Datenschutz bei Rheinmetall
Der Schutz personenbezogener Daten hat für die Rheinmetall AG und ihre Konzerngesellschaften einen hohen Stellenwert. Rheinmetall verpflichtet sich zu einem verantwortungsvollen, transparenten und gesetzeskonformen Umgang mit den personenbezogenen Daten aller Personen, die mit unserem Unternehmen in Kontakt stehen – seien es Kunden, Geschäftspartner, Besucher unserer Webseiten oder Beschäftigte. Auf dieser Seite informieren wir Sie über die Grundsätze und Maßnahmen, mit denen wir den Schutz Ihrer Daten sicherstellen.
Rheinmetall bekennt sich zur Einhaltung der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union sowie aller weiteren anwendbaren nationalen und internationalen Datenschutzvorschriften weltweit. Dieses Bekenntnis gilt konzernweit – für sämtliche Geschäftstätigkeiten, Standorte und Tochtergesellschaften.
Wir betrachten den Schutz personenbezogener Daten nicht nur als gesetzliche Pflicht, sondern als wesentlichen Bestandteil unserer Unternehmensverantwortung und unseres Engagements für nachhaltige und ethische Geschäftspraktiken. Der sorgfältige und datenschutzkonforme Umgang mit personenbezogenen Daten schafft Vertrauen und Sicherheit für unseren Beschäftigten und Geschäftspartner. Unser Datenschutzmanagementsystem (DSMS) wird regelmäßig überprüft und an neue gesetzliche Anforderungen sowie technologische Entwicklungen angepasst. Der Rheinmetall Konzern bekennt sich zu dem folgenden strategischen Datenschutz-Ziel:
Wir stellen den Schutz der personenbezogenen Daten unserer Kunden, Beschäftigten und Geschäftspartner sicher.
Die Verantwortung für den Datenschutz ist bei Rheinmetall auf höchster Unternehmensebene verankert. Der Vorstand der Rheinmetall AG trägt die Gesamtverantwortung für die Einrichtung und Umsetzung eines wirksamen konzernweiten DSMS.
Die organisatorische Umsetzung erfolgt über eine mehrstufige Struktur:
- Auf Konzernebene ist die Datenschutz-Organisation als Abteilung in der Compliance-Organisation mit der übergreifenden Koordination und strategischen Steuerung des Datenschutzes betraut.
- Auf Ebene der Divisionen und einzelnen Gesellschaften bestehen dedizierte Verantwortlichkeiten, die die Einhaltung der Datenschutzanforderungen im jeweiligen Geschäftsbereich sicherstellen.
- Unser Konzern-Datenschutzbeauftragter überwacht die Einhaltung der DSGVO und anderer einschlägiger Vorschriften, berichtet unmittelbar an die höchste Managementebene und agiert unabhängig und weisungsfrei.
- Die Verantwortlichkeiten sind nach dem Prinzip der Funktionstrennung organisiert, um Interessenkonflikte zu vermeiden.
Der Vorstand der Rheinmetall AG trägt die Gesamtverantwortung für den Datenschutz im Konzern. Er hat ein konzernweites DSMS etabliert und dessen operative Umsetzung der Datenschutz-Organisation übertragen. Damit ist sichergestellt, dass der Datenschutz auf höchster Leitungsebene verankert ist und über klare Zuständigkeiten verfügt.
Die praktische Umsetzung des Datenschutzes wird von einem teilweise mehrstufigen Netzwerk spezialisierter Ansprechpartner in den Divisionen und Gesellschaften des Konzerns getragen. Diese dezentrale Struktur stellt sicher, dass die Einhaltung der datenschutzrechtlichen Anforderungen an jedem Standort und in jedem Geschäftsbereich durch Personen mit unmittelbarer Kenntnis der jeweiligen Prozesse gewährleistet wird. Die Ansprechpartner arbeiten eng mit dem Konzern-Datenschutzbeauftragten zusammen und sorgen so für eine einheitliche Anwendung des Datenschutzrechts im gesamten Konzern.
Unser Konzern-Datenschutzbeauftragter überwacht unabhängig und weisungsfrei die Einhaltung der Datenschutzvorgaben in den durch ihn betreuten Konzern-Gesellschaften sowie die Angemessenheit des DSMS. Darüber hinaus steht er im Rahmen seiner Datenschutz-Mandate den Betroffenen und den Datenschutzaufsichtsbehörden in Erfüllung seiner gesetzlichen Aufgaben als Ansprechpartner jederzeit und unmittelbar zur Verfügung. Er berät die Fachbereiche und bei Bedarf die Datenschutz-Organisation in datenschutzrechtlichen Fragestellungen, begleitet neue Vorhaben aus datenschutzrechtlicher Perspektive und berichtet unmittelbar an die höchste Managementebene des Unternehmens.
Rheinmetall betreibt ein umfassendes DSMS, das Prozesse und organisatorische Strukturen umfasst, um die Einhaltung sämtlicher gesetzlicher Datenschutzanforderungen bei Planung, Einrichtung, Betrieb und Außerbetriebnahme von Verarbeitungen personenbezogener Daten sicherzustellen.
Unser DSMS zeichnet sich – neben der im Abschnitt 3. beschriebenen Datenschutz-Organisation - insbesondere durch folgende Merkmale aus:
- Etablierung von Prozessen, Arbeitshilfen und Maßnahmen zur Gewährleistung der Datenschutzkonformität von Geschäftsprozessen
- Führung eines umfassenden Verzeichnisses von Verarbeitungstätigkeiten
- Dokumentation datenschutzrelevanter Maßnahmen zur Erfüllung der Rechenschaftspflicht
- Durchführung von Datenschutz-Risikobewertungen und Datenschutz-Folgenabschätzungen (DSFA/DPIAs) bei risikobehafteten Verarbeitungen
- Regelmäßige Audits und operative Überprüfungen der datenschutzrelevanten Geschäftsprozesse
- Kontinuierlicher Verbesserungsprozess nach dem Plan-Do-Check-Act-Zyklus (PDCA)
- Regelmäßige Überprüfung und Fortschreibung – mindestens alle drei Jahre sowie anlassbezogen
Im Zusammenspiel mit dem Informationssicherheitsmanagementsystem (ISMS) stellen wir sicher, dass personenbezogene Daten jederzeit durch angemessene technische und organisatorische Maßnahmen geschützt sind.
Um den Datenschutz auch im operativen Geschäftsbetrieb wirksam zu verankern, ist die Datenschutz-Organisation als feste Prüf- und Schnittstelleninstanz in zentrale Unternehmensprozesse eingebunden. Dies betrifft insbesondere die Einführung neuer IT-Anwendungen, die Beauftragung externer Dienstleister sowie die Gestaltung neuer Geschäftsprozesse. So wird gewährleistet, dass datenschutzrechtliche Anforderungen frühzeitig berücksichtigt und durchgängig eingehalten werden.
Rheinmetall verarbeitet personenbezogene Daten stets nach dem Grundsatz der Datenminimierung/Datensparsamkeit: Wir erheben und verarbeiten nur diejenigen Daten, die für den jeweiligen Zweck tatsächlich erforderlich sind.
Unsere zentralen Grundsätze im Umgang mit personenbezogenen Daten:
- Datenminimierung: Erhebung nur der für den jeweiligen Zweck erforderlichen Daten
- Need-to-know-Prinzip: Zugang zu personenbezogenen Daten nur für Personen, die diese für ihre Tätigkeit benötigen
- Speicherbegrenzung: Löschung oder Anonymisierung personenbezogener Daten, sobald der Verarbeitungszweck entfällt
- Privacy by Design: Datenschutzfreundliche Technikgestaltung von Anfang an
- Privacy by Default: Datenschutzfreundliche Voreinstellungen in allen Systemen und Prozessen
Die Verarbeitung besonderer Kategorien personenbezogener Daten – etwa Gesundheitsdaten – erfolgt im Einklang mit den besonderen rechtlichen Anforderungen (insbesondere Art. 9 DSGVO) und unterliegt verstärkten Schutzmaßnahmen.
Als international tätiger Konzern legt Rheinmetall besonderen Wert auf den Schutz personenbezogener Daten bei grenzüberschreitenden Datenübermittlungen. Grundsätzlich erfolgt die Verarbeitung personenbezogener Daten innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (EU/EWR).
Soweit eine Übermittlung personenbezogener Daten in Drittländer außerhalb der EU/des EWR erforderlich ist, stellen wir durch geeignete Garantien ein angemessenes Datenschutzniveau sicher. Hierzu setzen wir insbesondere ein:
- EU-Standarddatenschutzklauseln (Standard Contractual Clauses) als vertragliche Grundlage
- Zusätzliche technische und organisatorische Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus
Diese Praxis steht im Einklang mit international anerkannten Prinzipien für den grenzüberschreitenden Datenverkehr, wie sie insbesondere in den OECD-Leitlinien zum Schutz der Privatsphäre und zum grenzüberschreitenden Verkehr personenbezogener Daten niedergelegt sind. Die darin verankerten Grundsätze – namentlich Rechenschaftspflicht, Zweckbindung, Sicherheit und Gewährleistung eines angemessenen Schutzniveaus – sind integraler Bestandteil unserer Vorgehensweise bei internationalen Datentransfers.
Rheinmetall respektiert und gewährleistet die Rechte aller Personen, deren Daten wir verarbeiten. Betroffene Personen haben nach der DSGVO insbesondere folgende Rechte:
- Recht auf Auskunft über die zu ihrer Person gespeicherten Daten (einschließlich einer Kopie)
- Recht auf Berichtigung unrichtiger Daten
- Recht auf Löschung („Recht auf Vergessenwerden“)
- Recht auf Einschränkung der Verarbeitung
- Recht auf Datenübertragbarkeit (Datenportabilität)
- Widerspruchsrecht gegen die Verarbeitung, insbesondere bei Direktwerbung (hier wirkt der Widerspruch sofort und ohne Angabe von Gründen)
- Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft
- Recht auf Beschwerde bei einer zuständigen Datenschutzaufsichtsbehörde
Anfragen betroffener Personen werden grundsätzlich innerhalb eines Monats bearbeitet. Wir werden wenn möglich versuchen sicherzustellen, dass die Ausübung dieser Rechte einfach und barrierefrei möglich ist.
Ein wirksamer Datenschutz erfordert informierte und sensibilisierte Mitarbeitende. Rheinmetall setzt daher auf ein umfassendes Schulungs- und Awareness-Programm:
- Pflichtschulungen zum Datenschutz für alle neuen Mitarbeitenden
- Regelmäßige Wiederholungsschulungen zur Auffrischung und Vertiefung des Datenschutzwissens
- E-Learning-Module für flexible und standortübergreifende Schulung
- Zielgruppenspezifische Schulungen für besonders datenschutzrelevante Bereiche (z. B. Personalwesen, Marketing)
- Ergänzende Awareness-Maßnahmen wie Informationskampagnen, Flyer, Poster, Videos und interne Kommunikationsbeiträge
Durch diese Maßnahmen stellen wir sicher, dass Datenschutz im gesamten Unternehmen gelebt wird und alle Beteiligten ihre Verantwortung kennen und wahrnehmen.
Rheinmetall verfügt über ein etabliertes Verfahren zur Erkennung, Bewertung und Bearbeitung von Datenschutzvorfällen. Im Falle eines Datenschutzvorfalls:
- Erfolgt eine unverzügliche interne Bewertung des Risikos für die betroffenen Personen
- Wird die zuständige Datenschutzaufsichtsbehörde bei entsprechendem Risiko innerhalb von 72 Stunden benachrichtigt
- Werden betroffene Personen informiert, sofern ein hohes Risiko für ihre Rechte und Freiheiten besteht
- Werden Maßnahmen ergriffen, um den Vorfall einzudämmen und künftige Vorfälle zu verhindern
- Meldungen werden zusätzlich auch über das Rheinmetall Hinweisgebersystem EQS Integrity Line entgegengenommen und bearbeitet (EQS Integrity Line)
Erreichbarkeit ist uns wichtig. Für Fragen zum Datenschutz, zur Ausübung Ihrer Betroffenenrechte oder bei sonstigen Datenschutzanliegen stehen Ihnen unsere Ansprechpartner gerne zur Verfügung.
Weitere Informationen und Kontaktmöglichkeiten finden Sie unter Ziffer 3 unserer Datenschutzerklärung.
Nutzungsbedingungen und Datenschutzinformationen für die Aufzeichnung und Transkription von Meetings in Microsoft Teams und Cisco Webex
Zusammenfassung der wesentlichen Vorgaben
Wer als Meeting-Organisator eine Aufzeichnung und/oder Transkription über Microsoft Teams oder Cisco Webex veranlassen möchte, muss die folgenden wesentlichen Vorgaben beachten:
- Zunächst ist zu prüfen, ob das geplante Meeting einer Kategorie bzw. „Meeting-Art“ angehört, für die eine Aufzeichnung/Transkription grundsätzlich erlaubt, grundsätzlich nicht erlaubt oder nur situativ erlaubt ist (§ 3). Besprechungen mit sensiblen Inhalten – etwa Personalgespräche oder Betriebsratssitzungen – dürfen grundsätzlich nicht aufgezeichnet/transkribiert werden. Bei situativ zulässigen Meetings (z. B. Projekt- oder Teammeetings) ist vorab eine konkrete Begründung für die Aufzeichnung/Transkription zu formulieren und den Teilnehmern mitzuteilen.
- Die Aufzeichnung/Transkription darf nur mit vorheriger Einwilligung der Teilnehmer erfolgen, die diese per Knopfdruck in der jeweiligen Plattform erteilen. Teilnehmer, die nicht einwilligen, können ohne Kamera und Mikrofon weiterhin am Meeting teilnehmen (§ 5).
- Die Einwilligung zur Aufzeichnung/Transkription muss freiwillig erfolgen und darf nicht unter Ausübung von Druck erzwungen werden (§ 5).
- Vor der Aufzeichnung/Transkription muss der Meeting-Organisator einen konkreten Zweck hierfür festlegen, den angedachten Empfängerkreis der Aufzeichnungs- bzw. Transkriptionsdatei bestimmen und sämtliche Teilnehmer rechtzeitig – idealerweise bereits in der Meeting-Einladung sowie nochmals zu Beginn des Meetings – über die geplante Aufzeichnung/Transkription informieren (§ 4).
- Nach dem Meeting ist auf die Einhaltung der geltenden Speicher- und Löschfristen zu achten. Wird eine Aufzeichnung heruntergeladen oder an einen anderen Speicherort übertragen, liegt die Verantwortung für die Bestimmung einer geeigneten Speicher- bzw. Löschfrist beim Meeting-Organisator. Bei einer Weitergabe von Aufzeichnungs- bzw. Transkriptionsdateien ist jeder Empfänger eigenständig für die Einhaltung dieser Speicher- bzw. Löschfrist verantwortlich (§ 6).
§ 1 Geltungsbereich und Zweck
Diese Nutzungsbedingungen regeln die Verwendung der Aufzeichnungs- und Transkriptionsfunktion von Microsoft Teams und Cisco Webex (zusammen die „Plattformen") bei Rheinmetall. Sie dienen dem Schutz der Persönlichkeitsrechte aller Meeting-Teilnehmer, dem Schutz vertraulicher Unternehmensinformationen sowie der Sicherstellung eines rechtskonformen Umgangs mit Aufzeichnungen und Transkriptionen. Diese Nutzungsbedingungen gelten für sämtliche über die Plattformen durchgeführte Meetings bei Rheinmetall.
§ 2 Begriffsbestimmungen
Im Sinne dieser Nutzungsbedingungen gelten die folgenden Begriffsbestimmungen:
„Meeting“ bezeichnet jede über eine der Plattformen durchgeführte Zusammenkunft in Form einer Video- oder Audiokonferenz mit zwei oder mehr Teilnehmern, unabhängig davon, ob diese geplant oder ad hoc einberufen wurde. Erfasst sind insbesondere geplante Kalenderbesprechungen, Sofortbesprechungen, Webinare sowie sonstige über die Plattformen abgehaltene Konferenzen.
„Meeting-Organisator“ bezeichnet in der Regel die Person, die ein Meeting über eine der Plattformen einberuft bzw. organisiert. Die Rolle des Meeting-Organisators kann an eine andere Person delegiert werden; in diesem Fall verbleibt die Verantwortung für die Einhaltung dieser Nutzungsbedingungen bei der delegierenden Person (ursprünglicher „Meeting-Organisator“), sofern nicht ausdrücklich eine vollständige Übertragung der Verantwortung vereinbart wurde.
„Aufzeichnung“ bezeichnet die audio-visuelle Aufnahme eines Meetings über die in den Plattformen integrierte Aufzeichnungsfunktion. Die Aufzeichnung umfasst sämtliche während des Meetings übertragenen Audio- und/oder Videoinhalte sowie geteilte Bildschirminhalte, die in einer Videodatei gespeichert werden.
„Transkription“ bezeichnet die automatisierte Umwandlung der gesprochenen Inhalte eines Meetings in einen schriftlichen Text durch die in den Plattformen integrierte Transkriptionsfunktion. Die Transkription wird als separate Textdatei gespeichert und kann eine Zuordnung der Redebeiträge zu einzelnen Teilnehmern enthalten.
Soweit in diesen Nutzungsbedingungen der Begriff „Aufzeichnung“ verwendet wird, umfasst dieser – sofern nicht ausdrücklich anders angegeben – der Einfachheit halber auch die „Transkription“.
§ 3 Zulässige und unzulässige Aufzeichnungen
3.1 Unterscheidung nach Meeting-Art
Die grundsätzliche Zulässigkeit von Aufzeichnungen bestimmt sich primär nach der Art des
jeweiligen Meetings. Vorliegend werden drei Meeting-Arten unterschieden:
- a) Meetings, bei denen eine Aufzeichnung grundsätzlich erlaubt ist (§ 3.2)
- b) Meetings, bei denen eine Aufzeichnung grundsätzlich nicht erlaubt ist (§ 3.3)
- c) Meetings, bei denen eine Aufzeichnung situativ erlaubt sein kann (§ 3.4)
Der Meeting-Organisator hat vor jeder Aufzeichnung zu prüfen, um welche Meeting-Art es sich handelt und ob die entsprechenden Voraussetzungen für eine zulässige Aufzeichnung erfüllt sind. Die nachfolgend innerhalb der jeweiligen Meeting-Arten aufgezeigten Fallgruppen (z. B. Town-Hall-Meeting; Schulung; Teammeeting) dienen der Orientierung und sind nicht abschließend. In der Praxis können weitere (nicht antizipierte) Fallgruppen auftreten, die unter Berücksichtigung ihrer jeweiligen Eigenschaften (insbesondere Zweck, Inhalt, Teilnehmerkreis, Sensibilität und Vertraulichkeit) durch den Meeting-Organisator einer der drei Meeting-Arten zuzuordnen sind.
[...]
Datenschutzinformationen nach Art. 13 EU-Datenschutz-Grundverordnung (DSGVO) für die Aufzeichnung und Transkription von Meetings in Microsoft Teams und Cisco Webex
Hinweis: Die nachfolgenden Datenschutzinformationen gelten ausschließlich für die Aufzeichnung und Transkription von Meetings in Microsoft Teams und Cisco WebEx.
| A. Name und Kontaktdaten des Verantwortlichen |
Datenschutzrechtlich verantwortlich ist grundsätzlich diejenige Rheinmetall-Gesellschaft, die das jeweilige Meeting organisiert (in der Regel ist dies die Arbeitgebergesell-schaft des Meeting-Organisators). Für die zentrale Bereitstellung von Microsoft Teams / Cisco Webex zuständig: |
| B. Kontaktdaten des Datenschutzbeauftragten | Lorem ipsum dolor sit amet, consetetur sadipscing elitr, sed diam nonumy eirmod tempor invidunt ut labore et dolore magna aliquyam erat, sed diam voluptua. At vero eos et accusam et justo duo dolores et ea rebum. Stet clita kasd gubergren, no sea takimata sanctus est Lorem ipsum dolor sit amet. |
| C. Datenkategorien & Zwecke der Datenverarbeitung | Lorem ipsum dolor sit amet, consetetur sadipscing elitr, sed diam nonumy eirmod tempor invidunt ut labore et dolore magna aliquyam erat, sed diam voluptua. At vero eos et accusam et justo duo dolores et ea rebum. Stet clita kasd gubergren, no sea takimata sanctus est Lorem ipsum dolor sit amet. |
| D. Rechtsgrundlage für die Datenverarbeitung | Lorem ipsum dolor sit amet, consetetur sadipscing elitr, sed diam nonumy eirmod tempor invidunt ut labore et dolore magna aliquyam erat, sed diam voluptua. At vero eos et accusam et justo duo dolores et ea rebum. Stet clita kasd gubergren, no sea takimata sanctus est Lorem ipsum dolor sit amet. |
| E. Empfänger | Lorem ipsum dolor sit amet, consetetur sadipscing elitr, sed diam nonumy eirmod tempor invidunt ut labore et dolore magna aliquyam erat, sed diam voluptua. At vero eos et accusam et justo duo dolores et ea rebum. Stet clita kasd gubergren, no sea takimata sanctus est Lorem ipsum dolor sit amet. |
| F. Drittlandübermittlungen | Lorem ipsum dolor sit amet, consetetur sadipscing elitr, sed diam nonumy eirmod tempor invidunt ut labore et dolore magna aliquyam erat, sed diam voluptua. At vero eos et accusam et justo duo dolores et ea rebum. Stet clita kasd gubergren, no sea takimata sanctus est Lorem ipsum dolor sit amet. |
| G. Dauer der Speicherung | Lorem ipsum dolor sit amet, consetetur sadipscing elitr, sed diam nonumy eirmod tempor invidunt ut labore et dolore magna aliquyam erat, sed diam voluptua. At vero eos et accusam et justo duo dolores et ea rebum. Stet clita kasd gubergren, no sea takimata sanctus est Lorem ipsum dolor sit amet. |
| H. Erforderlichkeit der Datenbereitstellung | Lorem ipsum dolor sit amet, consetetur sadipscing elitr, sed diam nonumy eirmod tempor invidunt ut labore et dolore magna aliquyam erat, sed diam voluptua. At vero eos et accusam et justo duo dolores et ea rebum. Stet clita kasd gubergren, no sea takimata sanctus est Lorem ipsum dolor sit amet. |
Nach der DSGVO stehen Ihnen folgende Rechte im Hinblick auf die Verarbeitung Ihrer personenbezogenen Daten zu:
- Recht auf Auskunft nach Art. 15 DSGVO, Recht auf Berichtigung nach Art. 16 DSGVO, Recht auf Löschung nach Art. 17 DSGVO, Recht auf Einschränkung der Verarbeitung nach Art. 18 DSGVO, Recht auf Datenübertragbarkeit nach Art. 20 DSGVO, Recht auf Widerspruch nach Art. 21 DSGVO, Recht zum jederzeitigen Widerruf Ihrer Einwilligung nach Art. 7 Abs. 3 DSGVO, Recht auf Beschwerde bei einer Aufsichtsbe-hörde nach Art. 77 DSGVO
- Sie können diese Rechte nach Maßgabe der gesetzlichen Voraussetzungen wahrnehmen.
Zur Wahrnehmung Ihrer Rechte wenden Sie sich bitte direkt an den jeweiligen Meeting-Organisator bzw. an die für die jeweilige Aufzeichnung / Transkription zuständige Person oder Abteilung.