Datenschutzerklärung | Normec VQZ

1. Allgemeine Informationen

Der Schutz personenbezogener Daten ist uns ein wichtiges Anliegen. Mit diesen Datenschutzhinweisen informieren wir Sie darüber, wie die Normec VQZ GmbH personenbezogene Daten im Rahmen der Durchführung von Kundenverfahren verarbeitet.

Die Verarbeitung erfolgt nach Maßgabe der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) sowie der jeweils anwendbaren gesetzlichen, vertraglichen, regulatorischen und akkreditierungsbezogenen Anforderungen.

Diese Hinweise gelten sowohl für Daten, die wir direkt von betroffenen Personen erhalten, als auch für Daten, die uns durch Kunden, Antragsteller oder sonstige am Verfahren beteiligte Stellen bereitgestellt werden.

4. Zwecke der Verarbeitung personenbezogener Daten

Wir verarbeiten personenbezogene Daten ausschließlich, soweit dies für unsere Tätigkeit als Zertifizierungs- und Präqualifizierungsstelle erforderlich ist.

Dies umfasst insbesondere:

• Bearbeitung von Anfragen, Anträgen, Angeboten und Verträgen
• Planung, Durchführung, Bewertung und Dokumentation von Zertifizierungsverfahren nach anerkannten Normen und Programmen (ISO 9001, ISO 13485, ISO 14001, ISO 45001, ISO 50001, SCC-VAZ, GOI)
• Durchführung und Dokumentation von Präqualifizierungsverfahren
• Planung, Durchführung und Nachbereitung von Audits, Bewertungen und Begutachtungen
• Kommunikation mit Kunden, Antragstellern, Ansprechpartnern und beteiligten Personen
• Prüfung von Nachweisen, Qualifikationen, Zuständigkeiten, Auditfeststellungen und Korrekturmaßnahmen
• Erstellung, Verwaltung, Überwachung und Nachweisführung zu Zertifikaten, Bescheinigungen und sonstigen Verfahrensergebnissen
• Erfüllung gesetzlicher, regulatorischer, vertraglicher und akkreditierungsbezogener Anforderungen
• interne Qualitätssicherung, Verfahrenssteuerung, Revision, Dokumentation und Verteidigung rechtlicher Ansprüche

5. Kategorien personenbezogener Daten

Abhängig vom jeweiligen Verfahren können insbesondere folgende Kategorien personenbezogener Daten verarbeitet werden:

• Name, berufliche Kontaktdaten und Kommunikationsdaten
• Unternehmenszugehörigkeit, Funktion, berufliche Rolle und Zuständigkeiten innerhalb einer Organisation
• Vertrags-, Kunden-, Antrags-, Angebots-, Abrechnungs- und Verfahrensdaten
• Auditinformationen, Bewertungsnachweise, Feststellungen, Maßnahmen, Verantwortlichkeiten und Freigaben
• Qualifikations-, Schulungs-, Befähigungs-, Unterweisungs- und berufliche Erfahrungsnachweise
• Teilnehmerdaten aus Audits, Besprechungen, Schulungen, Bewertungen und sonstigen verfahrensbezogenen Terminen
• Unterschriften, Namenskürzel, Rollen- und Berechtigungsnachweise sowie Angaben in Freigabe-, Prüf- und Dokumentationsunterlagen
• Kontaktdaten und verfahrensbezogene Angaben zu Auditoren, Sachverständigen, Dienstleistern, Lieferanten, Behörden und sonstigen beteiligten Stellen
• sonstige Nachweise, Unterlagen oder Dokumentationsinhalte, soweit sie für das jeweilige Verfahren erforderlich sind und Personenbezug enthalten

Wir fordern grundsätzlich keine besonderen Kategorien personenbezogener Daten gemäß Art. 9 DSGVO an. Im Einzelfall können solche Daten jedoch Bestandteil von Nachweisen sein, die uns durch Kunden, Antragsteller oder sonstige beteiligte Stellen bereitgestellt oder im Rahmen eines Audits eingesehen werden.

Dies kann insbesondere bei Verfahren mit Bezug zu ISO 45001 oder ISO 13485 relevant werden, etwa wenn Unfall-, Arbeitsschutz-, arbeitsmedizinische, Vigilanz-, Beschwerde-, Medizinprodukte- oder vergleichbare Unterlagen Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten enthalten.

Wir bitten darum, solche Daten soweit möglich vor Bereitstellung zu schwärzen, zu anonymisieren oder nur in dem Umfang zugänglich zu machen, der für das jeweilige Verfahren erforderlich ist. Soweit eine Verarbeitung besonderer Kategorien personenbezogener Daten im Einzelfall unvermeidbar ist, erfolgt sie ausschließlich im erforderlichen Umfang und nur, soweit hierfür eine einschlägige Ausnahme nach Art. 9 Abs. 2 DSGVO besteht.

7. Rechtsgrundlagen der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt je nach Zweck und Verfahrenssituation auf einer oder mehreren der folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Durchführung vorvertraglicher Maßnahmen oder zur Erfüllung vertraglicher Verpflichtungen gegenüber der betroffenen Person erforderlich ist
• Art. 6 Abs. 1 lit. c DSGVO, soweit die Verarbeitung zur Erfüllung gesetzlicher Pflichten erforderlich ist, insbesondere im Zusammenhang mit handels-, steuer-, regulatorischen oder sonstigen gesetzlichen Aufbewahrungs- und Nachweispflichten
• Art. 6 Abs. 1 lit. f DSGVO, soweit die Verarbeitung zur Wahrung berechtigter Interessen der Normec VQZ GmbH, unserer Kunden, Antragsteller oder Dritter erforderlich ist und keine überwiegenden Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person entgegenstehen

Unsere berechtigten Interessen bestehen insbesondere in der ordnungsgemäßen Organisation, Durchführung, Bewertung und Dokumentation von Zertifizierungs- und Präqualifizierungsverfahren, der Kommunikation mit den beteiligten Stellen, der Qualitätssicherung, der Erfüllung von Akkreditierungs- und Nachweisanforderungen sowie der Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche.

Soweit im Einzelfall besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO verarbeitet werden, erfolgt dies nur, wenn neben einer Rechtsgrundlage nach Art. 6 DSGVO auch eine einschlägige Ausnahme nach Art. 9 Abs. 2 DSGVO vorliegt.

8. Empfänger personenbezogener Daten

Eine Weitergabe personenbezogener Daten erfolgt ausschließlich, soweit dies für die genannten Zwecke erforderlich ist, eine gesetzliche oder vertragliche Grundlage besteht oder eine verfahrensbezogene Offenlegung notwendig ist.

Empfänger oder Kategorien von Empfängern können insbesondere sein:

• interne zuständige Stellen der Normec VQZ GmbH
• eingesetzte Auditoren, Prüfer, Fachexperten und Sachverständige
• Dienstleister für IT, Kommunikation, Betrieb, Verwaltung, Archivierung und sonstige unterstützende Tätigkeiten
• Unternehmen innerhalb der Normec-Gruppe, soweit dies für die Verfahrensdurchführung, Verwaltung oder Qualitätssicherung erforderlich ist
• Akkreditierungsstellen und Begutachter
• zuständige Behörden, öffentliche Stellen, Gerichte oder sonstige gesetzlich vorgesehene Stellen
• Kunden, Antragsteller oder sonstige am jeweiligen Zertifizierungs- oder Präqualifizierungsverfahren beteiligte Stellen, soweit dies für das Verfahren erforderlich ist

Dienstleister werden entsprechend den datenschutzrechtlichen Anforderungen verpflichtet. Soweit Dienstleister personenbezogene Daten im Auftrag verarbeiten, erfolgt dies auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO.

10. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für die genannten Zwecke erforderlich ist oder gesetzliche, vertragliche, regulatorische, akkreditierungsbezogene oder verfahrensbezogene Aufbewahrungs- und Nachweispflichten bestehen.

Die konkrete Speicherdauer richtet sich insbesondere nach folgenden Kriterien:

• Dauer des jeweiligen Vertrags-, Zertifizierungs-, Präqualifizierungs- oder sonstigen Kundenverfahrens
• gesetzliche Aufbewahrungspflichten, insbesondere handels- und steuerrechtliche Vorgaben
• vertragliche Anforderungen und Verjährungsfristen
• Vorgaben aus Normen, Akkreditierungen, Zertifizierungsprogrammen und sonstigen Verfahrensanforderungen
• Nachweis-, Dokumentations-, Prüfungs- und Qualitätssicherungspflichten
• Erforderlichkeit zur Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche

Nach Wegfall des Speicherzwecks und Ablauf bestehender Aufbewahrungspflichten werden die Daten gelöscht oder, soweit eine Löschung nicht möglich oder nicht erforderlich ist, gesperrt bzw. in der Verarbeitung eingeschränkt.

11. Verpflichtung zur Bereitstellung personenbezogener Daten

Die Bereitstellung bestimmter personenbezogener Daten ist erforderlich, damit wir Kundenverfahren prüfen, planen, durchführen, dokumentieren und abschließen können.

Je nach Verfahren kann die Bereitstellung vertraglich erforderlich sein oder sich aus gesetzlichen, regulatorischen, normativen, akkreditierungsbezogenen oder sonstigen verfahrensbezogenen Anforderungen ergeben.

Ohne die erforderlichen Daten kann eine Durchführung, Bewertung oder Fortführung des jeweiligen Verfahrens unter Umständen nicht oder nur eingeschränkt erfolgen.

13. Widerspruchsrecht nach Art. 21 DSGVO

Soweit wir personenbezogene Daten auf Grundlage berechtigter Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben betroffene Personen das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen.

Wir verarbeiten die betroffenen personenbezogenen Daten dann nicht mehr auf dieser Grundlage, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche.

14. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO findet nicht statt.

Stand: 16.06.2026