DSGVO

I. Einleitung

Die Datenschutz-Grundverordnung (DSGVO) ist in allen EU-Mitgliedstaaten, einschließlich Deutschland, direkt anwendbar. Deutschland setzt die DSGVO durch das Bundesdatenschutzgesetz (BDSG) um. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) dient zusammen mit den Landesdatenschutzbehörden der deutschen Bundesländer als zuständige Aufsichtsbehörde, die für die Überwachung, Anleitung und Durchsetzung der DSGVO und der relevanten nationalen Umsetzungsbestimmungen in Deutschland verantwortlich ist. Dementsprechend müssen US-amerikanische Unternehmen, die Waren an Kunden in Deutschland verkaufen, den EU-DSGVO-Rahmen einhalten.

II. Geltungsbereich

Die DSGVO und die deutschen Umsetzungsbestimmungen gelten für: jeden Datenverantwortlichen oder -verarbeiter, der in Deutschland niedergelassen ist; jede Organisation außerhalb Deutschlands (einschließlich US-amerikanischer Unternehmen), die Waren oder Dienstleistungen für Personen in Deutschland anbietet oder deren Verhalten innerhalb des deutschen Hoheitsgebiets überwacht. Unabhängig davon, wo die Datenverarbeitung stattfindet, gilt die Verordnung, solange sie personenbezogene Daten von Personen in Deutschland betrifft. Sie umfasst die automatisierte Verarbeitung sowie die nicht-automatisierte Verarbeitung, die in einem Dateisystem enthalten ist. Aktivitäten, die ausschließlich für persönliche oder haushaltsbezogene Zwecke durchgeführt werden, sind von diesem Geltungsbereich ausgenommen.

III. Grundsätze der Datenverarbeitung

Rechtmäßigkeit, Fairness und Transparenz: Alle Verarbeitungen müssen auf einer gültigen Rechtsgrundlage beruhen und transparent erfolgen. Zweckbindung: Personenbezogene Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke verwendet werden. Datenminimierung: Es werden nur Daten erhoben, die für die angegebenen Zwecke unbedingt erforderlich sind. Richtigkeit: Personenbezogene Daten müssen korrekt und, falls erforderlich, aktualisiert gehalten werden. Begrenzung der Aufbewahrungsdauer: Personenbezogene Daten dürfen nur für den unbedingt erforderlichen Zeitraum gespeichert und anschließend gelöscht oder anonymisiert werden. Sicherheit und Vertraulichkeit: Angemessene technische und organisatorische Sicherheitsvorkehrungen zur Verhinderung von Datenlecks, -änderungen oder -verlusten sind umzusetzen.

IV. Rechte der betroffenen Personen

Nach der DSGVO und dem deutschen Bundesdatenschutzgesetz haben natürliche Personen in Deutschland die folgenden Rechte: Recht auf Information und Zugang; Recht auf Berichtigung; Recht auf Löschung (Recht auf Vergessenwerden); Recht auf Einschränkung der Verarbeitung; Recht auf Datenübertragbarkeit; Widerspruchsrecht. Für Minderjährige unter 15 Jahren erfordert die Verarbeitung ihrer personenbezogenen Daten die Zustimmung eines Elternteils oder Erziehungsberechtigten, und die Informationshinweise müssen in klarer, leicht verständlicher Sprache bereitgestellt werden.

V. Pflichten des Unterauftragnehmers

Unterauftragnehmer müssen: die dokumentierten schriftlichen Anweisungen des Datenverantwortlichen strikt befolgen; geeignete Datensicherheitsmaßnahmen einsetzen; den Datenverantwortlichen bei der Erfüllung seiner rechtlichen Pflichten unterstützen, insbesondere bei der Beantwortung von Anfragen betroffener Personen; den Datenverantwortlichen unverzüglich über die Entdeckung einer Verletzung des Schutzes personenbezogener Daten informieren; der Datenverantwortliche muss die zuständige deutsche Aufsichtsbehörde innerhalb von 72 Stunden nach Bestätigung der Verletzung benachrichtigen. Datenverantwortliche müssen Aufzeichnungen der Verarbeitungstätigkeiten führen und eine Datenschutz-Folgenabschätzung (DSFA) für risikoreiche Verarbeitungsvorgänge durchführen. Bestimmte Organisationen sind auch verpflichtet, einen Datenschutzbeauftragten (DSB) zu ernennen und mit den deutschen Datenschutzbehörden zusammenzuarbeiten.

VI. Internationale Datenübermittlungen

Wenn personenbezogene Daten aus Deutschland / der EU in die Vereinigten Staaten übermittelt werden, muss der Datenverantwortliche überprüfen, ob ein angemessenes Datenschutzniveau gewährleistet ist. Gültige rechtliche Mechanismen sind: ein Angemessenheitsbeschluss der Europäischen Kommission (wie das EU-US Data Privacy Framework); oder ausgeführte Standardvertragsklauseln (SCC). Nach der Ungültigerklärung des ursprünglichen Privacy Shields am 16. Juli 2020 müssen Unternehmen, die Daten übertragen, sich auf die am 4. Juni 2021 erlassenen überarbeiteten Standardvertragsklauseln oder andere gesetzlich zulässige Übermittlungsinstrumente stützen.

VII. Kontrolle und Anwendung

Die deutschen Datenschutzaufsichtsbehörden besitzen umfassende Durchsetzungsbefugnisse, einschließlich: Erteilung von Warnungen oder förmlichen Abhilfebescheiden; Einschränkung oder Untersagung bestimmter Datenverarbeitungstätigkeiten; Verhängung von Bußgeldern von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Das deutsche nationale Recht enthält auch Bestimmungen, die es Einzelpersonen ermöglichen, verbindliche Anweisungen für den Umgang mit ihren personenbezogenen Daten nach dem Tod zu erlassen. Ohne solche Anweisungen muss die Verarbeitung den anwendbaren Anforderungen der DSGVO und des BDSG entsprechen. Der kombinierte Rahmen der DSGVO und des deutschen nationalen Datenschutzrechts zielt darauf ab, die individuellen Datenschutzrechte zu schützen, die Einhaltung durch Unternehmen zu unterstützen und Vertrauen im digitalen Markt aufzubauen.