Für die Umsetzung der Datenschutzvorschriften ist der Vorstand der jeweiligen Gesellschaft verantwortlich. Bei A1 Österreich unterstützt die Organisationseinheit Data Privacy, in anderen A1 Gesellschaften die Datenschutzbeauftragten, gemeinsam mit dem Fachbereich Recht das Management. Den Datenschutzbeauftragten obliegen Pflichten gemäß der nationalen Gesetzgebung.

Zur operativen Umsetzung der Datenschutzanforderungen hat bei A1 Österreich jeder Fachbereich eine(n) Datenschutz-Koordinator:in zu nominieren – als Ansprechperson für alle Belange des Datenschutzes und der Informationssicherheit im Fachbereich. 

Nutzerdaten betreffende Technologien und Praktiken der A1 Gesellschaften werden hinsichtlich des verbundenen Datenschutzrisikos beurteilt und geprüft, etwa im Rahmen von ISO-Audits, internen Datenschutzkontrollen entsprechend lokalen Vorschriften usw. Solche Kontrollen und Prüfungen werden dementsprechend regelmäßig durchgeführt.

Im Code of Conduct, der für die gesamt e A1 Group Anwendung findet, stellen Datenschutz und Informationssicherheit wesentliche Grundsätze für die Handlungen von Mitarbeiter:innen dar. Der Schutz der Privatsphäre und die damit verbundene Achtung der Menschenrechte von Kund:innen, Mitarbeiter:innen, Aktionär:innen, Lieferant:innen und Vertriebspartner:innen sind im Code of Conduct der A1 Group verankerte Leitprinzipien.

Die Vertragspartner:innen der Unternehmensgruppe sind zur Einhaltung der im Code of Conduct der A1 Group geregelten Grundsätze und somit auch zur Achtung der Menschenrechte und Einhaltung des Datenschutzes verpflichtet.

Der Code of Conduct ist integraler Bestandteil der Beziehung zu Vertragspartner:innen und wird durch die jeweiligen Vereinbarungen zur Regelung von Datenschutzaspekten ergänzt. Es erfolgen regelmäßige Beurteilungen, um den bestmöglichen Schutz von Rechten und Freiheiten sowie die Achtung der Menschenrechte zu gewährleisten. Dies gilt beispielsweise im Zusammenhang mit Whistleblowing, um die Vertraulichkeit von Informationen und personenbezogenen Daten zu wahren und gleichzeitig negative Folgen für Hinweisgeber:innen zu vermeiden.

Die A1 Group führte die Group Data Governance Policy ein, die vom Vorstand der Unternehmensgruppe genehmigt wurde. Sie ist das Ergebnis einer Kombination aus Anforderungen und Auslegungen mit Blick auf die erfolgreiche EU-weite Umsetzung der Datenschutz-Grundverordnung (DSGVO) sowie verschiedener anderer Datenschutzvorschriften.

Die Group Data Governance Policy ist in Bezug auf die Verarbeitung personenbezogener Daten für alle A1 Gesellschaften verbindlich. Dieses Dokument sieht eine Vereinheitlichung der für die Gesellschaften von A1 verbindlichen Verpflichtungen vor. Die Group Data Governance Policy dient der A1 Group als Mittel der Selbstkontrolle. Wenn die Gesellschaften von A1 als für die Daten Verantwortliche oder als Auftragsverarbeiter fungieren, gilt sie als Compliance-Nachweis. Dies insbesondere im Hinblick auf die Identifizierung der mit der Verarbeitung verbundenen Risiken, die Einschätzung bezüglich Ursache, Art, Wahrscheinlichkeit und Schweregrad der Risiken. Entsprechende Maßnahmen sind regelmäßig zu überprüfen und auf Grundlage neuer Informationen zu aktualisieren.

Die ordnungsgemäße Umsetzung der Inhalte und Best Practices aus der Group Data Governance Policy (und aus dem begleitenden Handbuch) unterstützt die A1 Konzerngesellschaften dabei, die Implementierungsanforderungen zu erfüllen und die Einhaltung der DSGVO unter Beweis zu stellen. Wichtig zu beachten ist, dass die internationale Rechtslage dynamisch ist und ständigen Veränderungen unterliegt. Durch Anwendung der Group Data Governance Policy kommen die Gesellschaften der A1 Group allerdings ihrer treuhänderischen Sorgfaltspflicht nach. 

Zusätzlich nimmt die A1 Group in Übereinstimmung mit den Zielen der Group Data Governance Policy (Sensibilisierung, individuelle Verantwortung, Struktur und Risikominimierung) in gutem Glauben entsprechende Änderungen am Handbuch für die Group Data Privacy Governance vor, um den jeweils geltenden Vorschriften zu entsprechen.

Alle betroffenen Personen (einschließlich Mitarbeiter: innen, Kund:innen usw.) werden über die Datenschutzerklärung, die auf den jeweiligen Websites der A1 Gesellschaften veröffentlicht wird, ordnungsgemäß über die Details der Verarbeitung ihrer personenbezogenen Daten und ihre Möglichkeit informiert, bei der jeweiligen Gesellschaft datenschutzbezogene Fragen, Bedenken oder Anliegen zur Ausübung ihrer diesbezüglichen Rechte vorzubringen.

Jede A1 Konzerngesellschaft verfügt über Datenschutzrichtlinien, die die Verarbeitung personenbezogener Daten im Einklang mit geltenden Gesetzen und die technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten regeln.

Darüber hinaus sind die Konzerngesellschaften unter Berücksichtigung lokal geltender regulatorischer Vorschriften dazu verpflichtet, auch Dritten (Auftragnehmern), die personenbezogene Daten verarbeiten (in der Funktion als Auftragsverarbeiter), durch Abschluss von Vereinbarungen über die Datenverarbeitung solche technischen und organisatorischen Maßnahmen aufzuerlegen. So kann sichergestellt werden, dass Dritte, die personenbezogene Daten im Auftrag der Gesellschaften von A1 entsprechend den erteilten Anweisungen verarbeiten, strenge technische, organisatorische und vertragliche Maßnahmen zum Schutz der personenbezogenen Daten befolgen.