Selbstaudit nach DSGVO
Allgemeine Informationen
Anders Consulting Relocation Service | Inh. Anja Anders nimmt als Relocation-Agentur, die sensible Daten ihrer Kunden und betreuten Personen erhebt, speichert und verarbeitet, den Datenschutz sehr ernst. Die Datenschutz-Grundverordnung (DSGVO) verpflichtet uns dazu, intern oder durch externe Stellen unsere Vorkehrungen zum Datenschutzmanagement, der Informationssicherheit und den Verarbeitungstätigkeiten zu dokumentieren und entsprechend für die zuständigen Behörden, Interessenten, Kunden und Lieferanten zugänglich zu machen.
Nachstehende Informationen informieren Sie insoweit über das Selbstaudit zur DSGVO des folgenden Unternehmens:
Anja Anders | Anders Consulting Relocation Service, Dorotheenstraße 108, D-22301 Hamburg
Tel. +49 (0) 40 – 278 78 905
Fax +49 (0) 40 – 278 78 906
Der das Audit durchführende Datenschutzbeauftragter ist: Christoph Anders, ebenda
Mail to: consulting@anders-relocation.de
Wir weisen darauf hin, dass die internetbasierte Datenübertragung Sicherheitslücken aufweist, d.h. ein lückenloser Schutz vor Zugriffen durch Dritte somit unmöglich ist.
Mehr Informationen über die DSGVO im Umfeld von Beschäftigung und Relocation-Services erhalten Sie hier.
Datum des Audits: 14. Februar 2025. Seit dem 1. Januar 2025 werden keine Personen mehr sozialversicherungspflichtig beschäftigt. Seit dem letzten Audit gab es keine wichtigen Veränderungen, sondern eine Fortschreibung und Aktualisierung.
1. Datenschutzmanagement
Anja Anders | Anders Consulting Relocation Service ist eine in Deutschland operierende Relocation-Agentur, die Daten der von ihr betreuten Personen und Auftraggeber verarbeitet; dies jedoch nicht massenhaft. Die datenschutzrechtliche Ausrichtung der betrieblichen Maßnahmen ist daher voranging auf den Schutz dieser individuellen Daten ausgerichtet.
Der Erhebung und der Verarbeitung der Daten von betreuten Personen, die nicht selbst Auftraggeber sondern Begünstigte sind, liegt eine entsprechende interne Vereinbarung zwischen dem Arbeitgeber als Auftraggeber und dem Arbeitnehmer, bzw. der betreuten Person zugrunde. Diese Vereinbarung ergibt sich aus dem Arbeits- oder Entsendungsvertrag oder entsprechenden Zusatzvereinbarungen zwischen dem Auftraggeber und der betreuten Person.
Von Auftraggebern, die direkt Kunden von Anders Consulting werden, also keine Begünstigten sind, wird eine Einwilligungserklärung mit Widerrufsmöglichkeit eingeholt.
Die Daten von Anfragenden und Interessenten werden nach den gleichen Prinzipien verarbeitet und geschützt.
Eine explizite Datenschutzleitlinie und bestimmte Verfahren wurden bislang nicht schriftlich niedergelegt.
Die IT-Anlagen der Agentur sind nur den Gesellschaftern Anja Anders und Christoph Anders zugänglich. Maßnahmen zur Verhinderung von unbefugten Zugriffen auf Daten sind getroffen. Alle zugangsberechtigten Personen werden hinsichtlich der Erfordernisse des Datenschutzes sensibilisiert und im Bedarfsfall geschult.
Es existiert kein gesondertes Löschkonzept, d.h. die Daten werden für die Dauer der gesetzlichen oder einzelvertraglich ausgemachten Fristen aufbewahrt und dann gelöscht.
1.2. Datenschutzorganisation
Ein Datenschutzbeauftragter ist bestellt und auf der Homepage der Agentur (Datenschutzerklärung) für Betroffene und die zuständigen Behörden dokumentiert. Weitere Rollen wurden bislang nicht vergeben.
Der Datenschutzbeauftragte hat die folgenden Aufgaben:
- Informationsbeschaffung für die Gesellschafter
- Sensibilisierung der Lieferanten und Subunternehmer, vor allem der Relocation-Consultants, Sensibilisierung von Beschäftigten, ggf. Schulungen
- Durchführung interner Audits/Kontrollen
- Beantwortung/Klärung von Datenschutzbeschwerden
- Durchführung von Anfragen zu Betroffenenrechten, insbesondere von Berichtigungs-, Löschungs- und Einschränkungsanfragen
- Durchführung der Meldung von Datenschutzverletzungen und deren Bereinigung
- Fristenkontrolle bei Anfragen und Beschwerden
1.3. Datenschutzverletzungen (Art. 33 DSGVO)
Für die Meldung von Datenschutzverstößen an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden ist der Datenschutzbeauftragte verantwortlich. Bislang wurden keine Verstöße bekannt.
1.4. Anfragen Betroffener (Art. 15 ff. DSGVO)
Für die Bearbeitung von Anfragen Betroffener ist der Datenschutzbeauftragte verantwortlich (Auskunftsersuchen, Löschbegehren, Widerspruch, Berichtigungsantrag, Recht auf Einschränkung der Verarbeitung, Recht auf Datenübertragbarkeit). Bislang wurden keine entsprechenden Anfragen von Betroffenen verzeichnet.
1.5. Auftragsverarbeitung (Art. 28 DSGVO)
Auftragsverarbeitungsverträge bestehen sowohl mit Lieferanten, z.B. freien Relocation-Consultants als Subunternehmer, Hoster der Webseite und des E-Mail-Servers, IT-Service, etc. als auch mit Auftraggebern.
Im Falle der Auslagerung von Verarbeitungen schließt das Unternehmen mit den Auftragsverarbeitern einen entsprechenden Vertrag.
Als Anbieter von Auftragsverarbeitungen schließt der Auftragsverarbeiter mit dem jeweiligen Auftraggeber einen entsprechenden Vertrag. Bis zu diesem Audit herrscht die allgemeine Rechtsauffassung, dass Anders Consulting im Rahmen der Ausführung beauftragter Services nicht als Auftragsverarbeiter, sondern als freier Unternehmer tätig wird.
1.6. Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO)
Das entsprechende Verzeichnis ist einsehbar unter: https://www.anders-relocation.de/informationspflicht-gemaess-art-13-und-14-dsgvo/
Das Unternehmen hat jeder Verarbeitung eine Rechtsgrundlage gemäß Art. 6 Abs. 1 DSGVO (Anbahnung, Durchführung von Vertragsverhältnissen, Einwilligung, berechtigte Interessen und dergl.) zugeordnet.
1.7. Datenschutzfolgeabschätzung (Art. 35 DSGVO)
Das Unternehmen hat mit negativem Ergebnis geprüft, ob eine Datenschutz-Folgeabschätzung erforderlich ist. Dieser Punkt wird bei den jährlichen Folgeevaluierungen neu bewertet.
1.8. Informationspflichten (Art. 13 f. DSGVO)
Den Informationspflichten wird Rechnung getragen durch
- Hinweis/Link an die betroffenen Personen (Bestätigung, E-Mail)
- Verweis auf die Informationen auf der eigenen Webseite mit entsprechendem Link
- Auslage/Aushang in Geschäftsräumen
1.9. Mitarbeiterschulung
Da zurzeit keine Mitarbeiter über die tätigen Gesellschafter hinaus beschäftigt werden, finden keine Schulungen zur DSGVO statt.
1.10. Verpflichtung auf den Datenschutz
Eine besondere Verpflichtung über die Auftragsverarbeitungsverträge mit Lieferanten und Kunden hinaus wird nicht vorgenommen.
2. Informationssicherheit
2.1. Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. A DSGVO)
Pseudonymisierung und Verschlüsselung: Das Online-Angebot ist SSL-verschlüsselt.
2.2. Vertraulichkeit
Zutrittskontrolle: Zu den Geschäftsräumen in der Dorotheenstraße 108, 22301 Hamburg haben nur die Gesellschafter Zugang.
Zugangskontrolle: Die Datenverarbeitungssysteme und mobile Endgeräte sind durch alphanumerische/numerische Passwörter geschützt.
Zugriffskontrolle: Durch die Maßnahmen der Zutrittskontrolle und Zugangskontrolle ist gewährleistet, dass personenbezogene Daten nicht durch Unbefugte verarbeitet werden können.
Trennungskontrolle: Da keine Daten einer Person zu unterschiedlichen Zwecken erhoben werden, erfolgt keine Trennungskontrolle.
2.3. Integrität (Art. 32 Abs. 1 lit. B DSGVO)
Weitergabekontrolle: Für die digitale Kommunikation werden unverschlüsselte E-Mails genutzt.
Telefongespräche erfolgen unverschlüsselt.
Der physische Versand wird vermieten, d.h. Briefe, Niederschriften und (Personal-) Dokumente werden wo immer möglich persönlich ausgetauscht/übergeben. Wenn ein Versand im Inland oder in das/aus dem Ausland nicht vermieden werden kann, werden Kuriere eingesetzt, bei denen die Vertraulichkeit gewährleistet ist, z.B DHL.
Eingabekontrolle: Es ist jederzeit nachvollziehbar, wer Daten erfasst und verarbeitet hat.
2.4. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. B DSGVO)
Verfügbarkeitskontrolle: Die IT-Systeme sind so eingerichtet und untergebracht, dass Daten gegen zufällige Zerstörung oder Verlust geschützt sind. Daten werden regelmäßig gesichert und die Datenträger entsprechend bei der nächsten Sicherung überschrieben. Die Speichermedien für die Datensicherung werden von der IT getrennt aufbewahrt. E-Mails werden auf einem nach technischem Stand gesicherten IMAP-Server verwaltet, so dass E-Mail jederzeit wieder herstellbar sind.
Belastbarkeitskontrolle: Die IT wird in Bezug auf die Fähigkeit, mit risikobedingten Veränderungen umgehen zu können und auf die Eigenschaft, eine Toleranz und Ausgleichsfähigkeit gegenüber Störungen aufzuweisen, nicht speziell evaluiert. Spezielle Risiken für Veränderungen oder Störungen bestehen jedoch nicht.
2.5. Wiederherstellbarkeit (Art. 32 Art. 1 lit. C DSGVO)
Die gesamte IT und alle Daten können nach einem Verlust innerhalb von 24 Stunden (wochentags) durch Backup-Geräte und Datensicherungsmaßnahmen wiederhergestellt werden, so dass wieder volle Betriebsfähigkeit besteht.
2.6. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. D DSGVO; Art. 25 Abs. 1 DSGVO)
Es werden die üblichen Verfahren zur Verhinderung von Sicherheitsverletzungen eingesetzt, z.B. Firewall und Virenschutz. Darüber hinaus wird nur Software eingesetzt, für die Herstellerupdates verfügbar sind, damit keine Sicherheitslücken durch veraltete Versionen entstehen können.
Es werden nur erforderliche Daten gespeichert und verarbeitet, die für die Auftragsausführung erforderlich sind. Weitere Daten für andere Zwecke werden weder erhoben, noch gespeichert oder verarbeitet.
Dieses Selbst-Audit wird jährlich überprüft und ggf. angepasst.
3. Verarbeitungstätigkeiten
Da aktuell keine Mitarbeiter beschäftigt werden, fallen im Bewerbungsverfahren und beim Führen von Personalakten keine Daten an oder müssen verarbeitet werden.
Im Marketing werden keine Newsletter eingesetzt. Ein anonymisiertes Webtracking über Google Analytics kommt zum Einsatz. Systematische Auswertungen aus dem zur Verfügung stehenden Datenmaterial erfolgen nicht. Ein CRM-System wird nicht eingesetzt. Im Übrigen wird inhaltlich auf die Datenschutzerklärung der Agentur verwiesen: https://www.anders-relocation.de/datenschutzerklaerung/
