Richtlinie zum Schutz personenbezogener Daten

Das Unternehmen verarbeitet personenbezogene Daten seiner Mitarbeiter, der Kunden, die die Plattform nutzen, und deren Endnutzer sowie der Verkäufer und Käufer, die auf dem Marktplatz handeln. Das Unternehmen tut dies in zwei verschiedenen, nach der DSGVO anerkannten Eigenschaften: als Verantwortlicher (Controller), wenn es selbst entscheidet, warum und wie personenbezogene Daten verarbeitet werden, und als Auftragsverarbeiter (Processor), wenn es Weisungen eines Plattformkunden ausführt, der selbst Verantwortlicher ist.

Der Zweck dieser Richtlinie besteht darin, das Engagement des Unternehmens zum Schutz personenbezogener Daten gemäß der DSGVO und den geltenden polnischen Ausführungsgesetzen darzulegen und die Grundsätze, individuellen Rechte und Rechenschaftspflichten zu beschreiben, die für jede vom Unternehmen durchgeführte Verarbeitungstätigkeit gelten.

Diese Richtlinie gilt für alle personenbezogenen Daten, die vom Unternehmen im Zusammenhang mit der Plattform und dem Marktplatz verarbeitet werden, einschließlich der Daten von Mitarbeitern und Bewerbern, Plattformkunden und deren Endnutzern, Marktplatzverkäufern und -käufern sowie allen Personen, deren Daten von einem Dritten empfangen oder an einen solchen weitergegeben werden.

Personenbezogene Daten müssen auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden. Personenbezogene Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden und müssen dem Zweck angemessen, erheblich sowie auf das notwendige Maß beschränkt sein.

Personenbezogene Daten müssen sachlich richtig und erforderlichenfalls auf dem neuesten Stand gehalten werden und dürfen gemäß der Datenaufbewahrungs- und Löschrichtlinie nicht länger als erforderlich aufbewahrt werden.

Personenbezogene Daten müssen mit einer ihrer Sensibilität angemessenen Sicherheit gemäß der Informationssicherheitsrichtlinie und den ihr untergeordneten Richtlinien verarbeitet werden.

Das Unternehmen muss in der Lage sein, die Einhaltung der in diesem Abschnitt dargelegten Grundsätze gemäß Artikel 5 Absatz 2 DSGVO nachzuweisen.

Jede vom Unternehmen durchgeführte Verarbeitungstätigkeit muss eine identifizierte Rechtsgrundlage gemäß Artikel 6 DSGVO haben, die im Verzeichnis von Verarbeitungstätigkeiten des Unternehmens dokumentiert ist.

Die Bestell- und Zahlungsabwicklung auf dem Marktplatz basiert auf der Erfüllung eines Vertrags mit dem Käufer oder Verkäufer. Die Einhaltung steuerlicher, buchhalterischer und Geldwäschebekämpfungs-Verpflichtungen basiert auf einer rechtlichen Verpflichtung. Betrugsprävention, Transaktionsüberwachung und Sicherheitsprotokollierung basieren auf dem berechtigten Interesse des Unternehmens, abgewogen gegen die Interessen und Rechte der betroffenen Personen. Marketingkommunikation basiert auf einer Einwilligung, die jederzeit widerrufen werden kann.

Das Unternehmen erhebt im normalen Geschäftsbetrieb der Plattform oder des Marktplatzes nicht vorsätzlich besondere Kategorien personenbezogener Daten. Unbeabsichtigt erhaltene Daten dieser Kategorien werden ohne unbegründete Verzögerung gelöscht, sofern keine spezifische, dokumentierte Grundlage für die Aufbewahrung besteht.

Eine betroffene Person, für die das Unternehmen als Verantwortlicher fungiert, kann die in Kapitel III der DSGVO festgelegten Rechte ausüben. Dazu gehören das Recht auf Information, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch sowie Rechte im Zusammenhang mit automatisierten Entscheidungen.

Anträge werden protokolliert, die Identität des Antragstellers wird überprüft und eventuelle Ablehnungs- oder Einschränkungsgründe werden bewertet. Das Unternehmen antwortet innerhalb eines Monats nach Eingang. Diese Frist kann bei komplexen Anträgen um weitere zwei Monate verlängert werden, worüber die betroffene Person informiert wird.

Ein im Rahmen dieses Abschnitts gewährter Löschungsantrag wird in den Primärsystemen und Backups gemäß der Datenaufbewahrungs- und Löschrichtlinie umgesetzt.

Soweit das Unternehmen Daten als Auftragsverarbeiter im Auftrag eines Plattformkunden verarbeitet, wird ein direkt beim Unternehmen eingehender Antrag an diesen Kunden weitergeleitet, und das Unternehmen unterstützt den Kunden in angemessener Weise bei der Beantwortung.

Das Unternehmen handelt als Verantwortlicher in Bezug auf die personenbezogenen Daten seiner Mitarbeiter, die direkt über den Marktplatz erhobenen Daten von Verkäufern und Käufern sowie Daten zu Unternehmensmarketing und Website-Analysen. Es handelt als Auftragsverarbeiter, wenn es die Bestellverwaltungs-, CRM- und Lagerverwaltungsfunktionen der Plattform im Auftrag eines Kunden betreibt, der selbst über die Zwecke und Mittel dieser Verarbeitung entscheidet.

Das Verzeichnis von Verarbeitungstätigkeiten des Unternehmens muss diese Rollen für jede Verarbeitungstätigkeit gemäß Artikel 30 Absatz 1 bzw. Artikel 30 Absatz 2 DSGVO unterscheiden und mindestens einmal jährlich überprüft werden.

Datenschutz- und Sicherheitsanforderungen werden von Beginn an in die Entwicklung neuer Funktionen oder Systeme integriert (Artikel 25 DSGVO), wie in der Richtlinie für sichere Entwicklung näher ausgeführt.

Personenbezogene Daten werden durch die nach Artikel 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen geschützt, die durch die Informationssicherheitsrichtlinie, die Zugriffskontrollrichtlinie, die Kryptografie- und Schlüsselverwaltungsrichtlinie sowie die Protokollierungs- und Überwachungsrichtlinie umgesetzt werden.

Eine Übermittlung personenbezogener Daten an einen Empfänger außerhalb des Europäischen Wirtschaftsraums unterliegt geeigneten Garantien gemäß Kapitel V der DSGVO, die vor der Übermittlung bestätigt werden müssen.

Ist der Empfänger in den USA ansässig und nach diesem zertifiziert, kann sich das Unternehmen auf das EU-US Data Privacy Framework stützen, ergänzt durch Standardvertragsklauseln.

Die Sorgfaltspflicht (Due Diligence) und die Bestätigung des Übermittlungsmechanismus für einen bestimmten Dritten richten sich nach der Richtlinie zum Risikomanagement von Drittanbietern und Partnern.

Eine Verletzung des Schutzes personenbezogener Daten wird gemäß der Richtlinie zur Reaktion auf Sicherheitsvorfälle und Benachrichtigung bei Datenschutzverletzungen sowie den Artikeln 33 und 34 der DSGVO bewertet und gegebenenfalls gemeldet.

Wenn eine neue oder geänderte Verarbeitung voraussichtlich ein hohes Risiko für Personen zur Folge hat, wird vor Beginn dieser Verarbeitung eine Datenschutz-Folgenabschätzung durchgeführt. Dabei wird die in der Risikomanagement-Richtlinie festgelegte Methodik gemäß Artikel 35 DSGVO angewendet.

Zum Inkrafttreten dieser Richtlinie wurde kein Datenschutzbeauftragter bestellt. Bis zu einer solchen Bestellung übernimmt der Chief Information Security Officer vorübergehend die Verantwortung für die Einhaltung des Datenschutzes, einschließlich der Aufsicht über Datenschutz-Folgenabschätzungen, Festlegungen zu Datenschutzverletzungen und der Bearbeitung von Anträgen betroffener Personen.

Das Unternehmen prüft mindestens einmal jährlich, ob seine Verarbeitungstätigkeiten die Bestellung eines Datenschutzbeauftragten gemäß Artikel 37 DSGVO erfordern.

Das Verzeichnis von Verarbeitungstätigkeiten, das Register rechtlicher und regulatorischer Anforderungen sowie das Risikoregister des Unternehmens bilden die Kernunterlagen für seine Rechenschaftspflicht gemäß Artikel 5 Absatz 2 DSGVO.

Weder die Plattform noch der Marktplatz richten sich an Kinder, und beide werden nicht wissentlich von Kindern genutzt. Das Unternehmen erhebt wissentlich keine personenbezogenen Daten von Personen unterhalb des digitalen Einwilligungsalters nach geltendem polnischen und EU-Recht und löscht solche Daten unverzüglich, wenn die Erhebung bekannt wird.

Die Einhaltung dieser Richtlinie ist verbindlich. Jeder Mitarbeiter und Auftragnehmer ist dafür verantwortlich, personenbezogene Daten in Übereinstimmung mit dieser Richtlinie und der Richtlinie zur akzeptablen Nutzung zu behandeln. Neue Verarbeitungstätigkeiten, Drittanbieterbeziehungen oder Produktfunktionen, die personenbezogene Daten betreffen, müssen vor der Implementierung an dieser Richtlinie gemessen werden.

Eine Ausnahme von dieser Richtlinie muss vom Chief Information Security Officer im Voraus dokumentiert und genehmigt werden, bei Fragen der rechtlichen Auslegung in Absprache mit der Rechtsabteilung.

Diese Richtlinie ist in Verbindung mit der Informationssicherheitsrichtlinie, der Zugriffskontrollrichtlinie, der Kryptografie- und Schlüsselverwaltungsrichtlinie, der Richtlinie zur Reaktion auf Sicherheitsvorfälle und Benachrichtigung bei Datenschutzverletzungen, der Datenaufbewahrungs- und Löschrichtlinie, der Datenklassifizierungsrichtlinie, der Richtlinie zum Risikomanagement von Drittanbietern und Partnern, der Risikomanagement-Richtlinie und dem Verzeichnis von Verarbeitungstätigkeiten des Unternehmens zu lesen.

'Betroffene Person' bezeichnet eine identifizierte oder identifizierbare natürliche Person, deren personenbezogene Daten verarbeitet werden.

'Besondere Kategorien personenbezogener Daten' bezeichnet die in Artikel 9 DSGVO genannten besonderen Kategorien.

'Datenschutz-Folgenabschätzung' bezeichnet die nach Artikel 35 DSGVO erforderliche Abschätzung für Verarbeitungen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben.

'Datenschutzbeauftragter' bezeichnet den vom Unternehmen gemäß Artikel 37 DSGVO zu bestellenden Beauftragten.

Version 1.0 — Juli 2026