Datenschutzrichtlinie

Zuletzt aktualisiert: 16. Juli 2024

Über BetterPic

BetterPic ist ein digitaler Dienst, der von Betterpic OÜ ("BetterPic") betrieben und verwaltet wird. Für die Zwecke dieser Richtlinie beziehen sich Verweise auf "BetterPic" auf den von Betterpic OÜ bereitgestellten digitalen Dienst. Alle Angelegenheiten im Zusammenhang mit BetterPic, einschließlich dieser Affiliate-Richtlinie, unterliegen den Gesetzen Estlands.

Geltungsbereich und Definitionen

Geltungsbereich. Diese Richtlinie zum Schutz personenbezogener Daten (die "Richtlinie") beschreibt die internen Regeln von BetterPic für die Verarbeitung und den Schutz personenbezogener Daten. Die Richtlinie gilt für BetterPic, einschließlich BetterPic-Mitarbeiter und Auftragnehmer (("wir", "uns", "unser", "BetterPic"). Die Geschäftsführung jeder Entität ist letztendlich verantwortlich für die Umsetzung dieser Richtlinie sowie dafür, auf Entitätsebene angemessene und wirksame Verfahren für ihre Umsetzung und laufende Überwachung ihrer Einhaltung sicherzustellen. Für die Zwecke dieser Richtlinie werden Mitarbeiter und Auftragnehmer gemeinsam als "Mitarbeiter" bezeichnet.

Datenschutzmanager. Datenschutzmanager ist ein Mitarbeiter von BetterPic, der für die Einhaltung des Datenschutzes innerhalb von BetterPic verantwortlich ist (der "Datenschutzmanager"). Der Datenschutzmanager ist verantwortlich für die Erfüllung der durch diese Richtlinie auferlegten Verpflichtungen und die Überwachung anderer Mitarbeiter, die dieser Richtlinie unterliegen, bezüglich ihrer Einhaltung dieser Richtlinie. Der Datenschutzmanager muss in alle Projekte in einem frühen Stadium einbezogen werden, um Datenschutzaspekte bereits in der Planungsphase zu berücksichtigen.

Datenverarbeitungsprinzipien

2.1 BetterPic's Verarbeitungsaktivitäten müssen mit den in diesem Abschnitt angegebenen Prinzipien übereinstimmen. Der Datenschutzmanager muss sicherstellen, dass die Dokumentation von BetterPic's Compliance sowie die Datenverarbeitungsaktivitäten mit den Datenschutzprinzipien übereinstimmen.

2.2. Wir müssen die personenbezogenen Daten in Übereinstimmung mit den folgenden Prinzipien verarbeiten:

2.2.1. Rechtsmäßig, gerecht und transparent (Rechtsmäßigkeit, Gerechtigkeit und Transparenz). Wir müssen immer einen rechtlichen Grund für die Verarbeitung haben (siehe Abschnitt 3 dieser Richtlinie), die Menge der Daten angemessen zu dem Zweck und dem rechtlichen Grund zu sammeln, und wir müssen sicherstellen, dass die Datenbetroffenen über die Verarbeitung informiert sind.

2.2.2. Sammeln Sie nur für bestimmte, explizite und gerechtfertigte Zwecke und verarbeiten Sie sie nicht weiter in einer Weise, die mit diesen Zwecken unvereinbar ist (Zweckbeschränkung). Wir müssen die personenbezogenen Daten nicht für Zwecke verarbeiten, die in unserer Compliance-Dokumentation nicht angegeben sind, ohne die spezifische Genehmigung des Datenschutzmanagers.

2.2.3. Angemessen, relevant und auf das notwendige Maß beschränkt (Datenminimierung). Wir müssen sicherstellen, dass die Daten, die wir sammeln, nicht übermäßig und auf die strenge Notwendigkeit beschränkt sind.

2.2.4. Genau und, wenn nötig, auf dem neuesten Stand gehalten (Genauigkeit). Wir werden uns bemühen, ungenaue oder falsche Daten über Datenbetroffene zu löschen und sicherstellen, dass wir die Daten aktualisieren. Datenbetroffene können uns bitten, die personenbezogenen Daten zu korrigieren.

2.2.5. In einer Form aufbewahrt, die es ermöglicht, Datenbetroffene zu identifizieren, für länger als notwendig für die Zwecke, für die die personenbezogenen Daten verarbeitet werden (Speicherungszeitraumbeschränkung). Die Speicherungszeiträume müssen den Vorschriften der Datenschutzgesetze und dieser Richtlinie entsprechen.

2.2.6. Verarbeiten Sie in einer Weise, die sicherstellt, dass die personenbezogenen Daten in Übereinstimmung mit den Datenschutzgesetzen angemessenen Sicherheitsschutz gewährleistet, einschließlich Schutz gegen unbefugte oder rechtswidrige Verarbeitung und versehentlichen Verlust, Zerstörung oder Beschädigung, indem angemessene technische oder organisatorische Maßnahmen verwendet werden (Vertraulichkeit, Integrität und Verfügbarkeit).

2.3. Haftungsausschluss.

2.3.1. Wir müssen nachweisen können, dass wir den Datenschutzgesetzen entsprechen (Haftungsgrundsatz). Insbesondere müssen wir sicherstellen und dokumentieren, dass alle relevanten Verfahren, Bemühungen, interne und externe Beratungen zum Datenschutz einschließlich:

• die Tatsache, dass eine Person verantwortlich für die Datenschutzkonformität von BetterPic ist;
• wo nötig, ein Datenschutz-Einwirkungsanalyse-Record;
• entwickelte und implementierte Mitteilungen, Richtlinien und Verfahren, wie Datenschutzmitteilung, diese Richtlinie oder Datenverletzungsreaktionsverfahren;
• die Tatsache der Mitarbeiterausbildung zum Datenschutzgesetz; und
• Bewertung, Implementierung und Testen von organisatorischen und technischen Datenschutzmaßnahmen.

2.3.2. Der Datenschutzmanager muss die Datenschutz-Aktivitätsaufzeichnungen von BetterPic, die ein Haftungsdokument sind, das die personenbezogenen Datenverarbeitungsaktivitäten von BetterPic beschreibt, vorbereiten, die mindestens die folgenden Informationen über jede Verarbeitungsaktivität enthalten:

• Kontaktdaten von BetterPic, dem EU-Vertreter und, falls zutreffend, des Datenschutzbeauftragten;
• Name der Aktivität, ihre Zwecke und rechtlichen Grundlagen sowie, falls zutreffend, die berechtigten Interessen von BetterPic;
• betroffene Datenbetroffene und betreffende personenbezogene Datenkategorien;
• Datenspeicherungszeiträume;
• allgemeine Beschreibung der anwendbaren Sicherheitsmaßnahmen;
• Empfänger, einschließlich gemeinsamer Controller, Verarbeiter und Auftragnehmer, sowie die Tatsache der internationalen Datenübertragung mit den angewendeten Schutzmaßnahmen;
• falls zutreffend, eine Referenz auf die Datenschutz-Einwirkungsanalyse;
• falls zutreffend, eine Referenz auf das Record der Datenverletzung, die mit der personenbezogenen Daten beteiligt war;
• wenn BetterPic als Datenverarbeiter fungiert, die Informationen, die zu liefern sind umfassen die Namen und Kontaktdaten von Controllern, Namen und Kontaktdaten von controller's representative (falls zutreffend), Verarbeitungskategorien (Aktivitäten), Namen von Drittländern oder internationalen Organisationen, zu denen personenbezogene Daten übertragen werden (falls zutreffend), Schutzmaßnahmen für ausnahmsweise Übertragungen von personenbezogenen Daten zu Drittländern oder internationalen Organisationen (falls zutreffend), und allgemeine Beschreibung technischer und organisatorischer Sicherheitsmaßnahmen.

Zugang zu personenbezogenen Daten. Rechtliche Gründe und Zwecke

3.1. Rechtliche Gründe.

3.1.1. Jede Verarbeitungsaktivität muss einen der in diesem Abschnitt angegebenen rechtlichen Gründe haben, um die personenbezogenen Daten zu verarbeiten. Wenn wir keinen der beschriebenen haben, können wir die personenbezogenen Daten nicht sammeln oder weiter verarbeiten.

3.1.2. Wenn BetterPic für Zwecke verwendet werden soll, die von den in den Datenschutz-Aktivitätsaufzeichnungen angegebenen Zwecken abweichen, muss der Datenschutzmanager auswerten, bestimmen und, falls erforderlich, sammeln/aufzeichnen Sie den entsprechenden rechtlichen Grund für es.

3.1.3. Leistung des Vertrags. Wo BetterPic einen Vertrag mit der Datenbetroffenen hat, z.B. die Nutzungsbedingungen der Website oder der Arbeitsvertrag, und der Vertrag erfordert die Bereitstellung personenbezogener Daten von der Datenbetroffenen, wird der anwendbare rechtliche Grund die Leistung des Vertrags sein.

3.1.4. Einwilligung. Um die personenbezogenen Daten basierend auf der Einwilligung zu verarbeiten, müssen wir die Einwilligung vor der Verarbeitung erhalten und die Bewertung der Einwilligung mit den Datenschutz-Aktivitätsaufzeichnungen der Datenbetroffenen dokumentieren. Der Datenschutzmanager muss sicherstellen, dass die von den Datenbetroffenen gesammelte Einwilligung die Anforderungen der Datenschutzgesetze und dieser Richtlinie erfüllt. Insbesondere muss der Datenschutzmanager sicherstellen, dass:

• die Datenbetroffene frei sind, Einwilligung zu geben oder zu verweigern;
• die Einwilligung in der Form eines aktiven Hinweises von der Datenbetroffenen ist, dh, das Einwilligungsfeld darf nicht vorab markiert werden;
• die Anfrage um Einwilligung und andere Informationen, die in Unterabschnitt 6.2 angegeben sind, für die Datenbetroffenen verfügbar sind;
• die Datenbetroffenen frei sind, Einwilligung zu geben oder zu widerrufen.

3.1.5. Berechtigte Interessen. Wir haben das Recht, personenbezogene Daten in unseren 'berechtigten Interessen' zu verwenden. Die Interessen können die Zwecke umfassen, die durch die Natur unserer Geschäftstätigkeiten gerechtfertigt sind, wie die Marktanalyse personenbezogener Daten. Für die Verwendung von berechtigten Interessen als rechtlichen Grund für die Verarbeitung muss der Datenschutzmanager sicherstellen, dass:

• der berechtigte Interesse in der Verarbeitung klar definiert und in den Datenschutz-Aktivitätsaufzeichnungen dokumentiert ist;
• alle vorgesehenen Risiken für die Rechte und Interessen der Datenbetroffenen erkannt werden. Die Beispiele für die Risiken finden Sie in Unterabschnitt 7.2.;
• die Datenbetroffenen angemessene Erwartungen hinsichtlich der Verarbeitung haben und zusätzliche Schutzmaßnahmen ergriffen werden, um die Risiken zu bewältigen;
• unter den Bedingungen von Unterabschnitt 6.7 (Recht, gegen die Verarbeitung zu protestieren), wird der Datenbetroffenen die Möglichkeit gegeben, sich von der Verarbeitung für die beschriebenen berechtigten Interessen zu distanzieren.

Wenn wenigstens eine der oben genannten Bedingungen von BetterPic nicht erfüllt ist, muss der Datenschutzmanager einen anderen rechtlichen Grund für die Verarbeitung auswählen und vorschlagen, oder die Einwilligung erfordern.

3.1.6. Rechtliche Einhaltung und öffentliches Interesse. Neben den oben genannten Gründen können wir von den Gesetzen der Europäischen Union oder den Gesetzen eines der EU-Mitgliedstaaten aufgefordert werden, personenbezogene Daten unserer Nutzer zu verarbeiten. Zum Beispiel können wir aufgefordert werden, Informationen über Nutzer zu sammeln, analysieren und überwachen, um mit finanziellen oder Arbeitsgesetzen einzuhalten. Jedes Mal, wenn wir eine solche Verpflichtung haben, müssen wir sicherstellen, dass:

• wir personenbezogene Daten streng in Übereinstimmung mit den relevanten rechtlichen Anforderungen verarbeiten;
• wir verwenden oder speichern die gesammelten personenbezogenen Daten nicht für andere Zwecke als rechtliche Einhaltung; und
• die Datenbetroffenen korrekt und rechtzeitig über unsere Verpflichtungen, Geltungsbereich und Bedingungen der personenbezogenen Datenverarbeitung informiert werden.

Wichtig: Wo BetterPic Gesetzesanforderungen eines anderen Landes zur Verarbeitung personenbezogener Daten hat, muss der Datenschutzmanager vorschlagen, einen anderen rechtlichen Grund für die Verarbeitung unter den Datenschutzgesetzen zu verwenden, wie berechtigte Interessen oder Einwilligung.

3.2. Zugang zu personenbezogenen Daten.

3.2.1. Die Mitarbeiter müssen auf personenbezogene Daten auf einer "bedürfnisbezogenen" Basis zugreifen. Die Daten können nur zugegriffen werden, wenn sie streng notwendig sind, um eine der in den Datenschutz-Aktivitätsaufzeichnungen angegebenen Aktivitäten auszuführen. Die Mitarbeiter und Auftragnehmer dürfen nur auf die personenbezogenen Daten zugreifen, wenn sie die erforderlichen Berechtigungen für sie haben.

3.2.2. Abteilungsleiter innerhalb von BetterPic sind für den Zugang und die Verarbeitung personenbezogener Daten ihrer Mitarbeiter verantwortlich. Die Abteilungsleiter müssen die Liste der Mitarbeiter, die Zugriff auf und verarbeiten personenbezogene Daten haben. Der Datenschutzmanager darf die Liste überprüfen und, falls erforderlich, Anpassungen vornehmen, um die Anforderungen dieser Richtlinie zu erfüllen.

3.2.3. Abteilungsleiter innerhalb von BetterPic müssen sicherstellen, dass die Mitarbeiter unter ihrer Aufsicht darüber informiert sind, dass die Datenschutzgesetze und die in dieser Richtlinie festgelegten Regeln einzuhalten sind. Um sicherzustellen, dass unsere Mitarbeiter die Datenschutzanforderungen einhalten können, müssen wir ihnen angemessene Datenschutzausbildung bereitstellen.

3.2.4. Alle Mitarbeiter, die auf personenbezogene Daten zugreifen, müssen strikte Geheimhaltung betreffend die Daten beachten, die sie zugreifen. Die Mitarbeiter, die auf personenbezogene Daten zugreifen, dürfen nur die Mittel (Software, Standorte, etc.) verwenden, die von BetterPic für die Verarbeitung vorgeschrieben wurden. Die Daten dürfen nicht offengelegt oder anderweitig verfügbar gemacht werden aus den Verwaltungsanweisungen.

3.2.5. Die Mitarbeiter innerhalb ihrer Kompetenz müssen sich bei den BetterPic-Vertretern, einschließlich des Datenschutzmanagers, bei allen Bemühungen beteiligen, um mit den Datenschutzgesetzen und/oder dieser Richtlinie einzuhalten.

3.2.6. Wenn ein Mitarbeiter einen Verdacht hat oder glaubt, dass es sich um eine verdächtige Aktivität, Datenverletzung, Nichteinhaltung der Datenschutzgesetze und/oder dieser Richtlinie handelt oder eine DSR nicht in die zuständige Abteilung innerhalb von BetterPic weitergeleitet wurde, muss der Mitarbeiter die Aktivität dem Datenschutzmanager melden.

3.2.7. Mitarbeiter, die nicht sicher sind, ob sie personenbezogene Daten legitimerweise verarbeiten oder offenlegen können, müssen sich vor der Durchführung jeder Aktion an den Datenschutzmanager wenden.

3.2.8. Einmaliges Zugang zu personenbezogenen Daten für Aktivitäten, die nicht in den Datenschutz-Aktivitätsaufzeichnungen angegeben sind, ist verboten. Wenn es eine strenge Notwendigkeit für einen sofortigen Zugang gibt, muss der Datenschutzmanager die Erlaubnis für den Zugang zuerst erteilen.

Dritte

4.1. Vor dem Teilen personenbezogener Daten mit jeder Person außerhalb von BetterPic muss der Datenschutzmanager sicherstellen, dass dieser Drittanbieter einen angemessenen Datenschutzstand und bereitstellen Sie ausreichende Datenschutzgarantien in Übereinstimmung mit den Datenschutzgesetzen, einschließlich, aber nicht beschränkt auf die Verarbeitungsanforderungen (Art. 28 der DSGVO) und den internationalen Übertragungsverpflichtungen (Abschnitt 5 der DSGVO). Wo nötig, muss der Datenschutzmanager sicherstellen, dass BetterPic einen angemessenen Datenschutzvertrag mit dem Drittanbieter abschließt.

4.2. Ein Mitarbeiter kann personenbezogene Daten nur mit Drittanbietern teilen, wenn und nur zu dem Grad, dass dies von einem Manager direkt vorgeschrieben wurde und in den Datenschutz-Aktivitätsaufzeichnungen angegeben ist.

4.3. Wenn wir verpflichtet sind, die personenbezogenen Daten zu löschen, zu ändern oder zu stoppen, müssen wir sicherstellen, dass die Drittanbieter, mit denen wir personenbezogene Daten geteilt haben, diese Verpflichtungen entsprechend erfüllen.

4.4. Jedes Mal, wenn BetterPic als Datenverarbeiter auftritt, um für eine andere Entität zu dienen, muss der Datenschutzmanager sicherstellen, dass BetterPic den Verarbeitungspflichten entspricht. Insbesondere muss ein angemessener Datenverarbeitungsvertrag in Übereinstimmung mit den Datenschutzgesetzen vorhanden sein. Der Datenschutzmanager muss die Einhaltung der Datenverarbeitungsanweisungen vom Controller überwachen, einschließlich hinsichtlich des Verarbeitungsbereichs, der Beteiligung von Unterverarbeitern, internationalen Übertragungen, Speicherung und weiterer Vernichtung verarbeiteter personenbezogener Daten. Die personenbezogenen Daten, die unter dem Verarbeiterrollen verarbeitet werden, dürfen nicht für andere Zwecke als die in den relevanten Anweisungen, Vertrag oder anderen rechtlichen Akt angegebenen Zwecke verarbeitet werden.

Internationale Übertragungen

5.1 Wenn wir Mitarbeiter, Auftragnehmer, Unternehmensverbünde oder Datenverarbeiter außerhalb der EEA haben und wir personenbezogene Daten an sie übertragen, um zu verarbeiten, muss der Datenschutzmanager sicherstellen, dass BetterPic alle notwendigen und angemessenen Schutzmaßnahmen in Übereinstimmung mit den Datenschutzgesetzen ergreift.

5.2 Der Datenschutzmanager muss die verfügbaren Schutzmaßnahmen auswerten und vorschlagen, um den besseren Datenschutzmanager von BetterPic zu planen, die angemessenen Schutz für jeden internationalen Übertragung. Die folgenden Regeln gelten für die Übertragung von personenbezogenen Daten außerhalb der EU: wo die Europäische Kommission entscheidet, dass das Land einen angemessenen Datenschutzstand hat, ist die Übertragung nicht erforderlich, zusätzliche Schutzmaßnahmen zu ergreifen. Die vollständige Liste angemessener Länder kann auf der relevanten Seite der Website der Europäischen Kommission gefunden werden. um personenbezogene Daten an unsere Auftragnehmer oder Partner (Datenverarbeiter oder Controller) in anderen Drittländern zu übertragen, müssen wir Standardvertragsklauseln mit dieser Partei abschließen. Die Entwurfsversion zusammen mit der Leitfaden kann auf der relevanten Seite der Website der Europäischen Kommission gefunden werden; wenn wir einen Unternehmensverbundener oder eine Entität in anderen Ländern haben, können wir entscheiden, Binding Corporate Rules in Übereinstimmung mit Artikel 47 der DSGVO oder einen genehmigten Verhaltenskodex in Übereinstimmung mit Artikel 40 der DSGVO zu übernehmen; wir können auch personenbezogene Daten an Entitäten übertragen, die eine genehmigte Zertifizierung in Übereinstimmung mit Artikel 42 der DSGVO aufweisen, die einen angemessenen Datenschutzstand für die Firma zeigt.

5.3 Als Teil der Informationspflichten muss BetterPic die Datenbetroffenen darüber informieren, dass ihre personenbezogenen Daten an andere Länder übertragen werden, sowie ihnen die Informationen über die verwendeten Schutzmaßnahmen für die Übertragung bereitstellen. Die Informationspflicht ist in Übereinstimmung mit Unterabschnitt 6.2 auszuführen.

5.4 In den Ausnahmefällen (die "Ausnahme"), wo wir die beschriebenen Schutzmaßnahmen nicht anwenden können und wir personenbezogene Daten übertragen müssen, müssen wir eine explizite Einwilligung (aktive Erklärung) von der Datenbetroffenen einholen, oder es muss streng notwendig sein, um die Vertragsleistung zwischen uns und der Datenbetroffenen zu erfüllen, oder andere Ausnahmebedingungen gelten in Übereinstimmung mit den Datenschutzgesetzen. Der Datenschutzmanager muss vorab die Genehmigung jeder Ausnahmeübertragung erteilen und dokumentieren die genehmigten Ausnahmen, sowie die Begründung für sie.

Rechte der Datenbetroffenen

6.1 Unsere Verantwortlichkeiten.

6.1.1 Der Datenschutzmanager ist letztendlich verantwortlich für alle DSR, die von BetterPic empfangen werden. Im Falle des Empfangs von irgendwelchen ausstehenden oder ungewöhnlichen DSR muss der Mitarbeiter sich vor der Durchführung jeder Aktion an den Datenschutzmanager wenden.

6.1.2 Der Kundendienst innerhalb von BetterPic ist für die Behandlung von DSRs von BetterPic-Nutzern verantwortlich. Der Personalabteilung ist für die Behandlung des DSRs von BetterPic-Mitarbeitern verantwortlich.

6.1.3 Alle DSRs von den Nutzern müssen an und von der folgenden E-Mail-Adresse beantwortet werden: gdpr@betterpic.io. DSR von den Mitarbeitern kann direkt an den HR-Manager oder bei gdpr@betterpic.io adressiert werden.

6.1.4 Der verantwortliche Mitarbeiter muss die empfangenen DSR innerhalb von einem Monat (1) beantworten. Wenn die Einhaltung des DSRs mehr als einen Monat in Anspruch nimmt, muss der verantwortliche Mitarbeiter sich vor der Durchführung jeder Aktion an den Datenschutzmanager wenden und, falls erforderlich, die Datenbetroffenen über die Verlängerung der Antwortfrist bis zu zwei (2) zusätzlichen Monaten informieren.

6.1.5 Der verantwortliche Mitarbeiter muss die empfangenen DSR für die folgenden Kriterien analysieren:

• Datenbetroffeneidentifizierung. Bevor der DSRinhalt betrachtet wird, muss der verantwortliche Mitarbeiter sicherstellen, dass der Datenbetroffene der gleiche ist, den er oder sie beansprucht. Für diesen Zweck müssen die Verbindungen zwischen den personenbezogenen Datensätzen und dem Datenbetroffenen hergestellt werden. Die folgenden Methoden müssen verwendet werden: Überprüfung der E-Mail-Adresse des Datenbetroffenen – im Allgemeinen sollte die E-Mail-Adresse die gleiche sein, die BetterPic über den betroffenen Benutzer hat; wenn die E-Mail-Adresse vom Datensatz in der Datenbank abweicht, muss der Datenschutzmanager konsultiert werden, und zwar nach Genehmigung, auf die der verantwortliche Mitarbeiter zusätzliche Details vom Konto für die Identifizierung anfordern kann, wie Geburtsdatum, Adresse und E-Mail-Adresse. Wenn der Datenbetroffene die Überprüfung nicht durchlaufen hat, muss der Datenschutzmanager die Anfrage ablehnen und den Datenbetroffenen ohne unangemessene Verzögerung, aber nicht später als innerhalb von einem Monat (1) vom Empfang der Anfrage erklären, dass die Anfrage nicht durchgeführt werden kann.
• Personenbezogene Daten. Der verantwortliche Mitarbeiter muss überprüfen, ob BetterPic Zugriff auf die angeforderten personenbezogenen Daten hat. Wenn BetterPic die personenbezogenen Daten nicht unter Kontrolle hat, muss der verantwortliche Mitarbeiter den Datenbetroffenen erklären und, wenn möglich, die weiteren Schritte aufzeigen, um auf die in Frage stehenden Daten zuzugreifen;
• Anfrageinhalt. Abhängig vom DSR-Inhalt muss der verantwortliche Mitarbeiter den Typ der Anfrage definieren und überprüfen, ob sie den in dieser Richtlinie und den Datenschutzgesetzen festgelegten Bedingungen entspricht. Die Typen von Anfragen und die jeweiligen Bedingungen für jeden von ihnen können in Unterabschnitten 6.3-6.9 konsultiert werden. Wenn die Anfrage nicht den beschriebenen Kriterien entspricht, muss der verantwortliche Mitarbeiter die Einhaltung des DSRs verweigern und den Datenbetroffenen die Gründe für die Ablehnung erklären;
• Kostenlos. Im Allgemeinen sind alle Anfragen von Datenbetroffenen und Übungen ihrer Rechte kostenlos. Wenn der verantwortliche Mitarbeiter feststellt, dass die Datenbetroffenen ihre Rechte in einer übermäßigen oder unbeabsichtigten Weise ausüben (z.B. dazu bestimmt, Schaden oder Unterbrechung von BetterPic-Geschäftstätigkeiten zu verursachen), muss der Mitarbeiter sich an den Datenschutzmanager wenden und, nach Empfang des letzteren, kann er entweder den Datenbetroffenen einen angemessenen Gebührenbetrag berechnen oder die Einhaltung des DSRs verweigern;
• Dokumentieren. Jedes Mal, wenn BetterPic einen DSR empfängt, muss der Datenschutzmanager sicherstellen, dass die Daten und Zeit, Datenbetroffene, Typ der Anfrage und die Entscheidung, die getroffen wurde, gut dokumentiert sind. Im Falle der Ablehnung der Einhaltung des DSRs müssen die Gründe für die Ablehnung dokumentiert werden;
• Empfänger. Wenn der DSR adressiert wird, muss der Datenschutzmanager sicherstellen, dass alle betroffenen Empfänger über die erforderlichen Maßnahmen informiert wurden.

6.2 Das Recht, informiert zu werden.

6.2.1 BetterPic muss jeden Datenbetroffenen über die Erfassung und weitere Verarbeitung der personenbezogenen Daten informieren.

6.2.2 Die zu liefernden Informationen umfassen: den Namen und Kontaktdaten von BetterPic; allgemeine Zwecke und rechtlichen Grund für die Datenerfassung und weitere Verarbeitung; gesammelte personenbezogene Datenkategorien; Empfänger/Empfängerkategorien; Datenspeicherungszeiträume; Informationen über Datenbetroffene-Rechte, einschließlich das Recht, sich bei der zuständigen Aufsichtsbehörde zu beschweren; die Folgen der Fälle, in denen die Daten notwendig sind, um den Vertragsabschluss zu erfüllen und die Datenbetroffenen nicht die erforderlichen Daten bereitstellen; Details der Schutzmaßnahmen, bei denen personenbezogene Daten außerhalb der EEA übertragen werden, und jede Drittquelle personenbezogener Daten, ohne spezifische Angabe für den bestimmten Fall (es sei denn, wir erhalten die direkte Anfrage von der Datenbetroffenen).

6.2.3 Die Nutzer müssen von der Datenschutzrichtlinie, die auf der BetterPic-Website verfügbar ist und während der Benutzerregistrierung bereitgestellt wird, informiert werden. Mitarbeiter und Auftragnehmer müssen von einer eigenständigen Mitarbeiterdatenschutzrichtlinie informiert werden, die die in p. 6.2.2 beschriebenen Details in einer fallbezogenen Weise beschreibt, indem sie die bestimmten Zwecke und Aktivitäten beschreibt. BetterPic muss Datenbetroffenen über Datenverarbeitung, einschließlich jeder neuen Verarbeitungsaktivität, die bei BetterPic eingeführt wird, innerhalb der folgenden Frist informieren:

• wenn personenbezogene Daten direkt von der Datenbetroffenen gesammelt werden, muss der Datenbetroffene bei der Zeit, zu der wir personenbezogene Daten von den Datenbetroffenen sammeln, unsere Datenschutzrichtlinie zeigen;
• wenn personenbezogene Daten von anderen Quellen gesammelt werden: (a) innerhalb von einem Monat von der Erfassung; (b) wenn personenbezogene Daten für die Kommunikation mit der Datenbetroffenen verwendet werden, zuletzt zum Zeitpunkt der ersten Kommunikation zu dieser Datenbetroffenen; oder (c) wenn eine Offenlegung an einen anderen Empfänger beabsichtigt ist, zuletzt, wenn die personenbezogenen Daten zum ersten Mal offengelegt werden.
• auf Antrag der Datenbetroffenen; und
• innerhalb von einem Monat (1) nach jeder Änderung unserer personenbezogenen Datenpraxis, Änderung des Datenverantwortlichen oder nach einer signifikanten Änderung unserer Datenschutzrichtlinien.

6.3 Das Recht auf Zugang.

6.3.1 Jeder Datenbetroffene hat das Recht, von BetterPic eine Bestätigung zu erhalten, ob personenbezogene Daten verarbeitet werden, und, falls ja, Zugang zu den personenbezogenen Daten und den folgenden Informationen zu erhalten: die Zwecke der Verarbeitung; die betreffenden personenbezogenen Datenkategorien; die Empfänger oder Empfängerkategorien, an die die personenbezogenen Daten offengelegt wurden oder werden; die vorgesehene Dauer, für die die personenbezogenen Daten gespeichert werden; das Bestehen des Rechts auf Berichtigung oder Löschung der personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung; das Recht, eine Beschwerde bei einer Aufsichtsbehörde einzulegen; wo die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über deren Herkunft; das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling und aussagekräftige Informationen über die dahinterstehende Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person; und wo personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt werden, die Angabe der geeigneten Garantien.

6.3.2 Der verantwortliche Mitarbeiter muss sicherstellen, dass die Kopie der personenbezogenen Daten in einem elektronischen Format bereitgestellt wird, das für die Datenbetroffenen bequem ist.

6.4 Das Recht auf Berichtigung.

6.4.1 Jeder Datenbetroffene hat das Recht, von BetterPic ohne unangemessene Verzögerung die Berichtigung unrichtiger personenbezogener Daten zu verlangen. Unter Berücksichtigung der Zwecke der Verarbeitung hat die betroffene Person das Recht, die Vervollständigung unvollständiger personenbezogener Daten zu verlangen.

6.4.2 Der verantwortliche Mitarbeiter muss sicherstellen, dass alle Empfänger, an die die personenbezogenen Daten offengelegt wurden, über die Berichtigung informiert werden, es sei denn, dies erweist sich als unmöglich oder erfordert einen unverhältnismäßigen Aufwand.

6.5 Das Recht auf Löschung ("Recht auf Vergessenwerden").

6.5.1 Jeder Datenbetroffene hat das Recht, von BetterPic die Löschung der sie betreffenden personenbezogenen Daten zu verlangen, und BetterPic hat die personenbezogenen Daten ohne unangemessene Verzögerung zu löschen, wenn einer der folgenden Gründe zutrifft: die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig; die betroffene Person widerruft ihre Einwilligung, auf der die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a DSGVO beruhte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung; die betroffene Person legt gemäß Artikel 21 Absatz 1 DSGVO Widerspruch gegen die Verarbeitung ein, und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 DSGVO Widerspruch gegen die Verarbeitung ein; die personenbezogenen Daten wurden unrechtmäßig verarbeitet; die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem BetterPic unterliegt; die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 DSGVO erhoben.

6.5.2 Der verantwortliche Mitarbeiter muss sicherstellen, dass alle Empfänger, an die die personenbezogenen Daten offengelegt wurden, über die Löschung informiert werden, es sei denn, dies erweist sich als unmöglich oder erfordert einen unverhältnismäßigen Aufwand.

6.6 Das Recht auf Einschränkung der Verarbeitung.

6.6.1 Jeder Datenbetroffene hat das Recht, von BetterPic die Einschränkung der Verarbeitung zu verlangen, wenn eine der folgenden Voraussetzungen erfüllt ist: die Richtigkeit der personenbezogenen Daten wird von der betroffenen Person bestritten, und zwar für eine Dauer, die es BetterPic ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen; die Verarbeitung ist unrechtmäßig, und die betroffene Person lehnt die Löschung der personenbezogenen Daten ab und verlangt stattdessen die Einschränkung ihrer Nutzung; BetterPic benötigt die personenbezogenen Daten für die Zwecke der Verarbeitung nicht länger, die betroffene Person benötigt sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen; die betroffene Person hat Widerspruch gegen die Verarbeitung gemäß Artikel 21 Absatz 1 DSGVO eingelegt, solange noch nicht feststeht, ob die berechtigten Gründe von BetterPic gegenüber denen der betroffenen Person überwiegen.

6.6.2 Der verantwortliche Mitarbeiter muss sicherstellen, dass alle Empfänger, an die die personenbezogenen Daten offengelegt wurden, über die Einschränkung informiert werden, es sei denn, dies erweist sich als unmöglich oder erfordert einen unverhältnismäßigen Aufwand.

6.7 Das Recht, gegen die Verarbeitung zu protestieren.

6.7.1 Jeder Datenbetroffene hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung der sie betreffenden personenbezogenen Daten, die aufgrund von Artikel 6 Absatz 1 Buchstaben e oder f DSGVO erfolgt, Widerspruch einzulegen. BetterPic verarbeitet die personenbezogenen Daten nicht mehr, es sei denn, BetterPic kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

6.7.2 Jeder Datenbetroffene hat das Recht, jederzeit gegen die Verarbeitung der sie betreffenden personenbezogenen Daten zum Zwecke der Direktwerbung Widerspruch einzulegen. Wird der betroffenen Person gegenüber Direktwerbung widersprochen, so werden die personenbezogenen Daten nicht mehr für diese Zwecke verarbeitet.

6.8 Das Recht auf Datenübertragbarkeit.

6.8.1 Jeder Datenbetroffene hat das Recht, die sie betreffenden personenbezogenen Daten, die sie BetterPic bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, und hat das Recht, diese Daten einem anderen Verantwortlichen ohne Behinderung durch BetterPic zu übermitteln, wenn die Verarbeitung auf einer Einwilligung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a DSGVO oder auf einem Vertrag gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO beruht und die Verarbeitung mithilfe automatisierter Verfahren erfolgt.

6.8.2 Der verantwortliche Mitarbeiter muss sicherstellen, dass die personenbezogenen Daten direkt an den anderen Verantwortlichen übermittelt werden, wo dies technisch machbar ist.

6.9 Das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung einschließlich Profiling beruhenden Entscheidung unterworfen zu werden.

6.9.1 Jeder Datenbetroffene hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung einschließlich Profiling beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wenn die Entscheidung nicht für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und BetterPic erforderlich ist oder aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten, denen BetterPic unterliegt, zulässig ist und diese Rechtsvorschriften angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person vorsehen, oder mit der ausdrücklichen Einwilligung der betroffenen Person erfolgt.

6.9.2 Der verantwortliche Mitarbeiter muss sicherstellen, dass angemessene Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person getroffen werden, wozu mindestens das Recht auf Erwirkung des Eingreifens einer Person seitens BetterPic, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung gehört.

Sicherheit der personenbezogenen Daten

7.1 Allgemeine Sicherheitsanforderungen.

7.1.1 BetterPic muss angemessene technische und organisatorische Maßnahmen implementieren, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, einschließlich, aber nicht beschränkt auf: die Pseudonymisierung und Verschlüsselung personenbezogener Daten; die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste dauerhaft sicherzustellen; die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen; ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Bewertung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

7.1.2 Der Datenschutzmanager muss sicherstellen, dass alle Sicherheitsmaßnahmen dokumentiert und regelmäßig überprüft werden, um ihre Wirksamkeit zu bewerten.

7.2 Spezifische Sicherheitsmaßnahmen.

7.2.1 Zugangskontrolle. BetterPic muss sicherstellen, dass nur autorisierte Mitarbeiter Zugang zu personenbezogenen Daten haben. Dies umfasst die Implementierung von Benutzerauthentifizierung, Passwortrichtlinien und regelmäßige Überprüfung der Zugangsberechtigungen.

7.2.2 Verschlüsselung. Alle personenbezogenen Daten müssen sowohl bei der Übertragung als auch bei der Speicherung verschlüsselt werden. Der Datenschutzmanager muss sicherstellen, dass die verwendeten Verschlüsselungsmethoden den aktuellen Industriestandards entsprechen.

7.2.3 Backup und Wiederherstellung. BetterPic muss regelmäßige Backups aller personenbezogenen Daten durchführen und Verfahren zur Wiederherstellung im Falle eines Datenverlusts implementieren.

7.2.4 Physische Sicherheit. Alle physischen Standorte, an denen personenbezogene Daten gespeichert oder verarbeitet werden, müssen angemessene Sicherheitsmaßnahmen haben, einschließlich Zugangskontrolle und Überwachung.

7.2.5 Netzwerksicherheit. BetterPic muss Firewalls, Intrusion Detection Systems und andere Netzwerksicherheitsmaßnahmen implementieren, um unbefugten Zugang zu personenbezogenen Daten zu verhindern.

7.3 Datenverletzungsreaktion.

7.3.1 Im Falle einer Datenverletzung muss BetterPic unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Bekanntwerden, die zuständige Aufsichtsbehörde benachrichtigen, es sei denn, die Datenverletzung stellt wahrscheinlich kein Risiko für die Rechte und Freiheiten natürlicher Personen dar.

7.3.2 Der Datenschutzmanager ist verantwortlich für die Koordination der Reaktion auf Datenverletzungen und muss sicherstellen, dass alle erforderlichen Maßnahmen ergriffen werden, um die Auswirkungen der Verletzung zu minimieren.

7.3.3 BetterPic muss alle betroffenen Personen benachrichtigen, wenn die Datenverletzung wahrscheinlich ein hohes Risiko für ihre Rechte und Freiheiten darstellt.

Schulung und Bewusstsein

8.1 Mitarbeiterschulung.

8.1.1 BetterPic muss sicherstellen, dass alle Mitarbeiter, die mit personenbezogenen Daten arbeiten, angemessene Schulungen zu Datenschutzgesetzen und dieser Richtlinie erhalten.

8.1.2 Die Schulung muss mindestens einmal jährlich durchgeführt werden und sollte die folgenden Themen abdecken: Grundsätze des Datenschutzes; Rechte der betroffenen Personen; Verfahren zur Behandlung von Datenverletzungen; Sicherheitsmaßnahmen; und Compliance-Anforderungen.

8.2 Bewusstsein und Compliance.

8.2.1 BetterPic muss ein Bewusstsein für Datenschutz unter allen Mitarbeitern fördern und sicherstellen, dass Datenschutz als Teil der Unternehmenskultur verstanden wird.

8.2.2 Der Datenschutzmanager muss regelmäßige Compliance-Überprüfungen durchführen, um sicherzustellen, dass alle Mitarbeiter die Datenschutzanforderungen einhalten.

Überprüfung und Aktualisierung

9.1 Regelmäßige Überprüfung.

9.1.1 Diese Richtlinie muss mindestens einmal jährlich überprüft und bei Bedarf aktualisiert werden, um sicherzustellen, dass sie mit den aktuellen Datenschutzgesetzen und Best Practices übereinstimmt.

9.1.2 Der Datenschutzmanager ist verantwortlich für die Überprüfung und Aktualisierung dieser Richtlinie und muss alle Änderungen dokumentieren.

9.2 Änderungen und Benachrichtigungen.

9.2.1 Alle Änderungen an dieser Richtlinie müssen den Mitarbeitern mitgeteilt werden, und es muss sichergestellt werden, dass sie die aktualisierten Anforderungen verstehen.

9.2.2 Bei erheblichen Änderungen an der Richtlinie kann eine zusätzliche Schulung erforderlich sein.

Kontakt

10.1 Datenschutzmanager.

10.1.1 Für alle Fragen oder Bedenken bezüglich dieser Richtlinie oder der Verarbeitung personenbezogener Daten können sich Mitarbeiter und betroffene Personen an den Datenschutzmanager wenden.

10.1.2 Der Datenschutzmanager kann über die E-Mail-Adresse gdpr@betterpic.io erreicht werden.

10.2 Aufsichtsbehörden.

10.2.1 Betroffene Personen haben das Recht, eine Beschwerde bei der zuständigen Aufsichtsbehörde einzulegen, wenn sie der Ansicht sind, dass ihre personenbezogenen Daten nicht in Übereinstimmung mit den Datenschutzgesetzen verarbeitet werden.

10.2.2 BetterPic arbeitet mit allen zuständigen Aufsichtsbehörden zusammen und befolgt deren Anweisungen in Bezug auf Datenschutzangelegenheiten.

Schlussbestimmungen

11.1 Geltungsbereich.

11.1.1 Diese Richtlinie gilt für alle Aktivitäten von BetterPic, die mit der Verarbeitung personenbezogener Daten zusammenhängen.

11.1.2 Keine Bestimmung dieser Richtlinie darf so ausgelegt werden, dass sie die Anforderungen der geltenden Datenschutzgesetze verringert oder einschränkt.

11.2 Durchsetzung.

11.2.1 Verstöße gegen diese Richtlinie können zu disziplinarischen Maßnahmen führen, einschließlich, aber nicht beschränkt auf, Verwarnungen, Suspendierung oder Beendigung der Beschäftigung.

11.2.2 Der Datenschutzmanager ist verantwortlich für die Überwachung der Einhaltung dieser Richtlinie und die Einleitung angemessener Maßnahmen bei Verstößen.

11.3 Wirksamkeit.

11.3.1 Diese Richtlinie tritt am Datum ihrer Genehmigung in Kraft und bleibt in Kraft, bis sie geändert oder aufgehoben wird.

11.3.2 Alle vorherigen Versionen dieser Richtlinie werden durch diese Version ersetzt.

Genehmigt von: Name des Datenschutzmanagers
Datum: Datum der Genehmigung
Version: 1.0