Datenschutz bei Rheinmetall

Rheinmetall bekennt sich zur Einhaltung der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union sowie aller weiteren anwendbaren nationalen und internationalen Datenschutzvorschriften weltweit. Dieses Bekenntnis gilt konzernweit – für sämtliche Geschäftstätigkeiten, Standorte und Tochtergesellschaften.

Wir betrachten den Schutz personenbezogener Daten nicht nur als gesetzliche Pflicht, sondern als wesentlichen Bestandteil unserer Unternehmensverantwortung und unseres Engagements für nachhaltige und ethische Geschäftspraktiken. Der sorgfältige und datenschutzkonforme Umgang mit personenbezogenen Daten schafft Vertrauen und Sicherheit für unseren Beschäftigten und Geschäftspartner. Unser Datenschutzmanagementsystem (DSMS) wird regelmäßig überprüft und an neue gesetzliche Anforderungen sowie technologische Entwicklungen angepasst. Der Rheinmetall Konzern bekennt sich zu dem folgenden strategischen Datenschutz-Ziel:

Wir stellen den Schutz der personenbezogenen Daten unserer Kunden, Beschäftigten und Geschäftspartner sicher.

Die Verantwortung für den Datenschutz ist bei Rheinmetall auf höchster Unternehmensebene verankert. Der Vorstand der Rheinmetall AG trägt die Gesamtverantwortung für die Einrichtung und Umsetzung eines wirksamen konzernweiten DSMS.

Die organisatorische Umsetzung erfolgt über eine mehrstufige Struktur:

• Auf Konzernebene ist die Datenschutz-Organisation als Abteilung in der Compliance-Organisation mit der übergreifenden Koordination und strategischen Steuerung des Datenschutzes betraut.
• Auf Ebene der Divisionen und einzelnen Gesellschaften bestehen dedizierte Verantwortlichkeiten, die die Einhaltung der Datenschutzanforderungen im jeweiligen Geschäftsbereich sicherstellen.
• Unser Konzern-Datenschutzbeauftragter überwacht die Einhaltung der DSGVO und anderer einschlägiger Vorschriften, berichtet unmittelbar an die höchste Managementebene und agiert unabhängig und weisungsfrei.
• Die Verantwortlichkeiten sind nach dem Prinzip der Funktionstrennung organisiert, um Interessenkonflikte zu vermeiden.

Der Vorstand der Rheinmetall AG trägt die Gesamtverantwortung für den Datenschutz im Konzern. Er hat ein konzernweites DSMS etabliert und dessen operative Umsetzung der Datenschutz-Organisation übertragen. Damit ist sichergestellt, dass der Datenschutz auf höchster Leitungsebene verankert ist und über klare Zuständigkeiten verfügt.

Die praktische Umsetzung des Datenschutzes wird von einem teilweise mehrstufigen Netzwerk spezialisierter Ansprechpartner in den Divisionen und Gesellschaften des Konzerns getragen. Diese dezentrale Struktur stellt sicher, dass die Einhaltung der datenschutzrechtlichen Anforderungen an jedem Standort und in jedem Geschäftsbereich durch Personen mit unmittelbarer Kenntnis der jeweiligen Prozesse gewährleistet wird. Die Ansprechpartner arbeiten eng mit dem Konzern-Datenschutzbeauftragten zusammen und sorgen so für eine einheitliche Anwendung des Datenschutzrechts im gesamten Konzern.

Unser Konzern-Datenschutzbeauftragter überwacht unabhängig und weisungsfrei die Einhaltung der Datenschutzvorgaben in den durch ihn betreuten Konzern-Gesellschaften sowie die Angemessenheit des DSMS. Darüber hinaus steht er im Rahmen seiner Datenschutz-Mandate den Betroffenen und den Datenschutzaufsichtsbehörden in Erfüllung seiner gesetzlichen Aufgaben als Ansprechpartner jederzeit und unmittelbar zur Verfügung. Er berät die Fachbereiche und bei Bedarf die Datenschutz-Organisation in datenschutzrechtlichen Fragestellungen, begleitet neue Vorhaben aus datenschutzrechtlicher Perspektive und berichtet unmittelbar an die höchste Managementebene des Unternehmens.

Rheinmetall betreibt ein umfassendes DSMS, das Prozesse und organisatorische Strukturen umfasst, um die Einhaltung sämtlicher gesetzlicher Datenschutzanforderungen bei Planung, Einrichtung, Betrieb und Außerbetriebnahme von Verarbeitungen personenbezogener Daten sicherzustellen.

Unser DSMS zeichnet sich – neben der im Abschnitt 3. beschriebenen Datenschutz-Organisation - insbesondere durch folgende Merkmale aus:

• Etablierung von Prozessen, Arbeitshilfen und Maßnahmen zur Gewährleistung der Datenschutzkonformität von Geschäftsprozessen
• Führung eines umfassenden Verzeichnisses von Verarbeitungstätigkeiten
• Dokumentation datenschutzrelevanter Maßnahmen zur Erfüllung der Rechenschaftspflicht
• Durchführung von Datenschutz-Risikobewertungen und Datenschutz-Folgenabschätzungen (DSFA/DPIAs) bei risikobehafteten Verarbeitungen
• Regelmäßige Audits und operative Überprüfungen der datenschutzrelevanten Geschäftsprozesse
• Kontinuierlicher Verbesserungsprozess nach dem Plan-Do-Check-Act-Zyklus (PDCA)
• Regelmäßige Überprüfung und Fortschreibung – mindestens alle drei Jahre sowie anlassbezogen

Im Zusammenspiel mit dem Informationssicherheitsmanagementsystem (ISMS) stellen wir sicher, dass personenbezogene Daten jederzeit durch angemessene technische und organisatorische Maßnahmen geschützt sind.

Um den Datenschutz auch im operativen Geschäftsbetrieb wirksam zu verankern, ist die Datenschutz-Organisation als feste Prüf- und Schnittstelleninstanz in zentrale Unternehmensprozesse eingebunden. Dies betrifft insbesondere die Einführung neuer IT-Anwendungen, die Beauftragung externer Dienstleister sowie die Gestaltung neuer Geschäftsprozesse. So wird gewährleistet, dass datenschutzrechtliche Anforderungen frühzeitig berücksichtigt und durchgängig eingehalten werden.

Rheinmetall verarbeitet personenbezogene Daten stets nach dem Grundsatz der Datenminimierung/Datensparsamkeit: Wir erheben und verarbeiten nur diejenigen Daten, die für den jeweiligen Zweck tatsächlich erforderlich sind.

Unsere zentralen Grundsätze im Umgang mit personenbezogenen Daten:

• Datenminimierung: Erhebung nur der für den jeweiligen Zweck erforderlichen Daten
• Need-to-know-Prinzip: Zugang zu personenbezogenen Daten nur für Personen, die diese für ihre Tätigkeit benötigen
• Speicherbegrenzung: Löschung oder Anonymisierung personenbezogener Daten, sobald der Verarbeitungszweck entfällt
• Privacy by Design: Datenschutzfreundliche Technikgestaltung von Anfang an
• Privacy by Default: Datenschutzfreundliche Voreinstellungen in allen Systemen und Prozessen

Die Verarbeitung besonderer Kategorien personenbezogener Daten – etwa Gesundheitsdaten – erfolgt im Einklang mit den besonderen rechtlichen Anforderungen (insbesondere Art. 9 DSGVO) und unterliegt verstärkten Schutzmaßnahmen.

Als international tätiger Konzern legt Rheinmetall besonderen Wert auf den Schutz personenbezogener Daten bei grenzüberschreitenden Datenübermittlungen. Grundsätzlich erfolgt die Verarbeitung personenbezogener Daten innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (EU/EWR).

Soweit eine Übermittlung personenbezogener Daten in Drittländer außerhalb der EU/des EWR erforderlich ist, stellen wir durch geeignete Garantien ein angemessenes Datenschutzniveau sicher. Hierzu setzen wir insbesondere ein:

• EU-Standarddatenschutzklauseln (Standard Contractual Clauses) als vertragliche Grundlage
• Zusätzliche technische und organisatorische Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus

Diese Praxis steht im Einklang mit international anerkannten Prinzipien für den grenzüberschreitenden Datenverkehr, wie sie insbesondere in den OECD-Leitlinien zum Schutz der Privatsphäre und zum grenzüberschreitenden Verkehr personenbezogener Daten niedergelegt sind. Die darin verankerten Grundsätze – namentlich Rechenschaftspflicht, Zweckbindung, Sicherheit und Gewährleistung eines angemessenen Schutzniveaus – sind integraler Bestandteil unserer Vorgehensweise bei internationalen Datentransfers.

Rheinmetall respektiert und gewährleistet die Rechte aller Personen, deren Daten wir verarbeiten. Betroffene Personen haben nach der DSGVO insbesondere folgende Rechte:

• Recht auf Auskunft über die zu ihrer Person gespeicherten Daten (einschließlich einer Kopie)
• Recht auf Berichtigung unrichtiger Daten
• Recht auf Löschung („Recht auf Vergessenwerden“)
• Recht auf Einschränkung der Verarbeitung
• Recht auf Datenübertragbarkeit (Datenportabilität)
• Widerspruchsrecht gegen die Verarbeitung, insbesondere bei Direktwerbung (hier wirkt der Widerspruch sofort und ohne Angabe von Gründen)
• Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft
• Recht auf Beschwerde bei einer zuständigen Datenschutzaufsichtsbehörde

Anfragen betroffener Personen werden grundsätzlich innerhalb eines Monats bearbeitet. Wir werden wenn möglich versuchen sicherzustellen, dass die Ausübung dieser Rechte einfach und barrierefrei möglich ist.

Ein wirksamer Datenschutz erfordert informierte und sensibilisierte Mitarbeitende. Rheinmetall setzt daher auf ein umfassendes Schulungs- und Awareness-Programm:

• Pflichtschulungen zum Datenschutz für alle neuen Mitarbeitenden
• Regelmäßige Wiederholungsschulungen zur Auffrischung und Vertiefung des Datenschutzwissens
• E-Learning-Module für flexible und standortübergreifende Schulung
• Zielgruppenspezifische Schulungen für besonders datenschutzrelevante Bereiche (z. B. Personalwesen, Marketing)
• Ergänzende Awareness-Maßnahmen wie Informationskampagnen, Flyer, Poster, Videos und interne Kommunikationsbeiträge

Durch diese Maßnahmen stellen wir sicher, dass Datenschutz im gesamten Unternehmen gelebt wird und alle Beteiligten ihre Verantwortung kennen und wahrnehmen.

Rheinmetall verfügt über ein etabliertes Verfahren zur Erkennung, Bewertung und Bearbeitung von Datenschutzvorfällen. Im Falle eines Datenschutzvorfalls:

• Erfolgt eine unverzügliche interne Bewertung des Risikos für die betroffenen Personen
• Wird die zuständige Datenschutzaufsichtsbehörde bei entsprechendem Risiko innerhalb von 72 Stunden benachrichtigt
• Werden betroffene Personen informiert, sofern ein hohes Risiko für ihre Rechte und Freiheiten besteht
• Werden Maßnahmen ergriffen, um den Vorfall einzudämmen und künftige Vorfälle zu verhindern
• Meldungen werden zusätzlich auch über das Rheinmetall Hinweisgebersystem EQS Integrity Line entgegengenommen und bearbeitet (EQS Integrity Line)

Erreichbarkeit ist uns wichtig. Für Fragen zum Datenschutz, zur Ausübung Ihrer Betroffenenrechte oder bei sonstigen Datenschutzanliegen stehen Ihnen unsere Ansprechpartner gerne zur Verfügung.

Weitere Informationen und Kontaktmöglichkeiten finden Sie unter Ziffer 3 unserer Datenschutzerklärung.