Datenschutz nach GDPR

Anwendungsbereich

Diese Regelungen betreffen die Verarbeitung personenbezogener Daten von Nutzern in Deutschland

Sie finden Anwendung, wenn Waren oder Dienstleistungen an Personen in Deutschland angeboten werden oder deren Verhalten beobachtet wird, unabhängig davon, ob die Datenverarbeitung innerhalb oder außerhalb der Europäischen Union erfolgt

Erfasst sind sowohl elektronische Daten als auch strukturierte papierbasierte Aufzeichnungen

Eine Nutzung zu rein persönlichen oder familiären Zwecken fällt nicht unter diese Bestimmungen

Grundsätze der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt unter Beachtung folgender Anforderungen:

Rechtmäßigkeit, Fairness und Transparenz

Zweckbindung an klar definierte Verarbeitungsziele

Beschränkung auf notwendige Datenmengen sowie Sicherstellung der Richtigkeit

Begrenzung der Speicherdauer auf das erforderliche Maß

Gewährleistung von Integrität und Vertraulichkeit, um unbefugten Zugriff oder Offenlegung zu verhindern

Rechte betroffener Personen

Betroffene Personen können folgende Ansprüche geltend machen:

Auskunft über gespeicherte Daten sowie Information über deren Verarbeitung

Berichtigung unzutreffender Angaben

Löschung personenbezogener Daten (Recht auf Vergessenwerden)

Einschränkung der Verarbeitung sowie Widerspruch gegen bestimmte Verarbeitungen

Übertragbarkeit der Daten in einem strukturierten Format

Widerruf erteilter Einwilligungen

Bei Personen unter 15 Jahren ist die Zustimmung eines Erziehungsberechtigten erforderlich

Pflichten von Auftragsverarbeitern

Externe Dienstleister, beispielsweise im Bereich Logistik, Kundenservice oder Hosting, sind verpflichtet:

Daten ausschließlich auf Grundlage dokumentierter Weisungen zu verarbeiten

Geeignete technische und organisatorische Sicherheitsmaßnahmen umzusetzen

Bei der Wahrnehmung von Betroffenenrechten mitzuwirken

Verletzungen des Datenschutzes unverzüglich zu melden

Verzeichnisse über Verarbeitungstätigkeiten zu führen

Soweit erforderlich, eine verantwortliche Person für den Datenschutz zu benennen und diese der zuständigen deutschen Aufsichtsbehörde zu melden

Datenübermittlung in Drittländer

Bei einer Übertragung personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums ist ein angemessenes Schutzniveau sicherzustellen, beispielsweise durch:

Angemessenheitsbeschlüsse der Europäischen Kommission

Standardvertragsklauseln (SCC)

Zusätzliche Maßnahmen wie Verschlüsselung und Zugriffsbeschränkungen

Aufsicht und Sanktionen

Die zuständige Aufsichtsbehörde in Deutschland (BfDI) ist befugt:

Kontrollen und Prüfungen durchzuführen

Die Verarbeitung auszusetzen oder zu untersagen, sofern Verstöße vorliegen

Geldbußen zu verhängen, die bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen können, je nachdem, welcher Betrag höher ist

Einhaltung der Datenschutzanforderungen

Die Verarbeitung erfolgt unter Berücksichtigung der Rechte der betroffenen Personen sowie transparenter und nachvollziehbarer Abläufe

Zur Reduzierung von Risiken im Bereich Datenschutz werden geeignete organisatorische und technische Maßnahmen eingesetzt