SILA Linguists® ist eine eingetragene Marke der NEXUS of SILA Limited.
Diese DSGVO-Compliance-Richtlinie legt dar, wie NEXUS of SILA Limited, tätig unter dem Namen SILA Linguists® („SILA“, „wir“ oder „uns“), personenbezogene Daten im Einklang mit der UK General Data Protection Regulation (britische DSGVO), dem Data Protection Act 2018 und, soweit anwendbar, der Datenschutz-Grundverordnung der Europäischen Union (zusammen das „Datenschutzrecht“) verarbeitet. Sie richtet sich an unsere Kunden, Mitarbeitenden, Sprachmittler und Lieferanten und kann dem Information Commissioner’s Office oder einer anderen Aufsichtsbehörde auf Anfrage vorgelegt werden. Sie ist zusammen mit unserer Datenschutzerklärung, die betroffenen Personen erläutert, wie wir ihre personenbezogenen Daten verwenden, und unseren Allgemeinen Geschäftsbedingungen für Sprachdienstleistungen zu lesen.
1. Geltungsbereich und unsere Rollen
Wir sind ein Sprachdienstleister mit Sitz in Schottland und erbringen Dolmetsch-, Übersetzungs-, Transkriptions- und Sprachanalyseleistungen für öffentliche Stellen, private Unternehmen, gemeinnützige Organisationen und Privatpersonen im Vereinigten Königreich, in Europa, Nordamerika, Australien und darüber hinaus. Alle Mitarbeitenden, Sprachmittler und Lieferanten, die in unserem Auftrag personenbezogene Daten verarbeiten, müssen diese Richtlinie einhalten.
Wir handeln in zwei Rollen:
- als Verantwortlicher für die personenbezogenen Daten unserer Kunden und ihrer Ansprechpersonen, unserer Mitarbeitenden, Sprachmittler und Bewerbenden, der Nutzer unserer App und der Besucher unserer Website; für Sachverständigengutachten wie Sprachanalysegutachten (LADO) und Gutachten zur Staatsangehörigkeit; und für Leistungen, die Privatpersonen für sich selbst buchen; und
- als Auftragsverarbeiter für personenbezogene Daten in Materialien, die Organisationen uns zur Übersetzung, Transkription, Untertitelung oder Lokalisierung übersenden, sowie in den Angaben zu Dolmetschbuchungen von Organisationen. In diesen Fällen handeln wir ausschließlich auf dokumentierte Weisung des Kunden, auf Grundlage der Datenschutzbestimmungen in unseren Allgemeinen Geschäftsbedingungen für Sprachdienstleistungen oder eines gesonderten Auftragsverarbeitungsvertrags.
2. Grundsätze des Datenschutzes
Wir verarbeiten personenbezogene Daten im Einklang mit den Grundsätzen des Datenschutzrechts. Personenbezogene Daten müssen
- auf rechtmäßige Weise, nach Treu und Glauben und in einer nachvollziehbaren Weise verarbeitet werden;
- für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverarbeitet werden;
- dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sein;
- sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein;
- in einer Form gespeichert werden, die die Identifizierung nur so lange ermöglicht, wie es erforderlich ist; und
- durch geeignete technische und organisatorische Maßnahmen sicher verarbeitet werden.
Wir sind für die Einhaltung dieser Grundsätze verantwortlich und müssen sie nachweisen können.
3. Verzeichnis der Verarbeitungstätigkeiten, Audits und jährliche Überprüfung
Wir führen ein Verzeichnis unserer Verarbeitungstätigkeiten und prüfen regelmäßig die personenbezogenen Daten, die wir verarbeiten. Für jeden Prozess mit personenbezogenen Daten erfassen wir die Kategorien von Daten und betroffenen Personen, die Herkunft, die Zwecke und die Rechtsgrundlage, den Speicherort, die Zugriffsberechtigten, die Aufbewahrungsfrist, die Empfänger sowie etwaige internationale Übermittlungen.
Wir überprüfen unsere Audits, Verzeichnisse und Richtlinien mindestens einmal jährlich sowie bei Einführung jeder neuen Leistung, jedes neuen Systems oder Lieferanten und aktualisieren unsere Verfahren, um festgestellte Probleme zu beheben.
4. Rechtsgrundlage, berechtigte Interessen und besondere Kategorien von Daten
Wir bestimmen und dokumentieren für jede Verarbeitungstätigkeit, für die wir Verantwortlicher sind, eine Rechtsgrundlage. Stützen wir uns auf berechtigte Interessen, führen wir eine Interessenabwägung durch und dokumentieren sie.
Unsere Leistungen betreffen häufig besondere Kategorien personenbezogener Daten wie Gesundheitsdaten und gelegentlich Daten über Straftaten. Wenn wir Verantwortlicher sind, bestimmen wir eine datenschutzrechtliche Verarbeitungsbedingung, einschließlich der Bedingungen in Schedule 1 (Anhang 1) des Data Protection Act 2018, und führen, soweit erforderlich, ein entsprechendes Grundsatzdokument (appropriate policy document). Wenn wir Auftragsverarbeiter sind, verlassen wir uns darauf, dass unser Kunde über eine Rechtsgrundlage und eine Verarbeitungsbedingung verfügt, und verarbeiten die Daten ausschließlich auf seine Weisung.
5. Datenschutz durch Technikgestaltung und Folgenabschätzungen
Wir berücksichtigen den Datenschutz bei der Gestaltung oder Änderung unserer Leistungen, Systeme und Prozesse und erheben nur die für den jeweiligen Auftrag erforderlichen personenbezogenen Daten. Vor jeder Verarbeitung, die voraussichtlich ein hohes Risiko für Personen zur Folge hat, etwa beim Einsatz neuer Technologie für sensible Auftragsinhalte, führen wir eine Datenschutz-Folgenabschätzung durch.
KI-gestützte Übersetzungswerkzeuge setzen wir nur ein, nachdem wir deren Sicherheit und Vertraulichkeit geprüft haben, und nur zu Bedingungen, die verhindern, dass Kundeninhalte zum Training öffentlich verfügbarer KI-Modelle verwendet werden. Kunden können verlangen, dass wir solche Werkzeuge nicht einsetzen.
6. Sprachmittler, Mitarbeitende und Lieferanten
Alle Sprachmittler und Mitarbeitenden, die personenbezogene Daten verarbeiten,
- werden überprüft und, soweit für die Tätigkeit angemessen, Hintergrund- und Sicherheitsüberprüfungen unterzogen;
- unterzeichnen eine Vertraulichkeitsvereinbarung und verpflichten sich, unsere Datenschutzverfahren einzuhalten;
- erhalten nur die für den Auftrag erforderlichen personenbezogenen Daten;
- müssen sichere Geräte und die von uns freigegebenen Kommunikations- und Speichermethoden verwenden und dürfen Auftragsmaterial nach Ende des Auftrags nicht aufbewahren, sofern wir nichts anderes anweisen; und
- müssen uns jede tatsächliche oder vermutete Datenschutzverletzung unverzüglich melden.
Lieferanten und Subunternehmer, die in unserem Auftrag personenbezogene Daten verarbeiten, setzen wir nur auf Grundlage schriftlicher Verträge ein, die den Anforderungen des Datenschutzrechts entsprechen, und wir prüfen, dass sie hinreichende Garantien für die Sicherheit bieten.
7. Sicherheit
Wir schützen personenbezogene Daten durch dem Risiko angemessene technische und organisatorische Maßnahmen, darunter Zugriffskontrollen nach dem Need-to-know-Prinzip, Multi-Faktor-Authentifizierung, verschlüsselte Dateiübertragung, sichere Speicherung und Löschung, Schulung von Mitarbeitenden und Sprachmittlern sowie Verfahren für den sicheren Umgang mit Papierdokumenten und mit Originaldokumenten, die uns per Post oder Kurier zugesandt werden.
8. Internationale Datenübermittlungen
Wir übermitteln personenbezogene Daten nur dann außerhalb des Vereinigten Königreichs oder des Europäischen Wirtschaftsraums, wenn sie durch eine datenschutzrechtlich anerkannte Garantie geschützt sind, etwa einen Angemessenheitsbeschluss, das International Data Transfer Agreement, das UK Addendum oder Standardvertragsklauseln, oder wenn eine anerkannte Ausnahme greift, etwa wenn die Übermittlung erforderlich ist, um auf Wunsch eines Kunden eine beeidigte Übersetzung im Ausland zu veranlassen.
9. Aufbewahrung und Löschung von Daten
Wir bewahren personenbezogene Daten nicht länger als erforderlich auf. Die Aufbewahrungsfristen für jede Kategorie personenbezogener Daten sind in unseren Verzeichnissen dokumentiert und in unserer Datenschutzerklärung zusammengefasst. Nach Ablauf der Aufbewahrungsfrist werden die Daten sicher gelöscht oder anonymisiert. Als Auftragsverarbeiter löschen wir personenbezogene Daten nach Abschluss der Leistungen oder geben sie gemäß Weisung des Kunden zurück, sofern wir nicht gesetzlich zur Aufbewahrung verpflichtet sind.
10. Anträge betroffener Personen
Wir beantworten Anträge von Personen, die ihre Rechte ausüben, einschließlich Auskunfts- und Löschungsanträgen, unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang. Diese Frist kann bei komplexen oder zahlreichen Anträgen um bis zu zwei weitere Monate verlängert werden; in diesem Fall teilen wir der betroffenen Person die Gründe mit. Wir überprüfen die Identität der antragstellenden Person und erheben in der Regel keine Gebühr.
Besteht ein Recht auf Löschung, löschen wir die Daten und fordern alle dritten Auftragsverarbeiter, an die wir sie weitergegeben haben, auf, dasselbe zu tun. Müssen wir Daten zur Vertragserfüllung, zur Erfüllung einer rechtlichen Pflicht oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen aufbewahren, besteht das Recht auf Löschung gegebenenfalls nicht, was wir der betroffenen Person erläutern.
Als Auftragsverarbeiter leiten wir eingehende Anträge umgehend an den betreffenden Kunden weiter und unterstützen ihn bei der Beantwortung.
11. Verletzungen des Schutzes personenbezogener Daten
Wir dokumentieren alle Verletzungen des Schutzes personenbezogener Daten, unabhängig davon, ob sie meldepflichtig sind. Als Verantwortlicher melden wir eine Verletzung binnen zweiundsiebzig (72) Stunden, nachdem sie uns bekannt geworden ist, dem Information Commissioner’s Office oder, soweit erforderlich, einer anderen zuständigen Aufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für Personen. Hat eine Verletzung voraussichtlich ein hohes Risiko für Personen zur Folge, benachrichtigen wir diese unverzüglich.
Als Auftragsverarbeiter benachrichtigen wir den betreffenden Kunden unverzüglich, nachdem uns eine Verletzung bekannt geworden ist, die seine Daten betrifft, und stellen ihm die Informationen zur Verfügung, die er zur Erfüllung seiner eigenen Pflichten benötigt.
Wir untersuchen jede Verletzung, um ihre Ursache festzustellen, und ergreifen Abhilfemaßnahmen wie verbesserte Verfahren, zusätzliche Schulungen oder technische Maßnahmen, um eine Wiederholung zu verhindern.
12. Personenbezogene Daten in Übersetzungs- und verwandten Arbeiten
Personenbezogene Daten in Materialien zur Übersetzung, Transkription, Untertitelung und Lokalisierung werden von unseren Sprachmittlern, Lektorierenden und, soweit erforderlich, Satzspezialisten verarbeitet. Wir geben ihnen nur, was sie benötigen, verwenden sichere Übertragungswege und verlangen, dass sie das Material nach Abschluss der Arbeit löschen. Bittet uns ein Kunde, eine beeidigte Übersetzung im Ausland zu veranlassen, geben wir die Dokumente nur zu diesem Zweck an den ausgewählten beeidigten Übersetzer weiter.
13. Personenbezogene Daten in Dolmetschbuchungen
Die Angaben zu Dolmetschbuchungen, etwa die Namen der Teilnehmenden, der Ort und die Art des Termins, geben wir nur an die eingesetzten Dolmetschenden weiter und nur so weit, wie es für deren Teilnahme und Vorbereitung erforderlich ist. Dolmetschende sind zur Vertraulichkeit verpflichtet und dürfen nach Ende eines Auftrags keine Notizen oder Aufzeichnungen darüber aufbewahren, außer soweit dies für Stundennachweise erforderlich oder gesetzlich vorgeschrieben ist.
14. Sprachanalyse und Sachverständigengutachten
Sprachanalyse-, Staatsangehörigkeits- und vergleichbare Gutachten betreffen besonders sensible personenbezogene Daten von Personen, die schutzbedürftig sein können. Wir wenden strenge Zugriffskontrollen an, geben Material nur an die mit dem Fall befassten Analysierenden weiter, schützen gegebenenfalls die Identität der Analysierenden und bewahren Gutachten und zugrunde liegendes Material nur so lange auf, wie sie in Gerichtsverfahren einschließlich Rechtsmittelverfahren benötigt werden können.
15. Kontakt
Fragen zu dieser Richtlinie richten Sie bitte an unser Datenschutzteam unter daptec@silalinguists.com oder an das Data Protection Team, NEXUS of SILA Limited, 2/3, 48 West George Street, Glasgow G2 1BP, Schottland (Vereinigtes Königreich).
NEXUS of SILA Limited ist in Schottland unter der Nummer SC770122 eingetragen. Eingetragener Sitz: 2/3, 48 West George Street, Glasgow G2 1BP, Schottland (Vereinigtes Königreich). Wir sind beim Information Commissioner’s Office unter der Registrierungsnummer ZC105121 registriert.