1. Allgemeine Bestimmungen
Dieses Dokument (die „Richtlinie“) legt Zwecke und allgemeine Grundsätze der Verarbeitung personenbezogener Daten sowie die vom Verantwortlichen für den mit https://nashconnect.me verbundenen Nash-Dienst (dem „Verantwortlichen“, „Nash“) umgesetzten Sicherheitsmaßnahmen fest. Die Richtlinie ist öffentlich und für jedermann einsehbar.
Die Richtlinie gilt nach Verabschiedung unbefristet, bis sie durch eine neue Fassung ersetzt wird. Begriffe werden im Sinne des Bundesgesetzes der Russischen Föderation Nr. 152-FZ vom 27. Juli 2006 „Über personenbezogene Daten“ („152-FZ“) verwendet, soweit dies auf die Verarbeitung von Daten der Nutzer von Nash anwendbar ist.
Der Verantwortliche verarbeitet personenbezogene Daten gemäß dieser Richtlinie und dem anwendbaren Recht zum Datenschutz und zur Informationssicherheit.
2. Rechtsgrundlagen der Verarbeitung personenbezogener Daten
Die Verarbeitung erfolgt rechtmäßig und fair, einschließlich auf Grundlage der folgenden Regelungen, soweit russisches Recht auf das Verhältnis anwendbar ist:
- Verfassung der Russischen Föderation;
- Arbeitsgesetzbuch der Russischen Föderation;
- Zivilgesetzbuch der Russischen Föderation;
- Abgabenordnung der Russischen Föderation;
- Bundesgesetz Nr. 152-FZ vom 27. Juli 2006 „Über personenbezogene Daten“;
- Bundesgesetz Nr. 63-FZ vom 6. April 2011 „Über elektronische Signaturen“;
- Bundesgesetz Nr. 99-FZ vom 4. Mai 2011 „Über die Lizenzierung bestimmter Tätigkeiten“;
- Bundesgesetz Nr. 126-FZ vom 7. Juli 2003 „Über die Kommunikation“;
- Bundesgesetz Nr. 27-FZ vom 1. April 1996 „Über die individualisierte Kontoführung in der Pflichtrentenversicherung“;
- Bundesgesetz Nr. 125-FZ vom 22. Oktober 2004 „Über das Archivwesen in der Russischen Föderation“;
- Bundesgesetz Nr. 273-FZ vom 29. Dezember 2012 „Über die Bildung in der Russischen Föderation“.
Für Nutzer im EWR und im Vereinigten Königreich gelten darüber hinaus die DSGVO und das anwendbare Datenschutzrecht (einschließlich UK GDPR und Data Protection Act 2018), soweit erforderlich.
3. Verfahren und Bedingungen der Verarbeitung personenbezogener Daten
Der Verantwortliche verarbeitet personenbezogene Daten mit automatisierten und nicht automatisierten Mitteln.
Folgende Vorgänge können erfolgen: Erhebung, Erfassung, Organisation, Ordnung, Speicherung, Anpassung oder Veränderung, Auslesen, Abfrage, Verwendung, Offenlegung durch Übermittlung (Bereitstellung, Zugang), Anonymisierung, Sperrung, Löschung oder Vernichtung personenbezogener Daten.
Daten werden in Bezug auf die Verarbeitungszwecke richtig, ausreichend und aktuell gehalten; unrichtige oder unvollständige Daten werden berichtigt.
Soweit 152-FZ oder sonstiges Recht es verlangt, erfolgen Erhebung und Verarbeitung mit Einwilligung der betroffenen Person, sofern das Gesetz nichts anderes vorsieht. Die Einwilligung kann einer eigenhändigen Unterschrift gleichstehen, einschließlich qualifizierter elektronischer Signatur, oder durch eindeutige bestätigende Handlungen auf der Website (Annahme des Angebots, Ankreuzen, Formulare), soweit rechtlich zulässig.
Der Verantwortliche verarbeitet keine besonderen Kategorien personenbezogener Daten zu rassischer oder ethnischer Herkunft, politischen Meinungen, religiösen oder weltanschaulichen Überzeugungen oder dem Sexualleben, außer wenn das Gesetz dies ausdrücklich vorschreibt.
Biometrische Daten werden nicht verarbeitet, es sei denn, es liegt eine gesonderte schriftliche Einwilligung vor, sofern eine solche Verarbeitung jemals erforderlich und gesetzlich zulässig ist.
Personenbezogene Daten werden nicht länger verarbeitet und gespeichert, als für die Zwecke erforderlich, es sei denn, das Recht sieht eine längere Verarbeitung vor.
Die Verarbeitung aufgrund von Verträgen und sonstigen Vereinbarungen sowie Auftragsverarbeitung erfolgt gemäß diesen Unterlagen. Wo Gesetz oder Vertrag nichts anderes vorsieht, erfolgt die Verarbeitung nach Einwilligung oder auf sonstiger Rechtsgrundlage.
Der Verantwortliche ergreift angemessene rechtliche, organisatorische und technische Maßnahmen zum Schutz personenbezogener Daten, einschließlich:
- Benennung Verantwortlicher für Organisation und Sicherheit der Verarbeitung;
- Vertraulichkeitsregelungen in Verträgen mit Auftragnehmern;
- interne Regelungen, Schulungen und Weisungen;
- Zugriffsbeschränkung und Trennung der Verarbeitungssysteme;
- Bedrohungsanalyse und Sicherheitstechnik (Antivirus, Firewalls, Verschlüsselung bei Übertragung);
- Medienkontrolle, Backups und interne Compliance;
- Reaktion auf IT-Sicherheitsvorfälle.
4. Rechte der Betroffenen
Die betroffene Person kann eine Einwilligung widerrufen, indem sie eine Anfrage an support@nashconnect.me und/oder über den Support-Bereich auf der Website sendet oder andere gesetzlich vorgesehene Wege nutzt.
Die betroffene Person hat ein Auskunftsrecht im Umfang von 152-FZ und sonstigem anwendbarem Recht, einschließlich Bestätigung der Verarbeitung, Rechtsgrundlagen und Zwecke, Verarbeitungsmethoden, Identität und Anschrift des Verantwortlichen, Empfängerkategorien, verarbeitete Daten und Herkunft, Speicherfristen, grenzüberschreitende Übermittlung, Auftragsverarbeiter und sonstige gesetzlich vorgeschriebene Informationen.
Die Person kann Berichtigung, Sperrung oder Löschung verlangen, wenn Daten unvollständig, veraltet, unrichtig, unrechtmäßig erhoben oder für den Zweck nicht mehr erforderlich sind, und sonstige gesetzliche Rechtsbehelfe nutzen.
Wenn die Person der Ansicht ist, dass die Verarbeitung gegen 152-FZ oder andere Rechte verstößt, kann sie sich bei der zuständigen Aufsichtsbehörde (in der Russischen Föderation: Roskomnadzor) oder vor Gericht beschweren.
Die betroffene Person kann ihre Rechte und berechtigten Interessen schützen, einschließlich Schadenersatz und immaterieller Schadensersatz vor Gericht, soweit anwendbares Recht dies vorsieht.
5. Rechte und Pflichten des Verantwortlichen
Rechte und Pflichten des Verantwortlichen bestimmen sich nach anwendbarem Recht und Vereinbarungen mit Betroffenen und Auftragnehmern. Die Einhaltung dieser Richtlinie wird durch eine benannte Person für die Organisation der Verarbeitung überwacht.
Die Haftung von Personen, die im Auftrag verarbeiten, richtet sich nach dem zivilrechtlichen Vertrag oder Geheimhaltungsvereinbarung mit dem Verantwortlichen.
Personen, die Vorschriften zur Verarbeitung und zum Schutz personenbezogener Daten verletzen, können nach Bundesrecht, internen Regelungen und Vereinbarungen materiell, disziplinarisch, verwaltungsrechtlich, zivil- oder strafrechtlich haftbar sein.
Die Richtlinie wird von der für die Organisation der Verarbeitung Verantwortlichen erstellt und tritt nach Genehmigung in Kraft. Anregungen senden Sie an support@nashconnect.me. Die Richtlinie wird mindestens jährlich überprüft und bei Bedarf aktualisiert. Angaben zum Verantwortlichen (Name, Adresse, Kontakte) finden sich auf der Seite „Kontakte“ auf der Website.
Die Nutzungsbedingungen von Nash finden sich außerdem im Dokument „Nutzungsbedingungen“ unter https://nashconnect.me/terms.