GDPR

Anwendungsbereich
Diese Regelungen betreffen die Verarbeitung personenbezogener Daten von Personen in Deutschland
Erfasst sind sowohl Angebote von Waren oder Dienstleistungen an Nutzer in Deutschland als auch die Analyse ihres Verhaltens, unabhängig davon, ob die Datenverarbeitung innerhalb oder außerhalb der Europäischen Union erfolgt
Einbezogen sind sowohl elektronische Datensätze als auch strukturierte papierbasierte Aufzeichnungen
Nicht erfasst sind Verarbeitungen, die ausschließlich persönlichen oder familiären Zwecken dienen

Grundsätze der Datenverarbeitung
Die Verarbeitung personenbezogener Daten hat folgenden Anforderungen zu entsprechen:
Rechtmäßigkeit, Fairness und Nachvollziehbarkeit
Zweckbindung auf eindeutig festgelegte Verarbeitungsziele
Beschränkung auf notwendige Daten sowie Sicherstellung ihrer Richtigkeit
Speicherung nur für einen begrenzten Zeitraum
Gewährleistung von Integrität und Vertraulichkeit zum Schutz vor unbefugtem Zugriff oder Offenlegung

Rechte der betroffenen Personen
Betroffene Personen können folgende Ansprüche geltend machen:
Recht auf Information, Einsicht sowie Berichtigung der Daten
Recht auf Löschung im Sinne des Rechts auf Vergessenwerden
Recht auf Einschränkung der Verarbeitung sowie Widerspruch
Recht auf Datenübertragbarkeit
Recht auf Widerruf erteilter Einwilligungen
Für Personen unter 15 Jahren ist die Zustimmung eines Elternteils oder Erziehungsberechtigten erforderlich

Pflichten von Auftragsverarbeitern
Externe Dienstleister, einschließlich Logistik-, Support- oder Hosting-Anbieter, sind verpflichtet:
die Verarbeitung ausschließlich auf Grundlage dokumentierter Weisungen vorzunehmen
geeignete technische und organisatorische Sicherheitsmaßnahmen umzusetzen
bei der Wahrnehmung von Nutzerrechten unterstützend mitzuwirken
Datenschutzverletzungen unverzüglich zu melden
Verzeichnisse über Verarbeitungstätigkeiten zu führen
sofern erforderlich, eine verantwortliche Person für Datenschutz zu benennen und diese bei der zuständigen deutschen Aufsichtsbehörde zu melden

Datenübermittlung
Bei Übertragungen personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums ist ein angemessenes Schutzniveau sicherzustellen, beispielsweise durch:
einen Angemessenheitsbeschluss der Europäischen Kommission
den Einsatz von Standardvertragsklauseln (SCC)
ergänzende Maßnahmen wie Verschlüsselung und Zugriffsbeschränkungen

Aufsicht und Sanktionen
Die zuständige Aufsichtsbehörde in Deutschland, insbesondere der BfDI, ist befugt:
Kontrollen durchzuführen
nicht konforme Verarbeitungen auszusetzen oder zu untersagen
Geldbußen von bis zu 20000000 Euro oder bis zu 4% des weltweiten Jahresumsatzes zu verhängen, wobei der höhere Betrag maßgeblich ist

Einhaltung der Vorschriften
Es wird sichergestellt, dass betroffene Personen die Kontrolle über ihre Daten ausüben können
Die Verarbeitung erfolgt nachvollziehbar und unter Beachtung der Verantwortlichkeit
Geeignete Maßnahmen werden angewendet, um Risiken für die Privatsphäre zu reduzieren