Version 1
Dieses Datenverarbeitungsprotokoll ("Protokoll") erläutert die Art und Weise, auf die Willis Towers Watson im Auftrag seiner Kunden, Auftraggeber oder Lizenznehmer ("Kunden") personenbezogene Daten verarbeitet.
Das Protokoll ist Bestandteil jeder zwischen Willis Towers Watson und dem Kunden abgeschlossenen Vereinbarung, die ausdrücklich darauf Bezug nimmt ("Vereinbarung"). Soweit dieses Protokoll in der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) ("Verordnung") definierte Begriffe verwendet, sind die in dieser Verordnung enthaltenen Definitionen maßgeblich.
Datenverarbeitung
Im Hinblick auf personenbezogene Daten, die von Willis Towers Watson im Auftrag von Kunden verarbeitet werden (siehe Anhang 1), erfüllt das Unternehmen die nachstehenden Auflagen:
Nutzungsbeschränkungen. Willis Towers Watson verarbeitet personenbezogene Daten ausschließlich, um die jeweils vom Kunden schriftlich beauftragten Leistungen auszuführen oder um Vorschriften geltenden Rechts zu befolgen.
Vertraulichkeit. Willis Towers Watson behandelt alle personenbezogenen Daten vertraulich und verpflichtet sein Personal, das personenbezogene Daten verarbeitet, alle diese Daten im Einklang mit den Auflagen dieses Protokolls zu schützen.
Informationssicherheitsprogramm. Willis Towers Watson unterhält ein schriftliches Informationssicherheitsprogramm, das sachgerechte administrative, technische und physische Sicherheitsvorkehrungen zum Schutz personenbezogener Daten gegen vorhersehbare Gefahren oder Risiken für ihre Sicherheit, Vertraulichkeit oder Integrität vorsieht.
Unterstützung. Willis Towers Watson verpflichtet sich:
i. unter Berücksichtigung der Art der Verarbeitung und soweit möglich, technische und organisatorische Maßnahmen zu treffen, um den Kunden bei der Erfüllung seiner Verpflichtung zu unterstützen, Anfragen von betroffenen Personen zu beantworten, die ihre Rechte aus Kapitel III der Verordnung ausüben,
ii. unter Berücksichtigung der Art der Verarbeitung und der dem Unternehmen zugänglichen Informationen den Kunden dabei zu unterstützen, seinen Verpflichtungen nachzukommen, ausreichende Sicherheitsmaßnahmen zu ergreifen, Verletzungen des Schutzes personenbezogener Daten Aufsichtsbehörden und betroffenen Personen zu melden sowie Datenschutzfolgenabschätzungen vorzunehmen und diese bei Bedarf gemeinsam mit Aufsichtsbehörden zu analysieren, und
iii. dem Kunden alle Informationen zugänglich zu machen, die dieser nachvollziehbar anfordert, um ihm dabei zu helfen, den Nachweis zu führen, dass die in Artikel 28 der Verordnung bezüglich der Beauftragung von Datenverarbeitern genannten Verpflichtungen erfüllt worden sind, und die es dem Kunden ermöglichen bzw. ihn dabei unterstützen, Prüfungen entweder selbst durchzuführen oder von einem von ihm benannten Wirtschaftsprüfer durchführen zu lassen.
Willis Towers Watson kann für die gesamte zuvor beschriebene Unterstützung eine angemessene Gebühr in Rechnung stellen, sofern die jeweilige Unterstützung nicht aufgrund eigener Handlungen oder Unterlassungen des Unternehmens erforderlich wurde, in welchem Fall die entsprechenden Kosten von diesem übernommen werden. Der Kunde hat Willis Towers Watson mindestens dreißig (30) Tage im Voraus von Prüfungsersuchen zu informieren und darf keine Prüfungen vornehmen, die Vertraulichkeitspflichten gegenüber anderen Kunden und Auftraggebern des Unternehmens gefährden würden, und muss, wenn er einen anderen Wirtschaftsprüfer mit der Vornahme der Prüfung beauftragen möchte, sicherstellen, dass dieser mit Willis Towers Watson eine Vertraulichkeitsvereinbarung in einem vom Unternehmen vorgeschriebenen sachgerechten Format eingeht.
Sicherheitsvorfall. Willis Towers Watson verständigt den Kunden unverzüglich, wenn das Unternehmen vernünftigerweise davon ausgeht, dass ein Sicherheitsverstoß stattgefunden hat, der zu versehentlicher oder rechtswidriger Vernichtung, Einbuße, Veränderung, unbefugter Offenlegung oder Abfrage von personenbezogenen Daten führt, die von Willis Towers Watson im Kontext dieses Protokolls verarbeitet worden sind ("Sicherheitsvorfall"). Nach Übermittlung dieser Benachrichtigung untersucht Willis Towers Watson den Sicherheitsvorfall, ergreift notwendige Schritte zur Beseitigung oder Eindämmung seiner Auswirkungen und hält den Kunden in Bezug auf den Status des Vorfalls und aller zugehörigen Angelegenheiten auf dem Laufenden
Rückgabe oder Entsorgung. Der Kunde kann Willis Towers Watson anweisen, personenbezogene Daten am Ende des Zeitraums, während dessen das Unternehmen die ihn betreffenden Daten verarbeitet, zu löschen oder zurückzugeben, wie in Anhang 1 vorgesehen.
Verarbeitung im Unterauftrag
Der Kunde nimmt zur Kenntnis, dass Willis Towers Watson berechtigt ist, die Verarbeitungstätigkeiten im Rahmen der Vereinbarung an Unterauftragnehmer zu vergeben. Diese werden gegebenenfalls in der spezifischen Vereinbarung genannt und festgelegt, die der Kunde mit Willis Towers Watson abgeschlossen hat. Willis Towers Watson bleibt für die Erfüllung seiner Verpflichtungen aus diesem Protokoll primär verpflichtet und gewährleistet, dass seine Vereinbarungen mit diesen Unterauftragnehmern mindestens ebenso restriktiv wie dieses Protokoll sind. Willis Towers Watson kann Unterauftragnehmer zu gegebener Zeit austauschen oder hinzufügen, wenn er dies dem Kunden mit angemessener Vorlaufzeit schriftlich mitteilt, damit dieser die Möglichkeit hat, vernünftig begründete Einwendungen gegen die vorgeschlagene Änderung zu erheben.
Anonymisierte oder pseudonymisierte Daten
Der Kunde bestätigt, dass die Leistungen Pseudonymisierungen und Anonymisierungen für Zwecke summarischer Berichterstattungen und (Trend-) Forschungstätigkeiten einschließen, und erklärt sich damit einverstanden, dass Willis Towers Watson pseudonymisierte und anonymisierte Daten für seine eigenen geschäftlichen Zwecke benutzen kann, wobei das Unternehmen im Zusammenhang mit diesen Verarbeitungsformen alle maßgeblichen Datenschutzgesetze zu befolgen hat.
Daten
Der Kunde bestätigt, dass Willis Towers Watson berechtigt ist, personenbezogene Daten an seine Konzerngesellschaften und Unterauftragnehmer inner- und außerhalb des Europäischen Wirtschaftsraums (EWR) für Support- und Backup-Zwecke zu übermitteln. Willis Towers Watson hat Sicherheitsvorkehrungen getroffen, um personenbezogene Daten zu schützen, die in Länder außerhalb des EWR übermittelt werden, zu denen auch geeignete vertragliche Schutzmaßnahmen zählen.
Anhang 1 - Erläuterung der Verarbeitung personenbezogener Daten
1. Gegenstand, Natur und Zweck
Alle Verarbeitungstätigkeiten (einschließlich Erfassung, Gestaltung und Analyse personenbezogener Daten), soweit sie vernünftigerweise erforderlich sind, um die Ausführung der in der Vereinbarung beschriebenen Leistungen zu ermöglichen bzw. zu fördern.
2. Dauer der Verarbeitung personenbezogener Daten
Willis Towers Watson verarbeitet die personenbezogenen Daten, solange das Unternehmen Leistungen für den Kunden ausführt, und verwahrt sie im Anschluss daran in einem Archiv, soweit dies für legitime Geschäftszwecke notwendig ist.
3. Kategorien natürlicher Personen:
Zu Datensubjekten können in Policen oder Programmen genannte natürliche Personen zählen, für die Willis Towers Watson seine Dienstleistungen auszuführen verpflichtet ist, und/oder Personen, die von derartigen Policen oder Programmen profitieren, diesbezügliche Ansprüche gestellt haben oder in anderer Weise daran beteiligt sind. In aller Regel gehören zu Datensubjekten: (1) Mitarbeiter, Auftragnehmer oder andere Arbeitnehmer des Kunden ("Arbeitnehmer") und/oder ihre Familienmitglieder, Vertreter oder andere mit Arbeitnehmern verbundene Personen, (2) frühere, gegenwärtige oder potenzielle Kunden des Kunden und/oder ihre Mitarbeiter oder andere mit ihnen verbundene Personen und/oder deren Familienmitglieder, Vertreter oder andere mit diesen verbundene Personen und/oder (3) frühere, gegenwärtige oder potenzielle Beschwerdeführer bzw. Anspruchsteller in Verbindung mit Versicherungspolicen und/oder ihre Familienmitglieder, Vertreter oder andere mit ihnen verbundene Personen.
4. Arten personenbezogener Daten:
Die nach der Vereinbarung auszuführenden Dienstleistungen können die Verarbeitung der folgenden Arten personenbezogener Daten einschließen: Namen und Kontaktangaben,
- demographische Informationen (wie etwa Geschlecht, Alter, Geburtsdatum, Ehestand, Nationalität, Ausbildung/beruflicher Werdegang, wissenschaftliche/berufliche Qualifikationen, Beschäftigungsdetails, Hobbys, Familienzusammenstellung und Unterhaltsberechtigte),
- Personalausweise und verwandte Informationen, wie etwa Reisepass- und Personalnummern,
- Finanz- und Zahlungsdaten, wie etwa Bankkontonummern und Transaktionsinformationen,
- Informationen im Zusammenhang mit der Ausführung der Dienstleistungen, wie etwa Informationen zu Policen und Ansprüchen, darunter auch Informationen im Zusammenhang mit Vorfällen, die zu Ansprüchen und damit verbundenen Verlusten geführt haben,
- Aufzeichnungen von Kommunikationen und CCTV-Videomaterial sowie
- Personaldaten, wie etwa Stellenbezeichnung und Position, Informationen über Sozialleistungen und Vergütung, Informationen über Unterhaltsberechtigte/ Leistungsempfänger, Informationen über Bildungsabschlüsse sowie wissenschaftliche und berufliche Qualifikationen, Notfallkontaktangaben und Informationen über Leistungsbeurteilungen.
5. Arten besonderer Kategorien personenbezogener Daten, die in Artikel 9 der Verordnung behandelt werden:
Die von Willis Towers Watson verarbeiteten Daten können die folgenden besonderen Kategorien personenbezogener Daten umfassen: persönliche Merkmale und Umstände sensibler Natur, wie etwa Rasse oder ethnische Herkunft, Sexualleben, geistige und körperliche Gesundheit, genetische Informationen, Einzelheiten zu Verletzungen, erhaltene Medikamente/Behandlungen, politische oder religiöse Überzeugungen, Gewerkschaftszugehörigkeiten sowie Vorstrafen, Bußgelder und andere vergleichbare Strafregistereinträge.
