DSGVO

Geltungsbereich
Diese Regelung erfasst die Verarbeitung personenbezogener Daten von betroffenen Personen in Deutschland.
Sie findet Anwendung, wenn Waren oder Dienstleistungen an Personen in Deutschland angeboten werden oder deren Verhalten beobachtet wird, unabhängig davon, ob die Verarbeitung innerhalb oder außerhalb der Europäischen Union erfolgt.
Einbezogen sind sowohl elektronische Datenspeicherungen als auch strukturierte papierbasierte Aufzeichnungen.
Verarbeitungen, die ausschließlich persönlichen oder familiären Zwecken dienen, fallen nicht in den Anwendungsbereich.

Grundsätze der Datenverarbeitung
Die Verarbeitung personenbezogener Daten hat unter Einhaltung folgender Anforderungen zu erfolgen:

• Rechtmäßigkeit, Fairness und Nachvollziehbarkeit
• Zweckbindung auf klar definierte Verarbeitungsziele
• Beschränkung auf notwendige Daten sowie Sicherstellung der Richtigkeit
• Begrenzung der Aufbewahrungsdauer
• Gewährleistung von Integrität und Vertraulichkeit zum Schutz vor unbefugtem Zugriff oder Offenlegung

Rechte der betroffenen Personen
Betroffene Personen verfügen über folgende Rechte:

• Recht auf Information, Auskunft und Berichtigung
• Recht auf Löschung personenbezogener Daten (Recht auf Vergessenwerden)
• Recht auf Einschränkung der Verarbeitung sowie Widerspruch
• Recht auf Datenübertragbarkeit
• Recht auf Widerruf erteilter Einwilligungen
  Für Personen unter 15 Jahren ist die Zustimmung der Erziehungsberechtigten erforderlich.

Pflichten von Auftragsverarbeitern
Dritte, die an der Datenverarbeitung beteiligt sind (z. B. im Bereich Logistik, Kundenservice oder Hosting), sind verpflichtet:

• Verarbeitung ausschließlich auf Grundlage dokumentierter Weisungen durchzuführen
• geeignete technische und organisatorische Schutzmaßnahmen umzusetzen
• bei der Wahrnehmung von Betroffenenrechten mitzuwirken
• Datenschutzverletzungen unverzüglich zu melden
• Verzeichnisse über Verarbeitungstätigkeiten zu führen
  Sofern erforderlich, ist eine verantwortliche Person für den Datenschutz zu benennen und die zuständige deutsche Aufsichtsbehörde (BfDI) zu informieren.

Übermittlung von Daten in Drittländer
Bei Übertragungen personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums ist ein angemessenes Schutzniveau sicherzustellen, beispielsweise durch:

• Angemessenheitsbeschlüsse der Europäischen Kommission
• Standardvertragsklauseln (SCC)
• ergänzende Maßnahmen wie Verschlüsselung und Zugriffsbeschränkungen

Aufsicht und Sanktionen
Die zuständige Aufsichtsbehörde in Deutschland (BfDI) ist befugt:

• Prüfungen und Kontrollen durchzuführen
• nicht konforme Verarbeitungen auszusetzen oder zu untersagen
• Geldbußen zu verhängen, die bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen können, je nachdem, welcher Betrag höher ist

Umsetzung der Datenschutzanforderungen
Die Verarbeitung personenbezogener Daten erfolgt unter Berücksichtigung von Maßnahmen, die den betroffenen Personen Kontrolle über ihre Daten ermöglichen.
Abläufe werden so gestaltet, dass Transparenz und Nachvollziehbarkeit gewährleistet sind.
Zur Minimierung von Risiken werden geeignete technische und organisatorische Schutzmaßnahmen eingesetzt.