在处理个人信息时，我们将遵循如下几项原则，以根据BCR保护个人的基本权利和自由。每个实体在处理个人信息时都必须遵守以下原则：
原则一：合法性
在收集、使用和处理个人信息时应有记录在案的法律依据。这些法律依据请见如下有限列举。例如：
- 处理个人信息对于履行个人为一方当事人的合同（如员工合同和销售合同）而言是必需的
- 经过个人的同意
- 费森尤斯的合法利益大于对个人的负面影响
- 需要履行其他法律义务，如税法、药物警戒要求或GxP（药品质量管理规范）要求。
处理特殊类型的数据（如健康数据）需要额外的法律依据。
如果当地法律另有额外或不同的规定，则也需要遵守该等规定（例如，可能与员工数据有关的规定）。
原则二：透明度和公平性
以公平、透明的方式处理个人信息。在收集和使用个人信息之前或当时，告知个人如下信息：
- 谁负责以及如何联系我们
- 收集哪些数据
- 如何收集数据
- 我们为什么需要这些数据（目的）
- 与哪些组织共享数据
- 是否与其他国家共享
- 数据将存储多长时间
- 收集和使用数据的法律依据及其解释（原则一）
- 是否对个人进行画像
- 我们是否通过自动化方式做出任何决定
- 是否必须提供数据以及如果不提供数据会发生什么
- DPO和监管机构的联系方式
- 个人拥有的权利。
所有上述信息必须以全面且易于获取的形式提供，并采用清晰简明的语言。
原则三：目的限制
仅将个人信息用于收集时指定的、明确的和合法的目的。不允许进一步使用个人信息，除非该进一步使用符合原始目的和/或采取了额外措施。
通常认为与原始目的一致的进一步处理目的包括：
对于是否允许变更处理目的，（L）DPA将能够提供指导。在允许变更目的的情况下，必须将任何变更告知个人。
原则四：数据最小化
仅收集和使用向个人告知的既定目的所必需的个人信息。这意味着要确保个人信息与目的相关且不过分。
原则五：准确性
保持个人信息准确且为最新数据。必须实施相应程序，确保及时删除、更正或更新不准确的数据。
原则六：储存限制
除非法律要求，否则个人信息的保留期限不得超过实现收集目的所必需的时间。在这种情况下，必须限制对个人信息的访问。如果不再具有法律理由或目的，则应删除或匿名化个人信息。
原则七：安全、完整和保密
采取适当的技术和组织措施，保护个人信息免遭破坏、丢失、更改、泄露或访问（例如，采取适当的角色和权限相匹配、备份和恢复数据，或使用加密技术）。
在实施上述措施时，必须考虑对个人造成的风险。在安装和维护IT系统时，必须根据上述风险因素评估IT系统的安全性。
对于可能对受影响个人造成风险的任何安全漏洞，进行记录并向数据保护组织报告。根据具体情况，还必须将上述安全漏洞通知监管机构、个人或其他组织。
原则八：问责
需要能够证明已经遵守了BCR。这可以通过创建和维护适当的文件来证明，例如：
- 处理活动的记录（Ropa）
- 为遵守数据保护原则并解决相关风险而采取的技术和组织措施
- 数据保护风险和控制措施评估
使用数据处理者（Processor）
仅使用那些能够提供足够保证，采取适当的技术和组织措施使得处理符合 BCR 和当地数据保护法要求的数据处理者。这必须通过相关实体和数据处理者之间签署数据保护合同来确保实现。
个人信息的（继续）传输
根据上述BCR，采取措施以充分保障将个人信息传输至EEA以外其他组织的安全性。这可以通过与其他组织商定采用欧盟委员会通过的标准合同条款实现。