Diese Seite wurde mithilfe einer maschinellen Übersetzungstechnologie automatisch übersetzt. Es wurden angemessene Anstrengungen unternommen, um die Richtigkeit der Übersetzung zu gewährleisten; die englische Fassung ist jedoch maßgebend. Im Falle von Abweichungen, Unklarheiten oder Widersprüchen bei der Auslegung hat die englische Fassung Vorrang.

Datenschutzrichtlinie - ComponentSource Group

1. Einleitung

  1. Diese Richtlinie legt die Verpflichtungen der COMPONENTSOURCE GROUP fest, die Unternehmen umfasst, die in England, der Republik Irland, den Vereinigten Staaten von Amerika und Japan registriert sind („ComponentSource“ oder „das Unternehmen“), in Bezug auf den Datenschutz und die Rechte von Kunden, Lieferanten, Verlagen, Mitarbeitern und Geschäftskontakten („betroffene Personen“) hinsichtlich ihrer personenbezogenen Daten gemäß den anwendbaren Datenschutzgesetzen in den Rechtsordnungen, in denen sie präsent ist oder Geschäfte tätigt, insbesondere einschließlich der EU-Verordnung 2016/679 Datenschutz-Grundverordnung („DSGVO“) https://gdpr-info.eu, der britischen Datenschutz-Grundverordnung und dem britischen Datenschutzgesetz 2018 (zusammen „UK GDPR“), dem EU-US-Datenschutzrahmen („DPF“) und der britischen Erweiterung des EU-US DPF, einem vom US-Handelsministerium betriebenen Selbstzertifizierungsprogramm, sowie dem California Consumer Privacy Act 2018 in der geänderten Fassung (Cal.Civ.Code 1798.100 bis 1798.199) („CCPA“) oder deren Entsprechungen, einschließlich etwaiger gesetzlicher Änderungen dieser Gesetze. Soweit andere anwendbare Datenschutzgesetze gelten, die der DSGVO, der UK GDPR oder dem CCPA im Wesentlichen ähnlich sind, ist diese Richtlinie so auszulegen, dass sie vernünftigerweise auf diese anderen Rechtsordnungen und Gesetze Anwendung findet.
  2. Die anwendbaren Datenschutzgesetze definieren „personenbezogene Daten“ als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (eine betroffene Person) beziehen; eine identifizierbare natürliche Person ist eine Person, die direkt oder indirekt identifiziert werden kann, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, einer Anschrift oder E-Mail-Adresse, einer Telefonnummer, einer Kennnummer, Standortdaten, einer Online-Kennung oder zu einem oder mehreren Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.
  3. Diese Richtlinie legt die Verpflichtungen des Unternehmens hinsichtlich der Erhebung, Verarbeitung, Übermittlung, Speicherung und Entsorgung personenbezogener Daten fest. Die in dieser Richtlinie festgelegten Verfahren und Grundsätze sollten vom Unternehmen, seinen Mitarbeitern, Vertretern, Auftragnehmern oder anderen Parteien, die im Namen des Unternehmens tätig sind, jederzeit eingehalten werden.
  4. ComponentSource verpflichtet sich nicht nur zur Einhaltung des Gesetzeswortlauts, sondern auch des Geistes des Gesetzes und misst der ordnungsgemäßen, rechtmäßigen und fairen Behandlung aller personenbezogenen Daten große Bedeutung bei, wobei die gesetzlichen Rechte, die Privatsphäre und das Vertrauen aller Personen, mit denen es zu tun hat, respektiert werden.

2. Die Datenschutzgrundsätze

Diese Richtlinie soll die Einhaltung der DSGVO und aller anwendbaren Datenschutzgesetze sicherstellen. Die anwendbaren Datenschutzgesetze legen die folgenden Grundsätze fest, die jede Partei, die personenbezogene Daten verarbeitet, einhalten muss. Alle personenbezogenen Daten müssen:

  • rechtmäßig, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden;
  • für festgelegte, eindeutige und legitime Zwecke erhoben werden und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverarbeitet werden. Eine Weiterverarbeitung für statistische Zwecke gilt nicht als unvereinbar mit den ursprünglichen Zwecken;
  • dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein;
  • sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein. Es müssen alle angemessenen Maßnahmen getroffen werden, um sicherzustellen, dass personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden;
  • in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die die personenbezogenen Daten verarbeitet werden, erforderlich ist. Personenbezogene Daten können für längere Zeiträume gespeichert werden, soweit die personenbezogenen Daten ausschließlich zu statistischen Zwecken verarbeitet werden oder soweit dies anderweitig durch die anwendbaren Datenschutzgesetze erlaubt ist, einschließlich der berechtigten betrieblichen Erfordernisse unseres Geschäfts (vorbehaltlich der Umsetzung der geeigneten technischen und organisatorischen Maßnahmen, die nach den anwendbaren Datenschutzgesetzen zum Schutz der Rechte und Freiheiten der betroffenen Person erforderlich sind).
  • in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor unbeabsichtigtem Verlust, Zerstörung oder Beschädigung, unter Verwendung geeigneter technischer oder organisatorischer Maßnahmen.

3. Die Rechte der betroffenen Personen

Die anwendbaren Datenschutzgesetze legen die folgenden Rechte fest, die für betroffene Personen gelten (bitte beachten Sie für weitere Einzelheiten die angegebenen Teile dieser Richtlinie):

  1. Das Recht auf Information (Abschnitt 12).
  2. Das Auskunftsrecht (Abschnitt 13);
  3. Das Recht auf Berichtigung (Abschnitt 14);
  4. Das Recht auf Löschung (auch bekannt als „Recht auf Vergessenwerden“) (Abschnitt 15);
  5. Das Recht auf Einschränkung der Verarbeitung (Abschnitt 16);
  6. Das Widerspruchsrecht (Abschnitt 17); und
  7. Rechte in Bezug auf automatisierte Entscheidungsfindung und Profiling (Abschnitte 18 und 19).

4. Rechtmäßige, faire und transparente Datenverarbeitung

Die anwendbaren Datenschutzgesetze sollen sicherstellen, dass personenbezogene Daten rechtmäßig, fair und transparent verarbeitet werden, ohne die Rechte der betroffenen Person zu beeinträchtigen. Die anwendbaren Datenschutzgesetze legen fest, dass die Verarbeitung personenbezogener Daten rechtmäßig ist, wenn mindestens einer der folgenden Fälle zutrifft:

  1. Die betroffene Person hat ihre Einwilligung zur Verarbeitung ihrer personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
  2. Die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, erforderlich oder um auf Anfrage der betroffenen Person vor Abschluss eines Vertrags mit ihr Maßnahmen zu ergreifen;
  3. Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
  4. Die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
  5. Die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde; oder
  6. Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

5. Festgelegte, eindeutige und legitime Zwecke

ComponentSource erhebt und verarbeitet die in Abschnitt 20 dieser Richtlinie aufgeführten personenbezogenen Daten. Dies umfasst:

  • personenbezogene Daten, die direkt von betroffenen Personen erhoben werden; und
  • personenbezogene Daten, die von Dritten erhalten werden.

Das Unternehmen erhebt, verarbeitet und speichert personenbezogene Daten nur für die spezifischen Zwecke, die in Abschnitt 20 dieser Richtlinie aufgeführt sind (oder für andere Zwecke, die durch die anwendbaren Datenschutzgesetze ausdrücklich erlaubt sind).

Betroffene Personen werden über den oder die Zwecke, für die ComponentSource ihre personenbezogenen Daten verwendet, informiert gehalten. Weitere Informationen dazu, wie betroffene Personen informiert gehalten werden, finden Sie in Abschnitt 12.

6. Angemessene, relevante und auf das notwendige Maß beschränkte Datenverarbeitung

ComponentSource wird personenbezogene Daten nur für den bzw. in dem Umfang verarbeiten, der für den spezifischen Zweck bzw. die spezifischen Zwecke erforderlich ist, über die die betroffenen Personen gemäß Abschnitt 5 oben informiert wurden (oder informiert werden), und wie in Abschnitt 20 unten festgelegt.

7. Richtigkeit der Daten und Aktualität der Daten

  1. ComponentSource bemüht sich im angemessenen erforderlichen Umfang sicherzustellen, dass alle von ihm erhobenen, verarbeiteten und gespeicherten personenbezogenen Daten korrekt und auf dem neuesten Stand gehalten werden. Dies umfasst unter anderem die Berichtigung personenbezogener Daten auf Anfrage einer betroffenen Person, wie in Abschnitt 14 unten festgelegt.
  2. Die Richtigkeit personenbezogener Daten wird bei der Erhebung geprüft. Wird ComponentSource später eine Änderung personenbezogener Daten mitgeteilt oder stellt sich heraus, dass personenbezogene Daten unrichtig oder veraltet sind, werden unverzüglich alle angemessenen Schritte unternommen, um diese Daten entsprechend zu ändern oder zu löschen.

8. Datenspeicherung

  1. Vorbehaltlich der berechtigten betrieblichen Erfordernisse seines Geschäfts wird ComponentSource personenbezogene Daten nicht länger aufbewahren, als es im Hinblick auf den oder die Zwecke erforderlich ist, für die diese personenbezogenen Daten ursprünglich erhoben, gespeichert und verarbeitet wurden.
  2. Wenn personenbezogene Daten nicht mehr benötigt werden, werden alle angemessenen Schritte unternommen, um sie unverzüglich zu löschen oder anderweitig zu entsorgen.
  3. Vollständige Einzelheiten zum Ansatz des Unternehmens hinsichtlich der Datenspeicherung, einschließlich Aufbewahrungsfristen für bestimmte von ComponentSource gespeicherte Arten personenbezogener Daten, finden Sie in unserer Richtlinie zur Datenspeicherung.

9. Sichere Verarbeitung

ComponentSource stellt sicher, dass alle erhobenen, gespeicherten und verarbeiteten personenbezogenen Daten sicher aufbewahrt und vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor unbeabsichtigtem Verlust, Zerstörung oder Beschädigung geschützt werden. Weitere Einzelheiten zu den technischen und organisatorischen Maßnahmen, die ergriffen werden sollten, sind in den Abschnitten 20 bis 26 dieser Richtlinie enthalten.

10. Rechenschaftspflicht und Aufzeichnungen

Der Datenschutzmanager des Unternehmens („DPM“) ist unter dpm@componentsource.com erreichbar.

Der DPM ist für die Überwachung der Umsetzung dieser Richtlinie und für die Überwachung der Einhaltung dieser Richtlinie, der anderen datenschutzbezogenen Richtlinien des Unternehmens sowie aller anwendbaren Datenschutzgesetze verantwortlich. ComponentSource führt interne Aufzeichnungen über alle Erhebungen, Aufbewahrungen und Verarbeitungen personenbezogener Daten, die die folgenden Informationen enthalten:

  • den Namen und die Angaben des Unternehmens, seines DPM und gegebenenfalls einschlägiger externer Datenverarbeiter;
  • die Zwecke, für die das Unternehmen personenbezogene Daten erhebt, speichert und verarbeitet;
  • Einzelheiten zu den Kategorien personenbezogener Daten, die vom Unternehmen erhoben, gespeichert und verarbeitet werden, sowie zu den Kategorien betroffener Personen, auf die sich diese personenbezogenen Daten beziehen;
  • Einzelheiten zu etwaigen Übermittlungen personenbezogener Daten in Länder außerhalb des EWR einschließlich aller Mechanismen und Sicherheitsvorkehrungen;
  • Einzelheiten dazu, wie lange personenbezogene Daten vom Unternehmen aufbewahrt werden (bitte beachten Sie die ComponentSource Richtlinie zur Datenspeicherung); und
  • detaillierte Beschreibungen aller von ComponentSource ergriffenen technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit personenbezogener Daten.

11. Datenschutz-Folgenabschätzungen

ComponentSource führt Datenschutz-Folgenabschätzungen für alle neuen Projekte und/oder neuen Verwendungen personenbezogener Daten durch.

Datenschutz-Folgenabschätzungen werden vom Datenschutzmanager überwacht und behandeln Folgendes:

  • die Art(en) personenbezogener Daten, die erhoben, gespeichert und verarbeitet werden;
  • den/die Zweck(e), für die personenbezogene Daten verwendet werden sollen;
  • die Ziele des Unternehmens;
  • wie personenbezogene Daten verwendet werden sollen;
  • die zu konsultierenden Parteien (intern und/oder extern);
  • die Erforderlichkeit und Verhältnismäßigkeit der Datenverarbeitung im Hinblick auf den/die Zweck(e), für den/die sie verarbeitet wird;
  • für betroffene Personen entstehende Risiken;-
  • innerhalb des Unternehmens und für das Unternehmen entstehende Risiken; und
  • vorgeschlagene Maßnahmen zur Minimierung und Behandlung identifizierter Risiken.

12. Information der betroffenen Personen

  1. Auf Anfrage einer betroffenen Person stellt ComponentSource der betroffenen Person innerhalb von 5 Geschäftstagen die in Abschnitt 12.2 aufgeführten Informationen zur Verfügung:
    1. Wenn personenbezogene Daten direkt von betroffenen Personen erhoben werden, werden diese betroffenen Personen zum Zeitpunkt der Erhebung über den Zweck informiert; und
    2. Wenn personenbezogene Daten von einem Dritten stammen, werden die betreffenden betroffenen Personen über den Zweck informiert:
      1. wenn die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden, bei der ersten Kommunikation; oder
      2. wenn die personenbezogenen Daten an eine andere Partei übermittelt werden sollen, vor dieser Übermittlung; oder
      3. sobald dies vernünftigerweise möglich ist und in jedem Fall nicht später als einen Monat nach Erhalt der personenbezogenen Daten.
  2. Die folgenden Informationen werden betroffenen Personen auf Anfrage zur Verfügung gestellt:
    1. Angaben zum Unternehmen, einschließlich, aber nicht beschränkt auf die Kontaktdaten seines DPM;
    2. den/die Zweck(e), für die die personenbezogenen Daten erhoben werden und verarbeitet werden sollen (wie in Abschnitt 20 dieser Richtlinie erläutert);
    3. gegebenenfalls die berechtigten Interessen, auf die das Unternehmen seine Erhebung und Verarbeitung der personenbezogenen Daten stützt;
    4. wenn die personenbezogenen Daten nicht direkt von der betroffenen Person erhoben werden, die Kategorien der erhobenen und verarbeiteten personenbezogenen Daten;
    5. v.    Wenn die personenbezogenen Daten an einen oder mehrere Dritte übermittelt werden sollen, Angaben zu diesen Parteien;
    6. wenn die personenbezogenen Daten an einen Dritten übermittelt werden sollen, der sich außerhalb des Europäischen Wirtschaftsraums (des „EWR“) befindet, Angaben zu dieser Übermittlung, einschließlich, aber nicht beschränkt auf die vorhandenen Schutzmaßnahmen (siehe Abschnitt 27 dieser Richtlinie für weitere Einzelheiten);
    7. Einzelheiten zur Datenspeicherung;
    8. Einzelheiten zu den Rechten der betroffenen Person nach den anwendbaren Datenschutzgesetzen;
    9. Einzelheiten zum Recht der betroffenen Person, ihre Einwilligung in die Verarbeitung ihrer personenbezogenen Daten durch das Unternehmen jederzeit zu widerrufen;
    10. Einzelheiten zum Recht der betroffenen Person, sich an das Information Commissioner's Office (die „Aufsichtsbehörde“ im Sinne der UK GDPR) oder gegebenenfalls an gleichwertige Behörden in der Republik Irland, den USA und Japan zu wenden;
    11. gegebenenfalls Angaben zu gesetzlichen oder vertraglichen Anforderungen oder Verpflichtungen, die die Erhebung und Verarbeitung der personenbezogenen Daten erforderlich machen, sowie Angaben zu möglichen Folgen, wenn diese nicht bereitgestellt werden; und
    12. Einzelheiten zu automatisierter Entscheidungsfindung oder Profiling, die unter Verwendung der personenbezogenen Daten stattfinden, einschließlich Informationen darüber, wie Entscheidungen getroffen werden, welche Bedeutung diese Entscheidungen haben und welche Folgen sie haben.

13. Auskunft der betroffenen Person

  1. Betroffene Personen können jederzeit Auskunftsanträge („SARs“) stellen, um mehr über die personenbezogenen Daten zu erfahren, die ComponentSource über sie speichert, was mit diesen personenbezogenen Daten geschieht und warum.
  2. Betroffene Personen, die einen SAR stellen möchten, sollten dies mithilfe eines Formulars für Auskunftsanfragen tun und das Formular an den DPM unter dpm@componentsource.com senden.
  3. Antworten auf SARs werden normalerweise innerhalb eines Monats nach Eingang erteilt; dieser Zeitraum kann jedoch um bis zu zwei Monate verlängert werden, wenn der SAR komplex ist und/oder zahlreiche Anfragen gestellt werden. Wenn eine solche zusätzliche Zeit erforderlich ist, wird die betroffene Person informiert.
  4. Alle eingegangenen SARs werden vom DPM bearbeitet.
  5. ComponentSource erhebt für die Bearbeitung normaler SARs keine Gebühr. Das Unternehmen behält sich das Recht vor, angemessene Gebühren für zusätzliche Kopien von Informationen zu erheben, die einer betroffenen Person bereits zur Verfügung gestellt wurden, sowie für Anfragen, die offensichtlich unbegründet oder exzessiv sind, insbesondere wenn solche Anfragen wiederholt gestellt werden.

14. Berichtigung personenbezogener Daten

  1. Betroffene Personen haben das Recht zu verlangen, dass ComponentSource unrichtige oder unvollständige personenbezogene Daten berichtigt.
  2. ComponentSource wird die betreffenden personenbezogenen Daten berichtigen und die betroffene Person über diese Berichtigung informieren, und zwar innerhalb eines Monats nach der Information des Unternehmens durch die betroffene Person über das Problem. Die Frist kann bei komplexen Anfragen um bis zu zwei Monate verlängert werden. Wenn eine solche zusätzliche Zeit erforderlich ist, wird die betroffene Person informiert.
  3. Falls betroffene personenbezogene Daten an Dritte weitergegeben wurden, werden diese Parteien spätestens bei der Verarbeitung der nächsten Transaktion über alle erforderlichen Berichtigungen dieser personenbezogenen Daten informiert.

15. Löschung personenbezogener Daten

  1. Betroffene Personen haben das Recht zu verlangen, dass ComponentSource die über sie gespeicherten personenbezogenen Daten in den folgenden Fällen löscht:
    1. Es ist für das Unternehmen nicht mehr erforderlich, diese personenbezogenen Daten im Hinblick auf den/die Zweck(e), für die sie ursprünglich erhoben oder verarbeitet wurden, zu speichern;
    2. Die betroffene Person möchte ihre Einwilligung zur Speicherung und Verarbeitung ihrer personenbezogenen Daten durch ComponentSource widerrufen;
    3. Die betroffene Person widerspricht der Speicherung und Verarbeitung ihrer personenbezogenen Daten durch ComponentSource (und es gibt kein überwiegendes berechtigtes Interesse, das es dem Unternehmen erlaubt, dies fortzusetzen) (siehe Abschnitt 17 dieser Richtlinie für weitere Einzelheiten zum Widerspruchsrecht);
    4. Die personenbezogenen Daten wurden unrechtmäßig verarbeitet;
    5. Die personenbezogenen Daten müssen gelöscht werden, damit ComponentSource eine bestimmte rechtliche Verpflichtung erfüllt.
  2. Sofern ComponentSource keine berechtigten Gründe hat, die Löschung personenbezogener Daten zu verweigern, werden alle Löschungsanträge erfüllt und die betroffene Person innerhalb eines Monats nach Eingang ihres Antrags über die Löschung informiert. Die Frist kann bei komplexen Anfragen um bis zu zwei Monate verlängert werden. Wenn eine solche zusätzliche Zeit erforderlich ist, wird die betroffene Person informiert.
  3. Falls personenbezogene Daten, die auf Anfrage einer betroffenen Person zu löschen sind, an Dritte weitergegeben wurden, werden diese Parteien über die Löschung informiert (es sei denn, dies ist unmöglich oder würde einen unverhältnismäßigen Aufwand erfordern).
  4. Die Löschung personenbezogener Daten erstreckt sich nicht auf interne Aufzeichnungen von ComponentSource, die die Umstände der Löschung (Antrag und Erfüllung) dokumentieren; ebenso erfolgt keine Löschung, die den wirksamen Betrieb der Betrugsbekämpfungssysteme des Unternehmens beeinträchtigen würde.

16. Einschränkung der Verarbeitung personenbezogener Daten

  1. Betroffene Personen können verlangen, dass ComponentSource die Verarbeitung der über sie gespeicherten personenbezogenen Daten einstellt. Stellt eine betroffene Person einen solchen Antrag, speichert das Unternehmen nur so viele personenbezogene Daten über diese betroffene Person (falls überhaupt), wie erforderlich sind, um sicherzustellen, dass die betreffenden personenbezogenen Daten nicht weiterverarbeitet werden.

    Hinweis: Betroffene Personen werden darauf hingewiesen, dass die Einhaltung durch ComponentSource den Widerruf laufender Softwarelizenzen erforderlich machen könnte, und sie erhalten die Möglichkeit, ihren Antrag vor dessen Umsetzung zurückzuziehen oder zu ändern.
  2. Falls betroffene personenbezogene Daten an Dritte weitergegeben wurden, werden diese Parteien über die geltenden Einschränkungen ihrer Verarbeitung informiert (es sei denn, dies ist unmöglich oder würde einen unverhältnismäßigen Aufwand erfordern).

17. Widersprüche gegen die Verarbeitung personenbezogener Daten

  1. Betroffene Personen haben das Recht, der Verarbeitung ihrer personenbezogenen Daten durch ComponentSource auf Grundlage berechtigter Interessen, Direktmarketing (einschließlich Profiling) und Verarbeitung zu statistischen Zwecken zu widersprechen.
  2. Wenn eine betroffene Person der Verarbeitung ihrer personenbezogenen Daten durch ComponentSource auf Grundlage berechtigter Interessen widerspricht, stellt das Unternehmen diese Verarbeitung unverzüglich ein, es sei denn, es kann nachgewiesen werden, dass die berechtigten Gründe des Unternehmens für diese Verarbeitung die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen oder dass die Verarbeitung für die Geltendmachung rechtlicher Ansprüche erforderlich ist.
  3. Wenn eine betroffene Person der Verarbeitung ihrer personenbezogenen Daten durch ComponentSource zu Zwecken des Direktmarketings widerspricht, stellt das Unternehmen diese Verarbeitung unverzüglich ein.

18. Automatisierte Entscheidungsfindung

  1. Das Unternehmen verwendet personenbezogene Daten in automatisierten Entscheidungsprozessen.
  2. Wenn solche Entscheidungen gegenüber betroffenen Personen rechtliche oder ähnlich erhebliche Auswirkungen haben, haben diese betroffenen Personen nach den anwendbaren Datenschutzgesetzen das Recht, solche Entscheidungen anzufechten, menschliches Eingreifen zu verlangen, ihren eigenen Standpunkt darzulegen und vom Unternehmen eine Erklärung der Entscheidung zu erhalten.
  3. Das in Abschnitt 18.2 beschriebene Recht gilt in den folgenden Fällen nicht:
    1. Die Entscheidung ist für den Abschluss oder die Erfüllung eines Vertrags zwischen dem Unternehmen und der betroffenen Person erforderlich;
    2. Die Entscheidung ist gesetzlich zulässig; oder
    3. Die betroffene Person hat ausdrücklich eingewilligt.

19. Profiling

  1. Das Unternehmen verwendet personenbezogene Daten allgemein zu Profiling-Zwecken, um den Nutzen und die Wirksamkeit seiner Kundendienste zu maximieren.
  2. Wenn personenbezogene Daten zu Profiling-Zwecken verwendet werden, gilt Folgendes:
    1. Es werden technische und organisatorische Maßnahmen umgesetzt, um das Risiko von Fehlern zu minimieren. Wenn Fehler auftreten, sollten solche Maßnahmen deren einfache Korrektur ermöglichen; und
    2. Alle zu Profiling-Zwecken verarbeiteten personenbezogenen Daten werden gesichert, um diskriminierende Auswirkungen zu verhindern, die aus dem Profiling resultieren (siehe Abschnitte 21 bis 25 dieser Richtlinie für weitere Einzelheiten zur Datensicherheit).

20. Erhobene, gespeicherte und verarbeitete personenbezogene Daten

Die folgenden personenbezogenen Daten werden von ComponentSource erhoben, gespeichert und verarbeitet (Einzelheiten zur Datenspeicherung finden Sie in der Richtlinie des Unternehmens zur Datenspeicherung):

Datenreferenz Datenart Zweck der Daten
Kunde Name Angebotserstellung, Auftragsbearbeitung, Authentifizierung & Softwareauslieferung
Kunde Name und Art der Organisation Kundenregistrierung, Angebotserstellung, Auftragsbearbeitung, Authentifizierung & Softwareauslieferung
Kunde Adresse (einschließlich Straße, Landkreis/Bundesland, Postleitzahl oder Postcode, Land) Angebotserstellung, Auftragsbearbeitung, Authentifizierung & Softwareauslieferung, Lieferung gedruckter Kataloge, Lieferung von Werbeartikeln (Kaffeetasse)
Kunde E-Mail-Adresse Kundenregistrierung, Angebotserstellung, Auftragsbearbeitung, Authentifizierung & Softwareauslieferung, Produktneuigkeiten, Zustellung des Kunden-E-Mail-Newsletters, Kundenkommunikation
Kunde Telefonnummer Angebotserstellung, Auftragsbearbeitung & Softwareauslieferung, Kundenkommunikation

 

Datenreferenz Datenart Zweck der Daten
Kunde IP-Adresse Angebotserstellung, Auftragsbearbeitung, Authentifizierung, Zahlungsabwicklung & Softwareauslieferung
Kunde Bankkontonummern, Bankleitzahl, Kontoinhabername Auftragsbearbeitung und Zahlungsabwicklung
Kunde Kredit-/Debitkartennummer, Name des Karteninhabers, Ablaufdatum und CV2-Nummer (CV2 wird nur pro Transaktion verwendet und niemals gespeichert) Auftragsbearbeitung, Zahlungsabwicklung, Authentifizierung und Verifizierung
Endbenutzer-Lizenznehmer Name (falls abweichend vom Kunden) Angebotserstellung, Auftragsbearbeitung, Authentifizierung & Softwareauslieferung
Endbenutzer-Lizenznehmer Name und Art der Organisation Registrierung des Lizenznehmers beim Publisher, Angebotserstellung, Auftragsbearbeitung, Authentifizierung & Softwareauslieferung
Endbenutzer-Lizenznehmer Adresse (einschließlich Straße, Landkreis/Bundesland, Postleitzahl oder Postcode, Land) Angebotserstellung, Auftragsbearbeitung, Authentifizierung & Softwareauslieferung
Endbenutzer-Lizenznehmer E-Mail-Adresse Angebotserstellung, Auftragsbearbeitung, Authentifizierung, & Softwareauslieferung, Kommunikation mit dem Lizenznehmer
Endbenutzer-Lizenznehmer Telefonnummer Angebotserstellung, Auftragsbearbeitung & Softwareauslieferung, Kommunikation mit dem Lizenznehmer
Endbenutzer-Lizenznehmer IP-Adresse Angebotserstellung, Auftragsbearbeitung, Authentifizierung, Zahlungsabwicklung & Softwareauslieferung
Publisher Name, Adresse, E-Mail-Adresse, Telefonnummer, Bankverbindungsdaten Auftragsbearbeitung, Zahlungsabwicklung und Softwareauslieferung
Lieferant Name, Adresse, E-Mail-Adresse, Telefonnummer, Bankverbindungsdaten Auftragsbearbeitung, Zahlungsabwicklung und Lieferung
Gesellschafter Name, Adresse, E-Mail-Adresse, Telefonnummer, Bankverbindungsdaten Kommunikation mit Gesellschaftern, Unternehmensmeldungen und Register, plus Zahlungsabwicklung
Mitarbeiter/ Direktor/ Auftragnehmer Name, Adresse, E-Mail-Adresse, Telefonnummer, National Insurance-Nummer, Steuerkennziffern, Bankverbindungsdaten und alle sonstigen Informationen, die im Zusammenhang mit der Durchführung und Verwaltung ihrer Arbeitsverträge erforderlich sind Datenverwendung in den individuellen Datenschutz-Hinweisen zu ihren Arbeitsverträgen oder Dienstverträgen

21. Datensicherheit - Übermittlung personenbezogener Daten und Kommunikation

  1. ComponentSource stellt sicher, dass in Bezug auf alle Mitteilungen und sonstigen Übermittlungen, die personenbezogene Daten betreffen, die folgenden Maßnahmen ergriffen werden:
    1. Kreditkartendaten, die dem Unternehmen auf seiner Website übermittelt werden, werden verschlüsselt;
    2. Alle E-Mails, die personenbezogene Daten enthalten, unabhängig davon, ob sie gesendet oder empfangen wurden, werden sicher gespeichert.
    3. Wenn personenbezogene Daten in Papierform übermittelt werden sollen, sollten sie dem Empfänger direkt übergeben oder per anerkannter Post- oder Zustelldienste versendet werden.

22. Datensicherheit - Speicherung

  1. ComponentSource stellt sicher, dass in Bezug auf die Speicherung personenbezogener Daten die folgenden Maßnahmen ergriffen werden:
    1. Alle elektronischen Kopien personenbezogener Daten sollten sicher gespeichert werden;
    2. Alle Papierkopien personenbezogener Daten sowie alle elektronischen Kopien, die auf physischem, entfernbaren Speichermedium gespeichert sind, sollten sicher aufbewahrt werden;
    3. Alle elektronisch gespeicherten personenbezogenen Daten sollten regelmäßig gesichert werden, wobei Sicherungskopien nach Möglichkeit extern aufbewahrt werden sollten;
  2. Es dürfen keine personenbezogenen Daten auf einem mobilen Gerät (einschließlich, aber nicht beschränkt auf Laptops, Tablets und Smartphones) gespeichert werden, unabhängig davon, ob dieses Gerät ComponentSource gehört oder nicht, ohne die schriftliche Genehmigung des Datenschutzmanagers und, im Fall einer solchen Genehmigung, ausschließlich in strikter Übereinstimmung mit allen in der Genehmigung beschriebenen Anweisungen und Beschränkungen und nicht länger als unbedingt erforderlich; und
  3. Es dürfen keine personenbezogenen Daten auf ein Gerät übertragen werden, das einem Mitarbeiter persönlich gehört, und personenbezogene Daten dürfen nur auf Geräte von Vertretern, Auftragnehmern oder anderen Parteien übertragen werden, die im Namen des Unternehmens tätig sind, sofern die betreffende Partei zugestimmt hat, den Wortlaut und Geist dieser Richtlinie sowie aller anwendbaren Datenschutzgesetze vollständig einzuhalten (was auch den Nachweis gegenüber dem Unternehmen umfassen kann, dass alle geeigneten technischen und organisatorischen Maßnahmen ergriffen wurden).

23. Datensicherheit - Entsorgung

Wenn personenbezogene Daten aus irgendeinem Grund gelöscht oder anderweitig entsorgt werden sollen (einschließlich Fällen, in denen Kopien erstellt wurden und nicht mehr benötigt werden), sollten sie sicher gelöscht und entsorgt werden. Weitere Informationen zur Löschung und Entsorgung personenbezogener Daten finden Sie in der Richtlinie zur Datenspeicherung des Unternehmens.

24. Datensicherheit - Verwendung personenbezogener Daten

ComponentSource stellt sicher, dass in Bezug auf die Verwendung personenbezogener Daten die folgenden Maßnahmen ergriffen werden:

  1. Personenbezogene Daten dürfen nicht informell weitergegeben werden, und wenn ein Mitarbeiter, Vertreter, Unterauftragnehmer oder eine andere im Namen von ComponentSource tätige Partei Zugang zu personenbezogenen Daten benötigt, auf die sie noch keinen Zugriff hat, sollte dieser Zugang formell beim DPM beantragt werden;
  2. Personenbezogene Daten dürfen ohne Genehmigung des DPM nicht an Mitarbeiter, Vertreter, Auftragnehmer oder andere Parteien übertragen werden, unabhängig davon, ob diese Parteien im Namen von ComponentSource tätig sind oder nicht;
  3. Personenbezogene Daten müssen jederzeit sorgfältig behandelt werden und dürfen zu keiner Zeit unbeaufsichtigt gelassen oder unbefugten Mitarbeitern, Vertretern, Unterauftragnehmern oder anderen Parteien offengelegt werden;
  4. Wenn personenbezogene Daten auf einem Computerbildschirm angezeigt werden und der betreffende Computer für einen beliebigen Zeitraum unbeaufsichtigt bleiben soll, sollte der Benutzer den Computer und den Bildschirm sperren, bevor er ihn verlässt; und
  5. Wenn von ComponentSource gespeicherte personenbezogene Daten zu Marketingzwecken verwendet werden, liegt es in der Verantwortung des DPM sicherzustellen, dass die erforderliche Einwilligung eingeholt wird und dass keine betroffenen Personen widersprochen haben, weder direkt noch über einen Drittanbieterdienst.

25. Datensicherheit - IT-Sicherheit

ComponentSource stellt sicher, dass in Bezug auf IT- und Informationssicherheit die folgenden Maßnahmen ergriffen werden:

  1. Alle zur Sicherung personenbezogener Daten verwendeten Passwörter sollten regelmäßig geändert werden und keine Wörter oder Phrasen enthalten, die leicht zu erraten oder anderweitig kompromittiert werden können. Es wird empfohlen, dass alle Passwörter eine Kombination aus Groß- und Kleinbuchstaben, Zahlen und Symbolen enthalten;
  2. Unter keinen Umständen dürfen Passwörter aufgeschrieben oder zwischen Mitarbeitern, Vertretern, Auftragnehmern oder anderen im Namen von ComponentSource tätigen Parteien weitergegeben werden, unabhängig von der Hierarchiestufe oder Abteilung. Wenn ein Passwort vergessen wird, muss es mit der anwendbaren Methode zurückgesetzt werden. IT-Mitarbeiter haben keinen Zugriff auf Passwörter;
  3. Alle Software, einschließlich, aber nicht beschränkt auf Anwendungen und Betriebssysteme, wird soweit kommerziell praktikabel auf dem neuesten Stand gehalten. Die IT-Mitarbeiter des Unternehmens sind dafür verantwortlich, alle sicherheitsrelevanten Updates unverzüglich zu installieren, nachdem sie vom Publisher oder Hersteller bereitgestellt wurden, sofern keine gültigen technischen Gründe dagegen sprechen; und
  4. Es darf keine Software auf einem unternehmenseigenen Computer oder Gerät ohne vorherige Genehmigung des CIO oder des DPM installiert werden.

26. Organisatorische Maßnahmen

ComponentSource stellt sicher, dass in Bezug auf die Erhebung, Speicherung und Verarbeitung personenbezogener Daten die folgenden Maßnahmen ergriffen werden:

  1. Allen Mitarbeitern, Vertretern, Auftragnehmern wird eine Kopie dieser Richtlinie zur Verfügung gestellt;
  2. Nur Mitarbeiter, Vertreter, Unterauftragnehmer oder andere im Namen von ComponentSource tätige Parteien, die Zugang zu personenbezogenen Daten benötigen und diese verwenden müssen, um ihre zugewiesenen Aufgaben korrekt auszuführen, erhalten Zugriff auf die von ComponentSource gespeicherten personenbezogenen Daten;
  3. Alle Mitarbeiter, Vertreter, Auftragnehmer oder andere im Namen von ComponentSource tätige Parteien, die personenbezogene Daten verarbeiten, werden hierfür angemessen geschult;
  4. Alle Mitarbeiter, Vertreter, Auftragnehmer oder andere im Namen von ComponentSource tätige Parteien, die personenbezogene Daten verarbeiten, werden angemessen beaufsichtigt;
  5. Alle Mitarbeiter, Vertreter, Auftragnehmer oder andere im Namen von ComponentSource tätige Parteien, die personenbezogene Daten verarbeiten, sind verpflichtet und werden ermutigt, bei der Besprechung arbeitsbezogener Angelegenheiten mit Bezug zu personenbezogenen Daten Sorgfalt, Vorsicht und Diskretion walten zu lassen, sei es am Arbeitsplatz oder anderweitig;
  6. Methoden der Erhebung, Speicherung und Verarbeitung personenbezogener Daten werden regelmäßig bewertet und überprüft;
  7. Alle von ComponentSource gespeicherten personenbezogenen Daten werden regelmäßig überprüft, wie in der Richtlinie zur Datenspeicherung des Unternehmens festgelegt;
  8. Die Leistung derjenigen Mitarbeiter, Vertreter, Auftragnehmer oder anderer im Namen von ComponentSource tätiger Parteien, die personenbezogene Daten verarbeiten, wird regelmäßig bewertet und überprüft;
  9. Alle Mitarbeiter, Vertreter, Auftragnehmer oder andere im Namen von ComponentSource tätige Parteien, die personenbezogene Daten verarbeiten, sind vertraglich verpflichtet, dies gemäß den Grundsätzen aller anwendbaren Datenschutzgesetze und dieser Richtlinie zu tun;
  10. Alle Vertreter, Auftragnehmer oder andere im Namen von ComponentSource tätige Parteien, die personenbezogene Daten verarbeiten, müssen sicherstellen, dass alle ihre Mitarbeiter, die an der Verarbeitung personenbezogener Daten beteiligt sind, denselben Bedingungen unterliegen wie die relevanten Mitarbeiter des Unternehmens, die sich aus dieser Richtlinie und den anwendbaren Datenschutzgesetzen ergeben; und
  11. Wenn ein Vertreter, Auftragnehmer oder eine andere im Namen von ComponentSource tätige Partei, die personenbezogene Daten verarbeitet, ihre Verpflichtungen aus dieser Richtlinie nicht erfüllt, wird diese Partei ComponentSource von allen Kosten, Haftungen, Schäden, Verlusten, Ansprüchen oder Verfahren freistellen und schadlos halten, die sich aus diesem Verstoß ergeben können.

27. Übermittlung personenbezogener Daten in ein Land außerhalb des EWR

  1. Alle personenbezogenen Daten befinden sich auf den Servern des Unternehmens in seinen Büros im Vereinigten Königreich, in der Republik Irland, den USA und Japan. ComponentSource kann von Zeit zu Zeit personenbezogene Daten in andere Länder außerhalb des EWR übermitteln („Übermittlung“ umfasst die Fernbereitstellung).
  2. Die Übermittlung personenbezogener Daten in ein Land außerhalb des EWR erfolgt nur, wenn einer oder mehrere der folgenden Fälle zutreffen:
    1. Die Übermittlung erfolgt mit der informierten Einwilligung der betreffenden betroffenen Person(en), beispielsweise wenn Daten des Endbenutzer-Lizenznehmers als Bedingung der Lizenz an den Software-Publisher/-Eigentümer übermittelt werden;
    2. die Übermittlung für die Erfüllung eines Vertrags zwischen der betroffenen Person und ComponentSource erforderlich ist (oder für vorvertragliche Maßnahmen, die auf Anfrage der betroffenen Person ergriffen werden);
    3. die Übermittlung in ein Land, ein Gebiet oder einen oder mehrere bestimmte Sektoren in diesem Land (oder an eine internationale Organisation) erfolgt, für das/die das Ursprungsland ein angemessenes Schutzniveau für personenbezogene Daten festgestellt hat;
    4. die Übermittlung in ein Land (oder an eine internationale Organisation) erfolgt, das angemessene Garantien in Form einer rechtsverbindlichen Vereinbarung zwischen öffentlichen Stellen oder Organen bietet; verbindliche interne Datenschutzvorschriften; in den anwendbaren Datenschutzgesetzen angenommene Standard-Datenschutzklauseln; Einhaltung eines genehmigten Verhaltenskodex, der von einer Aufsichtsbehörde genehmigt wurde (z. B. das Information Commissioner’s Office im Vereinigten Königreich); Zertifizierung im Rahmen eines genehmigten Zertifizierungsmechanismus (wie in den anwendbaren Datenschutzgesetzen vorgesehen); vertragliche Klauseln, die von der zuständigen Aufsichtsbehörde vereinbart und genehmigt wurden; oder Bestimmungen, die in Verwaltungsvereinbarungen zwischen öffentlichen Stellen oder Organen aufgenommen wurden und von der zuständigen Aufsichtsbehörde genehmigt wurden;
    5. die Übermittlung aus wichtigen Gründen des öffentlichen Interesses erforderlich ist;
    6. die Übermittlung für die Geltendmachung rechtlicher Ansprüche erforderlich ist;
    7. die Übermittlung erforderlich ist, um lebenswichtige Interessen der betroffenen Person oder anderer Personen zu schützen, wenn die betroffene Person physisch oder rechtlich nicht in der Lage ist, ihre Einwilligung zu geben; oder
    8. die Übermittlung aus einem Register erfolgt, das nach den anwendbaren Datenschutzgesetzen dazu bestimmt ist, der Öffentlichkeit Informationen bereitzustellen und das der allgemeinen Öffentlichkeit oder sonstigen Personen zugänglich ist, die ein berechtigtes Interesse am Zugriff auf das Register nachweisen können.

28. Meldung von Datenschutzverletzungen

  1. Alle Datenschutzverletzungen müssen nach ihrer Entdeckung unverzüglich dem DPM gemeldet werden.
  2. Wenn eine Datenschutzverletzung auftritt und diese wahrscheinlich ein Risiko für die Rechte und Freiheiten betroffener Personen zur Folge hat (z. B. finanzieller Verlust, Verletzung der Vertraulichkeit, Diskriminierung, Rufschädigung oder sonstiger erheblicher sozialer oder wirtschaftlicher Schaden), muss der DPM sicherstellen, dass die zuständige Aufsichtsbehörde unverzüglich und in jedem Fall innerhalb von 72 Stunden, nachdem er davon Kenntnis erlangt hat, über die Verletzung informiert wird.
  3. Falls eine Datenschutzverletzung wahrscheinlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen zur Folge hat (d. h. ein höheres Risiko als das unter Abschnitt 28b beschriebene), sollte der DPM sicherstellen, dass alle betroffenen Personen direkt und ohne unangemessene Verzögerung über die Verletzung informiert werden.
  4. Meldungen über Datenschutzverletzungen sollten die folgenden Informationen enthalten:
    1. die Kategorien und die ungefähre Anzahl der betroffenen Personen;
    2. die Kategorien und die ungefähre Anzahl der betroffenen personenbezogenen Datensätze;
    3. den Namen und die Kontaktdaten des DPM (oder einer anderen Anlaufstelle, über die weitere Informationen erhältlich sind);
    4. die wahrscheinlichen Folgen der Verletzung;
    5. Einzelheiten zu den vom Unternehmen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung, einschließlich gegebenenfalls Maßnahmen zur Minderung ihrer möglichen nachteiligen Auswirkungen.

29. Umsetzung der Richtlinie

Das Wirksamkeitsdatum dieser Richtlinie ist der 1. November 2025.

CSDPP 10/2025