GDPR

Geltungsbereich
Diese Vorschriften betreffen die Verarbeitung personenbezogener Daten von Personen in Deutschland.
Erfasst sind Tätigkeiten im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen für Nutzer in Deutschland sowie Maßnahmen zur Beobachtung ihres Verhaltens, auch wenn die Verarbeitung außerhalb der Europäischen Union erfolgt.
Die Regelungen gelten sowohl für elektronisch gespeicherte Daten als auch für strukturierte, manuell geführte Datensammlungen.
Verarbeitungen zu ausschließlich persönlichen oder familiären Zwecken sind hiervon ausgenommen.

Grundsätze der Datenverarbeitung
Bei der Verarbeitung personenbezogener Daten sind folgende Anforderungen einzuhalten:

• Rechtmäßige, faire und transparente Verarbeitung
• Nutzung ausschließlich für eindeutig festgelegte Zwecke
• Beschränkung auf notwendige Daten sowie Sicherstellung der Richtigkeit
• Speicherung nur für einen begrenzten Zeitraum
• Schutz der Integrität und Vertraulichkeit zur Vermeidung unbefugten Zugriffs oder Offenlegung

Rechte betroffener Personen
Betroffene können folgende Rechte ausüben:

• Auskunft über die Verarbeitung sowie Zugang zu gespeicherten Daten und deren Berichtigung
• Löschung personenbezogener Daten im Rahmen des Rechts auf Vergessenwerden
• Einschränkung der Verarbeitung sowie Widerspruch gegen bestimmte Verarbeitungen
• Übertragbarkeit der bereitgestellten Daten
• Widerruf einer erteilten Einwilligung
  Für Personen unter 15 Jahren ist die Zustimmung eines Erziehungsberechtigten erforderlich.

Pflichten von Auftragsverarbeitern
Dritte, die Dienstleistungen wie Versand, Support oder Hosting erbringen, sind verpflichtet:

• personenbezogene Daten ausschließlich gemäß dokumentierten Anweisungen zu verarbeiten
• geeignete technische und organisatorische Maßnahmen zum Schutz der Daten umzusetzen
• bei der Wahrnehmung von Betroffenenrechten mitzuwirken
• Datenschutzverletzungen unverzüglich zu melden
• Verzeichnisse über Verarbeitungstätigkeiten zu führen
  Soweit erforderlich, ist eine verantwortliche Person für den Datenschutz zu benennen und gegenüber der zuständigen deutschen Aufsichtsbehörde zu melden.

Datenübermittlung in Drittländer
Bei Übertragungen personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums ist ein angemessenes Schutzniveau sicherzustellen. Dies kann beispielsweise erfolgen durch:

• Angemessenheitsbeschlüsse der Europäischen Kommission
• Verwendung von Standardvertragsklauseln (SCC)
• ergänzende Maßnahmen wie Verschlüsselung oder Zugriffsbeschränkungen

Aufsicht und Sanktionen
Die zuständige Aufsichtsbehörde in Deutschland, insbesondere der BfDI, ist berechtigt:

• Prüfungen durchzuführen
• nicht konforme Datenverarbeitung auszusetzen oder zu untersagen
• Geldbußen von bis zu 20000000 € oder bis zu 4 % des weltweiten Jahresumsatzes zu verhängen, wobei der höhere Betrag maßgeblich ist

Einhaltung der Datenschutzanforderungen
Es wird sichergestellt, dass betroffene Personen Kontrolle über ihre Daten behalten.
Die Verarbeitung erfolgt nachvollziehbar und unter Beachtung der jeweiligen Verantwortlichkeiten.
Geeignete Maßnahmen werden eingesetzt, um Risiken für die Privatsphäre zu reduzieren und den Schutz personenbezogener Daten zu gewährleisten.