Datenschutzbestimmungen

Politik zum Schutz personenbezogener Daten 

1.02 Version vom 2018-06-29

 

1. Umfang und Ziele

Unipartner, ein in Portugal ansässiges Dienstleistungsunternehmen für Informationssysteme und -technologien, das in erster Linie auf die europäischen Märkte ausgerichtet ist, betrachtet den Schutz personenbezogener Daten als einen Schlüsselaspekt seiner gegenwärtigen und künftigen Tätigkeit und sieht ihn als Unterscheidungsmerkmal und Geschäftsfaktor, nicht nur wegen der Bedeutung, die das Vertrauen von Mitarbeitern, Partnern und Kunden für seine Tätigkeit hat, sondern auch, weil diese Praxis einen Angebotsbereich darstellt, der Teil seines Produkt- und Dienstleistungsportfolios ist. 

Diese Datenschutzpolitik wurde mit dem Ziel entwickelt, die Kunden, Mitarbeiter, Unterauftragnehmer und Ansprechpartner von Unipartner über die Grundsätze, Rechte und Pflichten im Bereich des Schutzes personenbezogener Daten zu informieren und darüber, wie diese im Rahmen aller Geschäftstätigkeiten, bei denen personenbezogene Daten verarbeitet werden, und unabhängig von der Rolle von Unipartner (Verantwortlicher, Mitverantwortlicher oder Unterauftragnehmer) bei dieser Verarbeitung einzuhalten sind. 

Die Politik stützt sich auf die oben genannten rechtlichen und technischen Normen, von denen das GDRP aufgrund seiner Besonderheit im Bereich des Schutzes personenbezogener Daten und der Transversalität seiner Anwendung, sowohl materiell als auch territorial, hervorsticht. 

Die Übernahme der Bestimmungen dieser Normen berücksichtigt ihre Anwendbarkeit auf die von Unipartner ausgeübten Tätigkeiten, die vorgenommenen Risikobewertungen und die getroffenen strategischen Entscheidungen, wobei die Rechte ihrer Inhaber, die Nachhaltigkeit von Unipartner und seinen Kunden sowie seine Differenzierung in einem immer anspruchsvolleren, globalen und technologischen Marktumfeld gewährleistet werden. In Bezug auf die ermittelten technischen Standards wird Unipartner die Zertifizierung in den Fällen fortsetzen, in denen die Märkte, in denen das Unternehmen tätig ist, dies erfordern oder in denen dieser Faktor als Unterscheidungsmerkmal wahrgenommen wird, wobei das Unternehmen natürlich nicht darauf verzichtet, die bewährten Praktiken zu übernehmen, die es für den Schutz personenbezogener Daten für relevant und angemessen hält. 

Die Politik ist das Ergebnis einer Diagnose, an der alle internen Bereiche, die wichtigsten externen Partner und Unterauftragnehmer beteiligt waren. Dabei wurde eine Reihe spezifischer Bestimmungen festgelegt, die integraler Bestandteil dieser Politik sind und darauf abzielen, die Operationalisierung der allgemeinen Bestimmungen in den juristischen Diplomen und den technischen Normen zu standardisieren, sowie ein Umsetzungsplan für die identifizierten Maßnahmen, ein operatives Instrument, das unabhängig von dieser Politik beibehalten wird. Die schrittweise Umsetzung der identifizierten Maßnahmen beeinträchtigt nicht die Erfüllung der Verpflichtungen von Unipartner, sondern trägt zur Operationalisierung der Maßnahmen und zur Entwicklung der Reife der Praktiken bei, die effektiver gestaltet werden sollen. 

 

1.1.Was ist der Schutz personenbezogener Daten?  

Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten ist ein Grundrecht. In Artikel 8 Absatz 1 der Charta der Grundrechte der Europäischen Union (Charta) und Artikel 16 Absatz 1 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) ist festgelegt, dass jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten hat. 

Die Grundsätze und Regeln in diesem Bereich zielen darauf ab, die Grundrechte und -freiheiten natürlicher Personen ungeachtet ihrer Staatsangehörigkeit oder ihres Wohnsitzes zu achten, und tragen zu Freiheit, Sicherheit und Gerechtigkeit, zum wirtschaftlichen und sozialen Fortschritt, zur Konsolidierung und Konvergenz der Volkswirtschaften im europäischen Binnenmarkt und zum Wohlergehen der natürlichen Personen bei. 

Unipartner ist für die Einhaltung aller gesetzlichen Verpflichtungen in Bezug auf die Verarbeitung personenbezogener Daten verantwortlich, an der es beteiligt ist, und zwar in dem Umfang, in dem es beteiligt ist (der Grad der Verantwortung wird für jede Verarbeitung personenbezogener Daten einzeln festgelegt). 

Unipartner vergibt Unteraufträge für die Verarbeitung personenbezogener Daten an Partnerunternehmen. Diese Unternehmen können auch als Mitverantwortliche auftreten, wenn sie an der Festlegung der Zwecke und/oder Mittel der Verarbeitung personenbezogener Daten beteiligt sind. 

Unipartner verarbeitet personenbezogene Daten als Unterauftragnehmer von Kundenunternehmen. Es kann auch als Mitverantwortlicher auftreten, wenn es an der Festlegung der Zwecke und/oder Mittel der Verarbeitung personenbezogener Daten mitwirkt. Unipartner haftet für alle Verstöße gegen die für Unternehmen geltenden verbindlichen Vorschriften, die von beteiligten Unternehmen begangen werden, die nicht in der EU ansässig sind, es sei denn, die Tatsache, die den Schaden verursacht hat, ist nicht auf Unipartner zurückzuführen.

​

1.2 Charakterisierung und hauptsächliche Verarbeitung der personenbezogenen Daten 

1.2.1. External Perspective

Unipartner kann im Rahmen der von ihm erbrachten Dienstleistungen und der Projekte, die es mit seinen Partnern und für seine Kunden entwickelt, personenbezogene Daten jeder Kategorie von Personen, jeder Art (einschließlich besonderer Kategorien und Verurteilungen/Straftaten) und zu jedem Zweck verarbeiten, vorausgesetzt, dass alle gesetzlichen Bestimmungen eingehalten werden, und zwar in strikter Übereinstimmung mit den festgelegten Verträgen und dem Grad der übernommenen Verantwortung (im Allgemeinen als Unterauftragnehmer). 

 

1.2.2. Aktivitäten, die nicht unter das GDRP fallen 

Unipartner übt intern keine Tätigkeiten aus, die nicht in den materiellen Anwendungsbereich der DSGVO fallen, d. h. Tätigkeiten, die nicht unter das EU-Recht, die Gemeinsame Außen- und Sicherheitspolitik oder die Ermittlung, Feststellung und Verfolgung von Verstößen und die Vollstreckung strafrechtlicher Sanktionen fallen. 

Aufgrund der Art der von ihr erbrachten Dienstleistungen kann sie jedoch im Rahmen der Geschäftsaktivitäten ihrer Partner und Kunden in die Verarbeitung personenbezogener Daten eingreifen, die unter diese Ausnahmen fallen. Die Bestimmungen der vorliegenden Richtlinie gelten auch in diesen Fällen, sofern sie nicht gegen die spezifischen Regelungen verstoßen, denen diese Verarbeitungen personenbezogener Daten unterliegen. 

​

1.2.3. Zwecke der Verarbeitung personenbezogener Daten 

In Anbetracht der Bedeutung, die der Definition der Behandlungszwecke für die Wirksamkeit aller Systeme bei der Einhaltung der Bestimmungen zukommt, insbesondere der Allgemeingültigkeit der Auslegung und Anwendung in den verschiedenen Tätigkeits- und Lebenskontexten von Partnern/Kunden und Eigentümern, wählt Unipartner einen Ansatz, der auf den folgenden Grundsätzen beruht: 

• Funktional: Die Zwecke der Verarbeitung personenbezogener Daten entsprechen den Zwecken der Geschäftsprozesse, in deren Rahmen diese Behandlungen stattfinden; für Analyse- und Kommunikationszwecke können diese (spezifischen) Zwecke zu (allgemeinen) Zwecken zusammengefasst werden, die den Geschäftsfunktionen entsprechen, in die die Prozesse eingebettet sind (ein Prozess passt zu einer einzigen Funktion); 

• Organisationsübergreifend: Die Ziele werden unabhängig von der Art der Intervention der Organisation in den Prozessen (z. B. Kunde oder Anbieter) auf die gleiche Weise gesehen; ein und dieselbe Organisation kann in verschiedenen Instanzen desselben Prozesses unterschiedliche Rollen spielen und definiert die Ziele in all diesen Fällen auf die gleiche Weise.

In Übereinstimmung mit all diesen Grundsätzen übernimmt Unipartner die konsolidierte Liste der Geschäftsprozesse (LC), die in die vom portugiesischen Staat definierte funktionale Makrostruktur (MEF) integriert ist, als Referenz für die Definition der Zwecke der Verarbeitung personenbezogener Daten. In diesem Sinne entspricht jeder der Prozesse/Zwecke einem einzigen Geschäftsprozess in der LC. 

​

1.2.4. Übermittlung und Bereitstellung von personenbezogenen Daten an Drittländer und internationale Organisationen 

Unipartner respektiert die gesetzlichen Bestimmungen zum Schutz personenbezogener Daten bei Datenübermittlungen in Drittländer und internationale Organisationen und setzt diese durch, insbesondere im Hinblick auf die Entscheidung der Europäischen Kommission über die Eignung des/der betreffenden Landes/Länder im Hinblick auf den Datenschutz oder, falls diese nicht gegeben ist, über die Angemessenheit der Garantien für die Ausübung durchsetzbarer Rechte und wirksamer rechtlicher Abhilfemaßnahmen des/der betreffenden Landes/Länder. 

• Angemessenheitsentscheidung der Kommission (Rechtsstaatlichkeit, unabhängige Aufsichtsbehörden, internationale Verpflichtungen); 

• Angemessene Garantien (ohne Genehmigung: rechtsverbindliches Instrument, verbindliche Vorschriften, Standardklauseln, Verhaltenskodex, Zertifizierung; mit Genehmigung: Vertragsklauseln, Bestimmungen in Verwaltungsvereinbarungen). 

 

1.2.5. Registrierung der Verarbeitung personenbezogener Daten 

Unipartner führt Aufzeichnungen über die Verarbeitung personenbezogener Daten, in die es eingreift, die folgende Elemente enthalten: 

• Zweck der Verarbeitung personenbezogener Daten (Geschäftsprozess); 

• Aufbewahrungszeitraum, Form der Zählung und Endbestimmung der Informationen; 

• Kategorien von Inhabern, personenbezogenen Daten und Empfängern (falls vorhanden); 

• Gemeinsam Verantwortliche/Verantwortliche und Unterauftragnehmer [Unterauftragnehmer] (falls vorhanden); 

• Übermittlung personenbezogener Daten und angemessene Sicherheitsvorkehrungen (falls zutreffend); 

• Vorherige Risikobewertung und Hinweis auf die Folgenabschätzung und vorherige Konsultation der Kontrollbehörde (falls zutreffend); 

• Technische und organisatorische Maßnahmen, die den Risiken angemessen sind. 

 

1.2.6. Interne Sichtweise

Aus interner Sicht unterhält Unipartner Daten über: 

• Arbeitnehmer: Personen, die einen Vertrag direkt mit Unipartner abgeschlossen haben; 

• Unterauftragnehmer: Einzelne Personen, die als Unterauftragnehmer von Unipartner-Partnern tätig sind und hauptsächlich an der Durchführung von Projekten und Dienstleistungen beteiligt sind, aber auch andere Aktivitäten in der Organisation unterstützen können; 

• Partner: Personen, die Funktionen in Partnerunternehmen ausüben und in einer direkten Beziehung zu Unipartner stehen; 

• Kunden: Einzelpersonen, die Funktionen in Kundenunternehmen ausüben und in einer direkten Beziehung zu Unipartner stehen; 

• Kontakte: einzelne Personen, die nicht in die vorherigen Kategorien passen, aber in Zukunft in eine dieser Kategorien fallen könnten (z. B. Bewerber, potenzieller Kunde). 

Unipartner erbringt derzeit keine Dienstleistungen direkt für einzelne Kunden und bietet folglich auch keine Dienste der Informationsgesellschaft für Kinder (unter 16 Jahren) an. 

Die Verarbeitung personenbezogener Daten im Rahmen dieser Perspektive ergibt sich hauptsächlich aus: 

• Gesetzliche Verpflichtung: Einhaltung der gesetzlichen Bestimmungen bei öffentlichen Einrichtungen und Diensten; 

• Vertragsausführung: Abschluss und Ausführung von Verträgen mit Arbeitnehmern, Subunternehmern, Partnern und Kunden; 

• Legitimes Interesse: institutionelle Kommunikation, Vermarktung von Produkten und Dienstleistungen. 

Es gibt auch Behandlungen, die auf lebenswichtigen Interessen und der Einwilligung beruhen. 

Unipartner pflegt und verarbeitet nur personenbezogene Daten, die angemessen, sachdienlich und auf das für die Zwecke erforderliche Maß beschränkt sind. Unipartner verarbeitet keine Daten aus besonderen Kategorien oder Verurteilungen/Straftaten, außer in den folgenden Fällen: 

• Rasse oder ethnische Herkunft, sofern diese anhand des Bildes (z. B. Foto) des Inhabers erkennbar ist; 

• Biometrische Daten (zur Identifizierung), die ausschließlich zur Kontrolle des Zugangs zu den Einrichtungen und zur Anwesenheitskontrolle (falls zutreffend) durch Unipartner und/oder seine Partner/Kunden verwendet werden; 

• Gesundheitsdaten, wenn sie aufgrund einer gesetzlichen Verpflichtung, des lebenswichtigen Interesses des Eigentümers oder Dritter erforderlich sind oder mit deren Zustimmung verarbeitet werden; 

• Verurteilungen/Straftaten, wenn sie gesetzlich vorgeschrieben sind oder mit Zustimmung behandelt werden. 

Unipartner entwickelt Aktivitäten mit Partnern und Kunden, die außerhalb der EU ansässig sind, und achtet dabei auf die Einhaltung und Durchsetzung der für jeden einzelnen Fall geltenden Bestimmungen. 

 

1.3. Rechte der Inhaber

Die Rechte der Inhaber, die im Rahmen des Schutzes personenbezogener Daten zu wahren sind, sind die folgenden: 

• Information: Unterrichtung des Inhabers über Verantwortliche, Zwecke, Kategorien, Empfänger, Garantien, Fristen, Rechte, automatisierte Entscheidungen und Quellen, wenn diese ihm noch nicht bekannt sind, um einen unverhältnismäßigen Aufwand zu vermeiden; 

• Zugang: Geben Sie an, ob Daten verarbeitet werden; wenn ja, gewähren Sie Zugang zu den verarbeiteten Daten und informieren Sie über Zwecke, Kategorien, Empfänger, Garantien, Fristen, Rechte, automatisierte Entscheidungen; auf Wunsch stellen Sie weitere Kopien zur Verfügung (kann kostenpflichtig sein); 

• Berichtigung: Berichtigung unrichtiger oder unvollständiger Daten, die verarbeitet werden, ohne unangemessene Verzögerung; 

• Löschung: Löschung der Daten ohne unnötige Verzögerung, wenn sie nicht erforderlich sind, ohne Zustimmung, Widerspruch, unerlaubte Handlung, rechtliche Verpflichtung und Dienste der Informationsgesellschaft, ausgenommen freie Meinungsäußerung und Informationsfreiheit, rechtliche Verpflichtung, öffentliche Gesundheit, Akte des öffentlichen Interesses, wissenschaftliche/historische oder statistische Untersuchungen oder Erklärungen, Ausübung oder Verteidigung von Rechten in Gerichtsverfahren; Unterrichtung der Verantwortlichen, wenn Daten übermittelt oder veröffentlicht werden, wobei angemessene Maßnahmen ergriffen werden, außer bei unverhältnismäßigem Aufwand; 

• Übertragbarkeit: Übermittlung der Daten an den Inhaber oder einen anderen Verantwortlichen in einem strukturierten, gängigen und automatisch lesbaren Format, wenn die Verarbeitung automatisiert ist und eine Einwilligung vorliegt; gilt nicht für die Verarbeitung im öffentlichen Interesse oder bei Behörden; 

• Einwilligung: Behandlung oder Unterbrechung der Behandlung; die Einwilligung muss frei, in Kenntnis der Sachlage, spezifisch und ausdrücklich erfolgen; wenn ein Kind und ein Dienst der Informationsgesellschaft in Anspruch genommen werden, ist die Einwilligung oder Genehmigung des Inhabers der elterlichen Rechte erforderlich, wobei die verfügbaren Technologien zu berücksichtigen sind; 

• Einschränkung: Beschränkung der Behandlungen auf Aufbewahrung, Einwilligung, Erklärung, Ausübung oder Verteidigung von Rechten in Gerichtsverfahren oder öffentlichem Interesse im Falle von Unrichtigkeit, Unrechtmäßigkeit, Unnötigkeit oder Widerspruch; Benachrichtigung der Empfänger, wenn Daten übermittelt wurden, um unverhältnismäßigen Aufwand zu vermeiden; 

• Widerspruch: Einstellung von Behandlungen aufgrund der besonderen Situation des Inhabers, wenn dies durch ein öffentliches Interesse oder eine Befugnis, ein berechtigtes Interesse oder eine Vereinbarkeit, einschließlich Direktmarketing, gerechtfertigt ist, außer aus zwingenden Gründen oder zur Erklärung, Ausübung oder Verteidigung in einem Gerichtsverfahren; bei wissenschaftlichen/historischen oder statistischen Untersuchungen bleibt das öffentliche Interesse vorbehalten; 

• Nicht ausschließliche Unterwerfung: Sicherstellung des menschlichen Eingriffs in eine automatisierte Entscheidung mit Wirkungen in der Rechts- oder ähnlichen Sphäre des Inhabers, mit Ausnahme der Ausführung eines Vertrags, die durch das Recht des Mitgliedstaats oder der Union oder mit Zustimmung erlaubt ist; bei besonderen Kategorien, außer bei Zustimmung und öffentlichem Interesse; 

• Beschwerde: Beanspruchen Sie die Aufsichtsbehörde über den Verantwortlichen/Auftragnehmer; 

• Rechtliche Schritte: Einleitung rechtlicher Schritte gegen die Aufsichtsbehörde oder den Verantwortlichen bzw. den Unterauftragnehmer. 

​

1.4. Datenerhaltung und ergänzende Behandlungen

Die Aufbewahrung personenbezogener Daten und die zusätzlichen Behandlungen, denen diese Daten unterworfen werden können, ergeben sich aus spezifischen Aspekten des Geschäftskontextes, in dem sie hauptsächlich verarbeitet wurden. Der Schutz personenbezogener Daten in diesen Phasen erfordert einen systematischen Ansatz, der von allen Stellen, die an diesen Hauptprozessen beteiligt waren oder die als Empfänger Zugang zu ihnen hatten, einheitlich angewandt werden kann. 

​

1.4.1. Ansatz für das Informationsmanagement 

Die im Rahmen der Geschäftsaktivitäten von Unipartner und Partnern/Kunden, in die Unipartner eingreift, erfassten/produzierten Informationen werden nach gemeinsamen, anhand von Kriterien definierten Regeln verwaltet: 

• Funktional, entsprechend dem Geschäftsprozess, in dessen Rahmen die Informationen erfasst/produziert werden, sowie dem Kontext, in den dieser Geschäftsprozess eingebunden ist; daher sind thematische, typologische und/oder organische Kriterien ausgeschlossen, die zwar häufig verwendet werden, aber auf spezifischen Gesichtspunkten beruhen oder flüchtiger sind als die von der Organisation durchgeführten Prozesse; 

• Supra-organisatorisch, insofern als sie unabhängig von der Art der Beteiligung der Organisation an den Prozessen (z.B. Kunde oder Anbieter) gleichermaßen gelten; 

• Werte, wobei für jede Phase des Informationslebenszyklus (Kontinuum) die primären und sekundären Werte festgelegt werden; es soll sichergestellt werden, dass wertvolle Informationen erhalten bleiben, während nicht wertvolle Informationen eliminiert werden, wodurch ein effizienter Einsatz von Ressourcen und eine größere Effektivität beim Management der zugrunde liegenden Risiken gewährleistet wird. 

Die personenbezogenen Daten sind Bestandteil dieser Informationen und werden (im Allgemeinen) für die Zeiträume aufbewahrt, die für die Prozesse, auf die sie sich beziehen, festgelegt wurden, da sie unter Berücksichtigung der jeweiligen Hauptverarbeitungszwecke, die ihre Erhebung rechtfertigen, als notwendig erachtet werden, und ergänzend, wenn die Rechte, Freiheiten, Pflichten und/oder Verantwortlichkeiten, die sich aus den Hauptbehandlungen ergeben, überwiegen (einschließlich Erklärung, Ausübung oder Verteidigung von Rechten in Gerichtsverfahren). 

Personenbezogene Daten können länger aufbewahrt werden, wenn dies für Archivierungszwecke von öffentlichem Interesse, für wissenschaftliche oder historische Forschung oder für statistische Zwecke erforderlich ist. 

​

1.4.2. Lebenszyklus von Informationen 

Daher werden die folgenden Phasen des Lebenszyklus von Informationen berücksichtigt: