Datenschutz gemäß GDPR

Anwendungsbereich
Diese Regelungen betreffen die Verarbeitung personenbezogener Daten von Nutzern mit Bezug zu Deutschland.
Erfasst sind sowohl Angebote von Waren oder Dienstleistungen an Personen in Deutschland als auch die Beobachtung ihres Verhaltens, unabhängig davon, ob die Datenverarbeitung innerhalb oder außerhalb der Europäischen Union erfolgt.
Die Vorschriften gelten für elektronische Datenverarbeitung sowie für strukturierte papierbasierte Datensammlungen.
Reine persönliche oder familiäre Tätigkeiten fallen nicht unter diesen Anwendungsbereich.

Grundsätze der Verarbeitung
Jede Verarbeitung personenbezogener Daten hat folgenden Anforderungen zu entsprechen:

• Rechtmäßigkeit, Fairness und Nachvollziehbarkeit
• Zweckbindung an eindeutig definierte Verwendungszwecke
• Beschränkung auf erforderliche Daten sowie deren Richtigkeit
• Speicherung nur für einen begrenzten Zeitraum
• Gewährleistung von Integrität und Vertraulichkeit, insbesondere Schutz vor unbefugtem Zugriff oder Offenlegung

Rechte betroffener Personen
Betroffene Personen verfügen über folgende Rechte:

• Anspruch auf Information, Einsicht sowie Berichtigung gespeicherter Daten
• Recht auf Löschung (Recht auf Vergessenwerden)
• Möglichkeit zur Einschränkung der Verarbeitung sowie zum Widerspruch
• Anspruch auf Datenübertragbarkeit
• Widerruf einer erteilten Einwilligung

Für Personen unter 15 Jahren ist eine Zustimmung durch Erziehungsberechtigte erforderlich.

Pflichten von Auftragsverarbeitern
Externe Dienstleister, beispielsweise in den Bereichen Logistik, Kundenservice oder Hosting, sind verpflichtet:

• Datenverarbeitung ausschließlich auf Grundlage dokumentierter Weisungen durchzuführen
• geeignete technische und organisatorische Schutzmaßnahmen umzusetzen
• bei der Wahrnehmung von Betroffenenrechten mitzuwirken
• Datenschutzverletzungen unverzüglich zu melden
• Verzeichnisse über Verarbeitungstätigkeiten zu führen

Soweit erforderlich, ist ein Datenschutzbeauftragter zu benennen und gegenüber der zuständigen deutschen Aufsichtsbehörde für Datenschutz und Informationsfreiheit (BfDI) zu melden.

Übermittlung von Daten in Drittländer
Bei der Weitergabe personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums ist ein angemessenes Schutzniveau sicherzustellen.
Dies kann insbesondere erfolgen durch:

• Angemessenheitsbeschlüsse der Europäischen Kommission
• Abschluss von Standardvertragsklauseln (SCC)
• zusätzliche Maßnahmen wie Verschlüsselung und Zugriffsbeschränkungen

Aufsicht und Sanktionen
Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ist befugt, Kontrollen durchzuführen, unzulässige Verarbeitungen auszusetzen oder zu untersagen sowie Geldbußen zu verhängen.
Die möglichen Sanktionen können bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist.

Einhaltung und Verantwortung
Die Datenverarbeitung ist darauf ausgerichtet, den Einfluss der Nutzer auf ihre personenbezogenen Informationen sicherzustellen.
Transparente und nachvollziehbare Verfahren bilden die Grundlage der Verarbeitung.
Geeignete Maßnahmen dienen der Minimierung von Risiken im Zusammenhang mit dem Schutz personenbezogener Daten.