Datenschutzrichtlinie

1. Einleitung

Hintergrund

Mimco Asset Management (im Folgenden „Mimco AM“ genannt) verpflichtet sich, seine Geschäftstätigkeit in Übereinstimmung mit allen geltenden Datenschutzgesetzen und -vorschriften sowie unter Einhaltung höchster ethischer Standards zu führen.

Die Datenschutz-Grundverordnung der EU („DSGVO“) wurde entwickelt, um die Datenschutzgesetze in Europa zu harmonisieren. Ziel ist es, allen EU-Bürgern oder Personen, die sich in der Union aufhalten (unabhängig von ihrer Staatsangehörigkeit), Rechte hinsichtlich der Vertraulichkeit ihrer Daten zu gewähren und die Art und Weise, wie Unternehmen in der Region mit dem Datenschutz umgehen, neu zu gestalten.

Diese Richtlinie legt das erwartete Verhalten der Mitarbeiter von Mimco AM und der betroffenen Dritten im Umgang mit personenbezogenen Daten fest. Sie betrifft die Erhebung, Nutzung, Speicherung, Übermittlung, Offenlegung und Vernichtung sämtlicher personenbezogener Daten von Einzelpersonen, die der Kontrolle von Mimco AM unterliegen.

Die Geschäftsführung des Unternehmens setzt sich uneingeschränkt für die kontinuierliche und wirksame Umsetzung dieser Richtlinie ein und erwartet von allen Mitarbeitern von Mimco AM sowie von deren Drittanbietern, dass sie dieses Engagement teilen. Jeder Verstoß gegen diese Richtlinie kann disziplinarische Maßnahmen nach sich ziehen.

Zielsetzung

Ziel dieser Richtlinie ist es, Schutzmaßnahmen für personenbezogene Daten festzulegen, die von der Verwaltungsgesellschaft gehalten, gespeichert oder aufbewahrt werden, sowie für personenbezogene Daten, die von Dritten erhoben oder an diese übermittelt werden, unabhängig vom Format (physisch oder elektronisch). Diese Richtlinie dient dazu:

• Gewährleistung der Sicherheit und Vertraulichkeit personenbezogener Daten;
• Schutz vor jeglichen Bedrohungen oder Risiken für die Sicherheit oder Integrität personenbezogener Daten;
• Schutz vor unbefugter Erhebung, unbefugtem Zugriff oder unbefugter Nutzung personenbezogener Daten

Begriffsbestimmungen

DSGVO-Verantwortliche — Die von Mimco AM benannte Person, die für die Einhaltung der Datenschutzvorschriften durch die Verwaltungsgesellschaft zuständig ist.

Verantwortlicher — Die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Auftragsverarbeiter — Eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (gemäß Artikel 4 Nr. 8 der DSGVO).

Betroffene Person — Eine natürliche Person, die direkt oder indirekt identifiziert werden kann, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.

Datenschutzvorschriften — Die DSGVO sowie alle anwendbaren nationalen Gesetze oder Vorschriften zum Datenschutz.

Personenbezogene Daten — Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen.

Verarbeitung personenbezogener Daten — Jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten oder Datensätzen, wie das Erheben, das Erfassen, die Organisation, die Strukturierung, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

Anwendungsbereich

Diese Richtlinie gilt für jede Verarbeitung personenbezogener Daten, unabhängig davon, ob sie in elektronischer Form (einschließlich E-Mails und digitaler Dokumente) oder in Papierform erfolgt. Das gesamte Personal unterliegt den Anforderungen dieser Richtlinie und muss bestätigen, dass es deren Inhalt gelesen und verstanden hat.

2. System zum Schutz personenbezogener Daten

Mimco AM wendet das „P-D-C-A“-Prinzip (Plan-Do-Check-Act) an (siehe Anhang 1), um sicherzustellen, dass der Datenschutzrahmen und die Verarbeitung personenbezogener Daten durch das Unternehmen weiterhin den Anforderungen der DSGVO entsprechen.

2.1. Governance

Um eine angemessene Governance zu etablieren, hat Mimco AM eine DSGVO-Verantwortliche benannt, die damit beauftragt ist, geeignete technische und organisatorische Maßnahmen festzulegen und innerhalb der Organisation umzusetzen.

2.1.1. DSGVO-Verantwortliche

Die DSGVO-Verantwortliche ist für die Umsetzung des Systems zum Schutz personenbezogener Daten und dessen kontinuierliche Verbesserung zuständig.

Die DSGVO-Verantwortliche bei Mimco AM ist Alexandra NADAL. Ihre Hauptaufgaben sind:

• Information und Beratung von Mimco AM sowie der Mitarbeiter, die Daten verarbeiten, hinsichtlich ihrer Verpflichtungen gemäß der DSGVO und anderer Datenschutzbestimmungen;
• Überwachung der Einhaltung der DSGVO, anderer Datenschutzbestimmungen sowie dieser Richtlinie und der zugehörigen Dokumente im Rahmen des allgemeinen Datenschutzsystems;
• Aktualisierung des Datenschutzrahmens und der zugehörigen Dokumente gemäß den geltenden Datenschutzvorschriften;
• Bereitstellung von Leitlinien zur Durchführung von Datenschutz-Folgenabschätzungen (DSFA / DPIA) und deren Überwachung;
• Als Ansprechpartner für Aufsichtsbehörden und betroffene Personen fungieren und bei Fragen zur Verarbeitung mit ihnen zusammenarbeiten, einschließlich im Rahmen vorheriger Konsultationen, sowie diese gegebenenfalls zu allen anderen damit zusammenhängenden Fragen konsultieren;
• Feststellung der Notwendigkeit von Meldungen an die zuständigen Aufsichtsbehörden, deren Durchführung und Aktualisierung im Zusammenhang mit den aktuellen oder geplanten Verarbeitungsaktivitäten personenbezogener Daten;
• Einrichtung und Betrieb eines Systems, das schnelle, präzise und angemessene Antworten auf Anfragen betroffener Personen ermöglicht;
• Unterrichtung der Geschäftsführung über mögliche gesellschaftsrechtliche, zivilrechtliche oder strafrechtliche Sanktionen, die bei einem Verstoß gegen die Datenschutzvorschriften gegen uns und/oder unser Personal verhängt werden könnten;
• Einrichtung von Verfahren und Vertragsklauseln, um die Einhaltung dieser Richtlinie durch jeden Dritten sicherzustellen, der:
  • Personenbezogene Daten an Mimco AM übermittelt;
  • Personenbezogene Daten von Mimco AM erhält;
  • Zugriff auf personenbezogene Daten hat, die von Mimco AM erhoben oder verarbeitet werden.

2.2. Datenschutz durch Technikgestaltung („Privacy by Design“) und datenschutzfreundliche Voreinstellungen („Privacy by Default“)

Mimco AM stellt sicher, dass alle Anforderungen an den Datenschutz bei der Konzeption neuer Dienstleistungen, Produkte oder Prozesse sowie bei der Änderung oder Aktualisierung bestehender Dienste berücksichtigt und behandelt werden.

Die DSGVO führt diese beiden Verpflichtungen ein:

• Zum einen müssen technische und organisatorische Maßnahmen sowohl zum Zeitpunkt der Konzeption der Verarbeitung als auch zum Zeitpunkt der Verarbeitung selbst umgesetzt werden, d. h. bereits bei der Konzeption („Privacy by Design“);
• Darüber hinaus müssen diese Maßnahmen sicherstellen, dass standardmäßig nur die personenbezogenen Daten verarbeitet werden, die für den jeweiligen spezifischen Verarbeitungszweck erforderlich sind („Privacy by Default“). Mimco AM muss sicherstellen, dass jede Neukonzeption von Dienstleistungen, Produkten oder Prozessen sowie jede Änderung oder Erweiterung bestehender Produkte, Dienstleistungen, Systeme oder Prozesse einen Qualitätsprozess beinhaltet, an dem der DSGVO-Verantwortliche teilnehmen muss. Als für die Verarbeitung Verantwortlicher ist Mimco AM in bestimmten Fällen verpflichtet, vor der Implementierung einer Verarbeitung personenbezogener Daten eine DSFA (Datenschutz-Folgenabschätzung) durchzuführen.

2.3. Grundsatz der Rechenschaftspflicht („Accountability“)

Die DSGVO misst dem Grundsatz der Rechenschaftspflicht des für die Verarbeitung Verantwortlichen eine wesentliche Bedeutung bei. Es obliegt daher Mimco AM, die geeigneten Vorkehrungen für die Umsetzung der in den geltenden Vorschriften festgelegten allgemeinen Grundsätze zu treffen und nachzuweisen, dass diese Grundsätze tatsächlich eingehalten wurden.

Mimco AM bewahrt eine angemessene Dokumentation und einen Nachweispfad für jede DSGVO-Anforderung auf, um die Einhaltung der in Abschnitt 2.5 dargelegten Datenschutzgrundsätze nachzuweisen. Die Verantwortlichkeiten für die Aufbewahrung dieser Dokumentation sind auf die verschiedenen Abteilungen verteilt. Der DSGVO-Verantwortliche überwacht dies und gibt die notwendigen Richtlinien vor, um diese Anforderung zu erfüllen.

2.4. Konformitätskontrollen

Um ein angemessenes Niveau der DSGVO-Konformität sicherzustellen, sind interne Kontrollen vorgesehen, die gemäß den permanenten und periodischen Kontrollplänen durchgeführt werden. Mindestens eine permanente Kontrolle muss pro Jahr durchgeführt werden, um zu überprüfen, ob die Prozesse eingehalten werden und die operativen Kontrollen durchgeführt und formalisiert sind. Die periodischen Kontrollen erfolgen auf der Grundlage eines mehrjährigen Kontrollplans.

2.5. Allgemeine Grundsätze für die Verarbeitung personenbezogener Daten

Die Richtlinie wurde unter Einhaltung der Grundsätze für die Verarbeitung personenbezogener Daten erstellt. Mimco AM hält sich bei der Verarbeitung personenbezogener Daten an die folgenden Grundsätze:

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz. Personenbezogene Daten müssen rechtmäßig, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden, sofern die Verarbeitung unter die DSGVO fällt (Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz). Wir verpflichten uns, die betroffenen Personen über die geplante Verarbeitung zu informieren (Transparenz), dies korrekt zu tun (nach Treu und Glauben) und die Verarbeitung auf eine in der DSGVO definierte Rechtsgrundlage zu stützen (Rechtmäßigkeit);
• Zweckbindung. Personenbezogene Daten müssen für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer Weise weiterverarbeitet werden, die mit diesen Zwecken nicht vereinbar ist (Zweckbindung). Mimco AM verpflichtet sich, die betroffenen Personen über die Verwendung ihrer personenbezogenen Daten zu informieren und die Verarbeitung auf das für die Zwecke der Verarbeitung unbedingt erforderliche Maß zu beschränken;
• Datenminimierung. Personenbezogene Daten müssen angemessen, relevant und auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (Datenminimierung). Mimco AM verpflichtet sich, keine personenbezogenen Daten zu erheben oder aufzubewahren, die über das für die Zwecke der Verarbeitung unbedingt erforderliche Maß hinausgehen;
• Richtigkeit. Die Daten müssen sachlich richtig und auf dem neuesten Stand sein. Mimco AM implementiert Prozesse zur Identifizierung und Bearbeitung veralteter, fehlerhafter oder redundanter personenbezogener Daten;
• Aufbewahrungsfristen. Die Daten müssen in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen ermöglicht, und zwar nur so lange, wie es für die Zwecke der Verarbeitung erforderlich ist. Sobald der Zweck der Verarbeitung erreicht ist, verpflichtet sich Mimco AM, technische und organisatorische Maßnahmen zu ergreifen,

damit die Daten gelöscht oder einer Zwischenarchivierung unterzogen werden, sofern ihre Aufbewahrung zur Erfüllung gesetzlicher Verpflichtungen oder für Rechtsstreitigkeiten bzw. vorgerichtliche Verfahren erforderlich ist.

• Integrität und Sicherheit personenbezogener Daten. Sie müssen so verarbeitet werden, dass eine angemessene Sicherheit gewährleistet ist, insbesondere durch Schutz vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor unbeabsichtigtem Verlust, Zerstörung oder Beschädigung mittels geeigneter technischer und organisatorischer Maßnahmen (Integrität und Vertraulichkeit). Mimco AM muss geeignete technische und organisatorische Maßnahmen ergreifen, um die Integrität und Vertraulichkeit personenbezogener Daten zu wahren. Diese Maßnahmen umfassen unter anderem Verschlüsselung, die Verwaltung von Zugriffsrechten auf personenbezogene Daten, angemessene Anweisungen und Schulungen sowie alle Sicherheitsmaßnahmen (z. B. auf Gebäudeebene), um personenbezogene Daten zu schützen.

2.6. Erhebung personenbezogener Daten

Die ordnungsgemäße Erhebung personenbezogener Daten ist ein Schlüsselelement unseres Systems. Mimco AM hat die folgenden Regeln für die Erhebung personenbezogener Daten festgelegt.

2.6.1. Datenquellen

Grundsätzlich dürfen personenbezogene Daten nur bei der betroffenen Person selbst erhoben werden, es sei denn, der geschäftliche Zweck erfordert die Erhebung bei anderen Personen oder Stellen. Werden personenbezogene Daten bei einer anderen Person als der betroffenen Person erhoben, muss diese über die Erhebung informiert werden oder vorab ihre Zustimmung erteilen.

Die einzigen Ausnahmen von diesem Grundsatz sind:

• Die betroffene Person hat die erforderlichen Informationen bereits auf anderem Wege erhalten;
• Die Information muss aufgrund einer gesetzlichen Verschwiegenheitspflicht vertraulich bleiben;
• Eine nationale Rechtsvorschrift sieht die Erhebung, Verarbeitung oder Übermittlung personenbezogener Daten ausdrücklich vor. Die Benachrichtigung der betroffenen Person muss zeitnah erfolgen, spätestens jedoch:
• Einen Kalendermonat ab der ersten Erhebung oder Speicherung der personenbezogenen Daten;
• Zum Zeitpunkt der ersten Kommunikation, sofern die personenbezogenen Daten zur Kontaktaufnahme mit der betroffenen Person verwendet werden;
• Zum Zeitpunkt der Übermittlung der personenbezogenen Daten an einen anderen Empfänger.

2.6.2. Informationshinweise

Mimco AM muss den betroffenen Personen einen Informationshinweis (oder ein gleichwertiges Dokument) zur Verfügung stellen, der die Pflichtangaben zur Verarbeitung personenbezogener Daten enthält. Die Unterrichtung der betroffenen Personen ist eine gesetzliche Verpflichtung: Jede Person, deren personenbezogene Daten von Mimco AM verarbeitet werden, muss insbesondere klar darüber informiert werden, wie ihre Daten verarbeitet werden und wie sie ihre Rechte ausüben kann.

Der Informationshinweis ist auf der Website von Mimco AM abrufbar.

2.6.3. Einwilligung der betroffenen Personen

Mimco AM ist verpflichtet, gegebenenfalls die Einwilligung der betroffenen Personen einzuholen, bevor personenbezogene Daten erhoben, verwendet oder anderweitig verarbeitet werden.

Der Datenschutzbeauftragte implementiert einen Prozess, um die Einwilligung der betroffenen Personen einzuholen und zu dokumentieren, sofern dies erforderlich ist.

Der Prozess zur Einwilligung der betroffenen Personen gewährleistet die Rückverfolgbarkeit der Informationsflüsse sowie die Gültigkeit und den Umfang der eingeholten Einwilligung und ermöglicht es den betroffenen Personen, ihre Einwilligung jederzeit problemlos zu widerrufen.

2.7. Verwendung personenbezogener Daten

2.7.1. Verarbeitung personenbezogener Daten

Mimco AM respektiert die Interessen und Bedürfnisse der betroffenen Personen bei der Verarbeitung ihrer personenbezogenen Daten und vermeidet jedes Verhalten, das ihren Interessen zuwiderlaufen würde.

Wir verwenden personenbezogene Daten für folgende Zwecke:

• Gewährleistung des ordnungsgemäßen Betriebs von Mimco AM (einschließlich der Verwaltung von Arbeitsverträgen);
• Bereitstellung von Produkten und Dienstleistungen für Kunden;
• Verwaltung der Kundenbeziehungen und anderer Vertragspartner (Vertragsverwaltung, Reklamationen usw.); Vor jeder neuen Verarbeitung oder jeder Änderung bestehender Verarbeitungen personenbezogener Daten muss Mimco AM prüfen, ob eine Einwilligung der betroffenen Personen eingeholt oder ob sie informiert werden müssen. Der Datenschutzbeauftragte muss den Verarbeitungsprozess vorab validieren. Wenn festgestellt wird, dass die Verarbeitung nicht mit der zuvor eingeholten Einwilligung vereinbar ist, darf die Verarbeitung nur dann erfolgen, wenn in Abstimmung mit dem Datenschutzbeauftragten eine neue, für die definierten Zwecke spezifische Einwilligung der betroffenen Person eingeholt werden kann.

2.7.2. Verarbeitung besonderer Kategorien personenbezogener Daten

Es gibt eine besondere Kategorie personenbezogener Daten, sogenannte „sensible Daten“, die uns dazu verpflichten, zusätzliche Schutzmaßnahmen zu ergreifen. Hierbei handelt es sich um Informationen, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person.

Die Erhebung oder Verwendung dieser Daten ist untersagt, es sei denn:

• Wenn die betroffene Person ihre ausdrückliche Einwilligung gegeben hat (ein aktiver, expliziter und vorzugsweise schriftlicher Vorgang, der freiwillig, spezifisch und informiert erfolgen muss);
• Wenn die Informationen von der betroffenen Person offensichtlich öffentlich gemacht wurden;
• Wenn sie zum Schutz lebenswichtiger Interessen einer natürlichen Person erforderlich sind;
• Wenn ihre Verwendung durch ein öffentliches Interesse gerechtfertigt und von der CNIL genehmigt ist;
• Dies gilt, wenn sie Mitglieder oder Anhänger einer Vereinigung oder einer politischen, religiösen, philosophischen, politischen oder gewerkschaftlichen Organisation betreffen. Vor der Erhebung oder Verarbeitung solcher personenbezogener Daten müssen die Mitarbeiter den Datenschutzbeauftragten kontaktieren, um eine Rechtsgrundlage für die Verarbeitung zu schaffen und spezifische technische und organisatorische Maßnahmen zu implementieren. Die Ergebnisse dieser Analyse müssen dokumentiert und als Nachweis für die Anwendung angemessener Schutzmaßnahmen aufbewahrt werden.

2.7.3. Qualität personenbezogener Daten

Qualitativ hochwertige personenbezogene Daten sind für die Einhaltung des Grundsatzes der Richtigkeit gemäß DSGVO unerlässlich. Mimco AM hat spezifische Maßnahmen ergriffen, um sicherzustellen, dass personenbezogene Daten zum Zeitpunkt ihrer Erhebung vollständig und korrekt sind und während ihres gesamten Lebenszyklus auf dem neuesten Stand gehalten werden.

Um ein hohes Maß an Datenqualität zu erreichen, müssen die Mitarbeiter für die folgenden Anforderungen sensibilisiert sein:

• Korrektur (einschließlich Löschung und Ersetzung) von personenbezogenen Daten, die als inkorrekt, ungenau, irreführend oder veraltet bekannt sind, auch wenn die betroffene Person keine Änderung ihrer Daten beantragt hat.
• Aufbewahrungsdauer personenbezogener Daten, die je nach Zweck der Erhebung oder gemäß den geltenden gesetzlichen Aufbewahrungsfristen zu bestimmen ist;
• Löschung sämtlicher personenbezogener Daten, wenn die Verarbeitung gegen einen der Datenschutzgrundsätze verstößt oder die personenbezogenen Daten nicht mehr erforderlich sind.
• Löschung personenbezogener Daten. Wenn die Löschung gesetzlich untersagt ist oder die Interessen der betroffenen Person beeinträchtigt, werden die Daten in ihrer Verarbeitung eingeschränkt. Mimco AM erwartet von seinen Mitarbeitern, dass sie zur Umsetzung dieser Maßnahmen beitragen und den Datenschutzbeauftragten informieren, wenn sie Kenntnis von Ereignissen erlangen, die Korrekturmaßnahmen erfordern.

2.8. Datenspeicherung

Für alle personenbezogenen Daten muss eine Aufbewahrungsfrist festgelegt werden. Diese muss im Hinblick auf den Zweck der Verarbeitung kohärent und begründet sein. Grundsätzlich sind personenbezogene Daten nach Abschluss ihrer laufenden Nutzung zu löschen, d. h. nach Ablauf der für den Verarbeitungszweck erforderlichen Dauer. Die für die verschiedenen Datenkategorien geltenden Aufbewahrungsfristen sowie die geeigneten Verfahren zu deren Löschung sind in der Informationssicherheitsrichtlinie aufgeführt. Nach Ablauf der Aufbewahrungsfrist und sobald feststeht, dass die Daten nicht länger aufbewahrt werden müssen, sind die personenbezogenen Daten entweder zu löschen, unwiderruflich zu anonymisieren (bei elektronischen Formaten) oder zu vernichten (bei Papierunterlagen).

2.9. Datenschutz

Mimco AM gewährleistet die Integrität und Vertraulichkeit personenbezogener Daten durch die Implementierung angemessener Sicherheitsmaßnahmen, insbesondere durch die Umsetzung von Schutzmaßnahmen

gegen unbefugte oder rechtswidrige Verarbeitung, gegen Verlust, Zerstörung, Veränderung sowie gegen alle Risiken, denen personenbezogene Daten durch menschliches Versagen oder Ereignisse (Naturkatastrophen, technische Probleme usw.) ausgesetzt sein könnten.

Die Sicherheitsmaßnahmen für personenbezogene Daten sind in der Informationssicherheitsrichtlinie detailliert beschrieben. Die Mitarbeiter müssen ihre Rechte und Pflichten im Bereich der Datensicherheit kennen und verpflichten sich insbesondere dazu:

• Die elektronische Übermittlung personenbezogener Daten ist so zu sichern, dass Risiken wie unbefugtes Einsehen, Lesen, Kopieren, Ändern oder Löschen sowie versehentliche Zerstörung oder Verlust verhindert werden. Zur Sicherung personenbezogener Daten gehört auch die Führung von Protokollen, um Löschungen, Änderungen und jedes andere Verhalten nachvollziehbar zu machen, das ein Risiko für die Integrität und Vertraulichkeit der Daten darstellen könnte.
• Ohne entsprechende Autorisierung oder Berechtigung darf nicht auf Systeme zugegriffen werden, in denen personenbezogene Daten gespeichert oder verarbeitet werden.
• Unbefugten Personen ist der Zugriff auf Systeme oder Räumlichkeiten, in denen personenbezogene Daten gespeichert sind, zu verwehren. Im Falle eines (möglichen) Eindringens sind der RCCI oder der Datenschutzbeauftragte unverzüglich zu informieren.
• Vor jedem Vertragsabschluss oder jeder Vertragsverhandlung ist die Rechtsabteilung hinzuzuziehen. Es müssen zwingend vertragliche Bestimmungen zum Schutz personenbezogener Daten aufgenommen werden.
• Erfolgt die Verarbeitung durch einen Dritten, muss dies in Übereinstimmung mit den von Mimco AM erteilten Anweisungen geschehen.

3. Datenschutz-Folgenabschätzung (DSFA)

Vor der Einführung neuer Dienstleistungen oder Produkte, die die Verarbeitung personenbezogener Daten beinhalten, muss das Compliance-Team zunächst eine vorläufige Datenschutz-Folgenabschätzung (DSFA) durchführen. Diese erste Bewertung dient dazu, festzustellen, ob eine vollständige DSFA erforderlich ist.

Die CNIL veröffentlicht eine Liste von Verarbeitungen, die von der DSFA-Pflicht ausgenommen sind. Bei diesen Verarbeitungen stützt sich Mimco AM auf diese Ausnahme und führt keine DSFA durch. Umgekehrt identifiziert die Aufsichtsbehörde auch bestimmte Verarbeitungen, für die eine DSFA obligatorisch ist. In diesen Fällen führt Mimco AM direkt eine vollständige DSFA durch.

Für alle anderen Verarbeitungen, die nicht explizit aufgeführt sind, führt Mimco AM eine Voranalyse durch, um die Notwendigkeit einer vollständigen DSFA zu bewerten.

4. Ausübung der Rechte der betroffenen Personen

Gemäß der DSGVO kann jede betroffene Person Rechte bezüglich ihrer von Mimco AM verarbeiteten personenbezogenen Daten ausüben, d. h.:

• Ihr Recht auf Information;
• Ihr Recht auf Auskunft über die personenbezogenen Daten;
• Ihr Recht auf Berichtigung der personenbezogenen Daten;
• Ihr Recht auf Löschung der personenbezogenen Daten;
• Ihr Recht auf Löschung eines Links aus den Suchergebnissen;
• Ihr Recht auf Einschränkung der Verarbeitung personenbezogener Daten;
• Ihr Recht auf Übertragbarkeit der personenbezogenen Daten;
• Ihr Recht auf Widerspruch gegen die Verarbeitung personenbezogener Daten;
• Ihr Recht, über den Verbleib ihrer personenbezogenen Daten nach ihrem Tod zu entscheiden. Die Rechte der betroffenen Personen sind im Anhang aufgeführt. Betroffene Personen können die Ausübung ihrer Rechte auf beliebigem Wege beantragen. Die Anfragen der betroffenen Personen müssen in elektronischer Form aufbewahrt werden. Wenn eine betroffene Person eine Anfrage telefonisch, persönlich, schriftlich oder auf anderem Wege stellt, muss diese an den DSGVO-Verantwortlichen weitergeleitet werden, der die betroffene Person kontaktiert, um die Anfrage zu dokumentieren. Die E-Mail-Adresse des DSGVO-Verantwortlichen muss für jede Person zugänglich sein, die Informationen über die Verarbeitung personenbezogener Daten erhalten oder ihre Rechte ausüben möchte. Je nach Art der Anfrage muss die betroffene Person zusätzliche Informationen bereitstellen. Daher muss jeder Mitarbeiter, der eine Anfrage bezüglich der Ausübung von Rechten an personenbezogenen Daten erhält, diese unverzüglich an den DSGVO-Verantwortlichen weiterleiten. Der DSGVO-Verantwortliche muss:
• Versand einer Empfangsbestätigung innerhalb von 48 Stunden nach Eingang der Anfrage;
• Jede Anfrage ist bei Eingang zu registrieren und es ist ein Identitätsnachweis der anfragenden Person anzufordern. Bei dieser Person muss es sich um die betroffene Person selbst oder um eine Person mit rechtmäßiger Befugnis für die betroffene Person handeln.
• Die Anfrage ist sorgfältig und innerhalb der Frist von 30 Tagen nach Eingang der Anfrage durch die Person zu bearbeiten.
• Sofern keine Ausnahmen vorliegen, ist eine Antwort innerhalb von 30 Tagen nach Eingang der Anfrage der betroffenen Person zu erteilen. Die Verwaltungsgesellschaft verpflichtet sich, der betroffenen Person oder dem bevollmächtigten Antragsteller für angemessene Anfragen gemäß den Grundsätzen der DSGVO keine Verwaltungsgebühren in Rechnung zu stellen. Der Prozess zur Bearbeitung von DSGVO-Anfragen ist im Verfahren zur Bearbeitung von DSGVO-Anfragen detailliert beschrieben.

5. Anfragen und Kommunikation mit Behörden

Unter bestimmten Umständen kann Mimco AM verpflichtet sein, personenbezogene Daten ohne Wissen oder Zustimmung der betroffenen Person an Behörden weiterzugeben, und zwar in folgenden Fällen:

• Die Verhinderung oder Aufdeckung von Straftaten oder Verbrechen;
• Die Festnahme oder Strafverfolgung von Straftätern;
• Die Festsetzung oder Erhebung von Steuern oder Abgaben;
• Auf gerichtliche Anordnung oder aufgrund gesetzlicher Vorschriften. Wenn Mimco AM eine Anfrage eines Gerichts oder einer Behörde bezüglich einer betroffenen Person erhält, um Zugriff auf deren personenbezogene Daten zu erhalten, muss der Datenschutzbeauftragte unverzüglich informiert werden, damit er die Anfrage bearbeiten kann.

6. Übermittlung personenbezogener Daten außerhalb der EU

Mimco AM darf personenbezogene Daten, die verarbeitet werden oder verarbeitet werden sollen, nur dann in ein Land außerhalb der Europäischen Union übermitteln, wenn angemessene Schutzmaßnahmen getroffen wurden:

• Überprüfung von Angemessenheitsbeschlüssen oder der Implementierung von Standardvertragsklauseln mit dem Empfänger.
• Übermittlung ausschließlich der personenbezogenen Daten an den Empfänger, die für den spezifischen Zweck der Übermittlung unbedingt erforderlich sind
• Anwendung angemessener Sicherheitsmaßnahmen bei der Übermittlung, falls erforderlich

Mitarbeiter dürfen personenbezogene Daten nur dann an Dritte weitergeben oder ihnen den Zugriff darauf gestatten, wenn dies zuvor vom Datenschutzbeauftragten genehmigt wurde. Dies stellt sicher, dass die Informationen rechtmäßig verarbeitet und vom Empfänger angemessen geschützt werden. Daher ist der Datenschutzbeauftragte bei jedem Vorschlag zur Datenübermittlung zu konsultieren, sofern die betroffene Person noch nicht ausdrücklich in die Übermittlung eingewilligt hat.

Die Mitarbeiter müssen zudem wissen, dass Auftragsverarbeiter im Sinne der DSGVO verpflichtet sind, uns jede Verletzung oder jeden Vorfall im Zusammenhang mit den von Mimco AM übermittelten personenbezogenen Daten zu melden. Bei jeder Auslagerung von Dienstleistungen an Dritte (einschließlich Cloud-Dienstleistern) muss der Datenschutzbeauftragte prüfen, ob die Verarbeitung zu einer Übermittlung personenbezogener Daten in Drittländer führt, und gegebenenfalls entsprechende Bestimmungen in den Outsourcing-Vertrag aufnehmen. Der Datenschutzbeauftragte führt regelmäßige Kontrollen der von Dritten durchgeführten Datenverarbeitung durch, einschließlich der implementierten technischen und organisatorischen Maßnahmen. Jede festgestellte schwerwiegende Unregelmäßigkeit muss der Geschäftsführung gemeldet werden, und es müssen Abhilfemaßnahmen eingeleitet werden.

7. Meldung einer Verletzung des Schutzes personenbezogener Daten

Jeder Mitarbeiter, der eine Verletzung des Schutzes personenbezogener Daten vermutet, muss den Datenschutzbeauftragten unverzüglich unter der Adresse dpo@makers-fund.com benachrichtigen.

Der Datenschutzbeauftragte muss eine Untersuchung durchführen, um das Risiko der Verletzung personenbezogener Daten zu bewerten. Wenn der Vorfall ein Risiko für die Privatsphäre der betroffenen Personen darstellt, müssen Sie eine Meldung erstatten.

Bei einem festgestellten Risiko ist die CNIL innerhalb von 72 Stunden nach Bekanntwerden zu benachrichtigen; bei einem hohen Risiko müssen sowohl die CNIL als auch die betroffenen Personen innerhalb von 72 Stunden nach Bekanntwerden informiert werden.

Der Prozess ist in der Richtlinie zum Umgang mit Sicherheitsvorfällen detailliert beschrieben. Jede Verletzung des Schutzes personenbezogener Daten muss im Vorfallsregister erfasst werden.

8. Schulungen

Der Datenschutzbeauftragte muss einen jährlichen Schulungsplan erstellen, um Sensibilisierungsmaßnahmen oder Schulungen anzubieten, die auf das jeweilige Risikoprofil der Mitarbeiter zugeschnitten sind. Jeder Mitarbeiter muss innerhalb des ersten Monats nach Arbeitsbeginn eine erste Sensibilisierungs- bzw. Schulungsmaßnahme durchlaufen und anschließend jährlich an einer Auffrischungsschulung teilnehmen. Es ist ein Schulungsregister zu führen und die Anwesenheitslisten sind aufzubewahren.

Der Datenschutzbeauftragte muss regelmäßig über die geltenden Regeln und Prozesse informieren.

9. Folgen der Nichteinhaltung der Richtlinie

Die Nichteinhaltung dieser Richtlinie könnte schwerwiegende Auswirkungen auf den Ruf von Mimco AM haben. Sollte sich herausstellen, dass das Unternehmen gegen geltende Gesetze und Vorschriften verstoßen hat, kann Mimco AM zu einer Geldstrafe von bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes oder 20 Millionen Euro verurteilt werden (je nachdem, welcher Betrag höher ist).

Im Falle eines Verstoßes gegen diese Richtlinie durch einen Mitarbeiter kann dieser sanktioniert werden (disziplinarische Maßnahmen bis hin zur Kündigung, straf- und zivilrechtliche Verurteilungen).

10. Anhänge

Anhang 1: DATENSCHUTZ-RAHMENWERK – PLAN-DO-CHECK-ACT (PDCA)

Anhang 2: Informationspflichten

Der an die betroffene Person zu übermittelnde Informationshinweis muss folgende Elemente enthalten:

• Identität und Kontaktdaten des Verantwortlichen für die Verarbeitung personenbezogener Daten;
• Der Datenschutzbeauftragte (falls zutreffend) und dessen Kontaktdaten;
• Der Zweck oder die Zwecke der Verarbeitungstätigkeiten sowie die Rechtsgrundlage der Verarbeitung;
• Der Empfänger oder die Kategorien von Empfängern der personenbezogenen Daten (falls zutreffend);
• Die Absicht des Verantwortlichen, personenbezogene Daten in ein Drittland oder an eine internationale Organisation zu übermitteln, sowie das Bestehen oder Fehlen eines Angemessenheitsbeschlusses der Kommission oder ein Verweis auf geeignete oder angemessene Garantien;
• Die Speicherdauer der personenbezogenen Daten und die Kriterien für die Festlegung dieser Dauer;
• Wenn die Verarbeitung auf einer Einwilligung beruht, das Recht der betroffenen Person, ihre Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
• Das Bestehen bestimmter Rechte für die betroffenen Personen: Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch gegen die Verarbeitung sowie das Recht auf Datenübertragbarkeit;
• Das Recht, eine Beschwerde bei einer zuständigen Aufsichtsbehörde einzureichen;
• Das Bestehen einer gesetzlichen oder vertraglichen Verpflichtung zur Bereitstellung personenbezogener Daten oder einer für den Vertragsabschluss erforderlichen Verpflichtung, sowie die Verpflichtung der betroffenen Person zur Bereitstellung der personenbezogenen Daten und die möglichen Folgen einer Nichtbereitstellung dieser Daten;
• Das Bestehen einer automatisierten Entscheidungsfindung (falls zutreffend), einschließlich Profiling, sowie die Bedeutung und die angestrebten Auswirkungen einer solchen Verarbeitung für die betroffene Person; und
• Werden personenbezogene Daten nicht bei der betroffenen Person selbst erhoben, ist die Herkunft der Daten anzugeben sowie gegebenenfalls, ob sie aus öffentlich zugänglichen Quellen stammen.

Anhang 3: Rechtsgrundlagen der Verarbeitung

Um durchgeführt werden zu können, muss jede Verarbeitung personenbezogener Daten auf einer in der DSGVO vorgesehenen Rechtsgrundlage beruhen, d. h. auf dem, was dem Verantwortlichen das Recht gibt, personenbezogene Daten zu verarbeiten.

Es gibt 6 Rechtsgrundlagen (Art. 6 der DSGVO):

• Einwilligung. Die betroffene Person muss in die Verarbeitung ihrer personenbezogenen Daten einwilligen.
• Vertrag. Die Verarbeitung personenbezogener Daten ist für die Erfüllung oder Anbahnung eines Vertrags mit der betroffenen Person erforderlich.
• Berechtigtes Interesse. Die Verarbeitung ist zur Wahrung der berechtigten Interessen (z. B. kommerzielle Interessen, Sicherheit von Eigentum usw.) des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen. Der Verantwortliche muss daher eine Abwägung zwischen seinem Interesse und den Interessen der Person (einschließlich der berechtigten Erwartungen der Person) vornehmen. Diese Abwägung muss für jede Verarbeitung, die auf dieser Rechtsgrundlage beruht, durchgeführt werden.
• Rechtliche Verpflichtung. Die Verarbeitung ist durch gesetzliche Bestimmungen vorgeschrieben.
• Wahrnehmung einer Aufgabe im öffentlichen Interesse. Die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt.
• Wahrung lebenswichtiger Interessen. Die Verarbeitung ist zur Wahrung lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich.

Anhang 4: Die Einwilligung

Das französische Datenschutzgesetz vom 6. Januar 1978 (Loi informatique et libertés) knüpft die Rechtmäßigkeit einer Verarbeitung personenbezogener Daten an eine der sechs darin aufgeführten Bedingungen (Art. 5 des Gesetzes). Die wichtigste dieser Bedingungen bezieht sich auf die Einwilligung der betroffenen Person. Die Bedingungen für die Rechtmäßigkeit der Verarbeitung sind in ähnlichen Begriffen formuliert wie in der europäischen Datenschutz-Grundverordnung (DSGVO Art. 6 Abs. 1).

Somit ist die Einwilligung die Hauptvoraussetzung für die Rechtmäßigkeit einer Verarbeitung personenbezogener Daten. Hier sind die wichtigsten Merkmale:

• Die Einwilligung muss eine freiwillige, spezifische, informierte und unmissverständliche Willensbekundung sein: Die betroffene Person muss der Verarbeitung durch eine Erklärung oder eine eindeutige aktive Handlung zustimmen.
• Die Einwilligung muss für einen oder mehrere klar definierte Zwecke erteilt werden.
• Eine Einwilligung kann nur dann als „freiwillig“ angesehen werden, wenn die betroffene Person in der Lage ist, ihre Einwilligung ohne Druck oder Nachteile zu verweigern oder zu widerrufen.
• Eine Einwilligung ist nur dann „spezifisch“, wenn sie auf eine hinreichend detaillierte Anfrage reagiert, die es der betroffenen Person ermöglicht, für jeden Verarbeitungszweck eine separate Einwilligung zu erteilen.
• Eine Einwilligung ist nur dann „informiert“, wenn die betroffene Person bestimmte wesentliche Informationen erhält: zum Beispiel die Identität des Verantwortlichen, den Zweck jedes einzelnen Verarbeitungsvorgangs sowie die erhobenen und verwendeten Daten.
• Eine Einwilligung ist nur dann „eindeutig“, wenn sie aus einer Erklärung oder einer „aktiven Handlung“ der betroffenen Person hervorgeht. Als Verantwortlicher für die Datenverarbeitung muss Mimco AM nachweisen können, dass die Einwilligung tatsächlich klar und einfach erteilt wurde. Die betroffene Person muss die Möglichkeit haben, ihre Einwilligung jederzeit zu widerrufen.

Anhang 5: Cookies und andere Tracker

Cookies sind kleine Dateien, die von einem Server auf dem Endgerät (Computer, Telefon usw.) eines Nutzers gespeichert und einer Website zugeordnet werden. Cookies und andere Tracker dienen verschiedenen Zwecken (Verwaltung einer Website, statistische Analysen, Werbung usw.).

Jeder Besucher der Website von Mimco AM muss jederzeit die Möglichkeit haben, Cookies und andere Tracker zu verwalten. Pflichtangaben müssen klar und leicht zugänglich auf der Website enthalten sein. Grundsätzlich erfordern alle Arten von Cookies und Trackern, mit Ausnahme der unbedingt erforderlichen Cookies (die für das Funktionieren der Website/des Portals notwendig sind), die vorherige und informierte Einwilligung der betroffenen Person.

Anhang 6: Rechte der betroffenen Personen

Betroffene Personen können Rechte bezüglich ihrer personenbezogenen Daten ausüben und je nach Rechtsgrundlage und Umständen der Verarbeitung eines der folgenden Elemente verlangen:

• Ein Recht auf Auskunft: Es ermöglicht Ihnen zu erfahren, ob Ihre personenbezogenen Daten verarbeitet werden, und diese in einem verständlichen Format zu erhalten. Es ermöglicht zudem, die Richtigkeit der Daten zu überprüfen und sie bei Bedarf berichtigen oder löschen zu lassen.
• Ein Recht auf Berichtigung: um Informationen, die sie betreffen, berichtigen, ergänzen, aktualisieren, sperren oder löschen zu lassen, wenn Fehler, Ungenauigkeiten oder Daten festgestellt wurden, deren Erhebung, Nutzung, Weitergabe oder Speicherung untersagt ist.
• Ein Recht auf Löschung, auch bekannt als Recht auf Vergessenwerden, um die Löschung der sie betreffenden personenbezogenen Daten unverzüglich zu erwirken;
• Ein Recht auf Einschränkung der Verarbeitung: um die Einschränkung der Verarbeitung so zu erwirken, dass die Daten – mit Ausnahme der Speicherung – durch Mimco AM nur mit Einwilligung der betroffenen Person oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen verarbeitet werden dürfen;
• Ein Recht auf Datenübertragbarkeit (die sie betreffenden personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und das Recht, diese Daten an einen anderen Verantwortlichen zu übermitteln);
• Ein Widerspruchsrecht (der Verarbeitung der sie betreffenden personenbezogenen Daten unter bestimmten Bedingungen zu widersprechen); und
• Ein Widerspruchsrecht gegen automatisierte Entscheidungsfindung und Profiling (dies ist das Recht der betroffenen Person, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt). Betroffene Personen haben das Recht, auf schriftliche Anfrage und nach Überprüfung ihrer Identität durch den DSGVO-Verantwortlichen die folgenden Informationen über ihre eigenen personenbezogenen Daten zu erhalten (vorbehaltlich von Ausnahmen):
• Die Zwecke der Erhebung, Verarbeitung, Nutzung und Speicherung ihrer personenbezogenen Daten;
• Die Quelle(n) der personenbezogenen Daten, sofern diese nicht bei der betroffenen Person erhoben wurden;
• Die Kategorien der für die betroffene Person gespeicherten personenbezogenen Daten;
• Die Empfänger oder Kategorien von Empfängern, an die die personenbezogenen Daten weitergegeben wurden oder werden können, sowie den Ort, an dem sich diese Empfänger befinden;
• Die geplante Speicherdauer für die personenbezogenen Daten oder den Grund für die Festlegung der Speicherdauer;
• Gegen jede automatisierte Entscheidungsfindung, einschließlich Profiling, vorzugehen; und
• Das Recht der betroffenen Person:
  • Der Verarbeitung ihrer personenbezogenen Daten zu widersprechen.
  • Eine Beschwerde bei der zuständigen Datenschutzbehörde einzureichen.
  • Die Berichtigung oder Löschung ihrer personenbezogenen Daten zu verlangen.
  • Die Einschränkung der Verarbeitung ihrer personenbezogenen Daten zu verlangen.

‍