GDPR

Geltungsbereich
Diese Regelung erfasst die Verarbeitung personenbezogener Daten von Personen in Deutschland
Sie gilt sowohl für das Angebot von Waren oder Dienstleistungen an Nutzer in Deutschland als auch für die Beobachtung ihres Verhaltens, unabhängig davon, ob die Verarbeitung innerhalb oder außerhalb der Europäischen Union erfolgt
Einbezogen sind elektronische Datenspeicherungen sowie strukturierte papierbasierte Aufzeichnungen
Verarbeitungen zu ausschließlich persönlichen oder familiären Zwecken fallen nicht unter diese Bestimmungen

Grundsätze der Datenverarbeitung
Die Verarbeitung personenbezogener Daten hat folgenden Anforderungen zu entsprechen:
Rechtmäßigkeit, Fairness und Nachvollziehbarkeit
Zweckbindung an eindeutig definierte Ziele
Beschränkung auf notwendige Daten sowie Sicherstellung der Richtigkeit
Begrenzung der Aufbewahrungsdauer
Gewährleistung von Integrität und Vertraulichkeit zum Schutz vor unbefugtem Zugriff oder Offenlegung

Rechte der betroffenen Personen
Betroffene Personen können folgende Rechte ausüben:
Recht auf Information, Auskunft und Berichtigung
Recht auf Löschung im Sinne des Rechts auf Vergessenwerden
Recht auf Einschränkung der Verarbeitung sowie Widerspruch
Recht auf Datenübertragbarkeit
Recht auf Widerruf erteilter Einwilligungen
Für Personen unter 15 Jahren ist die Zustimmung eines Elternteils oder Erziehungsberechtigten erforderlich

Pflichten von Auftragsverarbeitern
Externe Dienstleister, insbesondere in den Bereichen Logistik, Kundenservice und Hosting, sind verpflichtet:
die Verarbeitung ausschließlich auf Grundlage dokumentierter Anweisungen vorzunehmen
angemessene technische und organisatorische Schutzmaßnahmen umzusetzen
bei der Wahrnehmung von Nutzerrechten unterstützend mitzuwirken
Datenschutzverletzungen unverzüglich zu melden
Verzeichnisse über Verarbeitungstätigkeiten zu führen
sofern erforderlich, eine verantwortliche Person für Datenschutz zu benennen und diese bei der zuständigen deutschen Aufsichtsbehörde zu melden

Datenübermittlung
Bei der Übertragung personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums ist ein angemessenes Schutzniveau sicherzustellen, beispielsweise durch:
einen Angemessenheitsbeschluss der Europäischen Kommission
den Einsatz von Standardvertragsklauseln (SCC)
ergänzende Maßnahmen wie Verschlüsselung und Zugriffsbeschränkungen

Aufsicht und Sanktionen
Die zuständige deutsche Aufsichtsbehörde, insbesondere der BfDI, ist berechtigt:
Kontrollen durchzuführen
nicht konforme Verarbeitungen auszusetzen oder zu untersagen
Geldbußen von bis zu 20000000 Euro oder bis zu 4% des weltweiten Jahresumsatzes zu verhängen, wobei der höhere Betrag maßgeblich ist

Einhaltung der Vorschriften
Es wird sichergestellt, dass betroffene Personen die Kontrolle über ihre personenbezogenen Daten ausüben können
Die Verarbeitung erfolgt nachvollziehbar und unter Beachtung der Verantwortlichkeit
Geeignete Maßnahmen werden eingesetzt, um Risiken für den Schutz personenbezogener Daten zu minimieren