Datenschutzerklärung
1. Einleitung
HCPC Brands Europe B.V. („HCPC Brands“, „wir“, „uns“, „unser“), eingetragen in den Niederlanden, Papaverweg 34, 1032 KJ Amsterdam, respektiert Ihre Privatsphäre und verpflichtet sich, die personenbezogenen Daten zu schützen, die Sie uns anvertrauen. Diese Datenschutzerklärung erläutert, welche personenbezogenen Daten wir erheben, warum, wie wir sie verwenden und welche Rechte Ihnen nach der Datenschutz-Grundverordnung (EU) 2016/679 („DSGVO“) und dem niederländischen Ausführungsgesetz (UAVG) zustehen.
2. Verantwortlicher
| Unternehmen | HCPC Brands Europe B.V. |
|---|---|
| Adresse | Papaverweg 34, 1032 KJ Amsterdam, Netherlands |
| privacy@hcpcbrands.com |
3. Welche personenbezogenen Daten wir erheben
- Name, Position, Arbeitgeber, E-Mail, Telefon und Postanschrift, die Sie uns mitteilen
- Angaben aus unserem Kontaktformular, einschließlich Produktportfolio und regulatorischer Anforderungen
- Daten, die im Rahmen eines Mandats als Verantwortliche Person bereitgestellt werden, einschließlich Rezepturdaten und Produktinformationsdateien (PIF)
- Daten aus einer Kosmetovigilanz-Meldung oder Verbraucherbeschwerde, die Gesundheitsdaten und, sofern die meldende Person sie angibt, deren Kontaktdaten enthalten können
- Automatisch erfasste Website-Daten: IP-Adresse, Browsertyp, besuchte Seiten, das Cookie für die Sprachwahl sowie die IP-Adresse und Browserdaten, die beim Laden von Webfonts oder der optionalen Karte an Google übermittelt werden
4. Zwecke und Rechtsgrundlage
- Vertragserfüllung - zur Erbringung unserer Dienstleistungen als Verantwortliche Person, PIF, CPSR, Kosmetovigilanz, SDB, UFI/PCN, EU-Vertretung und GPSR
- Berechtigtes Interesse - zur Beantwortung von Anfragen, zur Pflege von Geschäftsbeziehungen und zum Versand von Informationen über unsere Leistungen an geschäftliche Kontakte; diesem Marketing können Sie jederzeit widersprechen, dann stellen wir es ein. Elektronische Werbung versenden wir nur, soweit die einschlägigen Kommunikationsregeln dies zulassen - mit Einwilligung, wo sie erforderlich ist, oder aufgrund einer geltenden gesetzlichen Ausnahme
- Rechtliche Verpflichtung - zur Erfüllung der Meldepflichten nach der Verordnung (EG) 1223/2009
- Einwilligung - für nicht notwendige Cookies und das optionale Laden der Karte; jederzeit widerrufbar
- Gesundheitsdaten (Artikel 9 DSGVO) - eine Kosmetovigilanz-Meldung kann Gesundheitsdaten enthalten; dafür sind eine Rechtsgrundlage nach Artikel 6 und eine Bedingung nach Artikel 9 Absatz 2 erforderlich. Beide sind nicht austauschbar. Für die gesetzliche Pflicht, schwerwiegende unerwünschte Wirkungen zu bewerten und zu melden, stützen wir uns auf Artikel 6 Absatz 1 Buchstabe c zusammen mit Artikel 9 Absatz 2 Buchstabe i: Verarbeitung aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit auf der Grundlage des Unionsrechts - Artikel 23 der Verordnung (EG) Nr. 1223/2009 - mit den von Artikel 9 Absatz 2 Buchstabe i verlangten Garantien, nämlich beschränktem Zugriff, Berufsgeheimnis, Pseudonymisierung, sobald eine Identifizierung nicht mehr erforderlich ist, und einer auf den Vigilanzzweck begrenzten Aufbewahrung. Für freiwillige Verarbeitungen außerhalb unserer gesetzlichen Vigilanzpflichten holen wir vor der Verarbeitung identifizierbarer Gesundheitsdaten eine ausdrückliche, informierte Einwilligung ein, sofern die Einwilligung nach den Artikeln 6 und 9 eine geeignete Grundlage ist. Der bloße Erhalt unaufgeforderter Gesundheitsangaben ist für sich genommen keine Einwilligung: Wir holen sie gesondert und für einen festgelegten Zweck ein und dokumentieren, wann sie erteilt wurde und wie sie widerrufen werden kann. Pseudonymisierte Gesundheitsdaten unterliegen weiterhin der DSGVO, einschließlich der Artikel 6 und 9. Nur wirklich anonymisierte Daten fallen aus ihrem Anwendungsbereich. Wir löschen oder anonymisieren Daten, sobald eine Aufbewahrung nicht mehr erforderlich ist; jede fortgesetzte pseudonymisierte Aufbewahrung erfordert einen dokumentierten Zweck, eine Rechtsgrundlage und eine Aufbewahrungsfrist.
Übersicht je Verarbeitung
Die nachstehende Tabelle nennt je Kategorie personenbezogener Daten, warum wir sie verarbeiten, auf welcher Rechtsgrundlage, wer sie erhält, wie lange wir sie aufbewahren und ob sie den Europäischen Wirtschaftsraum verlässt. Wird eine Kategorie zu mehreren Zwecken verarbeitet, gilt je Zweck eine eigene Grundlage und eine eigene Aufbewahrungsfrist.
| Datenkategorie | Zweck | Rechtsgrundlage | Empfänger | Aufbewahrung | Außerhalb des EWR |
|---|---|---|---|---|---|
| Kontaktdaten von Mitarbeitenden des Kunden (Name, Funktion, Arbeitgeber, E-Mail, Telefon) | Erbringung der vereinbarten Leistungen und Kommunikation darüber | Vertragserfüllung (Art. 6 Abs. 1 lit. b), wenn die Person selbst Vertragspartei ist; andernfalls berechtigtes Interesse (Art. 6 Abs. 1 lit. f) an der Durchführung des Auftrags mit der Kundenorganisation | Eigene Mitarbeitende; unsere IT- und Hosting-Dienstleister als Auftragsverarbeiter | Für die Dauer des Auftrags und danach nur so lange, wie die konkrete Angabe noch benötigt wird; gehört eine Angabe zur Buchführung, gilt für sie die Frist aus der entsprechenden Zeile | Eine Übermittlung außerhalb des EWR erfordert einen einschlägigen Mechanismus nach Kapitel V DSGVO, etwa einen den Empfänger erfassenden Angemessenheitsbeschluss oder geeignete Garantien nach Artikel 46. Welcher Mechanismus gilt, hängt vom Empfänger, Land und Dienst ab. |
| Anfragedaten aus dem Kontaktformular | Beantwortung der Anfrage und gegebenenfalls Vorbereitung eines Auftrags | Berechtigtes Interesse (Art. 6 Abs. 1 lit. f); vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b) nur gegenüber der Person, die selbst Vertragspartei würde | Eigene Mitarbeitende; unsere IT- und Hosting-Dienstleister als Auftragsverarbeiter | Zwei Jahre nach dem letzten Kontakt, sofern kein Vertragsverhältnis folgt | Nein |
| Kosmetische Dossierdaten (Rezepturen, PIF, Sicherheitsbericht, CPNP-Meldung) | Erstellung und Pflege des Dossiers sowie Meldung des Produkts | Artikel 6 Abs. 1 lit. c DSGVO, soweit HCPC in der jeweiligen Rolle einer gesetzlichen Pflicht unterliegt; Artikel 6 Abs. 1 lit. b nur, soweit für einen Vertrag mit der betroffenen Person selbst erforderlich; ansonsten Artikel 6 Abs. 1 lit. f, soweit durch das berechtigte Interesse an der Durchführung des Kundenauftrags gerechtfertigt. | Zuständige Behörden; der für den CPSR beauftragte Sicherheitsbewerter; das CPNP-Portal | Zehn Jahre ab dem Tag, an dem die letzte Charge in Verkehr gebracht wurde (Art. 11 der Verordnung (EG) Nr. 1223/2009) | Nein |
| Chemische Dossierdaten (Sicherheitsdatenblätter, C&L- und PCN-Meldungen) | Erstellung der Dokumentation und Abgabe der erforderlichen Meldungen | Artikel 6 Abs. 1 lit. c DSGVO, soweit HCPC in der jeweiligen Rolle einer gesetzlichen Pflicht unterliegt; Artikel 6 Abs. 1 lit. b nur, soweit für einen Vertrag mit der betroffenen Person selbst erforderlich; ansonsten Artikel 6 Abs. 1 lit. f, soweit durch das berechtigte Interesse an der Durchführung des Kundenauftrags gerechtfertigt. | Zuständige Behörden und Giftinformationszentren; ECHA-Portale, soweit erforderlich | Nach Artikel 36 REACH muss der jeweilige Verpflichtete die zur Erfüllung seiner REACH-Pflichten erforderlichen Informationen mindestens zehn Jahre nach der letzten Herstellung, Einfuhr, Lieferung oder Verwendung des Stoffes oder Gemisches aufbewahren, je nach einschlägiger Tätigkeit. Daraus ergibt sich nicht automatisch die Aufbewahrungsfrist für jeden personenbezogenen Datensatz oder jedes PCN-Dokument. | Nein |
| Kosmetovigilanz-Meldungen einschließlich Gesundheitsdaten | Bewertung, Meldung und Nachverfolgung unerwünschter Wirkungen | Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) mit Art. 9 Abs. 2 lit. i; ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a mit Art. 9 Abs. 2 lit. a) für freiwillige Verarbeitungen über diese Pflicht hinaus | Zuständige Behörden; der Sicherheitsbewerter, soweit die Bewertung dies erfordert; der Kunde, dessen Produkt betroffen ist | Nur so lange, wie der Fall es erfordert; die regulatorische Aufzeichnung verbleibt für die in der Zeile zu den kosmetischen Dossierdaten genannte Frist in der Akte | Eine Übermittlung außerhalb des EWR erfordert einen einschlägigen Mechanismus nach Kapitel V DSGVO, etwa einen den Empfänger erfassenden Angemessenheitsbeschluss oder geeignete Garantien nach Artikel 46. Welcher Mechanismus gilt, hängt vom Empfänger, Land und Dienst ab. |
| Rechnungs- und Vertragsdaten | Verwaltung des Auftrags und Erfüllung unserer Buchführungspflichten | Artikel 6 Abs. 1 lit. c DSGVO, soweit HCPC in der jeweiligen Rolle einer gesetzlichen Pflicht unterliegt; Artikel 6 Abs. 1 lit. b nur, soweit für einen Vertrag mit der betroffenen Person selbst erforderlich; ansonsten Artikel 6 Abs. 1 lit. f, soweit durch das berechtigte Interesse an der Durchführung des Kundenauftrags gerechtfertigt. | Unser Steuerberater und die Finanzverwaltung, soweit erforderlich | Sieben Jahre, die gesetzliche Aufbewahrungsfrist für Geschäftsunterlagen in den Niederlanden | Nein |
| Server-Logdaten einschließlich IP-Adresse | Verfügbarkeit und Sicherheit der Website | Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) an Sicherheit und Verfügbarkeit der Website | Unser Hosting-Dienstleister als Auftragsverarbeiter | Nur so lange, wie es zur Erkennung und Untersuchung von Vorfällen erforderlich ist, längstens jedoch zwölf Monate; die genaue Frist folgt der Einstellung der Hosting-Plattform und wird auf Anfrage bestätigt | Nein |
| Cookie für die Sprachwahl | Anzeige der Website in der gewählten Sprache | Unbedingt erforderlich für einen von Ihnen angeforderten Dienst; keine Einwilligung erforderlich | Unsere eigene Website; der Cookie-Wert wird bei jedem Aufruf an unseren Server übermittelt, damit die richtige Sprachfassung ausgeliefert wird | Ein Jahr ab dem Setzen, sofern Sie es nicht früher löschen; das genaue Ablaufdatum zeigt Ihr Browser | Nein |
| IP-Adresse und Browserdaten, die beim Laden der Webfonts übermittelt werden | Darstellung der Typografie der Website | Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) an einer einheitlichen Darstellung. Die Typografie wird von Google Fonts geladen, wodurch Ihre IP-Adresse zu Google gelangt; dieselben Schriften von unseren eigenen Servern auszuliefern ist die weniger eingriffsintensive Alternative und wird geprüft. Das Ergebnis dieser Prüfung stellen wir auf Anfrage zur Verfügung | Google Ireland Limited als Anbieter von Google Fonts | Nicht von uns gespeichert; was Google speichert, richtet sich nach dessen Richtlinie | Eine Übermittlung außerhalb des EWR erfordert einen einschlägigen Mechanismus nach Kapitel V DSGVO, etwa einen den Empfänger erfassenden Angemessenheitsbeschluss oder geeignete Garantien nach Artikel 46. Welcher Mechanismus gilt, hängt vom Empfänger, Land und Dienst ab. |
| IP-Adresse und Browserdaten, die beim Laden der optionalen Karte übermittelt werden | Anzeige unseres Standorts, nachdem Sie sich für das Laden entschieden haben | Einwilligung (Art. 6 Abs. 1 lit. a); vor Ihrer Entscheidung wird nichts übermittelt | Google Ireland Limited als Anbieter von Google Maps | Nicht von uns gespeichert; was Google speichert, richtet sich nach dessen Richtlinie | Eine Übermittlung außerhalb des EWR erfordert einen einschlägigen Mechanismus nach Kapitel V DSGVO, etwa einen den Empfänger erfassenden Angemessenheitsbeschluss oder geeignete Garantien nach Artikel 46. Welcher Mechanismus gilt, hängt vom Empfänger, Land und Dienst ab. |
| Geschäftliche Kontaktdaten für Marketing | Versand von Informationen über unsere Leistungen an geschäftliche Kontakte | Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) an Direktmarketing gegenüber geschäftlichen Kontakten; Sie können jederzeit widersprechen, dann stellen wir es ein. Elektronische Werbung versenden wir nur, soweit die einschlägigen Kommunikationsregeln dies zulassen | Eigene Mitarbeitende; unsere IT- und Hosting-Dienstleister als Auftragsverarbeiter | Bis zu Ihrem Widerspruch und in jedem Fall längstens zwei Jahre nach dem letzten Kontakt | Nein |
Erhalten wir personenbezogene Daten indirekt - etwa Daten von Mitarbeitenden eines Kunden oder Kontaktdaten einer Person, die eine unerwünschte Wirkung gemeldet hat -, stellen wir die nach Artikel 14 DSGVO erforderlichen Informationen innerhalb der dafür geltenden Fristen bereit, sofern keine dokumentierte Ausnahme greift. Dabei nennen wir die Quelle der Daten und die betroffenen Kategorien. Ein Kunde kann unsere Mitteilung in unserem Namen aushändigen; unsere eigene Verantwortung entfällt dadurch nicht. Stützen wir uns auf die Ausnahme des Artikels 14 Absatz 5 Buchstabe a, prüfen wir, ob die betroffene Person bereits über die erforderlichen Informationen verfügt. Der Widerruf einer Einwilligung berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.
5. Aufbewahrung
Die regulatorische Akte (PIF, einschließlich Sicherheitsbericht und Verzeichnis unerwünschter Wirkungen) wird zehn Jahre ab dem Tag zugänglich gehalten, an dem die letzte Charge des kosmetischen Mittels auf dem EU-Markt in Verkehr gebracht wurde, gemäß Artikel 11 der Verordnung (EG) 1223/2009. Diese Pflicht betrifft die regulatorische Akte selbst; sie ist keine automatische Grundlage dafür, jede identifizierbare Beschwerde oder Gesundheitsangabe ebenso lange aufzubewahren. Identifizierbare Beschwerde- und Gesundheitsdaten werden daher gesondert und nur so lange aufbewahrt, wie dies für Bewertung, Meldung und Nachverfolgung des Falls erforderlich ist; anschließend werden sie gelöscht oder anonymisiert, während die regulatorische Akte die Angaben in der von der Verordnung verlangten Form behält. Pseudonymisierte Daten bleiben personenbezogene Daten; jede darüber hinausgehende pseudonymisierte Aufbewahrung hat einen eigenen dokumentierten Zweck, eine eigene Rechtsgrundlage und eine eigene Frist. Allgemeine Anfragedaten werden bis zu 2 Jahre aufbewahrt, sofern kein Vertragsverhältnis zustande kommt.
6. Weitergabe personenbezogener Daten
Wir verkaufen keine personenbezogenen Daten. Wir können sie an zuständige Behörden (für Kosmetovigilanz und behördliche Meldungen), an den für einen CPSR beauftragten qualifizierten Sicherheitsbewerter, an IT- und Hosting-Dienstleister auf Grundlage eines Auftragsverarbeitungsvertrags sowie an professionelle Berater weitergeben, soweit erforderlich. Beim Laden unserer Webfonts und der Karte, sofern Sie diese laden, werden Ihre IP-Adresse und Browserdaten an Google Ireland Limited übermittelt. Diese Verbindung allein setzt kein Cookie; die Karte kann nach dem Laden eigene Cookies und weitere Speicherungen setzen. Übermittelt Google Ireland Limited Daten weiter an Google LLC in den USA, gibt Google an, sich auf das EU-US Data Privacy Framework und auf Standardvertragsklauseln zu stützen; das ist der von Google angegebene Weg; für unsere eigene Verarbeitung klären wir vorab, welcher Weg des Kapitels V gilt. Abgesehen von einem außerhalb des EWR ansässigen Kunden, dem wir Fallinformationen unter Standardvertragsklauseln übermitteln können, finden keine Übermittlungen außerhalb des EWR statt.
7. Ihre Rechte gemäß DSGVO
- Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch
- Recht auf jederzeitigen Widerruf der Einwilligung
- Recht auf Beschwerde bei der niederländischen Datenschutzbehörde (Autoriteit Persoonsgegevens)
Um eines dieser Rechte auszuüben, kontaktieren Sie uns unter privacy@hcpcbrands.com. Wir antworten innerhalb eines Monats, wie von der DSGVO gefordert.
8. Sicherheit & Cookies
Wir schützen Ihre Daten durch geeignete technische und organisatorische Maßnahmen. Auf einer Standardseite setzen wir ein rein funktionales Cookie für Ihre Sprachwahl und laden Webfonts von Google Fonts; Tracking-, Werbe- oder Analyse-Cookies setzen wir selbst nicht. Die optionale Karte wird nur geladen, wenn Sie sich dafür entscheiden; Google kann dann eigene Cookies setzen. Einzelheiten und den Weg, diese Entscheidung rückgängig zu machen, finden Sie in unserer Cookie-Richtlinie.
9. Kontakt
| Datenschutzkontakt | privacy@hcpcbrands.com |
|---|---|
| Postanschrift | HCPC Brands Europe B.V., Papaverweg 34, 1032 KJ Amsterdam, Netherlands |
Diese Datenschutzerklärung kann von Zeit zu Zeit aktualisiert werden. Das oben angegebene Datum bezeichnet die letzte Überarbeitung.