Datenschutzhinweise für die Nutzung von FUTURA Engineering

Anforderungen der Europäischen Datenschutzgrundverordnung (DSGVO)

1.      Einführung

Die Futura Solutions GmbH (im Weiteren ‚Futura Solutions‘ genannt) entwickelt und betreibt die Cloud-basierte Einkaufs- und Beschaffungsplattform FUTURA^®, über die Geschäftsprozesse zwischen Einkäufern (im Weiteren ‚Kunde‘ genannt) und externen Akteuren, d. h. Dienstleistern, Partnern und Lieferanten (im Weiteren ‚Nutzer‘ genannt) digital vernetzt werden. Diese technische, mittels eines Browsers bereitgestellte Kommunikationsbasis ermöglicht einen Austausch von Informationen und Dokumenten (im Weiteren ‚Informationen‘ genannt) zur Zusammenarbeit. Dabei werden in der Cloud-basierten Einkaufs- und Beschaffungsplattform FUTURA^®, notwendigerweise durch den Geschäftspartner (‚Kunde‘) von ‚Nutzer‘ für bestimmte Zwecke, die von ‚Kunde‘ festgelegt sind, auch personenbezogene Daten erfasst und gespeichert. Insofern ist ‚Kunde‘ im Sinne der Datenschutz-Grundverordnung der EU (DSGVO) (siehe Art. 4 Abs. 7) zunächst „Verantwortlicher“ durch die Erhebung der personenbezogenen Daten von ‚Nutzer‘. ‚Futura Solutions‘ verarbeitet wiederum Daten im Auftrag von ‚Kunde‘ und ist vor diesem Hintergrund im Sinne der DSGVO (siehe Art. 4 Abs. 8) „Auftragsverarbeiter“. Mit ‚Kunde‘ wurde aus diesem Grund ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen. Im Zuge der Aktivierung des Nutzerkontos (im Weiteren ‚Account‘ genannt) durch ‚Nutzer‘ hat dieser die Möglichkeit die von ‚Kunde‘ erhobenen personenbezogenen Daten zu ändern. Insofern wird mit der Aktivierung des ‚Accounts‘ durch ‚Nutzer‘ dieser selbst verantwortlich für die ursprünglich durch ‚Kunde‘ erhobenen personenbezogenen Daten. Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten ist ein Grundrecht. Dem trägt auch die DSGVO Rechnung. ‚Futura Solutions‘ setzt die Vorschriften der DSGVO als „Auftragsverarbeiter“ gegenüber ‚Kunde‘ und ‚Nutzer‘ vollständig um. ‚Futura Solutions‘ unterhält ein Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO (siehe Anhang 03). ‚Futura Solutions‘ stellt sicher, dass Daten und dabei insbesondere personenbezogene Daten innerhalb der Europäischen Union (EU) gespeichert werden und keine Übertragung dieser Daten in Drittländer erfolgt. Als „Auftragsverarbeiter“ sichert ‚Futura Solutions‘ zudem zu, dass personenbezogene Daten geschützt sind und zudem den Rechten der Betroffenen, soweit es im Verantwortungsbereich eines „Auftragsverarbeiters“ liegt, entsprochen wird.

2.      Begriffsbestimmungen (DSGVO) – Art. 4 (Auszug)

Im Sinne der Verordnung werden „personenbezogene Daten“ bzw. die „betroffene Person“ (kurz ‚Betroffener‘ genannt), der „Verantwortlicher“ sowie der „Auftragsverarbeiter“ wie folgt definiert:

(1)       „personenbezogene Daten“: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;

(2)       „Verantwortlicher“: die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können der Verantwortliche beziehungsweise die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden.

(3)       „Auftragsverarbeiter“: eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag „Verantwortlicher“ verarbeitet.

(4)       „Einwilligung“ der betroffenen Person: jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.

3.      Kenntnisnahme und Bestätigungsprozess

Diese Datenschutzhinweise muss durch ‚Nutzer‘ im Zuge der Aktivierung seines Nutzerkontos (im Weiteren ‚Account‘ genannt) zur Kenntnis genommen werden und zusätzlich müssen die Allgemeinen Nutzungsbedingungen von ‚Nutzer‘ bestätigt werden. Die Kenntnisnahme sowie die Bestätigung müssen vor der erstmaligen Anmeldung bzw. vor einer Anmeldung nach einer möglichen Änderung der Datenschutzhinweise oder Allgemeine Nutzungsbedingungen erfolgen.

Die Kenntnisnahme sowie die Bestätigung werden jeweils geloggt. Ohne diese Kenntnisnahme sowie Betätigung ist eine Anmeldung und letztlich Nutzung der Einkaufs- und Beschaffungsplattform FUTURA^® nicht möglich.

Mit der Aktivierung des ‚Accounts‘ durch ‚Nutzer‘ wird dieser selbst „Verantwortlicher“ für die ursprünglich durch ‚Kunde‘ erhobenen personenbezogenen Daten.

4.      Rechte der Betroffenen

4.1      Informationen zum Schutz personenbezogener Daten

Nachfolgend werden Informationen nach Art. 13 und 14 (DSGVO) / (GDPR) zum Schutz personenbezogener Daten des Betroffenen zur Kenntnis gebracht:

4.2      Maschinelle Löschung personenbezogener Daten

4.2.1        Löschung personenbezogener Daten von ‚Nutzer‘, die niemals an einem Geschäftsvorfall bzw. -tätigkeit teilgenommen haben

Für den Fall, dass für einen ‚Nutzer‘ („Betroffener“) ein ‚Account‘ mit personenbezogenen Daten in der Einkaufs- und Beschaffungsplattform FUTURA^® angelegt wurde, dieser die dort hinterlegte Datenschutzhinweise nicht zur Kenntnis nimmt und den an selber Stelle hinterlegten Allgemeinen Nutzungsbedingungen zugleich nicht zustimmt und/oder zudem der Verarbeitung seiner personenbezogenen Daten widerspricht bzw. ‚Nutzer‘ auf die Einladung von „Verantwortlicher“ nicht innerhalb einer bestimmten Frist reagiert, um den Anmeldeprozess abzuschließen und den ‚Account‘ zu aktivieren, wird dieser Zugang mit den von ‚Verantwortlicher‘ erhobenen personenbezogenen Daten automatisiert gelöscht. Die Frist dafür beträgt 90 Tage nach der Versendung der Einladung von ‚Verantwortlicher‘.

Zum Ablauf: Der Initiator bzw. „Verantwortlicher“ eines Geschäftsvorfalls- bzw. einer Geschäftstätigkeit legt einen neuen ‚Nutzer‘ („Betroffener“) in der Einkaufs- und Beschaffungsplattform FUTURA^® an und erhebt dazu personenbezogene Daten. Daraufhin generiert FUTURA^® selbständig und automatisiert einen ‚Account‘ und verschickt die Zugangsdaten an die eingetragene E-Mail-Adresse. Damit verbunden ist der Versand der Zugangsdaten per E-Mail.

‚Nutzer‘ hat nun 90 Tage Zeit zu reagieren bzw. sich anzumelden. Darüber wird er innerhalb der 90 Tage erinnert und dabei auch auf die Konsequenz hingewiesen, dass der angelegte ‚Account‘ nach Ablauf dieser Frist automatisiert gelöscht wird.

4.2.2        Löschung personenbezogener Daten von ‚Nutzer‘, die mindestens einmal an einem Geschäftsvorfall bzw. -tätigkeit teilgenommen haben

‚Account‘ einschließlich aller personenbezogener Daten von ‚Nutzer‘, die mindestens einmal an einem Geschäftsvorfall bzw. -tätigkeit teilgenommen haben, werden nach Ablauf der gesetzlichen Aufbewahrungspflicht, nach der letzten Teilnahme an einem Geschäftsvorfall bzw. -tätigkeit ebenso maschinell und damit automatisiert gelöscht.

Die gesetzlichen Aufbewahrungspflichten werden jeweils in Verträgen zwischen ‚Kunde‘ und ‚Futura Solutions‘ geregelt.

Die Rechte, insbesondere Auskunftsrechte von „Betroffener“ gemäß DSGVO bestehen unbenommen.

Anhang 01 – Technische und Organisatorische Maßnahmen (TOM)

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutrittskontrolle
  Kein unbefugter Zutritt zu Datenverarbeitungsanlagen, z.B.: Magnet- oder Chipkarten, Schlüssel, elektrische Türöffner, Werkschutz bzw. Pförtner, Alarmanlagen, Videoanlagen;

• Zugangskontrolle
  Keine unbefugte Systembenutzung, z.B.: (sichere) Kennwörter, automatische Sperrmechanismen, Zwei-Faktor-Authentifizierung, Verschlüsselung von Datenträgern;

• Zugriffskontrolle
  Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems, z.B.: Berechtigungskonzepte und bedarfsgerechte Zugriffsrechte, Protokollierung von Zugriffen;

• Trennungskontrolle
  Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden, z.B.: Mandantenfähigkeit, Sandboxing;

• Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO; Art. 25 Abs. 1 DSGVO)

Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechende technischen und organisatorischen Maßnahmen unterliegen, z.B.: das Ersetzen des Namens und anderer Identifikationsmerkmale durch ein Kennzeichen zu dem Zweck, die Bestimmung des Betroffenen auszuschließen oder wesentlich zu erschweren.

1. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Weitergabekontrolle
  Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport, z.B.: Verschlüsselung, Virtual Private Networks (VPN), elektronische Signatur;

• Eingabekontrolle
  Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind, z.B.: Protokollierung, Dokumentenmanagement;

2. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Verfügbarkeitskontrolle
  Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust, z.B.: Backup-Strategie (online/offline; on-site/off-site), unterbrechungsfreie Stromversorgung (USV), Virenschutz, Firewall, Meldewege und Notfallpläne;

• Belastbarkeit

Datenverarbeitungssysteme müssen so widerstandsfähig sein, dass ihre Funktionsfähigkeit selbst bei starkem Zugriff und starker Auslastung gewährleistet ist, z.B.: Reduzierung der Fehleranfälligkeit von einzelnen Komponenten eines Systems, Erhöhen der Agilität durch virtualisierte Systemkomponenten und Ressourcen;

• Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO)

Die die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen, z.B.: Implementieren eines Notfallmanagements mit der Beschreibung der strategischen Herangehensweise, über eine z.B. Notfallmanagement Leitlinie und/oder Richtlinie sowie die Ist-Analyse von Business Impacts sowie Risiken und einen darauf abgestellten Umsetzungsplan sowie ein Notfallvorsorgekonzept, eine Geschäftsfortführungsplanung sowie ein Wiederanlaufplan und die Durchführung mehrstufiger Notfalltests.

3. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DS-GVO; Art. 25 Abs. 1 DSGVO)

• Datenschutz-Management-System (DSMS)

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung, z.B.: Implementieren eines Datenschutz-Management-Systems (DSMS) mit der Beschreibung der strategischen Herangehensweise, über z.B. eine Datenschutzmanagement Leitlinie und/oder Richtlinie, Erstellen von Verzeichnissen von Verarbeitungstätigkeiten (gem. Art. 30 Abs. 2 DSGVO), Erstellen von Datenschutzhinweise, Ausarbeiten von Löschkonzepten sowie regelmäßiges Auditieren der geplanten und ergriffenen Maßnahmen durch einen externen Datenschutzbeauftragten.

• Incident-Response-Management

Es werden Firewalls, Spamfilter sowie Virenscanner eingesetzt, die regalmäßig aktualisiert werden. Des Weiteren kommen IDS- und IPS-Systeme zu Einsatz.

• Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO)

Es existieren Maßnahmen zur datenschutzfreundlichen Voreinstellung. Die Ausübung des Widerrufrechts kann durch technische Maßnahmen erfolgen.

• Auftragskontrolle
  Keine Auftragsverarbeitung im Sinne von Art. 28 DSGVO ohne entsprechende Weisung des Auftraggebers, z.B.: Eindeutige Vertragsgestaltung, formalisiertes Auftragsmanagement, strenge Auswahl des Dienstleisters, Vorabüberzeugungspflicht, Nachkontrollen.

Anhang 02 – Verzeichnis von Verarbeitungstätigkeiten gem. Art. 30 EU-DSGVO

I.       Allgemein

‚Futura Solutions‘, in der Rolle des „Auftragsverarbeiters“ hat gem. Artikel 30 Absatz 1 der DSGVO ein Verzeichnis von Verarbeitungstätigkeiten erstellt, das über folgenden Inhalt verfügt:

1. Den Namen und die Kontaktdaten des „Auftragsverarbeiters“ sowie des Datenschutzbeauftragten.

2. Die Zwecke der Verarbeitung.

3. Eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten.

4. Die Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, einschließlich Empfänger in Drittländern oder internationalen Organisationen.

5. Gegebenenfalls Übermittlungen von personenbezogenen Daten an ein Drittland oder an eine internationale Organisation, einschließlich der Angabe des betreffenden Drittlands oder der betreffenden internationalen Organisation, sowie bei den in Artikel 49 Absatz 1 Unterabsatz 2 genannten Datenübermittlungen die Dokumentierung geeigneter Garantien.

6. Wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien.

7. Wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß Artikel 32 Absatz 1.

Die Angaben zu Ziff. 1 sind den Inhalten zu den einzelnen Verarbeitungen vorangestellt.

II.      Verzeichnis der Verarbeitungstätigkeiten

a.      Kontaktdaten

Nachfolgend sind die Kontaktdaten der Futura Solutions‘ als „Auftragsverarbeiter“ sowie die Kontaktdaten des externen Datenschutzbeauftragten der ‚Futura Solutions‘ aufgeführt:

b.      Beschreibung der Verarbeitung

Nachfolgend ist der Zweck und die Kategorie von Verarbeitungen, die im Auftrag durchgeführt werden katalogisiert: