Nachweise zur Einhaltung der TOMs
Sehr geehrter Geschäftspartner,
die Unternehmensleitung der Q-FOX® Gruppe möchte allen gesetzlichen Anforderungen entsprechen, besonders auch im Bereich Datenschutz. Zudem legen wir als ISO 27001 zertifiziertes Unternehmen höchsten Wert auf Informationssicherheit.
Sie haben von kurzem eine E-Mail von unserem System erhalten, in der wir Sie darum gebeten haben,
1) einen aktuellen Nachweis zur Einhaltung der technischen und organisatorischen Maßnahmen und/oder
2) einen Nachweis der erweiterten Garantien im Rahmen von Drittlandtransfers bereitzustellen.
Zu 1) Als Nachweis kommen in Frage:
- ein aktuelles Testat
- Berichte oder Berichtsauszüge unabhängiger Instanzen, z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutz- oder Qualitätsauditoren
- geeignete Zertifizierungen (z.B. ISO 27001, SOC 2, SOC 3, ISAE 3402 Reports oder TISAX® Label)
Zu 2) Als Nachweis der erweiterten Garantien kommen in Frage:
- Regelungen im Umgang zu Behördenanfragen (FISA 702, EO 12.333, etc.) von Ihnen oder Ihren beauftragten Unter-Auftragnehmern
- Bereitstellung von sog. Transparenz-Boards zur Darstellung von Behördenanfragen
- Verschlüsselung der Kundendaten
- Bereitstellung der Schlüsselverwaltung der Kundendaten durch den Kunden
- abgeschlossene SCCs mit Ihren Unter-Auftragnehmern
- Nachweis bzw. Bestätigung einer durchgeführten TIA für die Beauftragung externer Auftragsverarbeiter in Drittländern
- Nachweis zur Erfüllung der Anforderungen
- sowie im Falle eines Unter-Auftragnehmers aus den USA: Beitritt des Unternehmens zum neuen EU-US Privacy Framework
Wir freuen uns, dass Sie dem darin enthaltenen Link gefolgt sind, um Ihre Nachweise zu erbringen.
Bitte füllen Sie das Formular aus und senden Sie uns Ihre Nachweise:
Datenschutzhinweis
Die ab dem 25.05.2018 umzusetzende europäische Datenschutzgrundverordnung (DSGVO) sowie die Vorgaben der ISO 27001 verpflichten uns regelmäßig von unseren geschäftskritischen Lieferanten, Dienstleistern und Auftragsverarbeitern einen aktuellen Nachweis zur Einhaltung der technischen und organisatorischen Maßnahmen einzuholen.
Damit unsere Lieferanten, Dienstleister und Auftragsverarbeiter ihre Nachweise erbringen können, haben wir hierzu das darüberliegende Online-Formular bereitgestellt.
Folgende personenbezogene Daten werden im Rahmen der Interaktion mit diesem Formular verarbeitet:
- Unternehmen bzw. Mandant (sofern sich personenbezogene Daten darin befinden)
- IP-Adresse: Diese ist aus technischen Gründen unerlässlich. Ohne diese könnten Sie unseren Webserver nicht erreichen.
- E-Mails-Adresse: Diese dient zum einen dazu, dass der Melder eine E-Mail als Nachweis seiner Meldung erhält und zum anderen dient diese uns als mögliche Kontaktadresse für Rückfragen.
- Freitextfeld: Die Möglichkeit zur Angabe von personenbezogenen Daten im Freitextfeld besteht, obliegt jedoch der meldenden Person. Wir weißen jedoch darauf hin, dass Sie dort keine sensiblen Informationen platzieren und melden sollten.
- Upload: Die hochgeladenen Nachweise sollten so ausgelegt sein, dass nur die notwendigsten personenbezogenen Daten enthalten sind. Über die Inhalte haben wir keinen Einfluss.
Mit diesen von Ihnen angegebenen Informationen im Formular werden direkt – ohne Zwischenspeicherung – zwei verschlüsselte E-Mails erzeugt.
- Die erste E-Mail erhält der Absender als Nachweis der Meldung.
- Die zweite E-Mail wird mit den bereitgestellten Informationen an den Bereich Governance, Risk & Compliance der NOVELLUS Integrierte Dienste GmbH gesendet. Dort werden die Unterlagen geprüft.
Für den Versand der E-Mails verwenden wir den E-Mail-Dienst der CleverReach GmbH & Co. KG, Schafjückenweg 2, 26180 Rastede, Deutschland. Wir haben einen Vertrag zur Auftragsverarbeitung (AV) gem. Art. 28 DSGVO mit unserem Mailing-Dienstleister abgeschlossen. Hierbei handelt es sich um eine rechtliche Vereinbarung, die gemäß der Datenschutz-Grundverordnung (DSGVO) erforderlich ist, wenn personenbezogene Daten von einem externen Dienstleister im Auftrag eines Verantwortlichen verarbeitet werden.
Dieser Vertrag regelt die Rechte und Pflichten zwischen dem Verantwortlichen, der die Daten bereitstellt, und dem Auftragsverarbeiter, der die Daten verarbeitet. Ziel ist es, sicherzustellen, dass die personenbezogenen Daten nur für den vorgesehenen Zweck verwendet werden und angemessen geschützt sind.
Weiterführende Informationen zum Thema CleverReach können hier eingesehen werden.
Die von Ihnen bereitgestellten Informationen werden ausschließlich im Rahmen der Geschäftsbeziehung gem. Art. 6 Abs. 1 lit. b DSGVO oder im Rahmen des berechtigten Interesses gem. Art. 6 Abs. 1 lit. f DSGVO von uns verarbeitet.
Hierzu ist oben beschriebener Prozess für uns erforderlich. Soweit es zur Abwicklung erforderlich sein sollte, binden wir unter Berücksichtigung der geltenden rechtlichen Vorschriften (z.B. im Rahmen einer Auftragsverarbeitung), weitere Stellen zur Prüfung Ihres Nachweises ein.
Die Nachweise bewahren wir für die Dauer des Geschäftsbeziehung zzgl. drei Jahre in unseren Systemen auf. Die im Rahmen der E-Mail-Kommunikation anfallenden Nachrichten werden für 6 bzw. 10 Jahre aufbewahrt.