Datenschutz-Grundverordnung

Geltungsbereich
Diese Vorschriften betreffen die Verarbeitung personenbezogener Daten von Personen in Deutschland.
Erfasst sind sowohl die Bereitstellung von Waren oder Dienstleistungen für betroffene Personen als auch die Beobachtung ihres Verhaltens, unabhängig davon, ob die Datenverarbeitung innerhalb oder außerhalb der Europäischen Union erfolgt.
Die Regelungen gelten für elektronische Datenverarbeitung sowie für strukturierte Ablagen in Papierform.
Verarbeitungen im rein persönlichen oder familiären Umfeld fallen nicht unter diesen Anwendungsbereich.

Grundsätze der Datenverarbeitung
Die Verarbeitung personenbezogener Daten hat unter Einhaltung folgender Kriterien zu erfolgen:
Rechtmäßigkeit, Transparenz und Fairness gegenüber den betroffenen Personen
Zweckbindung, beschränkt auf klar definierte und legitime Zwecke
Datenminimierung sowie Sicherstellung der sachlichen Richtigkeit
Begrenzung der Speicherdauer auf das erforderliche Maß
Gewährleistung von Integrität und Vertraulichkeit, einschließlich Schutz vor unbefugtem Zugriff oder Offenlegung

Rechte der betroffenen Personen
Betroffene Personen können folgende Rechte ausüben:
Auskunft über gespeicherte Daten sowie deren Berichtigung
Löschung personenbezogener Daten im Sinne des Rechts auf Vergessenwerden
Einschränkung der Verarbeitung sowie Widerspruch gegen bestimmte Verarbeitungen
Übertragbarkeit der bereitgestellten Daten
Widerruf einer erteilten Einwilligung
Für Personen unter 15 Jahren ist die Zustimmung eines gesetzlichen Vertreters erforderlich.

Pflichten von Auftragsverarbeitern
Dritte, die im Auftrag tätig werden, wie etwa Anbieter von Logistik-, Support- oder Hosting-Diensten, haben folgende Anforderungen zu erfüllen:
Verarbeitung ausschließlich auf Grundlage dokumentierter Weisungen
Implementierung geeigneter technischer und organisatorischer Sicherheitsmaßnahmen
Unterstützung bei der Wahrnehmung von Rechten betroffener Personen
Meldung von Datenschutzverletzungen
Führung von Verzeichnissen über Verarbeitungstätigkeiten
Gegebenenfalls Bestellung eines Datenschutzbeauftragten und Meldung an die zuständige deutsche Aufsichtsbehörde

Datenübermittlung
Bei Übertragungen personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums ist ein angemessenes Schutzniveau sicherzustellen. Dies kann insbesondere erfolgen durch:
Angemessenheitsbeschlüsse der Europäischen Kommission
Standardvertragsklauseln (SCC)
Zusätzliche Maßnahmen wie Verschlüsselung und Zugriffsbeschränkungen

Aufsicht und Sanktionen
Die zuständige Aufsichtsbehörde in Deutschland, insbesondere der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), ist befugt:
Prüfungen und Kontrollen durchzuführen
Nicht konforme Verarbeitung auszusetzen oder zu untersagen
Verwaltungsstrafen von bis zu 20000000 € oder bis zu 4 % des weltweiten Jahresumsatzes zu verhängen, je nachdem, welcher Betrag höher ist

Einhaltung der Vorschriften
Es wird sichergestellt, dass betroffene Personen die Kontrolle über ihre personenbezogenen Daten behalten.
Die Verarbeitung erfolgt nachvollziehbar und unter Berücksichtigung datenschutzrechtlicher Anforderungen.
Zur Reduzierung von Risiken für die Privatsphäre werden geeignete Schutzmaßnahmen umgesetzt.