Datenschutzerklärung der FAST Search Luxembourg

1. Identität der Verantwortlichen

Diese Datenschutzerklärung wird Ihnen von der FAST Search Luxembourg S.à r.l. (nachfolgend «FAST Search Luxembourg») zur Verfügung gestellt, einer Gesellschaft mit beschränkter Haftung, eingetragen im Handels- und Gesellschaftsregister Luxemburg unter der Nummer RCS Luxembourg B310919, mit Sitz in 9, Rue de Laboratoire, L-1911 Luxembourg, in ihrer Eigenschaft als Verantwortliche für die im Rahmen ihrer Tätigkeiten der genealogischen Recherche, der Ermittlung nachrichtenloser und nicht beanspruchter Vermögenswerte, der Überprüfung von Personen oder Institutionen sowie der Hintergrundüberprüfung erhobenen personenbezogenen Daten.

Datenschutzbeauftragte(r) (DPO): FAST Search Luxembourg hat einen externen Datenschutzbeauftragten bestellt, die Gesellschaft LuxGap Sàrl (2, Rue de l'École, L-8376 Kahler, Luxemburg), erreichbar unter der E-Mail-Adresse dpo@luxgap.com. Der DPO überwacht die Einhaltung der anwendbaren Datenschutzvorschriften und ist Ansprechpartner für sämtliche Fragen zu den in dieser Erklärung beschriebenen Verarbeitungen.

2. Erhobene personenbezogene Daten

FAST Search Luxembourg achtet darauf, nur die für die nachstehend beschriebenen Zwecke unbedingt erforderlichen personenbezogenen Daten zu erheben. Diese Daten werden direkt bei den betroffenen Personen, bei ihrem Auftraggeber (Bank, Versicherungsgesellschaft, Notariat, Unternehmen, Privatperson) oder unter Rückgriff auf öffentliche oder private Quellen erhoben (Zivilstandsregister, Handelsregister, genealogische Datenbanken, Sanktions- und PEP-Datenbanken, Presse und offene Quellen). Je nach Art des erteilten Auftrags können folgende Datenkategorien verarbeitet werden:

• Identifikationsdaten: Anrede, Name, Vorname(n), Geburtsdatum und -ort, Staatsangehörigkeit, Abstammung und Verwandtschaftsverhältnisse.
• Kontaktdaten: Postanschrift, Telefonnummer, E-Mail-Adresse.
• Standortdaten: letzte bekannte Adresse, mutmasslicher Wohnort, im Zusammenhang mit der Suche nach vermissten Personen oder Anspruchsberechtigten.
• Belegdokumente: Kopie eines Identitätsdokuments, Zivilstandsurkunden, notarielle Urkunden, Erbscheine, Lebenslauf, Diplome und berufliche Bescheinigungen.
• Wirtschaftliche und finanzielle Daten: Referenz und Art eines Vermögenswerts (Bankkonto, Schliessfach, Scheck), Bankverbindung, Bonitätsangaben, vermögens- oder erbschaftsbezogene Daten.
• Berufliche Daten: Funktion, Mandate, Beteiligungen, Geschäftsbeziehungen, beruflicher Werdegang, Tätigkeitsgebiete.
• Besondere Kategorien und hochsensible Daten: Abstammungsdaten, die indirekt eine Herkunft, sensible Familienverhältnisse oder einen Gesundheitszustand offenbaren können; Daten zu strafrechtlichen Verurteilungen, Straftaten oder gerichtlichen Verfahren; Status als politisch exponierte Person (PEP) oder Übereinstimmung mit internationalen Sanktionslisten. Diese Kategorien unterliegen einer erhöhten Sorgfalt und einem eingeschränkten Zugriff.

Aus offenen Quellen erhobene Daten (OSINT, soziale Medien, Presse) können nebenbei besondere Datenkategorien offenbaren (Meinungen, Gesundheit, Herkunft) betreffend die gesuchte Person oder deren Umfeld. FAST Search Luxembourg verpflichtet sich, nur die für den verfolgten Zweck strikt relevanten Elemente aufzubewahren und zu verwenden und jede nicht relevante sensible Angabe zu verwerfen, sobald sie identifiziert wird.

3. Zwecke der Verarbeitung und Rechtsgrundlagen

FAST Search Luxembourg verarbeitet personenbezogene Daten für festgelegte, ausdrückliche und legitime Zwecke im Rahmen der ihr erteilten Aufträge. Die wichtigsten Zwecke und anwendbaren Rechtsgrundlagen sind:

• Bearbeitung und Durchführung des Kundenmandats: Der Eingang der Anfrage, die Eingrenzung des Falls, die Erstellung des Abschlussberichts und dessen Übermittlung an den Auftraggeber beruhen auf der Erfüllung des mit dem Auftraggeber geschlossenen Vertrags oder auf vorvertraglichen, auf dessen Wunsch getroffenen Massnahmen. Ohne diese Daten könnte FAST Search Luxembourg weder den Fall eröffnen noch die Rechercheergebnisse liefern.
• Genealogische Recherche und Identifikation von Anspruchsberechtigten: Die Rekonstruktion eines Stammbaums sowie die Identifikation potenzieller Erben oder Begünstigter beruhen auf dem berechtigten Interesse von FAST Search Luxembourg und ihres Auftraggebers, die rechtmässigen Anspruchsberechtigten eines Vermögens ausfindig zu machen. Für diese Verarbeitung wird eine Interessenabwägung (LIA) durchgeführt. In diesem Rahmen kann FAST Search Luxembourg gehalten sein, direkt mit Angehörigen und Erben verstorbener Personen Kontakt aufzunehmen, um die zur Identifikation der Anspruchsberechtigten und zum erfolgreichen Abschluss des Mandats erforderlichen Informationen und Belege einzuholen.
• Recherche über offene Quellen (OSINT) und Einsatz lokaler Korrespondenten: Die Lokalisierung einer Person mit unbekannter Adresse sowie der Einsatz lokaler Korrespondenten oder Ermittler im Ausland für Vor-Ort-Prüfungen beruhen ebenfalls auf dem berechtigten Interesse von FAST Search Luxembourg, vorbehältlich einer dokumentierten Verhältnismässigkeitsprüfung (LIA).
• Abgleich mit Sanktionslisten und politisch exponierten Personen: Die Überprüfung des Namens einer Person oder Institution anhand internationaler Sanktionslisten und PEP-Datenbanken erfolgt, um den Sorgfaltspflichten des Auftraggebers von FAST Search Luxembourg (Finanzinstitut, Versicherung, ein der Geldwäschebekämpfung unterliegendes Unternehmen) nachzukommen. Diese Rechtsgrundlage ist im Einzelfall je nach regulatorischem Status des Auftraggebers zu bestätigen.
• Analyse und Bewertung des Risikoniveaus (Profiling): Die Zusammenfassung und Gewichtung der erhobenen Elemente zur Ermittlung eines Gesamtrisikoniveaus stellt eine Profiling-Massnahme im Sinne von Artikel 4 Nummer 4 der DSGVO dar. Diese Verarbeitung beruht auf dem berechtigten Interesse von FAST Search Luxembourg und ihres Auftraggebers, unterliegt einer Interessenabwägung und kann eine Datenschutz-Folgenabschätzung (DSFA) erfordern, sofern sensible oder gerichtliche Daten betroffen sind.
• Überprüfung von Identität, Dokumenten und Referenzen: Die Kontrolle der Echtheit von Identitätsdokumenten, Diplomen, Bescheinigungen und beruflichen Referenzen beruht auf der Einwilligung der betroffenen Person (Kandidatin/Kandidat, Angestellte(r), Vertragspartner), sofern diese ihre Unterlagen selbst übermittelt oder ihre Referenzpersonen benennt.
• Gerichtliche und finanzielle Überprüfung: Die Kontrolle des Strafregisters und der finanziellen Situation einer Person beruht auf der ausdrücklichen Einwilligung der betroffenen Person, im Rahmen der geltenden gesetzlichen Grenzen und in direktem Zusammenhang mit der betreffenden Stelle, dem Vertrag oder der Geschäftsbeziehung.
• Archivierung der Recherche- und Prüfungsakten: Die Aufbewahrung der vollständigen Akte (Massnahmen, konsultierte Quellen, Korrespondenz, Abschlussbericht) erfüllt eine gesetzliche Nachweis- und Sorgfaltspflicht sowie das berechtigte Interesse von FAST Search Luxembourg, die erbrachten Leistungen im Streitfall belegen zu können.
• Administrative Verwaltung und Fakturierung des Mandats: Die Rechnungsstellung und die buchhalterische Verwaltung der Beziehung zum Auftraggeber beruhen auf der Vertragserfüllung sowie auf den durch das luxemburgische Handelsgesetzbuch vorgeschriebenen gesetzlichen Aufbewahrungspflichten für Buchhaltungsunterlagen.

FAST Search Luxembourg verpflichtet sich in jedem Fall, die Daten nicht in einer mit den ursprünglichen Erhebungszwecken unvereinbaren Weise weiterzuverarbeiten. Jeder in dieser Erklärung nicht vorgesehene neue Zweck wird den betroffenen Personen vorab mitgeteilt und erfordert gegebenenfalls die Einholung ihrer Einwilligung.

• Information der betroffenen Personen bei indirekter Erhebung: Werden Daten beim Auftraggeber, aus offenen Quellen oder bei Dritten statt bei der betroffenen Person selbst erhoben, bemüht sich FAST Search Luxembourg, ihrer Informationspflicht gemäss Artikel 14 DSGVO nachzukommen. In bestimmten Fällen kann diese Information aufgeschoben, eingeschränkt oder unterlassen werden, wenn sie sich als unmöglich erweist oder einen unverhältnismässigen Aufwand erfordern würde, oder wenn sie das Ziel der laufenden Recherche oder Überprüfung gefährden könnte (z. B. vor der endgültigen Identifikation eines Anspruchsberechtigten oder dem Abschluss einer Reputationsprüfung). FAST Search Luxembourg dokumentiert die Gründe für jede Abweichung von diesem Grundsatz.

4. Aufbewahrungsdauer der Daten

FAST Search Luxembourg bewahrt personenbezogene Daten nur so lange auf, wie es für die Zwecke, für die sie erhoben wurden, unbedingt erforderlich ist, vorbehältlich der geltenden gesetzlichen Aufbewahrungspflichten. Zur Orientierung, wie in den internen Verarbeitungsverzeichnissen festgehalten:

• Akten betreffend Erben und vermisste Personen: aufbewahrt für die Dauer des Mandats, anschliessend grundsätzlich 10 Jahre ab Ende des Mandats archiviert. Die Erbschaftsklage unterliegt nach luxemburgischem Recht der ordentlichen 30-jährigen Verjährungsfrist gemäss Artikel 2262 des Zivilgesetzbuchs. Diese 30-jährige Frist darf jedoch nicht standardmässig angewendet werden; gemäss dem Grundsatz der Datenminimierung ist sie nur gerechtfertigt, wenn mit dem Auftraggeber ein Risiko einer verspäteten Anfechtung konkret dokumentiert wurde.
• Akten zu nachrichtenlosen Vermögenswerten (Konten, Schliessfächer): Informationen und Dokumente zum Konto (Identifikation der Inhaberin/des Inhabers, letzte Transaktion, Saldo vor Hinterlegung) werden für die gesamte Dauer der Hinterlegung inaktiver Bankvermögen aufbewahrt, danach weitere 5 Jahre nach deren Ende (Anhang 3 des Gesetzes). FAST Search Luxembourg richtet die Aufbewahrung ihrer eigenen Akte an dieser Frist aus, sofern das Mandat dies vorsieht.
• Due-Diligence- und Hintergrundprüfungsakten: Sorgfaltsdokumente gegenüber der Kundschaft werden 5 Jahre nach Ende der Geschäftsbeziehung oder der betreffenden Transaktion aufbewahrt, verlängerbar um weitere 5 Jahre (maximal 10 Jahre), sofern erforderlich und dokumentiert.
• Kopien von Identitätsdokumenten und Belegen: werden gelöscht, sobald die entsprechende Prüfung durchgeführt wurde, sofern ihre Aufbewahrung nicht aufgrund eines der obigen Punkte erforderlich ist.
• Buchhaltungs- und Rechnungsunterlagen: aufbewahrt für 10 Jahre ab Abschluss des betreffenden Geschäftsjahres.

5. Empfänger der Daten

Der Zugriff auf personenbezogene Daten ist strikt auf Personen und Stellen beschränkt, die diese zur Erfüllung ihrer Aufgaben benötigen. FAST Search Luxembourg verkauft oder vermietet personenbezogene Daten nicht zu kommerziellen Zwecken an Dritte.

• Innerhalb von FAST Search Luxembourg: die mit dem betreffenden Fall betrauten Mitarbeitenden, gemäss Berechtigungsregeln, die den Zugriff auf die für ihre Funktion erforderlichen Daten beschränken.
• Der Auftraggeber: Bank, Versicherung, Notariat, Unternehmen oder Privatperson, von der die Anfrage ausgeht, Empfänger des Abschlussberichts und gegebenenfalls bestimmter Zwischendaten.
• Lokale Korrespondenten und Ermittler im Ausland: Partner, die Vor-Ort-Prüfungen durchführen, wenn sich die gesuchte Person ausserhalb von Luxemburg oder der Europäischen Union befindet. Diese Dienstleister erhalten nur Zugriff auf die für ihren Auftrag strikt erforderlichen Daten.
• Anbieter von Sanktions- und PEP-Datenbanken: technische Empfänger im Rahmen von Abgleichsvorgängen.
• IT-Dienstleister: Auftragsverarbeiter, die das Hosting, die Wartung oder die Sicherheit der Informationssysteme von FAST Search Luxembourg gewährleisten und vertraglich gemäss Artikel 28 DSGVO gebunden sind.
• Externe HR-Dienstleister: gegebenenfalls Lohnbuchhaltungs- oder Bewerbungsverwaltungsdienstleister für die administrative Personalverwaltung.
• Externe Berater: Anwälte, Prüfer oder Wirtschaftsprüfer, sofern erforderlich zur Verteidigung der Rechte von FAST Search Luxembourg oder zur Einhaltung von Prüfungspflichten.

Bei einer rechtlichen Anordnung einer zuständigen Justiz- oder Verwaltungsbehörde kann FAST Search Luxembourg verpflichtet sein, bestimmte Daten im gesetzlich vorgesehenen Rahmen offenzulegen. Im Falle einer Datenschutzverletzung, die voraussichtlich ein Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt, wird die Commission Nationale pour la Protection des Données (CNPD) gemäss Artikel 33 DSGVO innerhalb von 72 Stunden benachrichtigt.

6. Datenübermittlungen ausserhalb der Europäischen Union

Bestimmte Tätigkeiten von FAST Search Luxembourg beinhalten den Einsatz von Korrespondenten oder Ermittlern ausserhalb der Europäischen Union, insbesondere wenn sich die gesuchte Person im Ausland befindet. Solche Verarbeitungen können zu einer Datenübermittlung ausserhalb der EU/des EWR führen.

Erfolgt eine solche Übermittlung in ein von der Europäischen Kommission als angemessen anerkanntes Land (Angemessenheitsbeschluss), ist keine zusätzliche Garantie erforderlich. In anderen Fällen stellt FAST Search Luxembourg sicher, dass die Übermittlung durch geeignete Garantien im Sinne von Kapitel V der DSGVO abgesichert ist, insbesondere durch die von der Europäischen Kommission angenommenen Standardvertragsklauseln, ergänzt, sofern erforderlich, durch zusätzliche Massnahmen.

7. Ihre Rechte als betroffene Person

Gemäss der DSGVO verfügt jede betroffene Person über folgende Rechte, ausübbar unter den nachstehend beschriebenen Bedingungen:

• Auskunftsrecht: Bestätigung erhalten, dass sie betreffende Daten verarbeitet werden, sowie eine Kopie davon zusammen mit den Informationen zu dieser Verarbeitung erhalten.
• Recht auf Berichtigung: Berichtigung unrichtiger oder unvollständiger Daten verlangen.
• Recht auf Löschung: Löschung ihrer Daten verlangen, wenn diese für die verfolgten Zwecke nicht mehr erforderlich sind, vorbehältlich gesetzlicher Aufbewahrungspflichten oder der Notwendigkeit, bestimmte Daten zur Feststellung, Ausübung oder Verteidigung von Rechtsansprüchen aufzubewahren.
• Widerspruchsrecht: aus Gründen, die sich aus ihrer besonderen Situation ergeben, einer auf dem berechtigten Interesse von FAST Search Luxembourg beruhenden Verarbeitung widersprechen, insbesondere Profiling- oder Recherchemassnahmen über offene Quellen. FAST Search Luxembourg kann diesen Widerspruch ablehnen, wenn sie das Vorliegen zwingender berechtigter Gründe nachweist, insbesondere im Zusammenhang mit dem laufenden Mandat.
• Recht auf Einschränkung der Verarbeitung: die vorübergehende Aussetzung einer Verarbeitung verlangen, beispielsweise während die Richtigkeit bestrittener Daten überprüft wird.
• Recht auf Datenübertragbarkeit: für direkt bereitgestellte und auf Grundlage einer Einwilligung oder eines Vertrags verarbeitete Daten deren Rückgabe in einem strukturierten, maschinenlesbaren Format verlangen.

Diese Rechte können durch Kontaktaufnahme mit dem DPO von FAST Search Luxembourg unter den in Abschnitt 1 genannten Kontaktdaten ausgeübt werden. FAST Search Luxembourg kann vor Bearbeitung des Antrags einen Identitätsnachweis der antragstellenden Person verlangen. Eine Antwort erfolgt innerhalb der von der DSGVO vorgesehenen Frist von einem Monat, verlängerbar um zwei Monate bei besonderer Komplexität, mit vorheriger Information der antragstellenden Person.

Angesichts der Art der Tätigkeiten von FAST Search Luxembourg (laufende Ermittlungen, nicht abgeschlossene Akten) kann die Ausübung bestimmter Rechte aufgeschoben oder teilweise eingeschränkt werden, solange die Offenlegung von Informationen das Ziel des laufenden Mandats gefährden oder die Rechte Dritter beeinträchtigen könnte. Die Gründe für eine vollständige oder teilweise Ablehnung werden der antragstellenden Person mitgeteilt.

8. Datensicherheit

FAST Search Luxembourg setzt gemäss Artikel 32 DSGVO technische und organisatorische Sicherheitsmassnahmen um, die den mit ihren Verarbeitungen verbundenen Risiken angemessen sind, insbesondere:

• eine individualisierte und abgeschottete Zugriffskontrolle, die den Datenzugriff auf den strikten Bedarf jeder/jedes Mitarbeitenden beschränkt;
• die Verschlüsselung und Absicherung der Übermittlungskanäle für den Dokumentenaustausch mit Auftraggebern und Korrespondenten;
• Vertraulichkeitsklauseln für Personal und externe Korrespondenten mit Zugriff auf personenbezogene Daten;
• eine sichere Aufbewahrung von und einen eingeschränkten Zugriff auf Identitätsdokumente und sensible Unterlagen;
• Verfahren zur Datensicherung und -wiederherstellung;
• ein internes Verfahren zur Behandlung von Datenschutzverletzungen, das eine Benachrichtigung der CNPD innerhalb von 72 Stunden sowie, sofern erforderlich, eine Information der betroffenen Personen bei hohem Risiko gemäss den Artikeln 33 und 34 DSGVO vorsieht.

9. Auftragsverarbeitung und geteilte Verantwortung

Setzt FAST Search Luxembourg Auftragsverarbeiter zur Verarbeitung personenbezogener Daten in ihrem Namen ein (IT-Dienstleister, als Auftragsverarbeiter tätige lokale Korrespondenten, HR-Dienstleister), werden mit diesen Verträge gemäss Artikel 28 DSGVO abgeschlossen. Diese Verträge verpflichten die Auftragsverarbeiter:

• die Daten nur auf dokumentierte Weisung von FAST Search Luxembourg zu verarbeiten;
• die Vertraulichkeit der Daten zu gewährleisten;
• angemessene Sicherheitsmassnahmen umzusetzen;
• keine weiteren Auftragsverarbeiter ohne vorherige Genehmigung einzusetzen;
• FAST Search Luxembourg bei der Einhaltung der Rechte der betroffenen Personen zu unterstützen;
• die Daten bei Vertragsende zu löschen oder zurückzugeben.

10. Daten zu Mitarbeitenden und Bewerbenden (Zusammenfassung)

Im Rahmen der Verwaltung ihres Personals und ihrer Rekrutierungen verarbeitet FAST Search Luxembourg auch personenbezogene Daten ihrer Mitarbeitenden und Bewerberinnen und Bewerber. Diese Verarbeitungen sind Gegenstand eines eigenen, den Mitarbeitenden und Bewerbenden direkt ausgehändigten Datenschutzhinweises. Diese Zusammenfassung nennt die wichtigsten Punkte:

• Administrative Verwaltung und Lohnbuchhaltung: Identität, Kontaktdaten, Bankverbindung, Steuer- und Sozialversicherungsnummer, ausgeübte Funktion. Rechtsgrundlage: Erfüllung des Arbeitsvertrags und gesetzliche Pflichten der Arbeitgeberin. Aufbewahrung: in der Regel 10 Jahre.
• Medizinische Überwachung, Abwesenheiten und Arbeitsunfälle: Identität, Eignungsvermerk, Abwesenheitsbegründung, Unfallumstände. Rechtsgrundlage: gesetzliche Pflicht der Arbeitgeberin. Aufbewahrung: Dauer des Arbeitsverhältnisses oder 10 Jahre je nach Fall.
• Leistungsbeurteilungen, Weiterbildung und Disziplinarmassnahmen: Identität, Beurteilungsergebnisse, Elemente eines Disziplinarverfahrens. Rechtsgrundlage: berechtigtes Interesse der Arbeitgeberin. Aufbewahrung: Dauer des Arbeitsverhältnisses, bzw. 3 Jahre für Disziplinarmassnahmen.
• Überprüfung des Strafregisters von Mitarbeitenden: Identität, ausgeübte Funktion. Rechtsgrundlage: gesetzliche Pflicht im Zusammenhang mit der Eignung für die Stelle. Diese Daten werden über die Prüfung hinaus nicht aufbewahrt.
• Bewerbungen: Identität, Kontaktdaten, beruflicher Werdegang, Lebenslauf. Rechtsgrundlage: vorvertragliche Massnahmen. Aufbewahrung: sofortige Löschung bei erfolgloser Bewerbung, oder bis zu 2 Jahre bei Einwilligung der bewerbenden Person in eine verlängerte Aufbewahrung.
• Bildrechte der Mitarbeitenden: Verarbeitung ausschliesslich auf Grundlage der jederzeit widerrufbaren Einwilligung der/des Mitarbeitenden.

Zu den Empfängern dieser Daten zählen die Personalabteilung, die Geschäftsleitung sowie die externen HR-Dienstleister von FAST Search Luxembourg (insbesondere für Lohnbuchhaltung und Bewerbungsverwaltung), die vertraglichen Vertraulichkeitspflichten unterliegen. Mitarbeitende und Bewerbende verfügen über dieselben Rechte wie in Abschnitt 7 dieser Erklärung beschrieben, auszuüben gegenüber dem DPO von FAST Search Luxembourg.

11. Änderungen der Datenschutzerklärung

Diese Datenschutzerklärung kann angepasst werden, um Änderungen der Verarbeitungspraktiken von FAST Search Luxembourg oder rechtliche und regulatorische Änderungen widerzuspiegeln. Im Falle einer wesentlichen Aktualisierung informiert FAST Search Luxembourg die betroffenen Personen über geeignete Kanäle. Es wird empfohlen, dieses Dokument regelmässig zu konsultieren, um über dessen jeweils aktuelle Fassung informiert zu sein.