Datenschutzbestimmungen gemäß GDPR

Geltungsbereich
Diese Regelung betrifft die Verarbeitung personenbezogener Daten von Nutzern in Deutschland.
Sie findet Anwendung, wenn Waren oder Dienstleistungen an Personen in Deutschland angeboten werden oder deren Verhalten beobachtet wird, unabhängig davon, ob die Datenverarbeitung innerhalb oder außerhalb der Europäischen Union erfolgt.
Erfasst sind sowohl elektronische Daten als auch strukturierte Aufzeichnungen in Papierform.
Verarbeitungen im rein persönlichen oder familiären Kontext fallen nicht unter diese Bestimmungen.

Grundsätze der Datenverarbeitung
Die Verarbeitung personenbezogener Daten erfolgt unter Beachtung folgender Anforderungen:

• Rechtmäßigkeit, Transparenz und Nachvollziehbarkeit

• Zweckbindung auf klar definierte Verarbeitungsziele

• Beschränkung auf erforderliche Daten sowie Sicherstellung der Richtigkeit

• Begrenzung der Speicherdauer auf das notwendige Maß

• Schutz der Daten durch geeignete Maßnahmen zur Wahrung von Vertraulichkeit und Integrität

Rechte betroffener Personen
Betroffene Personen können folgende Rechte geltend machen:

• Auskunft über gespeicherte Daten sowie deren Berichtigung

• Löschung personenbezogener Daten (Recht auf Vergessenwerden)

• Einschränkung der Verarbeitung sowie Widerspruch gegen bestimmte Verarbeitungen

• Übertragbarkeit der bereitgestellten Daten

• Widerruf erteilter Einwilligungen
  Für Personen unter 15 Jahren ist die Zustimmung der Erziehungsberechtigten erforderlich.

Pflichten von Auftragsverarbeitern
Eingesetzte Dienstleister, beispielsweise in den Bereichen Logistik, Kundenservice oder Hosting, sind verpflichtet:

• ausschließlich auf Grundlage dokumentierter Weisungen tätig zu werden

• angemessene technische und organisatorische Schutzmaßnahmen umzusetzen

• bei der Wahrnehmung von Betroffenenrechten mitzuwirken

• Datenschutzverletzungen unverzüglich zu melden

• Verzeichnisse über Verarbeitungstätigkeiten zu führen
  Sofern erforderlich, ist ein Datenschutzbeauftragter zu benennen und gegenüber der zuständigen deutschen Aufsichtsbehörde zu melden.

Datenübermittlung in Drittstaaten
Bei Übertragungen personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums ist ein angemessenes Schutzniveau sicherzustellen, beispielsweise durch:

• Angemessenheitsbeschlüsse der Europäischen Kommission

• Verwendung von Standardvertragsklauseln (SCC)

• ergänzende Maßnahmen wie Verschlüsselung und Zugriffsbeschränkungen

Aufsicht und Sanktionen
Die zuständige Behörde in Deutschland, insbesondere der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), ist befugt:

• Kontrollen und Prüfungen durchzuführen

• nicht konforme Verarbeitungen auszusetzen oder zu untersagen

• Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes zu verhängen, wobei der höhere Betrag maßgeblich ist

Einhaltung der Vorschriften
Es wird sichergestellt, dass betroffene Personen Kontrolle über ihre Daten ausüben können.
Die Verarbeitung erfolgt nachvollziehbar und unter Berücksichtigung der geltenden Anforderungen.
Zur Minimierung von Risiken für die Privatsphäre werden geeignete Schutzmaßnahmen umgesetzt.