PALMERIVO

DSGVO-Richtlinie

Zum Sortiment

Diese DSGVO-Richtlinie erläutert den organisatorischen Rahmen, den PALMERIVO zur Verwaltung und zum Schutz personenbezogener Daten unter Berücksichtigung der Grundsätze der Datenschutz-Grundverordnung (EU) 2016/679 (DSGVO) anwendet.

Im Unterschied zu unserer Datenschutzerklärung und unserer Cookie-Richtlinie konzentriert sich dieses Dokument auf die organisatorische Umsetzung der Datenschutzanforderungen, die Verteilung von Verantwortlichkeiten, die Bewertung und Vermeidung von Risiken sowie die internen Verfahren zum Schutz personenbezogener Daten.

Ziel dieser Richtlinie ist es, die wesentlichen Grundsätze und organisatorischen Maßnahmen darzustellen, die bei der Verarbeitung personenbezogener Daten im Rahmen unserer Geschäftstätigkeit berücksichtigt werden.

1. Verantwortung für den Datenschutz

Der Schutz personenbezogener Daten ist ein wesentlicher Bestandteil der Geschäftstätigkeit von PALMERIVO.

Bei der Organisation und Bewertung von Verarbeitungsvorgängen werden insbesondere folgende Faktoren berücksichtigt:

  • Die Art und der Zweck der jeweiligen Geschäftstätigkeit

  • Die eingesetzten technischen Systeme und Verfahren

  • Die möglichen Risiken für die Rechte und Freiheiten betroffener Personen

Die Anforderungen an den Datenschutz werden unter Berücksichtigung der tatsächlichen Verarbeitungstätigkeiten und der damit verbundenen Risiken beurteilt.

Wenn sich Geschäftsabläufe, eingesetzte Technologien oder andere Umstände verändern, die Auswirkungen auf die Sicherheit oder Rechtmäßigkeit der Datenverarbeitung haben können, werden die entsprechenden Datenschutzverfahren erneut überprüft.

2. Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen

PALMERIVO berücksichtigt die Anforderungen des Datenschutzes bereits bei der Planung und Einführung neuer Funktionen, technischer Werkzeuge oder betrieblicher Prozesse, sofern diese die Verarbeitung personenbezogener Daten betreffen.

Dabei werden die Grundsätze des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen gemäß Art. 25 DSGVO berücksichtigt.

Soweit angemessen, orientiert sich die technische und organisatorische Gestaltung insbesondere an folgenden Grundsätzen:

  • Beschränkung des Zugriffs auf personenbezogene Daten auf das tatsächlich erforderliche Maß

  • Begrenzung der Datenverarbeitung auf die für den jeweiligen Geschäftszweck notwendigen Informationen

  • Berücksichtigung angemessener Datenschutzmaßnahmen bei der Einrichtung neuer Systeme

  • Vermeidung unnötiger Datenverarbeitung durch geeignete Standardeinstellungen

Die jeweiligen Voreinstellungen werden unter Berücksichtigung des Verarbeitungszwecks und der geltenden gesetzlichen Anforderungen beurteilt.

3. Bewertung und Management von Datenschutzrisiken

Verarbeitungstätigkeiten, die personenbezogene Daten betreffen, werden unter Berücksichtigung möglicher Risiken für die Rechte und Freiheiten natürlicher Personen bewertet.

Bei der Risikobeurteilung können insbesondere folgende Faktoren berücksichtigt werden:

  • Art und Zweck der Datenverarbeitung

  • Umfang der verarbeiteten Daten

  • Kategorien der betroffenen personenbezogenen Daten

  • Eingesetzte Technologien und technische Verfahren

  • Art und Umfang der Zugriffsberechtigungen

  • Mögliche Folgen einer unbefugten Nutzung, Offenlegung oder Veränderung personenbezogener Daten

Die Bewertung dient dazu, angemessene technische und organisatorische Schutzmaßnahmen entsprechend den tatsächlichen Risiken festzulegen.

Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, wird geprüft, ob gemäß Art. 35 DSGVO eine Datenschutz-Folgenabschätzung erforderlich ist.

4. Datenschutz-Folgenabschätzung (DSFA)

Wenn die gesetzlichen Voraussetzungen erfüllt sind, wird vor Beginn der betreffenden Verarbeitungstätigkeit eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO durchgeführt.

Die Datenschutz-Folgenabschätzung dient insbesondere folgenden Zwecken:

  • Identifizierung möglicher Risiken für betroffene Personen

  • Bewertung der Eintrittswahrscheinlichkeit und Schwere möglicher Auswirkungen

  • Festlegung geeigneter Maßnahmen zur Verringerung erkannter Risiken

  • Beurteilung, ob die geplante Verarbeitung unter angemessenen Datenschutzbedingungen durchgeführt werden kann

Bei der Bewertung werden die Art, der Umfang, die Umstände und die Zwecke der jeweiligen Verarbeitung berücksichtigt.

Ergibt die Datenschutz-Folgenabschätzung, dass trotz vorgesehener Schutzmaßnahmen ein hohes Restrisiko bestehen bleibt, werden die nach der DSGVO erforderlichen weiteren Schritte geprüft.

Soweit die Voraussetzungen des Art. 36 DSGVO vorliegen, erfolgt vor Beginn der Verarbeitung eine Konsultation der zuständigen Datenschutzaufsichtsbehörde.

5. Verwaltung externer Auftragsverarbeiter

Wenn PALMERIVO externe Dienstleister mit der Verarbeitung personenbezogener Daten im eigenen Auftrag beauftragt, werden bei deren Auswahl die anwendbaren datenschutzrechtlichen Anforderungen berücksichtigt.

Dabei wird insbesondere geprüft, ob der jeweilige Dienstleister ausreichende Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen bietet.

Die übertragenen Aufgaben und Verantwortlichkeiten werden entsprechend dem tatsächlichen Geschäftsbedarf festgelegt.

Soweit eine Auftragsverarbeitung im Sinne des Art. 28 DSGVO vorliegt, wird das Verhältnis zwischen PALMERIVO und dem jeweiligen Auftragsverarbeiter durch einen Vertrag oder ein anderes rechtlich bindendes Instrument geregelt, das den gesetzlichen Anforderungen entspricht.

Die beauftragten Dienstleister sind im Rahmen ihrer jeweiligen Verpflichtungen insbesondere dazu angehalten:

  • Personenbezogene Daten ausschließlich im vereinbarten Aufgabenbereich zu verarbeiten

  • Die geltenden dokumentierten Weisungen zu beachten

  • Die vertraglich vereinbarten und gesetzlich vorgeschriebenen Datenschutzanforderungen einzuhalten

Die konkrete Ausgestaltung richtet sich nach der Art der beauftragten Verarbeitung und den jeweils geltenden gesetzlichen Bestimmungen.

6. Berechtigungs- und Zugriffsverwaltung

Der Zugriff auf personenbezogene Daten wird entsprechend den tatsächlichen betrieblichen Erfordernissen beschränkt.

Zugriffsberechtigungen werden unter Berücksichtigung der jeweiligen Aufgaben und Verantwortlichkeiten vergeben.

Soweit erforderlich, können bestehende Berechtigungen angepasst oder aufgehoben werden, insbesondere wenn die entsprechende Zugriffsnotwendigkeit entfällt.

Die Zugriffsverwaltung dient insbesondere dazu:

  • Unbefugte Einsichtnahme in personenbezogene Daten zu verhindern

  • Die Nutzung personenbezogener Daten auf autorisierte Tätigkeiten zu beschränken

  • Das Risiko unberechtigter Veränderungen oder Offenlegungen zu reduzieren

  • Die Vertraulichkeit und Integrität personenbezogener Daten zu unterstützen

Der Zugang zu personenbezogenen Daten berechtigt nicht dazu, diese für andere als die jeweils zulässigen und vorgesehenen Zwecke zu verwenden.

7. Umgang mit Verletzungen des Schutzes personenbezogener Daten

Sicherheitsvorfälle, die den Schutz personenbezogener Daten beeinträchtigen können, werden unter Berücksichtigung ihrer Art, ihres Umfangs und ihrer möglichen Folgen bewertet.

Bei der Beurteilung können insbesondere folgende Aspekte berücksichtigt werden:

  • Art des Sicherheitsvorfalls

  • Kategorien und Umfang der betroffenen Daten

  • Mögliche Auswirkungen auf betroffene Personen

  • Risiken für die Rechte und Freiheiten natürlicher Personen

Wird eine Verletzung des Schutzes personenbezogener Daten festgestellt, werden geeignete Maßnahmen ergriffen, um den Vorfall einzudämmen und mögliche negative Auswirkungen so weit wie möglich zu begrenzen.

Soweit eine Meldepflicht gemäß Art. 33 DSGVO besteht, erfolgt die Meldung an die zuständige Datenschutzaufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt geworden ist.

Erfolgt eine meldepflichtige Mitteilung nicht innerhalb von 72 Stunden, ist die Verzögerung entsprechend den gesetzlichen Anforderungen zu begründen.

Wenn eine Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat, werden die betroffenen Personen gemäß Art. 34 DSGVO informiert, soweit keine gesetzliche Ausnahme greift.

8. Dokumentation und Verzeichnis von Verarbeitungstätigkeiten

Im Rahmen der Datenschutzorganisation werden erforderliche Dokumentationen und Aufzeichnungen unter Berücksichtigung der Art und des Umfangs der Geschäftstätigkeit geführt, soweit dies gesetzlich vorgeschrieben ist.

Die Dokumentation kann insbesondere folgende Bereiche betreffen:

  • Verarbeitungstätigkeiten mit personenbezogenen Daten

  • Technische und organisatorische Schutzmaßnahmen

  • Durchgeführte Risikobewertungen

  • Zugriffsberechtigungen und Autorisierungen

  • Maßnahmen im Zusammenhang mit Datenschutzvorfällen

  • Weitere datenschutzbezogene organisatorische Verfahren

Soweit die gesetzlichen Voraussetzungen vorliegen, wird ein Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO geführt.

Die entsprechenden Unterlagen dienen dazu, die Einhaltung der anwendbaren Datenschutzanforderungen nachvollziehbar zu dokumentieren.

9. Datenschutzbewusstsein und Schulung

Personen, die im Rahmen ihrer Aufgaben Zugang zu personenbezogenen Daten erhalten, müssen die damit verbundenen datenschutzrechtlichen Verantwortlichkeiten beachten.

Abhängig von den jeweiligen Tätigkeiten können geeignete Informationen, Sensibilisierungsmaßnahmen oder Schulungen insbesondere folgende Themen umfassen:

  • Vertraulicher Umgang mit personenbezogenen Daten

  • Ordnungsgemäße Nutzung von Zugriffsberechtigungen

  • Einhaltung der vorgesehenen Verarbeitungszwecke

  • Umgang mit Anfragen betroffener Personen

  • Erkennung möglicher Datenschutz- und Sicherheitsvorfälle

  • Angemessene Reaktion auf tatsächliche oder vermutete Sicherheitsprobleme

Die Berechtigung zum Zugriff auf personenbezogene Daten ist stets auf die jeweiligen Aufgaben und zulässigen Verarbeitungszwecke beschränkt.

Eine darüber hinausgehende Verwendung personenbezogener Daten ist nicht allein aufgrund einer bestehenden Zugriffsberechtigung zulässig.

10. Datenschutzbeauftragter

PALMERIVO prüft anhand der tatsächlichen Verarbeitungstätigkeiten, ob eine gesetzliche Verpflichtung zur Benennung eines Datenschutzbeauftragten besteht.

Die Beurteilung erfolgt unter Berücksichtigung der Voraussetzungen des Art. 37 DSGVO sowie gegebenenfalls ergänzender anwendbarer deutscher Datenschutzvorschriften.

Dabei können insbesondere folgende Aspekte maßgeblich sein:

  • Art der Verarbeitungstätigkeiten

  • Umfang der Verarbeitung

  • Zwecke der Datenverarbeitung

  • Größenordnung und Regelmäßigkeit der betreffenden Verarbeitungsvorgänge

Wenn die gesetzlichen Voraussetzungen für eine verpflichtende Benennung erfüllt sind, wird ein Datenschutzbeauftragter entsprechend den geltenden Anforderungen benannt.

Diese Richtlinie stellt keine Erklärung darüber dar, dass bereits ein Datenschutzbeauftragter benannt wurde.

11. Zusammenarbeit mit Datenschutzaufsichtsbehörden

PALMERIVO arbeitet im Rahmen der geltenden gesetzlichen Verpflichtungen mit den jeweils zuständigen Datenschutzaufsichtsbehörden zusammen.

Für die Überwachung und Durchsetzung der Datenschutzvorschriften in Deutschland sind, abhängig vom jeweiligen Zuständigkeitsbereich, insbesondere die unabhängigen Datenschutzaufsichtsbehörden der Bundesländer sowie die Bundesbeauftragte oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) zuständig.

Die zuständige Aufsichtsbehörde bestimmt sich nach den anwendbaren gesetzlichen Zuständigkeitsregelungen.

Die Zusammenarbeit kann insbesondere folgende Tätigkeiten umfassen:

  • Bearbeitung rechtmäßiger Anfragen zuständiger Aufsichtsbehörden

  • Mitwirkung bei gesetzlich vorgesehenen Prüfungen und Kontrollen

  • Bereitstellung erforderlicher Informationen im gesetzlich vorgeschriebenen Umfang

  • Bearbeitung datenschutzrechtlich relevanter behördlicher Mitteilungen

Die Zusammenarbeit erfolgt unter Beachtung der geltenden datenschutzrechtlichen und sonstigen gesetzlichen Verpflichtungen.

12. Überprüfung der Datenschutzkonformität

Die organisatorischen und technischen Datenschutzverfahren werden überprüft, wenn wesentliche Veränderungen der Geschäftstätigkeit, der eingesetzten Systeme, der erkannten Risiken oder der geltenden rechtlichen Anforderungen dies erforderlich machen.

Die Überprüfung kann insbesondere folgende Bereiche umfassen:

  • Wirksamkeit bestehender Schutzmaßnahmen

  • Angemessenheit der Zugriffsberechtigungen

  • Organisation und Durchführung datenschutzbezogener Prozesse

  • Bereits identifizierte und neu entstandene Risiken

  • Erforderlichkeit zusätzlicher oder angepasster Sicherheitsmaßnahmen

Soweit notwendig, werden entsprechende Anpassungen vorgenommen, um das Datenschutzniveau an die tatsächlichen Verarbeitungstätigkeiten und die anwendbaren gesetzlichen Anforderungen anzupassen.

13. Aktualisierung dieser DSGVO-Richtlinie

PALMERIVO kann diese DSGVO-Richtlinie aktualisieren, wenn Veränderungen der rechtlichen, technischen oder organisatorischen Rahmenbedingungen dies erforderlich machen.

Mögliche Gründe für eine Aktualisierung sind insbesondere:

  • Änderungen der anwendbaren Datenschutzgesetze und -vorschriften

  • Technologische Entwicklungen

  • Anpassungen interner organisatorischer Verfahren

  • Veränderungen bei der Verwaltung personenbezogener Daten

  • Neue Anforderungen an die Bewertung und Behandlung datenschutzbezogener Risiken

Erforderliche Änderungen werden im Hinblick auf ihre Bedeutung für die Angemessenheit und Wirksamkeit des organisatorischen Datenschutzrahmens bewertet.

Aktualisierte Fassungen dieser Richtlinie werden auf unserer Website veröffentlicht.

14. Kontaktinformationen

Wenn Sie Fragen zu dieser DSGVO-Richtlinie oder zu den organisatorischen Maßnahmen und Verfahren zum Schutz personenbezogener Daten haben, können Sie sich über die folgenden offiziellen Kontaktmöglichkeiten an PALMERIVO wenden.

Shopname: PALMERIVO

Kontaktadresse: 1605 Glenechort Dr, Saint Louis, MO 63133, USA

Telefon: +1 (314) 746-2958

E-Mail: shophelp@palmerivo.com

Verkaufs- und Servicegebiet: Deutschland

Wir bemühen uns, Ihre datenschutzbezogenen Anliegen sorgfältig zu prüfen und entsprechend den geltenden gesetzlichen Anforderungen zu bearbeiten.

PALMERIVO legt Wert auf eine verantwortungsvolle Organisation der Datenverarbeitung, die Berücksichtigung datenschutzrechtlicher Risiken und die kontinuierliche Überprüfung angemessener Schutzmaßnahmen.