GDPR

Geltungsbereich
Diese Regelungen betreffen die Verarbeitung personenbezogener Daten von Personen in Deutschland.
Erfasst sind Tätigkeiten im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen für Nutzer in Deutschland sowie Maßnahmen zur Analyse ihres Verhaltens, unabhängig davon, ob die Verarbeitung innerhalb oder außerhalb der Europäischen Union erfolgt.
Die Vorschriften gelten sowohl für elektronische Daten als auch für strukturierte manuelle Aufzeichnungen.
Verarbeitungen, die ausschließlich persönlichen oder familiären Zwecken dienen, sind hiervon ausgenommen.

Grundsätze der Verarbeitung
Bei der Verarbeitung personenbezogener Daten sind folgende Anforderungen einzuhalten:

• Rechtmäßigkeit, Transparenz und faire Behandlung
• Zweckbindung auf eindeutig definierte Ziele
• Beschränkung auf notwendige Daten sowie Sicherstellung der Richtigkeit
• Begrenzte Speicherdauer
• Schutz der Integrität und Vertraulichkeit zur Vermeidung unbefugter Zugriffe oder Offenlegung

Rechte betroffener Personen
Betroffene haben Anspruch auf:

• Information über die Datenverarbeitung sowie Zugang zu den gespeicherten Daten und deren Berichtigung
• Löschung personenbezogener Daten im Rahmen des Rechts auf Vergessenwerden
• Einschränkung der Verarbeitung sowie Widerspruch gegen bestimmte Verarbeitungen
• Übertragbarkeit der bereitgestellten Daten
• Widerruf erteilter Einwilligungen
  Für Personen unter 15 Jahren ist die Zustimmung der Erziehungsberechtigten erforderlich.

Pflichten von Auftragsverarbeitern
Dritte, die Leistungen wie Versand, Support oder Hosting erbringen, sind verpflichtet:

• Daten ausschließlich auf Grundlage dokumentierter Anweisungen zu verarbeiten
• geeignete Sicherheitsmaßnahmen umzusetzen
• bei der Wahrnehmung von Betroffenenrechten mitzuwirken
• Datenschutzverletzungen zu melden
• Verzeichnisse über Verarbeitungstätigkeiten zu führen
  Sofern erforderlich, ist eine verantwortliche Person für Datenschutz zu benennen und gegenüber der zuständigen deutschen Aufsichtsbehörde zu melden.

Datenübermittlung in Drittländer
Bei Übertragungen in Staaten außerhalb des Europäischen Wirtschaftsraums ist ein angemessenes Schutzniveau sicherzustellen. Dies kann erfolgen durch:

• Angemessenheitsbeschlüsse der Europäischen Kommission
• Einsatz von Standardvertragsklauseln (SCC)
• zusätzliche Maßnahmen wie Verschlüsselung oder Zugriffsbeschränkungen

Aufsicht und Sanktionen
Die zuständige Aufsichtsbehörde in Deutschland, insbesondere der BfDI, ist befugt:

• Kontrollen durchzuführen
• Datenverarbeitungsvorgänge auszusetzen oder zu untersagen
• Geldbußen von bis zu 20000000 € oder bis zu 4 % des weltweiten Jahresumsatzes zu verhängen, wobei der höhere Betrag maßgeblich ist

Einhaltung der Datenschutzanforderungen
Es wird sichergestellt, dass betroffene Personen Kontrolle über ihre Daten ausüben können.
Die Verarbeitung erfolgt nachvollziehbar und unter Berücksichtigung der jeweiligen Verantwortlichkeiten.
Zur Reduzierung von Risiken für die Privatsphäre werden geeignete Maßnahmen eingesetzt.