DSGVO

I. Einleitung

Die Datenschutz-Grundverordnung (DSGVO) ist in allen EU-Mitgliedstaaten, einschließlich Deutschland, direkt anwendbar. Deutschland setzt die DSGVO durch das Bundesdatenschutzgesetz (BDSG) um. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ist zusammen mit den Landesdatenschutzbehörden der deutschen Bundesländer die zuständige Aufsichtsbehörde, die für die Überwachung, Anleitung und Durchsetzung der DSGVO und der relevanten nationalen Umsetzungsbestimmungen in Deutschland verantwortlich ist. Dementsprechend müssen US-Unternehmen, die Waren an Kunden in Deutschland verkaufen, den EU-DSGVO-Rahmen einhalten.

II. Geltungsbereich

Die DSGVO und die deutschen Umsetzungsbestimmungen gelten für: jeden Datenverantwortlichen oder Datenverarbeiter, der in Deutschland niedergelassen ist; jede Organisation außerhalb Deutschlands (einschließlich US-Unternehmen), die Waren oder Dienstleistungen für Personen in Deutschland anbietet oder deren Verhalten in Deutschland überwacht. Unabhängig davon, wo die Datenverarbeitung stattfindet, gilt die Verordnung, solange sie personenbezogene Daten von Personen in Deutschland betrifft. Sie erfasst sowohl die automatisierte Verarbeitung als auch die nicht-automatisierte Verarbeitung, die in einem Dateisystem enthalten ist. Aktivitäten, die ausschließlich zu persönlichen oder Haushaltszwecken durchgeführt werden, sind von diesem Geltungsbereich ausgeschlossen.

III. Grundsätze der Datenverarbeitung

Rechtmäßigkeit, Fairness und Transparenz: Alle Verarbeitungen müssen auf einer gültigen Rechtsgrundlage beruhen und transparent durchgeführt werden. Zweckbindung: Personenbezogene Daten dürfen nur für festgelegte, ausdrückliche und legitime Zwecke verwendet werden. Datenminimierung: Es dürfen nur Daten erhoben werden, die für die angegebenen Zwecke unbedingt erforderlich sind. Richtigkeit: Personenbezogene Daten müssen korrekt und, falls erforderlich, aktualisiert werden. Begrenzung der Speicherdauer: Personenbezogene Daten dürfen nur für den unbedingt erforderlichen Zeitraum gespeichert und anschließend gelöscht oder anonymisiert werden. Sicherheit und Vertraulichkeit: Angemessene technische und organisatorische Sicherheitsvorkehrungen zur Verhinderung von Datenpannen, -änderungen oder -verlusten sind zu treffen.

IV. Rechte der betroffenen Personen

Nach der DSGVO und dem deutschen Bundesdatenschutzgesetz haben natürliche Personen in Deutschland die folgenden Rechte: Auskunfts- und Zugangsrecht; Recht auf Berichtigung; Recht auf Löschung (Recht auf Vergessenwerden); Recht auf Einschränkung der Verarbeitung; Recht auf Datenübertragbarkeit; Widerspruchsrecht. Bei Minderjährigen unter 15 Jahren erfordert die Verarbeitung ihrer personenbezogenen Daten die Zustimmung eines Elternteils oder Erziehungsberechtigten, und Informationshinweise müssen in klarer, leicht verständlicher Sprache bereitgestellt werden.

V. Pflichten des Unterauftragnehmers

Unterauftragnehmer müssen: die dokumentierten schriftlichen Anweisungen des Datenverantwortlichen strikt befolgen; geeignete Datensicherheitsmaßnahmen ergreifen; den Datenverantwortlichen bei der Erfüllung seiner gesetzlichen Pflichten unterstützen, insbesondere bei der Beantwortung von Anfragen von betroffenen Personen; den Datenverantwortlichen unverzüglich über die Entdeckung einer Verletzung des Schutzes personenbezogener Daten informieren; der Verantwortliche muss die zuständige deutsche Aufsichtsbehörde innerhalb von 72 Stunden nach Bestätigung der Verletzung benachrichtigen. Datenverantwortliche müssen Verzeichnisse der Verarbeitungstätigkeiten führen und eine Datenschutz-Folgenabschätzung (DSFA) für risikoreiche Verarbeitungsvorgänge durchführen. Bestimmte Organisationen sind auch verpflichtet, einen Datenschutzbeauftragten (DSB) zu ernennen und mit den deutschen Datenschutzbehörden zusammenzuarbeiten.

VI. Internationale Datenübermittlungen

Wenn personenbezogene Daten von Deutschland/der EU in die Vereinigten Staaten übermittelt werden, muss der Datenverantwortliche sicherstellen, dass ein angemessenes Datenschutzniveau gewährleistet ist. Gültige rechtliche Mechanismen sind: ein Angemessenheitsbeschluss der Europäischen Kommission (wie das EU-US Data Privacy Framework); oder ausgeführte Standardvertragsklauseln (SCC). Nach der Ungültigkeitserklärung des ursprünglichen Privacy Shield am 16. Juli 2020 müssen Unternehmen, die Daten übermitteln, sich auf die überarbeiteten Standardvertragsklauseln vom 4. Juni 2021 oder andere rechtlich zulässige Übermittlungsinstrumente stützen.

VII. Kontrolle und Anwendung

Die deutschen Datenschutzaufsichtsbehörden verfügen über umfassende Durchsetzungsbefugnisse, darunter: Ausstellung von Warnungen oder förmlichen Abhilfebescheiden; Einschränkung oder Untersagung bestimmter Datenverarbeitungstätigkeiten; Verhängung von Bußgeldern von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Das deutsche nationale Recht enthält auch Bestimmungen, die es Einzelpersonen ermöglichen, verbindliche Anweisungen für den Umgang mit ihren personenbezogenen Daten nach dem Tod festzulegen. Ohne solche Anweisungen muss die Verarbeitung den anwendbaren Anforderungen der DSGVO und des BDSG entsprechen. Der kombinierte Rahmen der DSGVO und des deutschen nationalen Datenschutzrechts zielt darauf ab, die individuellen Datenschutzrechte zu schützen, die Einhaltung durch Unternehmen zu unterstützen und Vertrauen auf dem digitalen Markt zu schaffen.