Datenschutzerklärung

§ 1 Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung ist:

§ 2 Datenschutzkontakt

Für Fragen zum Datenschutz, zur Verarbeitung personenbezogener Daten sowie zur Wahrnehmung von Betroffenenrechten können Sie sich an folgende Stelle wenden:

Die Bezeichnung „Datenschutzkontakt“ bedeutet nicht automatisch, dass die genannte Stelle ein förmlich bestellter Datenschutzbeauftragter im Sinne von Art. 37 DSGVO ist.

Soweit ein Datenschutzbeauftragter gesetzlich erforderlich und förmlich bestellt ist, werden dessen gesetzlich erforderliche Kontaktdaten entsprechend bekannt gegeben.

§ 3 Geltungsbereich

Diese Datenschutzerklärung gilt insbesondere für die Verarbeitung personenbezogener Daten folgender Personengruppen:

§ 4 Begriffsbestimmungen

Es gelten die Begriffsbestimmungen des Art. 4 DSGVO.

§ 5 Grundsätze der Datenverarbeitung

Medeed verarbeitet personenbezogene Daten insbesondere unter Beachtung der Grundsätze:

Zugriffe auf personenbezogene Daten werden entsprechend dem jeweiligen Zweck und der jeweiligen Funktion beschränkt.

§ 6 Zwecke der Datenverarbeitung

Personenbezogene Daten werden insbesondere verarbeitet für:

§ 7 MedPortal

Medeed betreibt das MedPortal als zentrale digitale Plattform für Recruiting-, Personal-, Beschäftigungs-, Anerkennungs-, Verwaltungs- und Unternehmensprozesse.

Eigene Benutzerkonten können insbesondere eingerichtet werden für:

Über das MedPortal können – abhängig von der jeweiligen Berechtigung – insbesondere:

§ 8 Rollen- und Berechtigungskonzept

Der Zugang zum MedPortal erfolgt rollen- und aufgabenbezogen.

Nicht jeder Nutzer kann sämtliche im Portal gespeicherten Informationen einsehen.

Medeed folgt insbesondere dem: Need-to-know-Prinzip.

Dies bedeutet beispielsweise:

Zugriffsrechte können jederzeit:

• angepasst,
• eingeschränkt,
• vorübergehend gesperrt oder
• vollständig entzogen werden.

§ 9 Beschäftigten- und Mitarbeiterportal

Medeed verarbeitet im MedPortal auch Daten eigener Beschäftigter.

Hierzu können insbesondere gehören:

Beschäftigte können für sie bestimmte Dokumente im Portal:

• einsehen,
• herunterladen,
• bestätigen,
• freigeben oder
• soweit vorgesehen elektronisch unterzeichnen.

§ 10 Bewerberdaten vor Einrichtung eines Portalzugangs

Personenbezogene Daten von Bewerbern und Fachkräften können bereits verarbeitet werden, bevor die betreffende Person einen eigenen MedPortal-Zugang erhält.

Dies ist beispielsweise möglich, wenn:

• eine Bewerbung unmittelbar an Medeed übermittelt wird,
• eine Fachkraft durch einen Recruiting-Partner vorgestellt wird,
• ein Recruiting-Partner Kandidateninformationen einträgt,
• Unterlagen vorab geprüft werden,
• ein Erstgespräch stattfindet,
• ein Interview durchgeführt wird.

Hierbei können insbesondere verarbeitet werden:

Werden personenbezogene Daten nicht unmittelbar bei der betroffenen Person erhoben, berücksichtigt Medeed die Informationspflichten gemäß Art. 14 DSGVO.

Nach Aufnahme in den weiteren Prozess kann ein eigenes Benutzerkonto eingerichtet werden.

§ 11 Identitätsprüfung und Video-Ident-Verfahren

Für bestimmte Portalzugänge oder rechtsgeschäftlich relevante Vorgänge kann eine Identitätsprüfung erforderlich sein.

Dies kann insbesondere betreffen:

• Fachkräfte,
• Beschäftigte,
• Arbeitgebervertreter,
• Ansprechpartner von Einrichtungen,
• Recruiting-Partner,
• Mitarbeiter von Recruiting-Partnern,
• sonstige autorisierte Nutzer.

Zwecke sind insbesondere:

• eindeutige Identifikation,
• Vermeidung von Identitätsmissbrauch,
• Schutz von Benutzerkonten,
• Verhinderung unberechtigter Zugriffe,
• Überprüfung von Vertragspartnern,
• Absicherung elektronischer Erklärungen,
• Vorbereitung bestimmter Signaturprozesse.

Je nach Verfahren können insbesondere eingesetzt werden:

Beim eingesetzten Video-Ident-Verfahren wird ein Identitätsdokument geprüft und die Person im Rahmen einer Videoverbindung mit dem Dokument abgeglichen.

Dabei können insbesondere verarbeitet werden:

Medeed unterstellt in dieser Datenschutzerklärung keine automatisierte biometrische Gesichtserkennung.

Sollte zukünftig ein Verfahren eingesetzt werden, bei dem biometrische Daten zur eindeutigen Identifikation verarbeitet werden, werden die besonderen Anforderungen des Art. 9 DSGVO geprüft und die Datenschutzinformationen entsprechend angepasst.

§ 12 Externe Identifizierungs- und Signaturdienstleister

Medeed kann für Identitätsprüfungen und elektronische Signaturen spezialisierte externe Dienstleister einsetzen.

Zum Stand dieser Datenschutzerklärung wird für bestimmte Verfahren Paperless testweise eingesetzt.

Da Medeed international tätig ist, kann der eingesetzte Anbieter insbesondere aufgrund folgender Umstände wechseln:

• Verfügbarkeit im jeweiligen Staat,
• technische Voraussetzungen,
• Anforderungen zuständiger Behörden,
• rechtliche Anforderungen,
• unterstützte Identitätsdokumente,
• Sicherheitsanforderungen,
• Anforderungen des jeweiligen Signaturverfahrens.

Insbesondere können bestimmte Verfahren für Personen in einzelnen Drittstaaten nicht oder nicht in gleicher Weise verfügbar sein.

Der im konkreten Vorgang tatsächlich verwendete Anbieter wird vor Durchführung der Identitätsprüfung bzw. Signatur transparent angezeigt oder mitgeteilt.

§ 13 Elektronische Signaturen und digitale Bestätigungen

Dokumente können im MedPortal elektronisch:

• bestätigt,
• freigegeben,
• unterzeichnet werden.

Abhängig vom Dokument und den rechtlichen Anforderungen können unterschiedliche Verfahren verwendet werden.

Hierzu können insbesondere gehören:

• einfache elektronische Signaturen,
• fortgeschrittene elektronische Signaturen,
• qualifizierte elektronische Signaturen (QES).

Nicht jede elektronische Unterschrift ist eine QES und nicht jedes Dokument erfordert eine QES.

Soweit für ein konkretes Dokument eine qualifizierte elektronische Signatur eingesetzt wird, können insbesondere erforderlich sein:

• vorherige Identitätsprüfung,
• Mobilfunknummer,
• SMS-Code,
• TAN,
• Einmalcode,
• App-Bestätigung oder
• sonstige sichere Authentifizierung.

Hierbei können insbesondere verarbeitet werden:

Die bloße Anmeldung im MedPortal ist keine elektronische Unterschrift.

Eine einmal durchgeführte Identitätsprüfung bedeutet ebenfalls nicht, dass zukünftige Dokumente automatisch unterzeichnet werden.

Jeder Signaturvorgang bezieht sich auf das jeweils konkrete Dokument.

§ 14 Internationale Verfügbarkeit von Identitäts- und Signaturverfahren

Bestimmte elektronische Identitäts- oder Signaturverfahren stehen nicht zwingend in allen Staaten oder für alle Personen zur Verfügung.

Ist ein Verfahren aufgrund:

• des jeweiligen Staates,
• des Identitätsdokuments,
• technischer Beschränkungen,
• rechtlicher Voraussetzungen,
• Anforderungen eines Vertrauensdiensteanbieters oder
• Anforderungen einer Behörde

nicht verfügbar oder nicht geeignet, kann Medeed – soweit rechtlich zulässig – ein anderes geeignetes Verfahren verwenden.

Ein Anspruch auf Nutzung eines bestimmten Identitäts- oder Signaturanbieters besteht nicht.

§ 15 Dokumenten- und Verifizierungsportal

Medeed betreibt ein digitales System zur Überprüfung bestimmter von Medeed ausgestellter Dokumente.

Bestimmte Dokumente können mit einer eindeutigen Kennung versehen werden, beispielsweise:

• QR-Code,
• Barcode,
• Verifikationscode,
• Dokumenten-ID,
• Prüfnummer oder
• vergleichbarer individueller Kennung.

Dies kann insbesondere folgende Dokumente betreffen:

• Gehaltsabrechnungen,
• Arbeitgeberbescheinigungen,
• Beschäftigungsbestätigungen,
• Arbeitgebererklärungen,
• Bescheinigungen,
• offizielle Unternehmensschreiben,
• Vertragsunterlagen,
• sonstige von Medeed ausgestellte Dokumente.

§ 16 Zweck der Dokumentenverifizierung

Das Verifizierungsportal dient insbesondere:

• der Überprüfung der Echtheit eines Dokuments,
• der Bestätigung, dass ein Dokument tatsächlich von Medeed ausgestellt oder freigegeben wurde,
• der Erkennung von Manipulationen,
• dem Schutz vor Dokumentenfälschung,
• dem Schutz vor missbräuchlicher Verwendung,
• der Anzeige des aktuellen Dokumentenstatus.

Behörden, Einrichtungen, Vertragspartner oder andere prüfende Stellen können hierfür die auf dem Dokument angegebene Kennung bzw. den QR- oder Barcode verwenden.

§ 17 Angezeigte Daten bei einer Dokumentenprüfung

Bei einer Dokumentenverifizierung werden nur die für die Prüfung erforderlichen Informationen angezeigt.

Hierzu können insbesondere gehören:

• Dokumentenart,
• Dokumenten-ID,
• Ausstellungsdatum,
• ausstellende Stelle,
• Verifizierungsstatus,
• gegebenenfalls eine begrenzte Identifikationsangabe des Dokumenteninhabers.

Mögliche Statusinformationen sind beispielsweise:

• gültig,
• erfolgreich verifiziert,
• ersetzt,
• widerrufen,
• abgelaufen,
• ungültig.

Die Verifizierung verschafft keinen allgemeinen Zugang zum MedPortal.

Insbesondere sollen durch eine reine Dokumentenprüfung keine zusätzlichen:

• vollständigen Gehaltsdaten,
• Bankdaten,
• Steuerdaten,
• Sozialversicherungsdaten,
• vollständigen Personalakten,
• Bewerbungsunterlagen oder
• sonstigen nicht erforderlichen Informationen

offengelegt werden.

§ 18 Technische Daten bei Dokumentenverifizierungen

Bei der Verwendung des Verifizierungsportals können insbesondere verarbeitet werden:

• Verifikationscode,
• Dokumenten-ID,
• Datum und Uhrzeit,
• IP-Adresse,
• Browserinformationen,
• Geräteinformationen,
• technische Sicherheitsinformationen.

Diese Verarbeitung dient insbesondere:

• IT-Sicherheit,
• Schutz vor Missbrauch,
• Erkennung manipulativer Zugriffe,
• Schutz vor automatisierten Massenabfragen,
• Nachvollziehbarkeit von Sicherheitsvorfällen.

§ 19 Dokumentenverifizierung und elektronische Signatur

Ein QR-Code, Barcode oder Verifikationscode ist nicht automatisch eine elektronische Signatur.

Die Dokumentenverifizierung bestätigt insbesondere:

• die Zuordnung,
• Echtheit bzw.
• den im System gespeicherten Status eines Dokuments.

Soweit ein Dokument zusätzlich elektronisch signiert wurde, gelten ergänzend die Regelungen zu elektronischen Signaturen.

§ 20 Telefonische Authentifizierung und Auskunftserteilung

Medeed verwendet zum Schutz personenbezogener Daten ein Verfahren zur Authentifizierung bei telefonischen Anfragen.

Personenbezogene, fallbezogene oder vertrauliche Informationen werden am Telefon grundsätzlich nur erteilt, wenn die Identität bzw. Berechtigung des Anrufers hinreichend festgestellt werden konnte.

Je nach Nutzergruppe kann hierfür insbesondere eine persönliche Kennung verwendet werden, beispielsweise:

• Antragsteller-ID,
• Fachkräfte-ID,
• Mitarbeiter-ID,
• Partner-ID,
• Kunden- oder Vorgangs-ID

sowie zusätzlich eine: persönliche PIN oder ein anderes geeignetes Sicherheitsmerkmal.

Zur zusätzlichen Überprüfung können geeignete Kontroll- bzw. Abgleichfragen gestellt werden.

Diese Sicherheitsmaßnahmen dienen insbesondere:

• der Verhinderung unberechtigter telefonischer Auskünfte,
• dem Schutz von Fachkräfte- und Bewerberdaten,
• dem Schutz von Beschäftigtendaten,
• dem Schutz von Arbeitgeber- und Partnerdaten,
• der Verhinderung von Social Engineering und Identitätsmissbrauch,
• der Einhaltung von Vertraulichkeitsanforderungen.

Kann ein Anrufer die erforderlichen Sicherheitsmerkmale nicht korrekt angeben oder bestehen Zweifel an seiner Identität oder Berechtigung, werden grundsätzlich keine vertraulichen oder personenbezogenen Informationen telefonisch herausgegeben.

In einem solchen Fall kann die weitere Kommunikation beispielsweise über:

• das geschützte MedPortal,
• eine bereits verifizierte Kontaktmöglichkeit,
• ein schriftliches Verfahren oder
• eine erneute Identitätsprüfung erfolgen.

§ 21 Kommunikation per Telefon

Bei telefonischer Kommunikation können insbesondere verarbeitet werden:

• Telefonnummer,
• Name,
• Nutzer- bzw. Vorgangskennung,
• Zeitpunkt des Kontakts,
• Grund der Anfrage,
• Gesprächsnotizen,
• Ergebnis der Authentifizierung,
• für den Vorgang erforderliche Informationen.

Gespräche werden nicht allein aufgrund eines Anrufs automatisch aufgezeichnet.

Sollte eine Audioaufzeichnung erfolgen, wird die betroffene Person vor Beginn entsprechend informiert. Soweit eine Einwilligung erforderlich ist, wird diese vor Aufnahme eingeholt.

§ 22 Protokollierung digitaler Vorgänge

Zur Gewährleistung von Sicherheit und Nachvollziehbarkeit können bestimmte Aktivitäten protokolliert werden.

Hierzu gehören beispielsweise:

Die Verarbeitung dient insbesondere:

• IT-Sicherheit,
• Missbrauchsprävention,
• Fehleranalyse,
• Nachweisbarkeit,
• Schutz rechtsgeschäftlicher Prozesse.

§ 23 Kategorien personenbezogener Daten

Je nach Person und Verfahren können insbesondere folgende Daten verarbeitet werden:

§ 24 Besondere Kategorien personenbezogener Daten

Soweit dies für den jeweiligen Prozess erforderlich ist, können auch besondere Kategorien personenbezogener Daten verarbeitet werden.

Hierzu können insbesondere bestimmte Gesundheitsdaten gehören.

Eine Verarbeitung erfolgt nur, soweit die Voraussetzungen des Art. 9 DSGVO oder einer sonstigen einschlägigen Rechtsgrundlage erfüllt sind.

§ 25 Anerkennung, Qualifikationsprüfung und Berufszulassung

Medeed kann personenbezogene Daten im Zusammenhang mit folgenden Verfahren verarbeiten:

• Anerkennungsverfahren,
• Gleichwertigkeitsprüfung,
• ZAB-Verfahren,
• Approbationsverfahren,
• Berufszulassungsverfahren,
• berufsspezifische Registrierungen,
• Qualifikationsprüfungen.

Dokumente können hierfür:

• geprüft,
• strukturiert,
• digitalisiert,
• übersetzt,
• zugeordnet,
• übermittelt,
• nachgefordert,
• dokumentiert werden.

§ 26 Aufenthalt, Visum, Beschäftigung und Familiennachzug

Soweit Medeed entsprechende Prozesse betreut oder begleitet, können personenbezogene Daten verarbeitet werden für:

• Visumanträge,
• Aufenthaltstitel,
• Blaue Karte EU,
• Beschäftigungszustimmungen,
• beschleunigte Fachkräfteverfahren,
• Familiennachzug,
• sonstige aufenthaltsrechtliche Verfahren.

§ 27 Einreise und Relocation

Im Zusammenhang mit Einreise und Relocation können insbesondere Daten verarbeitet werden für:

• Reiseorganisation,
• Flugplanung,
• Unterkunft,
• Wohnraumanbahnung,
• Anmeldung,
• Versicherungen,
• Bankangelegenheiten,
• Steuerregistrierung,
• Sozialversicherung,
• Arbeitgeber-Onboarding,
• sonstige organisatorische Maßnahmen.

§ 28 Integrationsbegleitung

Medeed begleitet Fachkräfte grundsätzlich für einen Zeitraum von:

12 Monaten ab Beschäftigungsaufnahme.

Soweit individuell vereinbart, kann die Integrationsbegleitung auf bis zu:

24 Monate

verlängert werden.

Im Rahmen der Integrationsbegleitung können insbesondere verarbeitet werden:

• Termine,
• Gesprächsnotizen,
• Feedback,
• Integrationsfortschritte,
• Sprachförderungsmaßnahmen,
• Weiterbildungsmaßnahmen,
• Arbeitgeberkommunikation,
• organisatorische Unterstützungsmaßnahmen.

§ 29 Interviews und Videokonferenzen

Medeed kann elektronische Kommunikations- und Videokonferenzsysteme insbesondere verwenden für:

• Bewerbungsgespräche,
• Interviews,
• Beratungen,
• Arbeitgebergespräche,
• Partnergespräche,
• Schulungen,
• interne Besprechungen,
• Verfahrensbegleitung.

Dabei können insbesondere verarbeitet werden:

• Name,
• E-Mail-Adresse,
• Meeting-ID,
• IP-Adresse,
• Geräteinformationen,
• Datum,
• Uhrzeit,
• Dauer,
• Chatdaten,
• im Gespräch mitgeteilte Informationen.

Eine Audio- oder Videoaufnahme erfolgt nur, soweit hierfür eine entsprechende Rechtsgrundlage besteht.

Eine gegebenenfalls erforderliche Einwilligung wird vor Beginn der Aufnahme eingeholt.

Ein gewöhnliches Videogespräch ist von einem Video-Ident-Verfahren zu unterscheiden.

§ 30 Fotos, Teamdarstellung, Videos, Öffentlichkeitsarbeit und Marketing

Medeed kann für Unternehmenskommunikation, Recruiting, Öffentlichkeitsarbeit und Marketing insbesondere verwenden:

• Mitarbeiterfotos,
• Teamfotos,
• Videos,
• Interviews,
• Testimonials,
• Eventaufnahmen,
• Aufnahmen im Zusammenhang mit Einreise, Beschäftigung oder Integration,
• Unternehmens- und Projektaufnahmen.

Bei einer Teamdarstellung können insbesondere veröffentlicht werden:

• Foto,
• vollständiger oder abgekürzter Name,
• Position,
• Funktion,
• Abteilung,
• Standort.

Veröffentlichungen können insbesondere erfolgen über:

• Unternehmenswebseiten,
• Karrierewebseiten,
• Social-Media-Kanäle,
• Präsentationen,
• Broschüren,
• Recruitingmaterialien,
• sonstige Unternehmensmedien.

Soweit eine Veröffentlichung auf einer Einwilligung beruht, ist die Einwilligung freiwillig und kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

§ 31 KI- und softwaregestützte Medienbearbeitung

Zur Erstellung, Verbesserung oder Bearbeitung von:

• Mitarbeiterfotos,
• sonstigen Fotos,
• Videos,
• Grafiken,
• Präsentationen,
• Marketingmaterialien und
• Social-Media-Inhalten

können softwaregestützte oder KI-gestützte Werkzeuge verwendet werden.

Hierbei können im Einzelfall auch externe Dienste, beispielsweise von OpenAI oder vergleichbaren Anbietern, eingesetzt werden.

Mögliche Bearbeitungen sind beispielsweise:

• Qualitätsverbesserung,
• Bildoptimierung,
• Retusche,
• Hintergrundbearbeitung,
• Formatänderung,
• visuelle Anpassung,
• Video- und Medienbearbeitung.

Enthalten solche Medien identifizierbare Personen, kann dies eine Verarbeitung personenbezogener Daten darstellen.

Soweit externe Dienste eingesetzt werden, werden die hierfür erforderlichen Datenschutzvoraussetzungen sowie etwaige Drittlandübermittlungen berücksichtigt.

§ 32 Eigene technische und KI-gestützte Dokumentenverarbeitung

Medeed verwendet eigene technische Systeme zur Unterstützung interner Dokumenten- und Prozessabläufe.

Hierdurch können Dokumente insbesondere:

• ausgelesen,
• strukturiert,
• klassifiziert,
• auf Vollständigkeit geprüft,
• Vorgängen zugeordnet,
• in strukturierte Datenfelder übertragen werden.

Für interne Portal- und Dokumentenprozesse setzt Medeed grundsätzlich eigene technische Infrastruktur ein.

Soweit in einzelnen Prozessen externe Systeme eingesetzt werden, erfolgt dies ausschließlich entsprechend den hierfür geltenden datenschutzrechtlichen Anforderungen.

Automatisierte technische Systeme können die Bearbeitung unterstützen.

Rechtlich oder fachlich erhebliche Entscheidungen werden grundsätzlich nicht ausschließlich automatisiert getroffen.

§ 33 Hosting und Serverbetrieb

Die Internetseiten, das MedPortal, die Portal-Datenbank und die dort gespeicherten Daten und Dokumente werden nach der derzeitigen technischen Struktur über Serverinfrastruktur der:

STRATO AG

in Deutschland betrieben.

Hier können insbesondere gespeichert werden:

• Internetseiten,
• MedPortal,
• Benutzerkonten,
• Kandidatenprofile,
• Mitarbeiterdaten,
• Datenbanken,
• Dokumente,
• Verifizierungsinformationen,
• Systemdaten.

Soweit STRATO personenbezogene Daten im Auftrag von Medeed verarbeitet, erfolgt dies entsprechend Art. 28 DSGVO.

§ 34 Rechtsgrundlagen

Personenbezogene Daten werden abhängig vom jeweiligen Vorgang insbesondere verarbeitet auf Grundlage von:

§ 35 Empfänger personenbezogener Daten in Deutschland und EU/EWR

Personenbezogene Daten können – soweit für den jeweiligen Zweck erforderlich und rechtlich zulässig – insbesondere an folgende Empfänger oder Empfängerkategorien übermittelt werden:

Es wird nur der für den jeweiligen Zweck erforderliche Umfang personenbezogener Daten übermittelt.

§ 36 Internationale Betriebsstätten und Drittlandzugriffe

Medeed verfügt über internationale Betriebsstrukturen insbesondere in:

• Teheran / Iran
• Istanbul / Türkei
• Neu-Delhi / Indien

Beschäftigte dieser internationalen Betriebsstätten können entsprechend ihrer jeweiligen Aufgaben rollenbasierten Zugriff auf bestimmte Daten erhalten.

Dies kann beispielsweise betreffen:

• eigene Beschäftigtendaten,
• zugewiesene Fachkräfte,
• Bewerbungsunterlagen,
• Interviewvorgänge,
• Recruitingprozesse,
• Partnerinformationen,
• fachliche Prüfungen,
• Dokumentenbearbeitung.

Zugriffe werden auf das erforderliche Maß beschränkt.

Soweit personenbezogene Daten von außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums abgerufen oder in einen Drittstaat übermittelt werden, berücksichtigt Medeed die Anforderungen der Art. 44 ff. DSGVO.

Abhängig vom jeweiligen Fall können insbesondere relevant sein:

• Angemessenheitsbeschlüsse,
• EU-Standardvertragsklauseln,
• zusätzliche technische und organisatorische Maßnahmen,
• gesetzliche Ausnahmetatbestände.

§ 37 Weitere Drittlandübermittlungen

Weitere internationale Datenverarbeitungen können sich insbesondere aus der Nutzung externer Dienste ergeben.

Hierzu können beispielsweise gehören:

• Social-Media-Dienste,
• Videoplattformen,
• Kommunikationsdienste,
• Kartendienste,
• externe Cloud-Dienste,
• KI- und Mediendienste.

Soweit personenbezogene Daten hierbei in Staaten außerhalb der EU bzw. des EWR übermittelt werden, werden die Anforderungen der Art. 44 ff. DSGVO berücksichtigt.

§ 38 Auftragsverarbeitung

Soweit externe Dienstleister personenbezogene Daten ausschließlich im Auftrag von Medeed verarbeiten, werden – soweit erforderlich – entsprechende Vereinbarungen zur Auftragsverarbeitung geschlossen.

Dies kann insbesondere betreffen:

• Hosting,
• IT-Betrieb,
• IT-Wartung,
• Portalbetrieb,
• Identitätsprüfung,
• elektronische Signaturen,
• Kommunikationsdienste,
• technische Plattformen.

§ 39 Speicherdauer und Löschung

Personenbezogene Daten werden grundsätzlich nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Nach Wegfall des Speicherzwecks werden personenbezogene Daten gelöscht, anonymisiert oder – soweit gesetzliche Aufbewahrungspflichten bestehen – für andere Zwecke gesperrt.

§ 40 Cookies und ähnliche Technologien

Medeed kann technisch erforderliche Cookies oder vergleichbare Technologien einsetzen für:

• Login,
• Sitzungsverwaltung,
• Portalbetrieb,
• Sicherheit,
• CSRF-Schutz,
• Spracheinstellungen,
• Consent-Einstellungen.

Technisch nicht notwendige Technologien für beispielsweise:

• Analyse,
• Statistik,
• Marketing,
• externe Inhalte

werden nur eingesetzt, soweit hierfür die erforderliche Einwilligung vorliegt.

Eine erteilte Einwilligung kann jederzeit für die Zukunft geändert oder widerrufen werden.

§ 41 Datenquellen

Personenbezogene Daten können insbesondere stammen von:

• der betroffenen Person selbst,
• Recruiting-Partnern,
• Recruiting-Agenturen,
• Arbeitgebern,
• Einrichtungen,
• Behörden,
• Kammern,
• Anerkennungsstellen,
• Bildungseinrichtungen,
• bevollmächtigten Personen,
• öffentlich zugänglichen Quellen, soweit deren Nutzung zulässig ist.

Werden personenbezogene Daten nicht unmittelbar bei der betroffenen Person erhoben, werden die Anforderungen des Art. 14 DSGVO berücksichtigt.

§ 42 Pflicht zur Bereitstellung personenbezogener Daten

Bestimmte personenbezogene Daten sind erforderlich, um einzelne Leistungen oder Prozesse durchführen zu können.

Dies kann insbesondere gelten für:

• Registrierung,
• Portalzugang,
• Identitätsprüfung,
• telefonische Authentifizierung,
• Bewerbung,
• Vertragsabschluss,
• Beschäftigung,
• Anerkennungsverfahren,
• Visa- und Aufenthaltsverfahren,
• elektronische Signatur,
• gesetzliche Meldungen.

Ohne erforderliche Angaben können bestimmte Leistungen oder Verfahren möglicherweise nicht durchgeführt werden.

Freiwillige Einwilligungen, beispielsweise für bestimmte Foto-, Video- oder Marketingverarbeitungen, sind hiervon zu unterscheiden.

§ 43 Betroffenenrechte

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere folgende Rechte:

Anfragen können gerichtet werden an: datenschutz@medeed.eu

§ 44 Automatisierte Entscheidungsfindung

Medeed trifft grundsätzlich keine Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung ausschließlich auf Grundlage automatisierter Verarbeitung.

Technische oder KI-gestützte Systeme können insbesondere unterstützen bei:

• Dokumentenstrukturierung,
• Klassifizierung,
• Datenextraktion,
• Zuordnung,
• Vollständigkeitsprüfung.

Die abschließende fachliche oder personelle Entscheidung erfolgt grundsätzlich durch entsprechend zuständige Personen.

§ 45 Datensicherheit

Medeed setzt angemessene technische und organisatorische Maßnahmen ein, um personenbezogene Daten zu schützen.

Hierzu können insbesondere gehören:

§ 46 Datenschutzverletzungen

Wird eine Verletzung des Schutzes personenbezogener Daten festgestellt, prüft Medeed unverzüglich die gesetzlichen Melde- und Informationspflichten.

Soweit gesetzlich erforderlich, erfolgt:

• eine Meldung an die zuständige Datenschutzaufsichtsbehörde und
• gegebenenfalls eine Information der betroffenen Personen.

§ 47 Beschwerderecht

Betroffene Personen haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

Für die Medeed GmbH mit Sitz in Düsseldorf ist insbesondere folgende Datenschutzaufsichtsbehörde zuständig:

§ 48 Keine pauschale Einwilligung durch Website- oder Portalnutzung

Der Besuch der Medeed-Website, die Einrichtung eines MedPortal-Kontos oder die Nutzung des MedPortals stellt keine pauschale Einwilligung in sämtliche Datenverarbeitungen dar.

Notwendige Datenverarbeitungen erfolgen auf der jeweils einschlägigen gesetzlichen Rechtsgrundlage.

Soweit eine freiwillige Einwilligung erforderlich ist, wird diese separat, transparent und bezogen auf den jeweiligen Zweck eingeholt.

Dies gilt insbesondere für:

• optionale Cookies,
• bestimmte Marketingmaßnahmen,
• Fotoveröffentlichungen,
• Videoveröffentlichungen,
• freiwillige Gesprächsaufzeichnungen,
• sonstige einwilligungsbedürftige Verarbeitungen.

§ 49 Wechsel von Dienstleistern

Medeed kann eingesetzte technische Dienstleister ändern.

Dies kann insbesondere betreffen:

• Identifizierungsanbieter,
• Signaturanbieter,
• Vertrauensdiensteanbieter,
• Hostinganbieter,
• Kommunikationsanbieter,
• technische Plattformanbieter.

Vor Einsatz eines neuen Dienstleisters werden die datenschutzrechtlichen Anforderungen geprüft.

Der für einen konkreten Identifizierungs- oder Signaturprozess eingesetzte Anbieter wird – soweit erforderlich – unmittelbar im jeweiligen Prozess transparent angegeben.

§ 50 Sprache und maßgebliche Fassung

Diese Datenschutzerklärung kann zusätzlich in weiteren Sprachen bereitgestellt werden.

Die deutschsprachige Fassung ist die maßgebliche Fassung.

Bei sprachlichen Abweichungen oder Auslegungsunterschieden ist die deutsche Fassung maßgeblich.

§ 51 Änderungen dieser Datenschutzerklärung

Medeed behält sich vor, diese Datenschutzerklärung anzupassen, insbesondere wenn:

• sich gesetzliche Anforderungen ändern,
• neue Funktionen eingeführt werden,
• neue Verarbeitungsprozesse hinzukommen,
• technische Systeme geändert werden,
• Dienstleister wechseln,
• sich internationale Betriebsstrukturen ändern.

Es gilt die jeweils auf der Unternehmenswebsite veröffentlichte aktuelle Fassung.

Datenschutzkontakt