VERARBEITUNG PERSONENBEZOGENER DATEN
Personenbezogene Daten dürfen vom Unternehmen nur im Rahmen der folgenden Grundsätze und Verfahren verarbeitet werden.

6.1 Ausdrückliche Einwilligung

6.1.1 Personenbezogene Daten werden von der Gesellschaft nur dann verarbeitet, wenn die betroffenen Personen ihre ausdrückliche Einwilligung erteilen, nachdem sie im Rahmen der Erfüllung der Offenlegungspflicht informiert wurden, und sofern die betroffenen Personen ihre ausdrückliche Einwilligung erteilen.

6.1.2 Vor Einholung einer ausdrücklichen Einwilligung werden die Rechte der betroffenen Personen im Rahmen der Offenlegungspflicht belehrt.

6.1.3 Die ausdrückliche Einwilligung der betroffenen Person wird durch Methoden eingeholt, die mit der Gesetzgebung zum Schutz personenbezogener Daten im Einklang stehen. Ausdrückliche Einwilligungen werden vom Unternehmen für den erforderlichen Zeitraum im Rahmen der Gesetzgebung zum Schutz personenbezogener Daten auf nachweisbare Weise aufbewahrt.

6.1.4 Der Ausschuss ist dafür verantwortlich, die Erfüllung der Offenlegungspflicht sicherzustellen und, falls erforderlich, die ausdrückliche Einwilligung einzuholen und die erhaltene ausdrückliche Einwilligung für alle Prozesse zur Verarbeitung personenbezogener Daten aufrechtzuerhalten. Alle Mitarbeiter der Abteilung, die personenbezogene Daten verarbeiten, die Kontaktperson und der Ausschuss sind verpflichtet, die Anweisungen dieser Richtlinie und die dieser Richtlinie beigefügten KVKK-Verfahren einzuhalten.

6.2 Verarbeitung personenbezogener Daten ohne ausdrückliche Einwilligung

In Fällen, in denen die Verarbeitung personenbezogener Daten ohne ausdrückliche Einwilligung im Rahmen der KVKK-Verordnung (Artikel 5.2 KVKK) vorgesehen ist, kann das Unternehmen personenbezogene Daten verarbeiten, ohne die ausdrückliche Einwilligung der betroffenen Person einzuholen. Im Falle einer solchen Verarbeitung personenbezogener Daten verarbeitet das Unternehmen personenbezogene Daten innerhalb der durch die KVKK-Verordnung festgelegten Grenzen. In diesem Kontext;

6.2.1 Personenbezogene Daten dürfen vom Unternehmen ohne ausdrückliche Zustimmung verarbeitet werden, wenn dies ausdrücklich gesetzlich vorgesehen ist.

6.2.2 Wenn es zwingend erforderlich ist, das Leben oder die körperliche Unversehrtheit der betroffenen Person oder einer anderen Person zu schützen, weil die Einwilligung tatsächlich nicht offengelegt werden kann oder die Einwilligung nicht rechtswirksam ist, können personenbezogene Daten vom Unternehmen ohne ausdrückliche Einwilligung verarbeitet werden.

6.2.3 Wenn die Verarbeitung personenbezogener Daten für die Begründung oder Erfüllung eines Vertrags erforderlich ist, der direkt mit den Vertragsparteien zusammenhängt, können personenbezogene Daten vom Unternehmen ohne ausdrückliche Zustimmung der betroffenen Personen verarbeitet werden.

6.2.4 Wenn die Verarbeitung von Daten für das Unternehmen zur Erfüllung seiner gesetzlichen Verpflichtungen erforderlich ist, kann das Unternehmen personenbezogene Daten ohne die ausdrückliche Zustimmung der betroffenen Personen verarbeiten.

6.2.5 Personenbezogene Daten, die von der betroffenen Person veröffentlicht wurden, können vom Unternehmen ohne Einholung einer ausdrücklichen Zustimmung verarbeitet werden.

6.2.6 Wenn die Verarbeitung personenbezogener Daten für die Begründung, Ausübung oder den Schutz eines Rechts erforderlich ist, kann das Unternehmen personenbezogene Daten ohne Einholung einer ausdrücklichen Zustimmung verarbeiten.

6.2.7 Personenbezogene Daten können vom Unternehmen ohne Einholung einer ausdrücklichen Einwilligung verarbeitet werden, wenn dies für die berechtigten Interessen des Unternehmens erforderlich ist und sofern dadurch die Grundrechte und -freiheiten der betroffenen Person nicht beeinträchtigt werden.

VERARBEITUNG BESONDERER KATEGORIEN PERSONENBEZOGENER DATEN
7.1 Besondere Kategorien personenbezogener Daten dürfen nur verarbeitet werden, wenn die betroffene Person ausdrücklich zustimmt oder die Verarbeitung ausdrücklich gesetzlich vorgeschrieben ist, mit Ausnahme personenbezogener Daten zum Sexualleben und personenbezogener Gesundheitsdaten.

7.2 Personenbezogene Daten im Zusammenhang mit Gesundheit und Sexualleben dürfen ohne Einholung einer ausdrücklichen Einwilligung nur zum Zwecke des Schutzes der öffentlichen Gesundheit, der Präventivmedizin, der medizinischen Diagnose, Behandlung und Pflege, der Planung und Verwaltung von Gesundheitsdiensten und deren Finanzierung durch Personen verarbeitet werden die der Schweigepflicht unterliegen (z. B. Betriebsarzt) oder autorisierte Institutionen und Organisationen.

7.3 Bei der Verarbeitung besonderer Kategorien personenbezogener Daten werden vom Vorstand festgelegte Vorsichtsmaßnahmen getroffen.

7.4 Für die Verarbeitung besonderer Kategorien personenbezogener Daten gilt für das Unternehmen Folgendes:

7.4.1. Das Unternehmen bietet regelmäßig Schulungen zu den KVKK-Vorschriften und der Sicherheit besonderer Kategorien personenbezogener Daten an.

7.4.2. Es werden Vertraulichkeitsvereinbarungen getroffen.

7.4.3. Die Zugriffsbereiche und Zeiträume der Benutzer mit Zugriff auf besondere Kategorien personenbezogener Daten werden klar definiert.

7.4.4. Es werden periodische Berechtigungsprüfungen durchgeführt.

7.4.5. Im Falle eines Arbeitsplatzwechsels oder einer Kündigung werden den Mitarbeitern in diesem Bereich die Befugnisse sofort entzogen und das dem betreffenden Mitarbeiter zugewiesene Inventar wird sofort wiederhergestellt.

7.5 Im Falle der Übertragung besonderer Kategorien personenbezogener Daten in elektronische Umgebungen hat das Unternehmen Folgendes zu tun:

7.5.1. Überwacht kontinuierlich die Sicherheitsaktualisierungen der Umgebungen, in denen sich besondere Kategorien personenbezogener Daten befinden.

7.5.2. Führt Benutzerautorisierungen für Software durch, die auf besondere Kategorien personenbezogener Daten zugreifen.

7.5.3. Bietet ein zweistufiges Authentifizierungssystem für den Fernzugriff auf besondere Kategorien personenbezogener Daten.

7.6. Im Falle der Verarbeitung besonderer Kategorien personenbezogener Daten in einer physischen Umgebung:

7.6.1. Stellt sicher, dass ausreichende Sicherheitsmaßnahmen (gegen Stromlecks, Feuer, Wasserüberschwemmung, Diebstahl usw.) entsprechend der Art der Umgebung ergriffen werden, in der sich besondere Kategorien personenbezogener Daten befinden.

7.6.2. Gewährleistet die physische Sicherheit dieser Umgebungen und verhindert unbefugten Zugriff.

7.6.3. Stellt sicher, dass besondere Kategorien personenbezogener Daten in verschlossenen oder versiegelten Schränken aufbewahrt werden.

7.7. Das Unternehmen kann besondere Kategorien personenbezogener Daten verarbeiten, indem es die Daten anonymisiert, sofern dadurch keine Grundrechte und Grundfreiheiten beeinträchtigt werden.

ÜBERTRAGUNG PERSONENBEZOGENER DATEN
8.1 Die Übermittlung personenbezogener Daten ist möglicherweise nur in Übereinstimmung mit den in den KVKK-Verordnungen festgelegten Verfahren und Grundsätzen möglich.

8.2 Das Unternehmen kann personenbezogene Daten sowohl im Inland als auch international übermitteln. Das Unternehmen ergreift die folgenden Maßnahmen für die Übermittlung personenbezogener Daten:

8.2.1. Bei internationalen Übermittlungen werden die Länder, in die personenbezogene Daten übermittelt werden, vom Unternehmen daraufhin überprüft, ob sie über einen angemessenen Schutz verfügen oder nicht. In Fällen, in denen kein angemessener Schutz verfügbar ist, wird die ausdrückliche Zustimmung der betroffenen Personen eingeholt und alternative Methoden wie Verträge mit ausreichenden Garantien oder Genehmigungen des Vorstands eingeholt.

8.2.2. Das Unternehmen führt die erforderlichen technischen und administrativen Maßnahmen durch, um sicherzustellen, dass personenbezogene Daten im In- und Ausland gemäß den Bestimmungen der Gesetzgebung zum Schutz personenbezogener Daten verarbeitet werden.

8.3 Im Falle einer Übermittlung personenbezogener Daten an Dritte stellt das Unternehmen sicher, dass die Bestimmungen zur Übermittlung personenbezogener Daten im Rahmen dieser Richtlinie und der KVKK-Verfahren in den mit diesen Dritten geschlossenen Verträgen enthalten sind.

RECHTE DER BETROFFENEN PERSONEN
9.1 Die betroffene Person kann Informationen anfordern über:

9.1.1 Unabhängig davon, ob personenbezogene Daten verarbeitet werden oder nicht,

9.1.2 Wenn personenbezogene Daten verarbeitet werden, Informationen darüber anfordern,

9.1.3 Der Zweck der Verarbeitung personenbezogener Daten und ob sie für diesen Zweck verwendet werden,

9.1.4 Die Dritten, an die personenbezogene Daten im In- oder Ausland übermittelt werden,

9.1.5 Berichtigung personenbezogener Daten bei unvollständiger oder fehlerhafter Verarbeitung,

9.1.6 Anfordern der Löschung oder Vernichtung personenbezogener Daten gemäß den Bestimmungen der Gesetzgebung zum Schutz personenbezogener Daten,

9.1.7 Anfordern einer Benachrichtigung über die gemäß den Artikeln 9.1.5 und 9.1.6 durchgeführten Transaktionen an Dritte, an die personenbezogene Daten übermittelt wurden,

9.1.8 Einspruch gegen den Eintritt eines Schadens gegen die Person selbst durch die Analyse der verarbeiteten Daten ausschließlich durch automatisierte Systeme,

9.1.9 Anspruch auf Schadensersatz im Falle eines Schadens, der durch die rechtswidrige Verarbeitung personenbezogener Daten entsteht.

9.2. Wenn die betroffene Person ihre Anträge bezüglich ihrer oben genannten Rechte über die vom Vorstand festgelegten Methoden an das Unternehmen richtet, erfüllt das Unternehmen diese Anträge im Rahmen der Gesetzgebung zum Schutz personenbezogener Daten und innerhalb der gesetzlichen Fristen kostenlos .

9.3 Das Unternehmen kann die Anfragen der betroffenen Person im Rahmen der Datenschutzgesetze annehmen und sie innerhalb der gesetzlichen Fristen mit einer schriftlichen Antwort unter Angabe der Gründe ablehnen.

Benachrichtigungspflicht
10.1. Das Unternehmen erfüllt die Offenlegungspflicht im Rahmen der Gesetzgebung zum Schutz personenbezogener Daten.

10.2. Das Unternehmen kommt der Offenlegungspflicht nach, indem es die folgenden Verpflichtungen erfüllt:

10.2.1. Informieren der betroffenen Person über die Identität des Datenverantwortlichen und gegebenenfalls des Vertreters,

10.2.2. Information der betroffenen Person über die Zwecke der Verarbeitung personenbezogener Daten,

10.2.3. Informieren der betroffenen Person darüber, an welche Personen und zu welchen Zwecken personenbezogene Daten im In- oder Ausland übermittelt werden können,

10.2.4. Information der betroffenen Person über die Methode und den rechtlichen Grund der Erhebung personenbezogener Daten,

10.2.5. Information der betroffenen Person über ihre in Artikel 9 genannten Rechte und wie diese Rechte genutzt werden können,

10.2.6. Information der betroffenen Person über die Pflichten des Datenverantwortlichen gemäß Artikel 12,

10.2.7. Unterrichtung der betroffenen Person über andere, nicht in Artikel 9 genannte Rechte, die der betroffenen Person gemäß den einschlägigen Gesetzen zustehen können,

10.2.8. Information der betroffenen Person über das Verfahren und die Grundsätze für die Bewerbung bei der Gesellschaft im Rahmen von Artikel 13,

10.2.9. Informieren der betroffenen Person über die Regeln und Grundsätze für die Verarbeitung personenbezogener Daten und die Änderungen der Regeln,

10.2.10. Informieren der betroffenen Person über die vom Unternehmen ergriffenen Maßnahmen zur Sicherheit personenbezogener Daten und über die Ergebnisse der durchgeführten Prüfungen,

10.2.11. Information der betroffenen Person über die Folgen der Nichtbereitstellung personenbezogener Daten.

UMSETZUNG UND ÜBERWACHUNG DER POLITIK
11.1. Diese Richtlinie tritt mit der Genehmigung durch den Vorstand des Unternehmens in Kraft.

11.2. Die Rechtsabteilung des Unternehmens ist für die Umsetzung und Überwachung dieser Richtlinie verantwortlich. Die Direktion für Rechtsangelegenheiten stimmt sich mit den zuständigen Einheiten und Mitarbeitern ab, um die Umsetzung und Überwachung der Richtlinie sicherzustellen.

11.3. Die Direktion für Rechtsangelegenheiten des Unternehmens überprüft diese Richtlinie und die dieser Richtlinie beigefügten KVKK-Verfahren mindestens einmal im Jahr und legt sie dem Vorstand des Unternehmens zur Genehmigung vor.

11.4. Die in dieser Richtlinie und den dieser Richtlinie beigefügten KVKK-Verfahren vorgenommenen Änderungen werden den relevanten Personen innerhalb des Unternehmens von der Rechtsabteilung des Unternehmens mitgeteilt.

11.5. Die Direktion für Rechtsangelegenheiten des Unternehmens ist dafür verantwortlich, Fragen der betroffenen Person oder anderer relevanter Personen zu dieser Richtlinie und den dieser Richtlinie beigefügten KVKK-Verfahren zu beantworten und die erforderlichen Informationen bereitzustellen.

11.6. Diese Richtlinie wird im Archiv des Unternehmens aufbewahrt und auf der Website des Unternehmens veröffentlicht.