Datenschutz

Der Schutz personenbezogener Daten von Kunden, Mitarbeitern und anderen Personen, die mit der Yovago UG in Verbindung stehen, ist ein maßgebliches Ziel. Der Datenschutz ist eine bindende für den Umgang mit personenbezogenen Daten (entsprechend des Arbeitsdokumentes 133, Artikel 29 Arbeitsgruppe der Europäischen Kommission).

Anwendungsbereich

Datenschutz gilt für alle Arten der Verwendung von personenbezogenen Daten in der Yovago UG, unabhängig vom Ort ihrer Erhebung.

Die Bestimmungen der Datenschutz sollen ein einheitlich hohes Datenschutzniveau in der Yovago UG gewährleisten. Für die in Europa erhobenen Daten richten sich die Anforderungen an die datenschutzkonforme Verwendung der Daten grundsätzlich und unabhängig vom Ort der Verwendung nach den gesetzlichen Regelungen des Staates, in dem die Daten erhoben wurden, mindestens jedoch nach den Anforderungen in diesem Datenschutz.

Grundsatz

Personenbezogene Daten dürfen nur nach Maßgabe der nachfolgenden Bestimmungen und nur für die Zwecke verwendet werden, für die sie ursprünglich erhoben wurden. Die Verwendung von bereits erhobenen Daten für andere Zwecke ist nur dann zulässig, wenn dafür die Zulässigkeitsvoraussetzungen nach Maßgabe der folgenden Bestimmungen vorliegen.

Zulässigkeit der Verwendung personenbezogener Daten

Die Verwendung personenbezogener Daten darf erfolgen, wenn eine oder mehrere der folgenden

Voraussetzungen erfüllt sind:

• Sie ist ausdrücklich gesetzlich zulässig,
• der Betroffene hat in die Verwendung seiner Daten eingewilligt,
• die Verwendung der Daten ist erforderlich für die Erfüllung der Verpflichtungen des Unternehmens aus einem Vertrag mit dem Betroffenen, einschließlich der vertraglichen Informations- und/oder Nebenpflichten, oder für die Durchführung von vor- und/oder nachvertraglicher Maßnahmen, die der Anbahnung oder Abwicklung des Vertragsverhältnisses auf Antrag der betroffenen Person erfolgen,
• die Verwendung der Daten ist für die Erfüllung einer gesetzlichen bzw. rechtlichen Verpflichtung erforderlich, der das Unternehmen unterliegt,
• die Verwendung der Daten ist erforderlich für die Wahrung lebenswichtiger Interessen der betroffenen Person,
• die Verwendung der Daten ist erforderlich für die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt und die dem Unternehmen oder dem Dritten, dem die Daten übermittelt werden, auferlegt wurde,
• die Verarbeitung ist erforderlich zur Verwirklichung des berechtigten Interesses, das von dem Unternehmen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden, sofern nicht das schutzwürdige Interesse des Betroffenen offensichtlich überwiegt.

Die Verwendung personenbezogener Daten für Direktmarketingzwecke

Bei der Verwendung von Daten für Direktmarketingzwecke sind die Betroffenen

• über die Art und Weise der Verwendung ihrer Daten für Zwecke des Direktmarketings zu unterrichten,
• darüber in Kenntnis zu setzen, dass sie jederzeit der Verwendung ihrer personenbezogenen Daten für Zwecke des Direktmarketings widersprechen können und
• in die Lage zu versetzen, ihr Widerspruchsrecht angemessen ausüben zu können, insbesondere müssen die Betroffenen Informationen über das Unternehmen, bei dem der Widerspruch einzulegen ist, erhalten.

Übermittlung von Daten

Wenn ein Unternehmen Daten an Stellen übermittelt, die ihren Sitz in einem Drittland haben oder die grenzüberschreitenden Datentransfer ausüben, muss sichergestellt werden, dass diese Daten in rechtmäßiger Art und Weise übertragen werden. Vor der Übertragung müssen angemessene Datenschutz- und Datensicherheitsanforderungen mit dem Empfänger vereinbart werden. Personenbezogene Daten, insbesondere die in der EU bzw. EWR erhobenen, dürfen an Stellen außerhalb der Europäischen Union zudem nur übermittelt werden, wenn das angemessene Datenschutzniveau durch diese Datenschutz oder durch andere angemessene Maßnahmen sichergestellt wurde. Dies können die EU-Standardvertragsklauseln oder vertragliche Individualvereinbarungen sein, die den Anforderungen aus dem europäischen Recht genügen.

Auf Grundlage der Vorgaben der Yovago UG sowie der allgemein anerkannten technischen und organisatorischen Standards, müssen angemessene technische und organisatorische Maßnahmen getroffen werden, um den Schutz der personenbezogenen Daten auch während ihrer Übermittlung an eine andere Stelle sicherzustellen.

Datenqualität

Personenbezogene Daten müssen korrekt sein und sind soweit erforderlich auf dem jeweils aktuellen Stand zu halten (Datenqualität).

Unter Beachtung des Verwendungszwecks der Daten sind angemessene Maßnahmen dafür zu treffen, dass unrichtige oder unvollständige Daten gelöscht, gesperrt oder gegebenenfalls berichtigt werden.

Datensicherheit – Technische und organisatorische Maßnahmen

Für die Unternehmensprozesse, IT-Systeme und Plattformen in denen personenbezogene Daten erhoben, verarbeitet oder genutzt werden, müssen die Unternehmen zum Schutz der Daten angemessene technische und organisatorische Maßnahmen treffen.

Zu diesen Maßnahmen gehören:

• Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren (Zutrittskontrolle),
• zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können

(Zugangskontrolle),

• zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können (Zugriffskontrolle),
• zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während des Transports oder der Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist (Kontrolle der Weitergabe),
• zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind (Eingabekontrolle),
• zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können (Kontrolle des Auftragnehmers),
• zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle),
• zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können (Trennungsgebot).

Schutzziele und Schutzbedarf

Neben der Beachtung der in Kapitel 2 aufgeführten allgemeinen Umgangsprinzipien ist die Erreichung konkreter Schutzziele für die Informationssicherheit und den Datenschutz in der Yovago wesentlich. Der Schutzbedarf einer Information wird anhand von Schutzzielen bestimmt und in Form konkreter Schutzklassen angegeben. Darüberhinausgehende Schutzbedarfe, die sich aus rechtlichen Anforderungen (z. B. zum Datenschutz) ergeben können, bleiben hiervon unberührt.

Schutzziele

Die Schutzziele „Vertraulichkeit“, „Verfügbarkeit“, „Integrität“ und „Authentizität“ müssen in Abhängigkeit des Schutzbedarfs einer Information sichergestellt werden. Schutzziele Definition (angelehnt an ISO IEC 27001)

Vertraulichkeit – Eigenschaft, dass Informationen unberechtigten Personen, Einheiten oder Prozessen nicht verfügbar gemacht oder enthüllt werden können.

Verfügbarkeit – Eigenschaft eine Information, der berechtigten Person, Einheit oder einem berechtigten Prozess auf Verlangen zugänglich und nutzbar zu sein.

Integrität – Eigenschaft der Absicherung der Unverfälschtheit und Vollständigkeit von Informationen. Authentizität – Eigenschaft des Nachweises, dass Sender/Ersteller und ggf. Empfänger einer Information eindeutig nachweisbar sind.

Schutzbedarf

Der Schutzbedarf bestimmt grundsätzlich die Maßnahmen die zum Schutz einer Information erforderlich sind. Unterschieden wird zwischen dem allgemeinen und dem besonderen Schutzbedarf. Der allgemeine Schutzbedarf definiert das Mindestsicherheitsniveau, das grundsätzlich „allgemeingültig“ einzuhalten ist. Hierzu sind die vorliegende  und die geltenden Datenschutz- und Sicherheitsanforderungen anzuwenden. Der besondere Schutzbedarf korreliert direkt mit dem Aufkommen an besonders schutzbedürftigen Informationen aus Sicht des Informationsschutzes. Bei organisatorischen/funktionalen Bereichen und Prozessen mit einem regelmäßigen Vorkommen an geschäftlichen Informationen (d. h. keine personenbezogenen Daten) der Schutzklasse „Vertraulich”, insbesondere jedoch „Streng vertraulich“ (z. B. Mergers & Acquisitions, Forschung & Entwicklung) müssen schriftlich dokumentierte und an die Beschäftigten kommunizierte Ausführungsbestimmungen die Umsetzung der Regelungen zum Informationsschutz in den jeweiligen Bereichen oder Prozessen beschreiben.

Kategorien:

• Grüne Yovago,
• Leistungen
• Versand
• Kontakt