Richtlinie zur Datenaufbewahrung

1. Zweck, Umfang und Nutzer

Diese Richtlinie legt die erforderlichen Aufbewahrungsfristen für bestimmte Kategorien personenbezogener Daten fest und legt die Mindeststandards fest, die bei der Vernichtung bestimmter Informationen innerhalb von Timewax BV anzuwenden sind

Diese Richtlinie gilt für alle Geschäftseinheiten, Prozesse und Systeme in allen Ländern, in denen Timewax BV geschäftlich tätig ist und Geschäfte oder sonstige Geschäftsbeziehungen mit Dritten unterhält.

Diese Richtlinie gilt für alle leitenden Angestellten, Direktoren, Mitarbeiter, Vertreter, verbundenen Unternehmen, Auftragnehmer, Berater, Berater oder Dienstleister des Unternehmens, die möglicherweise Daten (einschließlich personenbezogener Daten und/oder sensibler personenbezogener Daten) sammeln, verarbeiten oder Zugriff darauf haben. Es liegt in der Verantwortung aller oben genannten Personen, sich mit dieser Richtlinie vertraut zu machen und sicherzustellen, dass sie angemessen eingehalten wird.

Diese Richtlinie gilt für alle bei Timewax BV verwendeten Informationen. Beispiele für Dokumente sind:

• E-Mails
• Papierdokumente
• Softcopy-Dokumente
• Video und Audio
• Von physischen Zugangskontrollsystemen generierte Daten

2. Referenzdokumente

• EU-DSGVO 2016/679 (Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung Richtlinie 95/46/EG)
• Algemene Verordening Gegevensbescherming (AVG) nach niederländischem Recht
• Allgemeine Datenschutzrichtlinie

3. Aufbewahrungsregeln

3.1. Allgemeines Aufbewahrungsprinzip

Für alle Kategorien von Dokumenten, die an anderer Stelle in dieser Richtlinie (und insbesondere in Anhang I) nicht ausdrücklich definiert sind, und sofern das geltende Recht nichts anderes vorschreibt, beträgt die erforderliche Aufbewahrungsfrist für dieses Dokument drei Jahre ab dem Datum der Erstellung des Dokuments.

3.2. Allgemeiner Aufbewahrungsplan

Der Chief Information Security Officer legt den Zeitraum fest, für den die Dokumente und elektronischen Aufzeichnungen im Datenaufbewahrungsplan aufbewahrt werden sollen.

Als Ausnahme können die Aufbewahrungsfristen im Rahmen des Datenaufbewahrungsplans in folgenden Fällen verlängert werden:

• Laufende Untersuchungen durch die Behörden der Mitgliedstaaten, falls die Möglichkeit besteht, dass Timewax BV Aufzeichnungen über personenbezogene Daten benötigt, um die Einhaltung gesetzlicher Anforderungen nachzuweisen; oder
• Bei der Ausübung gesetzlicher Rechte in Fällen von Rechtsstreitigkeiten oder ähnlichen, nach lokalem Recht anerkannten Gerichtsverfahren.

3.3. Schutz der Daten während der Aufbewahrungsfrist

Die Möglichkeit einer Abnutzung der zur Archivierung verwendeten Datenträger ist zu berücksichtigen. Bei der Wahl elektronischer Speichermedien sind auch alle Verfahren und Systeme zu speichern, die den Zugriff auf die Informationen während der Aufbewahrungsfrist (sowohl im Hinblick auf den Informationsträger als auch auf die Lesbarkeit von Formaten) gewährleisten, um die Informationen vor Verlust zu schützen Ergebnis zukünftiger technologischer Veränderungen. Die Verantwortung für die Speicherung liegt beim Chief Information Security Officer.

3.4. Zerstörung von Daten

Timewax BV und seine Mitarbeiter sollten daher regelmäßig alle Daten überprüfen, unabhängig davon, ob sie elektronisch auf ihrem Gerät oder auf Papier gespeichert sind, um zu entscheiden, ob Daten vernichtet oder gelöscht werden, sobald der Zweck, für den diese Dokumente erstellt wurden, nicht mehr relevant ist. Den Aufbewahrungsplan finden Sie im Anhang. Die Gesamtverantwortung für die Datenvernichtung liegt beim Chief Information Security Officer.

Sobald die Entscheidung getroffen wurde, gemäß dem Aufbewahrungsplan zu entsorgen, sollten die Daten in einem Ausmaß gelöscht, geschreddert oder auf andere Weise vernichtet werden, das ihrem Wert für andere und ihrem Grad an Vertraulichkeit entspricht. Die Entsorgungsmethode variiert und hängt von der Art des Dokuments ab. Beispielsweise müssen alle Dokumente, die sensible oder vertrauliche Informationen (und besonders sensible personenbezogene Daten) enthalten, als vertraulicher Abfall entsorgt und einer sicheren elektronischen Löschung unterzogen werden; Einige abgelaufene oder ersetzte Verträge rechtfertigen möglicherweise nur die interne Aktenvernichtung. Der nachstehende Abschnitt „Dokumentenentsorgungsplan“ definiert die Art der Entsorgung.

In diesem Zusammenhang hat der Mitarbeiter die für die Informationsvernichtung relevanten Aufgaben und Verantwortungen in angemessener Weise wahrzunehmen. Der konkrete Lösch- oder Vernichtungsvorgang kann entweder durch einen Mitarbeiter oder durch einen internen oder externen Dienstleister durchgeführt werden, den der Chief Information Security Officer zu diesem Zweck beauftragt. Alle geltenden allgemeinen Bestimmungen der einschlägigen Datenschutzgesetze und der Allgemeinen Datenschutzrichtlinie von Timewax BV müssen eingehalten werden.

Es müssen geeignete Kontrollen vorhanden sein, die den dauerhaften Verlust wesentlicher Informationen von Timewax BV infolge einer böswilligen oder unbeabsichtigten Zerstörung von Informationen verhindern – diese Kontrollen sind in der Informationssicherheitsrichtlinie beschrieben.

Der Chief Information Security Officer muss den Vernichtungsprozess vollständig dokumentieren und genehmigen. Die geltenden gesetzlichen Anforderungen an die Vernichtung von Informationen, insbesondere die Anforderungen der geltenden Datenschutzgesetze, sind vollständig zu beachten.

3.5. Verstoß, Durchsetzung und Compliance

Die für den Datenschutz zuständige Person (Chief Information Security Officer) ist dafür verantwortlich, sicherzustellen, dass alle Büros von Timewax BV diese Richtlinie einhalten. Es liegt auch in der Verantwortung des Chief Information Security Officer, jedes örtliche Büro bei Anfragen lokaler Datenschutz- oder Regierungsbehörden zu unterstützen.

Jeder Verdacht auf einen Verstoß gegen diese Richtlinie muss unverzüglich dem Chief Information Security Officer gemeldet werden. Alle Fälle mutmaßlicher Verstöße gegen die Richtlinie werden untersucht und gegebenenfalls werden entsprechende Maßnahmen ergriffen.

Die Nichteinhaltung dieser Richtlinie kann nachteilige Folgen haben, einschließlich, aber nicht beschränkt auf, Verlust des Kundenvertrauens, Rechtsstreitigkeiten und Verlust von Wettbewerbsvorteilen, finanzielle Verluste und Rufschädigung von Timewax BV, Personenschäden, Schäden oder Verluste. Die Nichteinhaltung dieser Richtlinie durch Festangestellte, Zeitarbeitskräfte oder Vertragsmitarbeiter oder Dritte, denen Zugang zu den Räumlichkeiten oder Informationen des Unternehmens gewährt wurde, kann daher zu einem Disziplinarverfahren oder zur Kündigung ihres Arbeitsverhältnisses oder Vertrags führen. Eine solche Nichteinhaltung kann auch zu rechtlichen Schritten gegen die an solchen Aktivitäten beteiligten Parteien führen.

4. Dokumentenentsorgung

4.1. Routinemäßiger Entsorgungsplan

Folgende Aufzeichnungen können routinemäßig vernichtet werden, es sei denn, sie unterliegen einer laufenden rechtlichen oder behördlichen Untersuchung:

• Ankündigungen und Mitteilungen über tägliche Besprechungen und andere Ereignisse, einschließlich Annahmen und Entschuldigungen;
• Anfragen nach gewöhnlichen Informationen wie etwa Wegbeschreibungen;
• Reservierungen für interne Besprechungen ohne Gebühren / externe Kosten;
• Übermittlungsdokumente wie Briefe, Faxdeckblätter, E-Mail-Nachrichten, Laufzettel, Glückwunschzettel und ähnliche Gegenstände, die den Dokumenten beiliegen, aber keinen Mehrwert darstellen;
• Nachrichtenzettel;
• Ersetzte Adressliste, Verteilerlisten etc.;
• Doppelte Dokumente wie CC- und FYI-Kopien, unveränderte Entwürfe, Snapshot-Ausdrucke oder Auszüge aus Datenbanken und Tagesakten;
• Bestand an internen Veröffentlichungen, die veraltet oder überholt sind; Und
• Fachzeitschriften, Anbieterkataloge, Flyer und Newsletter von Anbietern oder anderen externen Organisationen.

In allen Fällen unterliegt die Veräußerung etwaigen Offenlegungspflichten, die im Rahmen eines Rechtsstreits bestehen können.

4.2. Zerstörungsmethode

Dokumente der Stufe I sind solche, die Informationen enthalten, die höchster Sicherheit und Vertraulichkeit unterliegen, sowie solche, die personenbezogene Daten enthalten. Diese Dokumente werden als vertraulicher Abfall entsorgt (quergeschnitten und verbrannt) und einer sicheren elektronischen Löschung unterzogen. Der Entsorgung der Dokumente sollte ein Nachweis der Vernichtung beiliegen.

Dokumente der Stufe II sind geschützte Dokumente, die vertrauliche Informationen wie Namen, Unterschriften und Adressen von Parteien enthalten oder von Dritten zur Begehung von Betrug verwendet werden könnten, aber keine personenbezogenen Daten enthalten. Die Dokumente sollten quergeschnitten und anschließend in verschlossenen Müllbehältern zur Abholung durch ein zugelassenes Entsorgungsunternehmen entsorgt werden. Elektronische Dokumente unterliegen der sicheren elektronischen Löschung.

Dokumente der Stufe III sind solche, die keine vertraulichen Informationen oder personenbezogenen Daten enthalten und veröffentlichte Unternehmensdokumente sind. Diese sollten zerkleinert oder über ein Recyclingunternehmen entsorgt werden und umfassen unter anderem Anzeigen, Kataloge, Flyer und Newsletter. Diese können ohne Prüfprotokoll entsorgt werden.