Datenschutzerklärung von Velocity

2. Grundsätze des Datenschutzes 

Das Datenschutzrecht enthält mehrere Grundsätze, die bei der Verarbeitung personenbezogener Daten zwingend eingehalten werden müssen. Im folgenden Abschnitt finden Sie eine Beschreibung, wie wir die Einhaltung dieser Grundsätze sicherstellen möchten: 

• • Verantwortlichkeit: Wir sind dafür verantwortlich sicherzustellen und nachweisen zu können, dass die wesentlichen Grundsätze und Vorgaben des Datenschutzrechts eingehalten werden. 

• • Rechtmäßigkeit: Fairness und Transparenz: Personenbezogene Daten dürfen nur rechtmäßig, fair und in transparenter Weise verarbeitet werden. Das bedeutet, dass wir betroffene Personen darüber informieren müssen, wie und warum wir ihre Daten verarbeiten (Transparenz), dass die Verarbeitung mit den Betroffenen gegenüber gemachten Angaben übereinstimmen muss (Fairness) und dass die Verarbeitung auf einer der im Datenschutzrecht vorgesehenen Rechtsgrundlagen beruht (Rechtmäßigkeit). 

• • Zweckbindung: Wir müssen genau angeben, wofür die von uns erhobenen personenbezogenen Daten verwendet werden (bevor wir sie erheben), und die Verarbeitung dieser personenbezogenen Daten auf das beschränken, was zur Erreichung des angegebenen Zwecks erforderlich ist. 

• • Datenminimierung: Die von uns erhobenen personenbezogenen Daten müssen angemessen und relevant sein und dürfen sich nur auf das beschränken, was für die Zwecke, für die sie verarbeitet werden, erforderlich ist. 

• • Richtigkeit: Wir haben Verfahren implementiert, um sicherzustellen, dass personenbezogene Daten korrekt sind und auf dem neuesten Stand gehalten werden. 

• • Speicherbegrenzung: Personenbezogene Daten dürfen nur so lange in einer Weise aufbewahrt werden, die eine Identifizierung der betroffenen Person ermöglicht, wie es für die Zwecke, für die die personenbezogenen Daten verarbeitet werden, erforderlich ist. 

• • Sicherheit/ Integrität und Vertraulichkeit: Wir verwenden geeignete technische und organisatorische Maßnahmen, um die Integrität und Vertraulichkeit personenbezogener Daten zu schützen, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor unbeabsichtigtem Verlust, Zerstörung oder Schaden. 

 

a. Verantwortlichkeit  

Überwachung

Es gibt erhebliche Konsequenzen bei Datenschutzverletzungen oder bei der Nichteinhaltung unserer gesetzlichen Pflichten nach dem Datenschutzrecht. Es liegt in unserer Verantwortung, alle personenbezogenen Daten in Übereinstimmung mit unseren gesetzlichen Verpflichtungen und den Grundsätzen des Datenschutzes zu verarbeiten. 

Wenn wir die Anforderungen an die Verantwortlichkeit gemäß Datenschutzrecht nicht erfüllen, besteht nicht nur das Risiko der Nichteinhaltung, sondern auch ein erhebliches Reputationsrisiko für unser Unternehmen. 

Wir bewerten die Einhaltung dieser Richtlinie in zweifacher Hinsicht: 

1. 1. Regelkonformität in Bezug auf den Schutz personenbezogener Daten im Allgemeinen 
   2. Die Wirksamkeit der Datenschutzmaßnahmen im Zusammenhang mit unseren betrieblichen Abläufen 

Wir führen regelmäßige Überprüfungen durch und folgen den Regeln des PDAC‑Zyklus (Plan‑Do‑Act‑Check) zur Steuerung und kontinuierlichen Verbesserung unserer Prozesse. Dies dient dazu sicherzustellen, dass ein angemessenes Maß an Compliance erreicht wird. 

Meldung von Datenschutzverletzungen personenbezogener Daten 

Es ist unsere Verantwortung, eine Datenschutzverletzung innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde zu melden, sofern dies gesetzlich vorgeschrieben ist (die Frist beginnt ab dem Zeitpunkt, an dem wir von dem Vorfall Kenntnis erlangen). 

Wenn der Verdacht besteht, dass eine Datenschutzverletzung stattgefunden hat, für die wir als Verantwortliche zuständig sind, muss diese intern durch den Datenschutzbeauftragten (DPO) und das Incident‑Response‑Team untersucht werden. Wenn der Vorfall ein Risiko für betroffene Personen darstellt, muss er innerhalb von 72 Stunden nach Bekanntwerden des Vorfalls der zuständigen Aufsichtsbehörde gemeldet werden. 

Training

Alle Mitarbeitenden müssen eine für ihre Position relevante Datenschutzschulung absolvieren.   

Das Human‑Resources‑Team ist dafür verantwortlich, sicherzustellen, dass neue Mitarbeitende im Rahmen des Onboardings geschult werden, und dass alle Mitarbeitenden jährlich eine Schulung zum Datenschutz absolvieren oder immer dann, wenn es wesentliche Änderungen im Gesetz oder in unseren Richtlinien und Verfahren gibt – je nachdem, was häufiger zutrifft. Velocity Quality ist dafür verantwortlich, Schulungsnachweise zu führen und die aktuellsten Schulungsmaterialien und Dokumente aufzubewahren. 

Verantwortlichkeit 

Jede Mitarbeiterin und jeder Mitarbeiter, die bzw. der personenbezogene Daten verarbeitet, ist dafür verantwortlich, diese personenbezogenen Daten in Übereinstimmung mit dieser Richtlinie und dem geltenden Datenschutzrecht zu handhaben und zu verarbeiten. 

Es gibt Positionen bei Velocity mit bestimmten Verantwortungsbereichen: 

• • Die Unternehmensleitung ist letztendlich dafür verantwortlich sicherzustellen, dass wir unseren gesetzlichen Verpflichtungen nachkommen. 

• • Der Datenschutzbeauftragte von Velocity trägt die Gesamtverantwortung für die Sicherstellung der Einhaltung des Datenschutzrechts. 

• • Das „Privacy‑Team“ trägt die Gesamtverantwortung für die tägliche Umsetzung dieser Richtlinie und für: 

• • • Überprüfung aller Datenschutzverfahren und ‑richtlinien in regelmäßigen Abständen. 

• • • Organisation von Datenschutzschulungen und Beratung für alle Mitarbeiter und alle von dieser Richtlinie erfassten Personen. 

• • • Beantwortung von Anfragen betroffener Personen, die wissen möchten, welche personenbezogenen Daten wir über sie speichern. 

• • • Checking and approving with third parties that handle our Personal Data and contracts or agreements regarding Processing  

• • • Führung eines Verzeichnisses der Verarbeitungstätigkeiten einschließlich regelmäßiger Überprüfungen und Freigaben 

• • Der „Head of Information Technology“ ist verantwortlich für: 

• • • Sicherstellung, dass alle Systeme, Dienste und Geräte, die zur Speicherung von Daten verwendet werden, akzeptablen Sicherheitsstandards entsprechen 

• • • Durchführung regelmäßiger Prüfungen und Scans, um sicherzustellen, dass Sicherheits‑Hard‑ und ‑Software ordnungsgemäß funktioniert 

• • • Bewertung aller Drittanbieterdienste, deren Einsatz Velocity für die Speicherung oder Verarbeitung personenbezogener Daten in Betracht zieht 

 

Überblick über die Datenverarbeitung 

Das Datenschutzrecht sieht umfassende Anforderungen an die Dokumentation und den Nachweis der Einhaltung von Datenschutzpflichten vor. Ein zentrales Element in diesem Zusammenhang ist der Überblick über die Verarbeitungstätigkeiten, wie im Datenschutzrecht festgelegt. Wir weisen die Einhaltung des Datenschutzes durch Dokumentation in der Foxondo‑Anwendung nach. 2 

"Privacy by design"

Wir sind bestrebt, interne Prozesse so zu gestalten, dass Datenschutzgrundsätze in jeder Phase der Verarbeitungstätigkeiten verankert sind. „Privacy by design“ bedeutet, dass wir sowohl vor als auch während jeder von uns durchgeführten Verarbeitungstätigkeit geeignete technische und organisatorische Maßnahmen implementieren müssen, um Schutzmechanismen in die Verarbeitung zu integrieren. Dies ist wichtig, um betroffene Personen zu schützen und die Anforderungen des Datenschutzrechts zu erfüllen.Wir bemühen uns stets, sowohl zum Zeitpunkt der Festlegung der Mittel der Verarbeitung als auch zum Zeitpunkt der Verarbeitung selbst geeignete technische und organisatorische Maßnahmen umzusetzen, um sicherzustellen, dass das Prinzip der Datenminimierung eingehalten wird.Um sicherzustellen, dass alle Datenschutzanforderungen bei der Gestaltung neuer Systeme oder Prozesse und/oder bei der Überprüfung oder Erweiterung bestehender Systeme oder Prozesse identifiziert und berücksichtigt werden, muss vor Beginn eines Projekts eine Vorab‑Datenschutz-Folgenabschätzung (DPIA‑Check) durchgeführt werden (eine erste, kürzere Datenschutz-Folgenabschätzung). Abhängig vom Ergebnis kann eine vollständige DPIA gesetzlich erforderlich sein. 

b. Rechtmäßigkeit, Fairness und Transparenz 

Wir sind dafür verantwortlich, den Kontext zu verstehen, in dem die Verarbeitung personenbezogener Daten im Rahmen unserer täglichen Abläufe stattfindet. Wir möchten sicherstellen, dass dies fair und gesetzeskonform geschieht und dass wir dies den betroffenen Personen klar erläutern können. Wir werden personenbezogene Daten stets rechtmäßig, fair und transparent und im Einklang mit den Rechten der betroffenen Personen verarbeiten. 

Unsere Drittanbieter und Auftragnehmer, die personenbezogene Daten in unserem Auftrag verarbeiten, unterliegen ebenfalls Datenschutzpflichten. Daher sind wir gesetzlich verpflichtet: 

• • nur die Dienste von Drittanbietern/Auftragnehmern in Anspruch zu nehmen, die die Einhaltung des Datenschutzrechts, z. B. der DSGVO, nachweisen können; 

• • vorgeschriebene vertragliche Vereinbarungen mit Drittanbietern/Auftragnehmern zu treffen, die die Anforderungen des Datenschutzrechts, z. B. der DSGVO, erfüllen; und 

• • gegenüber den Datenschutzaufsichtsbehörden nachzuweisen, dass wir diese gesetzlichen Verpflichtungen erfüllt haben. 

 

Erhebung und Benachrichtigung über personenbezogene Daten 

Wir dürfen personenbezogene Daten nur erheben, wenn dies für rechtmäßige Zwecke erforderlich oder ausdrücklich erlaubt ist. Wir werden personenbezogene Daten von betroffenen Personen nur erheben, wenn eine der folgenden Aussagen zutrifft: 

• • Wir sind durch eine gesetzliche Verpflichtung dazu verpflichtet, z. B. nach EU‑Recht oder geltendem nationalen Recht. 

• • Die Verarbeitung ist für geschäftliche Zwecke erforderlich und damit unsere Organisation in ein Vertragsverhältnis mit betroffenen Personen eintreten oder dieses erfüllen kann. 

• • Die Verarbeitung liegt in unseren (berechtigten) legitimen Interessen und die betroffenen Personen haben keine überwiegenden entgegenstehenden Interessen. 

• • Die betroffenen Personen haben eingewilligt. Diese Einwilligung muss freiwillig erteilt werden und gemäß den geltenden Datenschutzgesetzen eingeholt werden, z. B. Art. 7 DSGVO. 

• • Die Datenverarbeitung erfolgt im vitalen Interesse der betroffenen Person oder einer anderen Person. 

 

Wenn wir personenbezogene Daten erheben, stellen wir den betroffenen Personen kostenlos Informationen über die Verarbeitung ihrer personenbezogenen Daten in präziser, transparenter, verständlicher und leicht zugänglicher Form unter Verwendung klarer und einfacher Sprache zur Verfügung. Dies umfasst auch Informationen über Dritte, an die ihre personenbezogenen Daten offengelegt werden, sowie den Zweck, zu dem dies geschieht. 

Soweit personenbezogene Daten innerhalb der Velocity‑Gruppe aus dem Geltungsbereich der DSGVO in die USA übermittelt werden, gilt für dies eInformationen, daß  

• • Velocity den Untersuchungs- und Durchsetzungsbefugnissen der US‑Federal Trade Commission (FTC) unterliegt; 

• • Velocity verpflichtet ist, Streitfälle einem Schiedsverfahren zu unterwerfen und die in Anhang I der DPF‑Grundsätze festgelegten Bedingungen einzuhalten, vorausgesetzt, eine betroffene Person hat ein verbindliches Schiedsverfahren eingeleitet, indem sie Ihrem Unternehmen eine entsprechende Mitteilung übermittelt und die in Anhang I der Grundsätze festgelegten Verfahren und Bedingungen eingehalten hat; 

• • Velocity verpflichtet ist, personenbezogene Informationen auf rechtmäßige Anfragen öffentlicher Behörden offenzulegen, einschließlich zur Erfüllung von Anforderungen der internationalen Sicherheit oder der Strafverfolgung; 

• • Velocity in Fällen der Weiterübermittlung an Dritte haftbar ist 

 

c. Zweckbindung: Verarbeitung zu festgelegten Zwecken 

Personenbezogene Daten, die für einen bestimmten Zweck erhoben wurden, dürfen in der Regel nicht für einen anderen Zweck verwendet werden. Wir sind bestrebt, personenbezogene Daten nur für Zwecke zu verarbeiten, die nach dem Datenschutzrecht ausdrücklich zulässig sind. Wir informieren die betroffenen Personen über diese Zwecke. 

d. Datenminimierung: Angemessene, relevante und nicht übermäßige Verarbeitung 

Jede Verarbeitung sollte nur so viele personenbezogene Daten verwenden, wie erforderlich sind, um einen bestimmten Zweck erfolgreich zu erfüllen. Wir bemühen uns stets, personenbezogene Daten nur in dem Umfang zu erheben, der für den der betroffenen Person mitgeteilten spezifischen Zweck notwendig ist, und erheben keine personenbezogenen Daten, die wir nicht benötigen.  

e. Richtigkeit: Sicherstellen das persönliche Daten richtig sind 

Wir bemühen uns sicherzustellen, dass unsere Systeme und Prozesse zur Erkennung unrichtiger Informationen robust sind und dass wir schnell handeln, um unrichtige personenbezogene Daten zu aktualisieren oder zu löschen. Wir sind bestrebt, sicherzustellen, dass die personenbezogenen Daten, die wir speichern, korrekt und auf dem neuesten Stand sind. Betroffene Personen können verlangen, dass wir sie betreffende unrichtige personenbezogene Daten berichtigen.  

f. Begrenzung der Aufbewahrungsdauer: Zeitnahe Verarbeitung und Aufbewahrung der Daten  

Wir bemühen uns, die personenbezogenen Daten betroffener Personen nicht länger aufzubewahren, als es gemäß geltendem Recht erforderlich ist. Wir ergreifen alle notwendigen Maßnahmen, um alle personenbezogenen Daten, die nicht mehr benötigt werden, aus unseren Systemen (elektronisch oder papierbasiert) zu löschen oder zu vernichten. 

Alle Mitarbeitenden müssen sicherstellen, dass sie mit dem Löschkonzept bzw. der Aufbewahrungsrichtlinie vertraut sind. 

g. Sicherheit/ Integrität und Vertraulichkeit: Sicherheit personenbezogener Daten 

Wir müssen stets sicherstellen, dass alle personenbezogenen Daten, die wir speichern, einem Sicherheitsniveau unterliegen, das dem potenziellen Risiko angemessen ist. Wir ergreifen geeignete Sicherheitsmaßnahmen gegen unrechtmäßige und unbefugte Verarbeitung personenbezogener Daten sowie gegen den unbeabsichtigten Verlust oder die Beschädigung personenbezogener Daten, im Einklang mit unserer Informationssicherheitsrichtlinie. Zu den Sicherheitsmaßnahmen gehören (unter anderem): 

• • Zugangskontrollen – Besucher können Einrichtungen nicht ohne Begleitung durch Mitarbeitende betreten und dürfen sich nicht in Bereichen aufhalten, in denen personenbezogene Daten gespeichert werden, es sei denn, sie werden begleitet. 

• • Sichere, verschließbare Schreibtische und Schränke – Schreibtische und Schränke werden abgeschlossen, wenn sie vertrauliche Informationen jeglicher Art enthalten. (Personenbezogene Informationen gelten immer als vertraulich.)Access controls – Data stored on a computer is protected by strong passwords and identification technologies. 

• • Kontrolle des Aufbewahrungsortes – Daten werden niemals direkt auf mobilen Geräten wie Laptops, Tablets oder Smartphones gespeichert, sondern ausschließlich auf zentralen Servern. 

• • Methoden der Entsorgung – Papierdokumente werden in verschlossenen Behältern entsorgt und von einem lizenzierten und versicherten Schredderdienst vernichtet. Digitale Speichermedien werden mittels vollständigem Datenüberschreiben gelöscht oder physisch zerstört, sobald sie nicht mehr benötigt werden. 

• • Geräte - Datennutzer stellen sicher, dass auf einzelnen Monitoren keine vertraulichen Informationen für vorbeigehende Personen sichtbar sind und dass sie sich von ihrem PC abmelden oder diesen sperren, wenn er unbeaufsichtigt bleibt.