AD - Allgemeine Datenschutzverordnung
Das letzte mal angepasst: 27-02-2024Die iRaiser-Plattform entspricht der AD (Allgemeine Datenschutzverordnung) für die Speicherung personenbezogener Daten. Administratoren können das Dashboard nutzen, um z. B. alle Einwilligungstexte zu verwalten, die in Formularen angezeigt werden, in denen Nutzer ihre Zustimmung durch Ankreuzen eines Kästchens erteilen müssen. Im Folgenden finden Sie allgemeine Informationen darüber, wie Sie die AD in iRaiser einhalten können, sowie einige allgemeine Erklärungen zur AD.
Inhalt des Artikels:
- Einleitung
- Kontrolleur versus Verarbeiter
- Was sind personenbezogene Daten?
- Was sind besondere personenbezogene Daten?
- Wann liegt eine Verarbeitung von personenbezogenen Daten vor?
- Allgemeine Regeln für die Verarbeitung personenbezogener Daten
- Übersicht Persönliche Angaben
- Ausfuhr personenbezogener Daten: Übermittlung
- Welche Rechte haben die Betroffenen?
- Ausdrückliche Einwilligung
- Rechte der betroffenen Personen
Einführung
Um die Daten unserer Kunden und ihrer Nutzer zu schützen, haben wir innerhalb von iRaiser Richtlinien zum Schutz der Privatsphäre und der Daten festgelegt.
Schutz der Privatsphäre & personenbezogene Daten; Allgemeine Datenschutzverordnung
Der Schutz der Privatsphäre ist in verschiedenen Gesetzen und Verträgen geregelt. Das wichtigste ist die Allgemeine Datenschutzverordnung (AD), die am 25. Mai 2018 in Kraft tritt. Dabei handelt es sich um eine europäische Verordnung (d. h. mit unmittelbarer Wirkung), die die Regeln für die Verarbeitung personenbezogener Daten durch private Unternehmen und öffentliche Stellen in der gesamten Europäischen Union vereinheitlicht. Darüber hinaus enthält das Telekommunikationsgesetz Regelungen zu Mailings, Spam und Cookies.
Verarbeiter gegen Verarbeiter
Die Datenschutz-Grundverordnung (DSGVO) unterscheidet klar zwischen den Pflichten und Verantwortlichkeiten eines so genannten für die Verarbeitung Verantwortlichen und eines Auftragsverarbeiters. Der Kunde von iRaiser ist Eigentümer der Website und der mit der Website erfassten Daten. Er ist der Verantwortliche. iRaiser erledigt den technischen Betrieb der Website und macht nichts mit den Daten ohne die Zustimmung des Kunden. iRaiser ist im Sinne der AD ein Auftragsverarbeiter. Die Befugnisse, Pflichten und Verantwortlichkeiten von uns als Auftragsverarbeiter in Bezug auf die Verarbeitung personenbezogener Daten sind in der sogenannten Auftragsverarbeitervereinbarung vereinbart, die wir mit unseren Kunden abschließen.
Was sind personenbezogene Daten?
Personenbezogene Daten sind alle Daten, durch die eine Person dentifiziert werden kann. Eine Person kann identifiziert werden, wenn die Person, die die personenbezogenen Daten verwendet, die Person ohne besondere Anstrengung identifizieren kann. Dazu gehören z.B. Name und Adressdaten. Auch E-Mail-Adressen, Passfotos, Fingerabdrücke und z.B. IP-Adressen gelten als personenbezogene Daten. Und Daten, die Aufschluss über eine Person geben, z.B. den IQ einer Person.
Was sind besondere personenbezogene Daten?
Neben den gewöhnlichen personenbezogenen Daten kennt das Gesetz auch besondere personenbezogene Daten. Dabei handelt es sich um Daten, die so sensibel sind, dass ihre Verarbeitung die Privatsphäre einer Person ernsthaft beeinträchtigen könnte. Solche Daten dürfen daher nur unter sehr strengen Bedingungen verarbeitet werden. Zu den besonderen oder sensiblen personenbezogenen Daten gehören zum Beispiel Daten, die etwas über die Rasse, die Religion, die Gesundheit, die kriminelle Vergangenheit oder das Sexualleben einer Person aussagen. Auch die Gewerkschaftszugehörigkeit und die Bürgerservicenummer (BSN) sind besondere personenbezogene Daten.
Besondere personenbezogene Daten sind Daten über eine Person:
- Rasse oder ethnische Herkunft
- politische Ansichten
- Religion oder Weltanschauung
- Mitgliedschaft in einer Gewerkschaft
- genetische oder biometrische Daten zum Zweck der eindeutigen Identifizierung
- Gesundheit
- Geschlechtliches Leben
- Kriminalgeschichte
Eine Organisation darf besondere personenbezogene Daten nicht verwenden, es sei denn, es gibt dafür eine gesetzliche Ausnahme. Es muss eine Notwendigkeit bestehen, diese Daten anzufordern.
Wann werden personenbezogene Daten verarbeitet?"
Verarbeitung ist jeder Vorgang mit personenbezogenen Daten. Das Gesetz nennt als Beispiele für die Verarbeitung: das Erheben, das Speichern, die Organisation, die Aufbewahrung, die Aktualisierung, die Veränderung, das Wiederauffinden, das Abfragen, die Nutzung, die Bereitstellung durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung, das Zusammenführen, die Verknüpfung, die Sperrung, das Löschen und die Vernichtung von Daten. Aus dieser Aufzählung wird deutlich, dass die Verarbeitung personenbezogener Daten leicht ersichtlich ist. Man könnte argumentieren, dass alles, was man mit personenbezogenen Daten macht, unter die Verarbeitung fällt.
Allgemeine Regeln für die Verarbeitung personenbezogener Daten
Hauptregel ist, dass personenbezogene Daten nur in Übereinstimmung mit den Gesetzen und auf angemessene und sorgfältige Weise verarbeitet werden dürfen. Außerdem dürfen personenbezogene Daten nur dann erhoben werden, wenn ein genauer Zweck dafür angegeben wird. Darüber hinaus besagt das Gesetz, dass personenbezogene Daten nur verarbeitet werden dürfen, soweit sie angemessen und erheblich sind und nicht darüber hinausgehen.
Ein Beispiel aus der Praxis ist die Anfertigung einer Passkopie.
Eine wichtige Verpflichtung, die sich aus dem Gesetz ergibt, ist die Meldung, die der Verarbeiter an die Datenschutzbehörde AP machen muss. Diese Meldung soll der Transparenz dienen: alle Meldungen an die AP werden in ein öffentliches Register aufgenommen. Einige Verarbeitungen müssen nach dem Gesetz nicht gemeldet werden, wie z. B. das Handelsregister der Handelskammer. Darüber hinaus enthält die Datenschutz-Grundverordnung eine große Zahl von Verarbeitungen, die von der Meldepflicht ausgenommen sind. Für solche von der Meldepflicht ausgenommenen Verarbeitungen bleiben die anderen Anforderungen der DSGVO einfach in Kraft.
Zusätzlich zu den oben genannten allgemeinen Regeln muss für jede Verarbeitung personenbezogener Daten ein Rechtfertigungsgrund vorliegen. Dieser wird im Folgenden erläutert.
Bedingungen für die Verarbeitung personenbezogener Daten: Rechtfertigungsgründe
Zusätzlich zu den oben genannten allgemeinen Regeln verlangt die DSGVO, dass mindestens ééeiner der im Gesetz aufgeführten Rechtfertigungsgründe für jede Verarbeitung personenbezogener Daten gelten muss. Die AD hat die folgenden Grundlagen:
-
Zustimmung
. Die Verarbeitung personenbezogener Daten eines Kindes unter 13 Jahren erfordert die Einwilligung der Eltern oder des gesetzlichen Vertreters. Eine Organisation muss sich in angemessener Weise bemühen, diese Einwilligung zu überprüfen.
Die betroffene Person (das ist die Person, deren Daten verarbeitet werden) hat ihre eindeutige Zustimmung zur Verarbeitung gegeben. Diese ausdrückliche Zustimmung wird auch als informierte Zustimmung oder informierte Zustimmung -
Vertragserfüllung
Die Datenverarbeitung ist für die Erfüllung eines Vertrags erforderlich, bei dem die betroffene Person Vertragspartei ist. -
Rechtliche Verpflichtung
Die Datenverarbeitung ist für die Erfüllung einer rechtlichen Verpflichtung erforderlich. -
Wichtiges Interesse
Die Datenverarbeitung ist erforderlich, um einer schwerwiegenden Gefahr für die Gesundheit der betroffenen Person zu begegnen. -
Öffentlich-rechtliche Aufgabe
Die Datenverarbeitung ist für die ordnungsgemäße Erfüllung einer öffentlich-rechtlichen Aufgabe erforderlich. -
Gerechtfertigtes Interesse
Die Datenverarbeitung ist zur Wahrung eines berechtigten Interesses des für die Verarbeitung Verantwortlichen (oder eines Dritten, an den die Daten weitergegeben werden) erforderlich. Das bedeutet, dass die Person, die die Daten verarbeitet, ihr eigenes Interesse mit den Interessen und Rechten der betroffenen Person abwägen muss. Außerdem muss der Verarbeiter vorher prüfen, ob das gleiche Ergebnis nicht mit weniger Daten erreicht werden kann.
Übersicht Persönliche Angaben
Im Dashboard können Sie über Verwaltung > Übersicht Persönliche Angaben eine vollständige und aktuelle Übersicht über alle von iRaiser für die Website verarbeiteten Daten einsehen.
Dies richtet sich nach der abgeschlossenen Kooperationsvereinbarung bzw. den Allgemeinen Geschäftsbedingungen für den Schutz Persönlicher Angaben.
Es wird unterschieden zwischen den personenbezogenen Daten, die iRaiser standardmäßig verarbeitet und den für diese Website spezifischen personenbezogenen Daten aus Einrichtungsformularen. Aus diesen können Sie sich über den Download-Button eine Excel-Datei generieren lassen. Diese wird per E-Mail an die E-Mail-Adresse des den Download anfordernden Website-Administrators gesendet und kann dort über einen Link abgerufen werden. Falls gewünscht, können Sie die Daten auch filtern nach:
- Alle Daten
- Die zusätzlichen Formulardaten (Zusatzfragen)
- Die Standarddaten (ohne die Zusatzfragen)
Exportieren von personenbezogenen Daten: Übertragung
Der Export personenbezogener Daten, auch als Übermittlung bezeichnet, ist eine Form der Verarbeitung personenbezogener Daten. Für sie gelten die oben beschriebenen Bedingungen in vollem Umfang. Darüber hinaus gelten je nach Land, in das die Daten übermittelt werden, zusätzliche Bedingungen.
Welche Rechte hat die betroffene Person?
Die DSGVO gewährt auch Rechte für Personen, deren Daten verarbeitet werden:
-
Recht auf Einsichtnahme
Dieses Recht erlaubt es jedem zu überprüfen, ob und in welcher Weise seine Daten verarbeitet werden. -
Recht auf Berichtigung und Ergänzung und/oder Einschränkung der Verarbeitung
Wenn jemand von seinem Recht auf Einsichtnahme Gebrauch gemacht hat und zu dem Schluss kommt, dass seine Daten berichtigt werden müssen, kann er einen entsprechenden Antrag an den für die Datenverarbeitung Verantwortlichen stellen. -
Recht auf Vergessenwerden
Der Betroffene kann bestimmten Formen der Datenverarbeitung widersprechen, was zur Folge hat, dass die Verarbeitung seiner personenbezogenen Daten eingestellt werden muss. - Recht auf Datenübertragbarkeit
Dies ist die Möglichkeit, Daten von einer Plattform auf eine andere Plattform zu übertragen.
Ausdrückliche Zustimmung
Wenn Nutzer die Erlaubnis (Einwilligung) zur Speicherung personenbezogener Daten irgendwo innerhalb der iRaiser-Plattform erteilen, werden einige Dinge in der Datenbank gespeichert, um später eventuelle Streitigkeiten klären zu können. Diese ausdrückliche Zustimmung wird auch informierte Zustimmung oder informierte Zustimmung genannt.
Diese ausdrückliche Zustimmung wird auch als informierte Zustimmung bezeichnet.
Die folgenden Daten werden gespeichert
- Id des Nutzers (zum Abruf der Informationen)
- Zustimmungstext (der im Dashboard verwaltet werden kann)
- Datum/Uhrzeit
- Versionsnummer der Allgemeinen Geschäftsbedingungen
- Versionsnummer der Cookie Erklärung
- Versionsnummer der Datenschutzeinstellungen
Rechte der betroffenen Personen
Jede Person, deren personenbezogene Daten gespeichert werden, hat nach der DSGVO eine Reihe von Rechten, ihre Daten einzusehen oder zu löschen. Im Folgenden erläutern wir, wie wir die verschiedenen Rechte innerhalb von iRaiser handhaben und was Sie bzw. die Nutzer tun können/sollten, um von diesen Rechten Gebrauch zu machen.
Nutzer mit einem Account können sich über das Dashboard selbst anmelden, um diese Rechte auszuüben. Dazu geht man im eingeloggten Zustand auf Accounts > Datenschutz:
Danach gelangen sie in das Dashboard, wo alles über ihre Rechte erklärt wird und sie verschiedene Downloads für jedes Recht anfordern können:
Recht auf Zugriff
Dieses Recht ermöglicht es jedem, zu kontrollieren, ob und wie seine Daten verarbeitet werden.
Verfahren Nutzer
Nutzer können über das Dashboard (siehe Bild oben) ihr eigenes Archiv mit allen ihren Daten herunterladen. Nach einem Klick auf die Schaltfläche Mein Archiv herunterladen erhält der Nutzer die Meldung "Das Archiv wird gerade erstellt. Sie erhalten in Kürze eine E-Mail mit einem Link zum Download Ihres Archivs."
Der Link in der E-Mail ist 24 Stunden lang gültig.
Vorgangsmandanten
Wenn sich ein Kunde an Sie wendet und sich nicht selbst in das Dashboard einloggen will oder kann, können Sie (Kunde) dies tun.
Zu diesem Zweck gehen Sie auf Accounts > Nutzer und klicken auf die drei Punkte hinter dem jeweiligen Nutzer und gehen auf Datenschutz:
Wenn ein Teilnehmer diese Frage stellt, müssen Sie (Kunde) im Namen des Anfragenden (Verbrauchers) über den iRaiser-Support eine schriftliche Anfrage an iRaiser senden.
Nach Erhalt der Anfrage wird iRaiser den Kunden kontaktieren, um die Anfrage zu überprüfen. Dabei bittet iRaiser um die Identifizierung des Kunden, die in einem Protokoll festgehalten wird.
Nach der Überprüfung der Anfrage sammelt iRaiser innerhalb von 5 Arbeitstagen alle Daten des Anfragenden (Kunden) und bündelt sie in einer passwortgeschützten Zip-Datei.
Die passwortgeschützte Zip-Datei wird von iRaiser per sicherem WeTransfer an den Kunden gesendet.
Wir senden das entsprechende Passwort zum Öffnen der Zip-Datei per SMS.
Recht auf Berichtigung und Hinzufügen und / oder Beschränken der Verarbeitung
Wenn jemand von seinem Einsichtsrecht Gebrauch gemacht hat und zu dem Schluss kommt, dass seine Daten berichtigt werden müssen, kann er einen entsprechenden Antrag an den Verantwortlichen für die Datenverarbeitung stellen; den für die Verarbeitung Verantwortlichen (sprich: Sie als Kunde von iRaiser von iRaiser). Sie können bereits viele Daten selbst über das Dashboard auf Wunsch des Nutzers anpassen.
Sollten Sie nicht in der Lage sein, die Daten über das Dashboard zu ändern, kontaktieren Sie bitte den Support über eine schriftliche Anfrage im Namen des Antragstellers (Verbrauchers). Nach Erhalt der Anfrage wird sich iRaiser mit Ihnen als Kunden in Verbindung setzen, um die Anfrage zu überprüfen. Dabei bittet iRaiser um die Identifizierung des Kunden, die protokolliert wird. Nach der Überprüfung des Antrags wird iRaiser die Daten innerhalb von 5 Werktagen ändern und den Kunden entsprechend benachrichtigen.
Recht auf Löschung
Nutzer mit Accounts können die Löschung ihrer personenbezogenen Daten selbst beantragen. Nachdem sie auf die Schaltfläche "Persönliche Daten löschen" geklickt haben, erhalten sie eine entsprechende E-Mail und können den Antrag noch innerhalb einer Woche zurückziehen. Danach werden alle Daten unwiderruflich gelöscht.
Sie als Kunde können diesen Kundenwunsch auch über das Dashboard auslösen:
Zu diesem Zweck gehen Sie auf Accounts > Nutzer und klicken auf die drei Punkte hinter dem betreffenden Nutzer und gehen auf Datenschutz.
Wenn sich ein Nutzer nicht selbst anmelden kann oder kein Konto hat, können wir dies auf Wunsch des Klnats tun.
Auf Antrag des Data Subject (End User):
Hierfür gibt es drei Möglichkeiten:
- Die betroffene Person/Endnutzer richtet die Anfrage an den Kunden. Der Kunde gibt die Löschung bei iRaiser in Auftrag;
- Der Betroffene/Endnutzer nutzt die Möglichkeit zur Löschung seiner personenbezogenen Daten über das iRaiser Dashboard (Option: Datenschutz).
- Der Betroffene/Endnutzer richtet die Anfrage direkt an uns.
iRaiser löscht personenbezogene Daten auf dedizierten Servern und etwaigen gehosteten Servern sowie aus (internen) Mailboxen und anderen Systemen vollständig und unwiderruflich innerhalb von 14 Werktagen nach Aufforderung durch den Kunden. Innerhalb von 30 Tagen werden die personenbezogenen Daten aus den Sicherungskopien und aus den Sicherungsdateien gelöscht.
Bei Vertragsbeendigung:
Stellt sich nach Vertragsende heraus, dass der Kunde im Besitz aller erworbenen personenbezogenen Daten ist, wird iRaiser innerhalb von 14 Werktagen nach Aufforderung durch den Kunden alle personenbezogenen Daten auf dedizierten Servern und etwaigen gehosteten Servern sowie aus (internen) Mailboxen vollständig und unwiderruflich löschen. Innerhalb von 30 Tagen werden personenbezogene Daten von Sicherungskopien und aus Sicherungsdateien entfernt.
Nach spätestens 3 Monaten nach Beendigung des Vertrages wird iRaiser alle erworbenen Persönlichen Daten vollständig und unwiderruflich anonymisieren, unabhängig davon, ob es einen Auftrag dazu vom Kunden erhalten hat oder nicht. iRaiser wird den Kunden zwei Wochen vorher darüber informieren.
Der Account Manager (Verkaufsberater) des jeweiligen Kunden ist innerhalb von iRaiser für die Einleitung dieses Verfahrens verantwortlich.
Recht auf Datenübertragbarkeit
Wenn ein Nutzer seine Daten mitnehmen möchte, kann er dies tun, indem er eine Datei mit seinen Daten herunterlädt. Das funktioniert genauso wie beim Recht auf Einsichtnahme
Verfahrensklienten
Wenn sich ein Kunde an Sie wendet und sich nicht selbst in das Dashboard einloggen will oder kann, können Sie (Kunde) dies tun.
Zu diesem Zweck gehen Sie auf Accounts > Nutzer und klicken auf die drei Punkte hinter dem jeweiligen Nutzer und gehen auf Datenschutz.
Wenn ein Teilnehmer diese Frage stellt, müssen Sie (Kunde) einen schriftlichen Antrag im Namen des Antragstellers (Verbrauchers) an iRaiser senden.
Nach Erhalt der Anfrage wird iRaiser den Kunden kontaktieren, um die Anfrage zu überprüfen. Dabei bittet iRaiser um die Identifizierung des Kunden, die in einem Protokoll festgehalten wird.
Nach der Verifizierung der Anfrage sammelt iRaiser innerhalb von 5 Arbeitstagen alle Daten des Anfragenden (Verbrauchers) und bündelt sie in einer passwortgeschützten Zip-Datei.
Die passwortgeschützte Zip-Datei wird von iRaiser über das sichere WeTransferPlus an den Kunden versendet.
Das entsprechende Passwort zum Öffnen der Zip-Datei wird in einer separaten E-Mail versandt.
Nach der Überprüfung der Anfrage nimmt iRaiser Kontakt mit dem Kunden auf, um alle Daten des Antragstellers in einer passwortgeschützten Zip-Datei zu sammeln und zu bündeln.
Fragen?
Haben Sie nach der Lektüre dieser Informationen noch Fragen zur AD innerhalb von iRaiser? Dann senden Sie eine E-Mail an iRaiser
Häufig gestellte Fragen
Das könnte dich auch interessieren