Selbstaudit nach DSGVO
Anja Anders | Anders Consulting Relocation Service nimmt als Relocation-Agentur, die sensible Daten ihrer Kunden und betreuten Personen erhebt, speichert und verarbeitet, den Datenschutz sehr ernst. Die Datenschutz-Grundverordnung (DSGVO) verpflichtet uns dazu, intern oder durch externe Stellen unsere Vorkehrungen zum Datenschutzmanagement, der Informationssicherheit und den Verarbeitungstätigkeiten zu dokumentieren und entsprechend für die zuständigen Behörden, Interessenten, Kunden und Lieferanten zugänglich zu machen.
Nachstehende Informationen informieren Sie insoweit über das Selbstaudit zur DSGVO des folgenden Unternehmens:
Anja Anders | Anders Consulting Relocation Service, Dorotheenstraße 108, D-22301 Hamburg
Tel. +49 (0) 40 – 278 78 905
Fax +49 (0) 40 – 278 78 906
Wir weisen darauf hin, dass die internetbasierte Datenübertragung Sicherheitslücken aufweist, d.h. ein lückenloser Schutz vor Zugriffen durch Dritte somit unmöglich ist.
Mehr Informationen über die DSGVO im Umfeld von Beschäftigung und Relocation-Services erhalten Sie hier.
1. Datenschutzmanagement
Anja Anders | Anders Consulting Relocation Service ist eine in Deutschland operierende Relocation-Agentur, die sensible Daten der von ihr betreuten Personen und Auftraggeber verarbeitet; dies jedoch nicht massenhaft. Die datenschutzrechtliche Ausrichtung der betrieblichen Maßnahmen ist daher voranging auf den Schutz dieser individuellen Daten ausgerichtet.
Der Erhebung und der Verarbeitung der Daten von betreuten Personen, die nicht selbst Auftraggeber sind, liegt eine entsprechende interne Vereinbarung zwischen dem Arbeitgeber als Auftraggeber und dem Arbeitnehmer, bzw. der betreuten Person zugrunde. Diese Vereinbarung ergibt sich aus dem Arbeits- oder Entsendungsvertrag oder entsprechenden Zusatzvereinbarungen zwischen dem Auftraggeber und der betreuten Person.
Die Daten von Anfragenden und Interessenten werden nach den gleichen Prinzipien verarbeitet und geschützt.
Eine explizite Datenschutzleitlinie wurde bislang nicht schriftlich niedergelegt.
Die IT-Anlagen der Agentur sind nur den Gesellschaftern Anja Anders und Christoph Anders zugänglich. Der Zugang für weitere Personen erfolgt ausschließlich unter entsprechender Dokumentation, wer, wann auf welche Daten Zugriff hatte. Entsprechende Maßnahmen zur Verhinderung von unbefugten Zugriffen auf Daten sind getroffen.
Es existiert kein gesondertes Löschkonzept, d.h. die Daten werden für die Dauer der gesetzlichen oder einzelvertraglich ausgemachten Fristen aufbewahrt und dann gelöscht.
1.2. Datenschutzorganisation
Ein Datenschutzbeauftragter ist bestellt und auf der Homepage der Agentur (Datenschutzerklärung) für Betroffene und die zuständigen Behörden dokumentiert. Weitere Rollen wurden bislang nicht vergeben.
Der Datenschutzbeauftragte hat die folgenden Aufgaben:
- Informationsbeschaffung für die Gesellschafter
- Sensibilisierung der Lieferanten und Subunternehmer, vor allem der Relocation-Consultants, ggf. Sensibilisierung von Beschäftigten
- Durchführung interner Audits/Kontrollen
- Beantwortung/Klärung von Datenschutzbeschwerden
- Durchführung von Anfragen zu Betroffenenrechten
- Durchführung der Meldung von Datenschutzverletzungen
1.3. Datenschutzverletzungen (Art. 33 DSGVO)
Für die Meldung von Datenschutzverstößen an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden ist der Datenschutzbeauftragte verantwortlich. Bislang wurden keine Verstöße bekannt.
1.4. Anfragen Betroffener (Art. 15 ff. DSGVO)
Für die Bearbeitung von Anfragen Betroffener ist der Datenschutzbeauftragte verantwortlich (Auskunftsersuchen, Löschbegehren, Widerspruch, Berichtigungsantrag, Recht auf Einschränkung der Verarbeitung, Recht auf Datenübertragbarkeit). Bislang wurden keine entsprechenden Anfragen von Betroffenen verzeichnet.
1.5. Auftragsverarbeitung (Art. 28 DSGVO)
Auftragsverarbeitungsverträge bestehen sowohl mit Lieferanten, z.B. freien Relocation-Consultants als Subunternehmer, Hoster der Webseite und des E-Mail-Servers, IT-Service, etc. als auch mit Auftraggebern.
Im Falle der Auslagerung von Verarbeitungen schließt das Unternehmen mit den Auftragsverarbeitern einen entsprechenden Vertrag.
Als Anbieter von Auftragsverarbeitungen schließt der Auftragsverarbeiter mit dem jeweiligen Auftraggeber einen entsprechenden Vertrag.
Das Unternehmen überprüft ab 2021 seine Auftragsverarbeiter durch einen schriftlichen Fragebogen und bei Vorliegen durch Vorlage von Zertifikaten.
1.6. Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO)
Das entsprechende Verzeichnis ist einsehbar unter: https://www.anders-relocation.de/informationspflicht-gemaess-art-13-und-14-dsgvo/
Das Unternehmen hat jeder Verarbeitung eine Rechtsgrundlage gemäß Art. 6 Abs. 1 DSGVO (Anbahnung, Durchführung von Vertragsverhältnissen, Einwilligung, berechtigte Interessen und dergl.) zugeordnet.
1.7. Datenschutzfolgeabschätzung (Art. 35 DSGVO)
Das Unternehmen hat mit negativem Ergebnis geprüft, ob eine Datenschutz-Folgeabschätzung erforderlich ist. Dieser Punkt wird bei Folgeevaluierungen neu bewertet.
1.8. Informationspflichten (Art. 13 f. DSGVO)
Den Informationspflichten wird Rechnung getragen durch
- Hinweis/Link an die betroffenen Personen (Bestätigung, E-Mail)
- Verweis auf die Informationen auf der eigenen Webseite mit entsprechendem Link
- Auslage/Aushang in Geschäftsräumen
1.9. Mitarbeiterschulung
Da zurzeit keine Mitarbeiter über die tätigen Gesellschafter hinaus beschäftigt werden, finden keine Schulungen zur DSGVO statt.
1.10. Verpflichtung auf den Datenschutz
Eine besondere Verpflichtung über die Auftragsverarbeitungsverträge mit Lieferanten und Kunden hinaus wird nicht vorgenommen.
2. Informationssicherheit
2.1. Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. A DSGVO)
Pseudonymisierung und Verschlüsselung: Das Online-Angebot ist SSL-verschlüsselt.
2.2. Vertraulichkeit
Zutrittskontrolle: Zu den Geschäftsräumen in der Dorotheenstraße 108, 22301 Hamburg haben nur die Gesellschafter Zugang.
Zugangskontrolle: Die Datenverarbeitungssysteme und mobile Endgeräte sind durch alphanumerische/numerische Passwörter geschützt.
Zugriffskontrolle: Durch die Maßnahmen der Zutrittskontrolle und Zugangskontrolle ist gewährleistet, dass personenbezogene Daten nicht durch Unbefugte verarbeitet werden können.
Trennungskontrolle: Da keine Daten einer Person zu unterschiedlichen Zwecken erhoben werden, erfolgt keine Trennungskontrolle.
2.3. Integrität (Art. 32 Abs. 1 lit. B DSGVO)
Weitergabekontrolle: In der digitalen Kommunikation kommt ausschließlich die unverschlüsselte E-Mail zum Einsatz. Verschlüsselte Systeme sind a) ebenfalls nicht hinreichend sicher und b) verfügen nicht über die notwendige Kompatibilität bei Sender und Empfänger.
Telefongespräche erfolgen unverschlüsselt.
Der physische Versand wird vermieten, d.h. Briefe, Niederschriften und (Personal-) Dokumente werden wo immer möglich persönlich ausgetauscht/übergeben. Wenn ein Versand im Inland oder in das/aus dem Ausland nicht vermieden werden kann, werden Kuriere eingesetzt, bei denen die Vertraulichkeit gewährleistet ist, z.B DHL.
Eingabekontrolle: Es ist jederzeit nachvollziehbar, wer Daten erfasst und verarbeitet hat.
2.4. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. B DSGVO)
Verfügbarkeitskontrolle: Die IT-Systeme sind so eingerichtet und untergebracht, dass Daten gegen zufällige Zerstörung oder Verlust geschützt sind. Daten werden regelmäßig gesichert und die Datenträger entsprechend bei der nächsten Sicherung überschrieben. Die Speichermedien für die Datensicherung werden von der IT getrennt aufbewahrt. E-Mails werden auf einem nach technischem Stand gesicherten IMAP-Server verwaltet, so dass E-Mail jederzeit wiederherstellbar sind.
Belastbarkeitskontrolle: Die IT wird in Bezug auf die Fähigkeit, mit risikobedingten Veränderungen umgehen zu können und auf die Eigenschaft, eine Toleranz und Ausgleichsfähigkeit gegenüber Störungen aufzuweisen, nicht speziell evaluiert. Spezielle Risiken für Veränderungen oder Störungen bestehen jedoch nicht.
2.5. Wiederherstellbarkeit (Art. 32 Art. 1 lit. C DSGVO)
Die gesamte IT und alle Daten können nach einem Verlust innerhalb von 24 Stunden (wochentags) durch Backup-Geräte und Datensicherungsmaßnahmen wiederhergestellt werden, so dass wieder volle Betriebsfähigkeit besteht.
2.6. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. D DSGVO; Art. 25 Abs. 1 DSGVO)
Es werden die üblichen Verfahren zur Verhinderung von Sicherheitsverletzungen eingesetzt, z.B. Firewall und Virenschutz. Darüber hinaus wird nur Software eingesetzt, für die Herstellerupdates verfügbar sind, damit keine Sicherheitslücken durch veraltete Versionen entstehen können.
Es werden nur erforderliche Daten gespeichert und verarbeitet, die für die Auftragsausführung erforderlich sind. Weitere Daten für andere Zwecke werden weder erhoben, noch gespeichert oder verarbeitet.
Dieses Selbst-Audit wird jährlich überprüft und ggf. angepasst.
3. Verarbeitungstätigkeiten
Da aktuell keine Mitarbeiter beschäftigt werden, fallen im Bewerbungsverfahren und beim Führen von Personalakten keine Daten an oder müssen verarbeitet werden.
Im Marketing werden keine Newsletter eingesetzt. Ein anonymisiertes Webtracking über Google Analytics kommt zum Einsatz. Systematische Auswertungen aus dem zur Verfügung stehenden Datenmaterial erfolgen nicht. Ein CRM-System wird nicht eingesetzt. Im Übrigen wird inhaltlich auf die Datenschutzerklärung der Agentur verwiesen: https://www.anders-relocation.de/datenschutzerklaerung/
Stand: November 2021
