Datenschutzbestimmungen gemäß GDPR

Anwendungsbereich

Diese Regelungen betreffen die Verarbeitung personenbezogener Daten von Nutzern mit Bezug zu Deutschland

Sie finden Anwendung, wenn Waren oder Dienstleistungen für Personen in Deutschland bereitgestellt werden oder deren Verhalten analysiert wird, unabhängig davon, ob die Datenverarbeitung innerhalb oder außerhalb der Europäischen Union erfolgt

Erfasst sind sowohl digitale Daten als auch strukturierte papierbasierte Aufzeichnungen

Nicht erfasst ist die Verarbeitung zu ausschließlich persönlichen oder familiären Zwecken

Grundsätze der Datenverarbeitung

Die Verarbeitung personenbezogener Daten erfolgt unter Einhaltung folgender Anforderungen:

Rechtmäßigkeit, Transparenz und faire Behandlung

Zweckgebundene Nutzung für klar definierte Ziele

Beschränkung auf notwendige Daten sowie Sicherstellung der Richtigkeit

Speicherung nur für einen begrenzten Zeitraum

Schutz der Integrität und Vertraulichkeit zur Vermeidung unbefugten Zugriffs oder Offenlegung

Rechte der betroffenen Personen

Betroffene Personen können folgende Rechte geltend machen:

Auskunft über die Verarbeitung sowie Zugang zu den gespeicherten Daten

Berichtigung unrichtiger Informationen

Löschung personenbezogener Daten (Recht auf Vergessenwerden)

Einschränkung der Verarbeitung sowie Widerspruch gegen bestimmte Verarbeitungen

Übertragbarkeit der Daten in einem strukturierten Format

Widerruf einer erteilten Einwilligung

Für Personen unter 15 Jahren ist die Zustimmung eines Erziehungsberechtigten erforderlich

Pflichten externer Auftragsverarbeiter

Dienstleister, etwa im Bereich Logistik, Kundenservice oder Hosting, sind verpflichtet:

Verarbeitung ausschließlich auf Grundlage dokumentierter Anweisungen vorzunehmen

Geeignete technische und organisatorische Sicherheitsmaßnahmen umzusetzen

Bei der Wahrnehmung von Betroffenenrechten mitzuwirken

Verletzungen des Datenschutzes unverzüglich zu melden

Aufzeichnungen über Verarbeitungstätigkeiten zu führen

Falls erforderlich, eine verantwortliche Person für den Datenschutz zu benennen und diese der zuständigen deutschen Aufsichtsbehörde zu melden

Übermittlung in Drittländer

Bei einer Übertragung personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums ist ein angemessenes Schutzniveau sicherzustellen, beispielsweise durch:

Beschlüsse der Europäischen Kommission zur Angemessenheit

Standardvertragsklauseln (SCC)

Ergänzende Maßnahmen wie Verschlüsselung und Zugriffsbeschränkungen

Aufsicht und Sanktionen

Die zuständige Aufsichtsbehörde in Deutschland (BfDI) ist befugt:

Kontrollen und Prüfungen durchzuführen

Nicht konforme Datenverarbeitungen auszusetzen oder zu untersagen

Geldbußen zu verhängen, die bis zu 20000000 € oder 4 % des weltweiten Jahresumsatzes betragen können, wobei der höhere Betrag maßgeblich ist

Einhaltung der Datenschutzanforderungen

Die Datenverarbeitung erfolgt unter Berücksichtigung der Rechte der betroffenen Personen sowie transparenter Abläufe

Zur Minimierung von Risiken im Bereich Datenschutz werden geeignete organisatorische und technische Maßnahmen eingesetzt