Datenschutz-Grundverordnung

Geltungsbereich
Diese Bestimmungen betreffen die Verarbeitung personenbezogener Daten von Nutzern in Deutschland.
Sie finden Anwendung, wenn Waren oder Dienstleistungen an Personen in Deutschland angeboten werden oder deren Verhalten beobachtet wird, unabhängig davon, ob die Verarbeitung innerhalb oder außerhalb der Europäischen Union erfolgt.
Erfasst werden sowohl elektronische Daten als auch strukturierte papierbasierte Aufzeichnungen.
Reine Tätigkeiten im persönlichen oder familiären Bereich fallen nicht unter diese Regelung.

Grundsätze der Datenverarbeitung
Die Verarbeitung personenbezogener Daten erfolgt unter Beachtung folgender Kriterien:

• Rechtmäßigkeit, Fairness und Nachvollziehbarkeit
• Verarbeitung ausschließlich zu festgelegten und eindeutigen Zwecken
• Beschränkung auf das erforderliche Maß sowie Sicherstellung der Richtigkeit
• Speicherung nur für einen begrenzten Zeitraum
• Schutz vor unbefugtem Zugriff, Verlust oder Offenlegung durch geeignete Maßnahmen zur Wahrung von Integrität und Vertraulichkeit

Rechte der betroffenen Personen
Betroffene Personen haben Anspruch auf:

• Information, Auskunft sowie Berichtigung ihrer Daten
• Löschung personenbezogener Daten („Recht auf Vergessenwerden“)
• Einschränkung der Verarbeitung sowie Widerspruch gegen bestimmte Verarbeitungen
• Datenübertragbarkeit
• Widerruf einer erteilten Einwilligung

Für Personen unter 15 Jahren ist eine Zustimmung durch Eltern oder Erziehungsberechtigte erforderlich.

Pflichten von Auftragsverarbeitern
Dritte, die Daten im Auftrag verarbeiten (z. B. Logistik-, Support- oder Hosting-Dienstleister), sind verpflichtet:

• ausschließlich auf Grundlage dokumentierter Anweisungen zu handeln
• geeignete technische und organisatorische Sicherheitsmaßnahmen umzusetzen
• bei der Wahrnehmung von Betroffenenrechten zu unterstützen
• Datenschutzverletzungen unverzüglich zu melden
• Verzeichnisse über Verarbeitungstätigkeiten zu führen
• sofern erforderlich, einen Datenschutzbeauftragten zu benennen und dies der zuständigen Aufsichtsbehörde (BfDI) mitzuteilen

Datenübermittlung in Drittländer
Bei Übertragungen personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums ist ein angemessenes Schutzniveau sicherzustellen, beispielsweise durch:

• Angemessenheitsbeschlüsse der Europäischen Kommission
• Standardvertragsklauseln (SCC)
• zusätzliche Maßnahmen wie Verschlüsselung und Zugriffsbeschränkungen

Aufsicht und Sanktionen
Die zuständige Aufsichtsbehörde in Deutschland (BfDI) ist befugt:

• Kontrollen durchzuführen
• unzulässige Datenverarbeitungen auszusetzen oder zu untersagen
• Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes zu verhängen, je nachdem, welcher Betrag höher ist

Einhaltung der Vorschriften
Die Datenverarbeitung erfolgt unter Gewährleistung der Kontrolle durch die betroffenen Personen über ihre Daten.
Die Abläufe sind nachvollziehbar gestaltet und orientieren sich an den geltenden Datenschutzanforderungen.
Geeignete Maßnahmen werden eingesetzt, um Risiken für die Privatsphäre zu minimieren.