Richtlinie über den schutz personenbezogener daten

RICHTLINIE ÜBER DEN SCHUTZ PERSONENBEZOGENER DATEN

Version vom 16. April 2024

Um ein Exemplar der zum Zeitpunkt des Kaufs gültigen Richtlinie über den schutz personenbezogener daten aufzubewahren, können diese über den folgenden Link ausgedruckt und/oder heruntergeladen werden: Hier klicken.

DEFINITIONEN:

1. Kunde: bezeichnet jede Person, die eine Online-Bestellung oder einen Online-Kauf getätigt hat.
2. Kundenkonto: bezeichnet das persönliche Konto, das von einem künftigen Kunden eingerichtet wird, um eine Online-Bestellung oder einen Online-Kauf zu tätigen, oder ein persönliches Konto, das von einem Kunden im Zuge einer Online-Bestellung eingerichtet wird.
3. Personenbezogene Daten, persönliche Daten oder Daten: bezeichnen Informationen in jeglicher Form, die sich direkt oder indirekt auf eine identifizierte oder identifizierbare natürliche oder juristische Person beziehen. Zu diesen Informationen gehören zum Beispiel Name, Vorname, Geburtsdatum, Mitgliedsnummer, Sozialversicherungsnummer, IP-Adresse, Verbindungsdaten etc.
4. Interessent: bezeichnet jede natürliche Person, die noch keinen Kauf von Produkten oder Dienstleistungen der Marke getätigt hat.
5. Datenverantwortlicher: bezeichnet das Unternehmen, das allein oder gemeinsam mit anderen die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt.
6. Unterverarbeiter: bezeichnet das Unternehmen, das personenbezogene Daten im Auftrag des für Datenverantwortlichen verarbeitet.

DFS legt grossen Wert auf den Schutz und die Vertraulichkeit personenbezogener Daten und überwacht die Einhaltung der einschlägigen Vorschriften.

Die vorliegende Richtlinie (im Folgenden «Richtlinie») regelt die Verpflichtungen von DFS, einer Aktiengesellschaft nach Schweizer Recht mit einem Stammkapital von 100.000 CHF und Sitz in 14 Place de la Fusterie in 1204 GENF (SCHWEIZ), eingetragen im Handels- und Gesellschaftsregister von GENF unter der Identifikationsnummer CH-660-0588998-3 (nachfolgend das «Unternehmen» oder «DFS») im Hinblick auf die Nutzung und den Schutz von Daten. 

Dem Kunden/Interessenten wird daher empfohlen, diese Richtlinien zu lesen, in denen dargelegt wird, wie das Unternehmen im Zusammenhang mit der Erbringung von Dienstleistungen unter der Marke Morgan (nachfolgend die «Marke») Daten verarbeitet, und wie Kunden/Interessenten ihre Rechte ausüben können.
 

Diese Richtlinie gilt für jede Sammlung und Verarbeitung von Daten von Kunden/Interessenten der Marke. 

Der für die Verarbeitung Verantwortliche (Datenverantwortliche), der die Daten erfasst,
-    über die Website www.morgandetoi.ch  (nachfolgend die «Website») eine der mobilen Anwendungen der Marke, 
-    über den Kauf und den Besuch von Geschäften der Marke in der Schweiz ist: 
DFS.
 

Das Unternehmen muss die folgenden Daten sammeln, um seinen Kunden/Interessenten alle angebotenen Dienste leisten zu können:

- Kontaktdaten (z. B. Telefonnummer, E-Mail, Postanschrift etc.),
- Identifikationsdaten (z. B. Name, Vorname, Geburtsdatum, Mitgliedsnummer für das Treueprogramms etc.),
- Geo-Standortdaten,
- Nutzungsdaten von Websites und mobilen Anwendungen (z. B. IP-Adresse, Endgeräte, Navigationsdaten, Logs, Token, Klicks, Kunden-/Interessentenbewertungen etc.),
- Bilder der Videoüberwachung. 

Die Marke hält sich an das Prinzip der Datenminimierung. Sie sammelt also nur die Daten, die für die Verarbeitung unbedingt erforderlich sind.

Wenn Sie ein Produkt auf der Website bestellen, erfassen und verarbeiten die Finanzdienstleister, mit denen das Unternehmen vertragliche Vereinbarungen getroffen hat, auch Daten über Ihre Zahlungsmittel (Kreditkartennummer, Ablaufdatum der Gültigkeit der Kreditkarte, visuelles Kryptogramm, wobei letzteres nicht gespeichert wird, usw.).

Die Zahlungsprozesse sind gesichert.

Darüber hinaus verpflichtet sich das Unternehmen, auf seiner Website keine sogenannten sensiblen personenbezogenen Daten (rassische oder ethnische Herkunft, politische, philosophische oder religiöse Meinungen, Gewerkschaftszugehörigkeit, Gesundheitszustand, genetische und biometrische Daten) oder Daten über Strafurteile und Straftaten zu verarbeiten.
 

Die Daten von Kunden/Interessenten werden in der Regel auf folgende Art direkt bei diesen erhoben:

- über ihre Käufe und/oder Aktionen, die sie auf der jeweiligen Website und den mobilen Anwendungen der Marke getätigt haben (z. B. Erstellung eines «Kunden-/Interessenten-Kontos», Abonnement eines Newsletters, Bestellung eines Produkts, Annahme der AGB etc.),

- über Aktionen in den Filialen der Marke,

- über Papier-Bestellformulare, die an die Marke gesendet werden, 

- über die Kommunikation mit der Verbraucherabteilung der Marke,

- über die Anmeldung zum internationalen Treueprogramm der Marke, das zurzeit in der Schweiz, Spanien, Andorra, Frankreich, Luxemburg, Belgien und Portugal gilt. Zwischen den Mitgliedsunternehmen besteht eine Vereinbarung über die gemeinsame Verantwortung, deren Grundzüge hier  eingesehen werden können. Weitere Einzelheiten zum Treueprogramm können Sie den Allgemeinen Geschäftsbedingungen  für das Treueprogramm der Marke entnehmen. 

- über die Videoüberwachung in den Filialen der Marke. Seltener kann die Marke auch Kunden-/Interessentendaten sammeln, die automatisch über Konten bei Drittanbietern wie Facebook oder Google übermittelt werden.

Für diesen Fall wird der Kunde/Interessent darüber informiert, dass die vorliegende Richtlinie nicht gilt, und dass das Unternehmen nicht für die Praktiken Dritter in Bezug auf die Nutzung der Daten von Kunden/Interessenten verantwortlich ist.

Eine Vereinbarung über gemeinsame Verantwortung wird zwischen den Mitgliedsunternehmen abgeschlossen, deren Eckpunkte hier verfügbar sind.

Das Unternehmen verarbeitet die Daten von Kunden/Interessenten nur, um ihnen die verlangten Dienste leisten zu können und eine hochwertige Kunden-/Interessentenerfahrung zu ermöglichen.

a) Datenverarbeitungen auf der Rechtsgrundlage der Erfüllung eines Vertrags mit dem Kunden/Interessenten sind:
- die Erstellung und Verwaltung von «Kunden-/Interessentenkonten», Bearbeitung von Bestellungen und Lieferungen, Buchhaltung und Zahlungsabwicklung, Beschwerdemanagement und Kundenservice,
- die Veranstaltung von Gewinnspielen, Lotterien oder anderen Werbeaktionen seitens der Gruppe,
- die Verwaltung des Angebots «Bestandsmeldung».

b) Verarbeitungen auf der Rechtsgrundlage des legitimen Interesses der Unternehmensgruppe sind:
- Verwaltung von Geschäftsanbahnungen, Umfragen und Produkttests,
- Erstellung von Geschäftsstatistiken,
- Verwaltung der Videoüberwachung,
- Verwaltung der Liveshoppings, die auf der Website und/oder den sozialen Netzwerken der Marke ausgestrahlt werden können: eine Funktion zur Sperrung von Kunden/Interessenten mit böswilligen Absichten oder unangemessenem Verhalten oder beleidigenden, rassistischen, sexistischen und allgemein in den betreffenden Ländern als illegal geltenden Texten (Funktion «Moderation» im Chat),
- Sicherung der Website (Turnstile-Lösung von Cloudflare).

c) Verarbeitungen, deren Rechtsgrundlage die Einwilligung des Kunden/Interessenten ist, sind:
- die Verwaltung des Treueprogramms in der Schweiz.
- Geolokalisierung, um die vom Kunden/Interessenten aus nächstgelegene Filiale zu identifizieren. Diese Funktion ist nur anwendbar, wenn der Kunde/Interessent sie über sein Endgerät wie folgt aktiviert: (1) Für Firefox: Klicken Sie hier; (2) Für Internet Explorer: Gehen Sie zu «Internetoptionen», Tab «Datenschutz», markieren Sie «Websites niemals erlauben, nach Ihrem physischen Standort zu fragen»; (3) Für Chrome: Gehen Sie in der Navigationsleiste auf das Logo, klicken Sie auf das Dropdown-Menü «Lokalisierung» und wählen Sie eine der drei möglichen Optionen aus, 
- die Verwaltung von Newslettern.

d) Verarbeitungen auf der Rechtsgrundlage einer rechtlichen Verpflichtung haben folgende Zwecke: 
- Erfassung und Speicherung von Aktionen der Kunden/Interessenten bei der Nutzung der Websites und mobilen Anwendungen der Marke,
- Bearbeitung von Anträgen betroffener Personen auf Ausübung ihrer Rechte,
- Abwicklung von Vorgängen im Zusammenhang mit Unternehmensverkäufen.
 

Die nachstehende Tabelle zeigt die von der Unternehmensgruppe festgelegten Aufbewahrungsfristen in Verbindung mit den Zwecken der Datenverarbeitung.

Nach Ablauf dieser Fristen werden die Daten entweder gelöscht oder zu statistischen Zwecken anonymisiert.

Darüber hinaus werden die Daten im Falle von Vor- und Rechtsstreitigkeiten für die Dauer der Bearbeitung des Rechtsstreits aufbewahrt.

Es wird auch darauf hingewiesen, dass die Löschung oder Anonymisierung von Daten unumkehrbar und das Unternehmen danach nicht mehr in der Lage ist, diese Daten wiederherzustellen.
 

Das Unternehmen kann Daten übermitteln:

- an die zuständigen Stellen der Marke;

- an Dienstleister, Lieferanten und Unterverarbeiter des Unternehmens, wobei diese die Daten nur im Namen und gemäss den Anweisungen des Unternehmens und nur zur Ausführung der vom Kunden/Interessenten verlangten Dienstleistungen verwenden;

- an Dritte zum Zwecke der Betrugsbekämpfung und allgemein im Zusammenhang mit jeder strafrechtlich relevanten Aktivität oder auf Aufforderung von Gerichten oder Behörden.
 

Die Daten, die wir für die oben genannten Zwecke verarbeiten, werden in Frankreich gespeichert, können aber an Dienstleister, Unterverarbeiter oder Tochtergesellschaften des Unternehmens in Ländern ausserhalb der Europäischen Union weitergeleitet werden.

Diese Art der Übermittlung erfolgt gemäss und in Übereinstimmung mit den geltenden Rechtsvorschriften und in einem vertraglichen Rahmen, der die Eingriffs- und Sicherheitsbedingungen der Dienstleister festlegt.

Werden Daten an Dienstleister, Unterverarbeiter oder Tochtergesellschaften des Unternehmens ausserhalb der Europäischen Union in Länder übermittelt, die kein angemessenes Schutzniveau bieten, so stützt das Unternehmen diese Übermittlungen auf Standardvertragsklauseln, die dem Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer gemäss der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates entsprechen. Erfolgt die Übermittlung personenbezogener Daten in ein Drittland, dessen Bestimmungen von der Europäischen Kommission als gleichwertig anerkannt wurden, wie etwa die Schweiz, so erfolgt die Übermittlung auf der Grundlage eines Gleichwertigkeitsbeschlusses der Europäischen Kommission. Im Falle der Übermittlung an Dienstleister in den Vereinigten Staaten hat sich das Unternehmen zuvor vergewissert, dass die empfangende Organisation die Voraussetzungen erfüllt, um die Daten gemäss dem EU-US-Datenschutzrahmen (oder «Data Privacy Framework» für den Geltungsbereich der Zertifizierung zu empfangen. So nutzt das Unternehmen zum Beispiel für die Sicherung seiner Webseite die Lösung «Turnstile» des amerikanischen Anbieters Cloudflare
 

8.1. Recht auf Zugang und Kopien
Kunden/Interessenten haben das Recht, von der Marke eine Bestätigung darüber zu fordern, ob Daten über sie verarbeitet werden oder nicht.

Kunden/Interessenten haben das Recht, von der Marke eine Kopie ihrer Daten, die Gegenstand der Verarbeitung sind, zu verlangen. Werden jedoch weitere Kopien angefordert, so kann die Marke verlangen, dass die Kunden/Interessenten diese Kosten übernehmen.

Die Kunden/Interessenten werden darüber informiert, dass sich dieses Zugangsrecht nicht auf Informationen oder Daten bezieht, die vertraulich sind oder deren Weitergabe gesetzlich untersagt ist.
Das Zugangsrecht darf nicht missbräuchlich ausgeübt werden, das heisst es darf nicht regelmässig ausgeübt werden, nur um die Marke zu destabilisieren.

8.2. Recht auf Berichtigung und Aktualisierung
Das Unternehmen kommt Aktualisierungsanträgen automatisch nach, wenn es sich um Online-Änderungen von Feldern handelt, die technisch oder rechtlich auf schriftlichen Antrag der Person selbst aktualisiert werden können.

8.3. Recht auf Löschung
Das Recht auf Löschung von Kunden/Interessenten gilt nicht in den Fällen, in denen die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erfolgt.

Ansonsten können Kunden/Interessenten die Löschung ihrer Daten ausschliesslich in folgenden Fällen verlangen:
- Die Daten sind für die Zwecke, für die sie erfasst oder anderweitig verarbeitet wurden, nicht mehr erforderlich;
- Die betroffene Person widerruft die der Verarbeitung zugrunde liegende Einwilligung, und es gibt keine andere Rechtsgrundlage für die Verarbeitung;
- Die betroffene Person widerspricht einer Verarbeitung, die auf der Grundlage von legitimen Interessen der Marke erfolgt, und es liegen keine zwingenden legitimen Gründe für die Verarbeitung vor;
- Die betroffene Person widersetzt sich einer Verarbeitung ihrer Daten zu Werbezwecken, einschliesslich Profilerstellung;
- Die Daten wurden unrechtmässig verarbeitet.

8.4. Recht auf Einschränkung
Die Kunden/Interessenten werden darüber informiert, dass dieses Recht nicht ausgeübt werden kann, sofern die von der Marke durchgeführte Verarbeitung zulässig ist und alle erfassten Daten für die Erfüllung von Kaufverträgen erforderlich sind.

8.5. Recht auf Datenübertragbarkeit.
Das Unternehmen ermöglicht die Datenübertragbarkeit im speziellen Fall von Daten, die von Kunden/Interessenten selbst zur Verfügung gestellt werden, und dies für Online-Dienste, die von der Marke angeboten werden, und für Zwecke, die nur auf der Einwilligung von Personen und der Erfüllung eines Vertrages beruhen. In diesem Fall werden die Daten in einem strukturierten, gängigen und maschinenlesbaren Format übermittelt.

8.6. Widerspruchsrecht
Gemäss geltendem Datenschutzrecht haben Kunden/Interessenten das Recht, jederzeit aus Gründen, die sich aus ihrer besonderen Situation ergeben, der Verarbeitung ihrer Daten zu widersprechen, sofern die Rechtsgrundlage für die Verarbeitung ihrer Daten das legitime Interesse der Marke ist.

Im Falle der Ausübung eines solchen Widerspruchsrechts wird das Unternehmen die betreffenden Daten nicht mehr verarbeiten, es sei denn, es lägen nachweislich legitime und zwingende Gründe vor, die Verarbeitung fortzusetzen, und diese Gründe wögen schwerer als die Interessen, Rechte und Freiheiten der Kunden/Interessenten. Kunden/Interessenten haben auch das Recht, sich jeglicher kommerzieller Werbung per Post oder Telefon zu widersetzen, einschliesslich der Profilerstellung, sofern diese mit einer solchen Werbung verbunden ist. Im besonderen Fall der Werbung per elektronischer Post (E-Mail, SMS, Whatsapp) kann die Marke diese Methode anwenden, wenn die Interessenten zum Zeitpunkt der Sammlung ihre Einwilligung dazu erteilt haben oder wenn die Kunden/Interessenten zum «Kundenstamm» gehörten. Kunden/Interessenten können eine solche Werbung jederzeit ablehnen, indem sie entweder auf den Link in der E-Mail klicken oder die Einstellungen im «Kundenkonto» auf den Websites und mobilen Anwendungen der Marke ändern. Werbung per SMS kann man unterbinden, indem man «stop» an die Nummer sendet, die in der erhaltenen Nachricht angegeben ist.

Schliesslich können Kunden/Interessenten gemäss Artikel L. 223-2 des französischen Verbraucherschutzgesetzes Code de la consommation jederzeit gegen Telefonwerbung Einspruch erheben, indem sie sich kostenlos auf https://conso.bloctel.fr/ registrieren.

8.7. Automatisierte Entscheidung im Einzelfall
Das Unternehmen trifft keine automatisierten Einzelentscheidungen.

8.8. Durchsetzung von Rechten
Um ihre Rechte auszuüben, müssen Kunden/Interessenten sich an die zuständigen Stellen der Marke wenden, von denen ihre Daten gesammelt werden, und zwar auf eine der folgenden Arten:
(i)    durch Übermittlung des Anliegens über das Kontakt -Formular auf der Website,
(ii)    durch Schreiben an folgende E-Mail-Adresse: dpo@morgan.fr,
(iii)    durch Schreiben an folgende Postanschrift: - Service Client/Prospects; ZAC de La Moinerie, 10 impasse du Grand Jardin 35400 SAINT-MALO, unter Angabe der Marke. 

Gemäss geltendem Recht zum Schutz personenbezogener Daten werden die Kunden/Interessenten darüber informiert, dass es sich hierbei um ein individuelles Recht handelt, das nur von der betroffenen Person selbst in Bezug auf ihre eigenen Daten ausgeübt werden kann. Aus Sicherheitsgründen behalten sich die zuständigen Abteilungen der Marke daher vor, im Falle von Zweifeln an der Identität des Antragstellers die Vorlage von dessen aktuellem Personalausweis zu verlangen, um die Weitergabe vertraulicher Informationen über den Kunden/Interessenten an eine andere Person als den Kunden/Interessenten zu verhindern.

8.9. Recht auf Beschwerde bei der Aufsichtsbehörde
Kunden/Interessenten, die von der Verarbeitung ihrer Daten betroffen sind, werden hiermit über ihr Recht informiert, eine Beschwerde bei der Aufsichtsbehörde einzureichen: 

• In der Schweiz: beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, CH-3003 Bern.
 

Es obliegt dem Unternehmen, die technischen, physischen und logischen Sicherheitsmassnahmen festzulegen und zu ergreifen, die es für angemessen hält, um die Zerstörung, den Verlust, die unbefugte, ungewollt oder auf unrechtmässige Weise erfolgende Änderung oder Offenlegung von Daten zu verhindern.

Zu diesen Massnahmen gehören vor allem:
- die Verwaltung von Berechtigungen für den Zugriff auf Daten;
- interne Sicherungsmassnahmen;
- das Identifikationsverfahren;
- die Durchführung von Sicherheitsaudits und Penetrationstests;
- die Einführung einer Richtlinie zur Sicherheit von Informationssystemen;
- die Verabschiedung von Kontinuitäts- und Wiederherstellungsplänen;
- die Verwendung eines Sicherheitsprotokolls oder von Sicherheitslösungen.

Hierzu kann sich das Unternehmen von Dritten seiner Wahl unterstützen lassen, um in den von ihm für notwendig erachteten Abständen Schwachstellenprüfungen oder Eindringstests durchzuführen. In jedem Fall verpflichtet sich das Unternehmen, im Falle von Änderungen der Methoden zur Gewährleistung der Sicherheit und Vertraulichkeit der Daten, diese durch leistungsfähigere Methoden zu ersetzen. Änderungen dürfen nicht zu einer Verringerung des Sicherheitsniveaus führen. Sofern das Unternehmen Unterverarbeiter mit der Verarbeitung eines Teils oder der Gesamtheit der Daten beauftragt, verpflichtet es sich, seinen Unterverarbeitern vertraglich Sicherheitsgarantien zum Schutz dieser Daten aufzuerlegen, die durch technische Massnahmen und angemessene Personalressourcen zu gewährleisten sind.
 

Das Unternehmen verpflichtet sich, der französischen Datenschutzbehörde CNIL jede Datenverletzung, die die Marke erleidet, gemäss den einschlägigen Vorschriften zu melden.

Der Kunde/Interessent wird selbstverständlich über jede Datenverletzung informiert, die seine Rechte verletzen und ein Risiko für ihn darstellen könnte
 

Die Marke hat einen Datenschutzbeauftragten («DPO») für ihre französische Geschäftseinheit ernannt, dessen E-Mail-Adresse wie folgt lautet: dpo@morgan.fr

Um unsere Richtlinie zu Cookies und anderen Trackern einzusehen, klicken Sie hier.

Diese Richtlinie kann jederzeit geändert oder angepasst werden, falls sich die einschlägigen Vorschriften ändern. Jede neue Version dieser Richtlinie wird mit dem Datum der Aktualisierung auf der Website veröffentlicht.