Compliance-Dokumente

Data Privacy

TOMs

The technical and organizational measures (TOMs) provided below apply to the product portfolio offerings of Software AG:

The list of subprocessors provided below applies to the processing of personal data in relation to the product portfolio offerings of Software AG:

Die im Folgenden aufgeführten technischen und organisatorischen Maßnahmen (TOMs) gelten für die Angebote des Produktportfolios der Software AG:

Technische und Organisatorische Massnahmen – Maintenance und Support Services

Technische und Organisatorische Massnahmen – Professional Services

Liste der Unter-Auftragsverarbeiter

Die Listen der Unter-Auftragsverarbeiter enthalten alle Organisationen, die potenziell an der Verarbeitung der personenbezogenen Daten im Rahmen der Erbringung der Dienstleistungen für Kunden beteiligt sein können:

Data Privacy FAQ

Datenschutz und Datenschutz werden in unserer vernetzten Welt immer wichtiger. Bei der Software GmbH können Kunden darauf vertrauen, dass ihre personenbezogenen Daten gemäß den Datenschutz- und Datenschutzanforderungen verarbeitet werden.

Die folgende FAQ-Liste geht auf einige relevante Aspekte ein.

Welche Maßnahmen wurden ergriffen, um datenschutzkonforme Produkte und Dienstleistungen zu erhalten? 

Alle von der Software GmbH angebotenen Produkte wurden und werden hinsichtlich ihrer Funktionalität zur Verarbeitung personenbezogener Daten gemäß den geltenden Datenschutzgrundsätzen analysiert.

Wie werden die Anforderungen an Rechenschaftspflicht und Unternehmensführung erfüllt?

Die Software GmbH hat ein Data Protection Managementsystem (DPMS) eingerichtet, das klare Prozesse für relevante Datenschutzaspekte definiert, einschließlich der folgenden Prozesse und Risikobewertungen:

  1. Bearbeitung von Anfragen betroffener Personen
  2. Umgang mit Datenschutzverletzungen
  3. Überprüfung des Auftragsverarbeitungsvertrags (AVV)
  4. Prüfung der Notwendigkeit einer Datenschutz-Folgenabschätzung
  5. Datenschutz-Folgenabschätzung (DSFA)
  6. Bewertung von Datenschutzverletzungen und Risiken
  7. Übertragungsfolgenabschätzung (ÜFA)

Im Rahmen des Geltungsbereichs der ISO 9001-Zertifizierung der Software GmbH unterliegen die etablierten DPMS-Prozesse regelmäßigen externen Prüfungen.

Darüber hinaus hat die Software GmbH eine globale Datenschutzrichtlinie eingeführt, die für alle Mitarbeiter gilt. Ziel dieser Richtlinie ist es, den rechtkonformen Umgang mit personenbezogenen Daten innerhalb der Software GmbH und ihrer Tochtergesellschaften zu regeln und die aus Datenschutzbestimmungen resultierenden Rechte aller Personen, deren Daten von Software GmbH verarbeitet werden, zu schützen.

Wie verarbeitet die Software GmbH personenbezogene Daten im Auftrag von Kunden?

Wenn die Software GmbH personenbezogene Daten im Auftrag ihrer Kunden (Datenverantwortliche) verarbeitet oder wenn der Zugriff auf personenbezogene Daten im Rahmen der Dienstleistungserbringung nicht ausgeschlossen werden kann, wird als Standardpraxis ein Auftragsverarbeitungsvertrag (AVV) abgeschlossen. Er behandelt insbesondere folgende Aspekte: 

  • Weisungen: Der AVV verpflichtet Software GmbH, personenbezogene Daten nur nach Weisung des Kunden und in Übereinstimmung mit dem für den Kunden geltenden Datenschutzgesetz zu verarbeiten.
  • Unter-Auftragsverarbeiter: Es ist das Ziel der Software GmbH, den Wartungs- und Support-Dienst zur maximalen Zufriedenheit der Kunden zu leisten. Dafür ist es erforderlich, dass die Software GmbH ihre weltweiten Tochtergesellschaften sowie sorgfältig ausgewählte externe Dienstleister in ihren Supportprozess einbezieht. Diese Organisationen fungieren als Unter-Auftragsverarbeiter für unsere Kunden. Auch für Beratungsdienstleistungen können Unter-Auftragsverarbeiter eingesetzt werden, um die höchstmöglichen Qualitäts-, Leistungs- und Flexibilitätsstandards zu bieten.
  • Datenübermittlung: Bei der Erbringung von Dienstleistungen kann es, wie oben erwähnt, notwendig sein, personenbezogene Daten an andere Unternehmen der Software AG Gruppe oder ausgewählten externe Dienstleister zu übermitteln. Für alle Datenübertragungen aus dem EWR in Länder ohne angemessenes Datenschutzniveau gelten die EU-Standardvertragsklauseln. Dadurch wird sichergestellt, dass die personenbezogenen Daten der Kunden im Einklang mit den Datenschutzbestimmungen geschützt werden.
  • Anfragen von Betroffenen: Die Kunden von Software GmbH als Datenverantwortliche können nach geltendem Datenschutzrecht verpflichtet sein, auf Anfrage eines Betroffenen Informationen bereitzustellen. Soweit die Anfrage direkt an Software GmbH von einem Betroffenen gerichtet wurde, werden wir den jeweiligen Kunden benachrichtigen und entsprechend den Anweisungen des Kunden antworten. Darüber hinaus unterstützen wir unsere Kunden dabei, auf Anfragen von Betroffenen mit geeigneten technischen und organisatorischen Maßnahmen zu reagieren.
  • Benachrichtigung bei Datenschutzverletzungen: Im Falle einer Datenschutzverletzung könnten die Kunden der Software GmbH als Verantwortliche verpflichtet sein, bestimmte Meldepflichten gegenüber den betroffenen Personen und/oder der Aufsichtsbehörde zu erfüllen. Die Software GmbH wird ihre Kunden unverzüglich informieren, sobald uns dokumentierte Gründe vorliegen, die darauf hindeuten, dass eine Datenschutzverletzung bei der Software GmbH oder bei unseren Subunternehmern stattgefunden hat. Die Software GmbH hat einen Prozess zur Bearbeitung von Datenschutzverletzungen implementiert, der mit diesen Meldepflichten in Einklang steht und Teil des Datenschutz-Managementsystems (DPMS) ist.
  • Technische und organisatorische Maßnahmen: Die Software GmbH hat geeignete technische und organisatorische Maßnahmen (TOMs) umgesetzt, um personenbezogene Daten vor unbefugter Verarbeitung zu schützen. Die TOMs werden regelmäßig überprüft und bei Bedarf aktualisiert.

Hat die Software GmbH einen Prozess zur Bearbeitung von Datenschutzverletzungen?

Ja, die Software GmbH hat einen Prozess zur Bearbeitung von Datenschutzverletzungen, der in unserem Datenschutz-Managementsystem dokumentiert ist. Dieser Prozess beschreibt, wie im Falle einer Verletzung personenbezogener Daten vorzugehen ist. Eine Datenschutzverletzung liegt vor, wenn es zu einem Sicherheitsvorfall kommt, der zur unbeabsichtigten oder rechtswidrigen Zerstörung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf personenbezogene Daten führt, die übertragen, gespeichert oder anderweitig verarbeitet werden. Sobald eine potenzielle Datenschutzverletzung entdeckt wird, muss das zuständige Fachteam dem Datenschutzbeauftragten den Vorfall melden, der dann entscheidet, ob es sich tatsächlich um eine Datenschutzverletzung handelt. Falls ja, bewertet der Datenschutzbeauftragte die Verletzung in Bezug auf Ursache, Umfang und Ausmaß und dokumentiert relevante Ergebnisse. Nachdem das Risiko für die betroffenen Personen eingeschätzt wurde, entscheidet der Datenschutzbeauftragte, ob die Aufsichtsbehörde und gegebenenfalls die betroffenen Personen benachrichtigt werden müssen.

Wie geht die Software GmbH mit den veränderten Datenschutzanforderungen um?

Da sich die Anforderungen an den Datenschutz aufgrund von Gesetzesänderungen oder Entscheidungen der zuständigen Aufsichtsbehörden ständig ändern oder erweitern können, überprüft die Software GmbH die Prozesse im Rahmen unseres DPMS sowie die technischen und organisatorischen Maßnahmen regelmäßig auf neue Anforderungen und passt sie entsprechend an. Darüber hinaus unterliegen unsere Prozesse regelmäßigen externen Audits im Rahmen der ISO 9001-Zertifizierung.

Führt Software GmbH eine Datenschutz-Risikobewertung/Impact Assessment (DPIA) durch?

Ja, die Software GmbH hat einen Prozess für die Datenschutz-Folgenabschätzung (DSFA) und eine DSFA-Vorprüfung, der in unserem Datenschutz-Managementsystem dokumentiert ist. Bei Verarbeitungstätigkeiten, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen darstellen sowie bei Verarbeitungstätigkeiten, bei denen es aufgrund behördlicher Vorgaben erforderlich ist, wird eine DSFA durchgeführt. Der entsprechende Prozess beschreibt die Schritte, um zu prüfen, ob eine DSFA erforderlich ist oder nicht. Zeigt die Vorprüfung, dass eine DSFA notwendig ist, wird diese durchgeführt und dokumentiert. Wenn eine DSFA durchgeführt werden muss, bewertet der Datenschutzbeauftragte das Risiko der Datenverarbeitung hinsichtlich Verhältnismäßigkeit und Notwendigkeit und prüft gegebenenfalls, ob weniger nachteilige Alternativen für die Rechte und Freiheiten der betroffenen Personen bestehen. Liegt ein hohes Risiko vor, werden geeignete technische und organisatorische Maßnahmen zur Risikominderung identifiziert und ausgewählt. Nur wenn das Risiko auf ein akzeptables Niveau reduziert werden kann, wird die Verarbeitungstätigkeit durchgeführt.

Gibt es bei der Software GmbH einen Datenschutzbeauftragten?

Die Software GmbH hat einen Konzerndatenschutzbeauftragten (CDPO) bestellt. Der CDPO überwacht die Einhaltung des geltenden Datenschutzrechts und berät über die Verarbeitung personenbezogener Daten bei der Software GmbH.

Sind die Mitarbeiter über die Datenschutzanforderungen geschult?

Datenschutzschulungen sind für alle Mitarbeitenden bei Software GmbH verpflichtend. Sie behandeln die Anforderungen an die konforme Verarbeitung personenbezogener Daten sowie die Einhaltung ausreichender technischer und/oder organisatorischer Maßnahmen und muss regelmäßig aktualisiert werden. Die Nichtteilnahme an dieser Schulung wird überwacht und kann zu disziplinarischen Maßnahmen führen.

Wie stellt die Software GmbH die fortlaufende Einhaltung neuer oder geänderter Datenschutzanforderungen sicher?

Da sich Datenschutzanforderungen durch rechtliche Änderungen oder Entscheidungen der zuständigen Aufsichtsbehörden kontinuierlich ändern und auch erweitern können, überprüft die Software GmbH regelmäßig die Prozesse, die Teil unseres DPMS sind, sowie die technischen und organisatorischen Maßnahmen als Reaktion auf neue Anforderungen und passt sie entsprechend an. Zusätzlich unterliegen unsere Prozesse regelmäßigen externen Audits gemäß der ISO 9001-Zertifizierung.