GDPR

Anwendungsbereich
Diese Bestimmungen betreffen die Verarbeitung personenbezogener Daten von Nutzern in Deutschland.
Erfasst sind Tätigkeiten im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen für Personen in Deutschland sowie Maßnahmen zur Analyse ihres Verhaltens, unabhängig davon, ob die Verarbeitung innerhalb oder außerhalb der Europäischen Union erfolgt.
Die Regelungen gelten sowohl für elektronische Datenspeicherung als auch für strukturierte, manuell geführte Aufzeichnungen.
Verarbeitungen, die ausschließlich persönlichen oder familiären Zwecken dienen, fallen nicht in diesen Geltungsbereich.

Grundprinzipien der Verarbeitung
Die Verarbeitung personenbezogener Daten hat unter Beachtung folgender Anforderungen zu erfolgen:

• Rechtmäßigkeit, Transparenz und Fairness
• Verwendung ausschließlich für eindeutig festgelegte Zwecke
• Beschränkung auf notwendige Daten sowie Sicherstellung der Aktualität
• Speicherung nur für einen begrenzten Zeitraum
• Gewährleistung von Integrität und Vertraulichkeit zum Schutz vor unbefugtem Zugriff oder Offenlegung

Rechte betroffener Personen
Betroffene verfügen über folgende Rechte:

• Information über die Datenverarbeitung sowie Zugang zu gespeicherten Daten und deren Berichtigung
• Löschung personenbezogener Daten im Sinne des Rechts auf Vergessenwerden
• Einschränkung der Verarbeitung sowie Widerspruch gegen bestimmte Verarbeitungen
• Übertragbarkeit der bereitgestellten Daten
• Widerruf einer erteilten Einwilligung
  Für Personen unter 15 Jahren ist die Zustimmung eines Erziehungsberechtigten erforderlich.

Pflichten von Auftragsverarbeitern
Dritte, die Dienstleistungen wie Versand, Support oder Hosting erbringen, sind verpflichtet:

• Daten ausschließlich gemäß dokumentierten Anweisungen zu verarbeiten
• angemessene technische und organisatorische Sicherheitsmaßnahmen umzusetzen
• bei der Wahrnehmung von Betroffenenrechten mitzuwirken
• Datenschutzverletzungen unverzüglich zu melden
• Verzeichnisse über Verarbeitungstätigkeiten zu führen
  Soweit erforderlich, ist eine verantwortliche Person für den Datenschutz zu benennen und gegenüber der zuständigen deutschen Aufsichtsbehörde zu melden.

Datenübermittlung außerhalb des EWR
Bei Übertragungen personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums ist ein angemessenes Schutzniveau sicherzustellen, beispielsweise durch:

• Angemessenheitsbeschlüsse der Europäischen Kommission
• Standardvertragsklauseln (SCC)
• zusätzliche Maßnahmen wie Verschlüsselung oder Zugriffsbeschränkungen

Aufsicht und Sanktionen
Die zuständige Aufsichtsbehörde in Deutschland, insbesondere der BfDI, ist befugt:

• Kontrollen durchzuführen
• nicht konforme Verarbeitungen auszusetzen oder zu untersagen
• Geldbußen von bis zu 20000000 € oder bis zu 4 % des weltweiten Jahresumsatzes zu verhängen, wobei der jeweils höhere Betrag maßgeblich ist

Einhaltung der Anforderungen
Es wird sichergestellt, dass betroffene Personen die Kontrolle über ihre Daten behalten.
Die Verarbeitung erfolgt nachvollziehbar und unter Beachtung der jeweiligen Verantwortlichkeiten.
Geeignete Maßnahmen werden eingesetzt, um Risiken für die Privatsphäre zu reduzieren und den Schutz personenbezogener Daten zu gewährleisten.