Richtlinie zum Schutz personenbezogener Daten

Zunächst einmal. Ja. socialjuice ist GDPR-kompatibel. Wir bei Waldo Studio BV verpflichten uns, personenbezogene Daten sicher zu verarbeiten und die Privatsphäre der betroffenen Personen zu respektieren. Diese Richtlinie wird jährlich oder jedes Mal überprüft, wenn sich Änderungen in unserer Datenverarbeitung ergeben.

Geltungsbereich und Definitionen

Umfang. Diese Richtlinie zum Schutz personenbezogener Daten (die „Richtlinie“) beschreibt die internen Regeln der Waldo Studio BV für die Verarbeitung und den Schutz personenbezogener Daten. Die Richtlinie gilt für Waldo Studio BV, einschließlich der Mitarbeiter und Auftragnehmer von Waldo Studio BV („wir“, „uns“, „unser“, „Waldo Studio BV“). Das Management jedes Unternehmens ist letztlich für die Umsetzung dieser Richtlinie verantwortlich und sorgt dafür, dass auf Unternehmensebene angemessene und wirksame Verfahren für deren Umsetzung und die laufende Überwachung ihrer Einhaltung vorhanden sind. Für die Zwecke dieser Richtlinie werden Mitarbeiter und Auftragnehmer gemeinsam als „Mitarbeiter“ bezeichnet.
Datenschutzmanager. Privacy Manager ist ein Mitarbeiter von Waldo Studio BV, der für die Einhaltung des Datenschutzes innerhalb von Waldo Studio BV verantwortlich ist (der „Privacy Manager“). Der Datenschutzbeauftragte ist für die Erfüllung der in dieser Richtlinie auferlegten Verpflichtungen verantwortlich und überwacht andere Mitarbeiter, die dieser Richtlinie unterliegen, hinsichtlich der Einhaltung dieser Richtlinie. Der Datenschutzbeauftragte muss in alle Projekte frühzeitig eingebunden werden, um Aspekte des Schutzes personenbezogener Daten bereits in der Planungsphase zu berücksichtigen.
Der designierte Datenschutzmanager bei Waldo Studio BV ist Sander Belaen.
Definitionen.
Zuständige Aufsichtsbehörde
bezeichnet eine öffentliche Behörde, die für die Regulierung und Überwachung des Schutzes personenbezogener Daten im Hinblick auf die Aktivitäten von Waldo Studio BV verantwortlich ist.

Datenschutzverletzung
bedeutet eine Verletzung der Sicherheit und/oder Vertraulichkeit, die zur unbeabsichtigten oder unrechtmäßigen Zerstörung, zum Verlust, zur Änderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf übermittelte, gespeicherte oder anderweitig verarbeitete personenbezogene Daten führt.

Dazu gehören unter anderem E-Mails, die an eine falsche oder offengelegte Empfängerliste gesendet werden, eine rechtswidrige Veröffentlichung der personenbezogenen Daten, der Verlust oder Diebstahl von physischen Aufzeichnungen und der unbefugte Zugriff auf personenbezogene Daten.

Datenverantwortlicher
bezeichnet die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet (eine Entscheidung trifft).

Datenverarbeiter
bezeichnet eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet.
Datenschutzgesetze
bezeichnet alle Gesetze und Rechtsvorschriften zur Nutzung und zum Schutz personenbezogener Daten, die für die Aktivitäten von Waldo Studio BV gelten, einschließlich, aber nicht beschränkt auf die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, GDPR).

Anfrage einer betroffenen Person (DSR)
bezeichnet jede Anfrage der betroffenen Person bezüglich ihrer personenbezogenen Daten und/oder der Rechte der betroffenen Person.

Betroffene Person
bezeichnet eine natürliche Person, deren personenbezogene Daten wir verarbeiten. Zu den betroffenen Personen zählen unter anderem Benutzer, Website-Besucher, Mitarbeiter, Auftragnehmer und Partner von Waldo Studio BV.

Persönliche Daten
bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare betroffene Person beziehen; Eine betroffene Person kann anhand einer Kennung wie einem Namen, einer Kennnummer, Standortdaten, einer Online-Kennung oder anhand eines oder mehrerer Faktoren identifiziert werden, die für die physische, physiologische, genetische, psychische, wirtschaftliche, kulturelle oder soziale Identität der betroffenen Person spezifisch sind.

Verarbeitung
bezeichnet jeden Vorgang oder jede Reihe von Vorgängen, die Waldo Studio BV an personenbezogenen Daten ausführt, wie z. B. Erhebung, Aufzeichnung, Organisation, Strukturierung, Speicherung, Anpassung oder Änderung, Abruf, Konsultation, Verwendung, Offenlegung durch Übermittlung, Verbreitung oder sonstige Bereitstellung, Ausrichtung oder Kombination, Einschränkung, Löschung oder Zerstörung.

Standardvertragsklauseln
bezeichnet den Beschluss der Europäischen Kommission vom 5. Februar 2010 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter mit Sitz in Drittländern gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates (2010/87/EU).

Dritte
bezeichnet eine natürliche oder juristische Person, die auf die personenbezogenen Daten zur weiteren Verarbeitung zugreift und kein Mitarbeiter, Mitglied oder verbundenes Unternehmen von Waldo Studio BV ist. Diese Definition gilt nicht für natürliche Personen, die regelmäßig als Auftragnehmer Dienstleistungen für Waldo Studio BV erbringen.

Benutzer
bezeichnet eine betroffene Person, die unsere auf der Website von Waldo Studio BV bereitgestellten Dienste nutzt.

Grundsätze der Datenverarbeitung

Die Verarbeitungstätigkeiten von Waldo Studio BV müssen im Einklang mit den in diesem Abschnitt festgelegten Grundsätzen stehen. Der Datenschutzbeauftragte muss sicherstellen, dass die Compliance-Dokumentation von Waldo Studio BV sowie die Datenverarbeitungsaktivitäten den Datenschutzgrundsätzen entsprechen.

Wir müssen die personenbezogenen Daten gemäß den folgenden Grundsätzen verarbeiten: Rechtmäßig, fair und transparent (Rechtmäßigkeit, Fairness und Transparenz). Wir müssen immer eine Rechtsgrundlage für die Verarbeitung haben (beschrieben in Abschnitt 3 dieser Richtlinie), die Datenmenge erfassen, die dem Zweck und der Rechtsgrundlage angemessen ist, und wir stellen sicher, dass die betroffenen Personen über die Verarbeitung informiert sind; Für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer Weise weiterverarbeitet, die mit diesen Zwecken unvereinbar ist (Zweckbindung). Wir dürfen die personenbezogenen Daten nicht für Zwecke verarbeiten, die nicht in unserer Compliance-Dokumentation angegeben sind, ohne die ausdrückliche Genehmigung des Datenschutzbeauftragten einzuholen; Angemessen, relevant und auf das für die Zwecke, für die sie verarbeitet werden, erforderliche Maß beschränkt (Datenminimierung). Wir stellen stets sicher, dass die von uns erfassten Daten nicht exzessiv sind und nicht auf die unbedingte Notwendigkeit beschränkt sind; Genau und, wo nötig, auf dem neuesten Stand gehalten werden (Genauigkeit). Wir bemühen uns, ungenaue oder falsche Daten über betroffene Personen zu löschen und stellen sicher, dass wir die Daten aktualisieren. Betroffene Personen können uns um eine Berichtigung der personenbezogenen Daten bitten; Werden in einer Form aufbewahrt, die eine Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die die personenbezogenen Daten verarbeitet werden, erforderlich ist (Begrenzung der Speicherdauer). Die Speicherfristen müssen gemäß den Datenschutzgesetzen und dieser Richtlinie begrenzt sein; und in einer Weise verarbeiten, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich des Schutzes vor unbefugter oder rechtswidriger Verarbeitung und versehentlichem Verlust, Zerstörung oder Beschädigung, unter Verwendung geeigneter technischer oder organisatorischer Maßnahmen (Vertraulichkeit, Integrität und Verfügbarkeit).

Verantwortung. Wir können nachweisen, dass wir die Datenschutzgesetze einhalten (Grundsatz der Rechenschaftspflicht). Insbesondere müssen wir alle relevanten Verfahren, Bemühungen sowie internen und externen Konsultationen zum Schutz personenbezogener Daten sicherstellen und dokumentieren, einschließlich: der Tatsache, dass eine Person ernannt wird, die für die Einhaltung des Datenschutzes durch Waldo Studio BV verantwortlich ist; gegebenenfalls eine Aufzeichnung einer Datenverarbeitungs-Folgenabschätzung; entwickelte und implementierte Hinweise, Richtlinien und Verfahren, wie z. B. die Datenschutzerklärung, diese Richtlinie oder das Verfahren zur Reaktion auf Datenschutzverletzungen; die Tatsache, dass das Personal zur Einhaltung der Datenschutzgesetze geschult wird; sowie Bewertung, Umsetzung und Prüfung organisatorischer und technischer Datenschutzmaßnahmen. Der Datenschutzbeauftragte muss die Verzeichnisse der Verarbeitungstätigkeiten von Waldo Studio BV führen, bei denen es sich um ein Dokument zur Rechenschaftspflicht handelt, das die Verarbeitungsaktivitäten personenbezogener Daten von Waldo Studio BV beschreibt und gemäß Art. 30 des GDPR (das „Verzeichnis der Verarbeitungstätigkeiten“). Die Verzeichnisse der Verarbeitungstätigkeiten müssen mindestens die folgenden Informationen zu jeder Verarbeitungstätigkeit enthalten: Kontaktdaten von Waldo Studio BV, dem EU-Vertreter und gegebenenfalls des Datenschutzbeauftragten; Name der Aktivität, ihre Zwecke und Rechtsgrundlage sowie gegebenenfalls die berechtigten Interessen von Waldo Studio BV; Betroffene Personen und Kategorien personenbezogener Daten; Aufbewahrungsfristen für Daten; allgemeine Beschreibung der geltenden Sicherheitsmaßnahmen; Empfänger, einschließlich gemeinsamer Verantwortlicher, Auftragsverarbeiter und beteiligter Auftragnehmer, sowie die Tatsache der internationalen Datenübermittlung mit den für die Übermittlung geltenden Garantien; gegebenenfalls ein Verweis auf die Folgenabschätzung zur Datenverarbeitung; gegebenenfalls ein Verweis auf die Aufzeichnung der Datenschutzverletzung im Zusammenhang mit personenbezogenen Daten; Wenn Waldo Studio BV als Datenverarbeiter fungiert, umfassen die bereitzustellenden Informationen die Namen und Kontaktdaten der Verantwortlichen, den Namen und die Kontaktdaten des Vertreters des Verantwortlichen (sofern zutreffend), Kategorien der Verarbeitung (Aktivitäten), Namen von Drittländern oder internationalen Organisationen, an die personenbezogene Daten übermittelt werden (sofern zutreffend), Schutzmaßnahmen für außergewöhnliche Übermittlungen personenbezogener Daten an Drittländer oder internationale Organisationen (sofern zutreffend) sowie eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen.

Zugriff auf personenbezogene Daten. Rechtsgrundlagen und Zwecke

Rechtliche Gründe.
Jede Verarbeitungsaktivität muss einen der in diesem Abschnitt genannten Rechtsgründe für die Verarbeitung personenbezogener Daten haben. Liegen uns keine der beschriebenen Daten vor, können wir die personenbezogenen Daten weder erheben noch weiterverarbeiten. Wenn Waldo Studio BV beabsichtigt, personenbezogene Daten für andere als die im Verzeichnis der Verarbeitungstätigkeiten angegebenen Zwecke zu verwenden, muss der Datenschutzbeauftragte die entsprechende Rechtsgrundlage dafür bewerten, bestimmen und gegebenenfalls sammeln/aufzeichnen. Vertragserfüllung. Wenn Waldo Studio BV einen Vertrag mit der betroffenen Person hat, z.B. Nutzungsbedingungen der Website oder des Arbeitsvertrags und der Vertrag die Bereitstellung personenbezogener Daten durch die betroffene Person erfordert, ist die Erfüllung des Vertrags die anwendbare Rechtsgrundlage. Zustimmung. Um die personenbezogenen Daten auf der Grundlage der Einwilligung zu verarbeiten, müssen wir die Einwilligung vor der Verarbeitung einholen und den Nachweis der Einwilligung zusammen mit den Aufzeichnungen über die personenbezogenen Daten der betroffenen Person aufbewahren. Der Datenschutzbeauftragte muss sicherstellen, dass die von den betroffenen Personen eingeholte Einwilligung den Anforderungen der Datenschutzgesetze und dieser Richtlinie entspricht. Der Datenschutzbeauftragte muss insbesondere Folgendes sicherstellen: Es muss der betroffenen Person freistehen, ihre Einwilligung zu erteilen oder zu verweigern.
Die Einwilligung erfolgt in Form eines aktiven Hinweises der betroffenen Person, d. h. das Kontrollkästchen „Einwilligung“ darf für den Nutzer nicht vorab angekreuzt sein. In der Einwilligungsanfrage werden die Zwecke der Verarbeitung klar dargelegt, und der betroffenen Person stehen weitere in Unterabschnitt 6.2 genannte Informationen zur Verfügung. Es muss der betroffenen Person freistehen, ihre Einwilligung zu erteilen oder zu widerrufen.
Berechtigte Interessen. Wir haben das Recht, personenbezogene Daten in unserem „berechtigten Interesse“ zu verwenden. Zu den Interessen können Zwecke gehören, die durch die Art unserer Geschäftstätigkeit gerechtfertigt sind, beispielsweise die Marketinganalyse personenbezogener Daten. Damit Waldo Studio BV berechtigte Interessen als Rechtsgrundlage für die Verarbeitung nutzen kann, muss der Datenschutzbeauftragte sicherstellen, dass: das berechtigte Interesse an der Verarbeitung klar definiert und in den Aufzeichnungen der Verarbeitungsaktivitäten erfasst ist; alle erwarteten Risiken für die Rechte und Interessen der betroffenen Person werden erkannt. Die Beispiele der Risiken finden Sie in Abschnitt 7.2.; die betroffenen Personen berechtigte Erwartungen an die Verarbeitung haben und zusätzliche Schutzmaßnahmen zur Bewältigung der Risiken ergriffen werden; Vorbehaltlich der Voraussetzungen von Abschnitt 6.7 (Widerspruchsrecht gegen die Verarbeitung) hat die betroffene Person die Möglichkeit, der Verarbeitung aus den beschriebenen berechtigten Interessen zu widersprechen. Wenn Waldo Studio BV mindestens eine der oben genannten Bedingungen nicht erfüllt, muss der Datenschutzbeauftragte eine andere Rechtsgrundlage für die Verarbeitung auswählen und vorschlagen, beispielsweise eine Einwilligung. Rechtskonformität und öffentliches Interesse. Zusätzlich zu den oben genannten Gründen können wir aufgrund der Gesetze der Europäischen Union oder der Gesetze der EU-Mitgliedstaaten aufgefordert werden, personenbezogene Daten unserer Nutzer zu verarbeiten. Beispielsweise kann es erforderlich sein, dass wir die Informationen von Benutzern sammeln, analysieren und überwachen, um Finanz- oder Arbeitsgesetzen nachzukommen. Wann immer wir eine solche Verpflichtung haben, müssen wir sicherstellen, dass:
wir verarbeiten personenbezogene Daten streng in Übereinstimmung mit den einschlägigen gesetzlichen Anforderungen;
Wir verwenden oder speichern die erfassten personenbezogenen Daten nicht für andere Zwecke als die Einhaltung gesetzlicher Vorschriften. und die betroffenen Personen werden ordnungsgemäß und rechtzeitig über unsere Pflichten, den Umfang und die Bedingungen der Verarbeitung personenbezogener Daten informiert. Wichtig: Wenn für Waldo Studio BV die gesetzlichen Anforderungen eines anderen Landes zur Verarbeitung personenbezogener Daten gelten, muss der Datenschutzbeauftragte vorschlagen, eine andere Rechtsgrundlage für die Verarbeitung gemäß den Datenschutzgesetzen heranzuziehen, beispielsweise berechtigte Interessen oder Einwilligung.

Zugriff auf personenbezogene Daten.
Die Mitarbeiter müssen auf der Grundlage des „Need-to-know“-Prinzips Zugriff auf die personenbezogenen Daten haben. Der Zugriff auf die Daten ist nur dann möglich, wenn dies für die Durchführung einer der im Verzeichnis der Verarbeitungstätigkeiten genannten Tätigkeiten unbedingt erforderlich ist. Die Mitarbeiter und Auftragnehmer haben nur dann Zugriff auf die personenbezogenen Daten, wenn sie über die dafür erforderlichen Berechtigungen verfügen. Die Abteilungsleiter der Waldo Studio BV sind für den Zugriff und die Verarbeitung personenbezogener Daten ihrer Mitarbeiter verantwortlich. Die Leiter müssen die Liste der Mitarbeiter führen, die berechtigt sind, auf personenbezogene Daten zuzugreifen und diese zu verarbeiten. Der Datenschutzbeauftragte hat das Recht, die Liste zu überprüfen und gegebenenfalls Änderungen anzufordern, um den Anforderungen dieser Richtlinie zu entsprechen. Abteilungsleiter bei Waldo Studio BV müssen sicherstellen, dass die von ihnen beaufsichtigten Mitarbeiter die Datenschutzgesetze kennen und die in dieser Richtlinie festgelegten Regeln einhalten. Um sicherzustellen, dass unsere Mitarbeiter die Anforderungen des Datenschutzes einhalten können, müssen wir sie angemessen im Datenschutz schulen. Alle Mitarbeiter, die auf personenbezogene Daten zugreifen, sind zur strengen Verschwiegenheit über die Daten, auf die sie zugreifen, verpflichtet. Die Mitarbeiter, die auf personenbezogene Daten zugreifen, dürfen für die Verarbeitung nur die von Waldo Studio BV vorgeschriebenen Mittel (Software, Räumlichkeiten usw.) verwenden. Die Daten dürfen aus der Geschäftsanweisung nicht weitergegeben oder sonst wie zugänglich gemacht werden. Die Mitarbeiter müssen im Rahmen ihrer Zuständigkeit die Vertreter von Waldo Studio BV, einschließlich des Datenschutzbeauftragten, bei allen Bemühungen hinsichtlich der Einhaltung der Datenschutzgesetze und/oder dieser Richtlinie unterstützen. Wenn ein Mitarbeiter eine verdächtige Aktivität, eine Datenschutzverletzung oder eine Nichteinhaltung von Datenschutzgesetzen und/oder dieser Richtlinie feststellt oder glaubt oder ein DSR nicht an die zuständige Abteilung von Waldo Studio BV weitergeleitet wurde, muss der Mitarbeiter diese Aktivität dem Datenschutzbeauftragten melden. Mitarbeiter, die sich nicht sicher sind, ob sie personenbezogene Daten rechtmäßig verarbeiten oder offenlegen dürfen, müssen den Rat des Datenschutzbeauftragten einholen, bevor sie Maßnahmen ergreifen. Der gelegentliche Zugriff auf personenbezogene Daten für Tätigkeiten, die nicht im Verzeichnis der Verarbeitungstätigkeiten aufgeführt sind, ist untersagt. Wenn ein sofortiger Zugriff unbedingt erforderlich ist, muss der Datenschutzmanager den Zugriff zunächst genehmigen.

Dritte

Vor der Weitergabe personenbezogener Daten an eine Person außerhalb von Waldo Studio BV muss der Datenschutzbeauftragte sicherstellen, dass dieser Dritte über ein angemessenes Datenschutzniveau verfügt und ausreichende Datenschutzgarantien gemäß den Datenschutzgesetzen bietet, einschließlich, aber nicht beschränkt auf die Auftragsverarbeiteranforderungen (Art. 28 der GDPR) und die Einhaltung internationaler Übermittlungen (Abschnitt 5 der GDPR). Bei Bedarf muss der Datenschutzbeauftragte sicherstellen, dass Waldo Studio BV mit dem Dritten einen entsprechenden Datenschutzvertrag abschließt.

Ein Mitarbeiter darf personenbezogene Daten nur dann an Dritte weitergeben, wenn und soweit dies direkt vom Vorgesetzten vorgeschrieben und im Verzeichnis der Verarbeitungstätigkeiten angegeben ist.

Wenn wir verpflichtet sind, personenbezogene Daten zu löschen, zu ändern oder deren Verarbeitung einzustellen, müssen wir sicherstellen, dass die Dritten, mit denen wir die personenbezogenen Daten geteilt haben, diesen Verpflichtungen entsprechend nachkommen.

Immer wenn Waldo Studio BV als Datenverarbeiter im Namen eines anderen Unternehmens beauftragt wird, muss der Datenschutzbeauftragte sicherstellen, dass Waldo Studio BV der Auftragsverarbeiterpflicht nachkommt. Insbesondere muss eine entsprechende Datenverarbeitungsvereinbarung gemäß den Datenschutzgesetzen vorliegen. Der Datenschutzbeauftragte muss die Einhaltung der Datenverarbeitungsanweisungen des Verantwortlichen überwachen, einschließlich des Umfangs der Verarbeitungsaktivitäten, der Einbeziehung von Unterauftragsverarbeitern, internationaler Übermittlungen, der Speicherung und der weiteren Entsorgung verarbeiteter personenbezogener Daten. Die im Rahmen der Auftragsverarbeiterrolle verarbeiteten personenbezogenen Daten dürfen nicht für andere Zwecke als die in den entsprechenden Weisungen, Vereinbarungen oder anderen Rechtsakten, die die Beziehungen mit dem Verantwortlichen regeln, genannten Zwecke verarbeitet werden.

Internationale Überweisungen

Wenn wir Mitarbeiter, Auftragnehmer, verbundene Unternehmen oder Datenverarbeiter außerhalb des EWR haben und wir ihnen personenbezogene Daten zur Verarbeitung übermitteln, muss der Datenschutzbeauftragte sicherstellen, dass Waldo Studio BV alle notwendigen und angemessenen Sicherheitsmaßnahmen gemäß den Datenschutzgesetzen ergreift.

Der Datenschutzbeauftragte muss die verfügbaren Schutzmaßnahmen bewerten und der Geschäftsführung der Waldo Studio BV die geeigneten Schutzmaßnahmen für jede internationale Übertragung vorschlagen. Für die Übermittlung personenbezogener Daten außerhalb der EU gelten die folgenden Regelungen: Wenn die Europäische Kommission entscheidet, dass das Land über ein angemessenes Schutzniveau für personenbezogene Daten verfügt, sind für die Übermittlung keine zusätzlichen Sicherheitsvorkehrungen erforderlich. Die vollständige Liste der geeigneten Gerichtsbarkeiten finden Sie auf der entsprechenden Seite der Website der Europäischen Kommission. Um personenbezogene Daten an unsere Auftragnehmer oder Partner (Datenverarbeiter oder Verantwortliche) in anderen Drittländern zu übermitteln, müssen wir mit dieser Partei Standardvertragsklauseln abschließen. Die Entwurfsversion sowie die Leitlinien finden Sie auf der entsprechenden Seite der Website der Europäischen Kommission; Wenn wir eine Unternehmenstochtergesellschaft oder ein Unternehmen in anderen Ländern haben, können wir uns dafür entscheiden, verbindliche Unternehmensregeln gemäß Artikel 47 des GDPR oder einen genehmigten Verhaltenskodex gemäß Artikel 40 des GDPR einzuführen; Wir können personenbezogene Daten auch an Unternehmen übermitteln, die über eine zugelassene Zertifizierung gemäß Artikel 42 der GDPR verfügen, die ein angemessenes Datenschutzniveau des Unternehmens bescheinigt.

Im Rahmen der Informationspflichten muss Waldo Studio BV die betroffenen Personen darüber informieren, dass ihre personenbezogenen Daten in andere Länder übermittelt werden, und ihnen Informationen über die bei der Übermittlung eingesetzten Sicherheitsmaßnahmen zur Verfügung stellen. Die Informationspflicht ist gemäß Ziffer 6.2 zu erfüllen.

In den Ausnahmefällen (die „Ausnahmeregelung“), in denen wir die oben genannten Garantien nicht anwenden können und personenbezogene Daten übermitteln müssen, müssen wir eine ausdrückliche Einwilligung (aktive Erklärung) der betroffenen Person einholen oder dies muss für die Erfüllung des Vertrags zwischen uns und der betroffenen Person unbedingt erforderlich sein oder es gelten andere Ausnahmebedingungen gemäß den Datenschutzgesetzen. Der Datenschutzmanager muss alle Abweichungsübertragungen vorab genehmigen und die genehmigten Ausnahmen sowie die Gründe dafür dokumentieren.

Rechte der betroffenen Personen

Unsere Verantwortlichkeiten.
Privacy Manager ist letztendlich für die Weitergabe aller bei Waldo Studio BV eingegangenen DSR verantwortlich. Im Falle des Erhalts einer ausstehenden oder ungewöhnlichen DSR muss der Mitarbeiter den Rat des Datenschutzbeauftragten einholen, bevor er Maßnahmen ergreift. Der technische Support von Waldo Studio BV ist für die tägliche Bearbeitung von DSRs von Waldo Studio BV-Benutzern verantwortlich. Die Personalabteilung ist für die Abwicklung der Antragsanfragen der Mitarbeiter von Waldo Studio BV verantwortlich. Alle DSRs der Benutzer müssen an die folgende E-Mail-Adresse gerichtet und von dieser beantwortet werden: info@socialjuice.io. Anträge von Mitarbeitern können direkt an den Personalleiter oder an info@socialjuice.io gerichtet werden. Der verantwortliche Mitarbeiter muss innerhalb eines (1) Monats nach Erhalt der Anfrage auf die DSR antworten. Wenn die Einhaltung der DSR länger als einen Monat dauert, muss der verantwortliche Mitarbeiter den Rat des Datenschutzbeauftragten einholen und die betroffene Person gegebenenfalls über die Verlängerung der Antwortfrist um bis zu zwei (2) weitere Monate informieren. Der verantwortliche Mitarbeiter muss den erhaltenen DSR auf folgende Kriterien analysieren:
Identifizierung der betroffenen Person. Vor der Prüfung des DSR-Inhalts muss der verantwortliche Mitarbeiter sicherstellen, dass es sich bei der betroffenen Person um dieselbe Person handelt, für die er sich ausgibt. Hierzu muss der Zusammenhang zwischen den personenbezogenen Datensätzen und der betroffenen Person hergestellt werden. Hierzu müssen die folgenden Methoden verwendet werden: Überprüfung der E-Mail-Adresse der betroffenen Person – im Allgemeinen sollte die E-Mail-Adresse dieselbe sein, die Waldo Studio BV über den betreffenden Benutzer hat; Weicht die E-Mail-Adresse vom Eintrag in der Datenbank ab, muss der Datenschutzbeauftragte konsultiert werden, nach dessen Zustimmung der zuständige Mitarbeiter weitere Angaben aus dem Konto zur Identifizierung anfordern kann, wie z. B. das Geburtsdatum, die Anschrift und die E-Mail-Adresse. Wenn die betroffene Person die Überprüfung nicht bestanden hat, muss der Datenschutzbeauftragte die Ausführung der Anfrage ablehnen und die betroffene Person unverzüglich, spätestens jedoch innerhalb eines (1) Monats nach Erhalt der Anfrage darüber informieren. Persönliche Daten. Der verantwortliche Mitarbeiter muss prüfen, ob Waldo Studio BV Zugriff auf die angeforderten personenbezogenen Daten hat. Wenn Waldo Studio BV keine Kontrolle über die personenbezogenen Daten hat, muss der verantwortliche Mitarbeiter die betroffene Person informieren und, wenn möglich, über die weiteren Schritte zum Zugriff auf die betreffenden Daten informieren; Inhalt der Anfrage. Abhängig vom Inhalt der DSR muss der verantwortliche Mitarbeiter die Art der Anfrage definieren und prüfen, ob diese den in dieser Richtlinie und den Datenschutzgesetzen vorgeschriebenen Bedingungen entspricht. Die Arten der Anträge und die jeweiligen Bedingungen für jeden von ihnen können in den Unterabschnitten 6.3-6.9 eingesehen werden. Wenn die Anfrage die beschriebenen Kriterien nicht erfüllt, muss der verantwortliche Mitarbeiter die Einhaltung der DSR verweigern und die betroffene Person über die Gründe für die Ablehnung informieren; Kostenlos. Grundsätzlich sind alle Anfragen der betroffenen Personen und die Ausübung ihrer Rechte kostenlos. Wenn der verantwortliche Mitarbeiter feststellt, dass die betroffene Person ihre Rechte in übermäßiger oder unbegründeter Weise ausübt (z. B. mit der Absicht, die Geschäftsaktivitäten von Waldo Studio BV zu beeinträchtigen oder zu unterbrechen), muss der Mitarbeiter den Rat des Datenschutzbeauftragten einholen und kann nach Erhalt des letzteren entweder der betroffenen Person eine angemessene Gebühr in Rechnung stellen oder sich weigern, der Aufforderung nachzukommen; Dokumentieren. Wann immer Waldo Studio BV die DSR erhält, muss der Datenschutzbeauftragte sicherstellen, dass das Datum und die Uhrzeit, die betroffene Person, die Art der Anfrage und die diesbezüglich getroffene Entscheidung gut dokumentiert sind. Im Falle der Weigerung, der Aufforderung nachzukommen, sind auch die Gründe für die Weigerung zu dokumentieren; Empfänger. Bei der Bearbeitung der DSR muss der Datenschutzbeauftragte sicherstellen, dass alle betroffenen Empfänger darüber informiert wurden, dass die erforderlichen Maßnahmen ergriffen wurden. Das Recht auf Information.
Waldo Studio BV muss jede betroffene Person über die Erhebung und weitere Verarbeitung der personenbezogenen Daten informieren.
Zu den bereitzustellenden Informationen gehören: der Name und die Kontaktdaten von Waldo Studio BV; allgemeine Zwecke und Rechtsgrundlage für die Datenerhebung und weitere Verarbeitung; Kategorien der erhobenen personenbezogenen Daten; Empfänger/Kategorien von Empfängern; Aufbewahrungsfristen; Informationen über die Rechte der betroffenen Person, einschließlich des Rechts auf Beschwerde bei der zuständigen Aufsichtsbehörde; die Folgen der Fälle, in denen die Daten für die Vertragserfüllung erforderlich sind und die betroffene Person die erforderlichen Daten nicht bereitstellt; Einzelheiten zu den Sicherheitsvorkehrungen bei der Übermittlung personenbezogener Daten außerhalb des EWR; und jede dritte Quelle der personenbezogenen Daten, ohne Angabe des Einzelfalls (es sei denn, wir erhalten eine direkte Anfrage der betroffenen Person). Die Benutzer müssen über die Datenschutzrichtlinie informiert werden, die auf der Website von Waldo Studio BV zugänglich ist und bei der Benutzerregistrierung bereitgestellt wird. Die Mitarbeiter und Auftragnehmer sind durch eine gesonderte Mitarbeiter-Datenschutzerklärung zu informieren, in der die auf S. 15 beschriebenen Einzelheiten erläutert werden. 6.2.2 Fallbezogen unter Beschreibung der jeweiligen Zwecke und Tätigkeiten. Waldo Studio BV muss betroffene Personen innerhalb der folgenden Frist über die Datenverarbeitung informieren, einschließlich aller neuen Verarbeitungsaktivitäten, die bei Waldo Studio BV eingeführt werden: Wenn personenbezogene Daten direkt von der betroffenen Person erhoben werden, muss die betroffene Person zum Zeitpunkt der Erhebung personenbezogener Daten von den betroffenen Personen darüber informiert werden, indem der betroffenen Person unsere Datenschutzerklärung vorgelegt wird; wenn die personenbezogenen Daten aus anderen Quellen erhoben werden: (a) innerhalb eines Monats nach der Erhebung; (b) wenn die personenbezogenen Daten für die Kommunikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Kommunikation mit der betroffenen Person; oder (c) wenn eine Weitergabe an einen anderen Empfänger vorgesehen ist, spätestens bei der ersten Weitergabe der personenbezogenen Daten. auf Anfrage der betroffenen Person; und innerhalb eines (1) Monats nach einer Änderung unserer Datenschutzpraktiken, einem Wechsel des Verantwortlichen für personenbezogene Daten oder nach wesentlichen Änderungen unserer Datenschutzerklärungen. Das Recht, auf die Informationen zuzugreifen.
Der betroffenen Person dürfen nur die in der Anfrage genannten personenbezogenen Datensätze zur Verfügung gestellt werden. Wenn die betroffene Person Zugang zu allen sie betreffenden personenbezogenen Daten verlangt, muss der Mitarbeiter zunächst den Rat des Datenschutzbeauftragten einholen, um sicherzustellen, dass alle personenbezogenen Daten der betroffenen Person erfasst und bereitgestellt werden. Eine betroffene Person hat das Recht:
erfahren Sie, ob wir die personenbezogenen Daten der betroffenen Person verarbeiten;
Offenlegung von Aspekten der Verarbeitung einholen, einschließlich detaillierter und fallspezifischer Informationen zu Zwecken, Kategorien personenbezogener Daten, Empfängern/Kategorien von Empfängern, Aufbewahrungsfristen, Informationen über die eigenen Rechte, Einzelheiten zu den relevanten Garantien, wenn personenbezogene Daten außerhalb des EWR übertragen werden, und etwaiger Drittquellen der personenbezogenen Daten; und auf Anfrage eine Kopie der verarbeiteten personenbezogenen Daten zu erhalten.


Das Recht, die Informationen der betroffenen Person zu überprüfen und deren Berichtigung zu verlangen. Die von uns erfassten Informationen können ungenau oder veraltet sein/werden (z. B. Fehler bei der Nationalität, dem Geburtsdatum, Informationen zu Schulden, Wirtschaftsaktivitäten). Wenn wir feststellen, dass die personenbezogenen Daten unrichtig sind oder die betroffene Person uns dazu auffordert, müssen wir sicherstellen, dass wir alle Fehler korrigieren und die relevanten Informationen aktualisieren.

Das Recht auf Einschränkung der Verarbeitung. Die Einschränkung der Verarbeitung ermöglicht es den betroffenen Personen, die Nutzung ihrer Daten vorübergehend einzustellen, um den möglichen Schaden zu verhindern, der durch eine solche Nutzung entstehen könnte. Dieses Recht gilt, wenn die betroffene Person: die Richtigkeit der personenbezogenen Daten bestreitet; ist davon überzeugt, dass wir die personenbezogenen Daten unrechtmäßig verarbeiten; und widerspricht der Verarbeitung und möchte, dass wir personenbezogene Daten nicht verarbeiten, während wir die Anfrage prüfen. Im Falle des Erhalts des Einschränkungsantrags dürfen wir die betreffenden personenbezogenen Daten zu keinem anderen Zweck als der Speicherung oder zur Einhaltung gesetzlicher Vorschriften verarbeiten, bis die Umstände der Einschränkung nicht mehr bestehen.

Das Recht, die Einwilligung zu widerrufen. Für die Tätigkeiten, die eine Einwilligung erfordern, kann die betroffene Person ihre Einwilligung jederzeit widerrufen. Wenn die betroffene Person die Einwilligung widerruft, müssen wir die Änderungen protokollieren und dürfen die personenbezogenen Daten nicht für einwilligungsbasierte Zwecke verarbeiten. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung nicht berührt.

Das Recht, gegen die Verarbeitung Widerspruch einzulegen. Wenn wir die Informationen in unserem berechtigten Interesse verarbeiten, z. B. für Direktmarketing-E-Mails oder für unsere Marktforschungszwecke, kann die betroffene Person Widerspruch gegen die Verarbeitung einlegen. Im Falle des Erhalts eines Widerspruchsantrags müssen wir den Antrag der betroffenen Person prüfen und, wenn wir keine zwingenden Interessen haben, die Verarbeitung für die angegebenen Zwecke einstellen. Sollen die personenbezogenen Daten dennoch für andere Zwecke verarbeitet werden, muss der Datenschutzbeauftragte sicherstellen, dass in der Datenbank vermerkt ist, dass die Daten nicht für die beanstandeten Tätigkeiten weiterverarbeitet werden dürfen. Der Widerspruchsantrag kann nur abgelehnt werden, wenn die betreffenden personenbezogenen Daten für wissenschaftliche/historische Forschungszwecke oder statistische Zwecke verwendet werden und angemessen geschützt wurden, z. B. durch Anonymisierungs- oder Pseudonymisierungstechniken.

Recht auf Löschung/Vergessenwerden. Die betroffenen Personen haben das Recht, von uns die Löschung ihrer personenbezogenen Daten zu verlangen, wenn eine der folgenden Bedingungen erfüllt ist: Die personenbezogenen Daten sind für die Zwecke der Erhebung nicht mehr erforderlich. Beispielsweise hat ein Benutzer personenbezogene Daten für eine einmalige Aktivität bereitgestellt, beispielsweise für die Datenvalidierung oder die Teilnahme an einem Wettbewerb, und der Zweck ist bereits erfüllt. die betroffene Person widerruft ihre Einwilligung oder widerspricht der Verarbeitung (sofern zutreffend) und es gibt keinen anderen Rechtsgrund für die Verarbeitung; oder wir verarbeiten die personenbezogenen Daten unrechtmäßig oder ihre Löschung ist nach geltendem Recht der Europäischen Union oder eines Mitgliedslandes der Europäischen Union erforderlich. Voraussetzungen, unter denen wir das Recht haben, die Löschung zu verweigern: Personenbezogene Daten werden für wissenschaftliche/historische Forschungs- oder statistische Zwecke verarbeitet und werden angemessen geschützt, d. h. pseudonymisiert oder anonymisiert; Personenbezogene Daten sind weiterhin zur Einhaltung gesetzlicher Vorschriften erforderlich (z. B. zur Einhaltung von Finanz- oder Arbeitsgesetzen). Es dürfen nur die personenbezogenen Datensätze gelöscht werden, die in der Anfrage angegeben wurden. Wenn die betroffene Person die Löschung aller sie betreffenden personenbezogenen Daten verlangt, muss der Mitarbeiter zunächst den Rat des Datenschutzbeauftragten einholen, um sicherzustellen, dass alle Daten über die betroffene Person erfasst werden und gelöscht werden können. Wenn der Benutzer noch über ein Konto bei uns verfügt und die Löschung der für die Führung des Kontos erforderlichen Informationen verlangt, müssen wir den Benutzer darüber informieren, dass die Löschung das Benutzererlebnis beeinträchtigt oder zur Schließung des Kontos führen kann.

Datenportabilität. Betroffene Personen können uns auffordern, alle personenbezogenen Daten und/oder Teile davon in einem maschinenlesbaren Format an Dritte zu übermitteln. Dieses Recht besteht in zwei Fällen: Personenbezogene Daten wurden zum Zweck der Erbringung unserer Leistungen (Vertragserfüllung) erhoben; oder auf Grundlage einer Einwilligung erhoben werden. Um festzustellen, ob eine der Bedingungen in Abschnitt 6.9.1 erfüllt ist, muss der Mitarbeiter den Rat des Datenschutzbeauftragten einholen und die anwendbare Rechtsgrundlage im Verzeichnis der Verarbeitungstätigkeiten prüfen. Bei einer negativen Antwort kann die Anfrage von Waldo Studio BV abgelehnt werden und der Datenschutzbeauftragte muss entscheiden, ob er der Anfrage auf freiwilliger Basis nachkommt. Um der Anfrage nachzukommen, muss der verantwortliche Mitarbeiter die angeforderten personenbezogenen Daten konsolidieren und die Daten in dem Format, mit dem wir normalerweise arbeiten, an die angeforderte Organisation senden. Die betroffene Person muss die erforderlichen Kontaktdaten der Organisation angeben.

Neue Datenverarbeitungsaktivitäten

Benachrichtigung an Privacy Manager
Vor der Einführung einer neuen Aktivität, die die Verarbeitung personenbezogener Daten beinhaltet, muss ein für die Umsetzung verantwortlicher Mitarbeiter den Datenschutzbeauftragten informieren. Nach Erhalt von Informationen über eine neue Aktivität muss der Datenschutzbeauftragte: feststellen, ob eine Datenverarbeitungs-Folgenabschätzung (DPIA) und/oder eine Konsultation mit der Aufsichtsbehörde erforderlich ist. Wenn die Antwort positiv ist, muss der Datenschutzbeauftragte sicherstellen, dass die DSFA durchgeführt und/oder die Aufsichtsbehörde gemäß den Anforderungen dieses Abschnitts und den Datenschutzgesetzen konsultiert wird; die Rechtsgrundlage für die Verarbeitung festlegen und gegebenenfalls weitere Maßnahmen zu deren Festlegung ergreifen; Stellen Sie sicher, dass die Verarbeitungstätigkeit im Einklang mit dieser Richtlinie, anderen Richtlinien von Waldo Studio BV sowie den Datenschutzgesetzen erfolgt. Fügen Sie die Verarbeitungstätigkeit zum Verzeichnis der Verarbeitungstätigkeiten hinzu.
die Datenschutzerklärungen ändern und gegebenenfalls die betroffene betroffene Person entsprechend informieren.

Folgenabschätzung zur Datenverarbeitung
Um sicherzustellen, dass unsere aktuellen oder zukünftigen Verarbeitungsaktivitäten die Rechte der betroffenen Personen nicht verletzen/verletzen, muss Waldo Studio BV, sofern die Datenschutzgesetze dies erfordern, die Datenverarbeitungs-Folgenabschätzung (Data Processing Impact Assessment, DPIA), eine risikobasierte Bewertung der Verarbeitung, durchführen und nach Maßnahmen zur Risikominderung suchen. Der Datenschutzbeauftragte muss sicherstellen, dass die DSFA gemäß diesem Abschnitt durchgeführt wird. Der Datenschutzbeauftragte muss gegebenenfalls unter Einbeziehung der zuständigen Mitarbeiter und/oder externen Berater eine DSFA durchführen, wenn mindestens eine der folgenden Bedingungen erfüllt ist: Die Verarbeitung beinhaltet den Einsatz neuer Technologien wie künstliche Intelligenz, den Einsatz vernetzter und autonomer Geräte usw., die bestimmte rechtliche, wirtschaftliche oder ähnliche Auswirkungen auf die betroffene Person haben; Wir bewerten und bewerten systematisch persönliche Aspekte der betroffenen Personen auf der Grundlage einer automatisierten Profilerstellung, der Zuweisung der persönlichen Punktzahl/Bewertung und erzeugen durch diese Tätigkeit rechtliche oder ähnliche Auswirkungen für die betroffene Person. Wir verarbeiten in großem Umfang sensible Daten, darunter personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten, Daten über gefährdete betroffene Personen, personenbezogene Daten, aus denen die Rasse oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung genetischer Daten, biometrischer Daten zum Zweck der eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten über das Sexualleben oder die sexuelle Orientierung einer natürlichen Person; Wir erheben oder verarbeiten personenbezogene Daten in großem Umfang aus einem öffentlich zugänglichen Bereich oder öffentlichen Quellen oder kombinieren oder gleichen zwei verschiedene Datensätze ab. und die Aufsichtsbehörde verlangt in ihrer öffentlichen Liste die Durchführung einer DPIA für eine bestimmte Art von Aktivität, an der wir beteiligt sind. Die Liste der Verarbeitungsaktivitäten, die die Durchführung einer DPIA erfordern, finden Sie auf der Website jeder Aufsichtsbehörde. Die Beurteilung muss mindestens folgende Angaben enthalten:
eine systematische Beschreibung der Verarbeitungsvorgänge und der Zwecke der Verarbeitung, gegebenenfalls einschließlich des von uns verfolgten berechtigten Interesses. Die Beschreibung muss die vorgesehenen Datenkategorien und betroffenen Personen sowie den Umfang der Verarbeitungstätigkeiten wie Häufigkeit, Umfang, geplante Anzahl von Datensätzen usw. enthalten; Empfänger der Daten, Aufbewahrungsfristen und ggf. internationale Übermittlungen; eine Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge im Verhältnis zu den Zwecken. Die DSFA muss darlegen, ob die Tätigkeit für den Zweck notwendig ist und ob der Zweck durch weniger einschneidende Methoden erreicht werden kann; eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen, einschließlich der Rechte der betroffenen Personen in Bezug auf ihre personenbezogenen Daten. Beispiele für Risiken sind die Verarbeitung, die zu physischen, materiellen oder immateriellen Schäden führen könnte, insbesondere: wenn die Verarbeitung zu Diskriminierung, Identitätsdiebstahl oder -betrug, finanziellen Verlusten, Rufschädigung, Verlust der Vertraulichkeit personenbezogener Daten, die durch das Berufsgeheimnis geschützt sind, unbefugter Aufhebung der Pseudonymisierung oder anderen erheblichen wirtschaftlichen oder sozialen Nachteilen führen kann; wenn betroffene Personen ihrer Rechte und Freiheiten beraubt oder daran gehindert werden könnten, die Kontrolle über ihre personenbezogenen Daten auszuüben; wenn personenbezogene Daten verarbeitet werden, die Aufschluss über die Rasse oder ethnische Herkunft, politische Meinungen, Religion oder philosophische Überzeugungen, die Gewerkschaftszugehörigkeit geben, sowie die Verarbeitung genetischer Daten, Daten über die Gesundheit oder Daten über das Sexualleben oder strafrechtliche Verurteilungen und Straftaten oder damit verbundene Sicherheitsmaßnahmen; wenn persönliche Aspekte ausgewertet werden, insbesondere Aspekte zu Arbeitsleistung, wirtschaftlicher Situation, Gesundheit, persönlichen Vorlieben oder Interessen, Zuverlässigkeit oder Verhalten, Standort oder Bewegungen analysiert oder vorhergesagt werden, um persönliche Profile zu erstellen oder zu nutzen; wenn personenbezogene Daten schutzbedürftiger natürlicher Personen, insbesondere von Kindern, verarbeitet werden; oder wenn die Verarbeitung eine große Menge personenbezogener Daten umfasst und eine große Anzahl betroffener Personen betrifft; und die Maßnahmen zur Bewältigung der Risiken, einschließlich Schutzmaßnahmen, Sicherheitsmaßnahmen und Mechanismen, um den Schutz personenbezogener Daten zu gewährleisten und die Einhaltung dieser Verordnung nachzuweisen. Wenn die Datenschutz-Folgenabschätzung nicht darlegt, wie den Risiken wirksam begegnet werden kann, muss der Datenschutzbeauftragte die Konsultation mit der zuständigen Aufsichtsbehörde einleiten, um Hilfe bei der Suche nach der Lösung zu erhalten. In diesem Fall darf Waldo Studio BV die Tätigkeit nicht durchführen, bevor die Aufsichtsbehörde die betreffende Verarbeitungstätigkeit genehmigt hat.

Datenaufbewahrung

Allgemeine Regel.
Der Datenschutzbeauftragte muss sicherstellen, dass Waldo Studio BV die Datenspeicherfristen und/oder Kriterien zur Bestimmung der Speicherfristen für jede von ihr durchgeführte Verarbeitungsaktivität klar definiert. Die Zeiträume für jede Verarbeitungstätigkeit müssen im Verzeichnis der Verarbeitungstätigkeiten angegeben werden. Jede Abteilung innerhalb der Waldo Studio BV muss die Datenspeicherfristen gemäß dem Aufbewahrungsplan im Verzeichnis der Verarbeitungstätigkeiten einhalten. Der Datenschutzbeauftragte muss jede Abteilung überwachen und sicherstellen, dass sie dieser Anforderung nachkommt. Nach Ablauf der Aufbewahrungsfrist sind die personenbezogenen Daten der Verfügungsgewalt der für die Verarbeitung verantwortlichen Stelle zu entziehen oder, sofern die Daten nicht für andere Zwecke benötigt werden, vollständig zu vernichten, auch von Sicherungskopien und anderen Datenträgern. Wenn die Speicherfrist für eine Verarbeitungstätigkeit abgelaufen ist, die verarbeiteten personenbezogenen Daten jedoch für andere Verarbeitungszwecke erforderlich sind, muss der Abteilungsleiter sicherstellen, dass die personenbezogenen Daten nicht für die eingestellte Verarbeitungstätigkeit verwendet werden und die verantwortlichen Mitarbeiter keinen Zugriff darauf haben, es sei denn, dies ist für eine andere Tätigkeit erforderlich.

Ausnahmen. Von den in Abschnitt 8.1 genannten Regeln gelten folgende Ausnahmen:
Geschäftsanforderungen. Die Aufbewahrungsfristen für Daten können verlängert werden, jedoch nicht länger als 60 Tage, für den Fall, dass die Datenlöschung unseren laufenden Geschäftsbetrieb unterbricht oder beeinträchtigt. Der Datenschutzbeauftragte muss jede unvorhergesehene Verlängerung genehmigen; Technische Unmöglichkeit. Manche Informationen lassen sich technisch nicht oder nur unverhältnismäßig schwer löschen. Beispielsweise kann das Löschen der Informationen zu einer Verletzung der Systemintegrität führen oder es ist unmöglich, die Informationen aus den Sicherungskopien zu löschen. In einem solchen Fall können die Informationen weiter gespeichert werden, vorbehaltlich der Zustimmung des Datenschutzbeauftragten und entsprechender Änderungen im Verzeichnis der Verarbeitungsaktivitäten; und Anonymisierung. Die personenbezogenen Daten können für beliebige Zwecke (z. B. Marketing) weiterverarbeitet werden, wenn wir diese Daten nach Ablauf der Aufbewahrungsfrist vollständig anonymisieren. Dies bedeutet, dass alle personenbezogenen Identifikatoren und Verbindungen zu diesen aus den Daten gelöscht werden. Um personenbezogene Daten als anonym zu betrachten, muss es unmöglich sein, die betroffene Person anhand des Datensatzes erneut zu identifizieren.

Sicherheit

Jede Abteilung innerhalb der Waldo Studio BV muss alle geeigneten technischen und organisatorischen Maßnahmen ergreifen, um die in ihrem Verantwortungsbereich stehenden personenbezogenen Daten vor unbefugtem, rechtswidrigem und/oder versehentlichem Zugriff, Zerstörung, Änderung, Blockierung, Vervielfältigung, Verbreitung sowie anderen rechtswidrigen Handlungen unbefugter Personen zu schützen.

Der für die Überwachung der Sicherheit personenbezogener Daten bei Waldo Studio BV verantwortliche Mitarbeiter muss ein IT-Spezialist sein. Diese Person setzt die Richtlinien und sonstigen Vorgaben zum Datenschutz und zur Informationssicherheit in ihrem Verantwortungsbereich um. Er/sie berät die Geschäftsführung der Waldo Studio BV bei der Planung und Umsetzung der Informationssicherheit in der Waldo Studio BV und muss frühzeitig in alle Projekte eingebunden werden, um sicherheitsrelevante Aspekte bereits in der Planungsphase zu berücksichtigen.

Reaktionsverfahren bei Datenschutzverletzungen

Reaktionsteam.
Im Falle der Aufdeckung der Datenschutzverletzung muss der CEO von Waldo Studio BV dringend das Datenschutzverletzungs-Reaktionsteam (das „Reaktionsteam“) bilden, das sich mit der Datenschutzverletzung befasst, die entsprechenden Personen benachrichtigt und die Risiken mindert. Das Reaktionsteam muss eine multidisziplinäre Gruppe sein, die vom CEO von Waldo Studio BV geleitet wird und sich aus dem Datenschutzmanager, einem Spezialisten für Datenschutzgesetze (ob intern oder extern) und sachkundigen und erfahrenen Informationssicherheitsspezialisten innerhalb von Waldo Studio BV oder bei Bedarf aus Outsourcing-Experten zusammensetzt. Das Team muss sicherstellen, dass alle Mitarbeiter und beauftragten Auftragnehmer/Auftragsverarbeiter diese Richtlinie einhalten und bei jedem vermuteten/angeblichen oder tatsächlichen Datenschutzverstoß, der Waldo Studio BV betrifft, unverzüglich, effektiv und kompetent reagieren. Die potenziellen Mitglieder des Reaktionsteams müssen darauf vorbereitet sein, auf eine Datenschutzverletzung zu reagieren. Das Reaktionsteam übernimmt alle in dieser Richtlinie genannten Verantwortlichkeiten von Waldo Studio BV. Die Aufgaben des Reaktionsteams bestehen darin, die Datenschutzverletzung der/den zuständigen Aufsichtsbehörde(n) zu melden;
im Falle eines hohen Risikos für die Rechte und Freiheiten der betroffenen Personen, die Datenschutzverletzung der betroffenen Person mitzuteilen; wenn Waldo Studio BV als Auftragsverarbeiter Daten von Dritten erhält und eine Datenschutzverletzung die erhaltenen Daten betrifft, die Dritten über die Datenschutzverletzung zu informieren; um die Auftragnehmer von Waldo Studio BV oder andere Dritte zu informieren, die die von der Datenverletzung betroffenen personenbezogenen Daten verarbeiten; und alle geeigneten technischen und organisatorischen Maßnahmen zu ergreifen, um die Datenschutzverletzung zu beenden und ihre Folgen abzumildern;
die Tatsache der Datenschutzverletzung in den Aufzeichnungen der Verarbeitungsaktivitäten festzuhalten und einen internen Bericht über die Datenschutzverletzung einzureichen, der das Ereignis beschreibt. Das Reaktionsteam erfüllt seine Aufgaben, bis alle in dieser Richtlinie erforderlichen Maßnahmen ergriffen wurden.

Meldung an die Aufsichtsbehörde.
Waldo Studio BV informiert die zuständige Aufsichtsbehörde unverzüglich und, soweit möglich, spätestens 72 Stunden nach Kenntniserlangung von der Datenschutzverletzung über die Datenschutzverletzung. Die zuständige Aufsichtsbehörde richtet sich nach dem Wohnsitz der betroffenen Personen, deren Informationen von der Datenschutzverletzung betroffen waren. Betrifft die Datenschutzverletzung personenbezogene Daten von betroffenen Personen aus mehr als einem Land, informiert Waldo Studio BV alle zuständigen Aufsichtsbehörden. Um die Benachrichtigung an die Behörde zu richten, sollte das Reaktionsteam Anhang 1 dieser Richtlinie verwenden. Anhang 1 enthält alle notwendigen Kontaktinformationen der EU-Aufsichtsbehörden. Wenn die Datenschutzverletzung betroffene Personen aus anderen als den EU-Ländern betrifft, bittet das Reaktionsteam einen kompetenten Datenschutzspezialisten um Rat. Die Meldung an die zuständige Aufsichtsbehörde muss mindestens die folgenden Informationen enthalten: die Art der Datenschutzverletzung, einschließlich, soweit möglich, der Kategorien und einer ungefähren Anzahl der betroffenen Personen und personenbezogenen Datensätze; den Namen und die Kontaktdaten des Reaktionsteams, des Datenschutzmanagers oder, falls nicht zutreffend, des CEO; die wahrscheinlichen Folgen der Datenschutzverletzung. Erläutern Sie den Standpunkt von Waldo Studio BV zu den Zwecken und möglichen weiteren Risiken der Datenschutzverletzung. Beispielsweise können die personenbezogenen Daten zum Zwecke des Weiterverkaufs, für Betrugshandlungen oder zur Erpressung der betroffenen betroffenen Personen gestohlen werden; und die von Waldo Studio BV ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Datenschutzverletzung, einschließlich gegebenenfalls Maßnahmen zur Abschwächung der möglichen nachteiligen Auswirkungen. Um eine Meldung einzureichen, sollte das Reaktionsteam das Formular zur Meldung von Datenschutzverletzungen an die Aufsichtsbehörde von Waldo Studio BV verwenden.

Benachrichtigungen an betroffene Personen.
Wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt (z. B. Diebstahl von Geldern, Vermögenswerten oder geschützten Informationen), müssen wir die Datenschutzverletzung den betroffenen betroffenen Personen unverzüglich mitteilen. Der Datenschutzbeauftragte muss anhand der in Unterabschnitt 7.2.3 dieser Richtlinie genannten Risikofaktoren feststellen, ob ein hohes Risiko besteht. Die Meldung muss folgende Angaben enthalten:
Beschreibung der Datenschutzverletzung – was passiert ist und was zur Datenschutzverletzung geführt hat, z. B. eine Sicherheitsverletzung, Fahrlässigkeit des Mitarbeiters, Fehler im Systembetrieb. Wenn das Reaktionsteam beschließt, die Ursachen der Datenschutzverletzung nicht offenzulegen, darf diese Klausel nicht erwähnt werden; die von Waldo Studio BV im Zusammenhang mit der Datenschutzverletzung ergriffenen Maßnahmen, einschließlich Sicherheitsmaßnahmen, interner Untersuchungen und Mitteilungen der Aufsichtsbehörden; Empfehlungen für die betroffenen betroffenen Personen, wie Risiken und mögliche Folgen gemindert werden können, z. B. Richtlinien zur Wiederherstellung des Zugriffs auf ein Konto, Präventionsmaßnahmen (Änderung eines Passworts); und die Kontaktinformationen des Reaktionsteams oder eines seiner Mitglieder.
Die Benachrichtigung der betroffenen Personen sollte per E-Mail-Brief oder, wenn die Verwendung der E-Mail nicht möglich ist, über andere verfügbare Kommunikationsmittel erfolgen. Ausnahmen. Wir müssen die Benachrichtigung nicht an die betroffenen Personen senden, wenn eine der folgenden Bedingungen erfüllt ist: Waldo Studio BV hat geeignete technische und organisatorische Schutzmaßnahmen umgesetzt und diese Maßnahmen wurden auf die von der Datenschutzverletzung betroffenen personenbezogenen Daten angewendet, insbesondere solche, die die personenbezogenen Daten für Personen unzugänglich machen, die nicht zum Zugriff darauf berechtigt sind, wie z. B. Verschlüsselung; Waldo Studio BV hat Folgemaßnahmen ergriffen, die sicherstellen, dass das in diesem Abschnitt genannte hohe Risiko für die Rechte und Freiheiten der betroffenen Personen wahrscheinlich nicht mehr eintritt; oder es würde einen unverhältnismäßigen Aufwand bedeuten, mit jeder betroffenen betroffenen Person zu kommunizieren. In einem solchen Fall muss es stattdessen eine öffentliche Kommunikation oder eine ähnliche Maßnahme geben, durch die die betroffenen Personen gleichermaßen wirksam informiert werden. Falls wir eine der Ausnahmen anwenden, müssen wir die Umstände, den Grund für die Nichtinformierung und die Maßnahmen dokumentieren, die wir ergriffen haben, um eine der Ausnahmen zu erfüllen.

Kommunikation mit Dritten.
Falls eine Datenschutzverletzung die mit uns geteilten oder von uns im Auftrag eines Dritten verarbeiteten personenbezogenen Daten betrifft, müssen wir den Dritten ebenfalls innerhalb von 24 Stunden darüber informieren. Wenn wir die personenbezogenen Daten als Datenverarbeiter verarbeiten, entbindet uns die Benachrichtigung des Dritten nicht von der Pflicht, die Folgen einer Datenschutzverletzung abzumildern, wir dürfen jedoch die zuständige Aufsichtsbehörde und die betroffenen Personen nicht informieren. Im Falle des Erhalts einer Benachrichtigung über die Datenschutzverletzung durch den Datenverarbeiter oder andere Dritte, die Zugriff auf die personenbezogenen Daten haben, muss der CEO von Waldo Studio BV gemäß diesem Abschnitt: das Reaktionsteam bilden; den Dritten auffordern, die in den Unterabschnitten 10.2-3 dieser Richtlinie genannten Informationen zu senden; gegebenenfalls die zuständige(n) Aufsichtsbehörde(n) und betroffene Personen informieren; und führen Sie weitere Schritte des Reaktionsverfahrens bei Datenschutzverletzungen durch.

ANHANG 1 ZUR RICHTLINIE ZUM SCHUTZ PERSÖNLICHER DATEN

Europäische nationale Datenschutzbehörden

Österreich
Österreichische Datenschutzbehörde
Hohenstaufengasse 3
1010 Wien
Tel. +43 1 531 15 202525
Fax +43 1 531 15 202690
E-Mail: dsb@dsb.gv.at
Website: http://www.dsb.gv.at/

Art 29 WP-Mitglied: Dr. Andrea JELINEK, Direktorin, Österreichische Datenschutzbehörde

Belgien
Commission de la Protection de la vie privée
Kommission für die Bescherming van de persoonlijke levenssfeer
Rue de la Presse 35 / Drukpersstraat 35 1000 Brüssel / 1000 Brüssel
Tel. +32 2 274 48 00
Fax +32 2 274 48 35
E-Mail: commission@privacycommission.be
Website: http://www.privacycommission.be/

Art. 29 WP-Vizepräsident: Willem DEBEUCKELAERE, Präsident der belgischen Datenschutzkommission