Bei der Verarbeitung personenbezogener Daten befolgen wir mehrere Grundsätze, um die Grundrechte und -freiheiten des Einzelnen gemäß den BCR zu schützen. Jede Einrichtung muss bei der Verarbeitung personenbezogener Daten die folgenden Grundsätze einhalten:
Grundsatz 1: Rechtmäßigkeit
Entscheident ist die Verfügbarkeit einer dokumentierten Rechtsgrundlage für die Erhebung, Verwendung und Verarbeitung personenbezogener Daten. Diese Rechtsgrundlagen sind einschränkend aufgelistet. Beispiele sind:
- Die Verarbeitung ist für die Erfüllung eines Vertrags mit der betroffenen Person erforderlich, z. B. bei Arbeitsverträgen und Kaufverträgen
- Die Person hat ihre Einwilligung gegeben
- Die berechtigten Interessen von Fresenius überwiegen die negativen Folgen für die Betroffenen
- Die Notwendigkeit, andere gesetzliche Verpflichtungen zu erfüllen, wie z.B. Steuergesetze, Vigilanzanforderungen oder GxP-Anforderungen.
Für besondere Datenkategorien, wie z. B. Gesundheitsdaten, sind zusätzliche Rechtsgrundlagen erforderlich.
Wenn lokale Gesetze zusätzliche oder abweichende Bestimmungen vorschreiben, müssen diese ebenfalls befolgt werden (dies könnte zum Beispiel für Mitarbeiterdaten relevant sein).
Grundsatz 2: Transparenz und Fairness
Wir behandeln persönliche Daten fair und transparent. Vor oder zum Zeitpunkt der Erhebung und Verwendung der personenbezogenen Daten werden die Personen informiert über:
- Wer ist verantwortlich und wie können wir kontaktiert werden?
- Welche Daten werden gesammelt
- Wie die Daten erhoben werden
- Wozu wir die Daten benötigen (Zweck)
- Mit welchen Organisationen werden die Daten geteilt
- Ob sie mit anderen Ländern geteilt werden
- Wie lange die Daten gespeichert werden
- Die Rechtsgrundlage für die Erhebung und Verwendung der Daten und eine Erläuterung dieser Grundlage (Grundsatz 1)
- Wenn ein Profil der Personen erstellt wird
- Wenn wir Entscheidungen mit automatisierten Mitteln treffen
- ob die Daten zur Verfügung gestellt werden müssen und was geschieht, wenn dies nicht geschieht
- Die Kontaktdaten des DSB und der Behörde
- die Rechte, die die Personen haben.
All diese Informationen müssen in umfassender und leicht zugänglicher Form und in klarer und einfacher Sprache bereitgestellt werden.
Grundsatz 3: Zweckbindung
Wir verwenden personenbezogene Daten nur für die angegebenen, ausdrücklichen und rechtmäßigen Zwecke, für die sie erhoben wurden. Eine weitere Verwendung ist nicht zulässig, es sei denn, diese weitere Verwendung steht im Einklang mit dem ursprünglichen Zweck und/oder es werden zusätzliche Maßnahmen getroffen.
Zwecke für die Weiterverarbeitung, die im Allgemeinen als im Einklang mit dem ursprünglichen Zweck stehend angesehen werden, sind:
- Archivierung
- Interne Audits
- Untersuchungen.
Der Datenschutzbeauftragte kann Auskunft darüber geben, ob eine Änderung des Zwecks zulässig ist. Im Falle einer zulässigen Änderung des Zwecks müssen die betroffenen Personen über solche Änderungen informiert werden.
Grundsatz 4: Datensparsamkeit
Wir erfassen und verwenden nur personenbezogene Daten, die für den definierten Zweck, der dem Einzelnen mitgeteilt wurde, erforderlich sind. Das bedeutet, dass sichergestellt werden muss, dass die personenbezogenen Daten relevant sind und im Hinblick auf den Zweck nicht übermäßig sind.
Grundsatz 5: Genauigkeit
Personenbezogene Daten müssen korrekt und aktuell sein. Es müssen Verfahren eingeführt werden, die sicherstellen, dass ungenaue Daten unverzüglich gelöscht, berichtigt oder aktualisiert werden.
Grundsatz 6: Begrenzung der Aufbewahrungszeit
Wir bewahren personenbezogene Daten nicht länger auf, als für den Zweck, für den sie erhoben wurden, erforderlich ist, es sei denn, dies ist gesetzlich vorgeschrieben. In diesem Fall muss der Zugang zu den Daten eingeschränkt werden. Personenbezogene Daten werden gelöscht oder anonymisiert, wenn es keinen rechtlichen Grund oder Zweck mehr gibt.
Grundsatz 7: Sicherheit, Integrität und Vertraulichkeit
Wir ergreifen geeignete technische und organisatorische Maßnahmen, um personenbezogene Daten vor Zerstörung, Verlust, Veränderung, Weitergabe oder Zugriff auf personenbezogene Daten zu schützen (z. B. durch ein geeignetes Rollen- und Rechtekonzept, Sicherung und Wiederherstellung oder durch Verschlüsselung).
Bei der Umsetzung solcher Maßnahmen müssen die Risiken für den Einzelnen berücksichtigt werden. Die Sicherheit von IT-Systemen muss bei der Installation und Wartung von IT-Systemen unter Berücksichtigung dieser Risiken bewertet werden.
Jede Sicherheitsverletzung, die zu einem Risiko für die betroffenen Personen führen kann, wird an die Datenschutzorganisation gemeldet und dokumentiert. Je nach Situation müssen solche Verstöße auch der Aufsichtsbehörde, den betroffenen Personen oder anderen Organisationen gemeldet werden.
Grundsatz 8: Rechenschaftspflicht
Wir müssen in der Lage sein, die Einhaltung der BCR nachzuweisen. Dies geschieht durch die Erstellung und Pflege geeigneter Unterlagen wie z. B.:
- Aufzeichnungen über die Verarbeitungstätigkeiten
- technische und organisatorische Maßnahmen, die zur Einhaltung der Datenschutzgrundsätze und zur Bewältigung der Risiken getroffen werden.
- Bewertungen der Datenschutzrisiken und -kontrollen
Einstellung von Verarbeitern
Wir beauftragen nur Auftragsverarbeiter, die hinreichende Garantien dafür bieten, dass sie geeignete technische und organisatorische Maßnahmen ergreifen, damit die Verarbeitung den Anforderungen der BCR und der lokalen Datenschutzgesetze entspricht. Dies muss durch einen Datenschutzvertrag zwischen der jeweiligen Stelle und dem Auftragsverarbeiter sichergestellt werden.
(Weiter-) Übermittlung personenbezogener Daten
Wir ergreifen Maßnahmen, um die Übermittlung personenbezogener Daten an andere Organisationen außerhalb des EWR in Übereinstimmung mit diesen BCR angemessen zu schützen. Dies könnte durch die Vereinbarung von Standardvertragsklauseln, wie sie von der Europäischen Kommission angenommen wurden, mit der anderen Organisation geschehen.