Datenschutzrichtlinie

§ 1

Ziel der Datenschutzrichtlinie, im Folgenden „Richtlinie“ genannt, im Unternehmen Angelika Krupińska „Amanda” Przedsiębiorstwo Handlowe, ul. Kaliny 95/28, 41-506 Chorzów, ist die Erreichung einer Verarbeitung von Informationen, die personenbezogene Daten enthalten, in Übereinstimmung mit den Anforderungen der geltenden Rechtsakte.

§ 2

1. Der Schutz personenbezogener Daten wird durch physische und organisatorische Sicherheitsmaßnahmen, Systemsoftware, Anwendungen sowie Benutzer gewährleistet, die proportional und angemessen zum Risiko einer Verletzung der Sicherheit der im Rahmen der Geschäftstätigkeit verarbeiteten personenbezogenen Daten sind.
2. Verantwortlicher für die im Unternehmen Angelika Krupińska „Amanda” Przedsiębiorstwo Handlowe, ul. Kaliny 95/28, 41-506 Chorzów, verarbeiteten personenbezogenen Daten ist Angelika Krupińska.

§ 3

1. Die im Unternehmen Angelika Krupińska „Amanda” Przedsiębiorstwo Handlowe angewandten Sicherheitsmaßnahmen sollen Folgendes gewährleisten:
   1. Vertraulichkeit der Daten – verstanden als Eigenschaft, die gewährleistet, dass Daten unbefugten Personen nicht zugänglich gemacht werden;
   2. Integrität der Daten – verstanden als Eigenschaft, die gewährleistet, dass personenbezogene Daten nicht unbefugt verändert oder zerstört wurden;
   3. Nachvollziehbarkeit der Daten – verstanden als Eigenschaft, die gewährleistet, dass die Handlungen einer Person eindeutig nur dieser Person zugeordnet werden können;
   4. Systemintegrität – verstanden als Unversehrtheit des Systems, Unmöglichkeit jeglicher Manipulation, sowohl beabsichtigter als auch zufälliger;
   5. Verfügbarkeit von Informationen – verstanden als Gewährleistung, dass autorisierte Personen Zugang zu Informationen und den damit verbundenen Ressourcen haben, wenn dies erforderlich ist;
   6. Risikomanagement – verstanden als Prozess der Identifizierung, Kontrolle und Minimierung oder Beseitigung von Sicherheitsrisiken, die Informationssysteme betreffen können, die zur Verarbeitung personenbezogener Daten dienen.
2. Die Umsetzung der oben genannten Ziele sollen folgende Annahmen gewährleisten:
   1. Einführung von Verfahren, die das Vorgehen von Personen regeln, die zur Verarbeitung personenbezogener Daten zugelassen sind, sowie deren Verantwortung für den Schutz dieser Daten.
   2. Schulung der Benutzer im Bereich der Sicherheit und des Schutzes personenbezogener Daten.
   3. Zuweisung bestimmter Attribute an die Benutzer, die ihre Identifizierung ermöglichen (Passwörter, Kennungen).
   4. Ergreifen notwendiger Maßnahmen zur Beseitigung schwacher Glieder im Sicherheitssystem,
   5. periodische Überprüfung der Einhaltung der eingeführten Verfahrensweisen bei der Verarbeitung personenbezogener Daten durch die Benutzer.

§ 4

Die in der Richtlinie verwendeten Begriffe sind wie folgt zu verstehen:

1. Verantwortlicher für personenbezogene Daten – eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet,
2. Gesetz – das Gesetz vom 10. Mai 2018 über den Schutz personenbezogener Daten (GBl. von 2018, Pos. 1000)
3. DSGVO – Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr sowie zur Aufhebung der Richtlinie 95/46/EG (ABl. EU L Nr. 119, S. 1),
4. personenbezogene Daten – alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen,
5. Datenverarbeitung – ein Vorgang oder eine Reihe von Vorgängen, die an personenbezogenen Daten automatisiert oder nicht automatisiert ausgeführt werden, wie das Erheben, Erfassen, Speichern, Bearbeiten, Verknüpfen, Übermitteln, Ändern, Bereitstellen und Löschen, Vernichten usw.,
6. Informationssystem – eine Gruppe miteinander zusammenarbeitender Geräte, Programme, Verfahren zur Informationsverarbeitung und Softwarewerkzeuge, die zum Zweck der Verarbeitung personenbezogener Daten eingesetzt werden,
7. traditionelles System – eine Reihe organisatorischer Verfahren im Zusammenhang mit der mechanischen Informationsverarbeitung sowie Ausrüstung und Sachanlagen, die zum Zweck der Verarbeitung personenbezogener Daten auf Papier verwendet werden,
8. Sicherung von Daten im Informationssystem – Einführung und Betrieb geeigneter technischer und organisatorischer Maßnahmen, die den Schutz der Daten vor unbefugter Verarbeitung gewährleisten,
9. Empfänger – eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, der personenbezogene Daten u. a. auf Grundlage eines Auftragsverarbeitungsvertrags offengelegt werden,
10. Dritter – eine natürliche oder juristische Person, Behörde, Einrichtung oder Stelle außer der betroffenen Person, die auf Ermächtigung des Verantwortlichen für personenbezogene Daten personenbezogene Daten verarbeiten darf,
11. Benutzer – eine zur Verarbeitung personenbezogener Daten berechtigte Person,
12. RCPD oder Register bezeichnet das Verzeichnis der Verarbeitungstätigkeiten personenbezogener Daten. Das Verzeichnis der Verarbeitungstätigkeiten ist Anhang Nr. 1 dieser Richtlinie.

§ 5

1. Im Unternehmen Angelika Krupińska „Amanda” Przedsiębiorstwo Handlowe werden personenbezogene Daten von Kunden, Geschäftspartnern, Mitarbeitern und Bewerbern verarbeitet.
2. Diese Informationen werden sowohl in Papierform als auch elektronisch verarbeitet.
3. Die Richtlinie enthält Regelungen zu den eingeführten technischen und organisatorischen Sicherheitsmaßnahmen, die den Schutz der verarbeiteten personenbezogenen Daten gewährleisten.
4. Weitere Dokumente, die den Schutz personenbezogener Daten im Unternehmen Angelika Krupińska „Amanda” Przedsiębiorstwo Handlowe regeln, sind:
   1. Verzeichnis der Verarbeitungstätigkeiten personenbezogener Daten,
   2. Verfahren für den Fall einer Verletzung des Schutzes personenbezogener Daten,
   3. Datenschutzerklärung

§ 6

Die Richtlinie gilt insbesondere für:

1. personenbezogene Daten, die im System Microsoft Office verarbeitet werden,
2. alle Informationen zu den Daten von Kunden, Mitarbeitern, Bewerbern und Geschäftspartnern
3. Empfänger personenbezogener Daten, denen personenbezogene Daten zur Verarbeitung auf Grundlage von Auftragsverarbeitungsverträgen übermittelt wurden
4. Informationen zum Schutz personenbezogener Daten, insbesondere Kontonamen und Passwörter in Systemen zur Verarbeitung personenbezogener Daten,
5. andere Dokumente, die personenbezogene Daten enthalten.

§ 7

1. Die durch die Richtlinie und andere damit verbundene Dokumente festgelegten Bereiche des Schutzes personenbezogener Daten gelten für:
   1. alle bestehenden, derzeit eingeführten oder künftig einzuführenden Informationssysteme sowie papierbasierten Systeme, in denen schutzbedürftige personenbezogene Daten verarbeitet werden,
   2. alle Standorte – Gebäude und Räume, in denen schutzbedürftige Informationen verarbeitet werden oder werden sollen,
   3. alle Mitarbeiter, Praktikanten und andere Personen, die Zugang zu schutzbedürftigen Informationen haben.
2. Zur Anwendung der in der Richtlinie und anderen damit verbundenen Dokumenten festgelegten Grundsätze sind alle Personen verpflichtet, die Zugang zu schutzbedürftigen personenbezogenen Daten haben.

§ 8

3. Im Unternehmen Angelika Krupińska „Amanda” Przedsiębiorstwo Handlowe werden personenbezogene Daten unter Beachtung der folgenden Grundsätze verarbeitet:
   1. auf einer Rechtsgrundlage und rechtmäßig (Rechtmäßigkeit)
   2. nach Treu und Glauben (Fairness)
   3. in einer für die betroffene Person transparenten Weise (Transparenz)
   4. w in konkreten Zwecken und nicht „auf Vorrat“ (Datenminimierung)
   5. nicht mehr als nötig (Datenangemessenheit)
   6. mit Sorgfalt auf Richtigkeit (Richtigkeit)
   7. nicht länger als nötig (Speicherbegrenzung)
   8. unter Gewährleistung angemessener Datensicherheit (Integrität und Vertraulichkeit)

§ 9

Personenbezogene Daten werden in folgenden Beständen gesammelt:

1. Zivilrechtliche Verträge – Papierdokumentation
2. Mit Kunden geschlossene Verträge – Papierdokumentation
3. Arbeitsverträge – Papierdokumentation
4. Kundenregister – elektronische Form
5. Archivdokumente – Papierdokumentation 
6. Buchhaltungsunterlagen – Papier- und elektronische Dokumentation

§ 10

1.  Als Verletzung des Schutzes personenbezogener Daten gilt insbesondere:
   1. unbefugter Zugriff oder Versuch des Zugriffs auf personenbezogene Daten oder auf Räume, in denen sich diese befinden
   2. Verletzung oder Versuche der Verletzung der Datenintegrität, verstanden als jegliche Änderungen, Zerstörungen oder Versuche hierzu durch unbefugte Personen oder befugte Personen, die in bösem Glauben handeln, oder als Fehler einer befugten Person (z. B. Änderung des Dateninhalts, Verlust aller oder eines Teils der Daten),
   3. Verletzung oder Versuche der Verletzung der Systemintegrität
   4. Änderung oder Verlust von auf Sicherungskopien gespeicherten Daten,
   5. Verletzung oder Versuche der Verletzung der Vertraulichkeit der Daten,
   6. unbefugter Zugriff (Signal über eine illegale Anmeldung oder ein anderes Anzeichen, das auf einen Versuch oder eine Handlung im Zusammenhang mit unbefugtem Zugriff auf das System hinweist),
   7. Weitergabe personenbezogener Daten an unbefugte Personen
   8. Zerstörung, Beschädigung oder jegliche Versuche unbefugter Eingriffe in das IT-System, die auf eine Störung seines Betriebs oder auf die unzulässige bzw. zweckwidrige Erlangung der im System enthaltenen Daten abzielen,
   9. ein anderer Zustand des IT-Systems oder der Räume als der vom Benutzer nach Beendigung der Arbeit hinterlassene.
   10. Als Verletzung des Schutzes personenbezogener Daten gilt auch das Eindringen in das Gebäude oder die Räume, in denen personenbezogene Daten verarbeitet werden, oder der Versuch solcher Handlungen
2. Im Falle der Feststellung einer Verletzung:
   1. der Sicherung des IT-Systems,
   2. des technischen Zustands der Geräte,
   3. des Inhalts des Bestands personenbezogener Daten,
   4. der Offenlegung der Arbeitsmethode oder der Funktionsweise des Programms,
   5. der Qualität der Datenübertragung im Telekommunikationsnetz, die auf eine Verletzung der Datensicherungen hinweisen kann,
   6. anderer Ereignisse, die Auswirkungen auf eine Verletzung personenbezogener Daten haben können (z. B. Überschwemmung, Brand usw.), ist jede mit der Datenverarbeitung beschäftigte Person verpflichtet, den Datenverantwortlichen unverzüglich darüber zu informieren.
3. Gegen eine Person, die im Falle einer Verletzung der Sicherungen des IT-Systems oder eines begründeten Verdachts einer solchen Verletzung die in diesem Dokument festgelegte Maßnahme nicht ergriffen hat, insbesondere die zuständige Person nicht gemäß den festgelegten Regeln informiert hat, wird ein Disziplinar- oder Ordnungsverfahren eingeleitet.
4. Fälle einer unbegründeten Unterlassung der sich aus diesem Dokument ergebenden Pflichten können als schwerwiegende Verletzung der Arbeitnehmerpflichten behandelt werden.

§ 11

Jeder Person, deren personenbezogene Daten verarbeitet werden, steht das Recht auf Kontrolle der Verarbeitung ihrer personenbezogenen Daten zu, insbesondere das Recht auf:

1. Erhalt umfassender Informationen darüber, ob ihre personenbezogenen Daten verarbeitet werden, sowie Erhalt von Informationen über den vollständigen Namen und die Anschrift des Sitzes des Datenverantwortlichen;
2. Erhalt von Informationen über Zweck, Umfang und Art der Verarbeitung personenbezogener Daten;
3. Erhalt von Informationen darüber, seit wann ihre personenbezogenen Daten verarbeitet werden, sowie die Mitteilung des Inhalts dieser Daten in allgemein verständlicher Form;
4. Erhalt von Informationen über die Quelle, aus der die sie betreffenden personenbezogenen Daten stammen;
5. Erhalt von Informationen über die Art der Weitergabe personenbezogener Daten, insbesondere Informationen über die Empfänger oder Kategorien von Empfängern, denen diese personenbezogenen Daten zur Verfügung gestellt werden;
6. Verlangen der Ergänzung, Aktualisierung, Berichtigung personenbezogener Daten, der vorübergehenden oder dauerhaften Aussetzung ihrer Verarbeitung oder ihrer Löschung, wenn sie unvollständig, veraltet, unrichtig sind oder unter Verstoß gegen die Vorschriften erhoben wurden

§ 12

Personenbezogene Daten werden in den Räumlichkeiten in der ul. Kaliny 95/28, 41-506 Chorzów verarbeitet.

§ 13

Zur Erhöhung der Wirksamkeit des Schutzes personenbezogener Daten wurden verschiedene Sicherungen so kombiniert, dass mehrere Schutzebenen geschaffen werden.

1. Organisatorische Sicherungen:
   1. Es wurde eine Datenschutzrichtlinie ausgearbeitet und eingeführt,
   2. es wurde ein Verfahren für den Fall einer Verletzung des Schutzes personenbezogener Daten erstellt,
   3. das Verzeichnis der Verarbeitungstätigkeiten wurde ausgearbeitet und wird laufend geführt   (Die Vorlage ist Anhang Nr. 1 zu dieser Richtlinie)
   4. die mit der Datenverarbeitung beschäftigten Personen wurden mit den Vorschriften zum Schutz personenbezogener Daten sowie mit den Sicherungen des IT-Systems vertraut gemacht,
   5. die mit der Verarbeitung personenbezogener Daten beschäftigten Personen wurden zur Geheimhaltung verpflichtet,
   6. die Verarbeitung personenbezogener Daten erfolgt unter Bedingungen, die die Daten vor dem Zugriff unbefugter Personen schützen,
   7.  der Aufenthalt unbefugter Personen in den Räumen, in denen personenbezogene Daten verarbeitet werden, ist nur in Anwesenheit einer mit der Verarbeitung personenbezogener Daten beschäftigten Person und unter Bedingungen zulässig, die die Datensicherheit gewährleisten,
   8.  Dokumente und Informationsträger mit personenbezogenen Daten, die vernichtet werden müssen, werden mit dafür vorgesehenen Geräten neutralisiert oder so verändert, dass ihre Wiederherstellung nicht möglich ist.
2. Technische Sicherungen:
   1. der Router wurde durch Trennung vom öffentlichen Netz mittels spezialisierter Software „Firewall“ gesichert,
   2. die Computerarbeitsplätze wurden mit individuellem Virenschutz ausgestattet,
   3. die Computer wurden durch einen individuellen Benutzeridentifikator gegen die Nutzung durch nicht zur Verarbeitung personenbezogener Daten befugte Personen gesichert,
   4. personenbezogene Daten, die elektronisch übermittelt werden, werden entsprechend gesichert
3. Physische Schutzmaßnahmen:
   1. die zur Verarbeitung personenbezogener Daten dienenden Geräte befinden sich in abschließbaren Räumen,
   2. Dokumente und Informationsträger mit personenbezogenen Daten werden in abschließbaren Schränken aufbewahrt,
   3. nur befugte Mitarbeiter und Mitarbeiterinnen sowie Kooperationspartner haben Zugang zu den Schlüsseln
   4. Daten in Papierform dürfen sich nur für die zur Erledigung dienstlicher Tätigkeiten erforderliche Zeit auf den Schreibtischen befinden und müssen anschließend in Schränken aufbewahrt werden,
   5. die Monitore der Computer, auf denen Daten verarbeitet werden, sind so aufgestellt, dass unbefugte Personen keinen Einblick in die Daten haben,
   6. fehlerhafte oder veraltete Ausdrucke und Papierfassungen mit personenbezogenen Daten oder anderen geschützten Informationen werden mit einem Aktenvernichter oder auf andere mechanische Weise vernichtet, die ihre erneute Wiederherstellung unmöglich macht.

§ 14

1. Auf dem Gelände des Unternehmens Angelika Krupińska „Amanda” Przedsiębiorstwo Handlowe ist eine Videoüberwachung in Betrieb.
2. Die aus der Videoüberwachung gewonnenen Daten werden für einen Zeitraum von nicht mehr als 3 Monaten ab dem Aufnahmedatum gespeichert.
3. Das überwachte Gelände ist entsprechend gekennzeichnet, gemäß Art. 222 § 9 und 10 des Arbeitsgesetzbuches.

§ 15

 

1. Die Richtlinie wurde auf Grundlage der in folgenden Dokumenten enthaltenen Anforderungen erstellt:
   1. Verordnung des Europäischen Parlaments und des Rates /EU/ 2016/679 vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr sowie zur Aufhebung der Richtlinie 95/46/EG /ABl. EU L Nr. 119, S. 1/,
   2. Gesetz vom 10. Mai 2018 über den Schutz personenbezogener Daten (Dz. U. von 2018, Pos. 1000),
2. Die Richtlinie ist ein internes Dokument und darf Dritten in keiner Form zugänglich gemacht werden.
3. Die Nutzer sind verpflichtet, sich mit dem Inhalt der Richtlinie vertraut zu machen.
4. Der Nutzer ist verpflichtet, eine Erklärung abzugeben, dass er mit den Bestimmungen der DSGVO, dem Gesetz über den Schutz personenbezogener Daten sowie den auf seiner Grundlage erlassenen Durchführungsbestimmungen und mit dieser Richtlinie vertraut gemacht wurde, und sich zu deren Einhaltung zu verpflichten.
5. In Angelegenheiten, die in dieser Richtlinie nicht geregelt sind, gelten die derzeit gültigen Rechtsvorschriften im Bereich des Schutzes personenbezogener Daten.
6. Die Nutzer sind verpflichtet, bei der Verarbeitung von Daten die in dieser Richtlinie enthaltenen Bestimmungen uneingeschränkt anzuwenden. Im Falle von von dieser Richtlinie abweichenden Regelungen in anderen beim Datenverantwortlichen geltenden Verfahren sind die Nutzer verpflichtet, die weitergehenden Regelungen anzuwenden, deren Anwendung ein höheres Schutzniveau für Informationen gewährleistet.

Anhang:

1. Muster des Verzeichnisses der Verarbeitungstätigkeiten