitung sensibler Daten gemäß Art. 9 Abs. 1 DS- GVO zu beachten. Grundsätzlich dürfen nur solche Informatio-nen verarbeitet und genutzt werden, die zur betrieblichen Aufgabenerfüllung erforderlich sind und in unmittelbarem Zusammenhang mit dem Verarbeitungszweck stehen.
6.3 Vor Einführung neuer Arten von Erhebungen ist die die Zulässigkeit bestimmende Zweckbestim-mung der Daten durch den für die Anwendung Verantwortlichen schriftlich zu dokumentieren. Grund-sätzlich ist eine Zweckänderung nur dann zulässig, wenn die Verarbeitung mit denjenigen Zwecken ver-einbar ist, für die die Daten ursprünglich erhoben worden sind. Die im Rahmen der Zweckänderung ge-nutzten Abwägungs-Kriterien sind einzeln zu prüfen. Die Prüfung ist darüber hinaus auch zu einem ord-nungsgemäßen Nachweis zu dokumentieren.
Eine Zweckänderung ist auch zulässig, wenn eine Einwilligung der betroffenen Person durch den Ver-antwortlichen eingeholt wird. Gleichzeitig hat der für die Verarbeitung Verantwortliche vor der Erhe-bung bzw. der Speicherung von Daten schriftlich festzulegen, ob und in welcher Art und Weise der ge-setzlichen Benachrichtigungspflicht des Betroffenen zu genügen ist.
Im Falle einer Zweckänderung müssen Sie vorher immer Ihren Datenschutzkoordinator fragen damit dieser die Rechtmäßigkeit prüfen kann
6.4 Falls andere Stellen Informationen über Betroffene anfordern, dürfen diese ohne Einwilligung des Betroffenen nur gegeben werden, wenn hierfür eine gesetzliche Verpflichtung oder ein die Weitergabe rechtfertigendes legitimes Interesse des Unternehmens besteht und die Identität des Anfragenden zwei-felsfrei feststeht. Im Zweifel ist der Datenschutzkoordinator zu kontaktieren.
7.1 Die Speicherung von Daten erfolgt grundsätzlich auf den hierzu zur Verfügung gestellten Netzlauf-werken. Eine Speicherung auf mobilen Datenträgern oder Cloudspeicher (z.B. Flashspeicher, Streamer-Bändern) bedarf der Genehmigung durch die IT-Abteilung und der Registrierung durch die den Träger einsetzende Abteilung/Benutzer. Bei Netzwerken ist die IT-Abteilung für die Sicherung der Daten ver-antwortlich, die auf dem Server gespeichert sind.
7.2 Soweit technisch bedingt ein anderer Speicherort erforderlich ist (z.B. Notebook, Desktop-PC) ist der jeweilige Benutzer für die Durchführung der Datensicherung selbst verantwortlich. Ist ein Netzzu-gang möglich (z.B. bei Notebook mit WLAN, Tablet), ist zumindest einmal wöchentlich der aktuelle Da-tenbestand auf das für den Benutzer reservierte Netzlaufwerk zu überspielen. Die gewählten Datensi-cherungsmaßnahmen sind in dem Verfahrensverzeichnis zu dokumentieren.
7.4 Bei der Weiter- oder Rückgabe nicht mehr benötigter IT-Komponenten ist der Benutzer verpflich-tet, dafür zu sorgen, dass zuvor sämtliche Daten wirksam gelöscht wurden.
8.1 Sollen externe Dienstleister erstmals mit der Verarbeitung personenbezogener Daten bzw. einzelnen Verarbeitungsschritten (z.B. Erhebung, Löschung = Entsorgung) bzw. mit Tätigkeiten (z.B. Wartung, Reparatur) beauftragt werden, bei denen sie die Möglichkeit der Kenntnis personenbezogener Daten bekommen, so ist der Datenschutzkoordinator vor der Beauftragung unter Vorlage des den Anforde-rungen des Art. 28 DS-GVO genügenden Vertragsentwurfs und der Kriterien der erfolgten bzw. nachfol-gend vorgesehenen Auftragskontrolle zu informieren.
8.2 Entsprechendes gilt, falls die Adolf Gottfried Tonwerke GmbH/Gottfried Feldspat GmbH entspre-chende Tätigkeiten im Auftrag Dritter wahrnehmen will.
9.1 Für jedes Verfahren ist eine dokumentierte Schutzbedarfsfeststellung sowie eine Analyse bzgl. der für den Betroffenen möglichen Risiken zu erstellen. Diese richten sich an der Art, dem Umfang, der Um-stände und Zwecke der Verarbeitung sowie der Wahrscheinlichkeit des Eintritts einer solchen Gefahr.
9.2 Zur Wahrung der Verfügbarkeit, Vertraulichkeit und Integrität der Daten sowie der Belastbarkeit der Daten verarbeitenden Systeme ist ein allgemeines Sicherheitskonzept zu erstellen. Das Konzept ori-entiert sich an der zuvor erstellten Schutzbedarfsfeststellung und der Risikoanalyse. Dieses Konzept ist maßgeblich für alle weiteren Verfahren.
9.3 Neben dieser Richtlinie bestehen ergänzende Regelungen, die insbesondere zur Realisierung der Datensicherungsgebote des Art. 32 DS-GVO zu treffende Maßnahmen betreffen. Hierzu gehören u.a.
>> Arbeitsanweisung zum datenschutzgerechten Versand von Datenträgern und zur Verschlüsselung von Daten
>> Arbeitsanweisung zum Passwortverfahren
>> Arbeitsanweisung zur Erteilung von Auskünften im Personalbereich
>> Arbeitsanweisung zur PC- und Laptop-Nutzung
>> Arbeitsanweisung Telearbeit/Home-Office
Ferner ist die Verarbeitung von Personaldaten in einer Anzahl von Betriebsvereinbarungen näher fest- gelegt. Hierzu gehören u. a. die Vereinbarung
>> über die Nutzung von Telekommunikation (Telefon, E-Mail, Internet) in der XY-GmbH
>> die Vergabe von Telearbeit/Homeoffice
Die Einhaltung der Vorgaben, die sich aus dieser Richtlinie ergeben, muss jederzeit nachweisbar sein. Eine Nachweisbarkeit hat insbesondere durch eine schlüssige und nachvollziehbare schriftliche Doku-mentation hinsichtlich getroffener Maßnahmen und dazugehöriger Abwägungen zu erfolgen.

References: § 88
 Art. 30
 Art. 15
 Art. 16
 Art. 21
 Art. 9
 Art. 28
 Art. 32