Datenschutz-Grundverordnung

Anwendungsbereich

Diese Regelungen betreffen die Verarbeitung personenbezogener Daten von Personen in Deutschland.

Erfasst sind sowohl Fälle, in denen Waren oder Dienstleistungen an Personen in Deutschland angeboten werden, als auch Situationen, in denen deren Verhalten analysiert oder beobachtet wird, unabhängig davon, ob die Datenverarbeitung innerhalb oder außerhalb der Europäischen Union erfolgt.

Die Bestimmungen gelten für elektronische Daten sowie für strukturierte Datensammlungen in Papierform.

Rein persönliche oder familiäre Tätigkeiten fallen nicht unter diese Regelung.

Grundsätze der Datenverarbeitung

Die Verarbeitung personenbezogener Daten erfolgt unter Einhaltung folgender Anforderungen:

• Rechtmäßigkeit, Fairness und Transparenz

• Zweckbindung an klar definierte Verarbeitungsziele

• Beschränkung auf erforderliche Datenmengen sowie Sicherstellung der Richtigkeit

• Begrenzung der Speicherdauer auf das notwendige Maß

• Gewährleistung von Sicherheit, Integrität und Vertraulichkeit zum Schutz vor unbefugtem Zugriff oder Offenlegung

Rechte betroffener Personen

Betroffene Personen verfügen über folgende Ansprüche:

• Information über die Datenverarbeitung sowie Auskunft und Berichtigung

• Löschung personenbezogener Daten („Recht auf Vergessenwerden“)

• Einschränkung der Verarbeitung sowie Widerspruchsrecht

• Übertragbarkeit der bereitgestellten Daten

• Widerruf erteilter Einwilligungen

Für Personen unter 15 Jahren ist eine Zustimmung durch Eltern oder gesetzliche Vertreter erforderlich.

Pflichten von Auftragsverarbeitern

Dritte, die in die Datenverarbeitung eingebunden sind, beispielsweise im Bereich Logistik, Kundendienst oder Hosting, sind verpflichtet:

• ausschließlich auf Grundlage dokumentierter Weisungen tätig zu werden

• angemessene technische und organisatorische Sicherheitsmaßnahmen umzusetzen

• bei der Bearbeitung von Anfragen betroffener Personen mitzuwirken

• Datenschutzverletzungen unverzüglich zu melden

• Verzeichnisse über Verarbeitungstätigkeiten zu führen

Soweit erforderlich, ist ein Datenschutzbeauftragter zu benennen und eine Meldung an die zuständige deutsche Aufsichtsbehörde für Datenschutz und Informationsfreiheit vorzunehmen.

Übermittlung in Drittländer

Werden personenbezogene Daten in Staaten außerhalb des Europäischen Wirtschaftsraums übertragen, ist ein angemessenes Schutzniveau sicherzustellen, beispielsweise durch:

• Angemessenheitsbeschlüsse der Europäischen Kommission

• Verwendung von Standardvertragsklauseln (SCC)

• zusätzliche Maßnahmen wie Verschlüsselung oder Zugriffsbeschränkungen

Aufsicht und Sanktionen

Die zuständige deutsche Datenschutzaufsichtsbehörde (BfDI) ist befugt:

• Kontrollen und Prüfungen durchzuführen

• nicht konforme Verarbeitungsvorgänge auszusetzen oder zu untersagen

• Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes zu verhängen, wobei der jeweils höhere Betrag maßgeblich ist

Einhaltung der Vorschriften

Die Verarbeitung personenbezogener Daten erfolgt unter Beachtung der Kontrolle durch betroffene Personen.

Es werden transparente und nachvollziehbare Verfahren eingesetzt.

Zur Minimierung von Risiken für die Privatsphäre werden geeignete Schutzmaßnahmen angewendet.