Datenschutzrichtlinie
I. Zweck und Geltungsbereich dieser Richtlinie
Stand: März 2021
Dieses Portal (die „Alert Line“) wird von LVMH MOËT HENNESSY LOUIS VUITTON, einer französischen Europäischen Gesellschaft (SE), geschäftsansässig 22 Avenue Montaigne, 75008 Paris, Frankreich, eingetragen im Handelsregister Paris unter der Nummer 775 670 417 (nachstehend „LVMH“) betrieben.
Diese Alert Line erlaubt es den Beschäftigten und externen Stakeholdern (den „Nutzern“ ) des LVMH-Konzerns (hiervon umfasst sind LVMH und deren verbundene Unternehmen – der „LVMH-Konzern“ ) , Meldungen abzugeben, um (i) Straftaten, offenkundige Verstöße gegen die anwendbaren Rechtsvorschriften, Bedrohungen oder Beschädigungen des Allgemeininteresses und/oder (ii) offenkundige Verstöße gegen den Verhaltenskodex des Konzerns bzw. gegen dessen interne Richtlinien, Grundsätze und Leitlinien zu melden.
Die Bestimmungen und Bedingungen sowie das entsprechende Verfahren für die Abgabe einer Meldung sind näher auf der Einführungsseite der Alert Line erläutert.
Wenn ein Nutzer eine Meldung abgibt, ist LVMH – ungeachtet des Unternehmens innerhalb des LVMH-Konzerns, bei welchem der Nutzer beschäftigt ist – erster Empfänger der Meldung und für die Prüfung des gemeldeten Sachverhaltes, wie nachstehend im Einzelnen beschrieben, zuständig.
In diesem Zusammenhang erhält LVMH als Datenverantwortlicher Einsicht in die den Nutzer und die in der Meldung genannten Personen betreffenden personenbezogenen Daten (die „personenbezogenen Daten“).
LVMH nimmt den Datenschutz sehr ernst und beachtet die geltenden Datenschutzvorschriften. Diese Datenschutzrichtlinie (die „Richtlinie“) dient der Erläuterung der Bestimmungen und Bedingungen, nach denen LVMH zur Erhebung und Verarbeitung personenbezogener Daten berechtigt ist.
Diese Richtlinie gilt für alle Nutzer, ungeachtet des Unternehmens, für das sie tätig sind. Vor der Abgabe einer Meldung sind alle Nutzer verpflichtet, dieser Richtlinie zuzustimmen.
II. Art der erhobenen und verarbeiteten personenbezogenen Daten
Wenn ein Nutzer eine Meldung über die Alert Line abgibt, erfolgt – in dem für die Bearbeitung der Meldung erforderlichen Umfang – eine Erhebung und Verarbeitung der personenbezogenen Daten des Nutzers durch LVMH, d. h. dessen Vornamen, Nachnamen, Position und Kontaktdaten, sofern der Nutzer diese Angaben übermittelt hat.
Darüber hinaus erfasst und verarbeitet LVMH auch personenbezogene Daten über die in der Meldung genannten Personen (der „von der Meldung Betroffene“), deren Umfang vom Inhalt der Meldung (und dem Untersuchungsverfahren) abhängig ist.
In diesem Zusammenhang erinnern wir daran, dass Nutzer keine personenbezogenen Daten übermitteln sollten, die für den Zweck der Meldung nicht erforderlich sind. Die übermittelten personenbezogenen Daten müssen angemessen, relevant und auf das im Zusammenhang mit dem gemeldeten Verstoß unbedingt Erforderliche beschränkt sein. So darf ein Nutzer beispielsweise keine Angaben zum Privatleben, der Persönlichkeit, den beruflichen Qualifikationen etc. des von der Meldung Betroffenen übermitteln, soweit solche Angaben nicht unbedingt für den Nachweis des behaupteten Verstoßes erforderlich sind. Die gemeldeten Sachverhalte sind neutral und objektiv darzustellen und eindeutig als lediglich „vermutet“ zu kennzeichnen. Der Nutzer darf in keinem Fall Sachverhalte melden, welche die nationale Sicherheit, das Arztgeheimnis oder das Anwaltsgeheimnis berühren.
III. Zweck der Datenerhebung und -verarbeitung
LVMH verwendet die in der Meldung enthaltenen personenbezogenen Daten für die folgenden Zwecke:
- die Bearbeitung der Meldung und die Untersuchung der gemeldeten Sachverhalte
- bei Bedarf die Einleitung notwendiger Rechts- bzw. Disziplinarverfahren
- bei Bedarf die Durchsetzung entsprechender Abhilfemaßnahmen und/oder Sanktionen
- bei Bedarf die Weitergabe der gemeldeten Umstände an die Justiz oder sonstige Behörden bzw. im Zuge von Gerichtsbeschlüssen, gerichtlichen Verfahren oder Vorladungen.
IV. Empfänger der Daten
Die über die Alert Line abgegebenen Meldungen werden unverzüglich dem Ethik- und Compliance-Direktor des Konzerns vorgelegt und im Anschluss durch ein aus einem begrenzten Kreis von Bearbeitern aus den entsprechend zuständigen Abteilungen innerhalb von LVMH und deren verbundenen Unternehmen bestehenden Team (dem „Bearbeitungsteam“) unter Berücksichtigung der Art und Schwere des gemeldeten Sachverhaltes sowie der beteiligten Personen untersucht. Die Mitglieder des Bearbeitungsteams unterliegen einer erweiterten Geheimhaltungsverpflichtung.
Zum Zwecke der Ermittlungen sind die Bearbeiter – bei Bedarf und abhängig von dem spezifischen Kontext der Meldung – berechtigt, die gemeldeten Umstände, einschließlich bei Bedarf der personenbezogenen Daten gegenüber den entsprechend zuständigen Personen bzw. Stellen innerhalb des betroffenen LVMH-Unternehmens (insbesondere gegenüber dem Arbeitgeber des von der Meldung Betroffenen) offenzulegen.
Zu demselben Zweck ist LVMH berechtigt, die Meldung an externe Dienstleister, die LVMH in der Verarbeitung der Meldungen unterstützen, weiterzuleiten. Solche Dienstleister – sofern vorhanden – unterliegen gleichfalls den in dieser Richtlinie festgelegten Verpflichtungen.
In jedem Fall werden alle in der Meldung enthaltenen Informationen und personenbezogenen Daten (die „Daten“), einschließlich der Identität des Nutzers, nur einem begrenzten Personenkreis zugänglich gemacht und mit der äußersten Sorgfalt im gesetzlich zulässigen Umfang vertraulich behandelt.
Insbesondere wird die Identität des Nutzers ohne dessen vorherige ausdrückliche Einwilligung Dritten gegenüber außerhalb des Bearbeitungsteams nicht offengelegt.
Ungeachtet des Vorstehenden können die Daten – einschließlich der Identität des Nutzers – den zuständigen Behörden und Rechtsordnungen bekanntgegeben werden, soweit dies zur Bearbeitung der gemeldeten Umstände erforderlich ist und/oder gesetzlich bzw. im Zuge eines Gerichtsbeschlusses, gerichtlichen Verfahrens oder einer Vorladung verlangt wird.
Abschließend weisen wir darauf hin, dass diese Alert Line von einem Fachunternehmen, der EQS Group AG, Bayreuther Str. 35, 10789 Berlin in Deutschland („BK GmbH“) betrieben wird. Über die Alert Line eingegebene personenbezogene Daten und Informationen werden in einer von der EQS Group AG in einem Hochsicherheitsrechenzentrum betriebenen Datenbank gespeichert. Nur LVMH hat Zugriff auf die Daten. Weder die EQS Group AG noch sonstige Dritte können auf die Daten zugreifen. Dies wird in einem zertifizierten Verfahren durch weitreichende technische und organisatorische Maßnahmen gewährleistet.
V. Übermittlung von Daten
Da die Alert Line von der BK GmbH betrieben wird, werden alle eingegebenen Daten in einer von der EQS Group AG in einem Hochsicherheitsrechenzentrum in Deutschland betriebenen Datenbank gespeichert.
Darüber hinaus werden personenbezogene Daten – insbesondere abhängig vom Sitz des Arbeitgebers des von der Meldung Betroffenen – gegebenenfalls an andere LVMH-Unternehmen, einschließlich solcher, die außerhalb des Europäischen Wirtschaftsraums (EWR) ansässig sind, übermittelt.
Alle Übermittlungen der personenbezogenen Daten von Beschäftigten innerhalb des LVMH-Konzerns unterliegen den Bindenden Unternehmensvorschriften (Binding Corporate Rules – BCR) von LVMH. Alle sonstigen Übermittlungen personenbezogener Daten, die nicht von diesen BCR umfasst sind und in Länder erfolgen, die kein adäquates Datenschutzniveau gewährleisten, unterliegen der Unterzeichnung der von der Europäischen Kommission herausgegebenen Standardvertragsklauseln gemäß den geltenden Datenschutzvorschriften bzw. erfolgen auf der Grundlage anderweitiger, nach den geltenden Datenschutzvorschriften zulässiger rechtlicher Mittel.
VI. Aufbewahrungsfrist
Die zum Zwecke dieser Richtlinie erfassten Daten werden wie nachstehend erläutert gespeichert.
Sofern die gemeldeten Umstände nicht in den Geltungsbereich der Alert Line fallen, werden die Daten unverzüglich gelöscht (bzw. nach Anonymisierung fünf Jahre lang aufbewahrt).
Sofern die gemeldeten Umstände in den Geltungsbereich der Alert Line fallen, jedoch nach Abschluss der Ermittlungen keine gerichtlichen bzw. disziplinarischen Maßnahmen eingeleitet werden, werden die Daten zwei Monate nach dem Ende des Ermittlungsverfahrens gelöscht (bzw. nach Anonymisierung fünf Jahre lang aufbewahrt), soweit sie nicht Gegenstand eines nach geltendem Recht geführten Rechtsstreits sind, wobei in einem solchen Fall eine Löschung bis zur Erledigung eines solchen Rechtsstreits ausgesetzt wird.
Sofern ein gerichtliches bzw. disziplinarisches Verfahren eingeleitet wird, werden die Daten bis zur Beendigung eines solchen Verfahrens, einschließlich potenzieller Fristen zur Einlegung der Berufung und/oder Vollstreckung von Strafmaßnahmen (bzw. der Erledigung im Fall einer einvernehmlichen Lösung), aufbewahrt.
VII. Sicherheit
LVMH gewährleistet ein adäquates Datenschutzniveau und trägt dafür Sorge, dass geeignete technische und organisatorische Sicherheitsvorkehrungen zum Schutz der Daten (einschließlich der Schulung und Ausbildung der entsprechenden Mitarbeiter) vor einer unbeabsichtigten bzw. rechtswidrigen Vernichtung, einem unbeabsichtigten Verlust bzw. einer unbeabsichtigten Abänderung, einer unbefugten Offenlegung bzw. einem unbefugten Zugriff und jeglicher sonstiger rechtswidrigen Form der Verarbeitung vorhanden sind.
In diesem Zusammenhang weisen wir insbesondere darauf hin, dass es sich bei dem Rechenzentrum der BK GmbH um ein Hochsicherheitsrechenzentrum innerhalb des EWR (Deutschland) handelt. Alle Daten werden verschlüsselt und mit einem mehrstufigen Kennwortschutz versehen gespeichert.
VIII. Nutzerrechte
Die Nutzer sind berechtigt, Auskunft über die zu ihnen gespeicherten personenbezogenen Daten bzw. eine Abschrift der über sie in der Alert Line gespeicherten Daten zu verlangen. Darüber hinaus sind die Nutzer berechtigt, die Berichtigung, Änderung, Löschung oder Einschränkung der Verarbeitung ihrer personenbezogenen Daten zu verlangen. Ferner sind die Nutzer berechtigt, jegliche früher gegenüber LVMH erteilten Zustimmungen zu widerrufen bzw. der Verarbeitung ihrer personenbezogenen Daten jederzeit aus berechtigten Gründen zu widersprechen.
Die Nutzer sind ferner berechtigt, im Fall eines vermuteten Verstoßes in Bezug auf ihre personenbezogenen Daten eine Beschwerde bei der Aufsichtsbehörde (CNIL) einzureichen.
Zur Ausübung dieser Rechte können sich die Nutzer unter dpo.holding@lvmh.com an LVMH wenden; alle Anfragen werden umgehend nach Erhalt beantwortet.
IX. Abänderungen der Richtlinie
LVMH behält sich das Recht vor, diese Richtlinie jederzeit abzuändern – insbesondere, um diese der Weiterentwicklung der LVMH Alert Line bzw. den geltenden Gesetzen und Vorschriften anzupassen. Für den Fall der Abänderung dieser Richtlinie bitten wir die Nutzer zur weiteren Nutzung der LVMH Alert Line um ihre Zustimmung zu diesen Änderungen. In jedem Fall wird ein Nutzer vor der Abgabe einer neuen Meldung gebeten, der Richtlinie zuzustimmen. LVMH empfiehlt seinen Nutzern ausdrücklich, die Richtlinie jedes Mal vor Abgabe einer neuen Meldung sorgfältig zu lesen.
X. Cookies
Die Kommunikation zwischen dem Computer des Nutzers und der Alert Line erfolgt über eine verschlüsselte Verbindung (SSL). Die IP-Adresse des Nutzers wird während seiner Nutzung der Alert Line nicht gespeichert. Um die Verbindung zwischen dem Computer des Nutzers und der Alert Line aufrechtzuerhalten, wird ein Cookie auf dem Computer des Nutzers gespeichert, welches lediglich die Session-ID enthält (ein sogenanntes „Null-Cookie“). Dieses Cookie ist nur bis zum Ende der Session des Nutzers gültig und verfällt mit dem Schließen des Browsers durch den Nutzer.
XI. Kontakt
Bei Fragen zum Schutz ihrer personenbezogenen Daten im Hinblick auf die Nutzung der Alert Line bzw. diese Richtlinie im Allgemeinen können sich Nutzer per E-Mail unter der Adresse dpo.holding@lvmh.com an LVMH wenden.
XII. Geltendes Recht
Diese Richtlinie unterliegt französischem Recht.