Verantwortlicher
Für die Daten der Tauchbasis und ihrer internen Nutzer ist Munaeko Development Software Solutions, S.L. (Marke Okeanun) Verantwortlicher. Für die von der Tauchbasis verwalteten Daten von Tauchern/Kunden ist die Tauchbasis verantwortlich und Okeanun handelt als Auftragsverarbeiter. Datenschutzkontakt: [email protected].
- Firmenname
- MUNAEKO DEVELOPMENT SOFTWARE SOLUTIONS, S.L.
- Marke
- Okeanun
- Steuernummer
- B88989868
- Sitz
- Gran Vía Manuel López Carreño, 1, 2.º, 30180 Bullas, Murcia, España
- D-U-N-S-Nummer
- 374074558
- Datenschutzkontakt
- [email protected]
- Land
- Spanien
1. Verantwortlicher und Kontaktkanal
Im Rahmen von Okeanun Manager (der „Dienst" oder „Manager") hängt die Datenschutzrolle von der konkreten Verarbeitung und davon ab, wer deren Zwecke und Mittel bestimmt. Im Allgemeinen ist Munaeko Development Software Solutions, S.L. (Steuernummer B88989868, Gran Vía Manuel López Carreño, 1, 2.º, 30180 Bullas, Murcia, Spanien) für die Daten der Basis (einschließlich interner Nutzer, Personal, Verwaltungs- und Abrechnungskontakte sowie Dienstnutzung) Verantwortlicher. Für die Daten der Taucher/Kunden, die die Basis im Manager verwaltet, ist die Basis Verantwortlicher und Okeanun handelt als Auftragsverarbeiter, gemäß dem geltenden AVV (Art. 28 DSGVO), der bei Abschluss des Abonnements akzeptiert wird. Der Datenschutzkanal ist [email protected].
2. Zweck und Umfang dieser Erklärung
Diese Erklärung erfüllt die Informationspflicht in digitalen Diensten und erläutert klar und verständlich, welche Daten verarbeitet werden, zu welchen Zwecken, auf welchen Rechtsgrundlagen, wie lange, an welche Empfänger oder Auftragsverarbeiter sie weitergegeben werden können, ob internationale Übermittlungen stattfinden und welche Rechte die Betroffenen haben, einschließlich des Beschwerderechts bei der spanischen Datenschutzbehörde (AEPD). Für den Manager deckt sie (i) die eigene Verarbeitung von Okeanun als Verantwortlicher (Daten der Basis und interner Nutzer) und (ii) die Verarbeitung durch Okeanun als Auftragsverarbeiter der Basis (Daten der Taucher/Kunden) ab.
3. Zentrale Begriffe
Personenbezogene Daten sind alle Informationen über eine identifizierte oder identifizierbare natürliche Person; Verarbeitung ist jeder Vorgang mit personenbezogenen Daten (Erhebung, Speicherung, Organisation, Nutzung, Offenlegung oder Löschung). Verantwortlicher ist, wer Zwecke und Mittel bestimmt; Auftragsverarbeiter, wer Daten im Auftrag verarbeitet; Empfänger, wem Daten offengelegt werden. Diese Unterscheidung ist wesentlich, um zu bestimmen, wann Okeanun im Auftrag der Basis (als Auftragsverarbeiter) und wann für eigene Zwecke (als Verantwortlicher) handelt.
4. Grundsätze und Rechenschaftspflicht
Okeanun wendet die Grundsätze der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit an, sodass die Daten auf das Notwendige beschränkt, nur so lange wie nötig aufbewahrt und mit geeigneten Maßnahmen geschützt werden, und die Einhaltung durch interne Dokumentation und ggf. Verzeichnisse nachgewiesen werden kann. Datenschutz durch Technikgestaltung und durch Voreinstellungen bedeutet, dass standardmäßig nur notwendige Daten verarbeitet und nicht ohne menschliches Eingreifen einer unbestimmten Zahl von Personen zugänglich gemacht werden.
5. Betroffene und im Manager verarbeitete Daten
Der Manager kann Daten verschiedener Kategorien verarbeiten: (i) Personal und interne Nutzer der Basis; (ii) geschäftliche Kontakte der Basis; (iii) Taucher/Kunden der Basis (registriert oder nicht, einschließlich „Gasttaucher"); und (iv) ggf. weitere buchungsbezogene Kontakte. Je nach Konfiguration können die Daten Identifikations- und Kontaktdaten, Buchungs- und Aktivitätsdaten, Brevets, Versicherungs- und möglicherweise Gesundheitsdaten (besondere Kategorie) sowie zahlungsbezogene Informationen umfassen. Die Verarbeitung besonderer Kategorien erfordert verstärkte Garantien und Sicherheit.
6. Zwecke und Rechtsgrundlagen, wenn Okeanun Verantwortlicher ist
Verarbeitet Okeanun Daten der Basis als Verantwortlicher, umfassen die Zwecke: (i) Verwaltung des Onboardings, des Kontos und der Zugänge interner Nutzer; (ii) Verwaltung von Abonnement, Abrechnung und Einzug einschließlich Zahlungsfragen und betrieblicher Kommunikation; (iii) technischer Support und Kundendienst; (iv) Gewährleistung der Sicherheit, Betrugsprävention und angemessene technische Protokolle; und (v) Erfüllung gesetzlicher Pflichten. Diese Zwecke stützen sich je nach Fall auf die Erforderlichkeit zur Vertragserfüllung mit der Basis und/oder auf das berechtigte Interesse an Sicherheit und Betrieb des Dienstes, unbeschadet gesetzlicher Pflichten.
7. Verarbeitung, wenn Okeanun Auftragsverarbeiter ist
Für die Daten der Taucher/Kunden, die die Basis im Manager verwaltet, handelt Okeanun als Auftragsverarbeiter und verarbeitet Daten nur nach den dokumentierten Weisungen der Basis. Okeanun bestimmt keine eigenen Zwecke für diese Daten und verpflichtet sich, Vertraulichkeit zu wahren, geeignete Sicherheitsmaßnahmen zu treffen, die Basis bei Betroffenenrechten zu unterstützen und die Daten am Ende der Bereitstellung nach Wahl der Basis zu löschen oder zurückzugeben, sofern keine gesetzliche Aufbewahrung gilt. Bestimmte Okeanun eigene Zwecke unter Verstoß gegen diesen Rahmen, könnte es für diese Verarbeitung als Verantwortlicher gelten.
8. Auftragsverarbeiter, Unterauftragsverarbeiter und Empfänger
Zur Bereitstellung des Dienstes kann Okeanun Anbieter einsetzen, die Daten in seinem Auftrag verarbeiten, wobei nur Anbieter mit hinreichenden Garantien gewählt und ein schriftliches Rechtsinstrument mit Gegenstand, Dauer, Art, Zweck, Datentypen und Betroffenenkategorien sowie gleichwertigen Pflichten geschlossen wird. Bei Unterauftragsverarbeitung darf kein weiterer Auftragsverarbeiter ohne vorherige Genehmigung hinzugezogen werden, und beabsichtigte Änderungen sind mitzuteilen, wobei der Verantwortliche aus berechtigten Gründen widersprechen kann.
9. Internationale Übermittlungen
Sind am Dienst Anbieter außerhalb des Europäischen Wirtschaftsraums beteiligt oder werden Daten aus Drittländern verarbeitet, gestaltet Okeanun solche Übermittlungen gemäß den gesetzlichen Anforderungen, unter Nutzung geeigneter Garantien und unter Vorhaltung ausreichender Informationen über diese Garantien und den Zugang dazu. Das Bestehen internationaler Übermittlungen und der Verweis auf die Garantien gehören zu den Mindestinformationen in Datenschutzerklärungen digitaler Dienste.
10. Speicherfristen und Löschkriterien
Personenbezogene Daten werden so lange aufbewahrt, wie es für die Zwecke erforderlich ist; wo keine konkrete Frist angegeben werden kann, nach objektiven Kriterien im Einklang mit der Vertragsbeziehung und möglichen Haftungen. Bei Verarbeitung, in der Okeanun Auftragsverarbeiter ist, werden die Daten am Ende der Bereitstellung nach Wahl der Basis gelöscht oder zurückgegeben, mitsamt Löschung der Kopien, sofern nicht EU- oder spanisches Recht eine Aufbewahrung verlangt. Die Speicherbegrenzung ist ein wesentlicher Grundsatz und wird mit Lösch-, Aufbewahrungs- und ggf. Sperrverfahren verbunden.
11. Betroffenenrechte und ihre Ausübung
Die Betroffenen haben das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung sowie auf Beschwerde bei der Aufsichtsbehörde; diese Information ist klar, zugänglich und über geeignete, auch elektronische Mittel bereitzustellen. Im Manager ist der Kanal für Datenschutzangelegenheiten, bei denen Okeanun Verantwortlicher ist, [email protected]. Für Verarbeitungen, bei denen die Basis Verantwortlicher ist (von der Basis verwaltete Taucher-/Kundendaten), sind die Rechte vorzugsweise gegenüber der Basis auszuüben; erhält Okeanun eine Anfrage zu einer Auftragsverarbeitung, kann es sie weiterleiten oder technisch unterstützen. Der Verantwortliche informiert schriftlich über die getroffenen Maßnahmen und stellt die Information unentgeltlich bereit, mit Grenzen bei offenkundig unbegründeten oder exzessiven Anträgen.
12. Mehrschichtige Information in Formularen
An Erhebungspunkten im Dienst (Registrierung, Einladung interner Nutzer, betriebliche Formulare, Konfigurationsbildschirme) kann ein mehrschichtiges Informationsmodell verwendet werden: eine kurze erste Schicht mit Identität des Verantwortlichen, Zweck und Verweis auf die Ausübung von Rechten, mit Verweis auf diese Erklärung für den vollständigen Detailgrad. Dieses Modell entspricht den Transparenzkriterien in digitalen Umgebungen und erfüllt die Informationspflicht, ohne Formulare oder Registrierungsprozesse zu überladen.
13. Sicherheit der Verarbeitung und Nachvollziehbarkeit
Okeanun wendet geeignete technische und organisatorische Maßnahmen für ein dem Risiko angemessenes Sicherheitsniveau an, einschließlich Zugriffskontrollen und Maßnahmen zur Verhinderung unbefugten Zugriffs, zur Gewährleistung der Integrität und zur Wiederherstellung nach Unterbrechungen. Wo aufgrund von Datenart und Risiken erforderlich, werden Kontrollen zur Nachvollziehbarkeit von Eingabe und Zugriff umgesetzt, besonders relevant bei sensiblen Unterlagen. Die Sicherheit ist am Stand der Technik, den Kosten sowie an Art, Umfang, Umständen und Zwecken auszurichten und bei Bedarf zu aktualisieren.
14. Verletzungen des Datenschutzes und Meldung
Bei einer Verletzung des Schutzes personenbezogener Daten muss der Verantwortliche die Fakten, Auswirkungen und Abhilfemaßnahmen dokumentieren. Handelt Okeanun als Auftragsverarbeiter, benachrichtigt es den Verantwortlichen (die Basis) unverzüglich über ihm bekannt gewordene Verletzungen. Das Reaktionsschema und die Meldefristen sind Teil der erforderlichen Sicherheits-Governance, insbesondere in digitalen Diensten.
15. Automatisierte Entscheidungen und Profiling
Sollte der Dienst automatisierte Entscheidungen oder Profiling mit Relevanz für die Betroffenen umsetzen, ist deren Bestehen offenzulegen und zumindest in solchen Fällen aussagekräftige Information über die involvierte Logik sowie die Tragweite und die vorgesehenen Folgen für die betroffene Person bereitzustellen. Ohne solche Entscheidungen trifft der Dienst keine ausschließlich automatisierten Einzelentscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung ohne die entsprechende Information und Garantien.
16. Datenschutzbeauftragter
Sofern zutreffend, sind die Kontaktdaten des Datenschutzbeauftragten anzugeben, unter Gewährleistung seiner ordnungsgemäßen und rechtzeitigen Einbindung, seines Zugangs zu Daten und Verarbeitungsvorgängen sowie seiner Unabhängigkeit. Im Dienst ist der benannte Datenschutzkanal [email protected].
17. Änderungen der Datenschutzerklärung
Okeanun kann diese Erklärung bei Änderungen des Dienstes, seiner Prozesse oder regulatorischer Entwicklungen aktualisieren. Die aktuelle Fassung wird zugänglich bereitgestellt, und wesentliche Änderungen werden über angemessene Mechanismen innerhalb des Dienstes oder elektronisch mitgeteilt, im Einklang mit der Transparenzpflicht.
18. Verzeichnis von Verarbeitungstätigkeiten
Okeanun führt das Verzeichnis der Verarbeitungstätigkeiten, die es als Verantwortlicher durchführt, und ggf. der Tätigkeiten, die es als Auftragsverarbeiter im Auftrag der Basis durchführt, mit dem erforderlichen Mindestinhalt (Zwecke, Kategorien von Betroffenen und Daten, Empfänger, internationale Übermittlungen, Löschfristen und allgemeine Beschreibung der Sicherheitsmaßnahmen). Diese Verzeichnisse werden der Aufsichtsbehörde auf Anfrage zur Verfügung gehalten.
19. Folgenabschätzung und Risikoanalyse bei sensiblen Verarbeitungen
Unterstützt der Dienst die umfangreiche Verarbeitung besonderer Datenkategorien oder Verarbeitungen, die aufgrund neuer Technologien, ihrer Art, ihres Umfangs, ihrer Umstände oder Zwecke ein hohes Risiko für Rechte und Freiheiten bergen, führt Okeanun die entsprechende Risikoanalyse und ggf. eine Datenschutz-Folgenabschätzung durch und ergreift die erforderlichen Minderungsmaßnahmen. Verbleibt danach ein hohes Restrisiko, wird die Aufsichtsbehörde vor Beginn der Verarbeitung konsultiert.