ACT365 - Data Protection Statement

Datum: 17.04.2018

Version 0.1

In dieser Datenschutzrichtlinie wird erklärt, wie die Vanderbilt International GmbH und ihre Tochterunternehmen („Vanderbilt“ oder „wir“) Ihre Daten erfasst, speichert, nutzt, offenlegt, teilt und überträgt.

BITTE LESEN SIE DIESE DATENSCHUTZERKLÄRUNG AUFMERKSAM DURCH, EHE SIE DIE WEBSITE, SOFTWARE UND DIENSTE VON VANDERBILT (ZUSAMMEN ALS „VANDERBILT-DIENSTE“ BEZEICHNET) NUTZEN. INDEM SIE DIE VANDERBILT-DIENSTE NUTZEN, STIMMEN SIE DIESER DATENSCHUTZRICHTLINIE ZU UND ERKLÄREN SICH EINVERSTANDEN, DASS IHRE DATEN DIESER DATENSCHUTZRICHTLINIE ENTSPRECHEND ERFASST, GESPEICHERT, GENUTZT, WEITERGEGEBEN, GETEILT UND ÜBERTRAGEN WERDEN. WIR KÖNNEN DIESE DATENSCHUTZRICHTLINE JEDERZEIT ÄNDERN, FALLS BESTIMMUNGEN DERSELBEN UNVOLLSTÄNDIG ODER VERALTET SIND UND SOLCHE ÄNDERUNGEN SINNVOLL SIND. WENN WIR ERHEBLICHE ÄNDERUNGEN AN DIESER DATENSCHUTZRICHTLINIE VORNEHMEN, VERÖFFENTLICHEN WIE DIE AKTUELLE FASSUNG AUF DER WEBSITE. DIESE TRITT SOFORT IN KRAFT.

Einführung

Zweck dieses Dokuments ist eine genaue Beschreibung der Datenschutzauflagen von Vanderbilt International in Hinsicht auf das Produkt ACT365. Dazu gehören Auflagen im Umgang mit personenbezogenen Daten, durch die sichergestellt werden soll, dass das Unternehmen die Auflagen des relevanten Gesetzes (der Datenschutz-Grundverordnung; DSGVO) erfüllt. https://www.eugdpr.org/

Begründung

Vanderbilt International hat sich nach den Datenschutzgrundsätzen des relevanten Gesetzes zu richten. Diese Richtlinie findet auf sämtliche personenbezogenen Daten, die von Vanderbilt International in Bezug auf dessen Dienstanbieter und Kunden im Verlauf seiner Aktivitäten erfasst, verarbeitet und gespeichert werden, Anwendung.

Umfang

Die Richtlinie bezieht sich auf personenbezogene und sensible Daten, die von Vanderbilt International zu einem Datensubjekt verarbeitet werden. Die Richtlinie gilt gleichermaßen für personenbezogene Daten in manueller und automatisierter Form.

Sämtliche personenbezogenen und sensiblen personenbezogenen Daten werden von Vanderbilt International mit der gleichen Sorgfalt behandelt. Beide Kategorien werden, sofern nicht anders angegeben, in der vorliegenden Richtlinie gleichermaßen als personenbezogene Daten bezeichnet.

Diese Richtlinie gilt zusätzlich zum zugehörigen Datensubjekt-Zugriffsanfrageverfahren, der Datenvorratsspeicherungsrichtlinie, der Datenvorratszeitraumliste und dem Datenverlust-Benachrichtigungsverfahren.

Vanderbilt International als Datenkontrolleur

Im Verlauf seiner täglichen Betriebsabläufe erfasst, verarbeitet und speichert Vanderbilt International personenbezogene Daten in Bezug auf:

• Kunden von Vanderbilt International
• Mit Vanderbilt International verbundene Drittanbieter

Die Daten müssen der DSGVO gemäß auf faire Weise erfasst und verarbeitet werden. Es wird nicht von allen Mitgliedern des Personals erwartet, dass sie sich mit den Datenschutzgesetzen auskennen. Vanderbilt International verpflichtet sich jedoch, sicherzustellen, dass seine Mitarbeiter ausreichend über die Gesetze informiert sind, um ein Datenschutzproblem vorwegnehmen oder identifizieren zu können, sofern eines auftreten sollte. Unter solchen Umständen haben die Mitarbeiter dafür zu sorgen, dass der Datenschutzbeauftragte informiert wird und angemessene korrigierende Maßnahmen getroffen werden.

Aufgrund der Art der von Vanderbilt International erbrachten Dienstleistungen findet ein regelmäßiger und aktiver Austausch von personenbezogenen Daten zwischen Vanderbilt International und dessen Datensubjekten statt. Darüber hinaus tauscht Vanderbilt International im Auftrag des Datensubjektes personenbezogene Daten mit Datenverarbeitern aus.

Dies erfolgt im Einklang mit den Pflichten von Vanderbilt International gemäß den Bestimmungen des Vertrages mit seinen Datenverarbeitern.

Die vorliegende Richtlinie umfasst die Leitlinien für den Austausch von Daten sowie das Verfahren, das im Falle zu befolgen ist, dass sich ein Mitarbeiter von Vanderbilt International nicht sicher ist, ob solche Daten preisgegeben werden können.

Im Allgemeinen hat sich der Mitarbeiter im Zweifelsfall mit dem Datenschutzbeauftragten abzusprechen.

Datensubjekt-Zugriffsanfragen

Jede förmliche, schriftliche Anfrage eines Datensubjekts nach einer Kopie seiner personenbezogenen Daten (Datensubjekt-Zugriffsanfrage) ist den Bestimmungen der DSGVO gemäß baldmöglichst an den Datenschutzbeauftragten weiterzuleiten.

Durch die Einhaltung dieser Leitlinien richtet sich Vanderbilt International nach den bewährten Verfahren gemäß geltenden Datenschutzgesetzen.

Drittverarbeiter

Im Verlauf seiner Rolle als Datenkontrolleur beauftragt Vanderbilt International eine Reihe von Datenverarbeitern, die personenbezogene Daten in seinem Auftrag verarbeiten. In jedem Fall liegt ein förmlicher, schriftlicher Vertrag mit dem Verarbeiter vor, in dem dessen Pflichten in Bezug auf personenbezogene Daten, den spezifischen Zweck oder die Zwecke, zu denen er beauftragt wird, und das Übereinkommen aufgeführt werden, dass er die Daten in Übereinstimmung mit der DSGVO zu verarbeiten hat.

Zu diesen Datenverarbeitern gehören u. a.:

• Support-Personal von Vanderbilt
• Microsoft Azure

Die Datenschutzgrundsätze

Die folgenden Grundprinzipien sind in der DSGVO festgehalten und bilden die Grundlage der Datenschutzrichtlinie von Vanderbilt International.

In seiner Funktion als Datenkontrolleur hat Vanderbilt International dafür zu sorgen, dass die Daten:

1.... auf faire und rechtmäßige Art und Weise erfasst und verarbeitet werden.

Damit die Daten auf faire Art und Weise erfasst werden können, ist das Datensubjekt zum Zeitpunkt der Datenerfassung auf Folgendes hinzuweisen:

• Die Identität des Datenkontrolleurs Vanderbilt International
• Der Zweck/die Zwecke, zu dem/denen die Daten erfasst werden
• Die Mitarbeiter, an die die Daten vom Datenkontrolleur weitergegeben werden.
• Sonstige Daten, die für eine faire Verarbeitung erforderlich sind.

Vanderbilt International leistet diesen Pflichten auf folgende Art und Weise Folge:

• Sofern möglich, wird vor der Verarbeitung der Daten die Einwilligung des Datensubjektes eingeholt.
• Ist das Einholen der Einwilligung nicht möglich, hat Vanderbilt International dafür zu sorgen, dass die Erfassung der Daten unter einer anderen gesetzlichen Bedingung für die Verarbeitung entspricht – gesetzliche Verpflichtung, vertragliche Anforderung usw.
• Hat Vanderbilt International vor, Aktivitäten per CCTV oder Video aufzuzeichnen, ist ein gut sichtbarer Hinweis zur fairen Verarbeitung zu veröffentlichen.
• Die Verarbeitung der personenbezogenen Daten erfolgt im Rahmen der rechtmäßigen Aktivitäten von Vanderbilt International, und Vanderbilt International hat die Rechte und Ansprüche des Datensubjekts zu wahren.
• Die Daten des Datensubjekts werden – außer an einen von Vanderbilt International beauftragten Dritten, der in seinem Auftrag handelt – nicht an Dritte weitergegeben.

2..... ausschließlich für einen oder mehrere spezifizierte, rechtmäßige Zwecke erfasst werden.

Vanderbilt International hat Daten zu Zwecken zu erfassen, die spezifisch, rechtmäßig und klar angegeben sind. Ein Datensubjekt ist berechtigt, nach den Zwecken, zu denen Vanderbilt International Daten pflegt, in Frage zu stellen, und Vanderbilt International wird den Zweck bzw. die Zwecke klar angeben können.

3...... nicht weiter auf eine Art und Weise verarbeitet werden, die mit dem/den spezifizierten Zweck(en) inkompatibel ist.

Jedwede Nutzung von Daten durch Vanderbilt hat mit den Zwecken kompatibel zu sein, zu denen die Daten erfasst worden sind.

4..... sicher verwahrt werden.

Vanderbilt International hat hohe Sicherheitsstandards anzuwenden, um die in seiner Obhut befindlichen personenbezogenen Daten zu schützen. Es müssen angemessene Sicherheitsvorkehrungen getroffen werden, um die in der Obhut von Vanderbilt International in dessen Funktion als Datenkontrolleur befindlichen Daten vor unbefugtem Zugriff, Änderung, Vernichtung oder Weitergabe zu schützen.

Der Zugriff auf und die Verwaltung von Personal- und Kundendatensätzen ist auf diejenigen Mitarbeiter beschränkt, die über eine entsprechende Befugnis und das Passwort verfügen.

5.... bei Bedarf korrekt, vollständig und aktuell gehalten werden.

Vanderbilt International verpflichtet sich zu Folgendem:

• Sicherzustellen, dass für regelmäßige Bewertungen der Korrektheit der Daten entsprechende Verwaltungs- und IT-Valdierungsverfahren vorhanden sind.
• Regelmäßige Prüfungen und Audits durchzuführen, um sicherzugehen, dass die relevanten Daten stets korrekt und aktuell sind. Vanderbilt International führt alle sechs Monate eine stichprobenartige Prüfung von Daten durch, um die Korrektheit zu gewährleisten; die Kontaktangaben von Mitarbeitern und Details zu Angehörigen werden alle zwei Jahre geprüft und aktualisiert.
• Regelmäßige Prüfungen durchzuführen, um den Bedarf, bestimmte personenbezogene Daten zu verwahren, zu evaluieren

6.... angemessen, relevant und für den Zweck bzw. die Zwecke, für den bzw. die die Daten erfasst und verarbeitet worden sind, in nicht zu hohem Maß.

Vanderbilt International hat sicherzustellen, dass die von ihm in Bezug auf Datensubjekte verarbeiteten Daten für den jeweiligen Zweck der Erfassung relevant sind. Für eine solche Verarbeitung relevante Daten werden nicht erfasst oder verwahrt.

7.... nicht länger verwahrt werden, als dies für den/die spezifizierten Zweck(e) notwendig ist.

• Vanderbilt International hat eine umfassende Matrix von Datenkategorien mit Verweis auf den angemessenen Datenverwahrungszeitraum jeder Kategorie erstellt. Die Matrix gilt für alle Daten in manuellem und automatisiertem Format.

Nach Ablauf des jeweiligen Zeitraums der Vorratsspeicherung hat Vanderbilt International die Daten zu vernichten, zu löschen oder anderweitig unnutzbar zu machen.

8.... so verwaltet und gespeichert werden, dass die Daten problemlos abgerufen und bereitgestellt werden können, wenn ein Datensubjekt eine gültige Datenzugriffsanfrage stellt und eine Kopie seiner personenbezogenen Daten beantragt.

Vanderbilt International hat ein Datensubjekt-Zugriffsanfrage-Verfahren für die effiziente und umgehende Bearbeitung solcher Anfragen innerhalb der gesetzlich vorgeschriebenen Frist eingerichtet.

Datensubjekt-Zugriffsanfragen

Die Mitarbeiter von Vanderbilt International tauschen im Rahmen der täglichen Betriebsabläufe des Unternehmens aktiv und regelmäßig Daten mit Datensubjekten aus. Stellt ein Datensubjekt eine förmliche Anfrage in Bezug auf von Vanderbilt International gespeicherte Daten, entstehen dem Datensubjekt durch eine solche Anfrage Zugriffsrechte.

Vanderbilt International hat dem Datensubjekt je nach Art und Umfang der Anfrage innerhalb eines festgelegten Zeitraums zu antworten. Dieser ist im beiliegenden Verfahrensdokument für Datensubjekt-Zugriffsanfragen aufgeführt.

Die Mitarbeiter von Vanderbilt International haben gegebenenfalls dafür zu sorgen, dass solche Anfragen fristgerecht an den Datenschutzbeauftragten weitergeleitet und so schnell und effizient wie möglich gemäß DSGVO bearbeitet werden.

Umsetzung

Als Datenkontrolleur stellt Vanderbilt International sicher, dass jede Entität, die personenbezogene Daten in seinem Auftrag verarbeitet (ein Datenverarbeiter), dabei den Datenschutzgesetzen Folge leistet.

Handhabt der Datenverarbeiter die Daten von Vanderbilt International nicht den Gesetzen entsprechend, wird dies als Vertragsbruch gewertet und gerichtlich geahndet.

Verarbeiten die Mitarbeiter von Vanderbilt International personenbezogene Daten nicht in Übereinstimmung mit dieser Richtlinie, kann dies Disziplinarmaßnahmen zur Folge haben.

Änderungen an der Datenschutzrichtlinie

Nehmen wir wesentliche Änderungen an unserer Datenschutzrichtlinie vor, die Sie betreffen könnten, veröffentlichen wir mit angemessener Frist vor dem Wirksamwerden der Änderung einen entsprechenden Hinweis auf unserer Website. Wir empfehlen Ihnen, die Datenschutzrichtlinie regelmäßig häufig zu überprüfen, damit Sie rechtzeitig über Änderungen informiert sind.

Welche Art von Daten erfassen wir?

Beim Betrieb des ACT365 werden zwingend erforderliche oder optionale Daten zu Karteninhabern und Service-Nutzern erfasst und aufgezeichnet. Folgende Daten werden erfasst:

• Name

• Zugangskontroll-Token und/oder Zugangskontroll-PIN-Code

• E-Mail-Adresse

• Telefonnummer

• Foto

• Gültigkeitszeitraum

• 10 benutzerdefinierte Felder

Darüber hinaus werden Transaktionsdaten zu jedem Karteninhaber und Audit-Daten zu jedem Service-Nutzer gespeichert.

Wie nutzen wir diese Daten?

Wie nutzen die erfassten Daten, um eine sichere Schnittstelle mit Ihrem ACT365 bereitzustellen. Außerdem werden sie genutzt, damit Ihr Errichter Ihnen Services und Support anbieten kann.

Wo und wie werden meine Daten gespeichert?

Ihre Daten werden innerhalb der EU gespeichert und nicht außerhalb der EU weitergegeben. Sämtliche ACT365-Daten werden in einer Datenbank gehostet. Es werden regelmäßig Sicherungskopien der Datenbank erstellt. Personenbezogene Daten werden auf keinem anderen System repliziert oder für einen anderen Zweck verwendet. Der Zugriff auf die Datenbank ist durch ein Passwort geschützt. Nur Software-Ingenieuren von Vanderbilt, die unbedingt auf die Datenbank zugreifen müssen, ist der Zugriff erlaubt. Der Zugriff dient allein der Verwaltung und Kontrolle des Systems oder zu Zwecken der Fehlerbehebung.

Wie lange werden meine Daten gespeichert?

Alle Daten werden so lange gespeichert, wie das Konto des Benutzers auf ACT365 aktiv ist. Der Benutzer kann sein Konto jederzeit löschen. Sobald der Benutzer sein Konto löscht, werden alle Daten des Benutzers gelöscht.

Wie werden meine Daten geschützt?

Der Zugriff auf die Datenbank ist durch ein Passwort geschützt. Nur Software-Ingenieuren von Vanderbilt, die unbedingt auf die Datenbank zugreifen müssen, ist der Zugriff erlaubt. Der Zugriff dient allein der Verwaltung und Kontrolle des Systems oder zu Zwecken der Fehlerbehebung.

Wie werden diese Daten erfasst?

Die Daten werden manuell über die Web-Schnittstelle auf dem ACT365 eingegeben.

Auf welcher Rechtsgrundlage beruht die Verarbeitung personenbezogener Daten?

Benutzer stimmen durch ihre Registrierung des ACT365-Kontos den „Geschäftsbedingungen“ und der „Datenschutzrichtlinie“ zu und können ihre personenbezogenen Daten innerhalb der Anwendung löschen.

Bei der Nutzung bestimmter Dienste innerhalb von ACT365 können „Errichter“-Benutzer Daten zu „Endbenutzern“ ohne deren ausdrückliche Einwilligung eingeben. In diesem Fall trägt der „Errichter“-Benutzer die Verantwortung dafür, die Einwilligung des „Endbenutzers“ einzuholen und diese Daten zu verwalten.

Wie kann ich Daten zu meiner Person verwalten, löschen oder berichtigen?

Ein Benutzer kann sein Konto jederzeit innerhalb der ACT365-Anwendung verwalten, löschen oder berichtigen. Die Daten werden wie weiter oben beschrieben gelöscht. Möchte ein Benutzer seine Daten abfragen oder löschen, muss er dazu das Formular unter http://www.vanderbiltindustries.com/requestmyinfo ausfüllen.

Wie ich Zugriff auf meine Daten anfordere

Möchte ein Benutzer seine Daten abfragen oder löschen, muss er dazu das Formular unter

http://www.vanderbiltindustries.com/requestmyinfo ausfüllen.

Datenschutzrichtlinie zu Kindern

Vanderbilt sieht nicht vor, dass seine Vanderbilt-Services ganz oder teilweise von Kindern unter 16 Jahren oder einem entsprechenden Mindestalter in der jeweiligen Rechtsprechung genutzt werden. Diesen Personen ist die Nutzung somit untersagt. Sollte uns bekannt werden, dass ein Konto mit einem registrierten Benutzer unter 16 Jahren oder einem entsprechenden Mindestalter in der jeweiligen Rechtsprechung verbunden ist, werden wir die mit dem Konto verbundenen Daten unverzüglich löschen. Wenn Sie ein Elternteil oder Vormund eines Kindes unter 16 Jahren oder einem entsprechenden Mindestalter in der jeweiligen Rechtsprechung sind und davon ausgehen, dass es uns personenbezogene Daten bereitgestellt hat, wenden Sie sich bitte telefonisch oder per E-Mail über die für Ihr Land angegebenen Vanderbilt Support-Kontaktdaten an uns. Ein Elternteil oder Vormund eines Kindes unter 16 Jahren oder einem entsprechenden Mindestalter in jedweder Rechtsprechung kann die Löschung der personenbezogenen Daten des jeweiligen Kindes anfordern und deren Nutzung untersagen.

Globale Aktivitäten

Sie stimmen unseren Datenverfahren, u. a. der Erfassung, Speicherung, Nutzung, Verarbeitung und Weitergabe Ihrer Daten gemäß vorliegender Datenschutzrichtlinie, und der Übertragung und Verarbeitung Ihrer Daten in Ländern weltweit zu, in denen sich unsere Werke, Serviceanbieter oder Partner – ungeachtet dessen, wo Sie unsere Services nutzen – befinden. Sie erkennen an, dass die Gesetze, Richtlinien und Standards des Landes, in dem Ihre Daten gespeichert oder verarbeitet werden, sich womöglich von denen Ihres Landes unterscheiden. Im Europäischen Wirtschaftsraum (EWR) speichern wir Ihre personenbezogenen Daten in verschlüsselter Form, selbst wenn wir die von Dritten gespeicherten Daten nutzen. Wir übertragen die Daten nicht außerhalb des EWR.

Kontaktdaten

Wenn Sie Fragen oder Kommentare zu dieser Datenschutzrichtlinie und unseren Datenschutzverfahren haben, wenden Sie sich bitte auf http://www.vanderbiltindustries.com/requestmyinfo an uns.

Definitionen

• Um Zweifel auszuräumen und durchgängige Begriffe zu verwenden, gelten in dieser Richtlinie die folgenden Begriffe.