Richtlinie zur Aufbewahrung und Löschung

1.    ZWECK UND GELTUNGSBEREICH

Die Richtlinie zur Aufbewahrung und Löschung personenbezogener Daten („Richtlinie“) wurde erstellt, um die Verfahren und Grundsätze für die von unserem Unternehmen durchgeführten Aufbewahrungs- und Löschungsmaßnahmen festzulegen. Alle Tätigkeiten im Zusammenhang mit der Aufbewahrung und Löschung personenbezogener Daten führt unser Unternehmen gemäß dieser Richtlinie durch.

2.    SPEICHERMEDIEN

Personenbezogene Daten werden vom Unternehmen rechtmäßig und sicher in den nachstehend aufgeführten Medien gespeichert.

Elektronische Medien:

·         Server (Domain, Backup, E-Mail, Datenbank, Web, Dateifreigabe usw.)

·         Software (Office-Software usw.)

·         Informationssicherheitsgeräte (Firewall, Virenschutz usw.)

·         PCs (Desktop, Laptop)

·         Mobilgeräte (Telefon, Tablet usw.)

·         Optische Datenträger (CD, DVD usw.)

·         Wechseldatenträger (USB, Speicherkarte usw.)

·         Drucker, Scanner, Kopiergeräte

Nicht elektronische Medien:

·         Papier,

·         Manuelle Datenerfassungssysteme,

·         Schriftliche, gedruckte und visuelle Medien

3.    ERLÄUTERUNGEN ZUR AUFBEWAHRUNG UND LÖSCHUNG

Das Unternehmen bewahrt personenbezogene Daten von Kunden, potenziellen Kunden,  Mitarbeitenden, Bewerbenden, Gesellschaftern und Organen des Unternehmens sowie von Mitarbeitenden, Gesellschaftern und Organen kooperierender Einrichtungen und Dritter gemäß dem Gesetz für die in den Vorschriften vorgesehene Dauer oder, falls keine Dauer vorgesehen ist, bis zum Wegfall des Verarbeitungszwecks auf und löscht sie in der in den Vorschriften vorgesehenen Weise.

3.1.  Verarbeitungszwecke, die eine Aufbewahrung erfordern

Das Unternehmen bewahrt die im Rahmen seiner Tätigkeit verarbeiteten personenbezogenen Daten zu folgenden Zwecken auf.

Durchführung der Bewerbungsverfahren

Durchführung von Prozessen zur Mitarbeiterzufriedenheit und -bindung

Erfüllung von Pflichten gegenüber Mitarbeitenden aus Arbeitsvertrag und Gesetz

Durchführung von Prozessen zu Zusatzleistungen für Mitarbeitende

Durchführung von Schulungsmaßnahmen

Gesetzeskonforme Durchführung der Tätigkeiten

Abwicklung von Finanz- und Buchhaltungsangelegenheiten

Durchführung von Entsendungsprozessen

Verfolgung und Abwicklung von Rechtsangelegenheiten

Durchführung von Kommunikationsaktivitäten

Planung von Personalprozessen

Durchführung / Prüfung von Geschäftstätigkeiten

Durchführung von Arbeitsschutzmaßnahmen

Entgegennahme und Bewertung von Vorschlägen zur Verbesserung von Geschäftsprozessen

Durchführung von Maßnahmen zur Aufrechterhaltung des Geschäftsbetriebs

Durchführung von Kundendienstleistungen nach dem Verkauf von Waren / Dienstleistungen

Durchführung von Verkaufsprozessen für Waren / Dienstleistungen

Durchführung von Produktions- und Betriebsprozessen für Waren / Dienstleistungen

Durchführung von Prozessen des Kundenbeziehungsmanagements

Durchführung von Maßnahmen zur Kundenzufriedenheit

Durchführung von Leistungsbeurteilungen

Durchführung von Vertragsprozessen

Verfolgung von Anfragen / Beschwerden

Durchführung von Talent- / Karriereentwicklungsmaßnahmen

Information befugter Personen, Behörden und Einrichtungen

Durchführung von Managementaktivitäten

Durchführung von Informationssicherheitsprozessen

Durchführung von Notfallmanagementprozessen

Durchführung von Marketingprozessen für Produkte und Dienstleistungen

Umsetzung der Vergütungspolitik

Verwaltung von Zugriffsrechten und ähnliche Zwecke.

3.2.   Gründe, die eine Löschung erfordern

Personenbezogene Daten werden

·         vom Unternehmen auf Antrag der betroffenen Person oder von Amts wegen gelöscht, vernichtet oder anonymisiert, wenn die der Verarbeitung zugrunde liegenden Rechtsvorschriften geändert oder aufgehoben werden,

·         der Zweck, der die Verarbeitung oder Aufbewahrung erfordert, entfallen ist,

·         die betroffene Person ihre ausdrückliche Einwilligung widerruft, sofern die Verarbeitung ausschließlich auf dieser Einwilligung beruht,

·         das Unternehmen den Antrag der betroffenen Person auf Löschung und Vernichtung ihrer personenbezogenen Daten im Rahmen ihrer Rechte nach Artikel 11 des Gesetzes zum Schutz personenbezogener Daten annimmt,

·         die betroffene Person Beschwerde bei der Datenschutzbehörde einlegt und diese den Antrag für begründet hält, nachdem das Unternehmen den Antrag auf Löschung, Vernichtung oder Anonymisierung abgelehnt, unzureichend beantwortet oder nicht innerhalb der gesetzlichen Frist beantwortet hat,

·         oder die maximale Aufbewahrungsfrist abgelaufen ist und keine Voraussetzung vorliegt, die eine längere Aufbewahrung rechtfertigt.

4.    TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN

Um personenbezogene Daten sicher aufzubewahren, ihre rechtswidrige Verarbeitung und den unbefugten Zugriff zu verhindern und sie rechtmäßig zu löschen, trifft das Unternehmen technische und organisatorische Maßnahmen gemäß Artikel 12 des Gesetzes zum Schutz personenbezogener Daten sowie für besondere Kategorien personenbezogener Daten gemäß Artikel 6 Absatz 4  im Rahmen der von der Datenschutzbehörde festgelegten und bekannt gegebenen angemessenen Maßnahmen.

4.1.   Technische Maßnahmen

Die vom Unternehmen in Bezug auf die verarbeiteten personenbezogenen Daten getroffenen technischen Maßnahmen sind nachstehend aufgeführt:

 -Netzwerk- und Anwendungssicherheit werden gewährleistet.

-Für die Übermittlung personenbezogener Daten über das Netzwerk wird ein geschlossenes Netz verwendet.

-Bei Beschaffung, Entwicklung und Wartung von IT-Systemen werden Sicherheitsmaßnahmen getroffen.

-Die Sicherheit der in der Cloud gespeicherten personenbezogenen Daten wird gewährleistet.

-Für Mitarbeitende bestehen Disziplinarregelungen mit Bestimmungen zur Datensicherheit.

-Für Mitarbeitende werden regelmäßig Schulungen und Sensibilisierungsmaßnahmen zur Datensicherheit durchgeführt.

-Für Mitarbeitende wurde eine Berechtigungsmatrix erstellt.

-Zugriffsprotokolle werden regelmäßig geführt.

-Unternehmensrichtlinien zu Zugriff, Informationssicherheit, Nutzung, Aufbewahrung und Löschung wurden erstellt und umgesetzt.

-Es werden Vertraulichkeitsvereinbarungen abgeschlossen.

-Die Berechtigungen von Mitarbeitenden, die ihre Funktion wechseln oder das Unternehmen verlassen, werden entzogen.

-Es werden aktuelle Virenschutzsysteme eingesetzt.

-Es werden Firewalls eingesetzt.

-Abgeschlossene Verträge enthalten Bestimmungen zur Datensicherheit.

-Für in Papierform übermittelte personenbezogene Daten werden zusätzliche Sicherheitsmaßnahmen getroffen, und die betreffenden Unterlagen werden als vertrauliche Dokumente versandt.

-Richtlinien und Verfahren zur Sicherheit personenbezogener Daten wurden festgelegt.

-Probleme bei der Sicherheit personenbezogener Daten werden umgehend gemeldet.

-Die Sicherheit personenbezogener Daten wird überwacht.

-Für den Zutritt zu und das Verlassen von physischen Bereichen mit personenbezogenen Daten werden die erforderlichen Sicherheitsmaßnahmen getroffen.

-Physische Bereiche mit personenbezogenen Daten werden gegen äußere Risiken (Brand, Überschwemmung usw.) geschützt.

-Die Sicherheit von Umgebungen mit personenbezogenen Daten wird gewährleistet.

-Personenbezogene Daten werden so weit wie möglich minimiert.

-Personenbezogene Daten werden gesichert, und auch die Sicherheit der gesicherten Daten wird gewährleistet.

-Benutzerkontenverwaltung und Berechtigungskontrolle werden angewendet und überwacht.

-Es werden regelmäßige und/oder stichprobenartige interne Prüfungen durchgeführt bzw. in Auftrag gegeben.

-Protokolle werden so geführt, dass Eingriffe durch Benutzer ausgeschlossen sind.

-Bestehende Risiken und Bedrohungen wurden ermittelt.

-Protokolle und Verfahren zur Sicherheit besonderer Kategorien personenbezogener Daten wurden festgelegt und werden angewendet.

-Es werden Penetrationstests durchgeführt.

-Es wird Verschlüsselung eingesetzt.

4.2.  Organisatorische Maßnahmen

-Zur Bestandsaufnahme und Risikoanalyse der Verarbeitungsprozesse wurde ein Verzeichnis personenbezogener Daten erstellt, und die Kategorien der verarbeiteten Daten und der betroffenen Personen wurden ermittelt.

-Für Mitarbeitende bestehen Disziplinarregelungen mit Bestimmungen zur Datensicherheit.

-Für Mitarbeitende werden regelmäßig Schulungen und Sensibilisierungsmaßnahmen zur Datensicherheit durchgeführt.

-Unternehmensrichtlinien zu Zugriff, Informationssicherheit, Nutzung, Aufbewahrung und Löschung wurden erstellt und umgesetzt.

-Es werden Vertraulichkeitsvereinbarungen abgeschlossen.

-Die Berechtigungen von Mitarbeitenden, die ihre Funktion wechseln oder das Unternehmen verlassen, werden entzogen.

-Abgeschlossene Verträge enthalten Bestimmungen zur Datensicherheit.

-Für in Papierform übermittelte personenbezogene Daten werden zusätzliche Sicherheitsmaßnahmen getroffen, und die betreffenden Unterlagen werden als vertrauliche Dokumente versandt.

-Richtlinien und Verfahren zur Sicherheit personenbezogener Daten wurden festgelegt.

-Probleme bei der Sicherheit personenbezogener Daten werden umgehend gemeldet.

-Die Sicherheit personenbezogener Daten wird überwacht.

-Für den Zutritt zu und das Verlassen von physischen Bereichen mit personenbezogenen Daten werden die erforderlichen Sicherheitsmaßnahmen getroffen.

-Physische Bereiche mit personenbezogenen Daten werden gegen äußere Risiken (Brand, Überschwemmung usw.) geschützt.

-Die Sicherheit von Umgebungen mit personenbezogenen Daten wird gewährleistet.

-Personenbezogene Daten werden so weit wie möglich minimiert.

-Es werden regelmäßige und/oder stichprobenartige interne Prüfungen durchgeführt bzw. in Auftrag gegeben.

-Protokolle und Verfahren zur Sicherheit besonderer Kategorien personenbezogener Daten wurden festgelegt und werden angewendet.

-Dienstleister, die Daten verarbeiten, werden regelmäßig hinsichtlich der Datensicherheit geprüft.

-Dienstleister, die Daten verarbeiten, werden für Datensicherheit sensibilisiert.

-In bestehende Verträge mit Geschäftspartnern, an die im Rahmen der Unternehmenstätigkeit und im Einklang mit dem KVKK personenbezogene Daten übermittelt werden, werden Bestimmungen aufgenommen oder gesonderte Verträge geschlossen, wonach sie die zum Schutz der übermittelten Daten erforderlichen Sicherheitsmaßnahmen treffen und deren Einhaltung in ihrer eigenen Organisation sicherstellen; abgesehen von den für Geschäftspartner vorgesehenen Ausnahmen werden Klauseln aufgenommen, die die Pflicht begründen, personenbezogene Daten nicht zu verarbeiten, offenzulegen oder zu verwenden, und die Partner werden entsprechend informiert.

-Werden aufgrund technischer Anforderungen bei der Aufbewahrung personenbezogener Daten externe Dienstleistungen in Anspruch genommen, werden – sofern die Übermittlung an diese Unternehmen im Einklang mit dem KVKK erfolgt – in bestehende Verträge Bestimmungen aufgenommen oder gesonderte Verträge geschlossen, wonach das Unternehmen und seine Mitarbeitenden die zum Schutz personenbezogener Daten erforderlichen Sicherheitsmaßnahmen treffen und deren Einhaltung in ihrer eigenen Organisation sicherstellen.

-Vor Beginn der Verarbeitung personenbezogener Daten erfüllt das Unternehmen seine Informationspflicht gegenüber den betroffenen Personen.

5.    TECHNIKEN ZUR LÖSCHUNG PERSONENBEZOGENER DATEN

Nach Ablauf der in den einschlägigen Vorschriften vorgesehenen Frist oder der für den Verarbeitungszweck erforderlichen Aufbewahrungsdauer werden personenbezogene Daten vom Unternehmen von Amts wegen oder auf Antrag der betroffenen Person mit den nachstehend genannten Techniken und im Einklang mit den einschlägigen Vorschriften gelöscht.

5.1.  Löschen personenbezogener Daten

Personenbezogene Daten werden mit folgenden Methoden gelöscht:

·         Personenbezogene Daten in physischen Medien: In physischen Medien gespeicherte personenbezogene Daten, deren Aufbewahrungsfrist abgelaufen ist, werden für alle Mitarbeitenden mit Ausnahme der für das Dokumentenarchiv verantwortlichen Abteilungsleitung vollständig unzugänglich und unbrauchbar gemacht. Zusätzlich werden sie durch Durchstreichen, Übermalen oder Ausradieren unleserlich geschwärzt.

5.2.  Vernichtung personenbezogener Daten

Personenbezogene Daten werden vom Unternehmen mit folgenden Methoden vernichtet.

·         Personenbezogene Daten in physischen Medien: Personenbezogene Daten in Papierform, deren Aufbewahrungsfrist abgelaufen ist, werden in Aktenvernichtern unwiederbringlich vernichtet.

5.3.  Anonymisierung personenbezogener Daten

Anonymisierung bedeutet, personenbezogene Daten so zu verändern, dass sie auch bei Verknüpfung mit anderen Daten in keiner Weise einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können.

Damit personenbezogene Daten als anonymisiert gelten, dürfen sie selbst durch den Einsatz von für das Speichermedium und den Tätigkeitsbereich geeigneten Techniken – etwa die Rückführung durch den Verantwortlichen oder Dritte und/oder die Verknüpfung mit anderen Daten – keiner bestimmten oder bestimmbaren natürlichen Person mehr zugeordnet werden können.

6.    AUFBEWAHRUNGS- UND LÖSCHFRISTEN

In Bezug auf die vom Unternehmen im Rahmen seiner Tätigkeit verarbeiteten personenbezogenen Daten gilt:

Die Aufbewahrungsfristen für alle personenbezogenen Daten im Rahmen prozessbezogener Tätigkeiten sind auf Datenebene im Verzeichnis der Verarbeitungstätigkeiten, auf Ebene der Datenkategorien im VERBİS sowie nachstehend festgelegt:

Personenbezogene Daten, deren Aufbewahrungsfrist abgelaufen ist, werden im Rahmen der Löschfristen in Abständen von 6 (sechs) Monaten nach den in dieser Richtlinie festgelegten Verfahren anonymisiert oder vernichtet. Alle Vorgänge im Zusammenhang mit dem Löschen, Vernichten und Anonymisieren personenbezogener Daten werden protokolliert, und diese Protokolle werden – vorbehaltlich anderer rechtlicher Pflichten – mindestens 3 (drei) Jahre aufbewahrt.

7.    REGELMÄSSIGER LÖSCHZEITRAUM

Gemäß Artikel 11 der Verordnung hat das Unternehmen den regelmäßigen Löschzeitraum auf 6 Monate festgelegt. Dementsprechend erfolgt die regelmäßige Löschung im Unternehmen jedes Jahr im Juni und Dezember.

8.    VERÖFFENTLICHUNG, AUFBEWAHRUNG UND AUFHEBUNG DER RICHTLINIE

Die Richtlinie wird elektronisch veröffentlicht, auf der Website des Unternehmens (www.igllojistik.com) öffentlich zugänglich gemacht und betroffenen Personen auf Anfrage zur Verfügung gestellt. Diese Richtlinie wird bei Bedarf aktualisiert; Änderungen treten mit ihrer Veröffentlichung auf der Website in Kraft.

Wird die Aufhebung dieser Richtlinie beschlossen, werden die alten Exemplare der Richtlinie durch Beschluss des Vorstands für ungültig erklärt, mit einem Ungültigkeitsstempel oder -vermerk versehen und mindestens 5 JAHRE aufbewahrt.