Datenschutzbestimmungen gemäß GDPR

Anwendungsbereich

Diese Regelungen betreffen die Verarbeitung personenbezogener Daten von Nutzern mit Bezug zu Deutschland

Sie gelten sowohl für das Anbieten von Waren oder Dienstleistungen an Personen in Deutschland als auch für die Beobachtung ihres Nutzerverhaltens, unabhängig davon, ob die Datenverarbeitung innerhalb oder außerhalb der Europäischen Union erfolgt

Erfasst sind sowohl elektronische Daten als auch strukturierte papierbasierte Aufzeichnungen

Nicht eingeschlossen ist die Verarbeitung im rein persönlichen oder familiären Bereich

Grundprinzipien der Datenverarbeitung

Die Verarbeitung personenbezogener Daten erfolgt unter Einhaltung folgender Anforderungen:

Rechtmäßigkeit, Transparenz und faire Behandlung

Zweckbindung auf eindeutig definierte Verarbeitungsziele

Beschränkung auf notwendige Daten sowie Sicherstellung ihrer Richtigkeit

Begrenzung der Speicherdauer auf den erforderlichen Zeitraum

Schutz von Integrität und Vertraulichkeit zur Verhinderung unbefugten Zugriffs oder Offenlegung

Rechte der betroffenen Personen

Betroffene Personen können folgende Rechte ausüben:

Auskunft über gespeicherte Daten sowie Information über deren Verarbeitung

Berichtigung unzutreffender Daten

Löschung personenbezogener Informationen (Recht auf Vergessenwerden)

Einschränkung der Verarbeitung sowie Widerspruch gegen bestimmte Verarbeitungen

Übertragbarkeit der Daten in einem strukturierten Format

Widerruf einer erteilten Einwilligung

Bei Personen unter 15 Jahren ist die Zustimmung eines Erziehungsberechtigten erforderlich

Pflichten externer Auftragsverarbeiter

Dienstleister, beispielsweise im Bereich Logistik, Kundenservice oder Hosting, sind verpflichtet:

Verarbeitung ausschließlich auf Grundlage dokumentierter Anweisungen vorzunehmen

Geeignete technische und organisatorische Maßnahmen zum Schutz der Daten umzusetzen

Bei der Wahrnehmung von Betroffenenrechten zu unterstützen

Datenschutzverletzungen unverzüglich zu melden

Aufzeichnungen über sämtliche Verarbeitungstätigkeiten zu führen

Soweit erforderlich, eine verantwortliche Person für den Datenschutz zu benennen und diese der zuständigen deutschen Aufsichtsbehörde zu melden

Datenübermittlung in Drittländer

Bei der Übertragung personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums ist ein angemessenes Schutzniveau sicherzustellen, beispielsweise durch:

Angemessenheitsbeschlüsse der Europäischen Kommission

Standardvertragsklauseln (SCC)

Zusätzliche Maßnahmen wie Verschlüsselung und Zugriffsbeschränkungen

Aufsicht und Sanktionen

Die zuständige Aufsichtsbehörde in Deutschland (BfDI) ist befugt:

Prüfungen und Kontrollen durchzuführen

Nicht konforme Datenverarbeitungen auszusetzen oder zu untersagen

Geldbußen zu verhängen, die bis zu 20000000 € oder 4 % des weltweiten Jahresumsatzes betragen können, wobei der höhere Betrag maßgeblich ist

Einhaltung der Datenschutzanforderungen

Die Datenverarbeitung erfolgt unter Berücksichtigung der Rechte der betroffenen Personen sowie transparenter Abläufe

Zur Reduzierung von Risiken im Bereich Datenschutz werden geeignete organisatorische und technische Maßnahmen eingesetzt