Datenschutzregelung gemäß GDPR

Anwendungsbereich

Diese Bestimmungen betreffen die Verarbeitung personenbezogener Daten von Personen mit Bezug zu Deutschland

Sie gelten sowohl für das Angebot von Waren oder Dienstleistungen an Nutzer in Deutschland als auch für die Analyse ihres Verhaltens, unabhängig davon, ob die Datenverarbeitung innerhalb oder außerhalb der Europäischen Union erfolgt

Erfasst werden sowohl elektronische Daten als auch strukturierte papierbasierte Aufzeichnungen

Nicht eingeschlossen ist die Verarbeitung zu ausschließlich privaten oder familiären Zwecken

Grundsätze der Datenverarbeitung

Bei der Verarbeitung personenbezogener Daten sind folgende Anforderungen einzuhalten:

Rechtmäßigkeit, Transparenz und faire Verarbeitung

Verwendung ausschließlich für eindeutig festgelegte Zwecke

Beschränkung auf erforderliche Daten sowie Sicherstellung ihrer Richtigkeit

Begrenzung der Speicherung auf einen notwendigen Zeitraum

Wahrung von Integrität und Vertraulichkeit zur Verhinderung unbefugten Zugriffs oder Offenlegung

Rechte der betroffenen Personen

Betroffene Personen können folgende Rechte ausüben:

Auskunft über gespeicherte Daten sowie Zugang zu diesen Informationen

Berichtigung unzutreffender Angaben

Löschung personenbezogener Daten (Recht auf Vergessenwerden)

Einschränkung der Verarbeitung sowie Widerspruch gegen bestimmte Verarbeitungen

Übertragbarkeit der Daten in einem strukturierten Format

Widerruf einer erteilten Einwilligung

Für Personen unter 15 Jahren ist die Zustimmung eines Erziehungsberechtigten erforderlich

Pflichten externer Dienstleister

Dritte, die mit der Verarbeitung beauftragt sind, beispielsweise im Bereich Logistik, Kundenservice oder Hosting, sind verpflichtet:

Verarbeitung ausschließlich auf Grundlage dokumentierter Anweisungen vorzunehmen

Geeignete technische und organisatorische Sicherheitsmaßnahmen umzusetzen

Bei der Wahrnehmung von Betroffenenrechten zu unterstützen

Datenschutzverletzungen unverzüglich zu melden

Aufzeichnungen über sämtliche Verarbeitungstätigkeiten zu führen

Soweit erforderlich, eine verantwortliche Person für den Datenschutz zu benennen und diese der zuständigen deutschen Aufsichtsbehörde zu melden

Datenübermittlung außerhalb des EWR

Bei der Übertragung personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums ist ein angemessenes Schutzniveau sicherzustellen, beispielsweise durch:

Angemessenheitsbeschlüsse der Europäischen Kommission

Standardvertragsklauseln (SCC)

Zusätzliche Maßnahmen wie Verschlüsselung und Zugriffsbeschränkungen

Aufsicht und Sanktionen

Die zuständige Aufsichtsbehörde in Deutschland (BfDI) ist berechtigt:

Kontrollen und Prüfungen durchzuführen

Nicht konforme Datenverarbeitungen auszusetzen oder zu untersagen

Geldbußen zu verhängen, die bis zu 20000000 € oder 4 % des weltweiten Jahresumsatzes betragen können, wobei der höhere Betrag maßgeblich ist

Einhaltung der Datenschutzanforderungen

Die Verarbeitung personenbezogener Daten erfolgt unter Berücksichtigung der Rechte der betroffenen Personen sowie transparenter Abläufe

Zur Minimierung von Risiken im Bereich Datenschutz werden geeignete organisatorische und technische Maßnahmen eingesetzt