Insgesamt ist unser Ansatz, es Einzelpersonen leicht zu machen, ihre Rechte auszuüben und Anfragen höflich und effizient zu bearbeiten. Alle Mitarbeiter sollten sich dieser Rechte bewusst sein – auch wenn Sie Anfragen nicht direkt bearbeiten, ermöglicht Ihre Arbeit (z. B. Daten korrekt, löschbar und gut organisiert zu halten) die Erfüllung dieser Verpflichtungen. Wenn Sie Zweifel haben, wie Sie mit der Anfrage einer betroffenen Person umgehen sollen, halten Sie inne und kontaktieren Sie den DSB um Hilfe. Wir ignorieren oder weisen solche Anfragen niemals ab. Die Achtung der Rechte betroffener Personen ist nicht nur eine gesetzliche Pflicht, sondern stärkt auch das Vertrauen in unsere Organisation.

Datenschutz durch Technikgestaltung, Datenminimierung & Aufbewahrung

Wir implementieren Datenschutz durch Technikgestaltung (Privacy by Design) und durch Voreinstellung (Privacy by Default) in all unseren Verarbeitungstätigkeiten. Das bedeutet, wir integrieren Datenschutzmaßnahmen in das Design von Systemen und Prozessen und stellen sicher, dass standardmäßig nur die Daten verarbeitet werden, die für den jeweiligen Zweck notwendig sind. Folgende Grundsätze, abgestimmt auf die ISO 27701-Kontrollen PC7401--7408 und DSGVO-Anforderungen, leiten unsere Praktiken:

• Datenminimierung (DSGVO Art. 5(1)(c)): Die Organisation beschränkt die Erhebung und Nutzung personenbezogener Daten auf das für die identifizierten Zwecke notwendige Minimum. Bevor wir irgendeine persönliche Information erheben, fragen wir: „Brauchen wir das wirklich?“ Wenn nicht, erheben wir es nicht. Wenn ja, erheben wir nur das Notwendige und nicht mehr. Wenn beispielsweise der Zweck eines Online-Formulars mit Name und E-Mail erreicht werden kann, fragen wir nicht nach Geburtsdatum oder nationaler ID-Nummer. Mitarbeiter, die Datenerhebungsformulare entwerfen oder Daten von Kunden anfordern, müssen sicherstellen, dass keine übermäßigen Daten angefordert werden. Zusätzlich vermeiden wir die Erhebung hochsensibler Daten, es sei denn, sie sind unerlässlich (und wenn ja, wenden wir zusätzliche Schutzmaßnahmen an). Beschränkung der Verarbeitung ist ebenso wichtig – wir beschränken den Zugriff und die Nutzung von Daten intern nur auf jene Vorgänge, die für den Zweck notwendig sind (niemand sollte auf Daten für nicht zusammenhängende Aufgaben zugreifen oder diese nutzen). Durch die Einhaltung der Minimierung reduzieren wir Risiken und respektieren die Privatsphäre von Einzelpersonen inhärent.
• Zweckbindung und Nutzungskontrollen: Personenbezogene Daten werden für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer Weise weiterverarbeitet, die mit diesen Zwecken unvereinbar ist (DSGVO Art. 5(1)(b)). Dies wird durch interne Kontrollen durchgesetzt: Wenn eine neue Nutzung für Daten entsteht, bewerten wir ihre Kompatibilität mit den ursprünglichen Zwecken und holen bei Bedarf zusätzliche Einwilligungen oder Rechtsgrundlagen ein. Alle Teams müssen den DSB konsultieren, bevor sie Daten umwidmen. Unsere Systeme sind darauf ausgelegt, Daten nach Zweck zu segmentieren, und wir implementieren Kontrollen (technisch und prozedural), um unbefugte Nutzung zu verhindern. Zum Beispiel werden Marketingdaten und Betriebsdaten getrennt gespeichert, wobei Zugriffskontrollen sicherstellen, dass ein Mitarbeiter im Marketing keine Daten aus HR-Systemen abrufen kann usw., es sei denn, er ist speziell autorisiert.
• Richtigkeit (DSGVO Art. 5(1)(d)): Wir bemühen uns, personenbezogene Daten richtig und aktuell zu halten. Ungenaue Daten können zu falschen Entscheidungen und Rechtsverletzungen führen, daher ist jede Abteilung dafür verantwortlich, Informationen nach Bedarf zu validieren und zu aktualisieren. Wenn wir auf unrichtige Daten aufmerksam werden (durch eine betroffene Person oder eine andere Quelle), korrigieren wir sie umgehend. Einige Maßnahmen umfassen regelmäßige Aufforderungen an Kunden oder Mitarbeiter, ihre Informationen zu überprüfen und zu aktualisieren, sowie Datenvalidierungsregeln in Systemen (z. B. Formatprüfungen, Entfernung doppelter Datensätze). Durch die Aufrechterhaltung der Richtigkeit gewährleisten wir auch die Qualität unserer Dienstleistungen und vermeiden die Verbreitung von Fehlern.
• Speicherbegrenzung (DSGVO Art. 5(1)(e)): Wir bewahren personenbezogene Daten nicht länger auf, als es für die Zwecke, für die sie erhoben wurden, notwendig ist. Die Organisation hat einen Datenaufbewahrungsplan (siehe SOP Datenschutz durch Technikgestaltung & Datenaufbewahrung), der Aufbewahrungsfristen für verschiedene Datenkategorien festlegt, basierend auf gesetzlichen Anforderungen und Geschäftsanforderungen. Zum Beispiel müssen bestimmte Finanzunterlagen gesetzlich 7 Jahre aufbewahrt werden, während Marketing-Leads nach 1 Jahr Inaktivität gelöscht werden könnten. Alle Mitarbeiter müssen sich an diese Aufbewahrungsfristen halten: Wenn Daten ihr Lebensende erreichen, sollten sie sicher gelöscht oder anonymisiert werden. Unsere Systeme verfügen nach Möglichkeit über automatisierte Lösch- oder Archivierungsfunktionen, um Aufbewahrungsregeln durchzusetzen. Wenn nicht automatisiert, haben Abteilungen manuelle, terminierte Aufgaben zur Überprüfung und Bereinigung von Daten. Keine personenbezogenen Daten sollten „nur für den Fall“ oder unbegrenzt aufbewahrt werden. Indem wir die Aufbewahrungsdauer von Daten minimieren, reduzieren wir das Schadensrisiko durch potenzielle Verletzungen und respektieren die Erwartung von Einzelpersonen, dass wir ihre Daten nicht ohne Grund ewig aufbewahren.
• Sichere Vernichtung: Wenn personenbezogene Daten nicht mehr benötigt werden, vernichten wir sie auf sichere Weise. Die ISO-Kontrolle PC7408 schreibt dokumentierte Verfahren für die Vernichtung vor. Für digitale Daten bedeutet sichere Vernichtung dauerhaftes Löschen (Überschreiben oder Schreddern von Dateien aus allen Systemen einschließlich Backups, wo möglich). Für physische Daten (Papierakten, Datenträger) bedeutet dies Schreddern, Pulpen oder Verbrennen mittels genehmigter Methoden. Wir stellen sicher, dass externe Vernichtungsdienste geprüft werden und Vernichtungszertifikate ausstellen. Darüber hinaus werden alle Geräte oder Laufwerke, die personenbezogene Daten gespeichert haben, vor dem Wegwerfen oder Wiederverwenden sicher gelöscht oder zerstört. Mitarbeiter sollten niemals Dokumente mit personenbezogenen Daten einfach in den normalen Müll werfen oder Dateien unsicher löschen – immer die etablierten Richtlinien zur Datenvernichtung befolgen oder bei Unsicherheit die IT konsultieren.
• Datenschutz durch Technikgestaltung in Systemen: Bei der Entwicklung oder Beschaffung neuer IT-Systeme oder Prozesse, die personenbezogene Daten beinhalten, beziehen wir den DSB und die IT-Sicherheit in die Designphase ein, um Datenschutzkontrollen zu verankern. Dies kann Datenpseudonymisierung oder -verschlüsselung, die Anwendung des Prinzips der geringsten Rechte (Least Privilege, sodass Systeme so gebaut sind, dass jede Benutzerrolle nur das sieht, was sie sehen muss) und die Integration von Einwilligungsmanagement- oder Opt-out-Mechanismen von Anfang an umfassen. Wir führen Datenschutzprüfungen für neue Systeme durch (oft über den zuvor erwähnten DSFA-Prozess), um sicherzustellen, dass Compliance-Anforderungen berücksichtigt werden. Standardmäßig werden datenschutzfreundliche Einstellungen angewendet – zum Beispiel könnten neue Benutzerkonten standardmäßig die datenschutzfreundlichsten Einstellungen haben (kein öffentliches Profil, es sei denn, der Benutzer stimmt zu usw.). Jeder neue Projektvorschlag muss wichtige Datenschutzfragen beantworten (welche Daten, warum, wie gesichert, Aufbewahrung usw.), bevor er genehmigt wird. Auf diese Weise ist Datenschutz kein nachträglicher Gedanke, sondern ein eingebauter Aspekt unserer Produkte und Operationen.
• Zugriffs- und Sicherheitsmaßnahmen: Obwohl Informationssicherheit in unseren Informationssicherheitsrichtlinien ausführlich behandelt wird, ist anzumerken, dass der Schutz von Daten durch Sicherheitskontrollen Teil des Datenschutzes durch Technikgestaltung ist. Wir nutzen Maßnahmen wie Zugriffskontrolle, Verschlüsselung und Überwachung zum Schutz personenbezogener Daten (DSGVO Art. 5(1)(f) und Art. 32). Zum Beispiel werden personenbezogene Datenfelder in Datenbanken im Ruhezustand verschlüsselt, sensible Datenübertragungen erfolgen über verschlüsselte Kanäle (VPN, HTTPS – siehe auch Abschnitt Datenübermittlung für Übertragungskontrollen), und wir halten Sicherheitssoftware auf dem neuesten Stand, um Verletzungen zu verhindern. Arbeitsstationen und mobile Geräte, die zur Verarbeitung personenbezogener Daten verwendet werden, sind mit Authentifizierung und Verschlüsselung gesichert. Diese Maßnahmen stellen sicher, dass personenbezogene Daten standardmäßig nicht für unbefugte Personen zugänglich sind.
• Temporäre Dateien und Kopien: Im Betrieb entstehen manchmal temporäre Dateien oder Caches von personenbezogenen Daten (zum Beispiel beim Exportieren von Daten in eine Tabelle zur Analyse). ISO PC7406 erinnert uns daran, diese angemessen zu verwalten – temporäre Dateien werden gelöscht, sobald sie nicht mehr benötigt werden. Mitarbeiter sollten davon absehen, unnötige lokale Kopien von Daten zu erstellen. Wo sie dies tun müssen, sollten sie diese sicher speichern und nach Gebrauch umgehend löschen. Wir raten davon ab, große Mengen personenbezogener Daten auf lokale Rechner herunterzuladen; stattdessen sollte innerhalb sicherer Systeme oder sicherer Sandbox-Umgebungen gearbeitet werden, die von der IT bereitgestellt werden. Dies reduziert verstreute Kopien von Daten.
• Anonymisierung und Pseudonymisierung: Wo immer möglich, verwenden wir Techniken, um die Identifizierbarkeit personenbezogener Daten zu entfernen oder zu reduzieren. Anonymisierung (unumkehrbare Entfernung der Identifikation) wird angewendet, wenn wir Daten für Analysen oder Forschung über ihren benötigten Zeitraum hinaus aufbewahren möchten, sodass sie nicht mehr als personenbezogene Daten gelten. Pseudonymisierung (Ersetzen identifizierender Felder durch Codes, wobei der Schlüssel separat aufbewahrt wird) wird in Systemen als zusätzliche Schutzmaßnahme verwendet – zum Beispiel könnten Produktionsdatenbanken pseudonyme Identifikatoren verwenden, und eine Nachschlagetabelle für echte Identitäten wird separat mit zusätzlichem Schutz aufbewahrt. Diese Techniken unterstützen Datenminimierung und Sicherheit, indem sie sicherstellen, dass selbst bei Zugriff auf Daten diese möglicherweise nicht direkt Einzelpersonen ohne zusätzliche Informationen identifizieren.

Im Wesentlichen geht es bei Datenschutz durch Technikgestaltung und Voreinstellung um Voraussicht und proaktive Maßnahmen. Wir denken von Anfang an über Datenschutz nach und setzen kontinuierlich die Prinzipien der minimalen Nutzung, ordnungsgemäßen Aufbewahrung und starken Schutzes durch. Mitarbeiter auf allen Ebenen – von IT-Entwicklern bis zu Marketingmitarbeitern – sollten diese Prinzipien in ihre tägliche Arbeit integrieren. Dadurch erfüllen wir nicht nur gesetzliche Anforderungen wie DSGVO Artikel 25 (der Datenschutz durch Technikgestaltung/Voreinstellung vorschreibt), sondern reduzieren auch Risiken und fördern das Vertrauen von Kunden und Partnern, die sehen können, dass wir ihre personenbezogenen Daten bei jedem Schritt ihres Lebenszyklus respektieren.

Datenübermittlung & Weitergabe an Dritte

Personenbezogene Daten müssen manchmal außerhalb unserer Organisation weitergegeben werden, sei es durch Übermittlung von Daten ins Ausland, Offenlegung gegenüber einem Partnerunternehmen oder Reaktion auf rechtmäßige Anfragen. Wir handhaben alle derartigen Übermittlungen und Offenlegungen mit äußerster Sorgfalt und in Übereinstimmung mit Kapitel V der DSGVO und anderen relevanten Verpflichtungen. Die ISO-Kontrollen PC7307, PC7409 und PC7501--7504 leiten uns in diesem Bereich. Wichtige Richtlinienpunkte sind:

• Internationale Datenübermittlungen: Wenn wir personenbezogene Daten aus der EU/dem EWR (oder anderen Regionen mit Übermittlungsbeschränkungen) in ein Land außerhalb dieser Gerichtsbarkeit übermitteln, stellen wir sicher, dass ein rechtlicher Übermittlungsmechanismus vorhanden ist (DSGVO Artikel 44 ff.). Das bedeutet:
  • Wir bevorzugen die Übermittlung in Länder, die von der EU-Kommission als angemessen eingestuft wurden (DSGVO Art. 45) – diese Länder sind für einen im Wesentlichen gleichwertigen Datenschutz zugelassen.
  • Wenn das Land nicht als angemessen eingestuft ist, verwenden wir geeignete Garantien (DSGVO Art. 46) wie Standardvertragsklauseln (SVK) in Verträgen, verbindliche interne Datenschutzvorschriften (falls zutreffend) oder andere genehmigte Mechanismen. Unsere Rechtsabteilung pflegt aktuelle SVK-Vorlagen und verfolgt alle zusätzlichen Anforderungen (wie EU-Empfehlungen nach der Schrems-II-Entscheidung – z. B. Durchführung von Transfer-Folgenabschätzungen und Hinzufügen zusätzlicher Maßnahmen bei Bedarf).
  • In seltenen Fällen, wenn keine Angemessenheit oder Garantien gelten, würden wir nur unter einer spezifischen Ausnahme in Artikel 49 übermitteln (z. B. ausdrückliche Zustimmung der Person oder Übermittlung notwendig für Vertrag mit der Person usw.), und selbst dann würden wir die Notwendigkeit bewerten und die Begründung dokumentieren.
  • Praktisch muss jedes Team, das plant, Daten in einem anderen Land zu speichern oder den Zugriff darauf aus einem anderen Land zu ermöglichen, frühzeitig die DSB/Rechtsabteilung einbeziehen, um den korrekten Ansatz zu bestimmen. Keine internationale Übermittlung sollte informell erfolgen (z. B. Exportieren einer Tabelle und Senden per E-Mail an einen Kollegen in einem anderen Land), ohne diese Regeln zu berücksichtigen. Unsere IT-Systeme sind so konfiguriert, dass Daten nach Möglichkeit innerhalb genehmigter Regionen gehalten werden. Bei Cloud-Diensten wählen wir Rechenzentrumsstandorte, die unseren Anforderungen an die Übermittlungskonformität entsprechen.
• Grundlage identifizieren und Übermittlungen dokumentieren: ISO PC7501 verlangt, dass wir die Grundlage für internationale Übermittlungen identifizieren und dokumentieren. Daher zeichnen wir für jeden grenzüberschreitenden Datenfluss auf, welcher Mechanismus verwendet wird (zum Beispiel „Kundendaten in die USA exportiert – abgedeckt durch am 1. Januar 2025 unterzeichnete SVK“). Wir führen auf Cenedril ein Register der Datenübermittlungen, das mit unserem Verzeichnis von Verarbeitungstätigkeiten verknüpft ist. Dies hilft, die Compliance nachzuweisen und ermöglicht es uns, Übermittlungen regelmäßig zu überprüfen, um sicherzustellen, dass sie rechtmäßig bleiben (wenn sich beispielsweise Gesetze ändern oder SVK aktualisiert werden, können wir unsere Verträge entsprechend aktualisieren).
• Genehmigte Ziele und Partner: Gemäß ISO PC7502 legen wir fest, in welche Länder oder internationalen Organisationen unsere Organisation Daten übermitteln darf. Übermittlungen sollten im Allgemeinen auf jene Länder beschränkt sein, in denen wir Compliance-Maßnahmen etabliert haben. Wenn ein neues Land hinzugefügt werden muss (z. B. Beauftragung eines neuen Dienstleisters in einem anderen Land), muss dies einer rechtlichen Prüfung unterzogen werden. Ebenso führen wir eine Liste genehmigter Dritter (Auftragsverarbeiter oder Verantwortliche), mit denen Daten geteilt werden können, jeweils mit einer etablierten Rechtsgrundlage (Vertrag, Angemessenheit usw.). Dieser kontrollierte Ansatz verhindert Ad-hoc- oder unbefugte Datenexporte.
• Offenlegungen gegenüber Dritten (nicht routinemäßig): Abgesehen von regelmäßigen Übermittlungen an unsere Dienstleister oder Partner kann es zu Ad-hoc-Datenoffenlegungen kommen:
  • Rechtliche Anfragen: Wenn wir eine Anfrage nach personenbezogenen Daten von einer Strafverfolgungsbehörde, einem Gericht oder einer anderen Behörde erhalten, legen wir Daten nicht sofort offen. Solche Anfragen müssen von der Rechtsabteilung/dem DSB geprüft werden. Wir kommen nur rechtlich bindenden Anfragen nach – z. B. einem Haftbefehl, Gerichtsbeschluss oder einer gesetzlichen Anforderung. Wenn eine Anfrage nicht rechtlich durchsetzbar ist, lehnen wir höflich ab und fordern eine ordnungsgemäße Befugnis an. Selbst wenn sie gültig ist, bemühen wir uns, die betroffene Person zu benachrichtigen, sofern erlaubt (Transparenz), es sei denn, das Gesetz verbietet dies. Unsere Mitarbeiter sind angewiesen, dass wenn eine externe Partei nach personenbezogenen Daten fragt (selbst etwas scheinbar Informelles, wie ein Anruf eines Polizisten, der nach Kundeninformationen fragt), sie diese an die Rechtsabteilung weiterleiten müssen – sie sollten niemals einfach Daten herausgeben.
  • Datenweitergabe an Partner: Manchmal teilen wir Daten möglicherweise mit einem anderen unabhängigen Datenverantwortlichen (zum Beispiel die Weitergabe von Geschäftskundeninformationen an einen Partner für gemeinsame Veranstaltungen). In solchen Fällen stellen wir sicher, dass eine ordnungsgemäße Datenweitergabevereinbarung oder eine Vereinbarung über gemeinsame Verantwortlichkeit vorliegt, die die Verantwortlichkeiten jeder Partei darlegt (einschließlich der Information von Einzelpersonen, Bearbeitung von Rechteanfragen usw.). Wir stellen auch sicher, dass die Person über diese Art der Offenlegung in unserem Datenschutzhinweis informiert wurde oder zugestimmt hat, falls erforderlich. Wir behandeln diese Offenlegungen nur nach dem Need-to-share-Prinzip – ist es notwendig und rechtlich gerechtfertigt? Wenn nicht, teilen wir nicht. Alle derartigen Partnerschaften müssen vom DSB geprüft werden.
• Aufzeichnungen über Offenlegungen: ISO PC7503 und PC7504 erfordern die Führung von Aufzeichnungen über PII-Übermittlungen und -Offenlegungen an Dritte. Daher protokollieren wir, wenn wir Daten extern weitergeben, dies in unseren Aufzeichnungen (dies kann sich mit dem VvVT und unserem Register für rechtliche Anfragen überschneiden). Wenn wir beispielsweise im Laufe eines Jahres drei Datenanfragen von Strafverfolgungsbehörden erfüllt haben, führen wir Aufzeichnungen darüber, was offengelegt wurde, unter welcher Befugnis und wann. Wenn wir Daten gemäß einem Memorandum of Understanding (MOU) mit einem Partner teilen, wird dies katalogisiert. Diese Dokumentation stellt sicher, dass wir nachvollziehen können, wohin personenbezogene Daten gelangt sind, was für die Rechenschaftspflicht und die Beantwortung von Folgefragen (z. B. wenn eine betroffene Person fragt „An wen wurden meine Daten weitergegeben?“, können wir gemäß Art. 15 antworten) entscheidend ist. Es hilft auch dabei, Daten bei diesen Dritten bei Bedarf zu aktualisieren oder zu korrigieren (wie unter Betroffenenrechte erwähnt).
• Benachrichtigung Dritter über Berichtigungen/Löschungen: In Anknüpfung an ISO PC7307 und DSGVO Art. 19 – wann immer möglich, wenn wir Daten an andere weitergegeben haben und diese Daten dann aufgrund einer Anfrage einer betroffenen Person aktualisiert oder gelöscht werden, werden wir diese Dritten über die Änderung informieren, damit sie die Daten ebenfalls aktualisieren oder löschen können. Unsere Verfahren umfassen die Überprüfung des VvVT auf Empfänger der Daten dieser Person und das Versenden von Aktualisierungsmitteilungen. Wenn beispielsweise ein Kunde sich aus unserem System abmeldet und wir seine Daten zuvor an einen Versanddienstleister für Lieferungen gesendet hatten, benachrichtigen wir den Anbieter, die Daten dieses Kunden aus seinen Aufzeichnungen zu entfernen. Wir bewahren Nachweise über diese Benachrichtigungen oder die unternommenen Bemühungen auf.
• Anleitung für Mitarbeiter: Mitarbeiter müssen die DSB/Rechtsabteilung konsultieren, bevor sie personenbezogene Daten außerhalb des Standardverfahrens an Dritte senden. Selbst innerhalb desselben Landes, wenn es sich um einen neuen Empfänger oder eine ungewöhnliche Anfrage handelt, gehen Sie nicht davon aus, dass es in Ordnung ist. Wir haben klare Anleitungen: Jede externe Datenweitergabe benötigt entweder eine bestehende Vereinbarung oder eine spezifische Genehmigung. Zusätzlich sollten Mitarbeiter, die planen zu reisen oder aus einem anderen Land remote auf Daten zuzugreifen (selbst nur das Betrachten auf einem Laptop im Ausland), die IT/den DSB informieren, um die Compliance sicherzustellen (da der Remote-Zugriff aus dem Ausland eine Übermittlung darstellen könnte). Wir haben VPN- und Sicherheitsmaßnahmen, um die Remote-Arbeit sicher zu handhaben, aber der Standort ist aus rechtlichen Gründen relevant.

Zusammenfassend lässt sich sagen, wir behandeln personenbezogene Daten so, als sollten sie unter unserer Kontrolle bleiben, es sei denn, eine kontrollierte, dokumentierte und rechtmäßige Übermittlung ist notwendig. Indem wir unsere Datenübermittlungen und -offenlegungen planen und aufzeichnen und starke Schutzmaßnahmen verwenden, halten wir die strengen Regeln der DSGVO zu internationalen Datenflüssen und Offenlegungen gegenüber Dritten ein. Dies schützt die Daten von Einzelpersonen davor, an Orten mit unzureichendem Schutz zu landen, und stellt sicher, dass wir das Vertrauen ehren, das sie uns entgegenbringen, wenn sie ihre Informationen bereitstellen.

Kontinuierliche Verbesserung und Richtlinienüberprüfung

Datenschutz ist eine kontinuierliche Anstrengung. Bluesquad Services UG widmet sich der ständigen Verbesserung unserer Datenschutzpraktiken und der Sicherstellung, dass diese Richtlinie wirksam und aktuell bleibt. Folgende Maßnahmen unterstützen die kontinuierliche Verbesserung und Compliance:

• Schulung und Sensibilisierung: Wir führen regelmäßige Schulungen für alle Mitarbeiter zu Datenschutz und bewährten Datenschutzpraktiken durch. Neue Mitarbeiter erhalten im Rahmen des Onboardings eine Datenschutzschulung, und alle Mitarbeiter müssen jährliche Auffrischungskurse absolvieren. Spezialisierte Schulungen werden Teams mit wichtigen Datenschutzverantwortlichkeiten angeboten (z. B. Personalabteilung, die Mitarbeiterdaten verarbeitet, Kundensupport, der Zugriffsanfragen bearbeitet, IT für Datensicherheit). Wir senden auch regelmäßige Erinnerungen oder Updates (z. B. Gebote und Verbote, Lehren aus Vorfällen, Gesetzesänderungen). Indem wir das Bewusstsein schärfen, befähigen wir Mitarbeiter, diese Richtlinie in ihrer täglichen Arbeit umzusetzen und potenzielle Probleme frühzeitig zu erkennen. Eine informierte Belegschaft ist unsere erste Verteidigungslinie.
• Überwachung und Auditierung: Die Organisation überwacht die Einhaltung dieser Richtlinie durch verschiedene Mittel. Der DSB führt zusammen mit der Internen Revision oder Compliance periodische Audits oder Bewertungen verschiedener Abteilungen und Prozesse durch. Zum Beispiel könnten wir eine Stichprobe der im Jahr durchgeführten DSFAs überprüfen oder die Einhaltung des Datenaufbewahrungsplans durch eine Geschäftseinheit auditieren. Wir verfolgen auch wichtige Leistungsindikatoren wie die Anzahl der eingegangenen und fristgerecht erfüllten Betroffenenanfragen, die Abschlussquoten von Schulungen und alle Datenschutzvorfälle, um unsere Leistung zu messen. Die Ergebnisse der Audits werden dem Senior Management zusammen mit Verbesserungsempfehlungen gemeldet. Alle identifizierten Mängel werden mit einem Korrekturmaßnahmenplan behoben, und Nachprüfungen stellen sicher, dass diese Maßnahmen wirksam sind. Wir betrachten Audits nicht als „Erwischt“-Übung, sondern als Werkzeug, das uns hilft, uns zu verbessern und Rechenschaftspflicht nachzuweisen (wie von der DSGVO gefordert).
• Reaktion auf Vorfälle und Lernen: Trotz unserer Bemühungen können Vorfälle (wie Datenpannen oder Beinahe-Vorfälle) auftreten. Wir haben einen Plan zur Reaktion auf Vorfälle zur Bewältigung von Datenschutzverletzungen, der mit den DSGVO-Artikeln 33 und 34 (Meldepflichten bei Verletzungen) übereinstimmt – obwohl dies Teil unserer umfassenderen Informationssicherheitsverfahren ist, überschneidet es sich mit dem Datenschutz. Alle Mitarbeiter müssen jeden Verdacht auf eine Verletzung des Schutzes personenbezogener Daten oder einen Sicherheitsvorfall unverzüglich unserem IT-Sicherheitsteam und dem DSB melden (z. B. verlorener Laptop, falsch gesendete E-Mail mit personenbezogenen Daten, jeder System-Hack usw.). Wir untersuchen jeden Vorfall umgehend und ergreifen Maßnahmen zur Schadensminderung. Entscheidend ist, dass wir aus Vorfällen lernen: Nach der Lösung wird eine Nachuntersuchung durchgeführt, um Ursachen zu identifizieren und Prozesse zu verbessern. Dies könnte zur Aktualisierung dieser Richtlinie, zur Verbesserung der Schulung oder zur Hinzufügung neuer technischer Schutzmaßnahmen führen. Das Management unterstützt eine „Keine Schuldzuweisung“-Kultur bei der Meldung von Vorfällen – der Fokus liegt auf Verbesserung, nicht auf Bestrafung für ehrliche Fehler (vorsätzliche Fahrlässigkeit oder Richtlinienverstöße werden jedoch angemessen behandelt). Wenn eine Verletzung die gesetzliche Schwelle für eine Benachrichtigung erreicht, verwaltet der DSB die Kommunikation mit Behörden und betroffenen Personen gemäß Gesetz, und diese Erfahrung wird weiter zu stärkeren Kontrollen beitragen.
• Regulatorische Beobachtung und Updates: Datenschutzgesetze und -vorschriften können sich ändern. Wir beobachten rechtliche Entwicklungen (z. B. neue Leitlinien von Datenschutzbehörden, aktualisierte Vorschriften, Gerichtsentscheidungen, die die Auslegung der DSGVO beeinflussen) und bewährte Branchenpraktiken. Der DSB oder Rechtsberater informiert die Organisation über Änderungen, die Anpassungen in unserem Compliance-Ansatz erfordern. Entsprechend werden diese Richtlinie und unsere SOPs bei Bedarf überarbeitet. Mindestens überprüfen wir diese Richtlinie formell jährlich, um sicherzustellen, dass sie mit dem Gesetz und unseren Geschäftsabläufen aktuell bleibt. Wenn wesentliche Änderungen eintreten (zum Beispiel, wenn wir neue Geschäftsbereiche starten oder neue Technologien wie KI einführen, die den Datenschutz beeinflussen), warten wir nicht auf den jährlichen Zyklus – wir aktualisieren die Richtlinie zeitnah und kommunizieren Änderungen an alle Mitarbeiter.
• Mitarbeiterfeedback und Beteiligung: Wir ermutigen Mitarbeiter, Feedback zu Datenschutzprozessen zu geben. Diejenigen „an der Basis“ könnten Ineffizienzen erkennen oder Verbesserungsideen haben (zum Beispiel könnte ein Kundensupport-Mitarbeiter eine Möglichkeit vorschlagen, die Identitätsprüfung für Zugriffsanfragen zu optimieren). Wir haben Kanäle (wie eine dedizierte Datenschutz-Mailbox oder als Teil von Teambesprechungen), über die Mitarbeiter Vorschläge oder Bedenken zur Funktionsweise von Richtlinien in der Praxis äußern können. Das Management und der DSB nehmen diesen Input ernst und integrieren ihn gegebenenfalls in Prozessverbesserungen. Dieser inklusive Ansatz hilft sicherzustellen, dass die Richtlinie nicht nur ein Dokument ist, sondern eine lebendige Praxis, die sich an reale Bedürfnisse anpasst.
• Dokumentation und Zertifizierung: Wir pflegen Dokumentationen als Nachweis der Compliance (Richtlinienversionshistorie, Schulungsaufzeichnungen, Auditberichte usw.). Wenn wir Datenschutzzertifizierungen oder Verhaltenskodizes anstreben, wird die kontinuierliche Verbesserung Teil dieses Zyklus sein. Zum Beispiel würde eine ISO 27701-Zertifizierung regelmäßige Überwachungsaudits beinhalten – eine weitere Ebene, die sicherstellt, dass wir uns weiter verbessern. Auch ohne formale Zertifizierung können wir uns an Rahmenwerken messen oder Selbstbewertungen durchführen, um Lücken zu identifizieren.

Durch aktives Management und Überprüfung unseres Datenschutzprogramms stellen wir sicher, dass wir nicht nur Compliance-Anforderungen erfüllen, sondern auch eine starke Datenschutzkultur aufbauen. Diese Richtlinie selbst wird versioniert, und alle Aktualisierungen werden per E-Mail und im Firmenintranet kommuniziert, wobei Schulungen zu wesentlichen Änderungen angeboten werden. Von den Mitarbeitern wird erwartet, dass sie sich über diese Updates auf dem Laufenden halten und Fragen stellen, wenn etwas unklar ist.

Zusammenfassend lässt sich sagen, dass Datenschutz eine fortlaufende Reise ist und diese Richtlinie ein Fahrplan. Durch sorgfältige Governance, Mitarbeiterengagement und regelmäßige Verfeinerung unserer Praktiken wird Bluesquad Services UG weiterhin die höchsten Datenschutzstandards in unseren Aktivitäten als Verantwortlicher aufrechterhalten. Wir sind stolz darauf, die Privatsphäre des Einzelnen zu respektieren und verpflichten uns, das Vertrauen unserer Kunden, Mitarbeiter und Partner zu wahren. Wenn Sie Fragen zu dieser Richtlinie oder Ihrer Rolle bei ihrer Unterstützung haben, wenden Sie sich bitte an den Datenschutzbeauftragten – wir alle sind Stakeholder der Datenschutzkonformität, und gemeinsam werden wir uns weiter verbessern.

Terminbuchung über Calendly

Wir verwenden Calendly zur Terminvereinbarung. Wenn Sie einen Termin buchen, werden folgende Daten verarbeitet:

• Name
• E-Mail-Adresse
• ggf. Telefonnummer
• gewünschter Termin / Zeitzone
• ggf. Freitext-Angaben, die Sie in das Formular eingeben
• technische Metadaten (z. B. IP-Adresse)

Zweck: Terminorganisation, Kommunikation im Rahmen von Vertrags-/Kooperationsanbahnung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) und Art. 6 Abs. 1 lit. f DSGVO (effiziente Terminorganisation).
Calendly verarbeitet Daten als Auftragsverarbeiter. Wir haben eine Auftragsverarbeitungsvereinbarung (DPA) mit Calendly abgeschlossen. Calendly nutzt zur rechtmäßigen Datenübermittlung in Drittländer (z. B. USA) insbesondere EU-Standardvertragsklauseln.
Speicherdauer: Ihre Buchungsdaten speichern wir, solange dies zur Terminabwicklung und ggf. zur anschließenden Zusammenarbeit erforderlich ist, spätestens jedoch nach 24 Monaten sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.