Datenschutz nach DSGVO

Anwendungsbereich
Diese Bestimmungen gelten für die Verarbeitung personenbezogener Daten von Nutzern in Deutschland.
Erfasst sind sowohl Fälle, in denen Waren oder Dienstleistungen für Personen in Deutschland bereitgestellt werden, als auch Situationen, in denen deren Verhalten analysiert wird, unabhängig davon, ob die Datenverarbeitung innerhalb oder außerhalb der Europäischen Union erfolgt.
Die Regelung umfasst sowohl elektronische Datensätze als auch strukturierte papierbasierte Ablagen.
Nicht erfasst sind Datenverarbeitungen, die ausschließlich persönlichen oder familiären Zwecken dienen.

Grundsätze der Datenverarbeitung
Die Verarbeitung personenbezogener Daten hat unter Einhaltung folgender Anforderungen zu erfolgen:

• Rechtmäßigkeit, Fairness und Transparenz gegenüber betroffenen Personen
• Zweckbindung auf klar definierte und legitime Ziele
• Beschränkung auf das notwendige Maß sowie Sicherstellung der Richtigkeit
• Begrenzung der Speicherdauer auf das erforderliche Minimum
• Gewährleistung von Integrität und Vertraulichkeit, einschließlich Schutz vor unbefugtem Zugriff oder Offenlegung

Rechte der betroffenen Personen
Betroffene können folgende Rechte geltend machen:

• Anspruch auf Information, Einsicht und Berichtigung personenbezogener Daten
• Recht auf Löschung („Recht auf Vergessenwerden“)
• Einschränkung der Verarbeitung sowie Widerspruch gegen bestimmte Verarbeitungen
• Datenübertragbarkeit
• Widerruf erteilter Einwilligungen

Für Personen unter 15 Jahren ist die Zustimmung eines Elternteils oder einer erziehungsberechtigten Person erforderlich.

Pflichten von Auftragsverarbeitern
Dritte, die im Rahmen der Datenverarbeitung eingebunden sind, wie beispielsweise Anbieter im Bereich Logistik, Kundenservice oder Hosting, sind verpflichtet:

• ausschließlich auf Grundlage dokumentierter Weisungen tätig zu werden
• angemessene technische und organisatorische Sicherheitsmaßnahmen umzusetzen
• bei der Wahrnehmung von Betroffenenrechten unterstützend mitzuwirken
• Datenschutzverletzungen unverzüglich zu melden
• Verzeichnisse über Verarbeitungstätigkeiten zu führen

Soweit erforderlich, ist ein Datenschutzbeauftragter zu benennen und der zuständigen deutschen Aufsichtsbehörde zu melden.

Datenübermittlung in Drittländer
Bei Übertragungen personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums ist ein angemessenes Schutzniveau sicherzustellen.
Dies kann insbesondere erfolgen durch:

• Angemessenheitsbeschlüsse der Europäischen Kommission
• Standardvertragsklauseln (SCC)
• zusätzliche Maßnahmen wie Verschlüsselung und Zugriffsbeschränkungen

Aufsicht und Sanktionen
Die zuständige deutsche Aufsichtsbehörde (BfDI) ist befugt:

• Prüfungen und Kontrollen durchzuführen
• unzulässige Verarbeitungen auszusetzen oder zu untersagen
• Geldbußen zu verhängen, die bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes betragen können, je nachdem, welcher Betrag höher ist

Verpflichtung zur Einhaltung
Es wird sichergestellt, dass betroffene Personen die Kontrolle über ihre personenbezogenen Daten behalten.
Die Datenverarbeitung erfolgt nachvollziehbar und unter Berücksichtigung der Rechenschaftspflicht.
Geeignete Maßnahmen werden eingesetzt, um Risiken für die Privatsphäre zu minimieren und den Schutz personenbezogener Daten zu gewährleisten.