DSGVO-Konformitätsrahmen

Anwendungsbereich

Diese Regelung betrifft sämtliche Verarbeitung personenbezogener Daten von Personen innerhalb Deutschlands.
Erfasst sind auch Fälle, in denen Waren oder Dienstleistungen für deutsche Nutzer bereitgestellt werden oder deren Verhalten überwacht wird, unabhängig davon, ob die Datenverarbeitung innerhalb oder außerhalb der Europäischen Union erfolgt.
Dies gilt für elektronisch gespeicherte Daten sowie strukturierte papierbasierte Informationssysteme.
Rein persönliche oder familiäre Datenverarbeitungen fallen nicht unter diesen Anwendungsbereich.

Grundprinzipien der Datenverarbeitung

Jede Verarbeitung personenbezogener Daten hat sich an folgenden Grundsätzen zu orientieren:

• rechtmäßige, faire und transparente Verarbeitung

• Zweckbindung auf klar definierte Verwendungszwecke

• Datenminimierung sowie Sicherstellung der Richtigkeit

• zeitlich begrenzte Speicherung

• Schutz von Integrität und Vertraulichkeit zur Vermeidung unbefugter Zugriffe oder Offenlegungen

Rechte betroffener Personen

Folgende Rechte stehen betroffenen Personen im Rahmen der DSGVO zur Verfügung:

• Recht auf Information, Auskunft und Berichtigung

• Recht auf Löschung personenbezogener Daten (Recht auf Vergessenwerden)

• Recht auf Einschränkung der Verarbeitung sowie Widerspruch

• Recht auf Datenübertragbarkeit

• Widerruf erteilter Einwilligungen

Für Personen unter 15 Jahren ist eine Zustimmung der Eltern oder gesetzlichen Vertreter erforderlich.

Pflichten von Auftragsverarbeitern

Externe Dienstleister wie Logistik-, Support- oder Hosting-Anbieter unterliegen folgenden Verpflichtungen:

• Verarbeitung ausschließlich nach dokumentierten Weisungen

• Umsetzung angemessener technischer und organisatorischer Sicherheitsmaßnahmen

• Unterstützung bei der Bearbeitung von Betroffenenanfragen

• Meldung von Datenschutzverletzungen

• Dokumentation aller Verarbeitungstätigkeiten

• Falls erforderlich, Benennung eines Datenschutzbeauftragten sowie Meldung an die zuständige deutsche Aufsichtsbehörde für Informations- und Freiheitsrechte

Datenübermittlung in Drittländer

Bei Übertragungen personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums ist ein angemessenes Datenschutzniveau sicherzustellen.
Dies kann insbesondere erfolgen durch:

• Angemessenheitsbeschlüsse der Europäischen Kommission

• Standardvertragsklauseln (SCC)

• ergänzende Maßnahmen wie Verschlüsselung und Zugriffsbeschränkungen

Aufsicht und Sanktionen

Die deutsche Datenschutzaufsichtsbehörde (BfDI) ist befugt, folgende Maßnahmen zu ergreifen:

• Durchführung von Prüfungen

• Aussetzung oder Untersagung nicht konformer Datenverarbeitungen

• Verhängung von Geldbußen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, wobei der höhere Betrag maßgeblich ist

Einhaltung und Datenschutzverpflichtung

Es bestehen folgende Grundverpflichtungen:

• Sicherstellung der Kontrolle über personenbezogene Daten für betroffene Personen

• Gewährleistung transparenter und verantwortlicher Datenverarbeitung

• Umsetzung geeigneter Maßnahmen zur Risikominimierung im Datenschutzbereich