Datenschutzerklärung

1. Allgemeine Hinweise, Verantwortlicher & Datenschutzbeauftragter

Wir behandeln personenbezogene Daten vertraulich und nach den anwendbaren Datenschutzvorschriften, insbesondere der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG). Verantwortlich ist die Pharma-Zentrale GmbH, Loerfeldstr. 20, 58313 Herdecke, Deutschland, E-Mail: office@pharma-zentrale.de.

Unseren Datenschutzbeauftragten erreichen Sie bei der arbeitgeber ruhr GmbH, Herrn Dirk Grützner, Königsallee 67, 44789 Bochum, E-Mail: gruetzner@datenschutzbeauftragter.ruhr, Telefon: +49 234 58877-26.

2. Bereitstellung der Website, Hosting & Serverprotokolle

Die Ursprungsdienste dieser Website und die Formularfunktionen werden über Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg (AWS), in der Region Frankfurt am Main (eu-central-1) bereitgestellt. AWS verarbeitet Daten in unserem Auftrag nach Art. 28 DSGVO; das AWS Data Processing Addendum ist Bestandteil der AWS-Dienstbedingungen.

Zur schnellen und sicheren Auslieferung nutzen wir Amazon CloudFront. Die Distribution verwendet derzeit Price Class 100 mit Edge-Standorten insbesondere in Europa und Nordamerika. Dies ist keine Beschränkung auf eine Verarbeitung in der EU: Auch technisch bedingte Auslieferungen über andere Standorte und erforderliche Supportzugriffe können einen Drittlandbezug haben. Dabei werden insbesondere IP-Adresse und technische Verbindungsdaten verarbeitet. Die Übermittlungsgrundlagen erläutern wir in Abschnitt 8.

Redaktionsinhalte verwalten wir mit dem Content-Management-System Storyblok, dessen Plattformbetreiber Storyblok GmbH, Peter-Behrens-Platz 2, 4020 Linz, Österreich, ist. Der Abruf der veröffentlichten Texte erfolgt über unser Website-Backend. Bilder und andere Medien können dagegen unmittelbar aus dem Storyblok-CDN geladen werden; dabei erhält der Dienst insbesondere IP-Adresse und technische Verbindungsdaten Ihres Browsers. Kontakt- und Bewerbungsformulardaten werden nicht an Storyblok übermittelt. Die Bereitstellung der redaktionellen Inhalte und Medien beruht auf Art. 6 Abs. 1 lit. f DSGVO, unserem berechtigten Interesse am zuverlässigen und sicheren Websitebetrieb. Soweit Storyblok Daten in unserem Auftrag verarbeitet, gilt dessen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Informationen zu Unterauftragnehmern und Übermittlungsgrundlagen stehen unter www.storyblok.com/legal/dpa.

Bei einem Seitenaufruf können technisch erforderliche Daten wie IP-Adresse, Datum und Uhrzeit, aufgerufene Seite oder Datei, übertragene Datenmenge, HTTP-Statuscode, Referrer, Browser, Betriebssystem und Endgerät verarbeitet werden. Dies dient Bereitstellung, Stabilität, Sicherheit, Fehleranalyse und Missbrauchsabwehr. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere und funktionsfähige Betrieb. Serverprotokolle werden grundsätzlich spätestens nach 14 Tagen gelöscht, sofern sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls oder zur Rechtsverfolgung länger benötigt werden.

3. Lokale Speichertechniken & Tracking-Verzicht

Die Sprache der öffentlichen Website richtet sich nach der aufgerufenen Sprachversion beziehungsweise der Browsersprache; dafür setzen wir keinen Sprach-Cookie. Ihre Auswahl zu optionalen Diensten speichern wir nach Ihrer Entscheidung für 180 Tage im lokalen Speicher Ihres Browsers unter pz-privacy-v1. Dabei werden die einzelnen Dienstfreigaben und der Zeitpunkt der Auswahl gespeichert, jedoch keine eindeutige Besucherkennung für Trackingzwecke. Ohne Auswahl bleiben optionale Dienste deaktiviert. Über „Cookie- & Diensteinstellungen“ im Footer können Sie Ihre Auswahl jederzeit ändern oder widerrufen. Das Speichern und Auslesen dieser Auswahl ist technisch erforderlich, um Ihre Datenschutzeinstellungen zu beachten (§ 25 Abs. 2 Nr. 2 TDDDG); die anschließende Verarbeitung beruht auf Art. 6 Abs. 1 lit. f DSGVO, unserem berechtigten Interesse an einem datenschutzgerechten Websitebetrieb.

Analyse-, Reichweitenmessungs-, Marketing- oder Social-Media-Tracking-Dienste sind im aktuellen öffentlichen Websitebetrieb nicht eingebunden.

4. Kontaktformular & Kontaktaufnahme per E-Mail

Bei einer Kontaktaufnahme verarbeiten wir insbesondere Name, Unternehmen, E-Mail-Adresse, freiwillig angegebene Telefonnummer, Anliegen, Nachricht und weitere freiwillig mitgeteilte Daten, um Ihre Anfrage zu bearbeiten und mit Ihnen zu kommunizieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um vorvertragliche oder vertragliche Maßnahmen geht, andernfalls Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die sachgerechte Bearbeitung eingehender Anfragen.

Pflichtangaben sind für die Bearbeitung erforderlich. Zugriff erhalten die zuständigen Beschäftigten und weisungsgebundene technische Dienstleister, insbesondere AWS für Hosting, Speicherung und E-Mail-Versand. Kontaktanfragen werden grundsätzlich spätestens nach 183 Tagen gelöscht. Eine längere Speicherung erfolgt nur bei fortbestehenden Vertragsbeziehungen, gesetzlichen Aufbewahrungspflichten oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Für technische Sicherungskopien gelten zusätzlich die in Abschnitt 5 beschriebenen Wiederherstellungsfristen.

5. Bewerbungsverfahren

Bei einer Bewerbung verarbeiten wir insbesondere Name und Kontaktdaten, die gewünschte Position, Qualifikation, Ausbildung, beruflichen Werdegang, Beschäftigungsstatus, freiwillige Mitteilungen, Kommunikationsdaten und hochgeladene PDF-Unterlagen. Bitte übermitteln Sie besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO nur, wenn dies für die konkrete Bewerbung erforderlich ist.

Die Verarbeitung dient der Entscheidung über die Begründung eines Beschäftigungsverhältnisses und beruht auf § 26 Abs. 1 Satz 1 BDSG in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO. Erforderliche besondere Kategorien personenbezogener Daten verarbeiten wir nach Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG. Ohne die erforderlichen Angaben können wir eine Bewerbung gegebenenfalls nicht berücksichtigen.

Zugriff haben nur die am Verfahren beteiligten Beschäftigten aus Personal- und Fachbereich. Unterlagen werden verschlüsselt in einem nicht öffentlichen Speicher verarbeitet und mit den Formulardaten an die festgelegten HR-Empfänger übermittelt. Dabei setzen wir insbesondere Amazon S3, Amazon DynamoDB und Amazon Simple Email Service ein. Eine automatisierte Entscheidung oder ein Profiling findet nicht statt.

Nach einer Absage, Rücknahme oder dem sonstigen Abschluss des Verfahrens löschen wir Bewerbungsdaten und Unterlagen grundsätzlich spätestens nach 183 Tagen. Die befristete Speicherung zur Abwehr oder Durchsetzung möglicher Rechtsansprüche beruht auf Art. 6 Abs. 1 lit. f DSGVO. Bei einer Einstellung werden erforderliche Daten in die Personalakte übernommen. Eine Aufnahme in einen Bewerberpool oder längere Speicherung für künftige Stellen erfolgt nur nach einer gesonderten ausdrücklichen Einwilligung, die jederzeit mit Wirkung für die Zukunft widerrufen werden kann.

Davon zu unterscheiden sind die technischen Zwischenkopien der Online-Übermittlung: Für Formulardaten im Website-Speicher und hochgeladene Dateien ist eine automatische Löschung nach 183 Tagen ab Eingang beziehungsweise Upload eingerichtet. Die Ausführung der cloudbasierten Löschung kann technisch zeitversetzt erfolgen. Die an die Personalabteilung übermittelten E-Mails und PDF-Anhänge unterliegen der vorstehend beschriebenen Aufbewahrung nach Abschluss des Bewerbungsverfahrens.

Für technische Sicherungskopien bestehen zusätzliche, begrenzte Wiederherstellungsfristen: Datenbank-Wiederherstellungspunkte werden bis zu 35 Tage vorgehalten. Nicht aktuelle Versionen hochgeladener Dateien werden nach 30 Tagen als nicht aktuelle Version gelöscht; dies kann auch im Anschluss an die Löschung der aktiven Datei nach 183 Tagen liegen. Diese Sicherungskopien dienen der Systemwiederherstellung und stehen nicht als aktive Unterlagen im öffentlichen Bewerbungsportal zur Verfügung.

6. Google Maps, Webschriften & technische Formulardienste

Google Maps wird nur mit Ihrer Einwilligung geladen: über den Cookie-Banner, die Diensteinstellungen, durch Betätigung von „Google Maps laden“ oder aufgrund einer zuvor gespeicherten Zustimmung. Vor einer Zustimmung und nach einer Ablehnung ist die Karte nicht eingebunden. Anbieter für Nutzer im Europäischen Wirtschaftsraum ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Beim Laden können insbesondere IP-Adresse, Datum und Uhrzeit, Browser- und Geräteinformationen, die aufgerufene Seite sowie von Ihnen freigegebene Standortdaten an Google übermittelt werden. Google kann Informationen auf Ihrem Endgerät speichern oder auf vorhandene Informationen zugreifen. Eine Verarbeitung außerhalb der EU oder des EWR ist möglich. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können Ihre freiwillige Einwilligung über „Google Maps deaktivieren“ beziehungsweise „Deaktivieren“ jederzeit für die Zukunft widerrufen; die eingebundene Karte wird dann entfernt. Die Rechtmäßigkeit der bisherigen Verarbeitung bleibt unberührt. Die Entscheidung wird für 180 Tage unter pz-privacy-v1 gespeichert und kann auch über „Cookie- & Diensteinstellungen“ im Footer geändert werden. Externe Routen- und Kartenlinks öffnen Google Maps erst nach Ihrer bewussten Auswahl.

Google Maps können Sie über den Cookie-Banner, „Cookie- & Diensteinstellungen“ im Footer oder direkt über „Google Maps laden“ freigeben. Sie können die Karte jederzeit in den Diensteinstellungen oder direkt an der Karte deaktivieren. Ein Widerruf beendet die weitere Einbettung auf unserer Website, löscht jedoch nicht automatisch bereits an Google übermittelte Daten oder von Google gesetzte Cookies. Diese können Sie gegebenenfalls über Ihre Browser- oder Google-Kontoeinstellungen verwalten. Die Speicherdauer bei Google richtet sich insbesondere nach der Datenart, Ihren Konto- und Datenschutzeinstellungen sowie Googles Aufbewahrungsregeln: https://policies.google.com/technologies/retention. Weitere Informationen finden Sie unter https://policies.google.com/privacy.

Bei Google Maps können Daten an Google LLC in den USA übermittelt werden. Google LLC und die von seiner Zertifizierung erfassten US-Tochtergesellschaften nehmen nach den veröffentlichten Angaben von Google am EU-U.S. Data Privacy Framework teil. Für erfasste Übermittlungen gilt der Angemessenheitsbeschluss nach Art. 45 DSGVO. Weitere Informationen: policies.google.com/privacy und policies.google.com/privacy/frameworks.

Die verwendeten Webschriften werden lokal ausgeliefert; beim Laden wird keine Verbindung zu Google Fonts oder Adobe Fonts hergestellt. Für Verarbeitung, Speicherung und Übermittlung von Kontakt- und Bewerbungsformularen nutzen wir AWS-Dienste, insbesondere Amazon S3, Amazon DynamoDB und Amazon Simple Email Service, auf Grundlage einer Auftragsverarbeitung nach Art. 28 DSGVO.

7. Meldungen zu Nebenwirkungen, Qualitätsbeanstandungen und Pharmakovigilanz

Wenn Sie uns Informationen über Nebenwirkungen, Verdachtsfälle von Nebenwirkungen, Qualitätsmängel oder andere arzneimittelbezogene Sicherheitsereignisse mitteilen, können wir verpflichtet sein, diese Informationen im Rahmen der gesetzlichen Pharmakovigilanz zu erfassen, zu dokumentieren, zu bewerten und an zuständige Stellen weiterzugeben.

Verarbeitete Daten

Je nach Inhalt der Meldung können insbesondere folgende Daten verarbeitet werden:

• Name und Kontaktdaten der meldenden Person,

• Angaben zur betroffenen Person, soweit diese für die Bearbeitung erforderlich sind,

• Angaben zum betroffenen Arzneimittel,

• Angaben zur Anwendung des Arzneimittels,

• Angaben zu Nebenwirkungen, Beschwerden oder sonstigen medizinischen Ereignissen,

• Gesundheitsdaten und andere besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO,

• weitere Informationen, die für die Bewertung des gemeldeten Sachverhalts erforderlich sind.

Wir bitten darum, nur diejenigen personenbezogenen Daten zu übermitteln, die für die Bearbeitung der jeweiligen Meldung erforderlich sind.

Zwecke und Rechtsgrundlagen

Die Verarbeitung erfolgt zur Erfüllung gesetzlicher Pflichten im Bereich der Arzneimittelsicherheit und Pharmakovigilanz, insbesondere zur Erfassung und Bewertung von Arzneimittelrisiken, zur Dokumentation und Bearbeitung von Verdachtsfällen von Nebenwirkungen, zur Überwachung des Nutzen-Risiko-Verhältnisses sowie zur Erfüllung gesetzlicher Melde- und Dokumentationspflichten.

Rechtsgrundlage für die Verarbeitung personenbezogener Daten ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den einschlägigen arzneimittelrechtlichen Verpflichtungen, insbesondere den Vorschriften des Arzneimittelgesetzes (AMG) und den unmittelbar anwendbaren unionsrechtlichen Pharmakovigilanzvorschriften. Für Zulassungsinhaber ergeben sich insbesondere aus §§ 63b und 63c AMG Pflichten zum Betrieb eines Pharmakovigilanz-Systems sowie zur Dokumentation und Meldung von Verdachtsfällen von Nebenwirkungen.

Soweit Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten verarbeitet werden, erfolgt die Verarbeitung auf Grundlage von Art. 9 Abs. 2 lit. i DSGVO in Verbindung mit den einschlägigen gesetzlichen Vorschriften zur Arzneimittelsicherheit und Pharmakovigilanz.

Empfänger

Soweit dies gesetzlich vorgeschrieben oder zur Durchführung der Pharmakovigilanz erforderlich ist, können personenbezogene Daten insbesondere an folgende Empfänger übermittelt werden:

• zuständige nationale und europäische Arzneimittelbehörden,

• die Europäische Arzneimittel-Agentur bzw. die EudraVigilance-Datenbank,

• Zulassungsinhaber bzw. pharmazeutische Unternehmen, soweit dies für die Bearbeitung des konkreten Falles erforderlich ist,

• beauftragte Pharmakovigilanz-Dienstleister,

• sonstige gesetzlich vorgesehene Empfänger.

Eine Übermittlung erfolgt nur, soweit dies für die Erfüllung der jeweiligen gesetzlichen Verpflichtungen erforderlich ist.

Speicherdauer

Personenbezogene Daten aus Pharmakovigilanzmeldungen werden entsprechend den einschlägigen gesetzlichen Dokumentations- und Aufbewahrungspflichten gespeichert. Da die erforderliche Speicherdauer insbesondere von der Art des Arzneimittels, dem Zulassungsstatus und den jeweils einschlägigen arzneimittelrechtlichen Vorschriften abhängt, kann keine einheitliche Löschfrist angegeben werden. Die Daten werden gelöscht oder anonymisiert, sobald die gesetzlichen Aufbewahrungs- und Dokumentationspflichten entfallen und keine sonstige Rechtsgrundlage für eine weitere Speicherung besteht.

8. Empfänger & mögliche Drittlandübermittlungen

Innerhalb der Pharma-Zentrale GmbH erhalten nur Stellen Zugriff, die die Daten für den jeweiligen Zweck benötigen. Darüber hinaus können weisungsgebundene Dienstleister für Hosting, IT-Betrieb, Content-Management, Speicherung und E-Mail-Versand Daten als Auftragsverarbeiter erhalten.

Die primäre Verarbeitung der Ursprungsdienste und Formulare erfolgt in der AWS-Region Frankfurt. CloudFront, das Storyblok-Medien-CDN, Unterauftragnehmer oder erforderliche Supportzugriffe können dennoch eine Verarbeitung außerhalb der EU oder des EWR mit sich bringen. Für AWS ist nach dessen veröffentlichten Angaben Amazon Web Services eine von der EU-U.S.-Data-Privacy-Framework-Zertifizierung der Amazon.com, Inc. erfasste Einheit. Erfasste Übermittlungen in die USA können auf den Angemessenheitsbeschluss nach Art. 45 DSGVO gestützt werden. Das AWS Data Processing Addendum enthält außerdem EU-Standardvertragsklauseln für Übermittlungen, die nicht von einem Angemessenheitsbeschluss erfasst sind. Weitere Informationen: aws.amazon.com/compliance/eu-us-data-privacy-framework/ und aws.amazon.com/compliance/gdpr-center/.

Storybloks Vertrag zur Auftragsverarbeitung sieht für Verarbeitungen außerhalb der EU beziehungsweise des EWR bei Bedarf EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO und zusätzliche Schutzmaßnahmen vor. Bei einem Empfänger in einem Land mit Angemessenheitsbeschluss kann Art. 45 DSGVO einschlägig sein. Dies gilt bei US-Empfängern nur, soweit der konkrete Empfänger und die Übermittlung tatsächlich von einer wirksamen DPF-Zertifizierung erfasst sind; wir behaupten keine eigene DPF-Zertifizierung von Storyblok. Die jeweilige Anbieterinformation und Unterauftragnehmerliste finden Sie unter www.storyblok.com/legal/dpa. Die Grundlage für Google Maps ist im vorstehenden Abschnitt beschrieben.

Informationen zu den für einen konkreten Empfänger eingesetzten Garantien sowie eine Kopie der einschlägigen Standardvertragsklauseln können Sie über office@pharma-zentrale.de oder unseren Datenschutzbeauftragten anfordern. Übermittlungen erfolgen unter Beachtung der Art. 44 ff. DSGVO.

9. Ihre Rechte & Beschwerderecht

Unter den gesetzlichen Voraussetzungen haben Sie Rechte auf Auskunft nach Art. 15 DSGVO, Berichtigung nach Art. 16 DSGVO, Löschung nach Art. 17 DSGVO, Einschränkung nach Art. 18 DSGVO, Datenübertragbarkeit nach Art. 20 DSGVO und Widerspruch nach Art. 21 DSGVO. Beruht die Verarbeitung auf einer Einwilligung, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Bei Verarbeitungen nach Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen Ihrer besonderen Situation widersprechen.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für die Pharma-Zentrale GmbH ist insbesondere die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Postfach 20 04 44, 40102 Düsseldorf, E-Mail: poststelle@ldi.nrw.de, www.ldi.nrw.de, zuständig.

10. Datenschutzkontakt & Aktualisierung

Bei Fragen oder zur Ausübung Ihrer Rechte wenden Sie sich an die Pharma-Zentrale GmbH unter office@pharma-zentrale.de oder an den oben genannten Datenschutzbeauftragten.

Wir passen diese Datenschutzerklärung an, wenn sich rechtliche, technische oder organisatorische Rahmenbedingungen ändern. Maßgeblich ist die jeweils auf dieser Website veröffentlichte Fassung.