Diese Seite wurde mithilfe einer maschinellen Übersetzungstechnologie automatisch übersetzt. Es wurden angemessene Anstrengungen unternommen, um die Richtigkeit der Übersetzung zu gewährleisten; die englische Fassung ist jedoch maßgebend. Im Falle von Abweichungen, Unklarheiten oder Widersprüchen bei der Auslegung hat die englische Fassung Vorrang.
Diese Richtlinie legt die Pflichten der COMPONENTSOURCE GROUP fest, zu der Unternehmen gehören, die in England, der Republik Irland, den Niederlanden (Niederlassung), den Vereinigten Staaten von Amerika und Japan registriert sind („ComponentSource“ oder „das Unternehmen“), in Bezug auf den Datenschutz sowie die Rechte von Kunden, Lieferanten, Herausgebern, Mitarbeitern und Geschäftskontakten („betroffene Personen“) hinsichtlich ihrer personenbezogenen Daten nach den anwendbaren Datenschutzgesetzen in den Rechtsordnungen, in denen sie vertreten ist oder Geschäfte tätigt, einschließlich insbesondere EU-Verordnung 2016/679 Datenschutz-Grundverordnung („EU DSGVO“), die britische Datenschutz-Grundverordnung und der britische Data Protection Act 2018 (zusammen „UK DSGVO“) (gemeinsam „DSGVO“), den EU-US Data Privacy Framework, ein vom US-Handelsministerium betriebenes Selbstzertifizierungsprogramm („DPF“), sowie den California Consumer Privacy Act 2018 in der jeweils geänderten Fassung (Cal.Civ.Code 1798.100 bis 1798.199) („CCPA“). Soweit andere anwendbare Datenschutzgesetze gelten, die der DSGVO, dem DPF oder dem CCPA im Wesentlichen ähnlich sind, wird diese Richtlinie angemessen so ausgelegt, dass sie auf diese anderen Rechtsordnungen und Gesetze Anwendung findet.
Die anwendbaren Datenschutzgesetze definieren „personenbezogene Daten“ als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (eine betroffene Person) beziehen; eine identifizierbare natürliche Person ist eine Person, die direkt oder indirekt identifiziert werden kann, insbesondere durch Bezugnahme auf einen Identifikator wie einen Namen, eine Post- oder E-Mail-Adresse, eine Telefonnummer, eine Identifikationsnummer, Standortdaten, eine Online-Kennung oder auf ein oder mehrere Merkmale, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.
Diese Richtlinie legt die Pflichten des Unternehmens in Bezug auf Erhebung, Verarbeitung, Übermittlung, Speicherung und Löschung personenbezogener Daten fest. Die in dieser Richtlinie festgelegten Verfahren und Grundsätze sind vom Unternehmen, seinen Mitarbeitern, Vertretern, Auftragnehmern oder anderen Personen, die im Namen des Unternehmens tätig sind, jederzeit einzuhalten.
ComponentSource verpflichtet sich nicht nur zur Einhaltung des Wortlauts des Gesetzes, sondern auch seines Geistes und misst der korrekten, rechtmäßigen und fairen Behandlung aller personenbezogenen Daten große Bedeutung bei, wobei die gesetzlichen Rechte, die Privatsphäre und das Vertrauen aller Personen, mit denen das Unternehmen zu tun hat, respektiert werden.
Diese Richtlinie zielt darauf ab, die Einhaltung der DSGVO und aller anwendbaren Datenschutzgesetze sicherzustellen. Die anwendbaren Datenschutzgesetze legen die folgenden Grundsätze fest, die jede Partei, die personenbezogene Daten verarbeitet, einhalten muss. Alle personenbezogenen Daten müssen:
2.1 rechtmäßig, fair und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden;
2.2 für festgelegte, eindeutige und legitime Zwecke erhoben werden und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverarbeitet werden. Eine weitere Verarbeitung zu statistischen Zwecken gilt nicht als mit den ursprünglichen Zwecken unvereinbar;
2.3 dem Zweck angemessen, relevant und auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein;
2.4 sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein. Es müssen alle angemessenen Maßnahmen getroffen werden, um sicherzustellen, dass personenbezogene Daten, die in Bezug auf die Zwecke, für die sie verarbeitet werden, unrichtig sind, unverzüglich gelöscht oder berichtigt werden;
2.5 in einer Form gespeichert werden, die die Identifizierung von betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die die personenbezogenen Daten verarbeitet werden, erforderlich ist. Personenbezogene Daten dürfen über längere Zeiträume gespeichert werden, soweit die personenbezogenen Daten ausschließlich zu statistischen Zwecken verarbeitet werden oder soweit dies anderweitig durch die anwendbaren Datenschutzgesetze zulässig ist, einschließlich der berechtigten betrieblichen Erfordernisse unseres Geschäfts (vorbehaltlich der Umsetzung geeigneter technischer und organisatorischer Maßnahmen, die nach den anwendbaren Datenschutzgesetzen erforderlich sind, um die Rechte und Freiheiten der betroffenen Person zu schützen).
2.6 in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Beschädigung, unter Einsatz geeigneter technischer oder organisatorischer Maßnahmen.
Die anwendbaren Datenschutzgesetze legen die folgenden Rechte fest, die für betroffene Personen gelten (weitere Einzelheiten finden Sie in den angegebenen Teilen dieser Richtlinie):
3.1 Das Recht auf Information (Abschnitt 12).
3.2 Das Auskunftsrecht (Abschnitt 13);
3.3 Das Recht auf Berichtigung (Abschnitt 14);
3.4 Das Recht auf Löschung (auch bekannt als „Recht auf Vergessenwerden“) (Abschnitt 15);
3.5 Das Recht auf Einschränkung der Verarbeitung (Abschnitt 16);
3.6 Das Widerspruchsrecht (Abschnitt 17); und
3.7 Rechte in Bezug auf automatisierte Entscheidungsfindung und Profiling (Abschnitte 18 und 19).
4.1 Die anwendbaren Datenschutzgesetze sollen sicherstellen, dass personenbezogene Daten rechtmäßig, fair und transparent verarbeitet werden, ohne die Rechte der betroffenen Person zu beeinträchtigen. Die anwendbaren Datenschutzgesetze bestimmen, dass die Verarbeitung personenbezogener Daten rechtmäßig ist, wenn mindestens einer der folgenden Fälle zutrifft:
4.1.1 Die betroffene Person hat ihre Einwilligung zur Verarbeitung ihrer personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
4.1.2 die Verarbeitung zur Erfüllung eines Vertrags erforderlich ist, dessen Vertragspartei die betroffene Person ist, oder um auf Anfrage der betroffenen Person vor Abschluss eines Vertrags mit ihr Maßnahmen zu ergreifen;
4.1.3 die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt;
4.1.4 die Verarbeitung erforderlich ist, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
4.1.5 die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde; oder
4.1.6 die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere wenn es sich bei der betroffenen Person um ein Kind handelt.
5.1 ComponentSource erhebt und verarbeitet die in Abschnitt 20 dieser Richtlinie aufgeführten personenbezogenen Daten. Dazu gehören:
5.1.1 unmittelbar von betroffenen Personen erhobene personenbezogene Daten; und
5.1.2 von Dritten erhaltene personenbezogene Daten.
5.2 Das Unternehmen erhebt, verarbeitet und speichert personenbezogene Daten nur für die in Abschnitt 20 dieser Richtlinie genannten spezifischen Zwecke (oder für andere Zwecke, die ausdrücklich durch die anwendbaren Datenschutzgesetze erlaubt sind).
5.3 Betroffene Personen werden über den oder die Zwecke informiert, zu denen ComponentSource ihre personenbezogenen Daten verwendet. Weitere Informationen dazu, wie betroffene Personen informiert werden, finden Sie in Abschnitt 12.
ComponentSource erhebt und verarbeitet personenbezogene Daten nur für den und in dem Umfang, der für den spezifischen Zweck bzw. die spezifischen Zwecke erforderlich ist, über den bzw. die betroffene Personen gemäß Abschnitt 5 oben informiert wurden (oder werden), sowie wie in Abschnitt 20 unten festgelegt.
7.1 ComponentSource ist bestrebt, in angemessenem Umfang sicherzustellen, dass alle von ihr erhobenen, verarbeiteten und gespeicherten personenbezogenen Daten korrekt und aktuell gehalten werden. Dies umfasst unter anderem die Berichtigung personenbezogener Daten auf Anfrage einer betroffenen Person, wie in Abschnitt 14 unten festgelegt.
7.2 Die Richtigkeit personenbezogener Daten wird bei der Erhebung überprüft. Wird ComponentSource später eine Änderung personenbezogener Daten mitgeteilt oder stellt sich heraus, dass personenbezogene Daten unrichtig oder nicht mehr aktuell sind, werden ohne Verzögerung alle angemessenen Maßnahmen ergriffen, um diese Daten je nach Fall zu ändern oder zu löschen.
8.1 Vorbehaltlich der berechtigten betrieblichen Erfordernisse seines Geschäfts bewahrt ComponentSource personenbezogene Daten nicht länger auf, als es angesichts des Zwecks bzw. der Zwecke erforderlich ist, für die diese personenbezogenen Daten ursprünglich erhoben, gespeichert und verarbeitet wurden.
8.2 Wenn personenbezogene Daten nicht mehr erforderlich sind, werden alle angemessenen Maßnahmen ergriffen, um sie unverzüglich zu löschen oder anderweitig zu beseitigen.
8.3 Vollständige Einzelheiten zum Ansatz des Unternehmens in Bezug auf die Aufbewahrung von Daten, einschließlich der Aufbewahrungsfristen für bestimmte von ComponentSource gespeicherte Arten personenbezogener Daten, finden Sie in unserer Richtlinie zur Datenaufbewahrung.
ComponentSource stellt sicher, dass alle erhobenen, gespeicherten und verarbeiteten personenbezogenen Daten sicher aufbewahrt und gegen unbefugte oder unrechtmäßige Verarbeitung sowie gegen unbeabsichtigten Verlust, unbeabsichtigte Zerstörung oder unbeabsichtigte Beschädigung geschützt werden. Weitere Einzelheiten zu den technischen und organisatorischen Maßnahmen, die zu ergreifen sind, finden Sie in den Abschnitten 20 bis 26 dieser Richtlinie.
10.1 Der Datenschutzbeauftragte des Unternehmens, Nigel Farnworth, ist unter dpm@componentsource.com, telefonisch unter +44 (118) 982 2108 oder +1 (770) 250 6105 erreichbar.
10.2 Der Datenschutzbeauftragte ist für die Überwachung der Umsetzung dieser Richtlinie und für die Überwachung der Einhaltung dieser Richtlinie, der weiteren datenschutzbezogenen Richtlinien des Unternehmens sowie aller anwendbaren Datenschutzgesetze verantwortlich. ComponentSource führt interne Aufzeichnungen über alle Vorgänge der Erhebung, Speicherung und Verarbeitung personenbezogener Daten, die die folgenden Informationen enthalten:
10.2.1 den Namen und die Kontaktdaten des Unternehmens, seines Datenschutzbeauftragten und etwaiger einschlägiger Drittanbieter von Datenverarbeitungsdiensten;
10.2.2 die Zwecke, für die das Unternehmen personenbezogene Daten erhebt, speichert und verarbeitet;
10.2.3 Einzelheiten zu den Kategorien personenbezogener Daten, die vom Unternehmen erhoben, gespeichert und verarbeitet werden, sowie zu den Kategorien betroffener Personen, auf die sich diese personenbezogenen Daten beziehen;
10.2.4 Einzelheiten zu etwaigen Übermittlungen personenbezogener Daten in Nicht-EWR-Länder einschließlich aller Mechanismen und Sicherheitsvorkehrungen;
10.2.5 Einzelheiten dazu, wie lange personenbezogene Daten vom Unternehmen aufbewahrt werden (bitte beachten Sie die Richtlinie zur Datenaufbewahrung von ComponentSource) und
10.2.6 ausführliche Beschreibungen aller von ComponentSource ergriffenen technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit personenbezogener Daten.
11.1 ComponentSource führt für alle neuen Projekte und/oder neuen Verwendungszwecke personenbezogener Daten Datenschutz-Folgenabschätzungen durch.
11.2 Datenschutz-Folgenabschätzungen werden vom Datenschutzbeauftragten überwacht und behandeln Folgendes:
11.2.1 die Art(en) der personenbezogenen Daten, die erhoben, gespeichert und verarbeitet werden;
11.2.2 den/die Zweck(e), für die personenbezogene Daten verwendet werden sollen;
11.2.3 die Ziele des Unternehmens;
11.2.4 wie personenbezogene Daten verwendet werden sollen;
11.2.5 die zu konsultierenden Parteien (intern und/oder extern);
11.2.6 die Erforderlichkeit und Verhältnismäßigkeit der Datenverarbeitung in Bezug auf den/die Zweck(e), für den/die sie verarbeitet wird;
11.2.7 die für betroffene Personen entstehenden Risiken;
11.2.8 die Risiken sowohl innerhalb des Unternehmens als auch für das Unternehmen; und
11.2.9 vorgeschlagene Maßnahmen zur Minimierung und Handhabung identifizierter Risiken.
12.1 Auf Anfrage einer betroffenen Person stellt ComponentSource der betroffenen Person innerhalb von 5 Geschäftstagen die in Abschnitt 12.2 aufgeführten Informationen zur Verfügung:
12.1.1 Werden personenbezogene Daten direkt bei betroffenen Personen erhoben, werden diese betroffenen Personen zum Zeitpunkt der Erhebung über den Zweck informiert; und
12.1.2 werden personenbezogene Daten von einem Dritten erhalten, werden die betreffenden betroffenen Personen über den Zweck informiert:
a) wenn die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden, bei der ersten Kommunikation; oder
b) wenn die personenbezogenen Daten an eine andere Partei übermittelt werden sollen, vor der Übermittlung; oder
c) sobald dies vernünftigerweise möglich ist und in jedem Fall nicht später als einen Monat nach Erhalt der personenbezogenen Daten.
12.2 Die folgenden Informationen werden betroffenen Personen auf Anfrage zur Verfügung gestellt:
12.2.1 Einzelheiten zum Unternehmen, einschließlich, aber nicht beschränkt auf die Kontaktdaten seines Datenschutzbeauftragten;
12.2.2 der/die Zweck(e), für die die personenbezogenen Daten erhoben werden und verarbeitet werden sollen (wie in Abschnitt 20 dieser Richtlinie im Detail beschrieben);
12.2.3 gegebenenfalls die berechtigten Interessen, auf die das Unternehmen seine Erhebung und Verarbeitung der personenbezogenen Daten stützt;
12.2.4 wenn die personenbezogenen Daten nicht direkt von der betroffenen Person erhoben werden, die Kategorien der erhobenen und verarbeiteten personenbezogenen Daten;
12.2.5 wenn die personenbezogenen Daten an einen oder mehrere Dritte übermittelt werden sollen, Einzelheiten zu diesen Parteien;
12.2.6 wenn die personenbezogenen Daten an einen Dritten übermittelt werden sollen, der sich außerhalb des Europäischen Wirtschaftsraums („EWR“) befindet, Einzelheiten zu dieser Übermittlung, einschließlich, aber nicht beschränkt auf die vorhandenen Schutzmaßnahmen (weitere Einzelheiten siehe Abschnitt 27 dieser Richtlinie);
12.2.7 Einzelheiten zur Datenaufbewahrung;
12.2.8 Einzelheiten zu den Rechten der betroffenen Person nach den anwendbaren Datenschutzgesetzen;
12.2.9 Einzelheiten zum Recht der betroffenen Person, ihre Einwilligung in die Verarbeitung ihrer personenbezogenen Daten durch das Unternehmen jederzeit zu widerrufen;
12.2.10 Einzelheiten zum Recht der betroffenen Person, sich bei der Information Commissioner's Office (der „Aufsichtsbehörde“ nach der UK DSGVO) oder gegebenenfalls bei den entsprechenden Behörden in der Republik Irland, den Niederlanden, den USA und Japan zu beschweren;
12.2.11 gegebenenfalls Einzelheiten zu einer gesetzlichen oder vertraglichen Anforderung oder Verpflichtung, die die Erhebung und Verarbeitung der personenbezogenen Daten erforderlich macht, sowie Einzelheiten zu etwaigen Folgen der Nichterteilung; und
12.2.12 Einzelheiten zu jeglicher automatisierten Entscheidungsfindung oder Profiling-Aktivität, die unter Verwendung der personenbezogenen Daten erfolgt, einschließlich Informationen darüber, wie Entscheidungen getroffen werden, welche Bedeutung diese Entscheidungen haben und welche Folgen sie haben.
13.1 Betroffene Personen können jederzeit Auskunftsersuchen („SARs“) stellen, um mehr über die personenbezogenen Daten zu erfahren, die ComponentSource über sie gespeichert hat, was mit diesen personenbezogenen Daten geschieht und warum.
13.2 Betroffene Personen, die ein SAR stellen möchten, sollten dies mithilfe eines Subject Access Request Form tun und das Formular an den Datenschutzbeauftragten des Unternehmens unter dpm@componentsource.com senden.
13.3 Antworten auf SARs werden normalerweise innerhalb eines Monats nach Eingang gegeben; diese Frist kann jedoch um bis zu zwei Monate verlängert werden, wenn das SAR komplex ist und/oder zahlreiche Anfragen gestellt werden. Ist diese zusätzliche Zeit erforderlich, wird die betroffene Person informiert.
13.4 Alle eingehenden SARs werden vom Datenschutzbeauftragten des Unternehmens bearbeitet.
13.5 ComponentSource erhebt für die Bearbeitung normaler SARs keine Gebühr. Das Unternehmen behält sich das Recht vor, angemessene Gebühren für zusätzliche Kopien von Informationen zu erheben, die einer betroffenen Person bereits zur Verfügung gestellt wurden, sowie für offenkundig unbegründete oder exzessive Anfragen, insbesondere wenn solche Anfragen wiederholt werden.
14.1 Betroffene Personen haben das Recht zu verlangen, dass ComponentSource unrichtige oder unvollständige personenbezogene Daten berichtigt.
14.2 ComponentSource wird die betreffenden personenbezogenen Daten berichtigen und die betroffene Person über diese Berichtigung informieren, und zwar innerhalb eines Monats, nachdem die betroffene Person das Unternehmen über das Problem informiert hat. Die Frist kann bei komplexen Anfragen um bis zu zwei Monate verlängert werden. Ist diese zusätzliche Zeit erforderlich, wird die betroffene Person informiert.
14.3 Falls betroffene personenbezogene Daten Dritten offengelegt wurden, werden diese Parteien über jede Berichtigung informiert, die an diesen personenbezogenen Daten spätestens bei der Verarbeitung der nächsten Transaktion vorgenommen werden muss.
15.1 Betroffene Personen haben das Recht zu verlangen, dass ComponentSource die über sie gespeicherten personenbezogenen Daten in den folgenden Fällen löscht:
15.1.1 Es ist für das Unternehmen nicht mehr erforderlich, diese personenbezogenen Daten in Bezug auf den/die Zweck(e), für den/die sie ursprünglich erhoben oder verarbeitet wurden, zu speichern;
15.1.2 die betroffene Person ihre Einwilligung in die Speicherung und Verarbeitung ihrer personenbezogenen Daten durch ComponentSource widerrufen möchte;
15.1.3 die betroffene Person der Speicherung und Verarbeitung ihrer personenbezogenen Daten durch ComponentSource widerspricht (und kein zwingendes berechtigtes Interesse besteht, das es dem Unternehmen erlaubt, dies fortzusetzen) (weitere Einzelheiten zum Widerspruchsrecht siehe Abschnitt 17 dieser Richtlinie);
15.1.4 die personenbezogenen Daten unrechtmäßig verarbeitet wurden;
15.1.5 die personenbezogenen Daten gelöscht werden müssen, damit ComponentSource einer bestimmten rechtlichen Verpflichtung nachkommen kann.
15.2 Sofern ComponentSource keine berechtigten Gründe hat, die Löschung personenbezogener Daten zu verweigern, werden alle Löschungsanträge erfüllt und die betroffene Person innerhalb eines Monats nach Eingang ihres Antrags über die Löschung informiert. Die Frist kann bei komplexen Anträgen um bis zu zwei Monate verlängert werden. Ist diese zusätzliche Zeit erforderlich, wird die betroffene Person informiert.
15.3 Falls personenbezogene Daten, die auf Antrag einer betroffenen Person zu löschen sind, Dritten offengelegt wurden, werden diese Parteien über die Löschung informiert (es sei denn, dies ist unmöglich oder würde einen unverhältnismäßigen Aufwand erfordern).
15.4 Die Löschung personenbezogener Daten erstreckt sich nicht auf interne Unterlagen von ComponentSource, die die Umstände der Löschung (Antrag und Erfüllung) dokumentieren, noch wird eine Löschung vorgenommen, die den wirksamen Betrieb der Betrugsbekämpfungssysteme des Unternehmens beeinträchtigen würde.
16.1 Betroffene Personen können verlangen, dass ComponentSource die Verarbeitung der über sie gespeicherten personenbezogenen Daten einstellt. Stellt eine betroffene Person einen solchen Antrag, speichert das Unternehmen nur die Menge an personenbezogenen Daten, die sich auf diese betroffene Person beziehen (falls vorhanden), die erforderlich ist, um sicherzustellen, dass die betreffenden personenbezogenen Daten nicht weiter verarbeitet werden.
Hinweis: Betroffene Personen werden darauf hingewiesen, dass die Erfüllung durch ComponentSource den Widerruf laufender Softwarelizenzen erforderlich machen könnte, und sie erhalten die Möglichkeit, ihren Antrag vor seiner Umsetzung zurückzuziehen oder zu ändern.
16.2 Falls betroffene personenbezogene Daten Dritten offengelegt wurden, werden diese Parteien über die für deren Verarbeitung geltenden Einschränkungen informiert (es sei denn, dies ist unmöglich oder würde einen unverhältnismäßigen Aufwand erfordern).
17.1 Betroffene Personen haben das Recht, der Verarbeitung ihrer personenbezogenen Daten durch ComponentSource auf Grundlage berechtigter Interessen, Direktwerbung (einschließlich Profiling) sowie der Verarbeitung zu statistischen Zwecken zu widersprechen.
17.2 Widerspricht eine betroffene Person der Verarbeitung ihrer personenbezogenen Daten durch ComponentSource auf Grundlage berechtigter Interessen, stellt das Unternehmen diese Verarbeitung unverzüglich ein, es sei denn, es kann nachgewiesen werden, dass die berechtigten Gründe des Unternehmens für diese Verarbeitung die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen oder dass die Verarbeitung für die Geltendmachung rechtlicher Ansprüche erforderlich ist.
17.3 Widerspricht eine betroffene Person der Verarbeitung ihrer personenbezogenen Daten durch ComponentSource zu Zwecken der Direktwerbung, stellt das Unternehmen diese Verarbeitung unverzüglich ein.
18.1 Das Unternehmen verwendet personenbezogene Daten in automatisierten Entscheidungsprozessen.
18.2 Wenn solche Entscheidungen für betroffene Personen rechtliche oder ähnlich erhebliche Auswirkungen haben, haben diese betroffenen Personen das Recht, solche Entscheidungen nach den anwendbaren Datenschutzgesetzen anzufechten, menschliches Eingreifen zu verlangen, ihren eigenen Standpunkt darzulegen und vom Unternehmen eine Erklärung der Entscheidung zu erhalten.
18.3 Das in Abschnitt 18.2 beschriebene Recht gilt in den folgenden Fällen nicht:
18.3.1 Die Entscheidung ist für den Abschluss oder die Erfüllung eines Vertrags zwischen dem Unternehmen und der betroffenen Person erforderlich;
18.3.2 die Entscheidung ist gesetzlich zulässig; oder
18.3.3 die betroffene Person hat ausdrücklich eingewilligt.
19.1 Das Unternehmen verwendet personenbezogene Daten allgemein zu Profiling-Zwecken, um den Nutzen und die Wirksamkeit seiner Kundendienste zu maximieren.
19.2 Wenn personenbezogene Daten zu Profiling-Zwecken verwendet werden, gilt Folgendes:
19.2.1 Es werden technische und organisatorische Maßnahmen umgesetzt, um das Fehlerrisiko zu minimieren. Wenn Fehler auftreten, sollten solche Maßnahmen deren einfache Berichtigung ermöglichen; und
19.2.2 Alle zu Profiling-Zwecken verarbeiteten personenbezogenen Daten werden gesichert, um diskriminierende Auswirkungen zu verhindern, die sich aus dem Profiling ergeben (weitere Einzelheiten zur Datensicherheit finden Sie in den Abschnitten 21 bis 25 dieser Richtlinie).
Die folgenden personenbezogenen Daten werden von ComponentSource erhoben, gespeichert und verarbeitet (Einzelheiten zur Datenaufbewahrung finden Sie in der Richtlinie zur Datenaufbewahrung des Unternehmens):
| Datenreferenz | Art der Daten | Zweck der Daten |
|---|---|---|
| Kunde | Name | Erstellung von Angeboten, Auftragsbearbeitung, Authentifizierung & Softwarelieferung |
| Kunde | Name und Art der Organisation | Kundenregistrierung, Erstellung von Angeboten, Auftragsbearbeitung, Authentifizierung & Softwarelieferung |
| Kunde | Adresse (einschließlich Straße, Kreis/Bundesland, PLZ oder Postleitzahl, Land) | Erstellung von Angeboten, Auftragsbearbeitung, Authentifizierung & Softwarelieferung, Lieferung gedruckter Kataloge, Lieferung von Werbeartikeln (Kaffeebecher) |
| Kunde | E-Mail-Adresse | Kundenregistrierung, Erstellung von Angeboten, Auftragsbearbeitung, Authentifizierung & Softwarelieferung, Produktnachrichten, Zustellung des Kunden-E-Mail-Newsletters, Kundenkommunikation |
| Kunde | Telefonnummer | Erstellung von Angeboten, Auftragsbearbeitung & Softwarelieferung, Kundenkommunikation |
| Kunde | IP-Adresse | Erstellung von Angeboten, Auftragsbearbeitung, Authentifizierung, Zahlungsabwicklung & Softwarelieferung |
| Kunde | Bankkontonummern, Bankleitzahl, Kontoinhabername | Auftragsbearbeitung & Zahlungsabwicklung |
| Kunde | Kredit-/Debitkartennummer, Karteninhabername, Ablaufdatum und CV2-Nummer (CV2 wird nur pro Transaktion verwendet und niemals gespeichert) | Auftragsbearbeitung, Zahlungsabwicklung, Authentifizierung & Verifizierung |
| Endnutzer-Lizenznehmer | Name (falls abweichend vom Kunden) | Erstellung von Angeboten, Auftragsbearbeitung, Authentifizierung & Softwarelieferung |
| Endnutzer-Lizenznehmer | Name und Art der Organisation | Registrierung des Lizenznehmers beim Herausgeber, Erstellung von Angeboten, Auftragsbearbeitung, Authentifizierung & Softwarelieferung |
| Endnutzer-Lizenznehmer | Adresse (einschließlich Straße, Kreis/Bundesland, PLZ oder Postleitzahl, Land) | Erstellung von Angeboten, Auftragsbearbeitung, Authentifizierung & Softwarelieferung |
| Endnutzer-Lizenznehmer | E-Mail-Adresse | Erstellung von Angeboten, Auftragsbearbeitung, Authentifizierung, & Softwarelieferung, Kommunikation mit Lizenznehmern |
| Endnutzer-Lizenznehmer | Telefonnummer | Erstellung von Angeboten, Auftragsbearbeitung & Softwarelieferung, Kommunikation mit Lizenznehmern |
| Endnutzer-Lizenznehmer | IP-Adresse | Erstellung von Angeboten, Auftragsbearbeitung, Authentifizierung, Zahlungsabwicklung & Softwarelieferung |
| Herausgeber | Name, Adresse, E-Mail-Adresse, Telefonnummer, Bankverbindungsdaten | Auftragsbearbeitung, Zahlungsabwicklung & Softwarelieferung |
| Lieferant | Name, Adresse, E-Mail-Adresse, Telefonnummer, Bankverbindungsdaten | Auftragsbearbeitung, Zahlungsabwicklung & Softwarelieferung |
| Aktionär | Name, Adresse, E-Mail-Adresse, Telefonnummer, Bankverbindungsdaten | Kommunikation mit Aktionären, Unternehmensmeldungen & Register, plus Zahlungsabwicklung |
| Mitarbeiter / Geschäftsführer / Auftragnehmer | Name, Adresse, E-Mail-Adresse, Telefonnummer, Sozialversicherungsnummer, Steuercodes, Bankverbindungsdaten und alle weiteren Informationen, die im Zusammenhang mit der Durchführung und Verwaltung ihrer Arbeitsverträge erforderlich sind | Datenverwendung in den individuellen Datenschutzhinweis-Anlagen zu ihren Arbeitsverträgen oder Dienstleistungsverträgen |
ComponentSource stellt sicher, dass in Bezug auf sämtliche Kommunikation und sonstige Übermittlungen personenbezogener Daten die folgenden Maßnahmen ergriffen werden:
21.1 Kreditkartendaten, die dem Unternehmen auf seiner Website übermittelt werden, werden verschlüsselt;
21.2 Alle E-Mails, die personenbezogene Daten enthalten, unabhängig davon, ob sie gesendet oder empfangen wurden, werden sicher gespeichert.
21.3 Wenn personenbezogene Daten in Papierform übermittelt werden sollen, sollten sie direkt an den Empfänger übergeben oder über anerkannte Post- oder Zustelldienste versendet werden.
ComponentSource stellt sicher, dass in Bezug auf die Speicherung personenbezogener Daten die folgenden Maßnahmen ergriffen werden:
22.1 Alle elektronischen Kopien personenbezogener Daten sollten sicher gespeichert werden;
22.2 Alle Papierkopien personenbezogener Daten sowie alle elektronischen Kopien, die auf physischen, entfernbaren Medien gespeichert sind, sollten sicher gespeichert werden;
22.3 Alle elektronisch gespeicherten personenbezogenen Daten sollten regelmäßig gesichert werden, wobei Sicherungen, wann immer praktikabel, außerhalb des Standorts gespeichert werden sollten;
22.4 Es sollten keine personenbezogenen Daten auf einem mobilen Gerät (einschließlich, aber nicht beschränkt auf Laptops, Tablets und Smartphones) gespeichert werden, unabhängig davon, ob das betreffende Gerät ComponentSource gehört oder nicht, ohne die schriftliche Genehmigung des Datenschutzbeauftragten und, im Fall einer solchen Genehmigung, strikt gemäß allen in der Genehmigung beschriebenen Anweisungen und Einschränkungen und nicht länger als unbedingt erforderlich; und
22.5 Es sollten keine personenbezogenen Daten auf ein Gerät übertragen werden, das sich im persönlichen Besitz eines Mitarbeiters befindet, und personenbezogene Daten dürfen nur auf Geräte übertragen werden, die Vertretern, Auftragnehmern oder anderen Personen gehören, die im Namen des Unternehmens tätig sind, sofern die betreffende Partei zugestimmt hat, den Wortlaut und den Geist dieser Richtlinie sowie aller anwendbaren Datenschutzgesetze vollständig einzuhalten (was unter anderem den Nachweis gegenüber dem Unternehmen umfassen kann, dass alle geeigneten technischen und organisatorischen Maßnahmen ergriffen wurden).
Wenn personenbezogene Daten aus irgendeinem Grund gelöscht oder anderweitig beseitigt werden sollen (einschließlich Fällen, in denen Kopien erstellt wurden und nicht mehr benötigt werden), sollten sie sicher gelöscht und beseitigt werden. Weitere Informationen zur Löschung und Beseitigung personenbezogener Daten finden Sie in der Richtlinie zur Datenaufbewahrung des Unternehmens.
ComponentSource stellt sicher, dass in Bezug auf die Verwendung personenbezogener Daten die folgenden Maßnahmen ergriffen werden:
24.1 Personenbezogene Daten dürfen nicht informell weitergegeben werden, und wenn ein Mitarbeiter, Vertreter, Subunternehmer oder eine andere im Namen von ComponentSource tätige Partei Zugang zu personenbezogenen Daten benötigt, auf die sie noch keinen Zugriff hat, ist dieser Zugang formell beim Datenschutzbeauftragten zu beantragen;
24.2 Personenbezogene Daten dürfen ohne Genehmigung des Datenschutzbeauftragten nicht an Mitarbeiter, Vertreter, Auftragnehmer oder andere Parteien übermittelt werden, unabhängig davon, ob diese Parteien im Namen von ComponentSource tätig sind oder nicht;
24.3 Mit personenbezogenen Daten ist jederzeit sorgfältig umzugehen, und sie dürfen zu keinem Zeitpunkt unbeaufsichtigt gelassen oder unbefugten Mitarbeitern, Vertretern, Subunternehmern oder anderen Parteien offengelegt werden;
24.4 Wenn personenbezogene Daten auf einem Computerbildschirm angezeigt werden und der betreffende Computer für einen Zeitraum unbeaufsichtigt gelassen werden soll, sollte der Nutzer den Computer und den Bildschirm vor dem Verlassen sperren; und
24.5 Wenn von ComponentSource gespeicherte personenbezogene Daten für Marketingzwecke verwendet werden, obliegt es dem Datenschutzbeauftragten sicherzustellen, dass die entsprechende Einwilligung eingeholt wurde und dass keine betroffenen Personen sich abgemeldet haben, sei es direkt oder über einen Drittanbieterdienst.
ComponentSource stellt sicher, dass in Bezug auf IT- und Informationssicherheit die folgenden Maßnahmen ergriffen werden:
25.1 Alle zur Sicherung personenbezogener Daten verwendeten Passwörter sollten regelmäßig geändert werden und keine Wörter oder Phrasen enthalten, die leicht erraten oder anderweitig kompromittiert werden können. Es wird empfohlen, dass alle Passwörter eine Kombination aus Groß- und Kleinbuchstaben, Zahlen und Symbolen enthalten;
25.2 Unter keinen Umständen dürfen Passwörter aufgeschrieben oder zwischen Mitarbeitern, Vertretern, Auftragnehmern oder anderen im Namen von ComponentSource tätigen Parteien weitergegeben werden, unabhängig von Dienstalter oder Abteilung. Wenn ein Passwort vergessen wurde, muss es mit der anwendbaren Methode zurückgesetzt werden. IT-Mitarbeiter haben keinen Zugriff auf Passwörter;
25.3 Alle Software (einschließlich, aber nicht beschränkt auf Anwendungen und Betriebssysteme) wird, soweit dies kommerziell praktikabel ist, auf dem neuesten Stand gehalten. Die IT-Mitarbeiter des Unternehmens sind dafür verantwortlich, alle sicherheitsrelevanten Updates unverzüglich nach Bereitstellung durch den Herausgeber oder Hersteller zu installieren, sofern keine triftigen technischen Gründe dagegensprechen; und
25.4 Es darf keine Software auf einem Computer oder Gerät des Unternehmens installiert werden, ohne vorherige Genehmigung des IT-Managers oder des Datenschutzbeauftragten.
ComponentSource stellt sicher, dass in Bezug auf die Erhebung, Speicherung und Verarbeitung personenbezogener Daten die folgenden Maßnahmen ergriffen werden:
26.1 Alle Mitarbeiter, Vertreter, Auftragnehmer oder andere im Namen von ComponentSource tätige Parteien werden vollständig über ihre individuellen Verantwortlichkeiten und die Verantwortlichkeiten des Unternehmens nach den anwendbaren Datenschutzgesetzen und dieser Richtlinie informiert und erhalten eine Kopie dieser Richtlinie;
26.2 Nur Mitarbeiter, Vertreter, Subunternehmer oder andere im Namen von ComponentSource tätige Parteien, die Zugriff auf personenbezogene Daten und deren Nutzung benötigen, um ihre zugewiesenen Aufgaben ordnungsgemäß auszuführen, erhalten Zugriff auf die von ComponentSource gespeicherten personenbezogenen Daten;
26.3 Alle Mitarbeiter, Vertreter, Auftragnehmer oder andere im Namen von ComponentSource tätige Parteien, die personenbezogene Daten verarbeiten, werden entsprechend geschult;
26.4 Alle Mitarbeiter, Vertreter, Auftragnehmer oder andere im Namen von ComponentSource tätige Parteien, die personenbezogene Daten verarbeiten, werden angemessen überwacht;
26.5 Alle Mitarbeiter, Vertreter, Auftragnehmer oder andere im Namen von ComponentSource tätige Parteien, die personenbezogene Daten verarbeiten, sind verpflichtet und werden dazu angehalten, bei der Besprechung arbeitsbezogener Angelegenheiten mit Bezug zu personenbezogenen Daten, sei es am Arbeitsplatz oder anderweitig, Sorgfalt, Vorsicht und Diskretion walten zu lassen;
26.6 Methoden der Erhebung, Speicherung und Verarbeitung personenbezogener Daten werden regelmäßig bewertet und überprüft;
26.7 Alle von ComponentSource gespeicherten personenbezogenen Daten werden regelmäßig überprüft, wie in der Richtlinie zur Datenaufbewahrung des Unternehmens festgelegt;
26.8 die Leistung derjenigen Mitarbeiter, Vertreter, Auftragnehmer oder anderer im Namen von ComponentSource tätiger Parteien, die personenbezogene Daten verarbeiten, wird regelmäßig bewertet und überprüft;
26.9 Alle Mitarbeiter, Vertreter, Auftragnehmer oder andere im Namen von ComponentSource tätige Parteien, die personenbezogene Daten verarbeiten, werden vertraglich dazu verpflichtet, dies in Übereinstimmung mit den Grundsätzen aller anwendbaren Datenschutzgesetze und dieser Richtlinie zu tun;
26.10 Alle Vertreter, Auftragnehmer oder andere im Namen von ComponentSource tätige Parteien, die personenbezogene Daten verarbeiten, müssen sicherstellen, dass sämtliche ihrer Mitarbeiter, die an der Verarbeitung personenbezogener Daten beteiligt sind, denselben Bedingungen unterliegen wie die entsprechenden Mitarbeiter des Unternehmens, die sich aus dieser Richtlinie und den anwendbaren Datenschutzgesetzen ergeben; und
26.11 Falls ein Vertreter, Auftragnehmer oder eine andere im Namen von ComponentSource tätige Partei, die personenbezogene Daten verarbeitet, ihre Pflichten nach dieser Richtlinie verletzt, stellt diese Partei ComponentSource von allen Kosten, Haftungen, Schäden, Verlusten, Ansprüchen oder Verfahren frei und hält das Unternehmen schadlos, die aus dieser Verletzung entstehen können.
27.1 Alle personenbezogenen Daten befinden sich auf den Servern des Unternehmens in seinen Büros im Vereinigten Königreich, der Republik Irland, den Niederlanden, den USA und Japan. ComponentSource kann von Zeit zu Zeit personenbezogene Daten in andere Länder außerhalb des EWR übermitteln („Übermittlung“ umfasst auch die Bereitstellung aus der Ferne).
27.2 Die Übermittlung personenbezogener Daten in ein Land außerhalb des EWR erfolgt nur, wenn einer oder mehrere der folgenden Fälle zutreffen:
27.2.1 Die Übermittlung erfolgt mit der informierten Einwilligung der betreffenden betroffenen Person(en), zum Beispiel wenn Daten eines Endnutzer-Lizenznehmers als Bedingung der Lizenz an den Software-Herausgeber/Eigentümer übermittelt werden;
27.2.2 die Übermittlung für die Erfüllung eines Vertrags zwischen der betroffenen Person und ComponentSource erforderlich ist (oder für vorvertragliche Maßnahmen, die auf Anfrage der betroffenen Person ergriffen werden);
27.2.3 die Übermittlung in ein Land, ein Gebiet oder einen oder mehrere bestimmte Sektoren in diesem Land (oder an eine internationale Organisation) erfolgt, für das bzw. die das Ursprungsland festgestellt hat, dass es ein angemessenes Schutzniveau für personenbezogene Daten gewährleistet;
27.2.4 die Übermittlung in ein Land (oder an eine internationale Organisation) erfolgt, das bzw. die angemessene Garantien in Form einer rechtlich bindenden Vereinbarung zwischen Behörden oder Stellen; verbindlicher interner Datenschutzvorschriften; in den anwendbaren Datenschutzgesetzen verabschiedeter Standarddatenschutzklauseln; Einhaltung eines von einer Aufsichtsbehörde genehmigten Verhaltenskodex (z. B. das Information Commissioner's Office im Vereinigten Königreich); Zertifizierung nach einem genehmigten Zertifizierungsmechanismus (wie in den anwendbaren Datenschutzgesetzen vorgesehen); vertraglicher Klauseln, die von der zuständigen Aufsichtsbehörde vereinbart und genehmigt wurden; oder Bestimmungen, die in Verwaltungsvereinbarungen zwischen Behörden oder Stellen aufgenommen wurden und von der zuständigen Aufsichtsbehörde genehmigt wurden, bietet;
27.2.5 die Übermittlung aus wichtigen Gründen des öffentlichen Interesses erforderlich ist;
27.2.6 die Übermittlung zur Geltendmachung rechtlicher Ansprüche erforderlich ist;
27.2.7 die Übermittlung erforderlich ist, um lebenswichtige Interessen der betroffenen Person oder anderer Personen zu schützen, wenn die betroffene Person physisch oder rechtlich nicht in der Lage ist, ihre Einwilligung zu erteilen; oder
27.2.8 die Übermittlung aus einem Register erfolgt, das nach den anwendbaren Datenschutzgesetzen dazu bestimmt ist, der Öffentlichkeit Informationen bereitzustellen und für die Allgemeinheit oder für diejenigen zugänglich ist, die ein berechtigtes Interesse am Zugang zum Register nachweisen können.
28.1 Alle Verletzungen des Schutzes personenbezogener Daten müssen nach Entdeckung unverzüglich dem Datenschutzbeauftragten des Unternehmens gemeldet werden.
28.2 Tritt eine Verletzung des Schutzes personenbezogener Daten auf und ist wahrscheinlich, dass diese Verletzung ein Risiko für die Rechte und Freiheiten betroffener Personen zur Folge hat (z. B. finanzieller Verlust, Verletzung der Vertraulichkeit, Diskriminierung, Rufschädigung oder sonstige erhebliche soziale oder wirtschaftliche Schäden), muss der Datenschutzbeauftragte sicherstellen, dass die zuständige Aufsichtsbehörde unverzüglich und in jedem Fall innerhalb von 72 Stunden nach Kenntniserlangung informiert wird.
28.3 Falls eine Verletzung des Schutzes personenbezogener Daten wahrscheinlich zu einem hohen Risiko für die Rechte und Freiheiten betroffener Personen führt (das heißt zu einem höheren Risiko als dem in Abschnitt 28.2 beschriebenen), sollte der Datenschutzbeauftragte sicherstellen, dass alle betroffenen Personen direkt und ohne unangemessene Verzögerung über die Verletzung informiert werden.
28.4 Meldungen über Datenschutzverletzungen sollten die folgenden Informationen enthalten:
28.4.1 die Kategorien und die ungefähre Anzahl der betroffenen Personen;
28.4.2 die Kategorien und die ungefähre Anzahl der betroffenen Datensätze personenbezogener Daten;
28.4.3 den Namen und die Kontaktdaten des Datenschutzbeauftragten des Unternehmens (oder eines anderen Anlaufpunkts, bei dem weitere Informationen erhältlich sind);
28.4.4 die wahrscheinlichen Folgen der Verletzung;
28.4.5 Einzelheiten zu den von dem Unternehmen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung, einschließlich gegebenenfalls Maßnahmen zur Minderung ihrer möglichen nachteiligen Auswirkungen.
Diese Richtlinie gilt ab dem 1. November 2023 als wirksam.
Diese Richtlinie wurde genehmigt und autorisiert von:
| Name: | Harry Kelly |
| Position: | Group Director |
| Datum: | November 1, 2024 |
| Überprüfung fällig am: | October 31, 2025 |
CSDataProtection 11/2023