Tell Me

2. Verantwortliche(r)

Wenn sich der gemeldete Vorfall nur auf die Kia Europe GmbH ( „Kia EU“ ) bezieht, gilt Kia EU als der alleinige und unabhängige Verantwortliche für die personenbezogenen Daten, die bei Erhalt, der Analyse und der Verarbeitung der über die Tell-Me-Plattform eingereichten Meldungen verarbeitet werden ( „relevante personenbezogene Daten“ ).

Wenn sich die Meldung auf ein anderes Unternehmen der Kia Europe Group ( „Unternehmen der Kia-Gruppe“ ) bezieht, arbeiten Kia EU und das betreffende Unternehmen der Kia-Gruppe bei der Bewertung und Untersuchung des Falls eng zusammen (Details zur Verarbeitung sind der Kia Compliance: Tell Me Policy zu entnehmen). In einem solchen Fall legen Kia EU und das betreffende Unternehmen der Kia-Gruppe als gemeinsame Verantwortliche demnach zusammen den Zweck und die Art der Verarbeitung der betreffenden personenbezogenen Daten fest. In diesem Zusammenhang wurden die jeweiligen Verantwortlichkeiten zur Einhaltung der Verpflichtungen gemäß der DSGVO wie folgt festgelegt:

(a) Für den Fall, dass Sie Ihre gesetzlichen Rechte gemäß Abschnitt 9 dieser Datenschutzerklärung ausüben, obliegt es dem betreffenden Unternehmen der Kia-Gruppe, Ihnen diese Rechte zu gewähren. Kia EU unterstützt das betreffende Unternehmen der Kia-Gruppe jedoch unverzüglich in der angemessenen und erforderlichen Form, damit das betreffende Unternehmen der Kia-Gruppe Ihrer Anfrage in Übereinstimmung mit der DSGVO nachkommen kann.

(b) Das betreffende Unternehmen der Kia-Gruppe und Kia EU kommen ihren Verpflichtungen gemäß Art. 13 und Art. 14 der DSGVO nach und stelle Ihnen alle relevanten Informationen zur Verarbeitung personenbezogener Daten wie folgt zur Verfügung: (i) Beide veröffentlichen diese Datenschutzerklärung in ihren jeweiligen Intranet-Systemen; (ii) Kia EU stellt sicher, dass diese Datenschutzerklärung auf der Tell-Me-Plattform bereitgestellt wird; (iii) wenn und soweit zutreffend, stellt das betreffende Unternehmen der Kia-Gruppe Ihnen relevante Informationen gemäß Art. 14 der DSGVO zur Verfügung.

(c) Ungeachtet der oben stehenden Abschnitte 2 (a) und (b) erkennen das betreffende Unternehmen der Kia-Gruppe und Kia EU an, dass Sie Ihre Rechte nach der DSGVO gegenüber beiden in ihrer Funktion als gemeinsame Verantwortliche ausüben können. Bitte beachten Sie jedoch, dass Ihre Anfrage in der Regel vom betreffenden Unternehmen der Kia-Gruppe bearbeitet wird.

Die Kontaktinformationen des jeweiligen Unternehmens der Kia Europe Group sind Anhang 1 zu entnehmen.

3. Datenschutzbeauftragter

Bei Fragen zu oder in Zusammenhang mit dieser Datenschutzerklärung wenden Sie sich entweder unter dpo@kia-europe.com an den Datenschutzbeauftragten von Kia EU oder an den Datenschutzbeauftragten des betreffenden Unternehmens der Kia-Gruppe ( „Datenschutzbeauftragter“ ). Die Kontaktinformationen des jeweiligen Datenschutzbeauftragten der Kia Europe Group sind Anhang 1 zu entnehmen.

4. Kategorien personenbezogener Daten

Im Rahmen des Betriebs der Plattform zur Meldung von Vorfällen und zur Untersuchung der gemeldeten Fälle ist es zwangsläufig erforderlich, dass personenbezogene Daten verarbeitet werden. Allerdings hat in erster Linie die meldende Person die vollständige Kontrolle darüber, was gemeldet wird. Das hängt damit zusammen, dass es sich bei der Tell-Me-Plattform um ein offenes System handelt, bei dem die meldende Person vor der Übermittlung der Meldung keine Kategorisierung vornehmen muss. Dies betrifft die Identität der meldenden Person, der beschuldigten Person, etwaiger Zeugen und aller anderen Personen, die in der betreffenden Meldung erwähnt werden (gemeinsam die „betroffenen Personen“ und einzeln die „betroffene Person“ ).

Als meldende Person sollten Sie stets sorgfältig abwägen, ob Sie Ihre Identität offenlegen möchten. Obgleich die Identität der meldenden Person und aller anderen in der Meldung genannten Dritten streng vertraulich behandelt wird, sind Kia EU oder das betreffende Unternehmen der Kia-Gruppe unter bestimmten Umständen möglicherweise verpflichtet, die Identität der meldenden Person oder des betreffenden Dritten offenzulegen. Aus diesem Grund hat die Kia Europe Group die Plattform Kia Compliance: Tell Me eingeführt, über die meldende Personen anonym ihre Meldungen einreichen können.
Im Dokument Kia Compliance: Tell Me Policy finden Sie Informationen zu weiteren Kommunikationskanälen, falls Sie Ihre Identität als meldende Person offenlegen möchten.

Zu den personenbezogenen Daten zur betroffenen Person, die Kia EU und das betreffende Unternehmen der Kia-Gruppe (falls zutreffend) in Zusammenhang mit der Tell-Me-Plattform und den gemeldeten Fällen verarbeiten, zählen unter anderem (stets vorbehaltlich der Inhalte und Informationen, die die meldende Person bereitgestellt hat): Name, Geschlecht; Nationalität; Anschrift und Stadt; (Mobil-)Telefonnummer; E-Mail-Adresse; Titel (Funktion); Rolle und Position im Unternehmen; Abteilung; Verwaltungs-/Arbeitnehmernummer; Angaben zum Vorfall und Umstände; getroffene Maßnahmen; Untersuchungsberichte; sonstige Informationen zum Vorfall (z. B. Datum, Uhrzeit und Ort); Zugriffscode; Audio-Datei und IP-Adresse sowie sonstige technische Daten; Einwilligungen (d. h. Aufzeichnungen über die von der meldenden Person erteilten Einwilligungen).

Die Kia Europe Group ergreift die in der Kia Compliance: Tell Me Policy genannten Maßnahmen, um die Anonymität der meldenden Person bestmöglich zu wahren, sofern eine Anonymisierung von dieser ausdrücklich gewünscht und dies möglich und verhältnismäßig ist. Aus diesem Grund hat die Kia Europe Group keinen Zugriff auf technische Daten, die die meldende Person identifizieren könnten (z. B. IP-Adresse, aufgezeichnete Audio-Dateien und Informationen zum Anruf).

Als meldende Person sollten Sie davon absehen, Angaben zu speziellen Kategorien personenbezogener Daten zu machen, die für den Fall nicht relevant sind. Hierzu zählen Angaben zur ethnischen Herkunft, zu politischen Ansichten, religiösen oder philosophischen Überzeugungen, Gewerkschaftszugehörigkeit und Angaben zur Gesundheit oder zum Sexualleben.
Wenn solche nicht relevanten Angaben in einer Meldung enthalten sind, werden diese von Kia EU oder dem betreffenden Unternehmen der Kia-Gruppe aus der Meldung und den zugehörigen Datensätzen gelöscht.
Gleiches gilt für personenbezogene Daten, die zur Untersuchung der gemachten Behauptungen nicht unbedingt bzw. aus objektiver Sicht nicht erforderlich sind.

5. Zweck und rechtliche Grundlage der Verarbeitung

Kia EU und das betreffende Unternehmen der Kia-Gruppe verarbeiten die relevanten personenbezogenen Daten zum Zwecke der Erstmeldung, der anschließenden Überprüfung der Meldung sowie zur Untersuchung des gemeldeten Vorfalls. Die Aktivitäten im Zusammenhang mit der Verarbeitung basieren auf den folgenden rechtlichen Grundlagen:

• Einwilligung (Art. 6(1)(a) DSGVO): Für die Verarbeitung relevanter personenbezogener Daten durch das betreffende Unternehmen der Kia Europe Group ist die rechtliche Grundlage die vorherige Einwilligung der meldenden Person (z. B. wenn ein Treffen zwischen dem betreffenden Unternehmen der Kia Europe Group und der meldenden Person – auf Wunsch der meldenden Person – per Videogespräch stattfindet).

• Erfüllung einer rechtlichen Verpflichtung (Art. 6(1)(c) DSGVO): In bestimmten Gerichtsbarkeiten ist die Einführung und Bereitstellung eines Systems zur Meldung von Fehlverhalten verbindlich vorgeschrieben. Wenn ein Unternehmen der Kia Europe Group gesetzlich verpflichtet ist, ein solches System zur Meldung von Fehlverhalten einzuführen und bereitzustellen, und soweit diese Einführung und Bereitstellung die Verarbeitung relevanter personenbezogener Daten erfordert, ist die rechtliche Grundlage für diese Verarbeitung die Erfüllung einer geltenden rechtlichen Verpflichtung.

• Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt (Art. 6(1)(e) DSGVO): Obgleich die Einführung und Bereitstellung von Systemen zur Meldung von Fehlverhalten verbindlich vorgeschrieben sein kann, besteht in bestimmten Gerichtsbarkeiten keine Verpflichtung für das betreffende Unternehmen der Kia Europe Group zur Einrichtung eines Kanals zur anonymen Meldung oder zur Überprüfung von anonym eingereichten Meldungen. In diesem Fall ist die rechtliche Grundlage für die Verarbeitung der relevanten personenbezogenen Daten die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt.

• Wahrung berechtigter Interessen (Art. 6(1)(f) DSGVO): Wenn die Verarbeitung der relevanten personenbezogenen Daten nicht aufgrund rechtlicher Verpflichtungen erforderlich ist, basiert die Verarbeitung der relevanten personenbezogenen Daten durch das betreffende Unternehmen der Kia Europe Group auf berechtigten Interessen. Zu diesen berechtigten Interessen zählen die Überwachung der Einhaltung geltender Gesetze und Vorschriften oder sonstiger interner Reglungen (z. B. des Kia Compliance & Integrity Code) sowie die Erkennung und Vermeidung von Fehlverhalten und Verstößen. Das betreffende Unternehmen der Kia Europe Group entscheidet stets von Fall zu Fall, ob die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person die eigenen Interessen überwiegen.

Wie oben erwähnt, dürfen die über die Tell-Me-Plattform eingereichten Meldungen keine Kategorien personenbezogener Daten umfassen, die für die Meldung irrelevant sind. Solche Daten werden entsprechend gelöscht.
Wenn und soweit solche Daten jedoch für den Fall von Relevanz sein sollten, ist die anwendbare rechtliche Grundlage für die Verarbeitung solcher Daten entweder Art. 9(2)(f) DSGVO) (d. h. die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich) oder Art. 9(2)(g) DSGVO (d. h. die Verarbeitung ist aus Gründen eines erheblichen öffentlichen Interesses auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats erforderlich).

6. Offenlegung personenbezogener Daten gegenüber Dritten

Kia EU und das betreffende Unternehmen der Kia-Gruppe behandeln die relevanten personenbezogenen Daten mit höchster Vertraulichkeit. Die Daten werden nur zu den oben genannten Zwecken der Verarbeitung und stets unter Einhaltung geltender Gesetze offengelegt. Zu den möglichen Empfängern der relevanten personenbezogenen Daten zählen die folgenden Unternehmen, Institutionen oder Personen:

• Dienstleister: Dies umfasst People Intouch B.V. (und zugelassene Unterauftragsverarbeiter) als Betreiber der Tell-Me-Plattform. Der eingetragene Hauptsitz von People Intouch B.V. befindet sich in Olympisch Stadion 6, 1076 DE Amsterdam, Niederlande.

• People Intouch B.V. verarbeitet die relevanten personenbezogenen Daten in der Funktion als Auftragsverarbeiter von Kia EU und ausschließlich nach den Vorgaben von Kia EU. Zu diesem Zweck haben Kia EU und People Intouch B.V. eine Vereinbarung über die Datenverarbeitung geschlossen.

• Rechtsberater: In bestimmten Fällen kann Kia EU oder das betreffende Unternehmen der Kia-Gruppe die Daten zur Wahrung seiner Interessen oder zur Ausübung seiner Rechte an seine Rechtsberater weitergeben. Die Rechtsberater verarbeiten diese Daten in der Funktion als unabhängige Verantwortliche.

• Gerichte und Aufsichtsbehörden: Kia EU oder das betreffende Unternehmen der Kia-Gruppe kann die Daten gegenüber Gerichten oder Aufsichtsbehörden offenlegen, sofern dies gesetzlich vorgeschrieben oder im Rahmen von Gerichtsverfahren, gerichtlichen Anordnungen, Anfragen von Aufsichtsbehörden bzw. zur Wahrung eigener Interessen und zur Ausübung eigener Rechte erforderlich ist.

• Die betreffenden Gerichte oder Aufsichtsbehörden verarbeiten diese Daten in der Funktion als unabhängige Verantwortliche.

• Andere Dritte: Kia EU oder das betreffende Unternehmen der Kia-Gruppe kann die Daten auch gegenüber anderen Dritten offenlegen (z. B. der beschuldigten Person oder externen Mitgliedern von Aufsichtsgremien), jedoch nur, wenn dies gesetzlich vorgeschrieben ist. Derartige Dritte verarbeiten diese Dateien in der Funktion als unabhängige Verantwortliche.

7. Internationale Übermittlung von personenbezogenen Daten

Zum Zweck der Verarbeitung der relevanten personenbezogenen Daten gemäß der vorliegenden Datenschutzerklärung kann es erforderlich sein, dass Kia EU oder das betreffende Unternehmen der Kia-Gruppe die relevanten personenbezogenen Daten an andere Dritte, wie in Abschnitt 6 aufgeführt, übermittelt. Allerdings werden die relevanten personenbezogenen Daten in der Regel nicht an Empfänger in Ländern übermittelt, die nicht Mitglied des Europäischen Wirtschaftsraums (EWG) sind oder für die die Europäische Kommission keinen Angemessenheitsbeschluss erlassen hat, nach dem das betreffende Land ein angemessenes Schutzniveau bietet. Wenn relevante personenbezogene Daten zu irgendeinem Zeitpunkt an Empfänger in einem Land übermittelt werden sollen, das nicht in die oben aufgeführten Kategorien fällt, unterliegt eine solche Übermittlung stets angemessenen Sicherheitsvorkehrungen in Übereinstimmung mit der DSGVO.

8. Datenspeicherung

Kia EU und das betreffende Unternehmen der Kia-Gruppe verarbeiten die relevanten personenbezogenen Daten nur für die in dieser Datenschutzerklärung beschriebenen Zwecke sowie nach Maßgabe des geltenden Rechts. Bei der Festlegung der Aufbewahrungsfristen berücksichtigen Kia EU und das betreffende Unternehmen der Kia-Gruppe die Zwecke für die Verarbeitung relevanter personenbezogener Daten und ob diese Zwecke auch ohne die Daten erreichbar sind, die Kategorien der relevanten Daten, die Risiken im Fall einer Datenschutzverletzung und die gesetzlichen Verpflichtungen, die für Kia EU und das betreffende Unternehmen der Kia-Gruppe im Zusammenhang mit der Datenspeicherung gelten.
Für die Speicherung relevanter personenbezogener Daten bedeutet dies in der Regel:

• Personenbezogene Daten, die für den Fall nicht relevant sind, werden unverzüglich gelöscht oder anonymisiert.

• Die relevanten personenbezogenen Daten in der Dokumentation zu der betreffenden Angelegenheit werden so lange aufbewahrt, wie es für die Bearbeitung der Meldung und die Untersuchung (falls zutreffend) erforderlich ist. Spätestens drei Jahre nach Abschluss der Bearbeitung und/oder Untersuchung (falls zutreffend) werden die Daten gelöscht oder anonymisiert, sofern keine Gerichtsverfahren oder Disziplinarmaßnahmen eingeleitet wurden, die eine längere Speicherung der relevanten personenbezogenen Daten erforderlich machen, oder nach geltendem Recht eine andere Aufbewahrungsfrist vorgeschrieben ist, stets unter der Voraussetzung, dass diese Aufbewahrung erforderlich und angemessen ist.

9. Ihre gesetzlichen Rechte

Wenn Kia EU oder das betreffende Unternehmen der Kia-Gruppe Ihre personenbezogenen Daten auf der Basis Ihrer Einwilligung verarbeitet, haben Sie das Recht, diese Einwilligung jederzeit zu widerrufen (Art. 7(3) DSGVO).

Wenn Sie Fragen zur Verarbeitung Ihrer personenbezogenen Daten durch Kia EU oder das betreffende Unternehmen der Kia-Gruppe haben, erteilt Ihnen Kia EU bzw. das betreffende Unternehmen der Kia-Gruppe gern Auskunft über Ihre personenbezogenen Daten und deren Verarbeitung (Art. 15 DSGVO). Vorbehaltlich der gesetzlichen Voraussetzungen haben Sie außerdem Anspruch auf: (a) Recht auf Berichtigung Ihrer personenbezogenen Daten (Art. 16 DSGVO); (b) Recht auf Löschung Ihrer personenbezogenen Daten (Art. 17 DSGVO); und (c) Recht auf Einschränkung der Verarbeitung Ihrer personenbezogenen Daten (Art. 18 DSGVO). Darüber hinaus haben Sie auch das Recht auf Datenübertragbarkeit (Art. 20 DSGVO) sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO).

Ihr Widerspruchsrecht: Wenn Kia EU oder das betreffende Unternehmen der Kia-Gruppe Ihre personenbezogenen Daten auf der Grundlage von Art. 6(1)(f) DSGVO verarbeitet, haben Sie das Recht, jederzeit Widerspruch gegen die Verarbeitung einzulegen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21(1) DSGVO).

Wenn Kia EU und das betreffende Unternehmen der Kia-Gruppe Ihre personenbezogenen Daten als gemeinsame Verantwortliche verarbeiten, finden Sie in Abschnitt 2(a)–(c) weitere Informationen dazu, welches Unternehmen Ihre Anfrage beantworten wird.

10. Definitionen

Als „Verantwortlicher“ wird die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle bezeichnet, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. „DSGVO“ bedeutet (i) im Hinblick auf Kia UK LTD als Verantwortlicher die britische Datenschutzverordnung, die durch den Data Protection Act 2018 (UK GDPR) umgesetzt wurde; und (ii) im Hinblick auf alle anderen in Anhang 1 aufgeführten Unternehmen der Kia Europe Group die Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung).

„Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
„Verarbeitung“/„verarbeiten“ umfasst jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

Ein „Auftragsverarbeiter“ ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Anhang 1 – Kontaktinformationen der Verantwortlichen

Anhang 2 – Ergänzungen gemäß lokalen Gesetzen

Version vom 15. Dezember 2023