GDPR

Geltungsbereich
Diese Regelung betrifft die Verarbeitung personenbezogener Daten von Personen in Deutschland
Erfasst sind sowohl Angebote von Waren oder Dienstleistungen an Nutzer in Deutschland als auch die Beobachtung ihres Verhaltens, selbst wenn die Datenverarbeitung außerhalb der Europäischen Union erfolgt
Einbezogen sind sowohl elektronische Datenspeicherungen als auch strukturierte papierbasierte Aufzeichnungen
Nicht erfasst sind Verarbeitungen, die ausschließlich privaten oder familiären Zwecken dienen

Grundsätze der Verarbeitung
Bei der Verarbeitung personenbezogener Daten sind folgende Anforderungen einzuhalten:
Rechtmäßigkeit, Fairness und Transparenz
Verarbeitung ausschließlich zu klar definierten Zwecken
Beschränkung auf erforderliche Daten sowie Sicherstellung ihrer Richtigkeit
Speicherung nur für einen begrenzten Zeitraum
Gewährleistung von Integrität und Vertraulichkeit zum Schutz vor unbefugtem Zugriff oder Offenlegung

Rechte der betroffenen Personen
Betroffene Personen können folgende Rechte ausüben:
Recht auf Information, Zugang zu Daten sowie deren Berichtigung
Recht auf Löschung im Sinne des Rechts auf Vergessenwerden
Recht auf Einschränkung der Verarbeitung sowie Widerspruch gegen bestimmte Verarbeitungen
Recht auf Datenübertragbarkeit
Recht auf Widerruf erteilter Einwilligungen
Für Personen unter 15 Jahren ist die Zustimmung eines Elternteils oder Erziehungsberechtigten erforderlich

Pflichten von Auftragsverarbeitern
Externe Dienstleister, einschließlich Anbieter in den Bereichen Logistik, Kundenservice und Hosting, sind verpflichtet:
Verarbeitung ausschließlich auf Grundlage dokumentierter Anweisungen durchzuführen
Geeignete technische und organisatorische Maßnahmen zum Schutz der Daten umzusetzen
Bei der Wahrnehmung von Nutzerrechten unterstützend mitzuwirken
Datenschutzverletzungen unverzüglich zu melden
Aufzeichnungen über Verarbeitungstätigkeiten zu führen
Soweit erforderlich, eine verantwortliche Person für Datenschutz zu benennen und diese bei der zuständigen deutschen Aufsichtsbehörde zu melden

Datenübermittlung
Bei der Übertragung personenbezogener Daten in Länder außerhalb des Europäischen Wirtschaftsraums ist ein angemessenes Schutzniveau sicherzustellen, beispielsweise durch:
einen Angemessenheitsbeschluss der Europäischen Kommission
den Einsatz von Standardvertragsklauseln (SCC)
zusätzliche Maßnahmen wie Verschlüsselung und Zugriffsbeschränkungen

Aufsicht und Sanktionen
Die zuständige deutsche Aufsichtsbehörde, insbesondere der BfDI, ist berechtigt:
Kontrollen durchzuführen
nicht konforme Datenverarbeitungen auszusetzen oder zu untersagen
Geldbußen von bis zu 20000000 Euro oder bis zu 4% des weltweiten Jahresumsatzes zu verhängen, wobei der jeweils höhere Betrag maßgeblich ist

Einhaltung der Vorschriften
Es wird sichergestellt, dass betroffene Personen Kontrolle über ihre personenbezogenen Daten ausüben können
Die Verarbeitung erfolgt nachvollziehbar und unter Beachtung der Verantwortlichkeit
Zur Minimierung von Risiken für die Privatsphäre werden geeignete Maßnahmen angewendet