Datenschutz-Grundverordnung

Anwendungsbereich
Diese Bestimmungen gelten für die Verarbeitung personenbezogener Daten von Nutzern in Deutschland.
Erfasst sind insbesondere Fälle, in denen Waren oder Dienstleistungen an Personen in Deutschland angeboten werden oder deren Verhalten beobachtet wird, auch wenn die Datenverarbeitung außerhalb der Europäischen Union erfolgt.
Die Regelung umfasst sowohl elektronische Datenspeicherung als auch strukturierte papierbasierte Ablagesysteme.
Eine Anwendung auf rein persönliche oder familiäre Tätigkeiten findet nicht statt.

Grundsätze der Datenverarbeitung
Bei der Verarbeitung personenbezogener Daten sind folgende Anforderungen einzuhalten:
Rechtmäßigkeit, Nachvollziehbarkeit und Offenlegung der Verarbeitungsvorgänge
Festlegung klar definierter Verarbeitungszwecke
Beschränkung auf notwendige und sachlich richtige Daten
Begrenzung der Speicherfrist auf das erforderliche Maß
Gewährleistung von Sicherheit sowie Schutz vor unbefugtem Zugriff oder Offenlegung

Rechte betroffener Personen
Betroffene haben Anspruch auf Information über die Verarbeitung sowie Zugang zu ihren Daten und deren Berichtigung.
Es besteht das Recht auf Löschung im Sinne des Rechts auf Vergessenwerden.
Weiterhin kann eine Einschränkung der Verarbeitung verlangt oder Widerspruch eingelegt werden.
Ein Anspruch auf Datenübertragbarkeit ist vorgesehen.
Eine erteilte Einwilligung kann jederzeit widerrufen werden.
Für Personen unter 15 Jahren ist die Zustimmung eines Erziehungsberechtigten erforderlich.

Pflichten von Auftragsverarbeitern
Dritte, die im Rahmen der Verarbeitung tätig werden, beispielsweise in den Bereichen Logistik, Kundenservice oder Hosting, sind verpflichtet:
Verarbeitung ausschließlich auf Grundlage dokumentierter Weisungen vorzunehmen
Geeignete technische und organisatorische Schutzmaßnahmen umzusetzen
Bei der Wahrnehmung von Betroffenenrechten unterstützend mitzuwirken
Datenschutzverletzungen unverzüglich zu melden
Verzeichnisse über Verarbeitungstätigkeiten zu führen
Gegebenenfalls eine verantwortliche Person für Datenschutz zu benennen und die zuständige deutsche Aufsichtsbehörde zu informieren

Datenübermittlung
Bei einer Übertragung personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums ist ein angemessenes Schutzniveau sicherzustellen.
Dies kann insbesondere durch Angemessenheitsbeschlüsse der Europäischen Kommission, Standardvertragsklauseln (SCC) oder ergänzende Maßnahmen wie Verschlüsselung und Zugriffsbeschränkungen erfolgen.

Aufsicht und Sanktionen
Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ist befugt, Kontrollen durchzuführen.
Bei Verstößen können Verarbeitungen eingeschränkt, ausgesetzt oder untersagt werden.
Es können Geldbußen von bis zu 20000000 Euro oder 4 % des weltweiten Jahresumsatzes verhängt werden, je nachdem, welcher Betrag höher ist.

Einhaltung der Vorschriften
Die Datenverarbeitung erfolgt unter Berücksichtigung der Rechte der betroffenen Personen sowie transparenter und nachvollziehbarer Abläufe.
Geeignete Maßnahmen werden angewendet, um Risiken für den Schutz personenbezogener Daten zu reduzieren und ein angemessenes Sicherheitsniveau sicherzustellen.