Datenschutz-Grundverordnung

Anwendungsbereich
Diese Regelungen betreffen die Verarbeitung personenbezogener Daten von Personen mit Bezug zu Deutschland.
Erfasst sind insbesondere Fälle, in denen Waren oder Dienstleistungen für Nutzer in Deutschland bereitgestellt werden oder deren Verhalten ausgewertet wird, auch wenn die Datenverarbeitung außerhalb der Europäischen Union erfolgt.
Die Bestimmungen gelten sowohl für elektronische Systeme als auch für strukturierte papierbasierte Datensammlungen.
Verarbeitungen zu ausschließlich privaten oder familiären Zwecken fallen nicht in den Anwendungsbereich.

Grundprinzipien der Datenverarbeitung
Die Verarbeitung personenbezogener Daten erfolgt unter Beachtung folgender Anforderungen:
Rechtmäßigkeit, Transparenz und Fairness
Bindung an klar definierte und legitime Zwecke
Beschränkung auf notwendige Daten sowie Sicherstellung ihrer Richtigkeit
Speicherung nur für einen begrenzten Zeitraum
Gewährleistung von Integrität und Vertraulichkeit sowie Schutz vor unbefugtem Zugriff oder Offenlegung

Rechte betroffener Personen
Betroffene Personen haben das Recht auf Information, Auskunft und Berichtigung ihrer Daten.
Zudem besteht ein Anspruch auf Löschung im Sinne des Rechts auf Vergessenwerden.
Weiterhin können Einschränkungen der Verarbeitung verlangt sowie Widerspruch eingelegt werden.
Ein Recht auf Datenübertragbarkeit ist ebenfalls vorgesehen.
Erteilte Einwilligungen können jederzeit widerrufen werden.
Für Personen unter 15 Jahren ist die Zustimmung eines Erziehungsberechtigten erforderlich.

Pflichten von Auftragsverarbeitern
Drittanbieter, beispielsweise in den Bereichen Logistik, Kundendienst oder Hosting, sind verpflichtet:
Verarbeitungen ausschließlich auf Grundlage dokumentierter Anweisungen vorzunehmen
geeignete technische und organisatorische Schutzmaßnahmen umzusetzen
bei der Wahrnehmung von Betroffenenrechten zu unterstützen
Verletzungen des Schutzes personenbezogener Daten unverzüglich zu melden
Verarbeitungstätigkeiten zu dokumentieren
gegebenenfalls einen Datenschutzbeauftragten zu benennen und die zuständige deutsche Aufsichtsbehörde zu informieren

Datenübermittlung in Drittländer
Bei der Übertragung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums ist ein angemessenes Schutzniveau sicherzustellen.
Dies kann insbesondere durch folgende Maßnahmen erfolgen:
Angemessenheitsbeschlüsse der Europäischen Kommission
Standardvertragsklauseln (SCC)
zusätzliche Sicherheitsmaßnahmen wie Verschlüsselung und Zugriffsbeschränkungen

Aufsicht und Sanktionen
Die zuständige Aufsichtsbehörde in Deutschland, der BfDI, ist befugt:
Kontrollen durchzuführen
nicht konforme Datenverarbeitungen auszusetzen oder zu untersagen
Geldbußen von bis zu 20000000 € oder bis zu 4 % des weltweiten Jahresumsatzes zu verhängen, wobei der jeweils höhere Betrag maßgeblich ist

Umsetzung und Einhaltung
Es wird gewährleistet, dass betroffene Personen Kontrolle über ihre personenbezogenen Daten ausüben können.
Die Datenverarbeitung erfolgt in nachvollziehbaren und transparenten Abläufen.
Zur Minimierung von Risiken werden geeignete technische und organisatorische Maßnahmen eingesetzt.