Datenschutz-Grundverordnung

Geltungsbereich
Diese Bestimmungen betreffen die Verarbeitung personenbezogener Daten von Personen mit Bezug zu Deutschland.
Erfasst werden insbesondere Fälle, in denen Waren oder Dienstleistungen für Personen in Deutschland angeboten werden oder deren Verhalten analysiert wird, unabhängig davon, ob die Verarbeitung innerhalb oder außerhalb der Europäischen Union erfolgt.
Die Regelung gilt sowohl für elektronische Datenverarbeitung als auch für strukturierte Aufzeichnungen in Papierform.
Verarbeitungen, die ausschließlich persönlichen oder familiären Zwecken dienen, sind hiervon ausgenommen.

Grundprinzipien der Datenverarbeitung
Die Verarbeitung personenbezogener Daten erfolgt unter Beachtung folgender Anforderungen:
Rechtmäßigkeit, Nachvollziehbarkeit und transparente Durchführung
Verwendung ausschließlich für festgelegte und eindeutige Zwecke
Beschränkung auf notwendige Daten sowie Sicherstellung der Richtigkeit
Begrenzung der Speicherdauer auf das erforderliche Maß
Schutz durch geeignete Maßnahmen zur Wahrung von Integrität und Vertraulichkeit sowie zur Verhinderung unbefugten Zugriffs oder Offenlegung

Rechte betroffener Personen
Betroffene Personen verfügen über folgende Ansprüche:
Auskunft über gespeicherte Daten sowie deren Berichtigung
Löschung personenbezogener Daten im Sinne des Rechts auf Vergessenwerden
Einschränkung der Verarbeitung sowie Widerspruch gegen bestimmte Verarbeitungen
Recht auf Datenübertragbarkeit
Widerruf erteilter Einwilligungen
Für Personen unter 15 Jahren ist die Zustimmung eines Erziehungsberechtigten erforderlich.

Pflichten von Auftragsverarbeitern
Externe Dienstleister, etwa in den Bereichen Logistik, Kundendienst oder Hosting, sind verpflichtet:
die Verarbeitung ausschließlich auf Grundlage dokumentierter Anweisungen vorzunehmen
geeignete technische und organisatorische Schutzmaßnahmen umzusetzen
bei der Wahrnehmung von Betroffenenrechten unterstützend mitzuwirken
Verletzungen des Schutzes personenbezogener Daten unverzüglich zu melden
Verzeichnisse über Verarbeitungstätigkeiten zu führen
Gegebenenfalls ist ein Datenschutzbeauftragter zu benennen und der zuständigen deutschen Aufsichtsbehörde zu melden.

Datenübermittlung in Drittländer
Bei Übertragungen personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums ist ein angemessenes Schutzniveau sicherzustellen.
Dies kann unter anderem erfolgen durch:
Beschlüsse der Europäischen Kommission zur Angemessenheit
Standardvertragsklauseln (SCC)
ergänzende Maßnahmen wie Verschlüsselung und Zugriffsbeschränkungen

Aufsicht und Sanktionen
Die zuständige Aufsichtsbehörde in Deutschland, der BfDI, ist befugt:
Kontrollen durchzuführen
nicht konforme Datenverarbeitungen auszusetzen oder zu untersagen
Geldbußen von bis zu 20000000 € oder bis zu 4 % des weltweiten Jahresumsatzes zu verhängen, wobei der jeweils höhere Betrag maßgeblich ist

Umsetzung der Anforderungen
Es wird sichergestellt, dass betroffene Personen Kontrolle über ihre Daten ausüben können.
Die Datenverarbeitung erfolgt in nachvollziehbaren und klar strukturierten Abläufen.
Geeignete Maßnahmen dienen der Minimierung von Risiken im Zusammenhang mit dem Schutz personenbezogener Daten.