299 lines
19 KiB
HTML
299 lines
19 KiB
HTML
<!DOCTYPE html>
|
|
<html lang="de">
|
|
|
|
<head>
|
|
<meta charset="UTF-8">
|
|
<meta name="viewport" content="width=device-width, initial-scale=1.0">
|
|
<title>Datenschutzinformation für das Fernsignatursystem signFLOW</title>
|
|
<link rel="stylesheet" href="css/privacy-policy.min.css">
|
|
</head>
|
|
|
|
<body>
|
|
<header>
|
|
<h1>Datenschutzinformation für das Fernsignatursystem signFLOW</h1>
|
|
<p><strong>Stand:</strong> 19.09.2024</p>
|
|
</header>
|
|
|
|
<section>
|
|
<h2>1. Allgemeine Informationen</h2>
|
|
<p>In der heutigen schnelllebigen und zunehmend digitalen Welt, sind personenbezogene Daten eine wichtige
|
|
Ressource. Ihre Daten sind wertvoll und müssen daher mit der durch diverse Gesetze und Vorschriften (DSGVO,
|
|
TDDDG, ...) gebotenen Sorgfalt behandelt werden.</p>
|
|
<p>Als Anbieter von lokalen Lösungen (OnPremise) setzt der Hersteller des signFLOWs, die Digital Data GmbH,
|
|
einen klaren Schwerpunkt auf Datenschutz und Datensicherheit. Für Sie bedeutet dies, dass nur die nötigsten
|
|
Daten erhoben und gespeichert werden (Datensparsamkeit bzw. Datenminimierung). Außerdem kommen bei der
|
|
Verarbeitung aktuelle und als sicher geltende Technologien zum Einsatz.</p>
|
|
<p><strong>Kontaktdaten des Herstellers:</strong></p>
|
|
<address>
|
|
Digital Data GmbH<br>
|
|
Ludwig-Rinn-Straße 16<br>
|
|
35452 Heuchelheim<br>
|
|
<a href="https://digitaldata.works">https://digitaldata.works</a><br>
|
|
<a href="mailto:info-flow@digitaldata.works">info-flow@digitaldata.works</a><br>
|
|
Telefon: 0049 641 202360<br>
|
|
</address>
|
|
<p><strong>Kontakt zum Datenschutzbeauftragten:</strong> <a
|
|
href="mailto:privacy-flow@digitaldata.works">privacy-flow@digitaldata.works</a></p>
|
|
</section>
|
|
|
|
<section>
|
|
<h2>2. Verantwortliche Stelle der Datenverarbeitung</h2>
|
|
<p>Ihre Daten werden vertrauensvoll verarbeitet von:</p>
|
|
<address>
|
|
Digital Data GmbH<br>
|
|
Ludwig-Rinn-Straße 16<br>
|
|
35452 Heuchelheim<br>
|
|
<a href="https://digitaldata.works">https://digitaldata.works</a><br>
|
|
<a href="mailto:info-flow@digitaldata.works">info-flow@digitaldata.works</a><br>
|
|
Telefon: 0049 641 202360<br>
|
|
</address>
|
|
<p><strong>Kontakt zu unserer Datenschutzbeauftragten:</strong> <a
|
|
href="mailto:privacy-flow@digitaldata.works">privacy-flow@digitaldata.works</a></p>
|
|
</section>
|
|
|
|
<section>
|
|
<h2>3. Datenerhebung</h2>
|
|
<h3>3.1 Die folgenden Kategorien personenbezogener Daten werden verarbeitet</h3>
|
|
<ul>
|
|
<li>Namen: Vor- und Zunamen sowie Ihre digitale Unterschrift</li>
|
|
<li>Kontaktdaten: Telefonnummer, Mobilfunknummer und E-Mail-Adresse</li>
|
|
<li>Technische Daten: IP-Adresse, Zeitpunkt des Zugriffs oder Zugriffsversuchs</li>
|
|
</ul>
|
|
|
|
<h3>3.2 Ursprung der personenbezogenen Daten</h3>
|
|
<p>Sie haben die unter 3.1 stehenden Daten vorab an Ihren Geschäftspartner (die verantwortliche Stelle)
|
|
übermittelt. Diese Übermittlung kann mündlich per Telefon, im persönlichen Kontakt, per E-Mail oder per
|
|
Kontaktformular geschehen sein.</p>
|
|
<p>Ihre digitale Signatur übermitteln Sie eigenständig, bei der Unterzeichnung eines Dokuments.</p>
|
|
|
|
<h3>3.3 Aufbewahrungsfristen / Speicherungsdauer</h3>
|
|
<ul>
|
|
<li>Die automatische E-Mail Korrespondenz wird für 6 Jahre aufbewahrt.</li>
|
|
<li>Unterzeichnete Verträge werden für die Dauer ihrer Laufzeit + 10 Jahre aufbewahrt.</li>
|
|
<li>Der technische Vorgang wird in der signFLOW Softwarelösung je nach Dokumentart bzw. Vertragsart
|
|
unbegrenzt aufbewahrt.</li>
|
|
</ul>
|
|
<p>Ihre personenbezogenen Daten werden aber grundsätzlich anonymisiert, wenn:</p>
|
|
<ul>
|
|
<li>Der Vertrag ausgelaufen ist und die gesetzliche Aufbewahrungszeit vorbei ist.</li>
|
|
<li>Der Vertrag von Ihnen abgelehnt wurde bzw. nie unterschrieben wurde.</li>
|
|
</ul>
|
|
<p>Die gesetzlichen Grundlagen dieser Aufbewahrungsfristen bieten unter anderen:</p>
|
|
<ul>
|
|
<li>Handelsgesetzbuch (HGB)</li>
|
|
<li>Abgabenordnung (AO)</li>
|
|
<li>Grundsätze zur ordnungsgemäßen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in
|
|
elektronischer Form sowie zum Datenzugriff (GoBD)</li>
|
|
</ul>
|
|
<p>
|
|
Abhängig von der spezifischen Dokumentart, kann die Aufbewahrungsfrist variieren. Außerdem können sich
|
|
Zeiten
|
|
verlängern, falls Unregelmäßigkeiten auftreten. Z.B.: eine rechtliche Auseinandersetzung droht oder aktuell
|
|
läuft.
|
|
</p>
|
|
|
|
<h3>3.4 Verarbeitungszweck</h3>
|
|
<p>Die unter 3.1 definierten personenbezogenen Daten werden verarbeitet um:</p>
|
|
<ul>
|
|
<li>Den technisch notwendigen Prozess abzubilden bzw. anbieten zu können.</li>
|
|
<li>Damit Sie als Endbenutzer in der Lage sind, ein zu unterzeichnendes Dokument, digital zu unterschreiben,
|
|
ist die Feststellung der Identität des Antragstellers, Antragsprüfung und -abwicklung, Abrechnung sowie
|
|
die Wahrung der Dokumentationspflichten notwendig.</li>
|
|
</ul>
|
|
<p>In Einzelfällen werden Daten zur Fehlerbehebung insbesondere bei Supportanfragen von der IT-Abteilung
|
|
gesondert behandelt oder ggf. an den Hersteller weitergegeben.</p>
|
|
<p>Im Zuge der Maßnahmen zur Sicherstellung der Informationssicherheit, insbesondere zur Identifizierung und
|
|
Abwehr von Angriffen, sowie zur Durchführung interner und externer Audits, der Exportkontrolle und der
|
|
Prüfung von Sanktionslisten, erfolgt ebenfalls eine Datenverarbeitung. Bei Anfragen gemäß §8 Abs. 2 VDG
|
|
werden die entsprechenden Informationen an die zuständigen Stellen übermittelt.</p>
|
|
|
|
<h3>3.5 Rechtmäßigkeit der Verarbeitung</h3>
|
|
<p>Ihre Daten werden auf Grundlage einer sich anbahnenden oder bereits vorhandenen Geschäftsbeziehung erhoben.
|
|
</p>
|
|
<p>Die rechtliche Grundlage für die Übermittlung an zuständige Stellen bildet §8 Abs. 2 VDG. Anfragen von
|
|
Betroffenen werden gemäß den Artikeln 12 bis 23 der DSGVO sowie den Paragraphen 32 bis 37 des BDSG
|
|
bearbeitet.</p>
|
|
|
|
<h3>3.6 Berechtigte Interessen</h3>
|
|
<p>Ein berechtigtes Interesse der verantwortlichen Stelle gemäß Art. 6 Abs. 1 lit. f DSGVO besteht in den
|
|
folgenden Fällen:</p>
|
|
<p>Es werden Maßnahmen zur Informationssicherheit ergriffen, die sowohl präventive technische als auch
|
|
organisatorische Maßnahmen sowie die Behandlung von Vorfällen umfassen. Ziel ist es, potenzielle Schäden für
|
|
das Unternehmen, die von der Datenverarbeitung betroffenen Personen und die Nutzer der Vertrauensdienste zu
|
|
bewerten und zu vermeiden.</p>
|
|
|
|
<h3>3.7 Erforderlichkeit der Daten</h3>
|
|
<p>Die erhobenen Daten stellen das Minimum der nötigen Daten zwecks digitaler Unterschrift dar. Ohne die unter
|
|
3.1 genannten Daten, kann der Dienst nicht betrieben werden.</p>
|
|
<p>Besonders wichtig ist die Angabe einer Mobilfunknummer oder einer deutschen Festnetznummer, da diese für die
|
|
Authentifizierung und die Signaturauslösung als zweiter Faktor verwendet wird. Ohne diesen
|
|
Sicherheitsmechanismus kann der Dienst leider nicht bereitgestellt werden.</p>
|
|
|
|
<h3>3.8 Weitergabe von Daten</h3>
|
|
<p>Eine systemische Übermittlung von Daten findet nicht statt.</p>
|
|
<p>Daten werden nur in Ausnahmefällen, zwecks Supportleistungen, an den Hersteller weitergegeben. Mit der
|
|
Hersteller besteht ein gültiger Auftragsdatenverarbeitungsvertrag (AVV), welcher die Sicherheit und
|
|
Integrität des Umgangs mit Ihren Daten gewährleistet.</p>
|
|
</section>
|
|
|
|
<section>
|
|
<h2>4. Verwendung von Cookies</h2>
|
|
<p>
|
|
Beim Besuch bestimmter Seiten kommen temporäre Cookies zum Einsatz, die für die technische Bereitstellung
|
|
der Dienste notwendig sind. Diese sogenannten Session-Cookies enthalten keine personenbezogenen Daten und
|
|
werden nach Beendigung der Sitzung automatisch gelöscht. Methoden wie Java-Applets oder Active-X-Controls,
|
|
die das Nutzerverhalten nachvollziehbar machen könnten, werden nicht verwendet.
|
|
</p>
|
|
</section>
|
|
|
|
<section>
|
|
<h2>5. Betroffenenrechte</h2>
|
|
<p>
|
|
Wenn Sie Fragen zu Ihren Daten haben oder eine Berichtigung, Löschung oder Einschränkung der Verarbeitung
|
|
wünschen, senden Sie bitte Ihre Anfrage per Post oder E-Mail an die oben angegebene Adresse. Dies gilt auch,
|
|
wenn Sie gemäß Art. 21 DSGVO Widerspruch gegen die Verarbeitung einlegen möchten oder eine Anfrage zur
|
|
Datenübertragbarkeit haben.
|
|
</p>
|
|
<p>
|
|
Bei Fragen oder Beschwerden zu einem Verfahren können Sie sich ebenfalls über die genannten
|
|
Kontaktmöglichkeiten an uns wenden. Sollten Sie darüber hinaus einen Grund zur Beschwerde haben, haben Sie
|
|
die Möglichkeit, sich an unsere Aufsichtsbehörde zu wenden. Welche Aufsichtsbehörde für Sie zuständig ist,
|
|
erfahren Sie hier:
|
|
<a href="https://www.bfdi.bund.de/DE/Service/Anschriften/Laender/Laender-node.html">Laender-node.html</a>
|
|
</p>
|
|
</section>
|
|
|
|
<section>
|
|
<h2>6. Hinweisgebersystem</h2>
|
|
<p>
|
|
Die Einhaltung gesetzlicher Vorschriften und interner Richtlinien, einschließlich unseres Verhaltenskodexes
|
|
sowie des Verhaltenskodexes für Geschäftspartner, hat für uns (die verarbeitende Stelle) oberste Priorität.
|
|
Dies gilt sowohl für unseren eigenen Geschäftsbereich als auch für unsere Lieferketten.
|
|
</p>
|
|
<p>
|
|
Es ist uns wichtig, Risiken frühzeitig zu identifizieren und Verstöße zu vermeiden. Wir möchten rechtzeitig
|
|
geeignete Maßnahmen ergreifen, um mögliche Schäden für Betroffene, Kunden, Mitarbeiter, Geschäftspartner und
|
|
unsere Unternehmensgruppe zu verhindern.
|
|
</p>
|
|
<p>
|
|
Aus diesem Grund haben wir ein unabhängiges, neutrales und vertrauliches Hinweisgebersystem eingerichtet,
|
|
das es internen und externen Hinweisgebenden ermöglicht, auch anonym Meldungen abzugeben. Durch unser
|
|
transparentes Beschwerdeverfahren bieten wir insbesondere den Betroffenen, den Hinweisgebenden und den
|
|
Mitarbeitenden, die an der Aufklärung der gemeldeten Vorfälle mitwirken, den größtmöglichen Schutz.
|
|
</p>
|
|
<p>
|
|
Im Rahmen dieses Verfahrens können alle tatsächlichen und vermeintlichen Verstöße gegen gesetzliche
|
|
Vorgaben, unseren Verhaltenskodex sowie den Verhaltenskodex für Geschäftspartner gemeldet werden. Auch
|
|
menschenrechtliche oder umweltbezogene Risiken sowie Pflichtverletzungen entlang der gesamten Lieferkette
|
|
unserer Konzernunternehmen und in unserem eigenen Geschäftsbereich können Gegenstand einer Meldung sein.
|
|
</p>
|
|
<p>
|
|
Einheitliche und zügige Prozesse sowie eine vertrauliche und professionelle Bearbeitung der Hinweise durch
|
|
interne Experten bilden die Grundlage dieses fairen Verfahrens. Benachteiligungen oder Bestrafungen von
|
|
Hinweisgebenden sowie von Personen, die mit der Bearbeitung von Beschwerden und Hinweisen betraut sind,
|
|
werden nicht toleriert.
|
|
</p>
|
|
|
|
<h3>6.1 Zweck und Rechtsgrundlage der Datenverarbeitung</h3>
|
|
<p>
|
|
Der Zweck der Verarbeitung personenbezogener Daten besteht in der Verwaltung des Hinweisgebersystems, das
|
|
auch die Aufdeckung schwerwiegender Verstöße oder potenzieller Verstöße gegen geltendes Recht sowie anderer
|
|
ernsthafter Angelegenheiten umfasst. Die Verarbeitung dieser Daten ist notwendig, um rechtlichen
|
|
Verpflichtungen nachzukommen, die uns auferlegt sind, gemäß Art. 6 Abs. 1 S. 1 lit. c) DSGVO. Dies
|
|
bezieht
|
|
sich auf das Gesetz, das den Schutz von Hinweisgebern verbessert (Hinweisgeberschutzgesetz - HinSchG).
|
|
</p>
|
|
<p>
|
|
Zudem dient die Verarbeitung dem berechtigten Interesse, schwerwiegende Verstöße oder mögliche Verstöße
|
|
gegen geltendes Recht sowie andere ernsthafte Angelegenheiten aufzudecken, gemäß Art. 6 Abs. 1 S. 1 lit.
|
|
f)
|
|
DSGVO.
|
|
</p>
|
|
<p>
|
|
Im Hinblick auf die Verarbeitung besonderer Kategorien personenbezogener Daten ist diese auf Grundlage des
|
|
Hinweisgeberschutzgesetzes aus Gründen eines erheblichen öffentlichen Interesses erforderlich, gemäß Art. 9
|
|
Abs. 2 lit. g) DSGVO. Die Verarbeitung dieser besonderen Daten erfolgt gemäß Art. 9 Abs. 2 lit. f)
|
|
DSGVO in
|
|
Verbindung mit Art. 6 Abs. 1 S. 1 lit. f) DSGVO, um Rechtsansprüche festzustellen, auszuüben oder zu
|
|
verteidigen.
|
|
</p>
|
|
<p>
|
|
Betroffene Personen sind diejenigen, über die eine Meldung gemacht wird. Dies können Mitarbeiter,
|
|
Vertragspartner oder andere Personen sein, die in beruflicher Verbindung zu der verarbeitenden Stelle
|
|
stehen. Darüber hinaus verarbeiten wir personenbezogene Daten der hinweisgebenden Person, wenn diese ihre
|
|
Kontaktinformationen oder andere identifizierende Informationen übermittelt. Hinweisgebende Personen sollten
|
|
sich daher bewusst sein, dass wir im Rahmen der Bearbeitung des gemeldeten Falls personenbezogene Daten über
|
|
sie verarbeiten können.
|
|
</p>
|
|
|
|
<h3>6.2 Kategorien personenbezogener Daten</h3>
|
|
<p>
|
|
Die Meldung kann anonym erfolgen, wodurch keine personenbezogenen Daten der meldenden Person verarbeitet
|
|
werden. Die Art der personenbezogenen Daten, die verarbeitet werden, hängt von den übermittelten
|
|
Informationen ab. Wenn die meldende Person personenbezogene Daten über eine andere Person, einschließlich
|
|
der gemeldeten Person oder Personen, angibt, werden auch diese Daten verarbeitet. Folgende Kategorien von
|
|
personenbezogenen Daten können verarbeitet werden:
|
|
</p>
|
|
<ul>
|
|
<li>Allgemeine personenbezogene Daten (z.B.: Vorname, Nachname, Adresse, E-Mail-Adresse, Telefonnummer,
|
|
usw.)</li>
|
|
<li>Personenbezogene Daten zu strafrechtlichen Verurteilungen oder Verdachtsmomenten</li>
|
|
<li>Besondere Kategorien personenbezogener Daten (Informationen über rassische oder ethnische Herkunft,
|
|
politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit,
|
|
Gesundheitsdaten sowie Informationen über das Sexualleben oder die sexuelle Orientierung einer Person)
|
|
</li>
|
|
</ul>
|
|
<p>
|
|
Wir bitten die meldende Person, ausschließlich Informationen zu übermitteln, die für den jeweiligen Fall von
|
|
Bedeutung sind, und insbesondere keine sensiblen Informationen zu melden, es sei denn, diese sind für die
|
|
Bearbeitung des gemeldeten Falls von zentraler Relevanz.
|
|
</p>
|
|
|
|
<h3>6.3 Verpflichtung zur Bereitstellung personenbezogener Daten</h3>
|
|
<p>
|
|
Es ist nicht erforderlich, die im Abschnitt 6.2 genannten personenbezogenen Daten bereitzustellen, da auch
|
|
eine anonyme Meldung möglich ist. Bitte beachte jedoch, dass wir möglicherweise nicht in der Lage sind, die
|
|
Meldung zu bearbeiten, wenn keine personenbezogenen Daten angegeben werden.
|
|
</p>
|
|
|
|
<h3>6.4 Empfänger personenbezogener Daten</h3>
|
|
<p>Die Meldungen werden bei der verarbeitenden Stelle im System als Vorgänge erfasst. Nach einer Bewertung
|
|
werden diese Vorgänge intern an die zuständigen Fachabteilungen weitergeleitet, und gegebenenfalls werden
|
|
Folgemaßnahmen eingeleitet. Sollte eine Meldung eine der Konzerngesellschaften der verarbeitenden Stelle
|
|
betreffen, werden die relevanten Vorgänge an die zuständigen Personen der jeweiligen Gesellschaft
|
|
weitergegeben, die dann intern eine Bewertung vornehmen und gegebenenfalls Maßnahmen ergreifen. Bei der
|
|
Weitergabe personenbezogener Daten wird der Grundsatz der Datenminimierung beachtet, was bedeutet, dass nur
|
|
die unbedingt notwendigen Daten zur Bearbeitung der Meldung weitergegeben werden.</p>
|
|
<p>Personenbezogene Daten der hinweisgebenden Person werden an Behörden weitergeleitet, wenn dies erforderlich
|
|
ist, um schwerwiegende Verstöße oder Angelegenheiten zu behandeln oder das Recht auf Verteidigung der
|
|
betroffenen Personen zu sichern. In anderen Fällen erfolgt die Weitergabe personenbezogener Daten der
|
|
hinweisgebenden Person nur mit deren Zustimmung. Daten über andere Personen als die hinweisgebende Person
|
|
werden nur im Rahmen der Nachverfolgung eines gemeldeten Falls oder zur Bearbeitung schwerwiegender Verstöße
|
|
oder Angelegenheiten weitergegeben.</p>
|
|
<p>Die Meldeplattform wird von dem Auftragsverarbeiter WhistleB Whistleblowing Centre AB mit Sitz in Stockholm,
|
|
Schweden, bereitgestellt. Weitere Informationen zu WhistleB und den entsprechenden Nutzungsbedingungen sind
|
|
dort einsehbar.
|
|
<a
|
|
href="https://report.whistleb.com/content/documents/whistleb_terms_of_use.pdf">whistleb_terms_of_use.pdf</a>
|
|
</p>
|
|
|
|
<h3>6.5 Speicherdauer</h3>
|
|
<p>Personenbezogene Daten, die sich als nicht relevant für die Bearbeitung eines gemeldeten Falls herausstellen,
|
|
sowie Meldungen, die wir als unbegründet ansehen, werden umgehend als "nicht relevant" eingestuft. In diesem
|
|
Fall wird der Personenbezug entfernt, es sei denn, es handelt sich bereits um eine anonyme Meldung. Um die
|
|
gesetzlich vorgeschriebene Dokumentationspflicht und die Löschfristen gemäß § 11 Abs. 1 und Abs. 5 HinSchG
|
|
zu erfüllen, wird die Meldung zunächst ohne Personenbezug archiviert, jedoch noch nicht gelöscht.
|
|
Archivierte Fälle dienen ausschließlich der Erfüllung dieser Dokumentationspflichten und können danach nicht
|
|
mehr zur Bearbeitung herangezogen werden.</p>
|
|
<p>Die Meldungen und personenbezogenen Daten, die im Zuge der Bearbeitung einer Meldung erfasst werden, bilden
|
|
die Grundlage für die weitere Bearbeitung und werden so schnell wie möglich anonymisiert. Sollte es
|
|
notwendig sein, Folgemaßnahmen gemäß §§ 3 Abs. 8 und 18 HinSchG zu ergreifen, kann es jedoch erforderlich
|
|
sein, von der Anonymisierung abzuweichen, sei es aufgrund behördlicher Anordnungen oder zur Wahrung von
|
|
Rechtsansprüchen. In solchen Fällen wird in der Regel eine Pseudonymisierung angestrebt, es sei denn, es
|
|
gibt andere Vorgaben, wie etwa eine richterliche Anordnung. Die Dokumentation wird drei Jahre nach Abschluss
|
|
des Verfahrens gelöscht. Sie kann jedoch länger aufbewahrt werden, um den Anforderungen dieses Gesetzes oder
|
|
anderer Rechtsvorschriften gerecht zu werden, solange dies notwendig und angemessen ist.</p>
|
|
</section>
|
|
</body>
|
|
|
|
</html> |