Datenschutzrichtlinie („Richtlinie“)

Der Zweck der Richtlinie ist:

• i. Die Einhaltung des Gesetzes.
• ii. Die Befolgung bewährter Praktiken.
• iii. Der Schutz von Kunden, Mitarbeitern und anderen Personen.
• iv. Der Schutz des Unternehmens.

2. Alle personenbezogenen Daten (im Sinne der Datenschutz-Grundverordnung („DSGVO“)), die von WORKPLACED erhoben, gespeichert und verarbeitet werden, werden ausschließlich in Übereinstimmung mit der DSGVO und der Richtlinie von WORKPLACED erhoben, gespeichert, übermittelt und verarbeitet. Daher gilt diese Richtlinie für jeden Server, jede Datenbank und jedes IT-System, das solche Daten verarbeitet, einschließlich jedes Geräts, das regelmäßig für E-Mail, Webzugang oder andere arbeitsbezogene Aufgaben genutzt wird. Jeder Nutzer, der mit den IT-Diensten des Unternehmens interagiert, unterliegt ebenfalls dieser Richtlinie. Als öffentlich eingestufte Informationen unterliegen dieser Richtlinie nicht. Andere Daten können von der Geschäftsleitung von WORKPLACED aufgrund spezifischer geschäftlicher Erfordernisse von der Richtlinie ausgenommen werden, etwa wenn der Schutz der Daten zu kostspielig oder zu komplex ist.

3. Die IT-Abteilung von WORKPLACED („IT-Abteilung“) ist verantwortlich für:

• i. Die Unterrichtung des Board of Directors von WORKPLACED über die Datenschutzpflichten.
• ii. Die Überprüfung der Datenschutzrichtlinie und damit zusammenhängender Richtlinien.
• iii. Die Beratung anderer Mitarbeiter in schwierigen Datenschutzfragen.
• iv. Die Sicherstellung, dass Einführung und Schulung zum Datenschutz stattfinden.
• v. Die Bearbeitung von Auskunftsersuchen betroffener Personen.
• vi. Die Genehmigung ungewöhnlicher oder kontroverser Offenlegungen personenbezogener Daten.
• vii. Die Genehmigung von Verträgen mit Auftragsverarbeitern.

4. Alle Mitarbeiter und Freiwilligen sollten verpflichtet werden, alle Richtlinien und Verfahren zu lesen, zu verstehen und zu akzeptieren, die sich auf die personenbezogenen Daten beziehen, die sie im Rahmen ihrer Arbeit verarbeiten könnten. (Wo im Folgenden „Mitarbeiter“ verwendet wird, umfasst dies sowohl bezahlte Mitarbeiter als auch Freiwillige.)

5. Die IT-Abteilung stellt sicher, dass Datensicherheitskontrollen vorhanden sind, die mindestens, aber nicht ausschließlich, die logische Trennung von Daten, eingeschränkten (z. B. rollenbasierten) Zugriff und dessen Überwachung sowie die Nutzung kommerziell verfügbarer und branchenüblicher Technologien zur Verschlüsselung personenbezogener Daten umfassen.

6. Alle E-Mails, die personenbezogene Daten enthalten, müssen verschlüsselt werden.

7. WORKPLACED gewährt allen Mitarbeitern und beauftragten Dritten Zugang zu den Informationen, die sie benötigen, um ihre Aufgaben so effektiv und effizient wie möglich zu erfüllen. Daher:

• a. Wird jeder Nutzer durch eine eindeutige Benutzerkennung identifiziert, sodass Einzelpersonen für ihre Handlungen verantwortlich gemacht werden können.
• b. Ist die Verwendung gemeinsam genutzter Identitäten nur zulässig, wo sie geeignet ist, etwa bei Schulungs- oder Dienstkonten.
• c. Liest jeder Nutzer diese Datensicherheitsrichtlinie und unterzeichnet eine Erklärung, dass er die Zugangsbedingungen verstanden hat.
• d. Können Aufzeichnungen über Nutzerzugriffe als Beweismittel bei Untersuchungen von Sicherheitsvorfällen verwendet werden.
• e. Wird der Zugang nach dem Prinzip der geringsten Rechte gewährt, was bedeutet, dass jedem Nutzer, jeder Anwendung und jedem Dienst nur die wenigsten Rechte eingeräumt werden, die zur Erledigung ihrer Aufgaben erforderlich sind.

• a. Alle Mitarbeiter und Auftragnehmer erhalten Netzwerkzugang gemäß den betrieblichen Zugangskontrollverfahren und dem Prinzip der geringsten Rechte.
• b. Alle Mitarbeiter und Auftragnehmer mit Fernzugriff auf WORKPLACED-Netzwerke werden ausschließlich über den VPN-Authentifizierungsmechanismus authentifiziert.
• c. Die Netzwerksegmentierung wird gemäß den Empfehlungen der Netzwerksicherheitsforschung von WORKPLACED umgesetzt. Netzwerkadministratoren gruppieren Informationsdienste, Nutzer und Informationssysteme in geeigneter Weise, um die erforderliche Trennung zu erreichen.
• d. Netzwerk-Routing-Kontrollen werden zur Unterstützung der Zugangskontrollrichtlinie umgesetzt.

• a. Alle Nutzer müssen ihren Bildschirm sperren, wenn sie ihren Arbeitsplatz verlassen, um das Risiko eines unbefugten Zugriffs zu verringern.
• b. Alle Nutzer müssen ihren Arbeitsplatz beim Verlassen frei von sensiblen oder vertraulichen Informationen halten.
• c. Alle Nutzer müssen ihre Passwörter vertraulich behandeln und dürfen sie nicht weitergeben.

• a. Allen Mitarbeitern und Auftragnehmern von WORKPLACED wird Zugang zu den Daten und Anwendungen gewährt, die für ihre Aufgaben erforderlich sind.
• b. Alle Mitarbeiter und Auftragnehmer von WORKPLACED greifen nur dann auf sensible Daten und Systeme zu, wenn dafür eine geschäftliche Notwendigkeit besteht und sie die Genehmigung der höheren Geschäftsleitung haben.
• c. Sensible Systeme werden physisch oder logisch isoliert, um den Zugang ausschließlich auf befugtes Personal zu beschränken.

• a. Der Zugang zu als „Vertraulich“ oder „Eingeschränkt“ eingestuften Daten ist auf befugte Personen beschränkt, deren Aufgaben dies erfordern, wie durch die Richtlinie oder die höhere Geschäftsleitung von WORKPLACED festgelegt.
• b. Die Verantwortung für die Umsetzung von Zugangsbeschränkungen liegt bei der IT-Abteilung.

12. Personenbezogene Daten dürfen nicht auf ein Gerät übertragen werden, das persönlich einem Mitarbeiter gehört, und personenbezogene Daten dürfen nur auf Geräte übertragen werden, die Vertretern, Auftragnehmern oder anderen im Auftrag von WORKPLACED tätigen Parteien gehören, wenn die betreffende Partei zugestimmt hat, den Buchstaben und den Geist dieser Richtlinie und der DSGVO (AVG) vollständig einzuhalten (was den Nachweis gegenüber WORKPLACED umfassen kann, dass alle geeigneten technischen und organisatorischen Maßnahmen getroffen wurden).

13. Die IT-Abteilung stellt operative Verfahren und Kontrollen bereit, um die sichere Entfernung jedes Teils der IT-Systeme oder jedes Datenträgers zu gewährleisten, sodass alle Informationen oder Daten in den IT-Systemen unlesbar oder nicht wiederherstellbar sind, bevor sie dauerhaft entfernt oder aus dem Besitz von WORKPLACED freigegeben werden.

14. Wenn personenbezogene Daten aus irgendeinem Grund gelöscht oder anderweitig entfernt werden sollen (auch wenn Kopien angefertigt wurden, die nicht mehr benötigt werden), müssen sie sicher gelöscht werden. Papierkopien sind zu schreddern und elektronische Kopien sind „hart“ zu löschen.

15. Die IT-Abteilung stellt sicher, dass sie über geeignete technische und organisatorische Maßnahmen verfügt, um vor unbefugter oder unrechtmäßiger Verarbeitung personenbezogener Daten und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder Beschädigung personenbezogener Daten zu schützen. Angemessen im Verhältnis zu dem Schaden, der aus der unbefugten oder unrechtmäßigen Verarbeitung oder dem unbeabsichtigten Verlust, der Zerstörung oder Beschädigung der zu schützenden Daten entstehen könnte, und der Art der zu schützenden Daten, unter Berücksichtigung des Stands der technischen Entwicklung und der Kosten der Umsetzung von Maßnahmen (diese Maßnahmen können die Pseudonymisierung und Kodierung personenbezogener Daten, wo angemessen, die Gewährleistung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste, die Gewährleistung der Verfügbarkeit personenbezogener Daten und des Zugangs zu ihnen, die rasche Wiederherstellung der Verfügbarkeit dieser Daten und des Zugangs zu ihnen nach einem Vorfall sowie die regelmäßige Überprüfung und Bewertung der Wirksamkeit der von der Kommission getroffenen technischen und organisatorischen Maßnahmen umfassen).

16. Alle elektronischen Kopien personenbezogener Daten müssen sicher mit Passwörtern und Datenverschlüsselung gespeichert werden.

17. Nur Nutzer, die Zugang zu personenbezogenen Daten und deren Nutzung benötigen, um ihre zugewiesenen Aufgaben korrekt auszuführen, haben Zugang zu den von WORKPLACED gespeicherten personenbezogenen Daten.

18. Alle Nutzer, die personenbezogene Daten für und im Auftrag von WORKPLACED verarbeiten, unterliegen den Bestimmungen der Datenschutzrichtlinie von WORKPLACED und müssen diese einhalten.