Richtlinie zur Verarbeitung personen­bezogener Daten

1. Allgemeine Bestimmungen

1.1. Diese Richtlinie der FILIPCHIK STUDIOS Gesellschaft mit beschränkter Haftung zur Verarbeitung personenbezogener Daten (die „Richtlinie“) wurde gemäß dem Föderalen Gesetz Nr. 152-FZ „Über personenbezogene Daten“ vom 27. Juli 2006 (das „Datenschutzgesetz“) erarbeitet, um die Rechte und Freiheiten von Menschen und Bürgern bei der Verarbeitung ihrer personenbezogenen Daten zu schützen, einschließlich des Rechts auf Privatsphäre sowie auf persönliche und familiäre Geheimnisse.

1.2. Die Richtlinie legt die wesentlichen Begriffe, Zwecke, Methoden und Verfahren der Verarbeitung und des Schutzes personenbezogener Daten fest, die Kategorien betroffener Personen und verarbeiteter Daten, die mit personenbezogenen Daten durchgeführten Handlungen (Vorgänge), die Rechte und Pflichten des Betreibers und der betroffenen Personen, den Umgang mit Anfragen betroffener Personen sowie die Haftung für Verstöße im Bereich personenbezogener Daten.

1.3. Die Richtlinie gilt für alle personenbezogenen Daten, die von der FILIPCHIK STUDIOS LLC (der „Betreiber“) verarbeitet werden.

1.4. Diese Richtlinie ist auf der Website des Betreibers öffentlich zugänglich.

2. Begriffe und Abkürzungen

Personenbezogene Daten — alle Informationen, die sich auf eine direkt oder indirekt identifizierte oder identifizierbare natürliche Person (betroffene Person) beziehen.

Von der betroffenen Person zur Verbreitung freigegebene personenbezogene Daten — personenbezogene Daten, zu denen die betroffene Person einer unbegrenzten Zahl von Personen Zugang gewährt hat, indem sie in eine solche Verarbeitung eingewilligt hat.

Betreiber personenbezogener Daten (Betreiber) — eine staatliche oder kommunale Stelle, juristische oder natürliche Person, die allein oder gemeinsam mit anderen die Verarbeitung personenbezogener Daten organisiert und/oder durchführt und die Zwecke der Verarbeitung, die zu verarbeitenden Daten und die damit durchgeführten Handlungen (Vorgänge) festlegt.

Verarbeitung personenbezogener Daten — jede mit oder ohne Hilfe automatisierter Mittel ausgeführte Handlung (Vorgang) oder Gesamtheit von Handlungen mit personenbezogenen Daten, darunter:

• Erhebung;
• Erfassung;
• Ordnung;
• Sammlung;
• Speicherung;
• Präzisierung (Aktualisierung, Änderung);
• Abruf;
• Verwendung;
• Übermittlung (Bereitstellung, Zugang);
• Verbreitung;
• Anonymisierung;
• Sperrung;
• Löschung;
• Vernichtung.

Automatisierte Verarbeitung — Verarbeitung personenbezogener Daten mithilfe von Computertechnik.

Bereitstellung personenbezogener Daten — Handlungen, die auf die Offenlegung personenbezogener Daten gegenüber einer bestimmten Person oder einem bestimmten Personenkreis gerichtet sind.

Verbreitung personenbezogener Daten — Handlungen, die auf die Offenlegung personenbezogener Daten gegenüber einem unbestimmten Personenkreis gerichtet sind.

Sperrung personenbezogener Daten — vorübergehende Einstellung der Verarbeitung (außer wenn die Verarbeitung zur Präzisierung der Daten erforderlich ist).

Vernichtung personenbezogener Daten — Handlungen, die es unmöglich machen, den Inhalt personenbezogener Daten im Informationssystem wiederherzustellen, und/oder die physischen Datenträger vernichten.

Anonymisierung personenbezogener Daten — Handlungen, die es ohne zusätzliche Informationen unmöglich machen, personenbezogene Daten einer bestimmten betroffenen Person zuzuordnen.

Informationssystem für personenbezogene Daten (ISPD) — die Gesamtheit der in Datenbanken enthaltenen personenbezogenen Daten sowie der zu ihrer Verarbeitung eingesetzten Informationstechnologien und technischen Mittel.

Grenzüberschreitende Übermittlung — Übermittlung personenbezogener Daten in das Hoheitsgebiet eines anderen Staates, an eine ausländische Behörde, natürliche oder juristische Person.

Schutz personenbezogener Daten — Maßnahmen zur Verhinderung des Abflusses geschützter personenbezogener Daten sowie unbefugter oder unbeabsichtigter Eingriffe in diese.

3. Verfahren und Bedingungen der Verarbeitung und Speicherung personenbezogener Daten

3.1. Der Betreiber verarbeitet personenbezogene Daten gemäß den Rechtsvorschriften der Russischen Föderation.

3.2. Personenbezogene Daten werden mit Einwilligung der betroffenen Personen verarbeitet sowie ohne Einwilligung in den im russischen Recht vorgesehenen Fällen.

3.3. Die Einwilligung in die Verarbeitung zur Verbreitung freigegebener personenbezogener Daten wird getrennt von anderen Einwilligungen der betroffenen Person erteilt.

3.4. Eine solche Einwilligung kann dem Betreiber erteilt werden:

• unmittelbar;
• über das Informationssystem der für den Schutz der Rechte betroffener Personen zuständigen Behörde.

3.5. Der Betreiber verarbeitet personenbezogene Daten sowohl automatisiert als auch nicht automatisiert.

3.6. Die Verarbeitung erfolgt nur durch Mitarbeiter des Betreibers, zu deren Aufgaben die Verarbeitung personenbezogener Daten gehört.

3.7. Personenbezogene Daten werden verarbeitet durch:

• mündliche und schriftliche Entgegennahme personenbezogener Daten unmittelbar mit Einwilligung der betroffenen Person in die Verarbeitung oder Verbreitung;
• Eintragung personenbezogener Daten in Journale, Register und Informationssysteme des Betreibers;
• sonstige Verfahren der Verarbeitung personenbezogener Daten.

3.8. Ohne Einwilligung der betroffenen Person werden personenbezogene Daten weder an Dritte weitergegeben noch verbreitet, sofern das föderale Recht nichts anderes vorsieht.

3.9. Personenbezogene Daten werden gemäß russischem Recht an Ermittlungsbehörden, den Föderalen Steuerdienst, den Sozialfonds und andere befugte Stellen und Organisationen übermittelt.

3.10. Der Betreiber ergreift die erforderlichen rechtlichen, organisatorischen und technischen Maßnahmen, um personenbezogene Daten vor unrechtmäßigem oder zufälligem Zugriff, Vernichtung, Veränderung, Sperrung, Verbreitung und anderen unbefugten Handlungen zu schützen, darunter:

• Ermittlung von Bedrohungen für die Sicherheit personenbezogener Daten bei der Verarbeitung;
• Erlass interner Regelungen und anderer Dokumente zur Verarbeitung und zum Schutz personenbezogener Daten;
• Benennung von Verantwortlichen für die Sicherheit personenbezogener Daten in den Abteilungen und Informationssystemen;
• Schaffung der erforderlichen Bedingungen für die Arbeit mit personenbezogenen Daten;
• Erfassung von Dokumenten, die personenbezogene Daten enthalten;
• Organisation der Arbeit mit den Informationssystemen, in denen personenbezogene Daten verarbeitet werden;
• Speicherung personenbezogener Daten unter Bedingungen, die ihre Sicherheit gewährleisten und unrechtmäßigen Zugriff verhindern;
• Schulung der Mitarbeiter, die personenbezogene Daten verarbeiten.

3.11. Der Betreiber speichert personenbezogene Daten in einer Form, die die Identifizierung der betroffenen Person ermöglicht, nicht länger, als es die Zwecke der Verarbeitung erfordern, sofern die Speicherfrist nicht durch föderales Gesetz, Vertrag oder Vereinbarung festgelegt ist.

3.12. Bei der Erhebung personenbezogener Daten, auch über das Internet, erfasst, ordnet, sammelt, speichert, präzisiert und ruft der Betreiber personenbezogene Daten von Bürgern der Russischen Föderation mithilfe von Datenbanken ab, die sich auf dem Gebiet der Russischen Föderation befinden, mit Ausnahme der im Datenschutzgesetz genannten Fälle.

3.13. Zwecke der Verarbeitung.

3.13.1. Es werden nur personenbezogene Daten verarbeitet, die den Zwecken der Verarbeitung entsprechen.

3.13.2. Der Betreiber verarbeitet personenbezogene Daten zu folgenden Zwecken:

• Einhaltung der Verfassung, der föderalen Gesetze und anderer Rechtsvorschriften der Russischen Föderation;
• Ausübung der Tätigkeit gemäß der Satzung der FILIPCHIK STUDIOS LLC;
• Personalverwaltung;
• Unterstützung der Mitarbeiter bei der Beschäftigung;
• Gewinnung und Auswahl von Bewerbern;
• Anmeldung der Mitarbeiter im System der Pflichtrentenversicherung;
• Erstellung und Einreichung vorgeschriebener Berichte an Behörden und andere befugte Organisationen;
• zivilrechtliche Beziehungen;
• Buchhaltung und Steuerunterlagen.

3.14. Personenbezogene Daten von Mitarbeitern dürfen ausschließlich zur Gewährleistung der Einhaltung von Gesetzen und anderen Rechtsvorschriften verarbeitet werden.

3.15. Kategorien betroffener Personen. Der Betreiber verarbeitet personenbezogene Daten von:

• natürlichen Personen, die bei der FILIPCHIK STUDIOS LLC beschäftigt sind;
• natürlichen Personen, die aus der FILIPCHIK STUDIOS LLC ausgeschieden sind;
• Bewerbern;
• Nutzern der Website des Betreibers;
• Vertragspartnern des Betreibers (natürlichen Personen) in vertraglichen und sonstigen zivilrechtlichen Beziehungen mit der FILIPCHIK STUDIOS LLC oder deren bevollmächtigten Vertretern;
• Vertretern oder Mitarbeitern von Vertragspartnern des Betreibers (juristischen Personen).

3.16. Vom Betreiber verarbeitete personenbezogene Daten:

• Daten, die im Rahmen von Arbeitsverhältnissen erhoben werden;
• Daten, die zur Auswahl von Bewerbern erhoben werden;
• Daten, die im Rahmen zivilrechtlicher Beziehungen erhoben werden;
• Daten, die Nutzer der Website des Betreibers angeben.

Je nach konkretem Zweck können die verarbeiteten personenbezogenen Daten umfassen: vollständiger Name (einschließlich früherer Namen); Geburtsdatum und -ort; Staatsangehörigkeit; Angaben zum Ausweisdokument; Melde- und Wohnadresse; dienstliche, private und mobile Telefonnummern oder sonstige Kontaktdaten; Rentenversicherungsnummer; Steueridentifikationsnummer; Angaben zur Pflichtkrankenversicherung; Bankverbindung für Gehalts- und Sozialzahlungen; Angaben aus Geburts- und Heiratsurkunden; Familienstand und Familienzusammensetzung im nach russischem Recht zulässigen Umfang; beruflicher Werdegang; Angaben zur Wehrerfassung; Ausbildung, berufliche Umschulung und Qualifikation; akademischer Grad; Fremdsprachenkenntnisse; Angaben zum Arbeitsvertrag; Auslandsaufenthalte; Angaben zu Vorstrafen von Bewerbern, sofern föderales Recht dies verlangt; Sicherheitsfreigaben; staatliche und sonstige Auszeichnungen; Ergebnisse ärztlicher Tauglichkeitsuntersuchungen; Urlaubsaufzeichnungen; Arbeitsort und Position; dienstliche E-Mail-Adresse; biometrische Daten in Form von Fotos und Videos; anonymisierte Daten über Website-Besucher, einschließlich Cookies, die über Webanalysedienste gewonnen werden; sowie sonstige Daten in den durch föderales Recht bestimmten Fällen.

3.17. Speicherung personenbezogener Daten.

3.17.1. Personenbezogene Daten können sowohl auf Papier als auch elektronisch entgegengenommen, verarbeitet und gespeichert werden.

3.17.2. Personenbezogene Daten auf Papier werden in abschließbaren Schränken oder abschließbaren Räumen mit beschränktem Zugang aufbewahrt.

3.17.3. Personenbezogene Daten, die zu unterschiedlichen Zwecken automatisiert verarbeitet werden, werden in getrennten Ordnern gespeichert.

3.17.4. Dokumente mit personenbezogenen Daten dürfen nicht in offenen elektronischen Verzeichnissen (Filesharing-Diensten) im ISPD gespeichert oder abgelegt werden.

3.17.5. Personenbezogene Daten in einer Form, die die Identifizierung der betroffenen Person ermöglicht, werden nicht länger gespeichert, als es die Zwecke der Verarbeitung erfordern, und nach Erreichen dieser Zwecke oder bei Wegfall ihrer Erforderlichkeit vernichtet.

3.18. Vernichtung personenbezogener Daten.

3.18.1. Personenbezogene Daten werden vernichtet, wenn die Zwecke der Verarbeitung erreicht sind, bei Widerruf der Einwilligung, auf Verlangen der betroffenen Person oder anderer gesetzlich vorgesehener Personen oder bei Feststellung einer unrechtmäßigen Verarbeitung.

3.18.2. Dokumente (Datenträger) mit personenbezogenen Daten werden durch Verbrennen oder Zerkleinern vernichtet. Für Papierdokumente kann ein Aktenvernichter verwendet werden.

3.18.3. Personenbezogene Daten auf elektronischen Datenträgern werden durch Löschen oder Formatieren des Datenträgers vernichtet.

4. Schutz personenbezogener Daten

4.1. Gemäß den gesetzlichen Anforderungen unterhält der Betreiber ein System zum Schutz personenbezogener Daten.

4.2. Zu den wichtigsten Schutzmaßnahmen des Betreibers können gehören:

4.2.1. Benennung einer für die Verarbeitung personenbezogener Daten verantwortlichen Person, die die Verarbeitung, Schulung und Unterweisung sowie die interne Kontrolle der Einhaltung der Datenschutzanforderungen organisiert.

4.2.2. Ermittlung aktueller Bedrohungen für die Sicherheit personenbezogener Daten im ISPD und Entwicklung von Schutzmaßnahmen.

4.2.3. Erarbeitung einer Richtlinie zur Verarbeitung personenbezogener Daten.

4.2.4. Festlegung von Regeln für den Zugriff auf personenbezogene Daten im ISPD sowie Registrierung und Protokollierung aller Handlungen mit personenbezogenen Daten im ISPD.

4.2.5. Einsatz von Informationssicherheitsmitteln, die eine Konformitätsbewertung durchlaufen haben.

4.2.6. Zertifizierte Antivirensoftware mit regelmäßig aktualisierten Datenbanken.

4.2.7. Aufrechterhaltung von Bedingungen, die die Sicherheit personenbezogener Daten gewährleisten und unbefugten Zugriff verhindern.

4.2.8. Erkennung unbefugter Zugriffe auf personenbezogene Daten und Ergreifen von Maßnahmen.

4.2.9. Wiederherstellung personenbezogener Daten, die infolge unbefugten Zugriffs verändert oder vernichtet wurden.

5. Rechte der betroffenen Person und Pflichten des Betreibers

5.1. Rechte der betroffenen Person

5.1.1. Die betroffene Person hat das Recht auf Zugang zu ihren personenbezogenen Daten und zu folgenden Informationen:

• Bestätigung, dass der Betreiber ihre personenbezogenen Daten verarbeitet;
• Rechtsgrundlagen und Zwecke der Verarbeitung;
• vom Betreiber angewandte Zwecke und Methoden der Verarbeitung;
• Name und Sitz des Betreibers sowie Angaben zu Personen (außer Mitarbeitern), die Zugang zu personenbezogenen Daten haben oder denen diese aufgrund eines Vertrags mit dem Betreiber oder föderalen Rechts offengelegt werden können;
• Verarbeitungsfristen, einschließlich Speicherfristen;
• das Verfahren zur Ausübung der Rechte der betroffenen Person nach dem Datenschutzgesetz;
• Name bzw. vollständiger Name und Anschrift einer Person, die personenbezogene Daten im Auftrag des Betreibers verarbeitet;
• sonstige im Datenschutzgesetz oder in anderen föderalen Gesetzen vorgesehene Informationen.

5.1.2. Die betroffene Person hat das Recht, sich an den Betreiber zu wenden und Anfragen zu stellen.

5.1.3. Die betroffene Person hat das Recht, Handlungen oder Unterlassungen des Betreibers anzufechten.

5.1.4. Die betroffene Person hat das Recht, ihre Einwilligung in die Verarbeitung personenbezogener Daten zu widerrufen.

5.2. Pflichten des Betreibers

Der Betreiber ist verpflichtet:

• bei der Erhebung personenbezogener Daten Informationen über die Verarbeitung bereitzustellen;
• die betroffene Person zu benachrichtigen, wenn die personenbezogenen Daten nicht bei ihr erhoben wurden;
• der betroffenen Person die Folgen einer Verweigerung der Angabe personenbezogener Daten zu erläutern;
• seine Richtlinie zur Verarbeitung personenbezogener Daten sowie Informationen zu den umgesetzten Schutzanforderungen zu veröffentlichen oder auf andere Weise uneingeschränkt zugänglich zu machen;
• die erforderlichen rechtlichen, organisatorischen und technischen Maßnahmen zu ergreifen, um personenbezogene Daten vor unrechtmäßigem oder zufälligem Zugriff, Vernichtung, Veränderung, Sperrung, Vervielfältigung, Bereitstellung, Verbreitung und anderen unrechtmäßigen Handlungen zu schützen;
• Anfragen betroffener Personen, ihrer Vertreter und der für den Schutz der Rechte betroffener Personen zuständigen Behörde zu beantworten;
• sonstige Pflichten nach dem Datenschutzgesetz zu erfüllen.

6. Aktualisierung, Berichtigung, Löschung und Vernichtung personenbezogener Daten; Beantwortung von Auskunftsersuchen

6.1. Die Bestätigung der Verarbeitung, ihre Rechtsgrundlagen und Zwecke sowie die sonstigen in Teil 7 von Artikel 14 des Datenschutzgesetzes genannten Informationen werden der betroffenen Person oder ihrem Vertreter auf Anfrage oder Ersuchen erteilt. Diese Informationen enthalten keine personenbezogenen Daten anderer betroffener Personen, sofern keine rechtliche Grundlage für deren Offenlegung besteht.

Ein Ersuchen muss enthalten: die Nummer des Ausweisdokuments der betroffenen Person oder ihres Vertreters, Ausstellungsdatum und ausstellende Behörde; Angaben, die die Beziehung der betroffenen Person zum Betreiber bestätigen (Nummer und Datum des Vertrags, Kennzeichnung und/oder sonstige Angaben) oder anderweitig bestätigen, dass der Betreiber ihre Daten verarbeitet; sowie die Unterschrift der betroffenen Person oder ihres Vertreters. Das Ersuchen kann als elektronisches Dokument mit einer elektronischen Signatur nach russischem Recht übermittelt werden.

Enthält ein Ersuchen nicht alle erforderlichen Angaben oder hat die betroffene Person kein Recht auf Zugang zu den angeforderten Informationen, wird eine begründete Ablehnung versandt. Das Zugangsrecht der betroffenen Person kann in den im Datenschutzgesetz ausdrücklich vorgesehenen Fällen eingeschränkt werden.

6.2. Wird auf Ersuchen der betroffenen Person, ihres Vertreters oder der zuständigen Behörde eine unrechtmäßige Verarbeitung festgestellt, sperrt der Betreiber die unrechtmäßig verarbeiteten personenbezogenen Daten für die Dauer der Prüfung. Werden unrichtige personenbezogene Daten festgestellt, sperrt der Betreiber diese für die Dauer der Prüfung, sofern dadurch die Rechte und berechtigten Interessen der betroffenen Person oder Dritter nicht verletzt werden.

6.3. Bestätigt sich die Unrichtigkeit, berichtigt der Betreiber die personenbezogenen Daten innerhalb von sieben Werktagen nach Erhalt der entsprechenden Informationen und hebt die Sperrung auf.

6.4. Wird eine unrechtmäßige Verarbeitung durch den Betreiber festgestellt, stellt der Betreiber diese innerhalb von drei Werktagen ein. Kann eine rechtmäßige Verarbeitung nicht sichergestellt werden, vernichtet der Betreiber die personenbezogenen Daten innerhalb von zehn Werktagen und benachrichtigt die betroffene Person oder ihren Vertreter sowie, falls das Ersuchen von der zuständigen Behörde stammte, auch diese Behörde.

6.5. Bei Erreichen der Zwecke der Verarbeitung oder bei Widerruf der Einwilligung werden die personenbezogenen Daten vernichtet, es sei denn:

• ein Vertrag, bei dem die betroffene Person Partei, Begünstigte oder Bürge ist, sieht etwas anderes vor;
• der Betreiber ist berechtigt, die Daten aus im Datenschutzgesetz oder in anderen föderalen Gesetzen vorgesehenen Gründen ohne Einwilligung zu verarbeiten;
• eine andere Vereinbarung zwischen dem Betreiber und der betroffenen Person sieht etwas anderes vor.

7. Schlussbestimmungen

7.1. Die Haftung für Verstöße gegen russisches Recht und die Regelungen der FILIPCHIK STUDIOS LLC im Bereich personenbezogener Daten richtet sich nach russischem Recht.

7.2. Diese Richtlinie tritt mit ihrer Genehmigung in Kraft und gilt unbefristet bzw. bis zur Annahme einer neuen Richtlinie.

7.3. Bei Änderungen der russischen Rechtsvorschriften gilt diese Richtlinie, soweit sie dem Gesetz nicht widerspricht, bis sie an die geänderten Vorschriften angepasst wird.

7.4. Der Betreiber legt die Bedingungen dieser Richtlinie einseitig ohne vorherige Benachrichtigung der betroffenen Personen fest, ändert und hebt sie auf.

Generaldirektor der FILIPCHIK STUDIOS LLC A. O. Filipchik