GDPR

Anwendungsbereich
Diese Regelung betrifft die Verarbeitung personenbezogener Daten von Personen in Deutschland
Erfasst sind sowohl die Bereitstellung von Waren oder Dienstleistungen für Nutzer in Deutschland als auch die Beobachtung ihres Verhaltens, unabhängig davon, ob die Datenverarbeitung innerhalb oder außerhalb der Europäischen Union erfolgt
Einbezogen sind elektronische Datenspeicherungen sowie strukturierte papierbasierte Aufzeichnungen
Nicht erfasst sind Verarbeitungen, die ausschließlich persönlichen oder familiären Zwecken dienen

Grundprinzipien der Verarbeitung
Die Verarbeitung personenbezogener Daten hat folgenden Anforderungen zu entsprechen:
Rechtmäßigkeit, Fairness und Transparenz
Beschränkung auf klar definierte Zwecke
Datenminimierung sowie Sicherstellung der Richtigkeit
Begrenzung der Speicherdauer
Wahrung von Integrität und Vertraulichkeit zum Schutz vor unbefugtem Zugriff oder Offenlegung

Rechte der betroffenen Personen
Betroffene Personen können folgende Rechte geltend machen:
Recht auf Information, Auskunft und Berichtigung
Recht auf Löschung im Sinne des Rechts auf Vergessenwerden
Recht auf Einschränkung der Verarbeitung sowie Widerspruch
Recht auf Datenübertragbarkeit
Recht auf Widerruf erteilter Einwilligungen
Für Personen unter 15 Jahren ist die Zustimmung eines Elternteils oder Erziehungsberechtigten erforderlich

Pflichten von Auftragsverarbeitern
Externe Dienstleister, einschließlich Anbieter in den Bereichen Logistik, Kundenservice und Hosting, sind verpflichtet:
die Verarbeitung ausschließlich auf Grundlage dokumentierter Anweisungen vorzunehmen
geeignete technische und organisatorische Maßnahmen zum Schutz der Daten umzusetzen
bei der Wahrnehmung von Nutzerrechten unterstützend mitzuwirken
Datenschutzverletzungen unverzüglich zu melden
Verzeichnisse über Verarbeitungstätigkeiten zu führen
sofern erforderlich, eine verantwortliche Person für Datenschutz zu benennen und diese bei der zuständigen deutschen Aufsichtsbehörde zu melden

Datenübermittlung
Bei der Übertragung personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums ist ein angemessenes Schutzniveau sicherzustellen, beispielsweise durch:
einen Angemessenheitsbeschluss der Europäischen Kommission
den Einsatz von Standardvertragsklauseln (SCC)
ergänzende Maßnahmen wie Verschlüsselung und Zugriffsbeschränkungen

Aufsicht und Sanktionen
Die zuständige deutsche Aufsichtsbehörde, insbesondere der BfDI, ist befugt:
Kontrollen durchzuführen
nicht konforme Verarbeitungen auszusetzen oder zu untersagen
Geldbußen von bis zu 20000000 Euro oder bis zu 4% des weltweiten Jahresumsatzes zu verhängen, wobei der höhere Betrag maßgeblich ist

Einhaltung der Vorschriften
Es wird sichergestellt, dass betroffene Personen die Kontrolle über ihre Daten ausüben können
Die Verarbeitung erfolgt nachvollziehbar und unter Beachtung der Verantwortlichkeit
Geeignete Maßnahmen werden angewendet, um Risiken für die Privatsphäre zu minimieren