Datenschutzerklärung

Datenschutzerklärung – DRAMIŃSKI S.A.

Aktualisierte Fassung zum 7. Oktober 2026 – unter Berücksichtigung des CRA-Formulars zur Cybersicherheit.

  1. Verantwortlicher
    Verantwortlicher für die personenbezogenen Daten von Kunden, Geschäftspartnern, Nutzern der Online-Dienste von DRAMIŃSKI S.A. sowie von Personen, die die von der Gesellschaft bereitgestellten Formulare nutzen, einschließlich des Formulars zur Meldung von Schwachstellen und Sicherheitsvorfällen im Zusammenhang mit dem Cyber Resilience Act (CRA), ist die DRAMIŃSKI S.A., ul. Wiktora Steffena 21, 11-036 Sząbruk, Polen, Steuernummer (NIP): 7393855706, REGON: 281418440, Tel. +48 89 675 26 00, E-Mail: biuro@draminski.pl.
  2. Datenschutzbeauftragter
    Der Verantwortliche hat einen Datenschutzbeauftragten bestellt – Michał Minurski. Der Datenschutzbeauftragte ist unter folgender E-Mail-Adresse erreichbar: iod@draminski.pl.
  3. Zwecke, Rechtsgrundlagen und Speicherdauer der Verarbeitung personenbezogener Daten
    Personenbezogene Daten können zu folgenden Zwecken und auf folgenden Rechtsgrundlagen verarbeitet werden:
    – Abschluss und Durchführung eines Vertrags oder Ergreifen von Maßnahmen vor Vertragsschluss – Art. 6 Abs. 1 lit. b DSGVO,
    – Erfüllung gesetzlicher Pflichten des Verantwortlichen, u. a. steuerlicher und buchhalterischer Pflichten sowie – soweit einschlägig – Pflichten aus Cybersicherheitsvorschriften – Art. 6 Abs. 1 lit. c DSGVO,
    – Wahrung der berechtigten Interessen des Verantwortlichen, insbesondere eigenes Marketing, Gewährleistung der Sicherheit von Systemen, Diensten und Produkten, Geltendmachung oder Abwehr von Rechtsansprüchen sowie Bearbeitung von Meldungen zu Cybersicherheit und Schwachstellen – Art. 6 Abs. 1 lit. f DSGVO,
    – Durchführung einwilligungsbedürftiger Maßnahmen, insbesondere im Bereich bestimmter Cookies, Analyse- oder Marketingtools oder anderer Funktionen, soweit gesetzlich eine Einwilligung erforderlich ist – Art. 6 Abs. 1 lit. a DSGVO.

Speicherdauer:
Die Daten werden für einen dem Zweck und der Rechtsgrundlage der Verarbeitung angemessenen Zeitraum gespeichert, insbesondere:
– für die Dauer, die zur Abwicklung der Beziehung mit dem Nutzer oder Kunden erforderlich ist, und im Falle eines Vertrags für dessen Laufzeit sowie bis zum Ablauf der jeweiligen Verjährungsfrist für Ansprüche,
– für den durch Buchhaltungs-, Steuer- oder sonstige Rechtsvorschriften vorgeschriebenen Zeitraum,
– bei auf Einwilligung beruhender Verarbeitung – bis zum Widerruf der Einwilligung, sofern keine andere Rechtsgrundlage für die weitere Verarbeitung besteht,
– bei auf berechtigtem Interesse beruhender Verarbeitung – bis zum Wegfall dieses Interesses, bis zu einem wirksamen Widerspruch oder bis zum Ablauf der zur Feststellung, Geltendmachung oder Verteidigung von Ansprüchen erforderlichen Frist.

Die Angabe der Daten ist freiwillig, jedoch für den Abschluss und die Durchführung des Vertrags erforderlich. Werden die Daten nicht bereitgestellt, kann dies dazu führen, dass der Verantwortliche die Dienstleistung nicht erbringen kann.

  1. CRA-Formular – Meldung von Schwachstellen und Sicherheitsvorfällen
    Der Verantwortliche stellt ein Formular zur Verfügung oder kann ein solches zur Verfügung stellen, über das Informationen zu potenziellen Schwachstellen, Sicherheitslücken, Vorfällen oder anderen Ereignissen übermittelt werden können, die die Cybersicherheit von Produkten, Diensten oder Systemen der DRAMIŃSKI S.A. beeinträchtigen könnten. Dieses Formular dient insbesondere der Entgegennahme der Meldung, ihrer Erfassung, Analyse, Überprüfung und Klärung, der Kontaktaufnahme mit der meldenden Person, der Umsetzung von Abhilfe- oder risikomindernden Maßnahmen sowie der Dokumentation der Bearbeitung der Meldung.

Zweck und Rechtsgrundlage der Verarbeitung. Im Hinblick auf die Entgegennahme, Analyse und Bearbeitung von Meldungen zu Schwachstellen oder anderen Cybersicherheitsbedrohungen ist Rechtsgrundlage der Verarbeitung Art. 6 Abs. 1 lit. f DSGVO, d. h. das berechtigte Interesse des Verantwortlichen an der Gewährleistung und Erhöhung der Sicherheit von Produkten mit digitalen Elementen, Systemen und Nutzern, an der Erkennung und Behebung von Schwachstellen, an der Begrenzung der Auswirkungen von Vorfällen sowie am Schutz vor Cybersicherheitsbedrohungen. Führt der Inhalt einer Meldung dazu, dass für den Verantwortlichen eine gesetzlich vorgesehene Pflicht entsteht, insbesondere die Meldepflicht nach Art. 14 der Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates (Cyber Resilience Act), werden die Daten zusätzlich auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO verarbeitet – im zur Erfüllung dieser gesetzlichen Pflicht erforderlichen Umfang.

Umfang der Daten. Im Rahmen des Formulars können die von der meldenden Person angegebenen Daten verarbeitet werden, insbesondere Identifikations- und Kontaktdaten, Angaben zur vertretenen Organisation, der Inhalt der Meldung sowie technische Daten, die zur Beurteilung des Ereignisses erforderlich sind, wie Informationen zum Produkt, zur Softwareversion, zur Umgebung, zu Logdateien, IP-Adressen, Zeitstempeln, Anhängen und anderen mit der Meldung übermittelten technischen Daten. Der Verantwortliche wendet den Grundsatz der Datenminimierung an und erwartet nicht die Übermittlung personenbezogener Daten, die für die Analyse der Meldung nicht erforderlich sind.

Speicherdauer. Die mit einer Meldung verbundenen Daten werden für die Dauer gespeichert, die zur Entgegennahme, Analyse, Klärung und zum Abschluss der Meldung sowie zur Umsetzung etwaiger Abhilfe- oder risikomindernder Maßnahmen erforderlich ist. Nach Abschluss der Bearbeitung der Meldung können die Daten für den Zeitraum aufbewahrt werden, der erforderlich ist, um die Ordnungsmäßigkeit der Maßnahmen des Verantwortlichen nachzuweisen, um Pflichten aus Cybersicherheitsvorschriften zu erfüllen, sowie bis zum Ablauf der jeweiligen Verjährungsfrist für etwaige Ansprüche. Sofern gesetzliche Vorschriften eine längere Aufbewahrung bestimmter Unterlagen vorschreiben, werden die Daten für den sich aus diesen Vorschriften ergebenden Zeitraum gespeichert.

Freiwilligkeit der Angabe von Daten. Die Angabe von Identifikations- oder Kontaktdaten ist freiwillig, sofern nicht ein bestimmtes Formularfeld aufgrund der Notwendigkeit einer ordnungsgemäßen Bearbeitung der Meldung als Pflichtfeld gekennzeichnet wurde. Fehlende Kontaktdaten können den Verantwortlichen daran hindern, zusätzliche Informationen anzufordern oder eine Rückmeldung zur Bearbeitung der Meldung zu geben.

Empfänger von Daten im Zusammenhang mit einer CRA-Meldung. Die Daten können an befugte Mitarbeiter und Mitwirkende des Verantwortlichen, an Anbieter von IT-, Cybersicherheits-, Hosting-, Formularwartungs- oder Rechtsdienstleistungen sowie – soweit gesetzlich vorgeschrieben oder zur Erfüllung einer gesetzlichen Pflicht erforderlich – an die zuständigen CSIRTs, die ENISA, Marktüberwachungsbehörden oder andere befugte Stellen weitergegeben werden.

  1. Rechte der betroffenen Person
    Der betroffenen Person stehen im Rahmen der DSGVO insbesondere folgende Rechte zu:
    – Auskunft über ihre Daten und Erhalt einer Kopie (Art. 15 DSGVO),
    – Berichtigung ihrer Daten (Art. 16 DSGVO),
    – Löschung ihrer Daten, sofern die Voraussetzungen von Art. 17 DSGVO vorliegen,
    – Einschränkung der Verarbeitung (Art. 18 DSGVO),
    – Datenübertragbarkeit – in den in Art. 20 DSGVO genannten Fällen,
    – Widerspruch gegen eine auf Art. 6 Abs. 1 lit. f DSGVO gestützte Verarbeitung aus Gründen, die sich aus ihrer besonderen Situation ergeben, sowie jederzeit im Falle von Direktmarketing (Art. 21 DSGVO),
    – jederzeitiger Widerruf der Einwilligung, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird, sofern die Einwilligung die Rechtsgrundlage der Verarbeitung ist (Art. 7 Abs. 3 DSGVO),
    – Beschwerde beim Vorsitzenden des polnischen Amtes für den Schutz personenbezogener Daten (UODO).
    Soweit Daten zur Erfüllung einer gesetzlichen Pflicht nach Art. 6 Abs. 1 lit. c DSGVO verarbeitet werden, findet das Widerspruchsrecht auf diesen Verarbeitungsumfang keine Anwendung.
  2. Empfänger von Daten und Auftragsverarbeiter
    Personenbezogene Daten können an Stellen weitergegeben werden, die den Verantwortlichen bei der Ausübung seiner Tätigkeit und der Erfüllung der oben beschriebenen Zwecke unterstützen, insbesondere an Anbieter von IT-, Hosting-, Website- und Formularwartungsdiensten, Analyse- und Marketingtools, Zahlungs- und Zustelldienstleister, Anbieter von Buchhaltungs-, Rechts-, Prüfungs- und Cybersicherheitsdienstleistungen sowie an Behörden oder sonstige nach geltendem Recht befugte Stellen. Handelt eine Stelle als Auftragsverarbeiter, verarbeitet sie die Daten auf Grundlage eines Auftragsverarbeitungsvertrags und gemäß den Weisungen des Verantwortlichen.
  3. Datenübermittlung außerhalb des Europäischen Wirtschaftsraums
    Im Zusammenhang mit der Nutzung bestimmter Technologieanbieter können Daten außerhalb des Europäischen Wirtschaftsraums übermittelt werden. In diesem Fall gewährleistet der Verantwortliche die nach der DSGVO erforderliche Rechtsgrundlage für die Übermittlung, insbesondere durch Rückgriff auf einen Angemessenheitsbeschluss der Europäischen Kommission – soweit anwendbar – oder auf geeignete Garantien wie die Standardvertragsklauseln der Europäischen Kommission. Informationen zum angewandten Übermittlungsmechanismus können beim Verantwortlichen oder beim Datenschutzbeauftragten erfragt werden.
  4. Cookies und ähnliche Technologien
    Die Websites des Verantwortlichen können Folgendes verwenden:
    – Cookies und Technologien, die für das ordnungsgemäße Funktionieren der Website oder die Erbringung der angeforderten Dienstleistung erforderlich sind,
    – analytische, funktionale oder Marketing-Cookies und -Technologien – sofern eine Einwilligung erforderlich ist, werden diese erst nach deren Erteilung aktiviert.

Die Einwilligung zu nicht erforderlichen Cookies wird über das auf der Website verfügbare Einwilligungsverwaltungstool erteilt. Der Nutzer kann die Einwilligung jederzeit über die Einwilligungseinstellungen verweigern oder widerrufen. Der Widerruf der Einwilligung berührt nicht die Rechtmäßigkeit der vor dem Widerruf durchgeführten Verarbeitungsvorgänge.

  1. Profiling und Marketingaktivitäten
    Der Verantwortliche kann Daten im gesetzlich zulässigen Umfang zu Analysezwecken und zur Anpassung der Marketingkommunikation nutzen. Beruht das Profiling auf nicht erforderlichen Cookies oder ähnlichen Technologien, erfolgt es erst nach Einholung der erforderlichen Einwilligung. Soweit die Verarbeitung auf dem berechtigten Interesse des Verantwortlichen beruht, steht der betroffenen Person ein Widerspruchsrecht gemäß Art. 21 DSGVO zu.
  2. Änderungen der Datenschutzerklärung
    Diese Datenschutzerklärung kann regelmäßig aktualisiert werden, insbesondere um sie an Änderungen der Rechtsvorschriften, Leitlinien der Aufsichtsbehörden, eingesetzte Technologien sowie den tatsächlichen Umfang der vom Verantwortlichen durchgeführten Datenverarbeitung anzupassen.

Letzte Aktualisierung: 7. Oktober 2026
Verantwortlicher: DRAMIŃSKI S.A.