Datenschutzrichtlinie

Erstellt in Übereinstimmung mit dem Personal Data Protection Act 2012 von Singapur und den weiteren anwendbaren Gesetzen und Vorschriften Singapurs.

1. Einleitung und Zweck

Meridium Management Consultants Pte. Ltd. (in dieser Richtlinie Meridium, die Gesellschaft, wir, uns oder unser) erbringt Corporate-, Beratungs- und Management-Consulting-Leistungen für internationale Auftraggeber, die ihre Geschäftstätigkeit in Asien aufbauen oder ausweiten. Bei der Erbringung dieser Leistungen erheben, verwenden, legen wir personenbezogene Daten offen und verarbeiten sie anderweitig; betroffen sind unsere Mandanten, die mit unseren Mandanten verbundenen Personen, unsere Mitarbeitenden, unsere Geschäftspartner, unsere Lieferanten und die Öffentlichkeit.

Meridium verpflichtet sich, personenbezogene Daten zu schützen und verantwortungsvoll, rechtmäßig und transparent zu behandeln. Diese Richtlinie beschreibt, wie die Gesellschaft ihre Pflichten nach dem Personal Data Protection Act 2012 (PDPA), den dazugehörigen Verordnungen sowie den Leitlinien und Verhaltenskodizes der Personal Data Protection Commission (PDPC) erfüllt und wie sie die datenschutzrechtlichen Anforderungen der übrigen für ihr Geschäft geltenden Gesetze einhält.

Die Richtlinie hat folgende Zwecke:

• die Grundsätze und Pflichten festzulegen, nach denen Meridium personenbezogene Daten behandelt;
• einen einheitlichen Rahmen für Erhebung, Verwendung, Offenlegung, Schutz, Aufbewahrung und Löschung personenbezogener Daten zu schaffen;
• die Rollen und Verantwortlichkeiten des Datenschutzbeauftragten, der Geschäftsleitung und aller Mitarbeitenden zu definieren; und
• zu erläutern, wie Betroffene ihre Rechte ausüben können und wie Anfragen und Beschwerden behandelt werden.

Diese Richtlinie ist eine verbindliche interne Richtlinie. Jedes Mitglied der Geschäftsführung, jede Führungskraft, jeder Mitarbeitende, Auftragnehmer sowie jede befristet oder über Agenturen beschäftigte Person muss sie lesen, verstehen und einhalten. Verstöße können disziplinarische Maßnahmen und in schweren Fällen die Beendigung des Beschäftigungs- oder Auftragsverhältnisses nach sich ziehen, unbeschadet einer etwaigen gesetzlichen Haftung.

2. Anwendungsbereich

Diese Richtlinie gilt für alle von Meridium verarbeiteten personenbezogenen Daten, in jeder Form, ob elektronisch oder in Papierform und unabhängig vom Speicherort. Sie gilt für alle personenbezogenen Daten, für die Meridium als Organisation im Sinne des PDPA verantwortlich ist, sowie für personenbezogene Daten, die Meridium als Auftragsverarbeiter (data intermediary) für eine andere Organisation verarbeitet.

Sie gilt für alle Mitarbeitenden von Meridium und für Dritte, die personenbezogene Daten im Auftrag der Gesellschaft verarbeiten. Beauftragt Meridium einen Dienstleister mit der Verarbeitung personenbezogener Daten, muss dies durch einen schriftlichen Vertrag geregelt sein, der Datenschutzpflichten auferlegt, die mit dieser Richtlinie und dem PDPA im Einklang stehen.

Erbringt Meridium Leistungen für Mandanten, die selbst Datenschutzgesetzen außerhalb Singapurs unterliegen, etwa der Datenschutz-Grundverordnung der Europäischen Union oder der UK GDPR, unternimmt die Gesellschaft angemessene Schritte, um ihre Mandanten bei der Erfüllung ihrer Pflichten zu unterstützen, und hält die mit diesen Mandanten vereinbarten zusätzlichen vertraglichen Datenschutzanforderungen ein.

3. Begriffsbestimmungen

Die folgenden Begriffe haben die nachstehende Bedeutung. Hier nicht definierte Begriffe haben die Bedeutung, die ihnen im PDPA zukommt.

Begriff	Bedeutung
Personenbezogene Daten	Daten, ob zutreffend oder nicht, über eine Person, die anhand dieser Daten oder anhand dieser Daten zusammen mit anderen Informationen, zu denen die Organisation Zugang hat oder wahrscheinlich haben wird, identifiziert werden kann.
Betroffene Person	Eine natürliche Person, lebend oder verstorben. Der PDPA gilt für Daten Verstorbener für einen begrenzten Zeitraum fort.
Verarbeitung	Jeder Vorgang mit personenbezogenen Daten, einschließlich Erhebung, Aufzeichnung, Speicherung, Ordnung, Verwendung, Offenlegung, Übermittlung und Löschung.
Erhebung, Verwendung, Offenlegung	Das Sammeln, Nutzen und Weitergeben personenbezogener Daten; jeder dieser Vorgänge ist nach dem PDPA gesondert geregelt.
Auftragsverarbeiter (data intermediary)	Eine Organisation, die personenbezogene Daten im Auftrag und für die Zwecke einer anderen Organisation auf Grundlage eines schriftlichen Vertrags verarbeitet.
Einwilligung	Die freiwillige, auf Grundlage einer angemessenen Information über die Zwecke erteilte Zustimmung einer Person zur Erhebung, Verwendung oder Offenlegung personenbezogener Daten, einschließlich der nach dem PDPA anerkannten vermuteten Einwilligung (deemed consent).
DPO	Der von Meridium bestellte Datenschutzbeauftragte (Data Protection Officer), der die Einhaltung des PDPA und dieser Richtlinie überwacht.
CDD	Sorgfaltspflichten gegenüber Kunden (customer due diligence) zur Erfüllung der Pflichten zur Bekämpfung von Geldwäsche, Terrorismusfinanzierung und Proliferationsfinanzierung.
Datenschutzverletzung	Der unbefugte Zugriff auf, die unbefugte Erhebung, Verwendung, Offenlegung, Vervielfältigung, Änderung oder Löschung personenbezogener Daten oder der Verlust eines Speichermediums oder Geräts mit personenbezogenen Daten unter Umständen, in denen ein unbefugter Zugriff wahrscheinlich ist.

4. Unsere Datenschutzpflichten

Meridium richtet den Umgang mit personenbezogenen Daten an den im PDPA festgelegten Pflichten aus. Die Gesellschaft wendet jede der folgenden Pflichten auf ihre Tätigkeit an.

4.1 Einwilligung

Meridium erhebt, verwendet und legt personenbezogene Daten nur mit Einwilligung der betroffenen Person offen, sofern nicht eine Ausnahme nach dem PDPA greift. Die Einwilligung kann ausdrücklich oder, wenn die Voraussetzungen vorliegen, vermutet sein. Die Gesellschaft holt Einwilligungen nicht durch falsche oder irreführende Angaben oder täuschende Praktiken ein und verlangt keine Einwilligung, die über das hinausgeht, was für die Erbringung der jeweiligen Leistung angemessen ist. Eine Person kann ihre Einwilligung jederzeit mit angemessener Frist widerrufen; Meridium informiert sie über die voraussichtlichen Folgen des Widerrufs und stellt die betreffende Verarbeitung ein, sofern sie nicht gesetzlich zur Fortsetzung verpflichtet oder berechtigt ist.

4.2 Zweckbindung

Meridium erhebt, verwendet und legt personenbezogene Daten nur für Zwecke offen, die eine vernünftige Person unter den Umständen als angemessen ansehen würde und die der betroffenen Person mitgeteilt wurden. Personenbezogene Daten werden ohne neue Einwilligung oder gültige Ausnahme nicht für neue Zwecke verwendet.

4.3 Informationspflicht

Meridium informiert Betroffene spätestens bei der Erhebung über die Zwecke, für die ihre personenbezogenen Daten erhoben, verwendet oder offengelegt werden, sofern keine Ausnahme gilt. Die Information erfolgt durch diese Richtlinie, Mandatsunterlagen, Datenschutzhinweise, Einwilligungsformulare und die Website der Gesellschaft.

4.4 Auskunft und Berichtigung

Auf Anfrage und vorbehaltlich der Ausnahmen des PDPA gewährt Meridium einer Person Zugang zu den personenbezogenen Daten, die sich im Besitz oder unter der Kontrolle der Gesellschaft befinden, sowie Auskunft darüber, wie diese Daten innerhalb eines Jahres vor der Anfrage verwendet oder offengelegt wurden oder worden sein könnten. Die Gesellschaft berichtigt auf Anfrage Fehler oder Auslassungen, sofern sie nicht aus vernünftigen Gründen davon überzeugt ist, dass eine Berichtigung unterbleiben sollte. Soweit angemessen, werden berichtigte Daten an andere Organisationen übermittelt, an die die Daten innerhalb eines Jahres vor der Berichtigung offengelegt wurden.

4.5 Richtigkeit

Meridium unternimmt angemessene Anstrengungen, damit die erhobenen personenbezogenen Daten richtig und vollständig sind, insbesondere wenn die Daten voraussichtlich für eine die Person betreffende Entscheidung verwendet oder an eine andere Organisation weitergegeben werden.

4.6 Schutz

Meridium schützt personenbezogene Daten in ihrem Besitz oder unter ihrer Kontrolle durch angemessene Sicherheitsvorkehrungen gegen unbefugten Zugriff, unbefugte Erhebung, Verwendung, Offenlegung, Vervielfältigung, Änderung, Löschung und vergleichbare Risiken sowie gegen den Verlust von Speichermedien oder Geräten. Die Sicherheitsmaßnahmen sind in Abschnitt 13 beschrieben.

4.7 Begrenzung der Aufbewahrung

Meridium beendet die Aufbewahrung personenbezogener Daten oder entfernt die Möglichkeit, die Daten bestimmten Personen zuzuordnen, sobald vernünftigerweise anzunehmen ist, dass die Aufbewahrung dem Erhebungszweck nicht mehr dient und für rechtliche oder geschäftliche Zwecke nicht mehr erforderlich ist. Die Aufbewahrung ist in Abschnitt 12 geregelt.

4.8 Begrenzung der Übermittlung

Meridium übermittelt personenbezogene Daten nur dann ins Ausland, wenn sie angemessene Schritte unternommen hat, um sicherzustellen, dass der Empfänger rechtlich durchsetzbaren Pflichten unterliegt, ein mit dem PDPA vergleichbares Schutzniveau zu gewährleisten. Grenzüberschreitende Übermittlungen sind in Abschnitt 11 geregelt.

4.9 Meldung von Datenschutzverletzungen

Meridium bewertet Datenschutzverletzungen, die personenbezogene Daten in ihrem Besitz oder unter ihrer Kontrolle betreffen, und meldet meldepflichtige Verletzungen innerhalb der vom PDPA vorgegebenen Fristen an die PDPC und die betroffenen Personen. Das Verfahren ist in Abschnitt 14 beschrieben.

4.10 Rechenschaftspflicht

Meridium ist für die personenbezogenen Daten in ihrem Besitz oder unter ihrer Kontrolle verantwortlich. Die Gesellschaft hat einen Datenschutzbeauftragten bestellt, diese Richtlinie und ergänzende Verfahren entwickelt und umgesetzt, stellt Informationen über ihre Richtlinien und Verfahren auf Anfrage zur Verfügung und schult ihre Mitarbeitenden. Sie führt schriftliche Aufzeichnungen, die ihre Compliance belegen.

5. Welche personenbezogenen Daten wir verarbeiten und warum

Zu den Kategorien personenbezogener Daten, die Meridium verarbeitet, und den wesentlichen Zwecken gehören die folgenden. Die Liste ist nicht abschließend; welche Daten im Einzelfall verarbeitet werden, hängt von den erbrachten Leistungen ab.

Personengruppe	Typische personenbezogene Daten	Wesentliche Zwecke
Mandanten und Interessenten	Name, Kontaktdaten, Funktion, Geschäftskorrespondenz	Beantwortung von Anfragen, Angebote, Leistungserbringung, Abrechnung, Beziehungspflege
Directors, Gesellschafter, wirtschaftlich Berechtigte und Organe von Mandantengesellschaften	Name, Staatsangehörigkeit, Ausweisdaten, Wohn- und Kontaktdaten, Angaben zur Herkunft von Vermögen und Mitteln	Gründungs- und Corporate-Secretarial-Leistungen, gesetzliche Einreichungen, Kundensorgfaltspflichten und AML-Compliance
Mitarbeitende und Bewerber	Identitäts-, Kontakt-, Beschäftigungs-, Vergütungs-, Steuer-, Bankverbindungs- und Notfallkontaktdaten	Einstellung, Gehaltsabrechnung, gesetzliche Abgaben, Arbeitsvisa, Leistungsbeurteilung und Personalverwaltung
Lieferanten, Partner und Empfehlungsgeber	Name, Kontaktdaten, gegebenenfalls Bankdaten	Beschaffung, Zahlung, Partnerschafts- und Empfehlungsverwaltung
Website-Besucher, Newsletter-Abonnenten und Veranstaltungsteilnehmer	Kontaktdaten, Kommunikation, technische und Nutzungsdaten	Beantwortung von Anfragen, Versand des Newsletters bei Einwilligung, Veranstaltungsorganisation und Betrieb der Website (siehe Abschnitt 6)

6. Website, Formulare und Online-Werkzeuge

Dieser Abschnitt erläutert, was mit personenbezogenen Daten geschieht, wenn Sie meridium.sg und die von dort verlinkten Seiten und Werkzeuge nutzen. Er gilt zusammen mit den übrigen Teilen dieser Richtlinie.

6.1 Kontaktformular und Newsletter-Anmeldung

Wenn Sie das Kontaktformular absenden, Ihren Plan aus dem Setup-Planer senden (Abschnitt 6.2), sich Ihre Fristen per E-Mail schicken lassen (Abschnitt 6.2) oder den Meridium-Newsletter abonnieren, werden die von Ihnen eingegebenen Angaben (Name, E-Mail-Adresse und, soweit angegeben, Unternehmen, Land, die Leistung, an der Sie interessiert sind, und Ihre Nachricht) aus Ihrem Browser direkt an HubSpot übermittelt, die von Meridium genutzte CRM-Plattform, und dort als Kontaktdatensatz gespeichert. Mit jeder Übermittlung werden zudem Adresse und Titel der Seite erfasst, von der sie gesendet wurde; die Adresse wird ohne etwaige Kampagnenangaben oder Klick-IDs aus dem Link übermittelt. Meridium verwendet diese Daten, um Ihre Anfrage zu beantworten, Angebote zu erstellen und Ihnen, sofern Sie sich angemeldet haben, den von Ihnen gewählten Newsletter (englisch oder deutsch) zuzusenden.

Angaben aus Anfragen, Prüfanfragen des Setup-Planers, Anforderungen der Fristen per E-Mail und Downloads speichert Meridium 24 Monate nach dem letzten Kontakt, sofern kein Mandat folgt; dann gilt Abschnitt 12. Newsletter-Daten werden bis zu Ihrer Abmeldung gespeichert.

Der Newsletter erscheint monatlich, wird von newsletter@meridium.sg versandt und behandelt geschäftliche, regulatorische, steuerliche und Compliance-Entwicklungen in Singapur und der Region. Mit der Anmeldung wird eine automatische Willkommens-E-Mail ausgelöst. HubSpot erfasst, ob ein Newsletter geöffnet wird und welche Links darin angeklickt werden, damit Meridium erkennt, welche Themen auf Interesse stoßen; darin willigen Sie mit der Anmeldung ein. Jeder Newsletter enthält einen Abmeldelink; Sie können Ihre Einwilligung außerdem jederzeit per E-Mail an dpo@meridium.sg widerrufen. Kontakte aus dem Kontaktformular werden nicht in den Newsletter aufgenommen, es sei denn, sie melden sich gesondert an.

Zusammen mit Ihren Angaben übermitteln das Kontaktformular und das Prüfformular des Setup-Planers, wie Sie auf die Website gelangt sind: die Kampagnenangaben im Link, der Sie hierher geführt hat, sofern vorhanden (etwa „utm“-Angaben zu Quelle und Kampagne), den Namen der Website, die auf uns verlinkt hat, die erste aufgerufene Seite und, nur wenn Sie Werbe-Cookies akzeptiert haben (Abschnitt 6.6), die Klick-ID von Google Ads. Meridium nutzt diese Angaben, um zu verstehen, über welche Kanäle Anfragen entstehen. Sie werden nur für die laufende Sitzung in Ihrem Browser gespeichert (Abschnitt 6.5) und nur übermittelt, wenn Sie eines dieser Formulare absenden.

HubSpot verarbeitet diese Daten im Auftrag von Meridium als Auftragsverarbeiter auf Grundlage eines schriftlichen Auftragsverarbeitungsvertrags auf Servern außerhalb Singapurs. Meridium stützt sich auf die vertraglichen Zusagen von HubSpot, ein mit dem PDPA vergleichbares Schutzniveau zu gewährleisten, wie in Abschnitt 11 beschrieben.

6.2 Online-Rechner und Werkzeuge

Der Einkommensteuerrechner und der Gehaltsrechner für den Employment Pass auf der Ressourcen-Seite sowie der Arbeitgeberkosten-Rechner, der Körperschaftsteuer-Rechner und der Quellensteuer-Rechner laufen vollständig in Ihrem Browser. Die von Ihnen eingegebenen Angaben, etwa Einkommen, Alter, Gehalt, Gewinn oder der Betrag einer Zahlung, werden ausschließlich auf Ihrem Gerät zur Berechnung des Ergebnisses verwendet und weder an Meridium noch an Dritte übermittelt oder gespeichert. Sofern Sie Analyse-Cookies akzeptiert haben (Abschnitt 6.6), erfasst das Google-Tag, dass ein Ergebnis des Arbeitgeberkosten-Rechners, des Körperschaftsteuer-Rechners oder des Quellensteuer-Rechners gedruckt wurde, ohne die Angaben oder das Ergebnis.

Auch der Setup-Planer läuft in Ihrem Browser. Ihre Antworten werden auf Ihrem Gerät verwendet, um Ihren Plan zu erstellen, und im Sitzungsspeicher (Session Storage) Ihres Browsers abgelegt, damit der Plan erhalten bleibt, wenn Sie die Seite verlassen und zurückkehren; sie werden gelöscht, wenn Sie den Browser-Tab schließen oder „Neu beginnen“ wählen. Sie werden nur dann an Meridium übermittelt, wenn Sie das Formular zur Prüfung am Ende des Plans absenden. In diesem Fall werden Ihre Antworten, eine Zusammenfassung des Plans, die vom Planer empfohlene Struktur, ein Prioritätswert von 0 bis 10, den der Planer aus Ihren Antworten berechnet (etwa ob Sie einen ansässigen Director oder einen Employment Pass benötigen und wie bald Sie starten möchten) und der Meridium bei der Planung der Antwort hilft, sowie die von Ihnen eingegebenen Angaben (Name, E-Mail-Adresse, Unternehmen, Land und eine etwaige Nachricht) aus Ihrem Browser direkt an HubSpot übermittelt und wie in Abschnitt 6.1 beschrieben als Anfrage behandelt. Der Wert dient nicht dazu, Entscheidungen über Sie zu treffen. Sofern Sie Analyse-Cookies akzeptiert haben (Abschnitt 6.6), erfasst das Google-Tag, dass der Planer gestartet, abgeschlossen oder abgesendet wurde, ohne Ihre Antworten oder Ihr Ergebnis.

Auch der Fristenrechner läuft in Ihrem Browser. Das Geschäftsjahresende und die gewählten Optionen werden ausschließlich auf Ihrem Gerät verwendet, um Ihre Fristen aufzulisten und die Kalenderdatei zu erstellen, die Sie herunterladen können; sie werden weder gespeichert noch übermittelt. Wenn Sie sich die Termine per E-Mail schicken lassen, werden Ihr Name, Ihre E-Mail-Adresse, Ihr Unternehmen (soweit angegeben) und die für Ihre Gesellschaft ermittelten Termine aus Ihrem Browser direkt an HubSpot übermittelt, wie in Abschnitt 6.1 beschrieben bei Ihrem Kontaktdatensatz gespeichert und verwendet, um Ihnen die Termine zu senden. Den Newsletter erhalten Sie nur, wenn Sie ihn gesondert abonnieren. Sofern Sie Analyse-Cookies akzeptiert haben (Abschnitt 6.6), erfasst das Google-Tag, dass die Kalenderdatei heruntergeladen, die Termine gedruckt oder die E-Mail angefordert wurde, ohne die Termine selbst.

6.3 Leitfäden, Compliance-Kalender und andere Downloads

Herunterladbare Ressourcen werden für Meridium von HubSpot auf der Subdomain resources.meridium.sg bereitgestellt. Für einen Download geben Sie Ihren Namen und Ihre E-Mail-Adresse an und, wenn Sie möchten, Ihr Unternehmen. Diese Angaben werden wie in Abschnitt 6.1 beschrieben in HubSpot gespeichert und verwendet, um Ihnen den Download bereitzustellen und zu verstehen, welche Ressourcen auf Interesse stoßen. Den Meridium-Newsletter erhalten Sie nur, wenn Sie im Formular das Kästchen für den Newsletter ankreuzen; Sie können ihn jederzeit abbestellen.

Die Seiten auf resources.meridium.sg werden von HubSpot ausgeliefert. Mit Ihrer Einwilligung, die Sie über das Cookie-Banner auf diesen Seiten erteilen, setzt HubSpot Cookies, um Seitenaufrufe zu messen und wiederkehrende Besucher zu erkennen. Für die Anzeige der Seite und den Betrieb des Formulars erforderliche Cookies werden in jedem Fall gesetzt. Ihre Auswahl können Sie jederzeit über den Link zu den Cookie-Einstellungen am Ende dieser Seiten ändern.

6.4 Gesprächsbuchung

Die Schaltflächen „Gespräch vereinbaren“ auf dieser Website verweisen auf Calendly, einen Terminplanungsdienst eines Drittanbieters. Die dort eingegebenen Angaben (Name, E-Mail-Adresse und etwaige Anmerkungen) werden von Calendly nach dessen eigener Datenschutzerklärung erhoben und an Meridium weitergegeben, um das Gespräch zu vereinbaren und durchzuführen. Nach der Buchung leitet Calendly Sie auf eine Bestätigungsseite auf meridium.sg weiter; Ihre Buchungsdaten werden dabei nicht an diese Seite übergeben.

6.5 Hosting, Server-Protokolle und Cookies

meridium.sg ist eine statische Website, die auf GitHub Pages gehostet und über Cloudflare ausgeliefert wird. Cloudflare stellt die verschlüsselte Verbindung bereit, speichert Inhalte zwischen und schützt die Website vor Angriffen. Wie jeder Webhoster führen GitHub und Cloudflare übliche Server-Protokolle, die Ihre IP-Adresse, den Browsertyp und die aufgerufenen Seiten enthalten können, zu Sicherheits- und Betriebszwecken. Meridium erhält diese Protokolle nicht in identifizierbarer Form. Cloudflare verwendet auf meridium.sg keine Cookies für Analyse- oder Werbezwecke. Stellt Cloudflare ungewöhnlichen Datenverkehr fest, kann eine kurze Sicherheitsprüfung angezeigt und ein technisch notwendiges Sicherheits-Cookie gesetzt werden, damit die Prüfung nicht wiederholt wird.

Auf meridium.sg wird kein HubSpot-Tracking-Skript geladen. Die Website speichert in Ihrem Browser einige wenige Werte: Einer hält fest, dass die Newsletter-Einladung angezeigt wurde oder dass Sie sich angemeldet haben, damit sie nicht erneut erscheint; ein weiterer speichert Ihre Cookie-Auswahl (siehe Abschnitt 6.6); der Setup-Planer bewahrt Ihre Antworten für die laufende Browsersitzung auf (siehe Abschnitt 6.2); und nur für die laufende Browsersitzung zählt die Website die aufgerufenen Seiten, damit die Newsletter-Einladung erst ab der zweiten Seite erscheint, und speichert die Kampagnenangaben des Links, über den Sie auf die Website gelangt sind (siehe Abschnitt 6.1). Abgesehen von diesen Kampagnenangaben, die nur mit einem von Ihnen abgesendeten Formular übermittelt werden, wird keiner dieser Werte an Meridium übermittelt, und alle können über die Browser-Einstellungen gelöscht werden.

6.6 Analyse- und Werbe-Cookies (Google)

Meridium verwendet das Google-Tag (Google Analytics und Google Ads, bereitgestellt von Google), um zu verstehen, wie Besucher meridium.sg finden und nutzen, und um die Ergebnisse seiner Online-Werbung zu messen. Das Google-Tag wird nur geladen, wenn Sie es in dem Cookie-Banner akzeptieren, das bei Ihrem ersten Besuch erscheint:

• Wenn Sie akzeptieren, wird das Google-Tag geladen und es werden Cookies von Google Analytics und Google Ads in Ihrem Browser gesetzt. Sie erfassen Informationen wie die besuchten Seiten, wie Sie auf die Website gelangt sind (einschließlich der Frage, ob Sie auf eine Meridium-Anzeige geklickt haben), Ihren ungefähren, aus der IP-Adresse abgeleiteten Standort sowie Ihren Geräte- und Browsertyp. Meridium nutzt diese Informationen in zusammengefasster Form, um die Website zu verbessern und seine Werbung zu messen. Meridium nutzt sie nicht, um Ihnen personalisierte Werbung (Remarketing) anzuzeigen.
• Wenn Sie ablehnen oder keine Auswahl treffen, wird das Google-Tag nicht geladen: Es läuft kein Google-Skript, es werden keine Informationen an Google übermittelt und keine Google-Cookies gesetzt.

Um zu messen, welche Seiten und Anzeigen zu Anfragen und Gesprächen führen, erfasst das Google-Tag nach Ihrer Zustimmung außerdem, wann eine Anfrage, ein Plan aus dem Setup-Planer, eine Anforderung der Fristen per E-Mail oder eine Newsletter-Anmeldung gesendet, wann die Kalenderdatei des Fristenrechners heruntergeladen oder gedruckt, wann ein Ergebnis des Arbeitgeberkosten-Rechners, des Körperschaftsteuer-Rechners oder des Quellensteuer-Rechners gedruckt, wann ein Link „Gespräch vereinbaren“ angeklickt und wann nach einer Gesprächsbuchung die Bestätigungsseite aufgerufen wird (Abschnitt 6.4), auf dieselbe Weise wie die oben beschriebenen übrigen Seitenaktivitäten. Diese Aufzeichnungen enthalten niemals Angaben, die Sie in ein Formular eingeben.

Ihre Auswahl wird zwölf Monate gespeichert. Sie können sie jederzeit über den Link „Cookie-Einstellungen“ am Ende jeder Seite ändern oder widerrufen; ein Widerruf beendet das Google-Tag und entfernt die auf meridium.sg gesetzten Google-Cookies.

Google verarbeitet diese Daten gemäß seiner Datenschutzerklärung und seinen Bedingungen zur Verarbeitung von Geschäftsdaten auf Servern, die sich außerhalb Singapurs befinden können, einschließlich der Vereinigten Staaten. Meridium stützt sich auf die vertraglichen Zusagen von Google, ein dem PDPA vergleichbares Schutzniveau zu gewährleisten, wie in Abschnitt 11 beschrieben. Soweit die Datenschutz-Grundverordnung (DSGVO) auf Ihren Besuch anwendbar ist, beruht der Einsatz des Google-Tags und seiner Cookies auf Ihrer Einwilligung.

6.7 E-Mail und Korrespondenz

E-Mail-Korrespondenz mit Meridium wird in Google Workspace geführt; Google verarbeitet die Daten im Auftrag von Meridium nach den Datenverarbeitungsbedingungen von Google auf Servern, die sich außerhalb Singapurs befinden können.

Wenn Sie Meridium anrufen oder eine Nachricht über WhatsApp senden, verwendet Meridium Ihre Angaben, um Ihnen zu antworten. WhatsApp-Nachrichten werden von WhatsApp (Teil von Meta) nach dessen eigenen Bedingungen und Datenschutzrichtlinien übermittelt. Bitte senden Sie keine Ausweisdokumente oder Finanzangaben per WhatsApp; Meridium fordert solche Unterlagen nach Beginn eines Mandats über einen sicheren Kanal an.

6.8 Besucher aus der Europäischen Union und dem Vereinigten Königreich

Soweit die Datenschutz-Grundverordnung (DSGVO) oder die UK GDPR auf Ihre Nutzung dieser Website anwendbar ist, ist Verantwortlicher die Meridium Management Consultants Pte. Ltd., 143 Cecil Street, #09-01 GB Building, Singapore 069542, anfragen@meridium.sg; der Datenschutzbeauftragte ist unter dpo@meridium.sg erreichbar. Ergänzend zu den übrigen Abschnitten gilt Folgendes.

Rechtsgrundlagen. Anfragen, Pläne aus dem Setup-Planer, Anforderungen der Fristen per E-Mail und Download-Anfragen: Beantwortung Ihrer Anfrage und vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an der Beantwortung geschäftlicher Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Newsletter: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Das Google-Tag und seine Cookies auf meridium.sg sowie HubSpot-Cookies auf resources.meridium.sg: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Server-Protokolle und Sicherheit der Website: unser berechtigtes Interesse am sicheren Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO).

Ihre Rechte. Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Sie können einer auf berechtigte Interessen gestützten Verarbeitung widersprechen, der Verarbeitung für Direktwerbung jederzeit. Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Schreiben Sie dazu an unseren Datenschutzbeauftragten unter dpo@meridium.sg. Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere in dem Land, in dem Sie leben oder arbeiten.

Speicherdauer. Newsletter-Daten speichern wir bis zu Ihrer Abmeldung. Angaben aus Anfragen und Downloads speichern wir 24 Monate nach dem letzten Kontakt, sofern kein Mandat folgt; dann gilt Abschnitt 12.

Übermittlung in Drittländer. Meridium hat ihren Sitz in Singapur. HubSpot und Google können Daten auch in den Vereinigten Staaten und anderen Ländern verarbeiten. Soweit sie Daten im Auftrag von Meridium verarbeiten, geschieht dies auf Grundlage ihrer Auftragsverarbeitungsbedingungen, die die Standardvertragsklauseln der Europäischen Kommission oder vergleichbare Garantien enthalten.

7. Rechtsgrundlagen und Ausnahmen von der Einwilligung

Neben der Einwilligung stützt sich Meridium, soweit angemessen, auf die im PDPA anerkannten Ausnahmen. Dazu gehören die folgenden, jeweils nur bei Vorliegen der gesetzlichen Voraussetzungen:

• vermutete Einwilligung, einschließlich der vermuteten Einwilligung aufgrund vertraglicher Notwendigkeit und aufgrund einer Mitteilung, wenn die Voraussetzungen des PDPA erfüllt sind;
• berechtigte Interessen, wenn der Nutzen für Meridium oder einen Dritten etwaige nachteilige Auswirkungen auf die betroffene Person überwiegt und eine Abwägung dokumentiert wurde;
• Geschäftsverbesserung, etwa zur Verbesserung von Leistungen, der betrieblichen Effizienz und zur Entwicklung neuer Angebote;
• gesetzliche oder aufsichtsrechtliche Anforderungen, wenn Erhebung, Verwendung oder Offenlegung nach anderem geschriebenen Recht erforderlich oder zulässig ist, einschließlich der in den Abschnitten 8 und 9 beschriebenen Pflichten; und
• weitere Ausnahmen des PDPA, etwa wenn die Verarbeitung für eine Untersuchung oder ein Verfahren erforderlich ist oder im Interesse der betroffenen Person liegt und eine Einwilligung nicht rechtzeitig eingeholt werden kann.

Stützt sich Meridium auf die Ausnahmen der berechtigten Interessen oder der Geschäftsverbesserung, wird die entsprechende Abwägung vom DPO dokumentiert und aufbewahrt.

8. Nationale Identifikationsnummern und sensible Daten

Meridium verarbeitet nationale Identifikationsnummern wie NRIC oder FIN sowie Kopien von Ausweisdokumenten nur, wenn die Erhebung, Verwendung oder Offenlegung gesetzlich vorgeschrieben ist oder erforderlich ist, um die Identität einer Person mit hoher Verlässlichkeit festzustellen oder zu überprüfen. Dies entspricht den Leitlinien der PDPC zum Umgang mit nationalen Identifikationsnummern. Kann die Identität auf andere Weise überprüft werden, nutzt Meridium diese Mittel. Die Gesellschaft verwendet nationale Identifikationsnummern nicht standardmäßig als Referenz, Login oder Kontokennung.

Meridium ist sich bewusst, dass bestimmte personenbezogene Daten, etwa Ausweisdokumente, Finanzinformationen und Angaben zur Herkunft von Vermögen und Mitteln, bei einer Kompromittierung ein erhöhtes Schadensrisiko bergen. Solche Daten unterliegen einem erhöhten Schutz, Zugriffsbeschränkungen und besonderer Aufsicht.

9. Kundensorgfaltspflichten sowie Bekämpfung von Geldwäsche, Terrorismus- und Proliferationsfinanzierung

Soweit Meridium Corporate Services im Sinne des Corporate Service Providers Act 2024 erbringt, der am 9. Juni 2025 in Kraft getreten ist, ist sie verpflichtet, sich bei der Accounting and Corporate Regulatory Authority zu registrieren und die Pflichten zur Bekämpfung von Geldwäsche, Terrorismusfinanzierung und Proliferationsfinanzierung einzuhalten. Dazu erhebt, verwendet, legt Meridium personenbezogene Daten im Rahmen von Kundensorgfaltsmaßnahmen offen und bewahrt sie auf, einschließlich der Identifizierung und Überprüfung von Mandanten, wirtschaftlich Berechtigten und kontrollierenden Personen, Screening und laufender Überwachung.

Für Kundensorgfaltspflichten erhobene personenbezogene Daten werden wie folgt behandelt:

• sie werden zur Erfüllung gesetzlicher und aufsichtsrechtlicher Pflichten erhoben und verarbeitet; wo die Einwilligung nicht Grundlage der Verarbeitung ist, stützt sich Meridium auf die einschlägigen Ausnahmen des PDPA;
• sie sind nur Mitarbeitenden zugänglich, die sie für Compliance- und Onboarding-Aufgaben benötigen;
• sie können an ACRA, das Suspicious Transaction Reporting Office, andere zuständige Behörden und Screening-Dienstleister weitergegeben werden, soweit gesetzlich erforderlich oder zulässig; und
• sie werden mindestens fünf Jahre nach Beendigung der Corporate Services für den Kunden aufbewahrt, entsprechend der Aufbewahrungspflicht nach dem Corporate Service Providers Act 2024 und seinen Verordnungen, und länger, wenn ein anderes Gesetz dies verlangt.

Ist eine Offenlegung gegenüber einer zuständigen Behörde gesetzlich vorgeschrieben, nimmt Meridium diese nach dem jeweiligen gesetzlichen Regime vor, einschließlich der geltenden Vertraulichkeits- und Tipping-off-Beschränkungen.

10. Auftragsverarbeiter und Drittanbieter

Meridium beauftragt Drittanbieter, etwa IT-, Cloud-, Payroll-, Screening- und professionelle Dienstleister, die personenbezogene Daten in ihrem Auftrag verarbeiten. Die Gesellschaft prüft solche Anbieter mit angemessener Sorgfalt und schließt schriftliche Verträge, die den Anbieter verpflichten, personenbezogene Daten auf einem dem PDPA mindestens gleichwertigen Niveau zu schützen, die Daten nur auf Weisung von Meridium und für die vereinbarten Zwecke zu verarbeiten, bei Auskunfts- und Berichtigungsanfragen sowie bei Datenschutzverletzungen zu unterstützen und die Daten bei Vertragsende zurückzugeben oder sicher zu löschen.

Handelt Meridium als Auftragsverarbeiter für einen Mandanten, verarbeitet die Gesellschaft personenbezogene Daten ausschließlich gemäß ihrem Vertrag mit diesem Mandanten und erfüllt die Schutz- und Aufbewahrungspflichten sowie die Meldepflichten, die nach dem PDPA für Auftragsverarbeiter gelten, einschließlich der unverzüglichen Benachrichtigung des Mandanten, sobald sie glaubhafte Anhaltspunkte für eine Datenschutzverletzung hat.

11. Grenzüberschreitende Übermittlung personenbezogener Daten

Meridium ist in ganz Asien tätig, arbeitet mit internationalen Auftraggebern und kann personenbezogene Daten für die in dieser Richtlinie beschriebenen Zwecke ins Ausland übermitteln. Vor einer Übermittlung ins Ausland unternimmt Meridium angemessene Schritte, um sicherzustellen, dass der Empfänger rechtlich durchsetzbaren Pflichten unterliegt, ein mit dem PDPA vergleichbares Schutzniveau zu gewährleisten. Dazu können Vertragsklauseln, konzerninterne Datenschutzvereinbarungen, verbindliche Unternehmensregeln oder anerkannte Zertifizierungen gehören. Beruht eine Übermittlung auf einer Einwilligung, wird die betroffene Person vor der Übermittlung darüber informiert.

12. Aufbewahrung und Löschung

Meridium bewahrt personenbezogene Daten nur so lange auf, wie sie für die Zwecke, für die sie erhoben wurden, oder zur Erfüllung gesetzlicher, aufsichtsrechtlicher, buchhalterischer oder vertraglicher Anforderungen benötigt werden. Die Aufbewahrungsfristen orientieren sich an den anwendbaren Gesetzen, zum Beispiel:

Art der Unterlagen	Indikative Mindestaufbewahrung
Kundensorgfalts- und AML-Unterlagen	Mindestens 5 Jahre nach Ende der Corporate-Services-Beziehung
Buchhaltungs- und Steuerunterlagen	Mindestens 5 Jahre gemäß Income Tax Act und Goods and Services Tax Act
Gesellschaftsrechtliche und gesetzliche Unterlagen	Gemäß Companies Act 1967
Personalunterlagen	Dauer der Beschäftigung zuzüglich der Fristen nach dem Employment Act und verwandten Gesetzen
Allgemeine Mandatsunterlagen	Dauer des Mandats zuzüglich der geltenden Verjährungsfrist

Werden personenbezogene Daten nicht mehr benötigt und besteht keine Aufbewahrungspflicht, löscht Meridium sie sicher oder anonymisiert sie, sodass Personen nicht mehr identifiziert werden können. Papierunterlagen werden geschreddert oder anderweitig sicher vernichtet, elektronische Daten sicher gelöscht.

13. Sicherheit personenbezogener Daten

Meridium ergreift angemessene organisatorische, technische und physische Maßnahmen zum Schutz personenbezogener Daten, die der Sensibilität der Daten und den Risiken angemessen sind. Dazu gehören:

• Organisatorische Maßnahmen: Zugriff nach dem Need-to-know-Prinzip, Vertraulichkeitsverpflichtungen, diese Richtlinie und ergänzende Verfahren, Mitarbeiterschulungen und Anbietermanagement.
• Technische Maßnahmen: Zugriffskontrollen und Authentifizierung, Verschlüsselung bei der Übertragung und, soweit angemessen, im Ruhezustand, Netzwerk- und Endgeräteschutz, Protokollierung und Überwachung, sichere Backups und Patch-Management.
• Physische Maßnahmen: gesicherte Räumlichkeiten, verschließbare Aufbewahrung von Papierunterlagen, Clean-Desk-Praxis und kontrollierte Entsorgung von Dokumenten und Datenträgern.

Mitarbeitende müssen jede vermutete Schwachstelle, jeden Verlust oder jede Kompromittierung personenbezogener Daten unverzüglich dem DPO melden, gemäß Abschnitt 14.

14. Umgang mit Datenschutzverletzungen und Meldung

Meridium unterhält ein Verfahren für Datenschutzverletzungen nach dem Rahmen der PDPC: Eindämmung, Bewertung der Auswirkungen, Meldung, wo erforderlich, und Auswertung, um Wiederholungen zu vermeiden.

Wer von einer tatsächlichen oder vermuteten Datenschutzverletzung Kenntnis erlangt, muss sie unverzüglich dem DPO melden. Der DPO leitet die Bewertung, ob die Verletzung meldepflichtig ist. Meldepflichtig ist eine Verletzung, die zu erheblichem Schaden für die Betroffenen führt oder wahrscheinlich führen wird oder die von erheblichem Umfang ist, also 500 oder mehr Personen betrifft.

Wird eine Verletzung als meldepflichtig bewertet, meldet Meridium sie der PDPC so bald wie möglich, spätestens jedoch drei Kalendertage nach dem Tag, an dem die Gesellschaft die Meldepflicht festgestellt hat. Ist ein erheblicher Schaden für die Betroffenen wahrscheinlich, benachrichtigt Meridium auch diese, gleichzeitig mit oder nach der Meldung an die PDPC, sofern keine Ausnahme von der Benachrichtigung gilt. Die Bewertung erfolgt zügig und wird nicht unangemessen verzögert.

Handelt Meridium als Auftragsverarbeiter, benachrichtigt sie die Organisation, in deren Auftrag sie die Daten verarbeitet, unverzüglich, sobald sie glaubhafte Anhaltspunkte für eine Verletzung hat, damit diese ihre eigenen Pflichten erfüllen kann.

Meridium führt ein Verzeichnis aller Datenschutzverletzungen, ob meldepflichtig oder nicht, zusammen mit der Bewertung und den ergriffenen Abhilfemaßnahmen.

15. Rechte der Betroffenen und ihre Ausübung

Betroffene können in Bezug auf die von Meridium gespeicherten personenbezogenen Daten:

• Auskunft über ihre personenbezogenen Daten und darüber verlangen, wie diese verwendet oder offengelegt wurden;
• die Berichtigung von Fehlern oder Auslassungen verlangen;
• eine erteilte Einwilligung mit angemessener Frist widerrufen; und
• Fragen oder Beschwerden zum Umgang mit ihren personenbezogenen Daten vorbringen.

Anfragen sind schriftlich an den Datenschutzbeauftragten unter dpo@meridium.sg zu richten. Meridium beantwortet Auskunfts- oder Berichtigungsanfragen so bald wie vernünftigerweise möglich und informiert die betroffene Person innerhalb von dreißig Tagen, falls eine Antwort in diesem Zeitraum nicht möglich ist. Für Auskunftsanfragen kann eine angemessene Gebühr erhoben werden, über die die Person vorab informiert wird. Meridium kann eine Anfrage ablehnen, wo der PDPA dies erlaubt oder verlangt, und teilt den Grund mit, soweit sie dazu verpflichtet ist.

16. Werbemitteilungen und Do-Not-Call-Bestimmungen

Versendet Meridium Werbemitteilungen, geschieht dies in Übereinstimmung mit den Einwilligungs- und Do-Not-Call-Bestimmungen des PDPA und dem Spam Control Act 2007. Vor dem Versand einer entsprechenden Nachricht an eine singapurische Telefonnummer prüft Meridium das jeweilige Do-Not-Call-Register, sofern keine klare und eindeutige Einwilligung in nachweisbarer Form oder eine andere Ausnahme vorliegt. Werbemitteilungen nennen die Gesellschaft als Absender, enthalten Kontaktinformationen und bieten eine Abmeldemöglichkeit. Abmeldungen werden innerhalb der gesetzlichen Frist umgesetzt.

17. Rollen und Verantwortlichkeiten

17.1 Datenschutzbeauftragter

Die Gesellschaft hat einen Datenschutzbeauftragten bestellt, der für die Überwachung der Einhaltung des PDPA und dieser Richtlinie verantwortlich ist, als Ansprechpartner für Betroffene und die PDPC dient, eine Datenschutzkultur fördert, in Datenschutzfragen berät, Auskunfts-, Berichtigungs- und Widerrufsanfragen bearbeitet, die Reaktion auf Datenschutzverletzungen leitet und Compliance-Aufzeichnungen führt. Der DPO ist unter dpo@meridium.sg erreichbar. Die Bestellung eines DPO entbindet Meridium nicht von ihren Pflichten nach dem PDPA.

17.2 Geschäftsleitung

Die Geschäftsleitung unterstützt den DPO, stellt angemessene Ressourcen bereit und sorgt dafür, dass Datenschutz in Geschäftsprozesse sowie in Auswahl und Überwachung von Anbietern eingebettet ist.

17.3 Alle Mitarbeitenden

Alle Mitarbeitenden müssen diese Richtlinie einhalten, personenbezogene Daten nur im Rahmen ihrer Befugnisse und Aufgaben verarbeiten, sie sicher und vertraulich behandeln, Verletzungen und Schwachstellen umgehend melden und Datenschutzschulungen absolvieren.

18. Schulung und Sensibilisierung

Meridium schult Mitarbeitende bei Eintritt und in regelmäßigen Abständen im Datenschutz sowie zusätzlich in Funktionen mit erhöhtem Datenschutzrisiko wie Onboarding, Compliance, Payroll und IT. Der DPO führt ein Verzeichnis der durchgeführten Schulungen.

19. Anwendbare Gesetze und regulatorischer Rahmen

Diese Richtlinie ist so gestaltet, dass sie mit den Gesetzen und Regelwerken übereinstimmt, die für den Umgang von Meridium mit personenbezogenen Daten gelten, darunter die folgenden. Die Liste ist nicht abschließend und ist zusammen mit den jeweils geltenden behördlichen Leitlinien zu lesen:

• der Personal Data Protection Act 2012 und seine Verordnungen, einschließlich der Personal Data Protection (Notification of Data Breaches) Regulations 2021;
• die Leitlinien, Verhaltenskodizes und Entscheidungen der Personal Data Protection Commission;
• der Corporate Service Providers Act 2024 und die Corporate Service Providers Regulations sowie die damit verbundenen Anforderungen zur Bekämpfung von Geldwäsche, Terrorismus- und Proliferationsfinanzierung;
• der Spam Control Act 2007 in Bezug auf elektronische Werbemitteilungen;
• der Companies Act 1967, der Income Tax Act 1947 und der Goods and Services Tax Act 1993 in Bezug auf Aufzeichnungs- und Aufbewahrungspflichten;
• der Employment Act 1968 und verwandte Gesetze in Bezug auf Personalunterlagen; und
• soweit für ein bestimmtes Mandat anwendbar, ausländische Datenschutzgesetze wie die Datenschutz-Grundverordnung der EU und die UK GDPR, wie mit dem jeweiligen Mandanten vereinbart.

Steht eine Bestimmung dieser Richtlinie im Widerspruch zu einer zwingenden gesetzlichen Anforderung, geht diese vor; die übrige Richtlinie gilt fort.

20. Fragen, Beschwerden und Kontakt

Fragen oder Beschwerden zum Umgang von Meridium mit personenbezogenen Daten sind an den Datenschutzbeauftragten unter dpo@meridium.sg oder an den Sitz der Gesellschaft, 143 Cecil Street, #09-01 GB Building, Singapore 069542, zu richten. Meridium bestätigt den Eingang, prüft Beschwerden und antwortet in angemessener Zeit. Ist eine Person mit der Antwort nicht zufrieden, kann sie sich an die Personal Data Protection Commission wenden.

21. Überprüfung und Governance

Diese Richtlinie wird mindestens jährlich überprüft sowie bei jeder wesentlichen Änderung des anwendbaren Rechts, der Leitlinien der PDPC oder der Geschäftstätigkeit oder Systeme von Meridium. Der DPO schlägt Aktualisierungen vor; wesentliche Änderungen werden von der Geschäftsleitung genehmigt. Die aktuelle Fassung ersetzt alle früheren Fassungen.