DATENSCHUTZPOLITIK

Dokumentenbezeichnung: ZOP 1.0
Version: 1
Veröffentlichungsdatum:   01. 07. 2023.
Datum der nächsten Überprüfung:    bei Bedarf
Dokumenteninhaber: Datenschutzbeauftragter der Organisation
ETERNIUM d.o.o., Ružići 25/i, 51213 Jurdani

EINFÜHRUNG
Die Organisation  ETERNIUM d.o.o.   respektiert die Privatsphäre ihrer Nutzer, Geschäftspartner, Klienten und Mitarbeiter und basiert ihr Geschäft  auf gegenseitigem Vertrauen und Transparenz. Ein wichtiger Faktor beim Aufbau von Vertrauen ist  der Schutz personenbezogener Daten. Eine der besten Praktiken zum Schutz personenbezogener Daten ist in der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.4.2016 (im Folgenden Verordnung) definiert. Die Verordnung definiert die Rechte der Einzelpersonen, d.h. der Dateninhaber, und entsprechend auch die Pflichten der Organisation ETERNIUM d.o.o.  als Verantwortlicher für die Verarbeitung personenbezogener Daten und als Auftragsverarbeiter personenbezogener Daten.

Die Datenschutzverordnung von 2016 (im Folgenden Verordnung) ersetzt die Richtlinie über den Schutz personenbezogener Daten  95/46/EG aus dem Jahr 1995 und substituiert die Gesetze einzelner Mitgliedstaaten, die gemäß der genannten Richtlinie erstellt wurden. Der Hauptzweck der Verabschiedung der Verordnung ist der Schutz der Rechte und Freiheiten  natürlicher Personen sowie die Einschränkung der Verarbeitung personenbezogener Daten von Einzelpersonen ohne deren Wissen. Sie beschreibt die Methoden, wie Organisationen, einschließlich der Organisation ETERNIUM d.o.o.,  personenbezogene Daten erheben, verarbeiten und speichern müssen. Die in der Verordnung festgelegten Regeln müssen unabhängig davon angewendet werden, ob die Daten elektronisch, auf Papier oder auf anderen Medien erfasst und gespeichert werden. Um das Gesetz einzuhalten, muss die Organisation ETERNIUM d.o.o.  Daten fair erheben und verwenden sowie sicher speichern, wobei diese nicht illegal offengelegt werden dürfen.

Die Verordnung gilt für alle, teilweise oder vollständig automatisierten Verfahren zur Verarbeitung personenbezogener Daten sowie für  die Verarbeitung anderer personenbezogener Daten (z.B. in Papierform), die Teil der  Organisation sind.
Im territorialen Sinne gilt die Verordnung für alle Verantwortlichen und Auftragsverarbeiter personenbezogener Daten, die in der Europäischen Union (EU) gegründet wurden und personenbezogene Daten für die Zwecke des Verantwortlichen und/oder Auftragsverarbeiters verarbeiten. Darüber hinaus gilt die Verordnung  auch für alle Verantwortlichen außerhalb der EU, deren Verarbeitung personenbezogener Daten das Anbieten von Waren und Dienstleistungen und/oder das Verfolgen des Verhaltens der Inhaber personenbezogener Daten innerhalb der Grenzen der EU ermöglicht.
Diese Richtlinie regelt die Prinzipien und Regeln, an die sich die Organisation ETERNIUM d.o.o.  und alle Mitarbeiter, Vertragspartner und andere natürliche und juristische Personen, die im Namen der Organisation ETERNIUM d.o.o. tätig sind, bei der Erhebung, Verarbeitung und Speicherung aller Gruppen personenbezogener Daten halten müssen, um die hochgesteckten Standards einzuhalten, die mit den bestehenden gesetzlichen Bestimmungen übereinstimmen.

Gründe für das Bestehen dieser Richtlinie

• Die Einhaltung der durch diese Richtlinie definierten Standards gewährleistet die Konformität der Erhebung, Verarbeitung und Speicherung personenbezogener Daten mit den geltenden
• Gesetzen und Verordnungen
• Die Rechte der Mitarbeiter, Dienstnutzer und anderen Partner der Organisation ETERNIUM d.o.o. werden geschützt
• Die Methoden zur Speicherung, Verarbeitung und Aufbewahrung von Daten der Einzelpersonen werden transparent definiert
• Die Richtlinie schützt vor dem Risiko der illegalen Verbreitung vertraulicher Daten
   

Schlüsselbegriffe

Hauptsitz – Der Hauptsitz des Verantwortlichen für die Verarbeitung personenbezogener Daten in der EU ist der Ort, an dem der Verantwortliche für die Verarbeitung personenbezogener Daten wesentliche Entscheidungen über den Zweck und die Art der Verarbeitung personenbezogener Daten trifft. Der Hauptsitz des Auftragsverarbeiters in der EU ist dessen administrativer Sitz. Wenn der Verantwortliche für die Verarbeitung personenbezogener Daten außerhalb der Grenzen der EU registriert ist, muss er einen Vertreter innerhalb der Grenzen der EU benennen. Seine Befugnisse und Zuständigkeiten müssen es ihm ermöglichen, im Namen des Verantwortlichen für die Verarbeitung personenbezogener Daten zu handeln, einschließlich aller Arten der Kommunikation mit den Aufsichtsbehörden.
Personenbezogene Daten – Alle Daten, die sich auf eine identifizierte oder identifizierbare Person beziehen (Betroffene); eine identifizierbare Person ist eine Person, die direkt oder indirekt identifiziert werden kann, insbesondere durch die Verwendung von Identifikatoren wie Name, Identifikationsnummer, Standortdaten, Online-Identifikator oder durch einen oder mehrere Faktoren, die für die physische, physiologische, genetische, mentale, wirtschaftliche, kulturelle oder soziale Identität dieser Person spezifisch sind.
Besondere Kategorien personenbezogener Daten – Personenbezogene Daten, die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder Gewerkschaftszugehörigkeit offenbaren, genetische Daten, biometrische Daten, die zum Zweck der eindeutigen Identifizierung einer natürlichen Person verarbeitet werden, Gesundheitsdaten oder Daten, die sich auf das Sexualleben oder die sexuelle Orientierung einer natürlichen Person beziehen.
Verantwortlicher für die Verarbeitung – Eine natürliche oder juristische Person, eine öffentliche Behörde, eine Agentur oder eine andere Stelle, die allein oder gemeinsam mit anderen die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt. Wenn die Zwecke und Mittel der Verarbeitung durch das EU-Recht oder das Recht des Mitgliedstaates festgelegt sind, können die Kriterien für die Benennung des Verantwortlichen für die Verarbeitung personenbezogener Daten durch das EU-Recht oder durch ein spezielles Gesetz des Mitgliedstaates besonders definiert werden.
Auftragsverarbeiter – Eine natürliche oder juristische Person, eine öffentliche Behörde, eine Agentur oder eine andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen für die Verarbeitung verarbeitet.
Dateninhaber – Jede lebende Person, deren Daten, die von einer Organisation gehalten werden, Gegenstand einer Art von Verarbeitung sind.
Verarbeitung – Jeder Vorgang oder jede Reihe von Vorgängen, die an personenbezogenen Daten oder an einer Reihe von personenbezogenen Daten durchgeführt werden, unabhängig davon, ob sie automatisiert sind, wie das Erheben, Aufzeichnen, Organisieren, Strukturieren, Speichern, Anpassen oder Verändern, Offenlegen oder anderweitiges Bereitstellen, Löschen, Vernichten usw.
Profiling – Jede Form der automatisierten Verarbeitung personenbezogener Daten, die aus der Verwendung personenbezogener Daten besteht, um bestimmte persönliche Aspekte zu bewerten, die sich auf eine Person beziehen, insbesondere zur Analyse oder Vorhersage von Aspekten in Bezug auf die Arbeitsleistung, den wirtschaftlichen Status, die Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Standort oder Bewegungen dieser Person.
Verletzung personenbezogener Daten – Eine Sicherheitsverletzung, die zu einer unbeabsichtigten oder unrechtmäßigen Zerstörung, dem Verlust, der Veränderung, der unbefugten Offenlegung oder dem unbefugten Zugriff auf personenbezogene Daten führt, die übermittelt, gespeichert oder auf andere Weise verarbeitet wurden.
Einwilligung – Im Kontext der Verordnung und dieser Richtlinie stellt die Einwilligung jede freiwillig gegebene, spezifische, informierte und unmissverständliche Erklärung dar, durch die die betroffene Person, der Inhaber der personenbezogenen Daten, ihre Zustimmung zur Verarbeitung ihrer personenbezogenen Daten oder der personenbezogenen Daten der von ihr vertretenen Personen gibt.
Kind – Die Verordnung definiert ein Kind als jede Person unter 16 Jahren. Je nach den Gesetzen der einzelnen Mitgliedstaaten kann die Altersgrenze, die den Status eines Kindes sichert, mindestens 16 Jahre betragen. Die Verarbeitung personenbezogener Daten eines Kindes ist nur zulässig, wenn die Einwilligung der Eltern oder des Vormunds eingeholt wurde. Der Verantwortliche für die Verarbeitung personenbezogener Daten muss angemessene Anstrengungen unternehmen, um zu überprüfen, dass die Einwilligung von der Person erteilt wird, die die elterliche Verantwortung für das Kind trägt.
Dritte – Eine natürliche oder juristische Person, eine öffentliche Behörde, eine Agentur oder eine andere Stelle, die nicht die betroffene Person, der Verantwortliche für die Verarbeitung, der Auftragsverarbeiter oder Personen sind, die zur Verarbeitung personenbezogener Daten unter der direkten Aufsicht des Verantwortlichen für die Verarbeitung oder des Auftragsverarbeiters befugt sind.
Speichersystem – Jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich ist, unabhängig davon, ob sie zentralisiert, dezentralisiert oder funktional oder geografisch verteilt ist.
 

Risiken
 

Diese Richtlinie hilft, sich vor realen Sicherheitsrisiken im Zusammenhang mit dem Schutz personenbezogener Daten zu schützen, einschließlich

a.  Verletzung der Vertraulichkeit (Daten werden unangemessen verarbeitet)
b. Unfähigkeit, die Art der Datenverarbeitung zu wählen (alle Personen sollten frei wählen können, wie die Organisation ETERNIUM d.o.o. die sie betreffenden Daten verwendet)
c. Verletzung des Rufs des Unternehmens (Rufverlust im Falle eines erfolgreichen Hackerangriffs)
 

ERKLÄRUNG ZUR RICHTLINIE

Geltungsbereich der Richtlinie

Die in dieser Richtlinie beschriebenen Regeln gelten für

• Die Organisation ETERNIUM d.o.o.
• Alle Mitarbeiter der Organisation ETERNIUM d.o.o.
• Alle Partner, Kunden, Vertragspartner und andere natürliche und juristische Personen, die im Namen der Organisation ETERNIUM d.o.o. tätig sind.
   

Die Regeln gelten für alle Daten, die die Organisation ETERNIUM d.o.o. in Bezug auf identifizierbare Personen besitzt. Dies kann Folgendes umfassen:

• Namen von Personen
• Adressen
• E-Mail-Adressen
• Telefonnummern
• Gehaltsdaten
• Daten über die Anzahl der Kinder
• Daten über die Anzahl der unterhaltsberechtigten Angehörigen  und alle anderen Daten  die sich auf die Person beziehen

Erklärung

Die Organisation ETERNIUM d.o.o., Ružići 25/i, 51213 Jurdani, alle Mitarbeiter der Organisation ETERNIUM d.o.o.  und natürliche sowie juristische Personen, die für und im Namen der Organisation ETERNIUM d.o.o. arbeiten, verpflichten sich zur Einhaltung aller relevanten EU-Gesetze und der Gesetze der Mitgliedstaaten, die sich auf personenbezogene Daten sowie auf die Rechte und Freiheiten von Einzelpersonen beziehen, die aus den genannten Gesetzen hervorgehen, deren Informationen gemäß der Datenschutz-Grundverordnung gesammelt und verarbeitet werden.
Die Einhaltung der Verordnung wird durch diese Richtlinie,  andere relevante Richtlinien sowie damit verbundene Verfahren und Abläufe beschrieben.
Die Verordnung und diese Richtlinie beziehen sich auf alle Aktivitäten, die die Verarbeitung personenbezogener Daten umfassen, einschließlich Daten über Nutzer von Waren und Dienstleistungen, Kunden, Mitarbeiter, Lieferanten und andere Partner sowie alle anderen personenbezogenen Daten, die die Organisation ETERNIUM d.o.o. aus beliebigen Quellen verarbeitet.
Die Organisation ETERNIUM d.o.o. hat Standards definiert, die das Schutzniveau der Privatsphäre von Einzelpersonen und deren personenbezogenen Daten beschreiben und die mit der EU-Verordnung zum Schutz personenbezogener Daten übereinstimmen.
Der Datenschutzbeauftragte ist verantwortlich für die jährliche Überprüfung  der Aufzeichnungen zur Verarbeitung personenbezogener Daten im Kontext von Änderungen in den Aktivitäten der Organisation ETERNIUM d.o.o.  und aller zusätzlichen Anforderungen, die durch die Datenschutz-Folgenabschätzung festgelegt werden. Diese Aufzeichnungen und die Datenschutz-Folgenabschätzung müssen auf Anfrage der Aufsichtsbehörde verfügbar sein.
Die in dieser Richtlinie beschriebenen Regeln gelten für alle Mitarbeiter der Organisation ETERNIUM d.o.o.  und Dritte, natürliche oder juristische Personen, die für oder im Auftrag der Organisation ETERNIUM d.o.o. arbeiten, wie externe Mitarbeiter, Vertragspartner usw. Jede Verletzung der Verordnung oder der in dieser Richtlinie beschriebenen Regeln wird gemäß der Disziplinarpolitik der Organisation ETERNIUM d.o.o. behandelt  und kann eine Straftat darstellen, die den zuständigen Behörden gemeldet wird. Die Disziplinarpolitik der Organisation im Falle einer Verletzung der Verordnung und/oder der in dieser Richtlinie beschriebenen Regeln umfasst die fristlose Kündigung des Arbeitsverhältnisses, wenn die Verletzung von einem Mitarbeiter der Organisation ETERNIUM d.o.o. begangen wird, bzw. die Beendigung der Geschäftsbeziehung, wenn die Verletzung von natürlichen oder juristischen Personen begangen wird, die für oder im Auftrag der Organisation ETERNIUM d.o.o. arbeiten, wie externe Mitarbeiter, Vertragspartner usw. Ebenso müssen etwaige Geldstrafen, die aus Verstößen gegen die Verordnung resultieren und eine direkte Folge des verantwortungslosen Verhaltens von Mitarbeitern der Organisation ETERNIUM d.o.o. oder deren externen Mitarbeitern, Vertragspartnern usw. sind, von der Organisation ETERNIUM d.o.o. ersetzt werden.
Es wird erwartet, dass Partner oder Dritte, die im Namen, auf Anweisung oder für die Organisation ETERNIUM d.o.o. arbeiten und die möglicherweise Zugang zu personenbezogenen Daten haben, die in dieser Richtlinie beschriebenen Regeln lesen, verstehen und einhalten. Keine dritte Partei darf auf personenbezogene Daten zugreifen, die von der Organisation ETERNIUM d.o.o. verarbeitet werden,  ohne zuvor einen Vertraulichkeitsvertrag abgeschlossen zu haben, der die Verpflichtungen der Dritten definiert, gemäß den Verpflichtungen, die die Organisation ETERNIUM d.o.o. im Hinblick auf den Schutz personenbezogener Daten übernommen hat und denen sie sich verpflichtet hat. Der Vertraulichkeitsvertrag gibt den verantwortlichen Personen der Organisation ETERNIUM d.o.o. das Recht, die Einhaltung des Vertraulichkeitsvertrags zu überprüfen.
Die Organisation ETERNIUM d.o.o.  wird als Auftragsverarbeiter die Daten im Auftrag des Verantwortlichen oder des Auftraggebers ausschließlich gemäß den Regeln verarbeiten, die die Verordnung, das Gesetz des jeweiligen Mitgliedstaates und diese Richtlinie definieren. Die Organisation ETERNIUM d.o.o. wird jedem Verantwortlichen, dessen personenbezogene Daten sie verarbeitet, die Überprüfung der Einhaltung des Vertraulichkeitsvertrags ermöglichen.

VERANTWORTUNGEN UND ROLLEN GEMÄSS DER VERORDNUNG

Verantwortlicher und Auftragsverarbeiter

Die Haupttätigkeit der Organisation ETERNIUM d.o.o.  ist die Vermittlung im Immobiliengeschäft, und die Vermittlungsdienste werden vertraglichen Kunden (Auftraggebern) angeboten. Mit dem Abschluss des Vermittlungsvertrags übernimmt die Organisation ETERNIUM d.o.o. die Rolle des  Auftragsverarbeiters. Mit der Übernahme der Rolle des Auftragsverarbeiters übernimmt die Organisation ETERNIUM d.o.o.  alle Verpflichtungen und Verantwortlichkeiten des Auftragsverarbeiters gegenüber dem Auftraggeber (Verantwortlichen), die in der Datenschutzverordnung, dem Gesetz des Mitgliedstaates und den in dieser Richtlinie definierten Verpflichtungen festgelegt sind, und verpflichtet sich, jede Verarbeitung im Zusammenhang mit dem Geschäft des Auftraggebers ausschließlich nach dessen Anweisung durchzuführen, wie im Vertrag über die geschäftliche Zusammenarbeit definiert.
Zusätzlich zur Funktion des Auftragsverarbeiters ist die Organisation ETERNIUM d.o.o.  auch  Verantwortlicher für die Verarbeitung personenbezogener Daten, wie in der Verordnung definiert. Das Management und andere Personen, denen eine leitende oder überwachende Funktion in der Organisation  ETERNIUM d.o.o. zugewiesen wurde, sind verantwortlich für  die Entwicklung und Förderung guter Praktiken im Informationsmanagement in der Organisation ETERNIUM d.o.o.

Beauftragter für den Datenschutz

Um die Sicherheit der personenbezogenen  Daten, die sie verarbeitet, weiter zu stärken, hat die Organisation ETERNIUM d.o.o. einen Datenschutzbeauftragten gemäß den Anforderungen ernannt, die in der Verordnung definiert sind.
Die Aufgaben des Datenschutzbeauftragten sind im Dokument mit dem Titel Verpflichtungen des Datenschutzbeauftragten definiert, während die Verantwortlichkeiten in einem separaten Dokument mit dem Titel  Verantwortlichkeiten der Organisation ETERNIUM d.o.o. im Zusammenhang mit dem Schutz personenbezogener Daten definiert sind.  Der Datenschutzbeauftragte sollte der Geschäftsführung der Organisation ETERNIUM d.o.o.  verantwortlich sein für die Gewährleistung der Einhaltung der gesetzlichen Vorschriften zum Schutz personenbezogener Daten. 
Der Datenschutzbeauftragte, den die Geschäftsführung der Organisation ETERNIUM d.o.o. als angemessen qualifiziert erachtet, wurde ernannt, um die Verantwortung für die tägliche Einhaltung der Organisation ETERNIUM d.o.o.  mit dieser Richtlinie, insbesondere mit der Verordnung, im Bereich der Verarbeitung personenbezogener Daten, die innerhalb der Organisation ETERNIUM d.o.o. durchgeführt wird, zu übernehmen.
Der Datenschutzbeauftragte hat besondere Verantwortlichkeiten in Bezug auf bestimmte Verfahren, wie z.B.  das Verfahren zur Anfrage des Betroffenen auf Zugang zu personenbezogenen Daten. Er ist auch verpflichtet, alle relevanten Informationen und Antworten auf Fragen der Mitarbeiter der Organisation ETERNIUM d.o.o. in Bezug auf diese Richtlinie und die Verordnung bereitzustellen.
Die Einhaltung der Gesetze zum Schutz personenbezogener Daten ist die Verantwortung aller Mitarbeiter der Organisation ETERNIUM d.o.o.  sowie der natürlichen und juristischen Personen, die für und im Namen der Organisation ETERNIUM d.o.o. arbeiten und personenbezogene Daten verarbeiten.
Die Mitarbeiter der Organisation ETERNIUM d.o.o. sind verantwortlich dafür, genaue und aktuelle Daten über sich selbst sicherzustellen und sind verpflichtet, jede Änderung zu melden, damit die Daten über die Mitarbeiter genau und aktuell sind.

DATENSCHUTZPRINZIPIEN DER ORGANISATION ETERNIUM d.o.o.

Jede Verarbeitung personenbezogener Daten muss gemäß den Datenschutzprinzipien mindestens so erfolgen, wie in Artikel 5 der Verordnung angegeben. Die Regeln und Verfahren, die die Verarbeitung personenbezogener Daten in der Organisation ETERNIUM d.o.o. definieren, wurden erstellt, um die Einhaltung der Prinzipien der Verordnung und dieser Richtlinie sicherzustellen.

Die Organisation ETERNIUM d.o.o. als Auftragsverarbeiter personenbezogener Daten

Die Organisation ETERNIUM d.o.o. übernimmt gemäß den vertraglichen Verpflichtungen gegenüber dem Auftraggeber die Rolle des Auftragsverarbeiters. Der Auftragsverarbeiter und jede Person, die unter der Aufsicht des Auftragsverarbeiters handelt und Zugang zu personenbezogenen Daten hat, wird diese Daten nicht verarbeiten, es sei denn, der Auftraggeber fordert dies an, es sei denn, das Unionsrecht oder das Recht des Mitgliedstaates verlangt es. Mit dem Abschluss des Vertrages hat die Organisation ETERNIUM d.o.o. die Verpflichtungen als Auftragsverarbeiter übernommen, die wie folgt lauten:
1.1.1.   Die Organisation ETERNIUM d.o.o. garantiert mit dieser Richtlinie und anderen damit verbundenen Richtlinien die Umsetzung geeigneter technischer und organisatorischer Maßnahmen, sodass die Verarbeitung der überlassenen Daten den Anforderungen der Verordnung entspricht und der Schutz der Rechte der betroffenen Personen gewährleistet ist.
1.1.2.   Die Organisation ETERNIUM d.o.o. wird keinen anderen Auftragsverarbeiter ohne vorherige spezielle oder allgemeine schriftliche Genehmigung des Auftraggebers beauftragen. Im Falle einer allgemeinen schriftlichen Genehmigung wird die Organisation ETERNIUM d.o.o. den Auftraggeber über alle geplanten Änderungen im Zusammenhang mit der Hinzufügung oder dem Austausch anderer Auftragsverarbeiter informieren, um dem Auftraggeber die Möglichkeit zu geben, Einwände gegen solche Änderungen zu erheben.
1.1.3.   Die Verarbeitung, die von der Organisation ETERNIUM d.o.o. durchgeführt wird, ist durch einen Vertrag oder einen anderen rechtlichen Akt gemäß dem Unionsrecht oder dem Recht des Mitgliedstaates geregelt. Durch den Vertrag oder einen anderen rechtlichen Akt verpflichtet sich die Organisation ETERNIUM d.o.o. gegenüber dem Auftraggeber, der den Gegenstand und die Dauer der Verarbeitung, die Art und den Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorie der betroffenen Personen sowie die Verpflichtungen und Rechte des Auftraggebers angibt. In diesem Vertrag oder anderen rechtlichen Akt wird insbesondere festgelegt, dass die Organisation ETERNIUM d.o.o.:
personenbezogene Daten nur gemäß den dokumentierten Anweisungen des Auftraggebers verarbeitet, unter anderem in Bezug auf die Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen, es sei denn, das Unionsrecht oder das Recht des Mitgliedstaates, dem der Auftragsverarbeiter unterliegt, verlangt dies; in diesem Fall wird die Organisation ETERNIUM d.o.o. den Auftraggeber über diese rechtliche Anforderung vor der Verarbeitung informieren, es sei denn, dieses Recht verbietet eine solche Mitteilung aus wichtigen Gründen des öffentlichen Interesses;
sicherstellt, dass die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder gesetzlichen Verpflichtungen zur Vertraulichkeit unterliegen;
alle erforderlichen Maßnahmen gemäß Artikel 32 der Verordnung ergreift;
die Bedingungen aus den Absätzen 2 und 4 des Artikels 28 der Verordnung für die Beauftragung eines anderen Auftragsverarbeiters einhält;
unter Berücksichtigung der Art der Verarbeitung wird die Organisation ETERNIUM d.o.o. den Auftraggeber durch geeignete technische und organisatorische Maßnahmen, soweit möglich, unterstützen, um die Verpflichtung des Auftraggebers zur Beantwortung von Anfragen zur Ausübung der Rechte der betroffenen Personen, die in Kapitel III der Verordnung festgelegt sind, zu erfüllen;
dem Auftraggeber bei der Gewährleistung der Einhaltung der Verpflichtungen gemäß den Artikeln 32 bis 36 der Verordnung hilft, unter Berücksichtigung der Art der Verarbeitung und der Informationen, die der Organisation ETERNIUM d.o.o. zur Verfügung stehen;
nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Abschluss der Erbringung der mit der Verarbeitung verbundenen Dienstleistungen löscht oder an den Auftraggeber zurückgibt und vorhandene Kopien löscht, es sei denn, es besteht gemäß dem Unionsrecht oder dem Recht des Mitgliedstaates eine Verpflichtung zur Speicherung personenbezogener Daten;
dem Auftraggeber alle Informationen zur Verfügung stellt, die erforderlich sind, um die Einhaltung der Verpflichtungen gemäß Artikel 28 der Verordnung nachzuweisen und die Prüfungen, einschließlich Inspektionen, die vom Auftraggeber oder einem anderen vom Auftraggeber beauftragten Prüfer durchgeführt werden, zu ermöglichen und zu unterstützen;
in Bezug auf die vorhergehenden Punkte die Organisation ETERNIUM d.o.o. den Auftraggeber unverzüglich informiert, wenn sie der Meinung ist, dass eine bestimmte Anweisung gegen die Verordnung oder andere Bestimmungen der Union oder des Mitgliedstaates zum Datenschutz verstößt.
1.1.4.   Wenn die Organisation ETERNIUM d.o.o. einen anderen Auftragsverarbeiter zur Durchführung spezifischer Verarbeitungsaktivitäten im Auftrag des Auftraggebers beauftragt, werden die gleichen Verpflichtungen zum Datenschutz, wie sie im Vertrag oder einem anderen rechtlichen Akt zwischen der Organisation ETERNIUM d.o.o. und dem Auftraggeber aus dem vorhergehenden Punkt aufgeführt sind, diesem anderen Auftragsverarbeiter durch einen Vertrag oder einen anderen rechtlichen Akt gemäß dem Unionsrecht oder dem Recht des Mitgliedstaates auferlegt, insbesondere die Verpflichtung, angemessene Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen zu bieten, sodass die Verarbeitung den Anforderungen der Verordnung entspricht. Wenn dieser andere Auftragsverarbeiter die Verpflichtungen zum Datenschutz nicht erfüllt, bleibt die Organisation ETERNIUM d.o.o. dem Auftraggeber gegenüber voll verantwortlich für die Erfüllung der Verpflichtungen dieses anderen Auftragsverarbeiters.
1.1.5.   Der Vertrag oder der andere rechtliche Akt aus den Punkten 3 und 4 dieses Absatzes muss in schriftlicher Form, einschließlich elektronischer Form, erfolgen.
1.1.6.   Die Organisation ETERNIUM d.o.o. und der Vertreter der Organisation ETERNIUM d.o.o. führen ein Verzeichnis aller Kategorien von Verarbeitungsaktivitäten, die im Auftrag des Verantwortlichen durchgeführt werden, das Folgendes enthält:
den Namen und die Kontaktdaten eines oder mehrerer Auftragsverarbeiter und jedes Verantwortlichen, in dessen Namen der Auftragsverarbeiter handelt, sowie gegebenenfalls den Vertreter des Verantwortlichen oder des Auftragsverarbeiters und den Datenschutzbeauftragten;
die Kategorien der Verarbeitung, die im Auftrag jedes Verantwortlichen durchgeführt werden;
sofern zutreffend, die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, einschließlich der Identifizierung dieses Drittlandes oder dieser internationalen Organisation und, im Falle einer Übermittlung gemäß Artikel 49 Absatz 1 Buchstabe (h), die Dokumentation über die entsprechenden Schutzmaßnahmen; soweit möglich, eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen gemäß Artikel 32 Absatz 1.
1.1.7.   Die Organisation ETERNIUM d.o.o. wird die Rechtmäßigkeit der Verarbeitung personenbezogener Daten, die vom Auftraggeber oder einem anderen Verantwortlichen angeordnet wird, nicht überprüfen und feststellen. Eine solche Verarbeitung wird auch nicht eingeschränkt, jedoch wird sie den Auftraggeber oder einen anderen Verantwortlichen, dessen Weisung sie folgt, über alle festgestellten Unregelmäßigkeiten informieren. Dennoch, wenn die Organisation ETERNIUM d.o.o. der Ansicht ist, dass die angeforderte Verarbeitung in irgendeiner Weise ihre Integrität und Öffentlichkeitsarbeit sowie letztlich die finanzielle Stabilität der Organisation ETERNIUM d.o.o. negativ beeinflussen könnte, wird sie sich der angeforderten Verarbeitung widersetzen. Über mögliche negative Folgen für die Organisation und für den Auftraggeber oder einen anderen Verantwortlichen wird sie den Auftraggeber oder einen anderen Verantwortlichen informieren.
 

Organisation ETERNIUM GmbH als Verantwortlicher für die Verarbeitung personenbezogener Daten
 

Personenbezogene Daten dürfen nur gesammelt werden, wenn der Zweck der Datensammlung spezifisch, explizit und legitim ist.
Daten, die nur für einen bestimmten Zweck erhoben werden, dürfen nicht für einen anderen Zweck verwendet werden. Der Datenschutzprozess der Organisation ETERNIUM GmbH ist im Dokument Datenschutzverfahren beschrieben.
Personenbezogene Daten müssen:
rechtmäßig, fair und transparent in Bezug auf die betroffene Person verarbeitet werden („Rechtmäßigkeit, Fairness und Transparenz”);
für spezifische, ausdrückliche und rechtmäßige Zwecke erhoben werden und dürfen nicht in einer Weise weiterverarbeitet werden, die nicht mit diesen Zwecken übereinstimmt; eine weitere Verarbeitung zu Archivierungszwecken im öffentlichen Interesse, zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken, gemäß Artikel 89 Absatz 1, wird nicht als unvereinbar mit den ursprünglichen Zwecken angesehen („Zweckbindung”);
angemessen, relevant und auf das notwendige Maß in Bezug auf die Zwecke, für die sie verarbeitet werden, beschränkt sein („Datenminimierung”);
genau und, wenn erforderlich, aktuell sein; es müssen alle angemessenen Maßnahmen ergriffen werden, um sicherzustellen, dass unrichtige personenbezogene Daten, unter Berücksichtigung der Zwecke, für die sie verarbeitet werden, unverzüglich gelöscht oder berichtigt werden („Richtigkeit”);
Die Verarbeitung gemäß dem geltenden Recht setzt die Identifizierung der rechtlichen Grundlage vor der eigentlichen Verarbeitung personenbezogener Daten voraus. Die Verarbeitung ist nur rechtmäßig, wenn und soweit mindestens eines der folgenden Kriterien erfüllt ist:
die betroffene Person hat ihre Einwilligung zur Verarbeitung ihrer personenbezogenen Daten für einen oder mehrere spezifische Zwecke gegeben;
die Verarbeitung ist erforderlich zur Erfüllung eines Vertrags, an dem die betroffene Person beteiligt ist, oder zur Durchführung von Maßnahmen auf Anfrage der betroffenen Person vor Abschluss eines Vertrags;
die Verarbeitung ist erforderlich zur Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen;
die Verarbeitung ist erforderlich zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person;
die Verarbeitung ist erforderlich zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt, oder bei der Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde;
die Verarbeitung ist erforderlich zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten, es sei denn, die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere wenn die betroffene Person ein Kind ist.
Eine faire Verarbeitung setzt voraus, dass der Verantwortliche für die Verarbeitung personenbezogener Daten der betroffenen Person alle erforderlichen Informationen zur Verfügung gestellt hat. Dies gilt insbesondere für Situationen, in denen die Daten direkt von der betroffenen Person erhoben werden.

Transparente Verarbeitung bedeutet, dass alle relevanten Informationen der betroffenen Person bereitgestellt werden, wie in den Artikeln 12, 13 und 14 der Verordnung beschrieben. Die Informationen müssen in verständlicher Form bereitgestellt werden, unter Verwendung eines klaren und verständlichen Textes.

Mit allen Daten, die die Organisation ETERNIUM GmbH verarbeitet, wird gemäß dem im Dokument Datenschutzverfahren und der Datenschutzerklärung beschriebenen Verfahren umgegangen.

Die minimale Menge an Informationen, die der betroffenen Person bereitgestellt werden müssen, sind wie folgt:
Identität und Kontaktdaten des Verantwortlichen für die Verarbeitung personenbezogener Daten
Kontaktdaten des Datenschutzbeauftragten
Zwecke der Verarbeitung, für die personenbezogene Daten verwendet werden, sowie die rechtliche Grundlage für die Verarbeitung
Der Zeitraum, in dem personenbezogene Daten gespeichert werden, oder, wenn dies nicht möglich ist, die Kriterien, die zur Festlegung dieses Zeitraums verwendet werden
Das Bestehen des Rechts der betroffenen Person, vom Verantwortlichen Zugang zu den personenbezogenen Daten zu verlangen und die Berichtigung oder Löschung personenbezogener Daten oder die Einschränkung der Verarbeitung zu verlangen, die sich auf die betroffene Person beziehen, oder das Recht, Widerspruch gegen die Verarbeitung solcher Daten einzulegen sowie das Recht auf Datenübertragbarkeit
Das Bestehen des Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der Verarbeitung, die auf der Einwilligung vor ihrem Widerruf beruhte, berührt wird.
Das Recht, Beschwerde bei einer Aufsichtsbehörde einzureichen
Informationen darüber, ob die Bereitstellung personenbezogener Daten eine gesetzliche oder vertragliche Verpflichtung oder eine Voraussetzung für den Abschluss eines Vertrags ist und ob die betroffene Person verpflichtet ist, personenbezogene Daten bereitzustellen und welche möglichen Folgen es hat, wenn solche Daten nicht bereitgestellt werden.
Informationen über das Vorhandensein automatisierter Datenverarbeitung, einschließlich der Erstellung von Profilen, und, zumindest in diesen Fällen, sinnvolle Informationen darüber, welche Logik zugrunde liegt, sowie die Bedeutung und die voraussichtlichen Folgen einer solchen Verarbeitung für die betroffene Person.
Personenbezogene Daten müssen für den Zweck geeignet, relevant und auf das notwendige Maß beschränkt sein.

Gemäß den festgelegten Verpflichtungen ist es die Verantwortung des Datenschutzbeauftragten, sicherzustellen, dass die Organisation ETERNIUM d.o.o.  keine Daten erhebt, die nicht unbedingt erforderlich sind, um den Zweck zu erfüllen, für den sie erhoben wurden.  
Alle Formulare zur Erhebung personenbezogener Daten (elektronisch oder papierbasiert) müssen eine Erklärung zur fairen Verarbeitung oder einen Link zu einer von dem Datenschutzbeauftragten genehmigten Datenschutzerklärung enthalten.
Um die Angemessenheit, Relevanz und die Vermeidung übermäßiger Datenerhebung sicherzustellen, überprüft der Datenschutzbeauftragte jährlich alle Methoden zur Erhebung personenbezogener Daten.
Die personenbezogenen Daten müssen genau und aktuell sein, und ungenaue Daten müssen unverzüglich gelöscht werden.
Die von dem Verantwortlichen gespeicherten Daten  müssen regelmäßig aktualisiert werden. Sie dürfen nicht gespeichert werden, wenn sie nicht genau und aktuell sind.
Der Datenschutzbeauftragte muss sicherstellen, dass die Mitarbeiter der Organisation ETERNIUM d.o.o.  geschult werden, damit sie richtig geschult sind und die Bedeutung der Erhebung und Speicherung nur genauer Daten verstehen können.
Es liegt in der Verantwortung der Betroffenen, der Organisation ETERNIUM d.o.o.  genaue und aktuelle Daten bereitzustellen. Wenn es im Prozess der Erhebung personenbezogener Daten ein formelles Formular zur Datenerfassung gibt, muss dieses eine Erklärung enthalten, dass die darin angegebenen Daten zum Zeitpunkt der Ausfüllung des Formulars korrekt sind.
Die Mitarbeiter der Organisation ETERNIUM d.o.o. müssen die verantwortlichen Personen über alle Änderungen der Umstände informieren, um die Aktualisierung der personenbezogenen Daten zu ermöglichen. Es liegt in der Verantwortung der Organisation ETERNIUM d.o.o., jede Mitteilung über Änderungen der Umstände zu dokumentieren, die sich auf die genaue und aktuelle Aufzeichnung auswirken.
Es liegt in der Verantwortung des Datenschutzbeauftragten, geeignete Verfahren und Richtlinien sicherzustellen, um die Genauigkeit und Aktualität der personenbezogenen Daten zu gewährleisten, wobei die Menge der gesammelten Daten, die Geschwindigkeit, mit der sich die Datenmenge ändern kann, und andere relevante Faktoren zu berücksichtigen sind.
Mindestens einmal jährlich wird der Datenschutzbeauftragte die Fristen überprüfen, bis zu denen bestimmte personenbezogene Daten gespeichert werden dürfen. Daten, die nicht mehr gespeichert werden müssen, müssen gemäß dem definierten Verfahren für die sichere  Entsorgung von Speichermedien gelöscht, vernichtet oder anonymisiert werden.
Der Datenschutzbeauftragte ist verantwortlich für die Beantwortung von Anfragen der Betroffenen innerhalb von maximal 30 Tagen. Die Frist kann für komplexe Anfragen um weitere zwei Monate verlängert werden. Wenn die verantwortlichen Personen der Organisation ETERNIUM d.o.o.  beschließen, nicht auf die Anfrage der betroffenen Person zu antworten, muss der Datenschutzbeauftragte der betroffenen Person eine Begründung für das Nicht-Handeln liefern und sie über ihr Recht auf Beschwerde  bei der Aufsichtsbehörde und die Möglichkeit, rechtliche Schritte einzuleiten, informieren.
Die personenbezogenen Daten müssen in einer Form aufbewahrt werden, die den Eigentümer der Daten identifizieren kann, nur so lange, wie es erforderlich ist, um die erforderliche Verarbeitung durchzuführen, d.h. um den Zweck zu erreichen, für den die personenbezogenen Daten erhoben wurden.
Wenn personenbezogene Daten länger als den für ihre Verarbeitung erforderlichen Zeitraum oder nach Erfüllung des Zwecks aufbewahrt werden, werden solche Daten in einer Form aufbewahrt, die nicht einfach mit dem Eigentümer der Daten in Verbindung gebracht werden kann..
Die personenbezogenen Daten werden wie im Verfahren zur Aufbewahrung personenbezogener Daten beschrieben aufbewahrt. Nach Ablauf der vorgesehenen Aufbewahrungsfrist müssen diese ordnungsgemäß vernichtet werden, wie im genannten Verfahren zur Aufbewahrung personenbezogener Daten beschrieben.
Jede Aufbewahrung personenbezogener Daten, die länger als die im Verfahren zur Aufbewahrung personenbezogener Daten angegebene Zeit dauert, muss vom Datenschutzbeauftragten genehmigt werden, wie im entsprechenden Verfahren beschrieben. Dabei muss der Grund für ein solches Vorgehen klar festgelegt werden und darf nicht gegen die geltenden Datenschutzgesetze verstoßen. Die Genehmigung muss schriftlich erfolgen.
Die personenbezogenen Daten müssen  sicher verarbeitet werden. Der Datenschutzbeauftragte wird ein Verfahren zur Risikobewertung durchführen, wobei alle Umstände zu berücksichtigen sind, die die Verarbeitung von Daten und die Sicherheit der Datenverarbeitung in der Organisation ETERNIUM d.o.o. beeinflussen.

Bei der Bestimmung der Angemessenheit der Verarbeitung personenbezogener Daten muss der Datenschutzbeauftragte den Umfang möglicher Schäden berücksichtigen, die Einzelpersonen im Falle einer Sicherheitsverletzung entstehen könnten, als Folge jeglicher Sicherheitslücke, mit direkter oder indirekter Auswirkung auf den Ruf der Organisation und das Vertrauen der Nutzer, Lieferanten und anderer interessierter Parteien.

Bei der Bewertung geeigneter technischer Maßnahmen berücksichtigt der Datenschutzbeauftragte Folgendes:
Passwortschutzrichtlinie (beschrieben im Dokument Sicherheitsrichtlinie der IT-Infrastruktur)
Automatische Sperrung von Geräten im Leerlauf
Einschränkung der Nutzung von USB- und anderen Medien (beschrieben in den Dokumenten Sicherheitsrichtlinie der IT-Infrastruktur, Zugriffsrichtlinie und Zugriffsrechte auf Daten sowie Verwaltung von Datenspeichermedien)
Installierten Virenschutz und Firewall (beschrieben im Dokument Sicherheitsrichtlinie der IT-Infrastruktur)
Zugriffsrechte basierend auf Rollen, einschließlich der Rechte, die temporärem Personal und Besuchern zugewiesen sind (beschrieben im Dokument Sicherheitsrichtlinie der IT-Infrastruktur und Zugriffsrichtlinie und Zugriffsrechte auf Daten)
Verschlüsselung von Geräten, die die Räumlichkeiten der Organisation verlassen (Laptops) (beschrieben im Dokument Sicherheitsrichtlinie der IT-Infrastruktur)
Sicherheit des Netzwerksystems (beschrieben im Dokument Sicherheitsrichtlinie der IT-Infrastruktur)
Zusätzliche Möglichkeiten zum Schutz von Daten wie Pseudonymisierung und Anonymisierung, sofern anwendbar
Verbesserung der Sicherheitsstandards entsprechend der technologischen Entwicklung

RECHTE DER BETROFFENEN PERSON

Verfügbarkeit von Informationen

Die Verfügbarkeit von Informationen stellt sicher, dass Einzelpersonen sich bewusst sind, dass ihre Daten verarbeitet werden, und dass sie verstehen:
Wie die Daten verwendet werden
Wie sie ihre Rechte ausüben können

Die betroffene Person hat folgende Rechte in Bezug auf die Verarbeitung von Daten, die sie betreffen:

Die betroffene Person hat das Recht, vom Verantwortlichen Zugang zu den über sie verarbeiteten Daten zu verlangen.
Widerspruch gegen die Verarbeitung personenbezogener Daten, die sie betreffen, und gegen die Verarbeitung, die ihr Schaden zufügen könnte.
Die Verarbeitung personenbezogener Daten, die sie betreffen und zu Marketingzwecken verarbeitet werden, zu verhindern.
Über die Methoden und Algorithmen informiert zu werden, wenn es sich um eine automatisierte Datenverarbeitung handelt.
Schadenersatz gerichtlich zu verlangen, wenn dieser verursacht wurde.
Maßnahmen zu ergreifen, die zur Berichtigung, Löschung oder Vernichtung unrichtiger personenbezogener Daten oder Daten führen, für die die Einwilligung zur Verarbeitung verweigert wurde, sofern keine andere rechtliche Grundlage für die Verarbeitung besteht.
Von der Aufsichtsbehörde eine Bewertung der Verletzung einer der Bestimmungen der Verordnung zu verlangen.
Die Übertragung von Daten an andere Verantwortliche zu verlangen.
Die automatisierte Profilierung zu stoppen, sofern dafür keine Einwilligung gegeben wurde.

Zur Ausübung der Rechte der betroffenen Person:

Die betroffene Person kann Zugang zu ihren personenbezogenen Daten auf die im Verfahren zur Anforderung des Zugangs zu personenbezogenen Daten beschriebene Weise verlangen. Das Verfahren beschreibt, wie die Organisation ETERNIUM d.o.o. sicherstellt, dass auf die Anfrage der betroffenen Person, die den Anforderungen der Verordnung entspricht, geantwortet wird.
Die betroffene Person hat das Recht, sich bei der Organisation ETERNIUM d.o.o. über die Verarbeitung ihrer personenbezogenen Daten und die Verwaltung ihrer Anfrage zur Ausübung ihrer Rechte gemäß dem festgelegten Verfahren im Falle einer Beschwerde zu beschweren.

EINWILLIGUNG

Die Organisation ETERNIUM d.o.o. ist der Ansicht, dass die Einwilligung jede freiwillig gegebene, spezifische, informierte und eindeutige Erklärung darstellt, durch die der Betroffene, der Inhaber der personenbezogenen Daten, seine Zustimmung zur Verarbeitung seiner personenbezogenen Daten oder der personenbezogenen Daten der von ihm vertretenen Personen gibt. Die Einwilligung kann jederzeit auf ungefähr die gleiche einfache Weise widerrufen werden, wie sie erteilt wurde.
Für die Organisation ETERNIUM d.o.o. bedeutet die Erteilung der Einwilligung, dass der Betroffene vollständig über die beabsichtigte Verarbeitung personenbezogener Daten informiert ist. Jede unter Zwang oder aufgrund von Täuschung erhaltene Einwilligung ist ungültig und kann nicht die Grundlage für die Verarbeitung personenbezogener Daten des Betroffenen sein.
Die Einholung der Einwilligung vom Betroffenen erfordert eine aktive Kommunikation zwischen beiden Parteien (Verantwortlicher für die Verarbeitung und Betroffener). Durch das Nichtbeantworten der gestellten Anfrage durch den Betroffenen kann die Einwilligung nicht gültig sein, d.h. die Zustimmung kann nicht vermutet werden. Der Verantwortliche für die Verarbeitung personenbezogener Daten muss in der Lage sein, nachzuweisen, dass er die Zustimmung zur Verarbeitung personenbezogener Daten erhalten hat.
Wenn es sich um besondere Daten handelt, muss die Einwilligung schriftlich erfolgen, wie im Dokument „Verfahren zur Einholung der Zustimmung“ beschrieben. Wenn es eine alternative rechtmäßige Grundlage für die Verarbeitung personenbezogener Daten gibt, ist die Erteilung der Einwilligung nicht erforderlich oder muss nicht schriftlich erfolgen.
In den meisten Fällen ist die Zustimmung zur Verarbeitung personenbezogener und besonderer Daten Teil der Standardformulare, d.h. schriftlicher Dokumente, die Bestandteil der Dokumentation sind und die der Betroffene (Nutzer, Geschäftspartner) gemäß den definierten internen Verfahren unterzeichnet.
Es ist das Recht des Betroffenen, jederzeit die Zustimmung zur Verarbeitung seiner personenbezogenen Daten zu widerrufen. Der Widerruf der Zustimmung zur Verarbeitung personenbezogener Daten ist im Dokument mit dem Titel „Verfahren zum Widerruf der Zustimmung“ beschrieben.
 

SICHERHEIT DER DATEN
 

Alle Mitarbeiter der Organisation ETERNIUM d.o.o. und andere Personen, die für und im Namen der Organisation ETERNIUM d.o.o. arbeiten, sind verantwortlich für die Sicherheit aller personenbezogenen Daten, die die Organisation ETERNIUM d.o.o.  besitzt und verarbeitet. Die Daten müssen an einem sicheren Ort aufbewahrt werden, der die Offenlegung personenbezogener Daten an Dritte nicht ermöglicht, es sei denn, Dritten ist ausdrücklich erlaubt, die Daten gemäß einem zuvor geschlossenen Vertraulichkeitsvertrag zu erhalten. In diesem Fall akzeptiert die dritte Partei die Bedingungen dieser Richtlinie und bestätigt, dass sie die in der allgemeinen Verordnung beschriebenen Sicherheitsanforderungen erfüllt.
Alle personenbezogenen Daten sind nur den Personen zugänglich, die sie zur Erfüllung ihrer geschäftlichen Aufgaben benötigen, und der Zugang kann nur gemäß der Richtlinie zur Zugangskontrolle und der Richtlinie zur Sicherheit der IT-Infrastruktur gewährt werden. Im Bereich der Sicherheit geht die Organisation  ETERNIUM d.o.o.  mit größter Sorgfalt mit personenbezogenen Daten um. Aus diesem Grund müssen alle personenbezogenen Daten aufbewahrt werden:
In einem verschlossenen Raum mit kontrolliertem Zugang
In einer verschlossenen Schublade oder einem Schrank
Wenn es sich um digitale Daten handelt, müssen diese durch ein Passwort gemäß der akzeptierten Richtlinie zur Sicherheit der IT-Infrastruktur gesichert werden
Auf Computerträgern, die gemäß dem beschriebenen Verfahren zur Verwaltung von Datenspeichermedien verschlüsselt sind.
Computerbildschirme dürfen Dritten nicht sichtbar sein, außer autorisierten Personen der Organisation. Alle Mitarbeiter sind verpflichtet, einen Vertrag über die akzeptable Nutzung von Geräten  vor der Erteilung des Zugangs zu Informationen jeglicher Art  im Besitz der Organisation abzuschließen.
Schriftliche Aufzeichnungen dürfen nicht in Räumen zurückgelassen werden, auf die unbefugte Personen zugreifen können, und sie dürfen nicht ohne ausdrückliche schriftliche Genehmigung aus dem sicheren Bereich entfernt werden. Sobald schriftliche Aufzeichnungen nicht mehr zur Erfüllung geschäftlicher Aufgaben benötigt werden, müssen sie gemäß den festgelegten Verfahren entfernt werden.
Personenbezogene Daten dürfen nur gemäß dem akzeptierten  Verfahren zur Aufbewahrung von Aufzeichnungen gelöscht oder verschoben werden. Schriftliche Aufzeichnungen, die bis zum Aufbewahrungsdatum gemäß der entsprechenden Richtlinie aufbewahrt werden, müssen als vertrauliche Daten vernichtet oder entsorgt werden. Festplatten von Computern, die nicht mehr verwendet werden, müssen gemäß dem Verfahren  Verwaltung von Datenspeichermedien vernichtet werden.
Die Verarbeitung personenbezogener Daten außerhalb der Organisation ETERNIUM d.o.o.  stellt ein potenziell höheres Risiko für den Verlust, Diebstahl oder die Zerstörung personenbezogener Daten dar. Mitarbeiter der Organisation  ETERNIUM d.o.o.  und andere Personen, die für und im Namen der Organisation  ETERNIUM d.o.o.  arbeiten, müssen eine besondere Genehmigung für eine solche Verarbeitung personenbezogener Daten erhalten.
 

DATENVERÖFFENTLICHUNG
 

Unter bestimmten Umständen  ermöglicht die Verordnung die Offenlegung personenbezogener Daten an Agenturen und staatliche Stellen, die das Gesetz durchsetzen, ohne die Zustimmung des Dateninhabers/Betroffenen. In solchen Fällen wird die Organisation ETERNIUM d.o.o.  die angeforderten Daten offenlegen. Die verantwortliche Person des Unternehmens wird jedoch vor der Offenlegung der Daten sicherstellen, dass die Anfrage legitim ist, indem sie rechtlichen Rat oder Aufsichtsbehörden im Bereich des Datenschutzes hinzuzieht.
Die Organisation ETERNIUM d.o.o.  muss sicherstellen, dass personenbezogene Daten nicht an unbefugte Dritte weitergegeben werden, einschließlich Familienangehörigen, Freunden, staatlichen Stellen und, unter bestimmten Umständen, der Polizei. Alle Mitarbeiter müssen über das Vorgehen informiert sein, falls sie aufgefordert werden, personenbezogene Daten an Dritte weiterzugeben.
Alle Anfragen zur Bereitstellung personenbezogener Daten müssen mit geeigneter Dokumentation begleitet werden, und jede Veröffentlichung muss speziell von dem Datenschutzbeauftragten genehmigt werden.

DATENSPEICHERUNG UND -VERWALTUNG
 

Die Organisation ETERNIUM d.o.o.  darf personenbezogene Daten, die eine Person identifizieren können, nicht länger aufbewahren als es für den Zweck erforderlich ist, für den die Daten erhoben wurden.
Die Organisation ETERNIUM d.o.o.  kann Daten auch länger aufbewahren als der gesetzlich oder durch die akzeptierte Politik vorgesehene Zeitraum, sofern die Daten im öffentlichen Interesse, für wissenschaftliche und historische Forschungen oder zu statistischen Zwecken verarbeitet werden. Auch in diesem Fall sind geeignete technische und organisatorische Maßnahmen zum Schutz der Rechte und Freiheiten der Betroffenen erforderlich.
Der Aufbewahrungszeitraum für Daten aus jeder einzelnen Kategorie personenbezogener Daten ist im   Verfahren zur Aufbewahrung von Aufzeichnungen   zusammen mit den Kriterien, die die Aufbewahrungsfristen festlegen, einschließlich aller gesetzlichen Verpflichtungen, die die  Organisation ETERNIUM d.o.o.  einhalten muss, definiert.
Die personenbezogenen Daten, die zur Verarbeitung an die Organisation ETERNIUM d.o.o.  übergeben werden, werden angemessen verarbeitet, um sicher zu bleiben, wodurch die Rechte und Freiheiten der Betroffenen geschützt werden. Jede Ablage personenbezogener Daten erfolgt gemäß dem akzeptierten Verfahren zur sicheren Ablage, das im Verfahren zur Verwaltung von Speichermedien beschrieben ist.
 

DATENÜBERTRAG IN DRITTLÄNDER
 

Jeder Datenübertrag aus dem Europäischen Wirtschaftsraum in Drittländer ist rechtswidrig, wenn kein angemessenes Schutzniveau für die grundlegenden Rechte der Betroffenen besteht.
Die Europäische Kommission bewertet Drittländer, Gebiete und/oder bestimmte Sektoren innerhalb von Drittländern, um zu beurteilen, ob ein angemessenes Schutzniveau für die Rechte und Freiheiten natürlicher Personen besteht. Im Falle von Übertragungen personenbezogener Daten in Länder, die die Sicherheitskriterien erfüllen, ist keine Genehmigung der Aufsichtsbehörde für den Übertrag personenbezogener Daten in diese Länder/Gebiete erforderlich.
Ein Mitgliedstaat des Europäischen Wirtschaftsraums, auch wenn er kein Mitgliedstaat der Europäischen Union ist, erfüllt die geforderten Bedingungen.
Die Organisation ETERNIUM d.o.o.  kann eigene Regeln für den Übertrag personenbezogener Daten in Drittländer festlegen. In diesem Fall müssen die Regeln der zuständigen Aufsichtsbehörde gemeldet werden, die eine Stellungnahme abgeben und die Regeln genehmigen oder ablehnen wird.
Wenn keine der zuvor genannten Bedingungen erfüllt ist, kann der Datenübertrag in Drittländer oder an internationale Organisationen nur unter einer der folgenden Bedingungen erfolgen:
Der Betroffene hat ausdrücklich dem vorgeschlagenen Übertrag zugestimmt, nachdem er über die möglichen Risiken eines solchen Übertrags informiert wurde.
Der Übertrag ist erforderlich, um vertragliche Verpflichtungen zwischen dem Betroffenen und dem Verantwortlichen/ Auftragsverarbeiter zu erfüllen oder um vorvertragliche Maßnahmen zu ergreifen, die auf Anfrage des Betroffenen getroffen wurden.
Der Übertrag ist erforderlich, um einen Vertrag im Interesse des Betroffenen zwischen dem Verantwortlichen/Auftragsverarbeiter und einer anderen natürlichen oder juristischen Person abzuschließen oder auszuführen.
Der Übertrag ist aus Gründen des öffentlichen Interesses erforderlich.
Der Übertrag ist erforderlich, um rechtlichen Zwecken nachzukommen.
Der Übertrag ist erforderlich, um die lebenswichtigen Interessen des Betroffenen oder anderer Personen zu schützen, wenn der Betroffene nicht in der Lage ist, seine Einwilligung zu geben.

EIGENTUM UND GENEHMIGUNG DES DOKUMENTS

Der Eigentümer dieses Dokuments ist der Datenschutzbeauftragte der Organisation
ETERNIUM d.o.o. Der Eigentümer des Dokuments muss diese Richtlinie gemäß den zuvor genannten Anforderungen überprüfen.  Die aktuelle Version dieses Dokuments ist allen Mitarbeitern der Organisation ETERNIUM d.o.o. an der Geschäftsadresse Ružići 25/i, 51213 Jurdani zugänglich und wurde öffentlich auf den Internetseiten der Organisation https://eternium.hr veröffentlicht.

Die Richtlinie wurde von der Geschäftsführung der Organisation ETERNIUM d.o.o. am 01.07.2023 genehmigt.

Datum:    01.07.2023.                                   Genehmigt von: Mauro Slavić