Kostenloses E-Book – EU-Richtlinie zur Lohntransparenz.

Details anzeigen
Vereinbaren Sie einen Termin für eine Demo

Datenschutzerklärung

 EINLEITUNG
  • Die vorliegende Datenschutzerklärung bildet zusammen mit ihren Anhängen die bei WinWin Sp. z o.o., dem Betreiber des WinWin-Systems und der WinWin-App (das Unternehmen), geltende Dokumentation hinsichtlich der Umsetzung, Einhaltung und Überprüfung der Grundsätze zum Schutz personenbezogener Daten.
  • Jede Person, die für die Umsetzung, Aufrechterhaltung oder Überwachung der Grundsätze zur Verarbeitung personenbezogener Daten in der Organisation verantwortlich ist, insbesondere Vertreter der obersten Leitung sowie gegebenenfalls der Datenschutzbeauftragte, ist verpflichtet, sich mit dieser Datenschutzerklärung vertraut zu machen, sie einzuhalten und ihre Anwendung in der Organisation durchzusetzen.
  • Die Datenschutzrichtlinie tritt zusammen mit ihren Anhängen mit dem Tag ihrer Unterzeichnung durch die zur Vertretung der Organisation befugten Personen in Kraft.
  • In Angelegenheiten, die nicht durch die Datenschutzrichtlinie geregelt sind, gelten die Bestimmungen des allgemein geltenden Rechts.
 
REGISTER

Das Unternehmen führt die folgenden Register:

  • Verzeichnis der Verarbeitungsvorgänge personenbezogener Daten – ein Verzeichnis der vom Verantwortlichen durchgeführten Verarbeitungsvorgänge in Bezug auf personenbezogene Daten, verstanden als eine Reihe miteinander verbundener Datenverarbeitungsvorgänge, die von einer oder mehreren Personen durchgeführt werden und im Zusammenhang mit dem Zweck, zu dem diese Vorgänge erfolgen, pauschal beschrieben werden können.
  • Verzeichnis der Kategorien von Verarbeitungsvorgängen personenbezogener Daten – ein Verzeichnis der dem Unternehmen anvertrauten Dienstleistungen, die im Auftrag des Verantwortlichen im Zusammenhang mit den beauftragten Verarbeitungsvorgängen erbracht werden.
  • Verzeichnis der Datenschutzverletzungen – ein Verzeichnis der in der Einrichtung festgestellten Verletzungen des Schutzes der verarbeiteten personenbezogenen Daten,
  • Verzeichnis der Maßnahmen zum Schutz personenbezogener Daten,
  • Verzeichnis der Empfänger personenbezogener Daten,
  • Verzeichnis der zur Verarbeitung personenbezogener Daten befugten Personen,
  • Verzeichnis der Geräte zur Verarbeitung personenbezogener Daten,
  • Verzeichnis der Anwendungen zur Verarbeitung personenbezogener Daten,


Das Unternehmen bewahrt die genannten Dokumente auf: im Anhang zu dieser Datenschutzerklärung.

 

VERSTÖSSE GEGEN DEN SCHUTZ PERSONENBEZOGENER DATEN
  • Das Unternehmen führt das im Anhang enthaltene Verfahren bei Datenschutzverletzungen ein.
  • Dieses Verfahren gilt für alle Personen, die in der Einrichtung arbeiten oder dort Dienstleistungen erbringen.
  • Das Verfahren gilt für den Fall, dass eine Verletzung des Schutzes personenbezogener Daten oder eine Verletzung der Rechte oder Freiheiten der Personen, deren personenbezogene Daten verarbeitet werden, festgestellt wird.
    Die verantwortliche Stelle bewahrt die genannten Dokumente auf: im Anhang zu dieser Datenschutzerklärung.

 

INFORMATIONSPFLICHTEN
  • Das Unternehmen setzt die im Anhang aufgeführten Informationspflichten um.
  • Die Verarbeitung personenbezogener Daten ohne Erfüllung der Informationspflicht ist untersagt, es sei denn, es wurden im Einzelfall Gründe für eine Ausnahme von dieser Pflicht festgestellt.
  • Aufbewahrung von Vorlagen: im Anhang zu dieser Datenschutzerklärung.
  • Aufbewahrung der erteilten Informationspflichten: zusammen mit den entsprechenden Unterlagen (z. B. als Anhang zum Vertrag).
    Die Stelle speichert: 
    • Mustervorlagen für Informationspflichten im Anhang zu dieser Datenschutzrichtlinie,
    • die auferlegten Informationspflichten zusammen mit den entsprechenden Unterlagen (z. B. als Anhang zum Vertrag).

 

GENEHMIGUNGEN ZUR VERARBEITUNG PERSONENBEZOGENER DATEN
  • Das Unternehmen führt die Verwendung von Genehmigungen zur Verarbeitung personenbezogener Daten ein,
  • Die Verarbeitung personenbezogener Daten durch nicht dazu befugte Personen ist untersagt.
  • Die Vollmachten gelten für die Mitarbeiter.
  • Vollmachten können gegenüber dritten natürlichen Personen erteilt werden, die für das Unternehmen Dienstleistungen unter Verwendung der Unternehmensressourcen erbringen (z. B. ein IT-Spezialist im Rahmen eines Werkvertrags); die Entscheidung darüber ist jedoch im Einzelfall zu treffen.
    Die Stelle speichert:
    • Mustervorlagen für Vollmachten im Anhang zu dieser Datenschutzrichtlinie,
    • die erteilten Vollmachten in Teil B der Personalakten sowie – im Falle von Personen, die keine Mitarbeiter sind – als Anhang zu den entsprechenden Kooperationsverträgen,
    • die Erfassung der Bevollmächtigungen im Verzeichnis der zur Verarbeitung personenbezogener Daten befugten Personen.

 

VERTRÄGE ÜBER DIE AUFTRAGVERARBEITUNG PERSONENBEZOGENER DATEN

Das Unternehmen führt die Verwendung von Musterverträgen für die Beauftragung mit der Verarbeitung personenbezogener Daten ein.

Das Muster für den Verantwortlichen kommt zur Anwendung, wenn die Verarbeitung personenbezogener Daten an externe Auftragsverarbeiter übertragen wird.

Das Muster für den Auftragsverarbeiter kommt zur Anwendung, wenn das Unternehmen Tätigkeiten zur Verarbeitung personenbezogener Daten ausführt, die ihm von externen Verantwortlichen übertragen wurden.

Die Verwendung von Vertragsvorlagen, die von Vertragspartnern bereitgestellt werden, ist zulässig, sofern diese von der obersten Leitung oder einer von ihr benannten Person dokumentiert genehmigt wurden.

Es ist untersagt, die Verarbeitung personenbezogener Daten ohne einen entsprechenden Auftragsverarbeitungsvertrag oder ein anderes Rechtsinstrument gemäß Art. 28 DSGVO zu übertragen.

Das Unternehmen bewahrt die Muster für Auftragsverarbeitungsverträge sowie die abgeschlossenen Auftragsverarbeitungsverträge als Anhang zu dieser Datenschutzerklärung auf.

 

RISIKOANALYSE
  • Das Unternehmen wendet den Grundsatz an, das Risiko einer Verletzung der Rechte oder Freiheiten der Personen, deren personenbezogene Daten verarbeitet werden, zu analysieren.
  • Die Risikobewertung erfolgt gemäß den im Anhang festgelegten Bedingungen.
  • Es ist untersagt, neue Verarbeitungsvorgänge personenbezogener Daten einzuführen, neue Ressourcen für deren Verarbeitung bereitzustellen sowie Änderungen an den Maßnahmen zum Schutz personenbezogener Daten vorzunehmen, ohne zuvor eine Risikoanalyse durchzuführen oder diese zu aktualisieren.
  • Das Unternehmen verpflichtet sich, die im Anhang enthaltene Risikoanalyse zu aktualisieren.


Das Unternehmen bewahrt die Unterlagen zur Risikobewertung als Anhang zu dieser Datenschutzrichtlinie auf.

 

FOLGENABSCHÄTZUNGEN IM HINBLICK AUF DEN SCHUTZ PERSONENBEZOGENER DATEN
  • Das Unternehmen wendet den Grundsatz an, die Verarbeitung personenbezogener Daten zu überwachen, um festzustellen, ob hierfür eine Datenschutz-Folgenabschätzung (OSOD) erforderlich ist.
  • Falls für eine bestimmte Tätigkeit die Durchführung einer OSOD erforderlich ist, ist die im Anhang enthaltene Vorlage zu verwenden.
  • Es ist untersagt, neue Verarbeitungsvorgänge personenbezogener Daten einzuführen, ohne zuvor eine Risikoanalyse durchzuführen oder diese zu aktualisieren, und – falls diese eine solche Notwendigkeit bestätigt – ohne Durchführung einer Datenschutz-Folgenabschätzung.


Das Unternehmen bewahrt die Vorlage für die Datenschutz-Folgenabschätzung sowie die Dokumentation der durchgeführten Abschätzungen als Anhang zu dieser Datenschutzerklärung auf.

 

MASSNAHMEN ZUM SCHUTZ PERSONENBEZOGENER DATEN

Unter Berücksichtigung der Empfehlungen aus der durchgeführten Risikoanalyse sowie der in Artikel 32 der DSGVO festgelegten Anforderungen:

  • Das Unternehmen setzt die im Anhang – Verzeichnis der Datenschutzmaßnahmen – aufgeführten Maßnahmen zum Schutz personenbezogener Daten um. Es ist untersagt, Änderungen an den Maßnahmen zum Schutz personenbezogener Daten vorzunehmen, ohne diese zu dokumentieren. Darüber hinaus verpflichtet sich das Unternehmen, diese Maßnahmen auf dem neuesten Stand zu halten.
  • Das Unternehmen führt die im Anhang – „Verfahren“ – aufgeführten Verfahren (organisatorische Maßnahmen zum Schutz personenbezogener Daten) ein. Es ist untersagt, Änderungen an den eingeführten Verfahren vorzunehmen, ohne diese gemäß den Vertretungsregeln zu beschließen. Darüber hinaus verpflichtet sich das Unternehmen, diese Verfahren auf dem neuesten Stand zu halten.
  • Die Organisation führt ein Geräteverzeichnis und ein Anwendungsverzeichnis für die Verarbeitung personenbezogener Daten. Die Nutzung von Geräten oder Anwendungen, die nicht in den genannten Verzeichnissen erfasst sind, ist untersagt. Darüber hinaus verpflichtet sie sich, diese Verzeichnisse auf dem neuesten Stand zu halten.


Das Unternehmen bewahrt die genannten Unterlagen als Anhang zu dieser Datenschutzerklärung auf.

 
MESSUNG UND PRÜFUNG

Der Verantwortliche verpflichtet sich, die Wirksamkeit der Maßnahmen zum Schutz personenbezogener Daten regelmäßig zu prüfen, zu messen und zu bewerten, insbesondere durch:

  • die laufende Aktualisierung des Verzeichnisses der Datenschutzverletzungen, der Risikoanalysen, des Verzeichnisses der Datenschutzmaßnahmen und der umgesetzten Verfahren, der Verzeichnisse der Geräte und Anwendungen, des Verzeichnisses der Überprüfungen und Wartungsarbeiten am IT-System sowie des Verzeichnisses der wesentlichen Vorgänge im IT-System.
  • Durchführung von Audits des Systems zur Verarbeitung personenbezogener Daten,
  • Erfassung der Audits des Systems zur Verarbeitung personenbezogener Daten im Register der Audits des Systems zur Verarbeitung personenbezogener Daten.


Der Verantwortliche führt ein Verzeichnis der Prüfungen des Systems zur Verarbeitung personenbezogener Daten, das dieser Datenschutzerklärung als Anhang beigefügt ist.

 

DATENSCHUTZBEAUFTRAGTER
  • Das Unternehmen hat einen Datenschutzbeauftragten ernannt, wie aus dem Dokument im Anhang zu dieser Datenschutzerklärung hervorgeht.

 

XII. ÜBERWACHUNG

Das Unternehmen wendet keinerlei Formen der Überwachung an.

 
XIII. ANHÄNGE

Die Anhänge zu dieser Datenschutzerklärung sind integraler Bestandteil derselben:

 

A – VERZEICHNIS DER ANHÄNGE A (Grundlagendokumente):

  1. Verzeichnis der Verarbeitungsvorgänge personenbezogener Daten,
  2. Verzeichnis der Kategorien von Verarbeitungsvorgängen personenbezogener Daten,
  3. Verzeichnis der Verstöße gegen den Schutz personenbezogener Daten,
  4. Verzeichnis der Maßnahmen zum Schutz personenbezogener Daten,
  5. Verzeichnis der Empfänger personenbezogener Daten,
  6. Informationspflichten,
  7. Vollmacht für Mitarbeiter – Vorlage,
  8. Vollmacht für Personen, die auf der Grundlage zivilrechtlicher Verträge beschäftigt sind – Vorlage,
  9. Vertrag über die Beauftragung mit der Verarbeitung personenbezogener Daten für den Verantwortlichen – Vorlage,
  10. Vertrag über die Beauftragung eines Auftragsverarbeiters mit der Verarbeitung personenbezogener Daten – Vorlage,
  11. Risikoanalyse – Leitdokument,
  12. Risikomatrix,
  13. Datenschutz-Folgenabschätzung – Vorlage,
  14. Erklärung zur Ernennung des Datenschutzbeauftragten,

 

B – VERZEICHNIS DER ANHÄNGE B (Verfahren – organisatorische Datenschutzmaßnahmen):

  1. Verfahren bei Verstößen gegen den Schutz personenbezogener Daten,
  1. Das „Privacy by Default“-Verfahren,
  2. Verfahren zur Erfassung von Geräten und Datenträgern,
  3. Vorgehensweise bei der Nutzung des Internets,
  4. Verfahren zur Nutzung des Dienstcomputers,
  5. Verfahren zur Nutzung des Diensthandys,
  6. Vorgehensweise bei der Nutzung der E-Mail,
  7. Vorgehensweise bei der Nutzung mobiler Geräte,
  8. Verfahren zum Umgang mit Passwörtern und Zugriffsdateien,
  9. Verfahren zur Beauftragung mit der Verarbeitung personenbezogener Daten,
  10. Das „Privacy by Design“-Verfahren,
  11. Verfahren zur Überprüfung und Wartung des IT-Systems,
  12. Verfahren zur Verarbeitung personenbezogener Daten in Papierform,
  13. Verfahren zur Entgegennahme personenbezogener Daten in Auftrag,
  14. Verfahren zur Erfüllung der Informationspflicht,
  15. Verfahren zur Löschung personenbezogener Daten,
  16. Verfahren zur Bearbeitung von Anträgen der betroffenen Person,
  17. Vorgehensweise bei der Erstellung von Sicherungskopien,
  18. Verfahren zur Weitergabe personenbezogener Daten,
  19. Verfahren für den Zugriff auf Schlüssel und Objekte,
  20. Verfahren zur Entsorgung von Geräten und Datenträgern,
  21. Verfahren zur Zugangskontrolle zum IT-System,
  22. Verfahren zur Virenschutzsicherung,

 

C – VERZEICHNIS DER ANHÄNGE C (zusätzliche Unterlagen):

  1. Verzeichnis der zur Verarbeitung personenbezogener Daten befugten Personen,
  2. Verzeichnis der Prüfungen des Systems zur Verarbeitung personenbezogener Daten,
  3. Verzeichnis der Geräte zur Verarbeitung personenbezogener Daten,
  4. Verzeichnis der Anwendungen zur Verarbeitung personenbezogener Daten,
  5. Verzeichnis der Inspektionen und Wartungsarbeiten am IT-System,
  6. Verzeichnis der wesentlichen Vorgänge im IT-System.