Xopero ONE

Richtlinie zum Schutz personenbezogener Daten

im Unternehmen

„XOPERO SOFTWARE“ S.A.

(Aktiengesellschaft)

MIT SITZ IN GORZÓW WLKP., POLEN

DOKUMENTVERSION: 2.0

INKRAFTTRETEN (Version 1.0): 05.02.2018

INKRAFTTRETEN (Version 2.0): 02.01.2023

NÄCHSTES PRÜFDATUM: 31.01.2025

HINWEIS:

Diese deutsche Fassung der Richtlinie zum Schutz personenbezogener Daten dient ausschließlich zu Informationszwecken. Rechtsverbindlich ist ausschließlich die polnische Fassung dieses Dokuments.

KAPITEL I: RICHTLINIEN

§ 1.

ZWECK DER RICHTLINIE ZUM SCHUTZ PERSONENBEZOGENER DATEN

1. Die Richtlinie zum Schutz personenbezogener Daten wurde im Zusammenhang mit den Anforderungen der Verordnung (EU) Nr. 679/2016 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) erstellt.

2. Die Definitionen der wichtigsten Begriffe in diesem Dokument sind wie folgt festgelegt:

1. Richtlinie oder PDPP – diese Richtlinie zum Schutz personenbezogener Daten.

2. Das Unternehmen – bezeichnet XOPERO SOFTWARE mit Sitz in Gorzów Wlkp., ul. Franciszka Walczaka 3, Gorzów Wlkp., Postleitzahl: 66-400, eingetragen im Unternehmerregister des Nationalen Gerichtsregisters unter der KRS-Nr. 0000684240, NIP-Nr. 599-306-66-03, REGON-Nr. 080285693.

3. Personenbezogene Daten – Informationen über eine identifizierte oder identifizierbare natürliche Person (betroffene Person); als identifizierbar gilt eine natürliche Person, die direkt oder indirekt identifiziert werden kann, insbesondere anhand einer Kennung wie eines Namens, einer Kennnummer, von Standortdaten, einer Online-Kennung oder eines oder mehrerer spezifischer Merkmale, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.

4. Verarbeitung – jeder Vorgang oder jede Reihe von Vorgängen, der bzw. die mit oder ohne Hilfe automatisierter Verfahren an personenbezogenen Daten oder einer Menge personenbezogener Daten ausgeführt wird, wie das Erheben, Erfassen, die Organisation, das Ordnen, die Speicherung, Anpassung oder Veränderung, das Auslesen, Abfragen, die Verwendung, Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung

5. Datensystem – jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich ist, unabhängig davon, ob sie zentralisiert, dezentralisiert oder funktional bzw. geografisch verteilt geführt wird

§ 2.

DIE WESENTLICHEN GRUNDSÄTZE

Das Unternehmen führt diese Richtlinie ein, um darüber zu informieren, dass die vom Unternehmen verarbeiteten personenbezogenen Daten:

1. rechtmäßig, fair und transparent gegenüber der betroffenen Person verarbeitet werden;

2. für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverarbeitet werden;

3. angemessen, relevant und auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind;

4. sachlich richtig und erforderlichenfalls auf dem neuesten Stand gehalten werden;

5. in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist;

6. in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, Vernichtung oder Beschädigung, durch geeignete technische oder organisatorische Maßnahmen

§ 3.

EINWILLIGUNG ZUR VERARBEITUNG PERSONENBEZOGENER DATEN

1. Die Verarbeitung personenbezogener Daten durch das Unternehmen erfolgt im Grundstandard auf Basis der Einwilligung der betroffenen Person.

2. Die Einwilligung kann schriftlich oder auf dem Weg der Fernkommunikation erteilt werden

3. Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Der Widerruf der Einwilligung berührt jedoch nicht die Rechtmäßigkeit der Verarbeitung, die aufgrund der Einwilligung vor dem Widerruf erfolgt ist.

4. Die Verarbeitung personenbezogener Daten durch das Unternehmen erfolgt in dem Umfang, der für die Erfüllung des Vertrags erforderlich ist, an dem die betroffene Person beteiligt ist, oder um auf Anfrage der betroffenen Person vor Vertragsabschluss entsprechende Schritte einzuleiten.

5. Die Einwilligung zur Verarbeitung personenbezogener Daten darf nur von einer Person erteilt werden, die das gesetzliche Alter (über 18 Jahre) erreicht hat. Im Namen einer Person unter 18 Jahren erteilen die gesetzlichen Vertreter die Einwilligung.

§ 4.

ANDERE GRUNDLAGEN FÜR DIE DATENVERARBEITUNG

Das Unternehmen verarbeitet personenbezogene Daten auch in folgenden Fällen:

1. die Verarbeitung für die Erfüllung eines Vertrags erforderlich ist, an dem die betroffene Person beteiligt ist, oder um auf Anfrage der betroffenen Person vor Vertragsabschluss entsprechende Schritte einzuleiten;

2. die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt;

3. die Verarbeitung erforderlich ist, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

4. die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

5. die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen – insbesondere wenn die betroffene Person ein Kind ist.

§ 5.

ZUGANG ZU PERSONENBEZOGENEN DATEN

1. Die betroffene Person hat das Recht, von dem Unternehmen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, hat die betroffene Person das Recht auf Zugang zu diesen Daten sowie auf folgende Informationen:

1. die Zwecke der Verarbeitung;

2. die Kategorien der verarbeiteten personenbezogenen Daten;

3. Informationen über die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt wurden oder werden, insbesondere über Empfänger in Drittländern oder internationalen Organisationen;

4. falls möglich, die geplante Speicherdauer der personenbezogenen Daten oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

5. sofern die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über deren Herkunft;

6. das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling sowie – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik, die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

2. Das Unternehmen stellt eine Kopie der verarbeiteten personenbezogenen Daten zur Verfügung. Für weitere Kopien, die von der betroffenen Person angefordert werden, kann der Verantwortliche eine angemessene Gebühr auf der Grundlage der Verwaltungskosten erheben.

3. Stellt die betroffene Person den Antrag auf elektronischem Weg, werden die Informationen – sofern von der betroffenen Person nicht anders gewünscht – in einem gängigen elektronischen Format bereitgestellt.

§ 7.

BERICHTIGUNG PERSONENBEZOGENER DATEN

Die betroffene Person hat das Recht, die unverzügliche Berichtigung sie betreffender unrichtiger personenbezogener Daten zu verlangen. Unter Berücksichtigung der Zwecke der Verarbeitung hat die betroffene Person das Recht, die Vervollständigung unvollständiger personenbezogener Daten zu verlangen – auch durch Abgabe einer ergänzenden Erklärung.

§ 8.

RECHT AUF LÖSCHUNG

(„RECHT AUF VERGESSENWERDEN“)

1. Die betroffene Person hat das Recht, die unverzügliche Löschung sie betreffender personenbezogener Daten zu verlangen. Das Unternehmen ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, wenn einer der folgenden Umstände vorliegt:

1. Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr erforderlich.

2. Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung stützt, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.

3. Die betroffene Person widerspricht der Verarbeitung und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor.

4. Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

5. Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Recht der Europäischen Union oder dem polnischen Recht erforderlich.

6. Die personenbezogenen Daten wurden im Zusammenhang mit dem Angebot von Diensten der Informationsgesellschaft erhoben.

2. Hat das Unternehmen die personenbezogenen Daten öffentlich gemacht und ist es gemäß den oben genannten Bestimmungen zu deren Löschung verpflichtet, trifft das Unternehmen unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen – einschließlich technischer Maßnahmen –, um alle anderen Verantwortlichen, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass die betroffene Person die Löschung aller Links zu diesen Daten, Kopien dieser Daten oder deren Replikationen verlangt hat.

3. Das Unternehmen hat das Recht, die Löschung aller oder eines Teils der personenbezogenen Daten zu verweigern, wenn deren Verarbeitung unerlässlich ist:

1. zur Ausübung des Rechts auf freie Meinungsäußerung und Information;

2. zur Erfüllung einer rechtlichen Verpflichtung, die eine Verarbeitung nach dem für das Unternehmen geltenden Recht erfordert;

3. zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

KAPITEL II: WESENTLICHE REGELUNGEN

§ 9.

PERSONEN, DIE AN DER VERARBEITUNG PERSONENBEZOGENER DATEN BETEILIGT SIND

1. Der Verantwortliche für personenbezogene Daten

Der Verantwortliche für personenbezogene Daten ist:

Name:

XOPERO SOFTWARE S.A.

Rechtsform:

Aktiengesellschaft nach polnischem Recht

Steuer-ID-Nr. [NIP-Nr.]:

599-306-66-03

REGON [Statistiknummer]:

080285693

Nationales Gerichtsregister [KRS-Nr.]:

0000684240

Adresse:

ul. Franciszka Walczaka 3

Gorzów Wlkp., Postleitzahl: 66-400

2. Die zur Verarbeitung personenbezogener Daten bevollmächtigte Person

1. Das Unternehmen führt Aufzeichnungen über Personen, die zur Verarbeitung personenbezogener Daten bevollmächtigt sind, mit Angabe der Zwecke der jeweiligen Bevollmächtigung und der Dateien mit personenbezogenen Daten, auf die sich die Bevollmächtigung bezieht.

2. Die Aufzeichnungen über zur Verarbeitung personenbezogener Daten bevollmächtigte Personen werden schriftlich geführt und können auch in elektronischer Form geführt werden. Die schriftliche Form ist als Anlage 1 zur Richtlinie beigefügt (nur in polnischer Sprache).

3. Die Bevollmächtigung wird vom Vorstand des Unternehmens schriftlich erteilt und widerrufen. Die Vorlage für die Bevollmächtigung ist als Anlage 2 zur Richtlinie beigefügt (nur in polnischer Sprache).

3. Datenschutzbeauftragter (DSB)

1. Ein DSB wird bestellt, da das Unternehmen personenbezogene Daten aus vielen Quellen verarbeitet und Dienstleistungen für zahlreiche Parteien erbringt. Die Professionalisierung der Datenschutzfragen ist daher vollumfänglich gerechtfertigt.

2. Der Datenschutzbeauftragte wird vom Vorstand des Unternehmens für eine Amtszeit von mindestens 5 Jahren bestellt. Der DSB berichtet direkt an den Vorstand des Unternehmens.

3. Der DSB wird unmittelbar in alle Angelegenheiten zum Schutz personenbezogener Daten einbezogen.

4. Der Datenschutzbeauftragte erhält keine Weisungen bezüglich der Erfüllung seiner Aufgaben. Er wird nicht entlassen oder sanktioniert, weil er seine Aufgaben erfüllt.

5. Betroffene Personen können den Datenschutzbeauftragten in allen Angelegenheiten kontaktieren, die die Verarbeitung personenbezogener Daten sowie die Ausübung ihrer Rechte betreffen.

6. Der Datenschutzbeauftragte ist verpflichtet, in Bezug auf die wahrgenommenen Aufgaben Vertraulichkeit zu wahren.

7. Die Vorlage für die Bevollmächtigung ist als Anlage 3 zur Richtlinie beigefügt (nur in polnischer Sprache).

4. Auftragsverarbeiter

1. Das Unternehmen darf die Verarbeitung personenbezogener Daten einem anderen Unternehmen nur auf der Grundlage eines schriftlich oder elektronisch geschlossenen Vertrags übertragen, der den Anforderungen gemäß Art. 28 DSGVO entspricht.

2. Vor der Übertragung der Verarbeitung personenbezogener Daten holt der Verantwortliche, soweit möglich, Informationen über die bisherigen Praktiken des Auftragsverarbeiters zum Schutz personenbezogener Daten ein.

3. Die Liste der Auftragsverarbeiter, mit denen wir zusammenarbeiten, ist als Anlage 4 zur Richtlinie beigefügt (nur in polnischer Sprache).

§ 10.

ARTEN DER VERARBEITETEN

PERSONENBEZOGENEN DATEN

1. Das Unternehmen verarbeitet in verschiedenen Situationen die folgenden Arten personenbezogener Daten oder kann diese verarbeiten:

1. Vor- und Nachname,

2. Persönliche Identifikationsnummer;

3. Begrenzte Finanzdaten;

4. Kontaktdaten: Telefonnummern, E-Mail-Adressen, Postanschriften usw.;

5. IP-Adressen.

2. Die Verarbeitung anderer als der oben genannten Daten ist nicht verboten, muss jedoch in jedem Fall entweder auf der Grundlage der in Abschnitt I Punkt III genannten Einwilligung oder auf einer der anderen in Abschnitt I Punkt IV genannten Rechtsgrundlagen erfolgen.

§ 11.

ABLAGESYSTEME PERSONENBEZOGENER DATEN

1. Das Unternehmen gliedert die gespeicherten und verarbeiteten personenbezogenen Daten in Ablagesysteme, die anhand des Hauptmerkmals der betroffenen Person, des Inhalts des Systems oder der Methode zur Datenbeschaffung für ein bestimmtes System erstellt werden.

2. Nur Personen, die zur Verarbeitung eines bestimmten Ablagesystems berechtigt sind, erhalten Zugang dazu.

3. Die Liste der Ablagesysteme ist als Anlage 5 zur Richtlinie beigefügt (nur in polnischer Sprache).

§ 12.

SPEICHERUNG PERSONENBEZOGENER DATEN UND IT-SYSTEME

1. Im Rahmen der Verarbeitung personenbezogener Daten nutzt das Unternehmen folgende Datenträger:

1. Papierdokumentation;

2. Festplatten verschiedener Bauformen;

3. Mobiltelefone;

4. USB-Sticks;

5. DVD-/CD-Datenträger.

2. IT-Systeme und Computerprogramme, die genutzt werden oder künftig genutzt werden sollen:

1. Online-Postfächer;

2. Webanwendungen;

3. Office-Pakete.

§ 13.

RÄUME, IN DENEN PERSONENBEZOGENE DATEN VERARBEITET WERDEN

1. In Bezug auf organisatorische und technische Sicherheitsmaßnahmen gilt diese Richtlinie für den eingetragenen Sitz des Unternehmens sowie für alle Immobilien unter seiner direkten Kontrolle.

2. Das Gebäude, in dem sich die Räume zur Verarbeitung personenbezogener Daten befinden, wird rund um die Uhr von einem professionellen externen Sicherheitsdienst bewacht. Die Eingangstür des Gebäudes ist von 21:00 bis 06:00 Uhr geschlossen; der Zutrittsschlüssel ist ausschließlich über den Sicherheitsdienst erhältlich. Außerhalb der Geschäftszeiten haben nur autorisierte Personen Zugang zu den Büros.

3. Das Gebäude, sein unmittelbares Umfeld sowie die gemeinschaftlich genutzten Innenbereiche (Treppenhäuser, Flure) werden durch eine audiovisuelle Überwachungsanlage erfasst. Die Aufzeichnungen werden 30 Tage lang gespeichert.

4. Die Kamera ist im Flur des Unternehmens installiert; die Aufzeichnungen werden 90 Tage lang gespeichert.

5. Innerhalb der vom Unternehmen genutzten Räumlichkeiten sind thematische Bereiche eingerichtet, die durch Wände und abschließbare Türen voneinander getrennt sind. Die Bereiche gliedern sich wie folgt:

1. Büro- und Verwaltungsabteilung.

2. Technische Abteilung.

3. Entwicklungsabteilung.

4. Vertriebsabteilung.

6. Das Unternehmen hat eine Schlüsselverwaltungsrichtlinie eingeführt, die darauf abzielt, den Zugang zu bestimmten Bereichen auf autorisierte Personen zu beschränken.

KAPITEL III: MITARBEITER

Dieser Abschnitt widmet sich den besonderen Regeln zur Verarbeitung personenbezogener Daten von Mitarbeitern. In nicht geregelten Bereichen gelten die Bestimmungen der Abschnitte I und II der Richtlinie.

§ 14.

ART DER PERSONENBEZOGENEN DATEN DER MITARBEITER

Das Unternehmen verarbeitet folgende Arten personenbezogener Daten der Mitarbeiter:

1. Name und Nachname;

2. Kontaktdaten;

3. Identifikationsnummer;

4. Bankkontonummer;

5. Familiendaten;

6. Grundlegende Gesundheitsdaten;

7. Beschäftigungshistorie

8. Ausbildung,

9. Persönliche Interessen.

§ 15.

ARTEN DER ABLAGE-SUBSYSTEME, DIE PERSONENBEZOGENE DATEN DER MITARBEITER ENTHALTEN

1. Das Unternehmen unterteilt die Ablagesysteme für Mitarbeiterdaten in Subsysteme, die anhand eines charakteristischen Schlüsselmerkmals erstellt werden – basierend auf dem Inhalt des jeweiligen Subsystems oder der Methode der Datenbeschaffung für dieses Subsystem.

2. Nur Personen, die zur Verarbeitung eines bestimmten Subsystems berechtigt sind, erhalten darauf Zugriff.

3. Im Unternehmen wurden folgende Subsysteme eingerichtet:

1. Personalakten,

2. Lohnabrechnungen,

3. Anwesenheitslisten,

4. Arbeitszeitregister,

5. Register der Disziplinarstrafen.

§ 16.

SPEICHERUNG PERSONENBEZOGENER DATEN DER MITARBEITER UND COMPUTERSYSTEME

Zusätzliche IT-Systeme und Computerprogramme, die bei der Verarbeitung personenbezogener Daten der Mitarbeiter eingesetzt werden oder eingesetzt werden sollen:

a) Płatnik;

§ 17.

RÄUME, IN DENEN PERSONENBEZOGENE DATEN DER MITARBEITER VERARBEITET WERDEN

1. Personenbezogene Daten der Mitarbeiter können im Rahmen der Büro- und Verwaltungsabteilung verarbeitet werden.

2. Die Weitergabe personenbezogener Daten der Mitarbeiter an Dritte zur Verarbeitung – an ein externes Buchhaltungs- oder Personaldienstleistungsunternehmen – ist zulässig.

§ 18.

TÄTIGKEITEN ZUR VERARBEITUNG PERSONENBEZOGENER DATEN DER MITARBEITER

Die Liste der durchgeführten Verarbeitungstätigkeiten samt Beschreibung:

1. Personalgewinnung – Erfassung eines Lebenslauf-Fragebogens, Anschreibens sowie der Einwilligung zur Verarbeitung personenbezogener Daten.

2. Einstellung – Abschluss des Arbeitsvertrags, arbeitsmedizinische Voruntersuchung, Arbeitsschutzschulung, Mitarbeiterfragebogen.

3. Arbeitsausführung – Überprüfung der Anwesenheit, Erfassung der Arbeitszeit, Auszahlung von Gehältern, Erfüllung öffentlich-rechtlicher Verpflichtungen, Überwachung der Mitarbeiterpflichten, Urlaubsverwaltung.

4. Beendigung des Arbeitsverhältnisses – Ausstellung eines Arbeitszeugnisses, Auszahlung ausstehender Leistungen.

§ 19.

PERSONALGEWINNUNG

1. Die Personalgewinnung erfolgt durch das Schalten einer Anzeige auf einer ausgewählten Website – wobei das Unternehmen die Rekrutierung direkt oder mithilfe Dritter durchführen kann.

2. Anhand der eingereichten Unterlagen werden die Bewerber vorausgewählt.

3. Ausgewählte Personen werden zu Vorstellungsgesprächen in die Unternehmenszentrale eingeladen.

4. Das Gespräch wird vom Vorstand und der Leitung der Abteilung geführt, für die die Stelle besetzt wird.

5. Es kommt vor, dass Bewerber nach mehreren Vorstellungsgesprächen zu einem weiteren Gespräch eingeladen werden.

§ 20.

BESCHREIBUNG DER TÄTIGKEITEN IM ZUSAMMENHANG MIT DER BEENDIGUNG DES ARBEITSVERHÄLTNISSES

1. Nach Beendigung des Arbeitsverhältnisses wird unverzüglich ein Arbeitszeugnis ausgestellt.

2. Personalakten werden am Sitz des Unternehmens archiviert. Das E-Mail-Konto wird deaktiviert, die Zugangskarte neu programmiert und die Daten aus dem Zeiterfassungsgerät gelöscht.

§ 21.

VOM ARBEITNEHMER WÄHREND DES BESCHÄFTIGUNGSVERHÄLTNISSES ERFORDERLICHE DOKUMENTE

1. Vom Arbeitnehmer während der Beschäftigung erforderliche Dokumentenarten:

1. Arbeitszeugnisse,

2. Diplome,

3. sonstige Zertifikate.

2. Erklärungen zu familienversicherten Angehörigen für Versicherungsanträge

3. Ärztliches Attest über das Fehlen von Gegenanzeigen für die ausgeübte Tätigkeit

4. Erklärung zur Behinderung, zur Zugehörigkeit zur NFZ-Filiale, zur zuständigen Steuerbehörde, zur Inanspruchnahme des Kinderbetreuungsrechts, zur Kenntnisnahme der Arbeitsschutzvorschriften und der internen Regelungen.

5. Dokumente werden in der Verwaltungsabteilung des Unternehmens ausgefüllt und anschließend an die Personalabteilung des externen HR-Dienstleisters weitergeleitet. Dort werden Personalakten angelegt und in Papierform geführt. Die Personalakten werden in einem Panzerschrank aufbewahrt.

§ 22.

FÜHRUNG DES REGISTERS FÜR DAS VERLASSEN DES ARBEITSPLATZES UND DER ANWESENHEITSLISTE

Das Register der Ausgänge außerhalb des Arbeitsplatzes wird in Papierform geführt und befindet sich in der Verwaltungsabteilung.

Die Anwesenheit wird per Magnetkarte oder Magnetschlüsselanhänger bestätigt.

Zusätzlich gibt es persönliche Anwesenheitslisten in Papierform.

§ 23.

GEHALTSABRECHNUNGEN

1. Die Gehaltsabrechnungen sind so geheftet, dass sie ohne Beschädigung nicht gelesen werden können

2. Aushändigung ausschließlich einzeln durch eine autorisierte Person.

KAPITEL IV: UMSETZUNG DER PFLICHTEN DES VERANTWORTLICHEN FÜR DIE VERARBEITUNG PERSONENBEZOGENER DATEN

§ 24.

FORMEN DER ERFÜLLUNG VON INFORMATIONSPFLICHTEN GEGENÜBER DER BETROFFENEN PERSON

Formen der Informationsbereitstellung für die betroffene Person:

1. Auf der Website;

2. Schriftlich

3. per E-Mail

4. per Telefon.

§ 25.

MITTEL ZUR ERFÜLLUNG VON INFORMATIONSPFLICHTEN GEGENÜBER DER BETROFFENEN PERSON

In der DSGVO vorgesehene Mittel zur Informationsbereitstellung:

1. ein gesonderter Bereich auf der Website,

2. ein dediziertes Dokument – eine Informationskarte, verfügbar auf der Website und gleichzeitig beim Herunterladen personenbezogener Daten und der Einwilligung zu deren Verarbeitung.

3. in Einzelfällen – persönlich, per E-Mail oder telefonisch durch den DSB.

§ 26.

METHODEN ZUR EINHOLUNG DER GENEHMIGUNG FÜR DIE VERARBEITUNG PERSONENBEZOGENER DATEN

Formen und Methoden der Einwilligungseinholung:

1. Elektronisches Formular.

2. Telefon.

3. Papierformular.

Der Widerruf der Einwilligung zur Verarbeitung personenbezogener Daten ist in jeder der oben genannten Formen möglich.

§ 27.

VERFAHREN ZUR ÜBERPRÜFUNG DER IDENTITÄT DES ANTRAGSTELLERS

Beschreibung der Methoden zur Identitätsprüfung des Antragstellers:

1. Bei persönlichem Kontakt – Aufforderung zur Vorlage eines Ausweisdokuments, ohne das Recht, es einzubehalten oder zu kopieren.

2. Bei Fernkontakt – Fragen zu charakteristischen und individuellen Merkmalen des Kontos (z. B. Benutzername, Dienstname, Projektname, E-Mail-Adresse)

§ 28.

VERFAHREN ZUR BEARBEITUNG VON ANTRÄGEN IM ZUSAMMENHANG MIT DER WAHRNEHMUNG VON RECHTEN

Beschreibung der Ausübung von Rechten im Zusammenhang mit dem Datenschutz:

1. Einreichung eines Antrags beim DSB.

2. Annahme des Antrags.

3. Überprüfung der Identität der antragstellenden Person

4. Prüfung des Antrags – bis zu 30 Tagen.

5. Möglichkeit der Verlängerung der Antragsfrist auf 90 Tage

6. Entscheidungsfindung

7. Umsetzung der Entscheidung

§ 29.

VERFAHREN ZUR MELDUNG EINER VERLETZUNG DES SCHUTZES PERSONENBEZOGENER DATEN AN DIE AUFSICHTSBEHÖRDE

1. Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche diese unverzüglich – sofern möglich, spätestens 72 Stunden nach Bekanntwerden des Verstoßes – der zuständigen Aufsichtsbehörde gemäß Artikel 55 der DSGVO, dem Präsidenten des Amtes für den Schutz personenbezogener Daten.

2. Stellt der Verantwortliche fest, dass der identifizierte Verstoß voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt, ist eine Meldung gemäß Absatz 1 nicht erforderlich. In diesem Fall erstellt der Verantwortliche einen Risikobewertungsbericht für die Akten.

3. Ist die Meldung gemäß Absatz 1 innerhalb von 72 Stunden nicht möglich, übermittelt der Verantwortliche die Meldung so bald wie möglich und fügt der nach Ablauf der 72 Stunden an die Aufsichtsbehörde übermittelten Meldung eine schriftliche Begründung für die Verzögerung bei.

4. Die Meldung gemäß Punkt 1 muss mindestens:

1. die Art der Datenschutzverletzung beschreiben, einschließlich – soweit möglich – der Kategorien und der ungefähren Anzahl der betroffenen Personen sowie der Kategorien und der ungefähren Anzahl der betroffenen personenbezogenen Datensätze;

2. den Namen und die Kontaktdaten des Datenschutzbeauftragten oder eine andere Anlaufstelle enthalten, bei der weitere Informationen eingeholt werden können;

3. die möglichen Folgen der Verletzung des Schutzes personenbezogener Daten beschreiben;

4. die vom Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten beschreiben, einschließlich gegebenenfalls Maßnahmen zur Minimierung möglicher negativer Auswirkungen.

5. Jeder festgestellte Fall einer Verletzung des Schutzes personenbezogener Daten wird im Datenschutzverletzungsregister des Verantwortlichen erfasst.

KAPITEL V: REGISTER UND AUFZEICHNUNGEN

§ 30.

DAS REGISTER DER VERARBEITUNGSTÄTIGKEITEN PERSONENBEZOGENER DATEN

Das Unternehmen führt laufend ein Register der Verarbeitungstätigkeiten personenbezogener Daten, das als Anlage 6 zur Richtlinie beigefügt ist (nur in polnischer Sprache).

§ 31.

DAS REGISTER DER VERLETZUNGEN DES SCHUTZES PERSONENBEZOGENER DATEN

Das Unternehmen führt laufend ein Register der Verletzungen des Schutzes personenbezogener Daten, das als Anlage 7 zur Richtlinie beigefügt ist (nur in polnischer Sprache).

§ 32.

DAS REGISTER DER ZUR VERARBEITUNG PERSONENBEZOGENER DATEN BEFUGTEN PERSONEN

Das Unternehmen führt ein Register der zur Verarbeitung personenbezogener Daten befugten Personen, das als Anlage 1 zur Richtlinie beigefügt ist (nur in polnischer Sprache).

KAPITEL VI: SICHERHEITSMASSNAHMEN

§ 33.

MASSNAHMEN ZUM SCHUTZ PERSONENBEZOGENER DATEN AUSSERHALB VON INFORMATIONSSYSTEMEN

1. Geeignete Schlösser

2. Magnetische Zugangskarten

3. Zugangskontrollsystem für Räume

4. Physisch eingeschränkter Zugang zu Servern und Netzwerkinfrastruktur

5. Physischer Schutz

6. Videoüberwachung (CCTV)

7. Alarmsysteme

8. 24/7-Überwachung des Alarmsignals

9. Eingeschränkter Zugang zu den Alarm-Deaktivierungscodes

10. Schlüsselverwaltung für Räume

11. Schlüsselverwaltung für die Kasse

12. Schränke, Tresor, Safes

13. Clean-Desk-Richtlinie

14. Die richtige Einstellung eines Monitors

15. Die korrekte Übertragung von Dokumenten

§ 34.

SCHUTZMASSNAHMEN FÜR PERSONENBEZOGENE DATEN IN INFORMATIONSSYSTEMEN

1. Angemessene Passwortrichtlinie

2. Eine separate Kennung für jeden Benutzer im Informationssystem

3. Einsatz von Software zur Verwaltung von Benutzerkonten

4. Sperrung der Vergabe derselben ID an eine andere Person

5. Systemzugriff nur nach Eingabe von Anmeldedaten

6. Gerätezugriff nach Eingabe von Benutzername und Passwort

7. Einschränkung des Benutzerzugriffs auf bestimmte Ressourcen

8. Automatische Abmeldung vom System nach einer festgelegten Inaktivitätsdauer

9. Anwendungsqualitätsprüfung (Code-Review, Black-Box-Tests, Belastungstests)

10. Antivirenprogramme und Scanner

11. Firewall

12. Proxy

13. DNS

14. Phishing-Schutz

15. Schutz vor Cross-Site-Scripting-Angriffen

16. Schutz vor Cross-Site-Request-Forgery

17. Schutz vor SQL-Injection-Angriffen

18. Einsatz von VNC, RConsole, TeamViewer (mit entsprechender Absicherung)

19. Regelmäßige Software-Updates

20. Durchführung von Datensicherungen

21. Erstellung von Programm-Backups

22. Erstellung von Server-Backups

23. Standardisierung der Hardware

24. Standardisierung der Software

25. Kontrolle der installierten Software

26. Pseudonymisierung