Auftragsverarbeitungsvertrag

Verhaltenskodex von CMC Worldwide B.V. in Bezug auf die Datenschutzrichtlinie (DSGVO)

EINLEITUNG

Der Schutz personenbezogener Daten ist von höchster Bedeutung. CMC Worldwide B.V. (im Folgenden CMC) möchte daher seine Kunden und Schuldner bestmöglich über seine Datenschutzrichtlinie informieren, die im Einklang mit der Europäischen Datenschutz-Grundverordnung (DSGVO) steht. CMC verpflichtet sich, Daten sicher und rechtskonform zu verwalten, um eine korrekte Fallbearbeitung zu gewährleisten.

Nachfolgend finden Sie Informationen darüber, welche Daten CMC sammelt, zu welchem Zweck, wie lange und in welchem Umfang betroffene Personen Kontrolle über diese Daten haben.            

1. DEFINITION DER „DATENVERARBEITUNG“

Die DSGVO definiert sowohl den Begriff „Verarbeitung“ als auch „personenbezogene Daten“ wie folgt:

Verarbeitung: Jeder Vorgang oder jede Reihe von Vorgängen im Zusammenhang mit personenbezogenen Daten oder einer Sammlung personenbezogener Daten, unabhängig davon, ob sie mit automatisierten Verfahren durchgeführt werden, z. B. das Erheben, Erfassen, Organisieren, Strukturieren, Speichern, Anpassen oder Verändern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, Abgleichen oder Verknüpfen, Einschränken, Löschen oder Vernichten von Daten.

Personenbezogene Daten: Alle Informationen über eine identifizierte oder identifizierbare natürliche Person („die betroffene Person“). Eine identifizierbare natürliche Person ist eine Person, die direkt oder indirekt identifiziert werden kann, insbesondere anhand eines Namens, einer Identifikationsnummer, Standortdaten, einer Online-Kennung oder anderer Merkmale, die ihre physische, physiologische, genetische, psychische, wirtschaftliche, kulturelle oder soziale Identität betreffen.

Gemäß den gesetzlichen Vorschriften verarbeitet CMC keine sensiblen Daten wie Informationen zur ethnischen Herkunft, politischen Meinungen, sexuellen Orientierung oder Gesundheit.

Der Verantwortliche für die Datenverarbeitung ist CMC Worldwide B.V., ansässig in Hanzeplein 11, 8017 JD, Zwolle, Niederlande. CMC bestimmt selbst, welche Daten verarbeitet werden, woher sie stammen und zu welchem Zweck sie genutzt werden (z. B. zur Durchführung einer Adressermittlung, zur Zustellung einer Mahnung, zur Durchführung eines Hausbesuchs oder zur Lohnpfändung, zur internen oder externen Datenanreicherung sowie zur Beantwortung von Schuldneranfragen oder zur Bearbeitung von Beschwerden durch Behörden oder Verbraucherorganisationen).

2. PERSONEN, DIE DURCH DIESEN VERHALTENSKODEX GESCHÜTZT SIND

Dieser Verhaltenskodex gilt für alle natürlichen Personen, die Kunden oder Schuldner von CMC sind. Dazu zählen sowohl Verbraucher- als auch Geschäftsschuldner, sofern es sich um natürliche Personen handelt.

Der Verhaltenskodex gilt auch für Besuche in unseren Geschäftsräumen, Hausbesuche unserer Beauftragten sowie für die Nutzung unserer Websites und Apps. CMC und mit CMC verbundene Dritte werden bei der Verarbeitung von Daten stets ihre Pflichten einhalten und die Rechte der betroffenen Personen respektieren.

3. ZWECK DER DATENVERARBEITUNG

CMC verarbeitet personenbezogene Daten nur, soweit dies zur Erfüllung des jeweiligen Zwecks erforderlich ist. Im Bereich des Forderungsmanagements werden nur die Informationen verarbeitet, die für die Eintreibung einer Forderung erforderlich sind – gegebenenfalls auch durch Insolvenzverfahren oder gerichtliche Schritte. Nicht verarbeitet werden dagegen Informationen zu äußerlichen Merkmalen einer Person.

Die Verarbeitung sensibler Daten ist untersagt, einschließlich Gesundheitsdaten. Einzig die Information, dass eine Person „hospitalisiert“ ist und daher vorübergehend nicht zahlungsfähig ist, kann verarbeitet werden – jedoch keine detaillierten Gesundheitsinformationen.

Die Nutzung personenbezogener Daten ist in folgenden Fällen erlaubt:

• Zur Vorbereitung oder Erfüllung eines Vertrags, insbesondere wenn CMC in die Rechte und Pflichten eines ursprünglichen Gläubigers eintritt.
• Zur Erfüllung gesetzlicher Pflichten, denen CMC unterliegt.
• Auf Basis eines berechtigten Interesses von CMC, sofern dies verhältnismäßig ist.
• Nach Einwilligung der betroffenen Person zur Speicherung und Verarbeitung der Daten.

4. WIE DIE DATEN GESCHÜTZT WERDEN

1. CMC schult seine Mitarbeitenden im korrekten Umgang mit vertraulichen Daten.
2. Bei datenschutzsensiblen Projekten wird zudem eine Sicherheits- und Datenschutzbewertung vorgenommen.
3. Bestimmte Personen sind für die Informationssicherheitspolitik autorisiert.
4. CMC verlässt sich auf interne und/oder externe spezialisierte Partner, die für die Sicherheit des Netzwerks, der Infrastruktur und der Informationssysteme verantwortlich sind. Zudem setzt CMC technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten ein, wie z. B.: Passwortschutz, Firewalls, Antivirenprogramme, Erkennungs- und Überwachungssysteme für Eindringlinge und Anomalien sowie Zugriffskontrollen für seine Mitarbeitenden.
5. Wenn CMC einen Auftragsverarbeiter für personenbezogene Daten (z. B. eine unabhängige Person, ein Unternehmen oder ein unterstützendes Unternehmen) beauftragt, wird eine Vereinbarung zur Auftragsverarbeitung mit dem betreffenden Verarbeiter abgeschlossen. Darin wird festgelegt, dass der Verarbeiter ausschließlich auf Anweisung von CMC handelt und den gleichen Verpflichtungen in Bezug auf den Datenschutz unterliegt.
6. Im Falle einer Datenschutzverletzung, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Person darstellt, informiert CMC als Verantwortlicher die betroffene Person in klarer und verständlicher Sprache über die Art der Verletzung, die wahrscheinlichen Folgen und die ergriffenen oder geplanten Maßnahmen. Außerdem wird die betroffene Person über eine Kontaktstelle informiert, bei der weitere Informationen erhältlich sind.
7. In diesem Fall benachrichtigt CMC die Datenschutzbehörde unverzüglich und möglichst innerhalb von 72 Stunden, nachdem es von der Verletzung Kenntnis erlangt hat, es sei denn, es ist unwahrscheinlich, dass die Datenschutzverletzung ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt.
8. CMC verfolgt einen risikobasierten Ansatz. Dies bedeutet, dass Schutzmaßnahmen entsprechend dem Risikoniveau der Datenverarbeitungsaktivitäten ergriffen werden.

5. DATENSCHUTZFOLGENABSCHÄTZUNG

Wenn eine geplante Verarbeitung personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Einzelpersonen darstellt, unter Berücksichtigung von Art, Umfang, Kontext und Zweck der Verarbeitung, wird eine vorläufige Datenschutzfolgenabschätzung durchgeführt.

Die Verwendung neuer Technologien kann ein Hinweis auf ein solches hohes Risiko sein. Dies gilt insbesondere dann, wenn CMC verschiedene Verfahren entwickelt, wie beispielsweise Erhebungswege oder Systemverknüpfungen, die sich auf eine Personengruppe beziehen, zum Beispiel unterschiedliche Erhebungswege je nach Region, Alter der Beteiligten, vorherige Erfahrungen mit Inkassounternehmen oder ob die Personen bereits ein Insolvenzverfahren durchlaufen haben.

Eine Datenschutzfolgenabschätzung umfasst insbesondere:

• Eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und Verarbeitungszwecke, einschließlich gegebenenfalls der berechtigten Interessen des Verantwortlichen
• Eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge im Hinblick auf die Zwecke
• Eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen
• Die geplanten Maßnahmen zur Bewältigung dieser Risiken, einschließlich Schutzvorkehrungen, Sicherheitsmaßnahmen und Mechanismen, um den Schutz personenbezogener Daten sicherzustellen und die Einhaltung der Verordnung nachzuweisen, unter Berücksichtigung der Rechte und berechtigten Interessen der betroffenen Personen und anderer Beteiligter

Dieser Verhaltenskodex wird bei der Datenschutzfolgenabschätzung berücksichtigt.
 

6. WEITERGABE VON DATEN AN DRITTE

CMC gibt personenbezogene Daten nicht an Dritte weiter, es sei denn:

• Dies ist zur Erbringung der Dienstleistungen im Rahmen ihres Zwecks erforderlich (Entlastung der Akte). Für bestimmte Aspekte der Dienstleistungen von CMC arbeitet das Unternehmen mit Dritten zusammen. Dazu gehören externe IT-Dienstleister, die das Computersystem von CMC warten, Druckpartner, Mitarbeiter, die Hausbesuche durchführen, oder Rechtsanwälte und Gerichtsvollzieher, die CMC gegebenenfalls beauftragen kann. CMC stellt sicher, dass diese Dritten, genauso wie CMC, die Daten sicher und respektvoll verwalten.
• Eine gesetzliche Verpflichtung besteht. Ein häufiges Beispiel hierfür ist die Beschlagnahmung von Dokumenten durch staatliche Prüfer, die in Verbindung mit Ermittlungen gemäß den gesetzlichen Vorschriften dazu befugt sind.
• CMC hat die erforderliche Erlaubnis erhalten. Ein häufig vorkommender Fall betrifft Anwälte der beteiligten Personen, die rechtlich ein Mandat von der betroffenen Person haben.
• Für Forschungszwecke: In einigen Fällen verwendet CMC anonymisierte Daten für Forschungszwecke und, wenn zutreffend, für Berichterstattung an die Regierung oder Pressemitteilungen. Diese Daten können niemals einer bestimmten Person zugeordnet werden.                    

7. DIE RECHTE UND HANDLUNGSMÖGLICHKEITEN DER BETROFFENEN PERSONEN

Recht auf Einsicht und Kopie

Betroffene Personen haben das Recht, (kostenfrei) Einsicht in die sie betreffenden Daten zu erhalten. Folgendes kann abgerufen werden:

• Ob CMC personenbezogene Daten verarbeitet;
• Zu welchem Zweck CMC diese verarbeitet;
• Welche Kategorien personenbezogener Daten CMC verarbeitet;
• Mit welchen Kategorien von Dritten CMC personenbezogene Daten teilt;
• Welche Herkunft die verarbeiteten Daten haben;
• Welche Logik CMC bei der automatisierten Verarbeitung bestimmter personenbezogener Daten anwendet.

Das Recht auf Einsicht kann schriftlich per Brief an CMC ausgeübt werden. Um das Recht auf Einsichtnahme auszuüben und eine unbefugte Offenlegung personenbezogener Daten zu verhindern, muss CMC eine formelle Identifikation der betroffenen Person erhalten, auf die die angeforderten Daten zutreffen. Im Falle eines Mandats muss CMC außerdem eine formelle Identifikation der Person erhalten, die die Information anfordert, sowie ein unterschriebenes Mandat. CMC bittet daher, eine Kopie der Vorderseite des Personalausweises der antragstellenden Person der Anfrage beizufügen. CMC wird auf eine Anfrage der betroffenen Person schnellstmöglich und spätestens innerhalb von 4 Wochen reagieren. Dieser Zeitraum beginnt, wenn die Anfrage schriftlich bei CMC eingegangen ist und alle relevanten Informationen zur Erfüllung der Anfrage dem Verantwortlichen vorliegen. Der Verantwortliche stellt der betroffenen Person auch eine Kopie der verarbeiteten personenbezogenen Daten zur Verfügung. Falls Anlass zu der Annahme besteht, dass CMC die Anfrage nicht korrekt bearbeitet, kann die Geschäftsführung von CMC konsultiert werden, die die Einhaltung ihrer ethischen Richtlinien überwacht. Die Geschäftsführung prüft jede Beschwerde auf ihren Inhalt. Nach Eingang einer Beschwerde wird eine Empfangsbestätigung an die beschwerdeführende Person gesendet. Wenn sich herausstellt, dass die Beschwerde gerechtfertigt ist, wird CMC eine Lösung anbieten, die dem Beschwerdeführer mitgeteilt wird. Zur Vollständigkeit informiert CMC die betroffene Person, dass sie im Falle einer Nichtbeantwortung der Anfrage oder einer nicht den Erwartungen entsprechenden Antwort immer das Recht hat, eine Beschwerde bei der Datenschutzbehörde einzureichen, die dann eingreifen wird.

Recht auf Berichtigung, Löschung und das Recht, nicht ausschließlich auf Basis automatisierter Verarbeitung bewertet zu werden

Betroffene Personen haben das Recht, unvollständige, fehlerhafte, unangemessene oder veraltete personenbezogene Daten zu berichtigen oder zu löschen. CMC kann hierzu direkt kontaktiert werden. CMC wird diese Informationen dann anpassen oder entfernen, wenn die Anfrage korrekt ist. CMC wird die Aktualisierung der Daten der betroffenen Personen überwachen, damit diese stets aktuell und korrekt bleiben. Um die Daten auf dem neuesten Stand zu halten, bitten wir die betroffenen Personen, Änderungen wie einen Umzug oder eine Änderung der E-Mail-Adresse an CMC zu melden. Dies betrifft oft Informationen, die bereits im zugrunde liegenden Vertrag enthalten sind. Schließlich hat die betroffene Person grundsätzlich das Recht, nicht einer Entscheidung unterworfen zu werden, die ausschließlich auf automatisierter Verarbeitung beruht und die rechtliche Folgen für sie hat oder sie erheblich beeinträchtigt.    

8. VERZEICHNIS DER VERARBEITUNGSTÄTIGKEITEN

CMC führt ein Verzeichnis aller Verarbeitungstätigkeiten. Dieses Verzeichnis umfasst: Welche Daten verarbeitet werden, zu welchem Zweck diese Daten verarbeitet werden, wer die Empfänger der Daten sind, wo diese gespeichert werden, wie sie geschützt werden und wie lange sie aufbewahrt werden.

9. SPEICHERDAUER DER PERSONENBEZOGENEN DATEN

Die personenbezogenen Daten werden nur im Umfang und so lange gespeichert, wie es für den Zweck erforderlich ist, zu dem sie erhoben wurden (Einziehung unbezahlter Forderungen). Daten werden mindestens für die geltende Verjährungsfrist aufbewahrt, jedoch nicht länger als 20 Jahre nach dem Ende der Subrogation oder des Mandats, im Falle einer Unterbrechung der Verjährungsfrist oder etwaiger weiterer Haftungen. Die betroffenen Personen haben unter Berücksichtigung des oben genannten Absatzes das Recht, Daten zu löschen, wenn die Aufbewahrung der Daten für den Zweck der Verarbeitung nicht mehr erforderlich ist, die Aufbewahrung unrechtmäßig ist oder dies aufgrund einer gesetzlichen Verpflichtung geschehen muss. Diese archivierten Daten sind während des letztgenannten Aufbewahrungszeitraums nur in begrenztem Umfang zugänglich.                   

10. WEBSITES

Die Websites von CMC (cmcww.com, trustitsoftware.com, debiteurentool.be und verwandte) können besucht werden, ohne dass personenbezogene Daten offenbart werden. Falls betroffene Personen mit dem Status ihres Aktenverfahrens interagieren und sogar Zahlungseinrichtungen vorschlagen, geschieht dies ausschließlich über individuell zugewiesene sichere Codes.                   

11. KONTAKT MIT CMC

Der Kontakt mit CMC kann schriftlich, telefonisch, elektronisch oder über die jeweiligen Websites erfolgen. Das Recht auf Einsicht in die Daten der betroffenen Person sowie Anfragen zur Berichtigung oder Löschung müssen schriftlich gemäß Punkt 7 gestellt werden.     

12. ÜBERPRÜFUNGEN UND ÄNDERUNGEN

Die personenbezogenen Daten, die CMC über diese verschiedenen Kanäle erhebt (zum Beispiel durch schriftliche oder telefonische Antworten der betroffenen Person, durch Hausbesuche), werden in ihren Akten erfasst. Betroffene können jederzeit die neueste Version bei CMC anfordern. Im Falle von Widersprüchen hat dieser Verhaltenskodex Vorrang vor älteren Verhaltenskodizes.