Datenschutzhinweise für die Nutzung von FUTURA Smart

Anforderungen der Europäischen Datenschutzgrundverordnung (DSGVO)

1.      Einführung

Die Futura Solutions GmbH (im Weiteren ‚Futura Solutions‘ genannt) entwickelt und betreibt die Cloud-basierte Einkaufs- und Beschaffungsplattform FUTURA^®, über die Geschäftsprozesse zwischen Einkäufern (im Weiteren ‚Kunde‘ genannt) und externen Akteuren, d. h. Dienstleistern, Partnern und Lieferanten (im Weiteren ‚Nutzer‘ genannt) digital vernetzt werden. Diese technische, mittels eines Browsers bereitgestellte Kommunikationsbasis ermöglicht einen Austausch von Informationen und Dokumenten (im Weiteren ‚Informationen‘ genannt) zur Zusammenarbeit.

Dabei werden in der Cloud-basierten Einkaufs- und Beschaffungsplattform FUTURA^®, notwendigerweise durch den Geschäftspartner (‚Kunde‘) von ‚Nutzer‘ für bestimmte Zwecke, die von ‚Kunde‘ festgelegt sind, auch personenbezogene Daten erfasst und gespeichert. Insofern ist ‚Kunde‘ im Sinne der Datenschutz-Grundverordnung der EU (DSGVO) (siehe Art. 4 Abs. 7) zunächst „Verantwortlicher“ durch die Erhebung der personenbezogenen Daten von ‚Nutzer‘. ‚Futura Solutions‘ verarbeitet wiederum Daten im Auftrag von ‚Kunde‘ und ist vor diesem Hintergrund im Sinne der DSGVO (siehe Art. 4 Abs. 8) „Auftragsverarbeiter“. Mit ‚Kunde‘ wurde aus diesem Grund ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen.

Für den Fall, dass ‚Kunde‘ mit ‚Nutzer‘ eine Geschäftsbeziehung über FUTURA^® eingehen möchte, lädt ‚Kunde‘ zur Vernetzung ihrer Geschäftsprozesse ‚Nutzer‘ zur Teilnahme über FUTURA^® ein. ‚Nutzer‘ erhält von FUTURA^® dafür eine Systemmail, mit einem Link, um den Registrierungsprozess in FUTURA^® durchzuführen. Erst mit erfolgreichem Abschluss des Registrierungsprozesses durch ‚Nutzer‘ werden die von ‚Nutzer‘ eingegebenen weiteren Daten (auch die weiteren personenbezogenen Daten) ebenfalls in FUTURA^® gespeichert.

Insofern wird mit Abschluss des Registrierungsprozesses und der Aktivierung des ‚Accounts‘ durch ‚Nutzer‘ dieser selbst verantwortlich für die von ihm selbst erhobenen personenbezogenen Daten.

Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten ist ein Grundrecht. Dem trägt auch die DSGVO Rechnung.

‚Futura Solutions‘ setzt die Vorschriften der DSGVO als „Auftragsverarbeiter“ gegenüber ‚Kunde‘ und ‚Nutzer‘ vollständig um. ‚Futura Solutions‘ unterhält ein Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO (siehe Anhang 02).

‚Futura Solutions‘ stellt sicher, dass Daten und dabei insbesondere personenbezogene Daten innerhalb der Europäischen Union (EU) gespeichert werden und keine Übertragung dieser Daten in Drittländer erfolgt.

Als „Auftragsverarbeiter“ sichert ‚Futura Solutions‘ zudem zu, dass personenbezogene Daten geschützt sind und zudem den Rechten der Betroffenen, soweit es im Verantwortungsbereich eines „Auftragsverarbeiters“ liegt, entsprochen wird.

2.      Begriffsbestimmungen (DSGVO) – Art. 4 (Auszug)

Im Sinne der Verordnung werden „personenbezogene Daten“ bzw. die „betroffene Person“ (kurz ‚Betroffener‘ genannt), der „Verantwortlicher“ sowie der „Auftragsverarbeiter“ wie folgt definiert:

(1)       „personenbezogene Daten“: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;

(2)       „Verantwortlicher“: die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können der Verantwortliche beziehungsweise die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden.

(3)       „Auftragsverarbeiter“: eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag „Verantwortlicher“ verarbeitet.

(4)       „Einwilligung“ der betroffenen Person: jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.

3.      Kenntnisnahme und Bestätigungsprozess

Diese Datenschutzhinweise muss durch ‚Nutzer‘ im Zuge der Aktivierung seines Nutzerkontos (im Weiteren ‚Account‘ genannt) zur Kenntnis genommen werden und zusätzlich müssen die Allgemeinen Nutzungsbedingungen von ‚Nutzer‘ bestätigt werden. Die Kenntnisnahme sowie die Bestätigung müssen vor der erstmaligen Anmeldung bzw. vor einer Anmeldung nach einer möglichen Änderung der Datenschutzhinweise oder Allgemeine Nutzungsbedingungen erfolgen.

Die Kenntnisnahme sowie die Bestätigung werden jeweils geloggt. Ohne diese Kenntnisnahme sowie Betätigung ist eine Anmeldung und letztlich Nutzung der Einkaufs- und Beschaffungsplattform FUTURA^® nicht möglich.

Mit der Aktivierung des ‚Accounts‘ durch ‚Nutzer‘ wird dieser selbst „Verantwortlicher“ für die ursprünglich durch ‚Kunde‘ erhobenen personenbezogenen Daten.

4.      Rechte der Betroffenen

4.1      Informationen zum Schutz personenbezogener Daten

Nachfolgend werden Informationen nach Art. 13 und 14 (DSGVO) / (GDPR) zum Schutz personenbezogener Daten des Betroffenen zur Kenntnis gebracht:

4.2      Löschen von personenbezogenen Daten

Die von ‚Nutzer‘ erhobenen und gespeicherten personenbezogenen Daten können von ihm eigenverantwortlich gelöscht werden. Das Löschen der Daten, bzw. der Zeitpunkt der Löschung steht jedoch im Zusammenhang mit den gesetzlichen Aufbewahrungspflichten. Diese ergeben sich unter anderem aus dem Handelsgesetzbuch (HGB) und der Abgabenordnung (AO).

Anhang 01 – Technische und Organisatorische Maßnahmen (TOM)

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutrittskontrolle
  Kein unbefugter Zutritt zu Datenverarbeitungsanlagen, z.B.: Magnet- oder Chipkarten, Schlüssel, elektrische Türöffner, Werkschutz bzw. Pförtner, Alarmanlagen, Videoanlagen;

• Zugangskontrolle
  Keine unbefugte Systembenutzung, z.B.: (sichere) Kennwörter, automatische Sperrmechanismen, Zwei-Faktor-Authentifizierung, Verschlüsselung von Datenträgern;

• Zugriffskontrolle
  Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems, z.B.: Berechtigungskonzepte und bedarfsgerechte Zugriffsrechte, Protokollierung von Zugriffen;

• Trennungskontrolle
  Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden, z.B.: Mandantenfähigkeit, Sandboxing;

• Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO; Art. 25 Abs. 1 DSGVO)

Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechende technischen und organisatorischen Maßnahmen unterliegen, z.B.: das Ersetzen des Namens und anderer Identifikationsmerkmale durch ein Kennzeichen zu dem Zweck, die Bestimmung des Betroffenen auszuschließen oder wesentlich zu erschweren.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Weitergabekontrolle
  Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport, z.B.: Verschlüsselung, Virtual Private Networks (VPN), elektronische Signatur;

• Eingabekontrolle
  Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind, z.B.: Protokollierung, Dokumentenmanagement;

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Verfügbarkeitskontrolle
  Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust, z.B.: Backup-Strategie (online/offline; on-site/off-site), unterbrechungsfreie Stromversorgung (USV), Virenschutz, Firewall, Meldewege und Notfallpläne;

• Belastbarkeit

Datenverarbeitungssysteme müssen so widerstandsfähig sein, dass ihre Funktionsfähigkeit selbst bei starkem Zugriff und starker Auslastung gewährleistet ist, z.B.: Reduzierung der Fehleranfälligkeit von einzelnen Komponenten eines Systems, Erhöhen der Agilität durch virtualisierte Systemkomponenten und Ressourcen;

• Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO)

Die die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen, z.B.: Implementieren eines Notfallmanagements mit der Beschreibung der strategischen Herangehensweise, über eine z.B. Notfallmanagement Leitlinie und/oder Richtlinie sowie die Ist-Analyse von Business Impacts sowie Risiken und einen darauf abgestellten Umsetzungsplan sowie ein Notfallvorsorgekonzept, eine Geschäftsfortführungsplanung sowie ein Wiederanlaufplan und die Durchführung mehrstufiger Notfalltests.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DS-GVO; Art. 25 Abs. 1 DSGVO)

• Datenschutz-Management-System (DSMS)

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung, z.B.: Implementieren eines Datenschutz-Management-Systems (DSMS) mit der Beschreibung der strategischen Herangehensweise, über z.B. eine Datenschutzmanagement Leitlinie und/oder Richtlinie, Erstellen von Verzeichnissen von Verarbeitungstätigkeiten (gem. Art. 30 Abs. 2 DSGVO), Erstellen von Datenschutzhinweise, Ausarbeiten von Löschkonzepten sowie regelmäßiges Auditieren der geplanten und ergriffenen Maßnahmen durch einen externen Datenschutzbeauftragten.

• Incident-Response-Management

Es werden Firewalls, Spamfilter sowie Virenscanner eingesetzt, die regalmäßig aktualisiert werden. Des Weiteren kommen IDS- und IPS-Systeme zu Einsatz.

• Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO)

Es existieren Maßnahmen zur datenschutzfreundlichen Voreinstellung. Die Ausübung des Widerrufrechts kann durch technische Maßnahmen erfolgen.

• Auftragskontrolle
  Keine Auftragsverarbeitung im Sinne von Art. 28 DSGVO ohne entsprechende Weisung des Auftraggebers, z.B.: Eindeutige Vertragsgestaltung, formalisiertes Auftragsmanagement, strenge Auswahl des Dienstleisters, Vorabüberzeugungspflicht, Nachkontrollen.

Anhang 02 – Verzeichnis von Verarbeitungstätigkeiten gem. Art. 30 EU-DSGVO

I.       Allgemein

‚Futura Solutions‘, in der Rolle des „Auftragsverarbeiters“ hat gem. Artikel 30 Absatz 1 der DSGVO ein Verzeichnis von Verarbeitungstätigkeiten erstellt, das über folgenden Inhalt verfügt:

1. Den Namen und die Kontaktdaten des „Auftragsverarbeiters“ sowie des Datenschutzbeauftragten.

2. Die Zwecke der Verarbeitung.

3. Eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten.

4. Die Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, einschließlich Empfänger in Drittländern oder internationalen Organisationen.

5. Gegebenenfalls Übermittlungen von personenbezogenen Daten an ein Drittland oder an eine internationale Organisation, einschließlich der Angabe des betreffenden Drittlands oder der betreffenden internationalen Organisation, sowie bei den in Artikel 49 Absatz 1 Unterabsatz 2 genannten Datenübermittlungen die Dokumentierung geeigneter Garantien.

6. Wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien.

7. Wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß Artikel 32 Absatz 1.

Die Angaben zu Ziff. 1 sind den Inhalten zu den einzelnen Verarbeitungen vorangestellt.

II.      Verzeichnis der Verarbeitungstätigkeiten

a.      Kontaktdaten

Nachfolgend sind die Kontaktdaten der Futura Solutions‘ als „Auftragsverarbeiter“ sowie die Kontaktdaten des externen Datenschutzbeauftragten der ‚Futura Solutions‘ aufgeführt:

b.      Beschreibung der Verarbeitung

Nachfolgend ist der Zweck und die Kategorie von Verarbeitungen, die im Auftrag durchgeführt werden, katalogisiert: