Richtlinie zur Verarbeitung personenbezogener Daten

Diese Richtlinie gilt für personenbezogene Daten, die von GAR im Zusammenhang mit seinen beruflichen Tätigkeiten, Geschäftsbeziehungen, Websites, digitalen Diensten, Veranstaltungen, Personalgewinnung, Vertragsabschlüssen, Lieferantenmanagement sowie regulatorischen oder akkreditierungsbezogenen Verantwortlichkeiten verarbeitet werden.

Sie kann für personenbezogene Daten von Kunden, Antragstellern, Zertifikatsinhabern, Mitarbeitenden von Kunden, Lieferanten, Subunternehmern, Inspektoren, Auditoren, Beratern, Bewerbern, Website-Nutzern, Geschäftskontakten und sonstigen Personen gelten, die mit GAR in Kontakt treten.

Je nach Art der Tätigkeit kann GAR als eigenständiger Verantwortlicher, gemeinsam Verantwortlicher, Auftragsverarbeiter oder Dienstleister handeln.

GAR kann personenbezogene Daten direkt von Personen oder indirekt über Organisationen erhalten, die an einer Dienstleistung, einem Projekt, einer Zertifizierungstätigkeit oder einer Geschäftsbeziehung beteiligt sind.

Personenbezogene Daten können verarbeitet werden, soweit dies für GAR in vertretbarer Weise erforderlich ist, um professionelle Dienstleistungen zu begründen, zu verwalten und zu erbringen sowie wirksame Geschäfts- und Regulierungsbeziehungen zu pflegen.

Die für eine bestimmte Verarbeitungstätigkeit geltende Rechtsgrundlage hängt von der Rechtsordnung, der Beziehung zur betroffenen Person und dem Zweck ab, für den die Informationen benötigt werden.

TIC-Tätigkeiten können personenbezogene Daten umfassen, die in technischen, betrieblichen, Kompetenz-, Audit- oder Zertifizierungsnachweisen enthalten sind.

Solche Unterlagen müssen unter Umständen aufbewahrt werden, um die Integrität, Rückverfolgbarkeit, Kompetenz und Belastbarkeit der fachlichen Schlussfolgerungen und Zertifizierungsentscheidungen von GAR nachzuweisen.

Der Zugang zu technischen und Zertifizierungsunterlagen ist entsprechend dem beruflichen Bedarf, den Vertraulichkeitsverpflichtungen und den geltenden Akkreditierungs- oder gesetzlichen Anforderungen beschränkt.

GAR ist grundsätzlich bestrebt, die Erhebung sensibler oder besonderer Kategorien personenbezogener Daten zu vermeiden, sofern sie nicht für einen legitimen und rechtmäßigen Zweck tatsächlich erforderlich ist.

Werden solche Daten verarbeitet, wendet GAR zusätzliche Schutzmaßnahmen an, die der Sensibilität der Informationen und dem anwendbaren Rechtsrahmen angemessen sind.

Beispiele können Gesundheits- und Sicherheitsinformationen sein, die für den Zutritt zu Standorten oder für Notfallmaßnahmen erforderlich sind, behinderungsbezogene Informationen, die für die Barrierefreiheit vernünftigerweise benötigt werden, oder sonstige geschützte Informationen, deren Verarbeitung GAR gesetzlich vorgeschrieben oder ausdrücklich gestattet ist.

GAR gibt personenbezogene Daten nicht wahllos weiter. Personenbezogene Daten können weitergegeben werden, soweit dies für legitime Dienstleistungs-, Betriebs-, Rechts- oder berufliche Zwecke in vertretbarer Weise erforderlich ist.

GAR ist bestrebt sicherzustellen, dass die Empfänger nur die für den jeweiligen Zweck vernünftigerweise erforderlichen Informationen erhalten und angemessenen Vertraulichkeits- oder gesetzlichen Verpflichtungen unterliegen.

GAR ist international tätig und muss unter Umständen personenbezogene Daten zwischen Ländern übermitteln, um Dienstleistungen, Laboratorien, Inspektoren, Auditoren, Zertifizierungsressourcen, Kunden und Unterstützungsfunktionen zu koordinieren.

Sofern das anwendbare Datenschutzrecht internationale Übermittlungen beschränkt, ist GAR bestrebt, einen geeigneten Übermittlungsmechanismus oder eine andere rechtlich anerkannte Garantie zu nutzen.

GAR bewahrt personenbezogene Daten nicht länger auf, als es für die Zwecke, für die sie erhoben wurden, vernünftigerweise erforderlich ist, vorbehaltlich der geltenden gesetzlichen, regulatorischen, vertraglichen sowie akkreditierungs- und zertifizierungsbezogenen Anforderungen.

Die Aufbewahrungsfristen können je nach Art der Informationen und der betreffenden Tätigkeit unterschiedlich sein.

Sobald Informationen nicht mehr benötigt werden, ist GAR bestrebt, sie in angemessener Weise zu löschen, zu vernichten, zu anonymisieren oder anderweitig unzugänglich zu machen.

GAR wendet technische und organisatorische Schutzmaßnahmen an, die personenbezogene Daten vor unbefugtem Zugriff, unrechtmäßiger Offenlegung, Veränderung, versehentlichem Verlust oder unangemessener Vernichtung schützen sollen.

Kein Informationssystem kann als vollständig sicher garantiert werden. GAR überprüft seine Schutzmaßnahmen daher regelmäßig und passt sie an vernünftigerweise vorhersehbare Risiken und technologische Entwicklungen an.

Je nach anwendbarem Recht können Personen Rechte in Bezug auf die personenbezogenen Daten haben, die GAR über sie speichert.

GAR-Websites und digitale Dienste können technische Informationen verarbeiten, die für den Betrieb, die Sicherung und die Verbesserung der Online-Dienste erforderlich sind.

Dazu können IP-Adressen, Geräteinformationen, Browserinformationen, Sicherheitsprotokolle und Informationen zur Website-Nutzung gehören.

Setzt GAR Cookies oder ähnliche Technologien ein, die nach anwendbarem Recht eine Einwilligung erfordern, sollten geeignete Mechanismen zur Einwilligungsverwaltung verwendet werden.

Werbliche oder informative Mitteilungen werden entsprechend den geltenden rechtlichen Anforderungen verwaltet, und die Empfänger können nicht wesentlichen Werbemitteilungen in der Regel widersprechen.

Die professionellen Dienstleistungen von GAR richten sich in erster Linie an Unternehmen, Organisationen und erwachsene Fachkräfte und nicht an Kinder.

GAR ist nicht bestrebt, wissentlich personenbezogene Daten von Kindern im Rahmen seiner allgemeinen Unternehmensleistungen zu erheben, es sei denn, es besteht ein legitimer, rechtmäßiger und angemessen abgesicherter Grund dafür.

Werden Informationen über Minderjährige verarbeitet, ist GAR bestrebt, Schutzmaßnahmen anzuwenden, die den Umständen und dem anwendbaren Recht angemessen sind.

GAR kann digitale Werkzeuge, Automatisierung oder KI-gestützte Technologien einsetzen, um administrative, analytische, technische oder betriebliche Tätigkeiten zu unterstützen.

Hat eine automatisierte Verarbeitung rechtliche oder ähnlich erhebliche Auswirkungen auf Personen, ist GAR bestrebt, die geltenden Anforderungen an Transparenz, menschliche Aufsicht, Fairness und Anfechtungsrechte einzuhalten.

Personen, die Bedenken hinsichtlich des Umgangs von GAR mit personenbezogenen Daten haben, werden ermutigt, die Angelegenheit an GAR heranzutragen, damit sie geprüft und gegebenenfalls gelöst werden kann.

Je nach anwendbarem Recht können Personen außerdem das Recht haben, bei einer zuständigen Datenschutz- oder Privatsphären-Aufsichtsbehörde Beschwerde einzulegen.

GAR ist bestrebt, angemessen mit den zuständigen Behörden zusammenzuarbeiten und begründete Datenschutzbedenken im Einklang mit dem anwendbaren Recht zu behandeln.

Aktualisierungen der Richtlinie

GAR kann diese Richtlinie regelmäßig aktualisieren, um Änderungen der rechtlichen, regulatorischen, akkreditierungsbezogenen, technologischen oder betrieblichen Anforderungen zu berücksichtigen.

Das zu Beginn dieser Richtlinie angezeigte Überarbeitungsdatum gibt an, wann die veröffentlichte Fassung zuletzt aktualisiert wurde.