DSGVO-Politik

• die Tätigkeiten für die Verarbeitung personenbezogener Daten, die Kategorien Subjekte von Daten, in Hinsicht auf welche die Politik, die Prinzipien der Verarbeitungund die Verantwortlichkeiten im Zusammenhang mit der Verarbeitung angewendet werden; 
• die Verpflichtungen der Personen, die unter der Leitung der Gesellschaft im Sinne des Art. 29 der Verordnung bei der Verarbeitung personenbezogener Daten handeln, und ihre Verantwortung bei Nichterfüllung dieser Verpflichtungen; 
• Rechte der Subjekte von Daten und Prozedur für ihre Ausübung; 
• Prozedur im Zusammenhang mit der Verarbeitung personenbezogener Datenaufgrund von Zustimmung der Subjekte von Daten; 
• Regeln für Reaktion im Falle eines Verstoßes gegen die Sicherheit personenbezogener Daten; 
• Die technischen und organisatorischen Maßnahmen zum Schutz derpersonenbezogenen Daten, die bei der Gesellschaft angewendet werden.

• die personenbezogenen Datenwerden nur und ausschließlich beim Vorliegen einer der Grundlagen für Verarbeitung gemäß der Verordnungund/oder dem sonstigen anwendbaren Recht im Bereich der personenbezogenen Daten gewissenhaft und auf transparente Weise hinsichtlich des Subjekts der Daten verarbeitet (Prinzip der Gesetzmäßigkeit, Gewissenhaftigkeit und Transparenz); 
• die personenbezogenen Datenwerden zu konkreten, ausdrücklich aufgeführten und legitimen Zwecken erhoben und werden weiter auf eine mit diesen Zwecken nicht vereinbare Weise nicht verarbeitet; 
• die personenbezogenen Daten sind geeignet, verbunden mit und bis auf das Notwendige im Zusammenhang mit den Zwecken, für die sie verarbeitet werden (Prinzip der Zurückführung der Daten bis auf das Minimum); 
• die personenbezogenen Daten sind genau und werden bei Bedarf in aktueller Form unterhalten. Der Verantwortliche unternimmt alle vernünftigen Maßnahmen, damit die rechtzeitige Löschung oder Korrektur ungenauer personenbezogener Daten garantiert wird, wobei die Ziele berücksichtigt werden, zu denen sie verarbeitet werden (Prinzip der Genauigkeit bei der Verarbeitung); 
• die personenbezogenen Datenwerden in einer Form gespeichert, die die Identifizierung des Subjekts der Daten für einen Zeitraum ermöglicht, der nicht länger vom Notwendigen zu den Zwecken ist, zu denen die personenbezogenen Daten verarbeitet werden; 
• die personenbezogenen Datenwerden auf eine Weise verarbeitet, die geeignetes Niveau der Sicherheit der personenbezogenen Daten garantiert, darunter Schutz gegen unerlaubte oder gesetzwidrige Verarbeitung und gegen zufälligen Verlust, Offenbarung, Vernichtung oder Beschädigung, wobei geeignete technische oder organisatorische Maßnahmen angewendet werden; 
• die anzuwendenden organisatorischen und technischen Maßnahmen sichern ständige Vertraulichkeit, Vollständigkeit, Verfügbarkeit und Beständigkeit der Systeme und Dienstleistungen zur Verarbeitung der personenbezogenen Daten.

• Kunden (natürliche Personen) der Gesellschaftals Beförderer, in Hinsicht auf die personenbezogene Datenverarbeitet werden dürfen wie drei Namen, Personenkennzahl, IP-Adresse, E-Mail, Telefonnummer, MAC-Adresse u.a.Die Verarbeitung personenbezogener Daten beruht auf dem Prinzip der Zurückführung der Daten auf das Minimum in Abhängigkeit von und zu den Zwecken der Erbringung der Dienstleistungen, die der entsprechende Kunde nutzt, wie Rabatt für Kinder und/oder Personen über einem bestimmten Alter (Personenkennzahl), Nutzung des Online-Systems der Gesellschaft zum Ankauf von Fahrkarten (IP-Adresse; E-Mail; Telefon; Daten, die mit den Gewohnheiten und den Bevorzugungen verbunden sind), Verwendung von Wi-Fi in den Bussen der Gesellschaft (MAC-Adresse) u.a. Die Ziele der Verarbeitung umfassen: (i). Erbringung der Dienstleitung zur Beförderung und/oder der zusätzlichen Dienstleistungen, einschließlich des Online-Ankaufs von Fahrkarten und der Nutzung der Website der Gesellschaft; (ii). Speicherung von Steuer- und Buchführungsregister; (iii). Erfüllung von gesetzgebenden Anforderungen; (iv). Gewährung von Rabatten an regelmäßige Kunden; (v). Zwecke, die mit den legitimen Interessen der Gesellschaft im Sinne der Verordnung verbunden sind;   
• Kunden (natürliche Personen) der Gesellschaft als Reiseveranstalter, in Hinsicht auf die personenbezogene Daten verarbeitet werden dürfen wie drei Namen, Personenkennzahl, Daten von persönlichen Dokumenten (Personalauswies oder Reisepass entsprechend der gewählten Destination), Daten und Dokumente, die zu den Zwecken von Polizei-, Grenz-, Zollkontrollen oder Überprüfungen von einer entsprechenden öffentlichen Behörden notwendig sind, Visen- und/der andere Arten von Genehmigungsdokumenten, Auskunft über Familienbeziehungen und -verhältnisse (z.B.: in Hinsicht auf Touristen, die das 18. Lebensjahr nicht vollendet haben, mit Rücksicht auf die Einhaltung der Anforderung einer Elternzustimmung bei der Ausreise aus dem Lande; u.a.) Auskunft über Bankkonten (IBANbei Zahlung per Banküberweisung), Auskunft von Bedeutung für den Abschluss der medizinischen Versicherung bei der Reise in Form und Umfang, welche von der/den entsprechenden Versicherungsgesellschaft/-en und/oder durch das Gesetz verlangt sind, Information über Kontakte (z.B. E-Mail-Adresse, Kontaktadresse, Telefonnummer) sowie auch andere Daten wie IP-Adresse, МАC der Anlage u.a. Die Verarbeitung personenbezogener Daten beruht ganz auf dem Prinzip der Zurückführung der Daten auf das Minimum in Abhängigkeit von und zu den Zwecken der Erbringung der Dienstleistungen, die der entsprechende Kunde nutzt, wie Verwendung von Wi-Fi in den Bussen der Gesellschaft (MAC), Nutzung der Webseite der Gesellschaft (IP-Adresse; Daten, die mit den Gewohnheiten und den Bevorzugungen verbunden sind, u.a. Die Ziele der Verarbeitung umfassen: (i). Erbringung der beantragten Reiseveranstalterdienstleitung und/oder der zusätzlichen Dienstleistungen, einschließlich Nutzung der Webseite der Gesellschaft; (ii). Speicherung von Steuer- und Buchführungsregister; (iii). Erfüllung von gesetzgebenden Anforderungen; (iv). Gewährung von Rabatten an regelmäßige Kunden; (v). Direktes Marketing; (vi.) Zwecke, die mit den legitimen Interessen der Gesellschaft im Sinne der Verordnung verbunden sind;   
• potenzielle, gegenwärtige und/oder ehemalige Angestellte der Gesellschaft. In Hinsicht auf die personenbezogenen Daten der genannten Subjekten von Daten kommt eine Politik zum Schutz der personenbezogenen Datender Angestellten der Gesellschaft zur Anwendung; 
• sonstige natürliche Personen und natürliche Personen-Vertreter oder Kontaktpersonen juristischer Personen, die einen Kontakt mit der Gesellschat haben (darunter, aber (nicht nur Lieferanten, Geschäftskontakte, Subunternehmer, andere Kontrahenten und Geschäftspartner und sonstige ähnliche) zu den Zwecken der Erfüllung und/oder der Leitung der Tätigkeit derGesellschaft; 
• andere natürliche Personen, Vertreter nach Gesetz oder Vollmacht, von natürlichen Personen – Kunden der Gesellschaft (z.B. Eltern unvolljähriger Personen bei Zustimmungen der Ausreise aus dem Land u.a.)

• Leistungserbringer – Konsultanten, Rechtsanwälte, Buchführer, Abschlussprüfer, IT-Fachleute u.a. im Zusammenhang mit Abschluss der Verträge im Rahmen der Haupttätigkeit der Gesellschaft, Erfüllung von gesetzlichen Anforderungen, technischer Wartung u.a. Ähnliche Offenbarung erfolgt auf der Grundlage einer schriftlichen Vereinbarung mit dem entsprechenden Leistungserbringer zwecks der Garantie, dass derselbe ein adäquates Niveau des Schutzes und die Einhaltung des Rechts im Bereich der personenbezogenen Daten sichert; 
• Subunternehmer – bei der Erbringung von Dienstleistungen im Namen des Verantwortlichen (Handelsvertreter, Reiseveranstalter, Touragenten u.a.) auf dem und außerhalb des Territoriums der Republik Bulgarien im Zusammenhang mit dem Abschluss und der Durchführung der Verträge über Passagierbeförderung und über touristische Dienstleistungen. Ähnliche Offenbarung erfolgt auf der Grundlage einer schriftlichen Vereinbarung mit dem entsprechenden Subunternehmer zwecks der Garantie, dass derselbe ein adäquates Niveau des Schutzes und die Einhaltung des Rechts im Bereich der personenbezogenen Daten sichert; 
• Personen, die Dienstleistungen für Gewährung und Wartung von Ausstattung, Software und Hardware erbringen, welche zur Verarbeitung (darunter auch Speicherung) personenbezogener Daten, zur Abrechnungen von Zahlungen u.a. eingesetzt werden; 
• Banken – zur Bedienung der Zahlungen seitens der Subjekte von Daten von den Dienstleistungen für Beförderung von Passagieren und/oder touristischen Dienstleistungen; 
• Wachgesellschaften, die Dienstleistungen für private Bewachungstätigkeit erbringen, im Zusammenhang mit der Vornahme von Videoüberwachung von öffentlich zugänglichen Zonen in den Ticketverkaufspunkten des Verantwortlichen; 
• Öffentliche und gerichtliche Behörden in und bis zum Umfang, der gemäß dem Gesetz erlaubt und/oder erforderlich ist;  
• Versicherungsgesellschaften – im Zusammenhang mit dem Abschluss von Versicherungen bei Fahrten bei der Erbringung von touristischen Dienstleistungen; 
• Andere Verantwortliche personenbezogener Daten in den Fällen, wenn die Gesellschaft als Verarbeiter in ihrem Namen handelt.

• legt die Politiken und die Prozeduren für den Schutz der verarbeiteten personenbezogenen Daten fest, hält die Anforderungen derVerordnung, des EU-Rechts und des nationalen Rechts im Bereich des Schutzes der personenbezogenen Daten ein; 
• benennt den Datenschutzbeauftragten; 
• sichert die Organisation der Führung des Registers entsprechend den vorgesehenen Maßnahmen zur Garantierung von adäquatem Schutz; 
• führt sowohl zum Zeitpunkt der Festlegung der Verarbeitungsmittel als auch zum Zeitpunkt der Verarbeitung selbst geeignete technische und organisatorische Maßnahmen ein, die mit Rücksicht auf die effektive Anwendung der Prinzipien zum Datenschutz entwickelt sind; 
• gewährt die Ausübung der Rechte der natürlichen Personen zu Schutz der personenbezogenen Daten; 
• führt geeignete technische und organisatorische Maßnahmen ein, um zu garantieren und imstande zum Beweis zu sein, dass die Verarbeitung personenbezogener Datenentsprechend den Anforderungen der Verordnungerfolgt; 
• führt geeignete technische und organisatorische Maßnahmen ein, um zu garantieren, dass implizit nur personenbezogene Daten verarbeitet werden, die zu jedem konkreten Zweck der Verarbeitung notwendig sind. Diese Pflicht bezieht sich auf den Umfang der erhobenen personenbezogenen Daten, den Grad der Verarbeitung, den Zeitraum ihrer Speicherung und ihre Zugänglichkeit; 
• verwirklicht Kontrolle der Einhaltung der Anforderungen zum Schutz des Registers, legt die Umstände fest, die mit der Verletzung ihres Schutzes verbunden sind, und unternimmt Maßnahmen zu ihrer Behebung; 
• aktualisiert die unterhaltenen Register; 
• unterhält die personenbezogenen Daten in einer Form, die Identifizierung der entsprechenden natürlichen Personen für eine Periode ermöglicht, die nicht länger als die notwendige zu den Zwecken ist, zu denen diese Daten verarbeitet werden; 
• informiert periodisch und führt nach Zweckmäßigkeit Schulungen des Personals in den Angelegenheiten des Schutzes der personenbezogenen Daten durch; 
• leistet Mitwirkung bei der Verwirklichung der Kontrollfunktionen des Ausschusses für den Schutz der personenbezogenen Daten in seiner Eigenschaft als Aufsichtsbehörde gemäß dem Art. 51 der Verordnung (unten „ASPD” genannt), unterstützt die Festlegung von Umständen, die mit dem Schutz der personenbezogenen Daten verbunden sind; 
• legt die Rechte der Angestellten auf Zugang zu personenbezogenen Daten in den Informationssystemen entsprechend den Zwecken der Verarbeitung fest, sodass Gesetzmäßigkeit garantiert wird und die Prinzipien der Verarbeitung eingehalten werden; 
• verwendet Auftragsverarbeiter von personenbezogenen Daten, die genügend Garantien mittels der Anwendung geeigneter technischer und organisatorischer Maßnahmen zum Schutz gewähren; 
• hält bestimmte Regeln im Falle der Verletzung der Sicherheit der personenbezogenen Daten ein; 
• dokumentiert jeden Verstoß gegen die Sicherheit der personenbezogenen Daten, einschließlich der Tatsachen, die mit dem Verstoß gegen die Sicherheit der personenbezogenen Daten, den Folgen davon und die unternommenen Handlungen zu dessen Bewältigung verbunden sind; 
• nimmt Bewertung des Risikos gemäß den Erfordernissen der Verordnung, respektive Bewertung des Einflusses vor, wenn kraft der Verordnung die Bedingungen dafür vorliegen.

• dem normativen Regelwerk im Bereich des Schutzes der personenbezogenen Daten, einschließlich der Verordnung und des Gesetzes über den Schutz der personenbezogenen Daten (unten„GSPD” genannt); 
• der Politik und den anderen internen Akten des Verantwortlichen, die mit dem Schutz der personenbezogenen Daten verbunden sind; 
• den Gefahren für die personenbezogenen Daten, die vom Verantwortlichen verarbeitet werden. 

• die Anforderungen der Verordnung, des übrigen anwendbaren Rechts im Bereich des Schutzes der personenbezogenen Daten, der Politik und der anderen internen Akten des Verantwortlichen einzuhalten, die mit dem Schutz der personenbezogenen Daten verbunden sind;  
• die personenbezogenen Daten nur bei Vorliegen von Bedingung für gesetzmäßige Verarbeitung (Rechtsgrundlage) zu verarbeiten, und zwar: Grundlage für Verarbeitung personenbezogener Daten, die sich aus dem Gesetz ergibt; oder Grundlage für Verarbeitung personenbezogener Daten, die sich aus den Vertragsbeziehungen mit der Person ergibt; oder Grundlage für Verarbeitung personenbezogener Daten, die sich aus der ausdrücklichen Zustimmung der Person ergibt; oder Grundlage für Verarbeitungpersonenbezogener Daten, die sich aus dem legitimen Interesse des Verantwortlichen oder einer Drittperson ergibt und welches legitime Interesse Vorrang vor den Interessen, Grundrechten und Freiheiten des Subjekts der Daten hat, die Schutz derpersonenbezogenen Datenerfordern; 
• die personenbezogenen Daten, zu denen sie Zugang haben, entsprechend den Zielen zu verwenden, zu welchen sie erhoben werden, und diese nicht zusätzlich auf eine Weise zu verarbeiten, die mit diesen Zielen unvereinbar ist; 
• die personenbezogenen Daten, zu denen sie Zugang in ihrer Eigenschaft als Angestellte des Verantwortlichen haben, zu egal welchen persönlichen Zielen nicht zu verwenden;                                                                                       
• die Regeln für Vermeidung der Möglichkeit des unberechtigten Zugangs zu personenbezogenen Daten und der Lassung zugänglicher personenbezogener Daten ohne Aufsicht am entsprechenden Arbeitsplatz einzuhalten. In Räumen, zu denen externe Personen Zugang haben, sind die entsprechenden Angestellten verpflichtet, Maßnahmen zu unternehmen, sodass die externen Personen egal welchen unberechtigten Zugang zu Dokumenten nicht haben, die personenbezogene Daten enthalten, sowie auch in diese Einsicht nicht nehmen, diese nicht kopieren oder mit einem technischen Mittel nicht fotografieren dürfen; 
• wenn die Erfüllung der entsprechenden Tätigkeit erlaubt, die verwendeten personenbezogenen Daten bis zum maximalen Grad einzuschränken; 
• die Einhaltung der Rechte der natürlichen Personen im Zusammenhang mit der Verarbeitung personenbezogener Daten zu sichern und zu garantieren; 
• Bedingungen für Verstöße gegen die Sicherheit bei der Verarbeitungpersonenbezogener Daten nicht zu zulassen, nicht zu unterstützen oder nicht zu schaffen; 
• zwischen einander oder an Drittpersonen keine Information von wesentlicher Bedeutung für die Sicherheit der Daten (ihre Benutzernamen, Passwörter u.a.) zu teilen oder zur Verfügung zu stellen; 
• keine Dateien mit korporativer Information, die personenbezogene Daten enthält, auf übertragbarem Träger in nicht kryptierter (oder in mit Passwort nicht geschützter) Form zu kopieren; 
• per Elektronenpost zu E-Mail-Adressen außerhalb der Gesellschaft keine Information, die wesentliche Umfänge von personenbezogenen Datenoder egal welche speziellen Kategorien personenbezogener Datenoder andere personenbezogene Daten enthält, zu denen der unberechtigte Zugang ein hohes Risiko für die Rechte und Interessen der Subjekten von Daten darstellen kann, auf die sie sich beziehen, in mit Passwort nicht geschützten Dateien nicht zu senden; 
• personenbezogene Daten über Kunden oder Angestellte der Gesellschaft in öffentlichen Seiten u.a. ohne Vorliegen von adäquater Rechtsgrundlage dafür nicht zu veröffentlichen; 
• dem Datenschutzbeauftragten Mitwirkung bei der Erfüllung seiner Befugnisse zu leisten.

• gewährt die Unterzeichnung einer Vertraulichkeitserklärung und Nichtverbreitung personenbezogener Daten von allen Angestellten, die personenbezogene Datenfür ihn verarbeiten; 
• unterhält Information über die Erfüllung seiner Verpflichtungen zur Schulung der Angestellten, die personenbezogene Daten verarbeiten, und zur Schulung des Personals in Hinsicht auf Ereignisse, die die Sicherheitpersonenbezogenen Daten gefährden.

• Bezeichnung der Tätigkeit (des Geschäftsablaufs, der Funktion) für Verarbeitungvonpersonenbezogenen Daten; 
• die Zwecke und die Grundlagen für dieVerarbeitung vonpersonenbezogenen Daten; 
• die Kategorien von natürlichen Personen, für die personenbezogene Datenverarbeitet werden(Kunden, Angestellte, Kontaktpersonen der juristischen Personen u.a.); 
• die Kategorien vonpersonenbezogenen Daten, die im Rahmen der entsprechenden Tätigkeit verarbeitet werden; 
• Verarbeitungspezieller Kategorien von Daten (z.B. Auskunft über Gesundheitszustand, wenn zutreffend); 
• die Quellen von personenbezogenen Daten; 
• Drittpersonen, die personenbezogene Daten bekommen oder auf eine andere Weise an der Verarbeitungpersonenbezogener Datenim Rahmen der entsprechenden Tätigkeiten teilnehmen; 
• Standort (Aufbewahrung) derpersonenbezogenen Daten; 
• die vorgesehenen Fristen für Aufbewahrung und Löschung der verschiedenen Kategorien vonpersonenbezogenen Daten, wenn möglich; 
• allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen, wenn möglich.

• die Kategorien vonVerarbeitung, die im Namen jedes Verantwortlichen durchgeführt wird; 
• Drittparteien, die personenbezogene Daten bekommen auf auf eine andere Weise an der Verarbeitungpersonenbezogener Daten im Rahmen der entsprechenden Tätigkeit teilnehmen; 
• Wenn zutreffend, die Weiterleitung personenbezogener Datenan einen Drittstaat oder an eine internationale Organisation, einschließlich der Identifikation dieses Drittstaates oder dieser internationalen Organisation, respektive für die geeigneten Garantien (wenn dies erforderlich ist); 
• allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen, wenn möglich.

• informiert und berät die Geschäftsführung und die Angestellten, die Tätigkeiten für Verarbeitungpersonenbezogener Daten ausführen, hinsichtlich ihrer Verpflichtungen entsprechend derVerordnungund allen anderen anwendbarennormativen Akten der EU und des nationalen Rechts im Bereich des Schutzes derpersonenbezogenen Daten; 
• verfolgt und haftet für die Erhöhung der Informiertheit und der Bildung des Personals, das an Operationen der Verarbeitungderpersonenbezogenen Daten teilnimmt; 
• erstellt und schlägt zur Genehmigung interne Regeln und Politiken zum Schutz der personenbezogenen Datenoder Veränderungen in den bestehenden Regeln und Politiken vor; 
• überwacht die Notwendigkeit der Veränderungen in den Tätigkeiten derVerarbeitung personenbezogener Daten und der damit verbundenen und/oderdiese regulierenden Dokumente; 
• nimmt an Tätigkeiten der Vornahme einer Bewertung des Risikos teil und bei Bedarf – des Einflusses der Verarbeitung derpersonenbezogenen Daten; 
• handelt als einheitlicher Kontaktpunkt für die Subjekte von Daten im Zusammenhang mit der Ausübung ihrer Rechte gemäß derVerordnung; 
• bewahrt die Anträge der Subjekte von Daten im Zusammenhang mit der Ausübung ihrer Rechte auf; 
• bewahrt Information über die Verletzungen der Sicherheitbeim Schutz der personenbezogenen Daten auf; 
• führt Register gemäß dem 30 derVerordnung für die Tätigkeiten der Verarbeitungpersonenbezogener Daten; 
• verwirklicht vollständige Überwachung, nimmt reguläre Bewertung vor, berät und erteilt Empfehlungen und Vorschläge mit Rücksicht auf die Garantierung eines geeigneten Niveaus von Sicherheit der personenbezogenen Daten. 

• Recht auf Information bei der Erhebung der personenbezogenen Datenvom Subjekt von Daten oder von Drittparteien; 
• Recht auf Zugang zu den Daten des Subjekts von Daten und konkreter: (i). Bestätigung, ob personenbezogene Daten dieses Subjekts von Daten von der Gesellschaft verarbeitet werden; (ii). Gewährung von Zugang zu den Daten durch Kopie der Daten, die im Prozess der Verarbeitung sind, sowie auch Information über die Zwecke der Verarbeitung; die Kategorien vonpersonenbezogenen Daten; die Empfänger oder die Kategorien von Empfängern, denen die personenbezogenen Daten offenbart sind oder werden; die Aufbewahrungsfristen für die personenbezogenen Daten; das Bestehen eines Rechts auf Korrektur oder Löschung personenbezogener Datenoder Einschränkung der Verarbeitungpersonenbezogener Daten oder auf Einwendung gegen dieVerarbeitung; das Recht auf Beschwerde an eine Aufsichtsbehörde (die in der Republik Bulgarien die KSPD ist); die Quellen personenbezogener Daten; das Bestehen von automatisiertem Treffen von Entscheidungen, darunter Profilierung; 
• das Recht auf Korrektur – die Korrektur oder die Ausfüllung seiner personenbezogenen Daten zu verlangen, wenn dieselben ungenau oder unvollständig sind; 
• Recht auf Löschung derpersonenbezogenen Daten, wenn die in der Verordnungvorgesehenen Grundlagen vorliegen; 
• Recht auf Beschränkung der Verarbeitung; 
• Recht auf Übertragbarkeit der Daten; 
• Recht auf Einwendung; 
• Recht des Subjekts von Daten darauf, dass er kein Objekt einer Entscheidung ist, die ausschließlich auf automatisierterVerarbeitung beruht, welche Profilierung umfasst, die Rechtsfolgen hervorruft oder es auf eine andere Weise in einem wesentlichen Grad betrifft; 
• Erteilung, Änderung oder Zurückziehung von Zustimmung der Verarbeitungpersonenbezogener Daten, wobei Grundlage für die Verarbeitung die Zustimmung des Subjekts von Daten ist. 

• persönlich, von einem gesetzlichen Vertreter oder durch einen mit notariell beglaubigter Vollmacht bevollmächtigten Vertreter des Subjekts von Daten im Büro der Gesellschaft, gelegen an folgender Anschrift: Sofia, Kn.-Maria-Luiza-Blvd. 102, Busbahnhof „Serdika“ – Et. 2, nach der Identifizierung des Subjekts von Daten oder des entsprechenden Vertreters von einem Angestellten desVerantwortlichen; 
• per Elektronenpost an den DSBdurch qualifizierte elektronische Signatur entsprechend dem Gesetz über das elektronische Dokument und die elektronischen Bescheinigungsdienste (nachfolgend„QES“ genannt); 
• per Post mit der Sendung eines notariell beglaubigten Antrags zwecks der Gewährung von Identifikation des Antragstellers. 

• frei erteilt ist; und
• konkret ist; und
• informierte Zustimmung ist; und
• unzweideutig ist.

• persönlich in jedem Büro oder jeder Vertretung der Gesellschaft; 
• durch lizenzierten Postoperator mit notarieller Beglaubigung der Zustimmungserklärung; oder 
• eine mit QES signierte Zustimmungserklärung, gesandt per Elektronenpost an den DSB.

• persönlich in einer Führungseinheit der menschlichen Ressourcen; 
• per elektronischer Dienstpost – für gegenwärtige Angestellte; 
• eine mit QES signierte Zustimmungserklärung, gesandt per Elektronenpost an den DSB – für ehemalige Angestellte und Arbeitsbewerber; und 
• durch lizenzierten Postoperator mit notarieller Beglaubigung der Zustimmungserklärung.

• Handelsgesellschaften;
• natürliche Personen, die aufgrund vonHonorarverträgen bestellt sind. 

• es werden Auftragsverarbeiter gewählt, die genügend Garantien für die Anwendung geeigneter technischer und organisatorischer Maßnahmen zum Schutz der personenbezogenen Daten gewähren; 
• die Bedingungen für den Schutz derpersonenbezogenen Datenwerden in separater schriftlicher Vereinbarung oder im schriftlichen Hauptvertrag zwischen dem Verantwortlichenund dem Auftragsverarbeiter geregelt; 

• den Gegenstand und Geltungsdauer der Verarbeitung; 
• die Zwecke und die Natur derVerarbeitung; 
• die Kategorien von Subjekten von Daten, in Hinsicht auf deren Daten die Verarbeitung durchgeführt wird; 
• die Art der personenbezogenen Daten, die der Auftragsverarbeiter im Namen desVerantwortlichen verarbeiten wird; 
• die Rechte und Pflichten des Verantwortlichenund des Auftragsverarbeiters; 
• die Anforderungen an die technischen und organisatorischen Maßnahmen zum Schutz der personenbezogenen Daten, die der Auftragsverarbeiter entsprechend den Spezifiken und dem Umfang der konkreten Beauftragung anzuwenden hat. Unabhängig von den konkreten Absprachen in solchen Verträgen wird keine Abweichung von und entsprechende Anwendung auf niedrigerem Niveau des Schutzes derpersonenbezogenen Datenvon diesem zugelassen, das in dieser Politik vorgesehen ist; 
• Verpflichtung des Auftragsverarbeiters zur Mitwirkung an den Verantwortlichenzwecks der Erfüllung seiner Pflichten gemäß dem Art. 31-36 derVerordnung; 
• Verpflichtung des Auftragsverarbeiters zur Benachrichtigung des Verantwortlichenohne unnötige Verzögerung nach der Kenntnisnahme über das Vorliegen einer Verletzung der Sicherheit von personenbezogenen Daten;  
• Anforderungen gegenüber dem Auftragsverarbeiter und andere verbindliche Bedingungen gemäß dem Art. 28, P. 3 derVerordnung.

• persönlich im Büro derGesellschaft, der Gesellschaft, gelegen in Sofia, Kn.-Maria-Luiza-Blvd. 102, Busbahnhof „Serdika“ – Et. 2, nach der Identifizierung der Person von einem Angestellten des Verantwortlichen; 
• per Elektronenpost an den DSB durch qualifizierte elektronische Signatur entsprechend dem Gesetz über das elektronische Dokument und die elektronischen Bescheinigungsdienste; 
• per Post mit der Sendung einer notariell beglaubigten Anzeige.