Datenschutzerklärung

§ 1 (Kategorien der verarbeiteten personenbezogenen Daten)

Das Unternehmen erhebt und verwendet im Rahmen der nachstehenden Zwecke nur die für die Leistungserbringung erforderlichen personenbezogenen Daten im Mindestumfang. Bei der Einholung der Einwilligung unterscheidet das Unternehmen zwischen Pflicht- und freiwilligen Angaben, sodass betroffene Personen dies klar erkennen können. Die Annahme einer Anfrage oder einer Bewerbung wird nicht deshalb verweigert, weil freiwillige Angaben nicht gemacht wurden.

1. Bei einer geschäftlichen Anfrage (Kontaktformular)
   • a. Pflichtangaben: Firmenname, Name der Ansprechperson, E-Mail-Adresse, angefragtes Produkt bzw. angefragte Lösung, Inhalt der Anfrage
   • b. Freiwillige Angaben: Telefonnummer, Unternehmensgröße
   • c. Automatisch erfasst: Zeitpunkt der Einwilligung in die Erhebung und Verwendung personenbezogener Daten sowie die Spracheinstellung zum Zeitpunkt der Übermittlung
2. Bei einer Bewerbung (Sofortbewerbung)
   • a. Pflichtangaben: Name, E-Mail-Adresse, Telefonnummer, Lebenslaufdatei sowie die darin von der bewerbenden Person angegebenen Informationen
   • b. Freiwillige Angaben: Nachricht zur Bewerbung
   • c. Automatisch erfasst: Zeitpunkt der Einwilligung in die Erhebung und Verwendung personenbezogener Daten sowie die Stellenausschreibung, auf die sich die Bewerbung bezieht
   • d. Welche Angaben die Lebenslaufdatei enthält, entscheidet die bewerbende Person selbst. Das Unternehmen verlangt nicht, dass Lebensläufe Registrierungsnummern oder sonstige eindeutige Kennnummern oder sensible Daten im Sinne des PIPA enthalten.
3. Bei der Nutzung der Website automatisch erzeugte und erhobene Angaben
   • Im Rahmen des Betriebs des Webservers und des Content Delivery Network (CDN) können IP-Adresse, Zugriffszeitpunkt sowie Browser- und Geräteinformationen automatisch als Zugriffsprotokolle erfasst werden.
4. Angaben, die das Unternehmen nicht erhebt
   • Die Website bietet weder eine Registrierung noch kostenpflichtige Zahlungsfunktionen an. Das Unternehmen erhebt daher keine Kontodaten, Passwörter, Zahlungsmitteldaten oder Transaktionshistorien.
   • Das Unternehmen erhebt über die Website keine Registrierungsnummern oder sonstigen eindeutigen Kennnummern, keine sensiblen Daten und keine Standortdaten.

§ 2 (Zwecke der Verarbeitung personenbezogener Daten)

Das Unternehmen verarbeitet personenbezogene Daten zu den nachstehenden Zwecken. Bei einer Änderung des Zwecks ergreift das Unternehmen die nach § 18 PIPA erforderlichen Maßnahmen.

1. Entgegennahme und Prüfung geschäftlicher Anfragen, Beratung und Beantwortung der Anfrage sowie Verwaltung des Bearbeitungsverlaufs
2. Entgegennahme und Prüfung von Bewerbungen, Identifizierung und Kontaktaufnahme mit bewerbenden Personen, Durchführung des Auswahlverfahrens und Mitteilung des Ergebnisses
3. Versand von Benachrichtigungs-E-Mails, um die zuständigen Mitarbeitenden des Unternehmens über den Eingang einer Anfrage oder Bewerbung zu informieren
4. Gewährleistung der Sicherheit des Website-Betriebs, Störungsbehebung und Verhinderung missbräuchlicher Nutzung

§ 3 (Speicher- und Nutzungsdauer, Verfahren und Methode der Vernichtung)

1. Werden personenbezogene Daten nicht mehr benötigt, etwa weil die Speicherdauer abgelaufen ist oder der Verarbeitungszweck erreicht wurde, vernichtet das Unternehmen sie unverzüglich. Sind personenbezogene Daten nach anderen Rechtsvorschriften aufzubewahren, werden sie getrennt von anderen personenbezogenen Daten gespeichert und verwaltet.
2. Die Speicherdauer der einzelnen Kategorien ist wie folgt.

1. Verfahren der Vernichtung: Das Unternehmen bestimmt die personenbezogenen Daten, für die ein Vernichtungsgrund vorliegt, und vernichtet sie nach Freigabe durch die/den Datenschutzbeauftragte(n).
2. Methode der Vernichtung
   • a. Daten in elektronischer Form: dauerhafte Löschung mit einem Verfahren, das eine Wiederherstellung ausschließt. Lebenslaufdateien werden nach Ablauf der im Speicher konfigurierten Aufbewahrungsdauer gelöscht.
   • b. Daten in Papierform: Schreddern oder Verbrennen.
3. Betroffene Personen können die Löschung ihrer personenbezogenen Daten nach § 6 auch vor Ablauf der Speicherdauer verlangen; das Unternehmen vernichtet die Daten unverzüglich, sofern keine gesetzliche Aufbewahrungspflicht besteht.

§ 4 (Weitergabe personenbezogener Daten an Dritte)

Das Unternehmen verarbeitet personenbezogene Daten ausschließlich im Rahmen der in § 1 und § 2 genannten Zwecke und gibt sie grundsätzlich nicht an Dritte weiter. Eine Weitergabe an Dritte erfolgt nur im nach dem PIPA zulässigen Umfang, etwa mit Einwilligung der betroffenen Person oder soweit gesetzlich zulässig. Gibt das Unternehmen personenbezogene Daten mit Einwilligung der betroffenen Person an Dritte weiter, informiert es vorab über den Empfänger, den Zweck der Weitergabe, die weitergegebenen Angaben, die Speicher- und Nutzungsdauer, das Recht zur Verweigerung der Einwilligung sowie etwaige Nachteile einer Verweigerung und holt die Einwilligung ein.

Derzeit gibt das Unternehmen keine über die Website erhobenen personenbezogenen Daten an Dritte weiter.

§ 5 (Auftragsverarbeitung personenbezogener Daten)

1. Zur reibungslosen Erbringung seiner Leistungen lässt das Unternehmen Teile der Verarbeitung personenbezogener Daten wie folgt im Auftrag durchführen.

1. Beauftragt das Unternehmen die Verarbeitung personenbezogener Daten, legt es gemäß § 26 PIPA im Vertrag das Verbot der Verarbeitung über den Zweck der beauftragten Tätigkeit hinaus, technische und organisatorische Schutzmaßnahmen, Beschränkungen der Unterbeauftragung, die Beaufsichtigung des Auftragnehmers sowie Haftungsfragen wie Schadensersatz fest und überwacht, ob der Auftragnehmer die personenbezogenen Daten sicher verarbeitet.
2. Ändern sich der Inhalt der beauftragten Tätigkeit oder der Auftragnehmer, veröffentlicht das Unternehmen dies unverzüglich in dieser Datenschutzerklärung.
3. Im Zusammenhang mit der vorstehenden Auftragsverarbeitung werden die über die Website erhobenen personenbezogenen Daten in einer Cloud-Region innerhalb der Republik Korea (AWS-Region Seoul) gespeichert.

§ 6 (Rechte und Pflichten der betroffenen Personen und deren Ausübung)

1. Betroffene Personen können gegenüber dem Unternehmen jederzeit die folgenden Rechte ausüben.
   • a. Recht auf Auskunft über personenbezogene Daten
   • b. Recht auf Berichtigung oder Löschung personenbezogener Daten
   • c. Recht auf Einschränkung der Verarbeitung personenbezogener Daten
   • d. Recht auf Widerruf der Einwilligung in die Verarbeitung personenbezogener Daten
2. Die Rechte können schriftlich, per E-Mail oder auf anderem Wege über die in § 7 genannten Kontaktdaten der/des Datenschutzbeauftragten (E-Mail dev@tosky.co.kr, Telefon 02-453-4628) ausgeübt werden; das Unternehmen wird entsprechenden Anträgen unverzüglich nachkommen.
3. Das Unternehmen teilt der betroffenen Person das Ergebnis (einschließlich einer Ablehnung oder teilweisen Einschränkung) innerhalb von 10 Tagen nach Eingang eines Antrags auf Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung mit. Im Fall eines Widerrufs der Einwilligung ergreift das Unternehmen unverzüglich die nach den einschlägigen Gesetzen erforderlichen Maßnahmen.
4. Lehnt das Unternehmen einen Antrag aus gesetzlich zulässigen Gründen ab oder schränkt es ihn ein, teilt es der betroffenen Person zugleich den Grund und die Möglichkeit des Widerspruchs mit.
5. Betroffene Personen können ihre Rechte durch eine Vertretung, etwa eine gesetzliche Vertretung oder eine bevollmächtigte Person, ausüben. In diesem Fall ist eine Vollmacht nach dem in der Bekanntmachung über die Methoden der Verarbeitung personenbezogener Daten vorgesehenen Formular (Anlage Nr. 11) vorzulegen.
6. Betroffene Personen dürfen personenbezogene Daten und die Privatsphäre anderer, die das Unternehmen verarbeitet, nicht unter Verstoß gegen das PIPA oder sonstige einschlägige Gesetze verletzen.

§ 7 (Datenschutzbeauftragte(r) und für Auskunftsanträge zuständige Stelle)

Das Unternehmen hat wie nachstehend eine/einen Datenschutzbeauftragte(n) benannt, die/der die Gesamtverantwortung für die Verarbeitung personenbezogener Daten trägt und Beschwerden sowie Abhilfeersuchen betroffener Personen im Zusammenhang mit der Verarbeitung personenbezogener Daten bearbeitet. Betroffene Personen können sämtliche Anfragen, Beschwerden und Abhilfeersuchen zum Datenschutz, die sich aus der Nutzung der Website ergeben, an die nachstehenden Kontaktdaten richten; das Unternehmen wird unverzüglich antworten und tätig werden.

§ 8 (Einsatz automatischer Erfassungsverfahren und Widerspruchsmöglichkeit)

1. Das Unternehmen setzt gegenüber Besucherinnen und Besuchern der Website keine Tracking-Cookies zu Werbe- oder Marketingzwecken ein und installiert bzw. betreibt auf der Website keine Webanalyse-Werkzeuge Dritter und keine Werbekennungen.
2. Das einzige vom Unternehmen eingesetzte Cookie ist ein technisch notwendiges Sitzungs-Cookie (Name: tosky_admin), das den Anmeldestatus von Mitarbeitenden des Unternehmens im Administrationsbereich aufrechterhält. Es wird ausschließlich bei der Anmeldung im Administrationsbereich gesetzt und läuft 12 Stunden nach der Ausstellung ab. Für gewöhnliche Besucherinnen und Besucher wird es nicht gesetzt.
3. Widerspruchsmöglichkeit: Sie können das Speichern von Cookies über die Einstellungen Ihres Webbrowsers ablehnen oder bereits gespeicherte Cookies löschen.
   • a. Chrome: Einstellungen → Datenschutz und Sicherheit → Cookies von Drittanbietern / Websitedaten → blockieren oder löschen
   • b. Safari: Einstellungen → Datenschutz → Cookies und Websitedaten → blockieren oder löschen
   • c. Edge: Einstellungen → Cookies und Websiteberechtigungen → Cookies und Websitedaten verwalten → blockieren oder löschen
4. Folgen des Widerspruchs: Auch wenn Sie das Speichern von Cookies ablehnen, können Sie sämtliche für gewöhnliche Nutzerinnen und Nutzer bestimmten Funktionen — das Betrachten der Website, geschäftliche Anfragen und Bewerbungen — uneingeschränkt nutzen. Lediglich die Funktion zur Aufrechterhaltung des Anmeldestatus im Administrationsbereich steht dann nicht zur Verfügung.

§ 9 (Maßnahmen zur Gewährleistung der Sicherheit personenbezogener Daten)

Gemäß § 29 PIPA und der zugehörigen Durchführungsverordnung ergreift das Unternehmen die folgenden Maßnahmen zur Gewährleistung der Sicherheit personenbezogener Daten.

1. Organisatorische Maßnahmen: Aufstellung, Umsetzung und regelmäßige Überprüfung eines internen Verwaltungsplans, Beschränkung des Kreises der mit personenbezogenen Daten befassten Personen und deren Schulung sowie Kriterien für die Erteilung, Änderung und Entziehung von Zugriffsrechten
2. Technische Maßnahmen: Beschränkung und Kontrolle des Zugriffs auf das Verarbeitungssystem, Speicherung der Authentifizierungsdaten von Administratoren mittels Einweg-Verschlüsselung, Verschlüsselung der Übertragung mittels HTTPS, Aufbewahrung der Zugriffsprotokolle und Schutz vor deren Fälschung oder Verfälschung sowie Installation und Betrieb von Schutzsoftware gegen Schadprogramme
3. Maßnahmen für Lebenslaufdateien: Lebenslaufdateien werden in einem nicht öffentlichen Speicher aufbewahrt, auf den von außen nicht unmittelbar zugegriffen werden kann. Sie werden ausschließlich über einen zeitlich befristeten Zugriffslink bereitgestellt, der beim Aufruf durch berechtigte Mitarbeitende im Administrationsbereich erzeugt wird und nach 15 Minuten abläuft.
4. Physische Maßnahmen: Physische Schutzmaßnahmen und Zutrittskontrollen für das Cloud-Rechenzentrum, in dem personenbezogene Daten gespeichert werden, werden durch den in § 5 genannten Auftragnehmer umgesetzt; das Unternehmen überwacht diese Maßnahmen.

§ 10 (Benachrichtigung und Meldung von Datenschutzverletzungen)

1. Erlangt das Unternehmen Kenntnis von einem Verlust, Diebstahl oder Abfluss personenbezogener Daten (nachfolgend "Verletzung"), benachrichtigt es die betroffenen Personen gemäß § 34 PIPA innerhalb von 72 Stunden schriftlich oder auf andere Weise über die betroffenen Kategorien personenbezogener Daten, den Zeitpunkt und die Umstände der Verletzung, die Maßnahmen, mit denen betroffene Personen Schäden minimieren können, die Gegenmaßnahmen und Abhilfeverfahren des Unternehmens sowie die für Schadensmeldungen und Beratung zuständige Stelle und deren Kontaktdaten.
2. Ist eine Benachrichtigung innerhalb von 72 Stunden nicht möglich, weil dringende Maßnahmen zur Verhinderung einer Ausweitung der Verletzung oder eines weiteren Abflusses erforderlich sind oder weil unabwendbare Umstände wie eine Naturkatastrophe vorliegen, benachrichtigt das Unternehmen die betroffenen Personen unverzüglich nach Wegfall dieser Gründe.
3. Liegt ein berechtigter Grund vor, etwa weil die Kontaktdaten der betroffenen Person nicht bekannt sind, kann die Benachrichtigung durch eine mindestens 30-tägige Veröffentlichung auf der Website ersetzt werden.
4. Sind personenbezogene Daten von 1.000 oder mehr betroffenen Personen betroffen, sind sensible Daten oder eindeutige Kennnummern betroffen oder sind personenbezogene Daten durch unbefugten externen Zugriff betroffen, meldet das Unternehmen die Verletzung innerhalb von 72 Stunden nach Kenntniserlangung der Personal Information Protection Commission oder der Korea Internet & Security Agency.
5. Tritt eine Verletzung ein, erarbeitet das Unternehmen Gegenmaßnahmen zur Minimierung des Schadens und setzt die erforderlichen Maßnahmen um.

§ 11 (Abhilfe bei Verletzung der Rechte betroffener Personen)

Betroffene Personen können sich zur Streitbeilegung oder Beratung an die nachstehenden Stellen wenden, um Abhilfe bei einer Verletzung ihrer personenbezogenen Daten zu erlangen. Diese Stellen sind vom Unternehmen unabhängig; bitte wenden Sie sich an sie, wenn Sie mit der Bearbeitung Ihrer Beschwerde oder Ihres Abhilfeersuchens durch das Unternehmen nicht zufrieden sind oder ausführlichere Unterstützung benötigen.

1. Meldestelle für Verletzungen personenbezogener Daten: 118 (privacy.kisa.or.kr)
2. Schlichtungsausschuss für Streitigkeiten über personenbezogene Daten: 1833-6972 (www.kopico.go.kr)
3. Abteilung für Cyberkriminalität der Obersten Staatsanwaltschaft: 1301 (www.spo.go.kr)
4. Nationales Ermittlungsbüro der koreanischen Polizei: 182 (ecrm.police.go.kr)

Werden Rechte oder Interessen einer betroffenen Person durch eine Maßnahme oder Unterlassung des Unternehmens im Zusammenhang mit einem Antrag auf Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung verletzt, kann die betroffene Person zudem nach Maßgabe des Administrative Appeals Act ein Widerspruchsverfahren einleiten.

§ 12 (Änderungen dieser Datenschutzerklärung)

1. Ergänzt, streicht oder ändert das Unternehmen Inhalte dieser Datenschutzerklärung, kündigt es die Gründe und Inhalte der Änderung mindestens 7 Tage vor deren Inkrafttreten auf der Website an (mindestens 30 Tage vorher bei Änderungen, die für betroffene Personen nachteilig oder wesentlich sind).
2. Bei einer Änderung dieser Datenschutzerklärung ergreift das Unternehmen Maßnahmen, damit betroffene Personen die Inhalte vor und nach der Änderung leicht vergleichen können.