Vorbemerkung

Diese Datenschutzerklärung informiert Sie darüber,

wie wir Ihre personenbezogenen Daten (im Folgenden: „Daten“) verarbeiten, wenn Sie unsere Webseite besuchen und unsere cloudbasierten Lerninhalte nutzen;
warum und aufgrund welcher Rechtsgrundlage wir die Daten verarbeiten; und
welche Datenschutz-Rechte und Wahlmöglichkeiten Sie haben.

Die Einzelheiten erläutern wir in den nachfolgenden Kapiteln. Der Aufbau dieser Erklärung orientiert sich an der EU-Datenschutz-Grundverordnung (im Folgenden: DS-GVO) und dem Bundesdatenschutzgesetz (BDSG).

Im Kapitel 16. erläutern wir einige datenschutzrechtliche Begriffe.

Kapitelübersicht

1. An wen wende ich mich, wenn ich Fragen zum Datenschutz auf dieser Webseite habe?

(Kontaktdaten des Verantwortlichen, Informationspflicht gemäß Art. 13 Abs. 1 a DS-GVO)

2. Warum verarbeiten wir Ihre Daten?

(Zwecke der Verarbeitung, Informationspflicht gemäß Art. 13 Abs. 1 c DS-GVO)

3. Welche personenbezogenen Daten verarbeiten wir?

(Art der verarbeiteten Daten, Informationspflicht gemäß Art. 13 Abs. 1 c DS-GVO)

4. Warum ist diese Datenverarbeitung erlaubt?

(Rechtsgrundlagen der Verarbeitung und berechtigtes Interesse des Verantwortlichen, Informationspflicht gemäß Art. 13 Abs. 1 c DS-GVO)

5. Wem gegenüber werden meine Daten offengelegt?

(Empfänger / Kategorien der Empfänger, Informationspflicht gemäß Art. 13 Abs. 1 e DS-GVO)

6. Wer ist von der Datenverarbeitung betroffen?

(Betroffene Personen, Informationspflicht gemäß Art. 13 Abs. 1 DS-GVO)

7. Werden meine Daten an ein Land außerhalb der Europäischen Union (EU) übermittelt?

(Übermittlung der Daten an Drittländer, Informationspflicht gemäß Art. 13 Abs. 1 f DS-GVO)

8. Wie lange werden meine Daten gespeichert? Wann werden sie gelöscht?

(Dauer der Datenspeicherung, Informationspflicht gemäß Art. 13 Abs. 2 a DS-GVO)

9. Welche Rechte habe ich?

(Rechte des Betroffenen, Informationspflicht gemäß Art. 13 Abs. 1 b – d DS-GVO)

9.1 Wie kann ich mein Auskunftsrecht wahrnehmen?

9.2 Wann und wie kann ich meine Daten berichtigen lassen?

9.3 Wann müssen meine Daten gelöscht werden?

9.4 Was bedeutet „Recht auf Einschränkung der Verarbeitung“?

9.5 Was bedeutet „Recht auf Datenübertragbarkeit“?

9.6 Wie übe ich mein Widerspruchsrecht aus?

9.7 Wie kann ich eine Einwilligung widerrufen?

9.8 Wann und wie kann ich mich bei der Aufsichtsbehörde beschweren?

10. Ist gesetzlich oder vertraglich vorgeschrieben, dass ich meine Daten bereitstellen muss?

(Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben, Informationspflicht gemäß Art. 13 Abs. 2 e DS-GVO)

11. Finden automatisierte Entscheidungsprozesse im Zusammenhang mit meinen Daten statt?

(Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling, Informationspflicht gemäß Art. 13 Abs. 2 f DS-GVO)

12. Welche Daten werden beim Besuch der Website learning.clarius.solutions verarbeitet?

13. Welche Daten werden bei Nutzung der Inhalte der Lernplattform verarbeitet?

14. Durch welche Sicherheitsmaßnahmen schützen wir Ihre Daten?

15. Änderungen dieser Datenschutzerklärung

16. Erläuterung einiger datenschutzrechtlicher Begriffe

1. An wen wende ich mich, wenn ich Fragen zum Datenschutz auf dieser Webseite habe?

Verantwortlich für die Verarbeitung Ihrer Daten auf dieser Webseite ist:

CLARIUS.LEGAL Rechtsanwaltsaktiengesellschaft
Rolandsbrücke 4
20095 Hamburg

Diese Datenschutzerklärung informiert Sie darüber, welche Daten durch den Besuch auf dieser Webseite verarbeitet werden. Sie können uns auch gerne über die folgende E-Mail-Adresse kontaktieren, wenn Sie weitere Fragen dazu haben:

clarius@clarius.legal

Art. 4 Abs. 7 DS-GVO definiert den Begriff „Verantwortlicher“:

„Verantwortlicher“[:] die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Unseren Datenschutzbeauftragten erreichen Sie über die E-Mail-Adresse

dsb@clarius.legal

oder unsere Postadresse mit dem Zusatz "der Datenschutzbeauftragte".

2. Warum verarbeiten wir Ihre Daten?

Wir verarbeiten Ihre Daten, um den ordnungsgemäßen Betrieb unserer Webseite zu gewährleisten und Ihnen unser Online-Angebot sowie die Inhalte der Seite zur Verfügung stellen zu können.

Die konkreten weiteren Verarbeitungszwecke sind unter den Ziffern 12 (Welche Daten werden beim Besuch der Website learning.clarius.legal verarbeitet?) und 13 (Welche Daten werden bei Nutzung der Inhalte der Lernplattform verarbeitet?) genannt.

Wir verarbeiten Ihre Daten zu anderen als den dort beschriebenen Zwecken nur,

wenn eine Rechtsvorschrift dies erlaubt oder
Sie in den geänderten Zweck der Datenverarbeitung eingewilligt haben.

Wir informieren Sie, bevor wir Ihre Daten zu anderen Zwecken weiterverarbeiten als denen, für den die Daten ursprünglich verarbeitet wurden. Wir stellen Ihnen dann sämtliche maßgeblichen Informationen über die anderen Zwecke zur Verfügung.

3. Welche personenbezogenen Daten verarbeiten wir?

Wenn Sie die Webseite learning.clarius.legal lediglich besuchen, ohne sich dort einzuloggen, verarbeiten wir die nachfolgend unter Ziffer 12 aufgeführten Daten. Diese Daten löschen wir, sobald die Speicherung nicht mehr erforderlich ist, oder schränken die Verarbeitung ein, falls gesetzliche Aufbewahrungspflichten bestehen.

Weitere Daten, die wir verarbeiten, wenn Sie die Lernplattform nutzen, sind unter den Ziffern 13 dieser Erklärung angegeben.

4. Warum ist diese Datenverarbeitung erlaubt?

Grundsätzlich dürfen wir Ihre Daten nur dann verarbeiten, wenn dafür eine gesetzliche oder von Ihnen gegebene Erlaubnis vorliegt. Unter den Ziffern 12 und 13 dieser Datenschutzerklärung geben wir an, bei welchen Vorgängen wir Ihre Daten verarbeiten und auf welcher Grundlage die Verarbeitung erfolgt.

Grundsätzlich stützen wir uns bei der Verarbeitung Ihrer Daten auf folgende Rechtsgrundlagen der DS-GVO:

Artikel 6 Abs. 1 a, Artikel 7 DS-GVO: Ihre Einwilligung;
Artikel 6 Abs. 1 b DS-GVO: Verarbeitung Ihrer Daten, um einen Vertrag mit Ihnen erfüllen oder (vor-) vertragliche Maßnahmen durchführen zu können;
Artikel 6 Abs. 1 c DS-GVO: Datenverarbeitung, um eine rechtliche Verpflichtung zu erfüllen, der wir unterliegen;
Artikel 6 Abs. 1 f DS-GVO: Unser berechtigtes Interesse, wenn es Ihr Interesse oder Ihre Grundrechte und Grundfreiheiten überwiegt.

5. Wem gegenüber werden meine Daten offengelegt?

Wenn Ihre Daten nicht nur uns gegenüber, sondern auch gegenüber anderen Empfängern offengelegt werden, werden diese unter Ziffer 13 dieser Datenschutzerklärung aufgeführt.

6. Wer ist von der Datenverarbeitung betroffen?

Wir verarbeiten die Daten der Besucher und der Nutzer unseres Online-Angebotes, sowie die Daten unserer Kunden, Mandanten, Interessenten und Geschäftspartner, die darauf zugreifen.

7. Werden meine Daten an ein Land außerhalb der Europäischen Union (EU) übermittelt?

Wir beachten die gesetzlichen Vorgaben, wenn wir

Daten in einem „Drittland“ (außerhalb der Europäischen Union (EU) und des Europäischen Wirtschaftsraums (EWR)) verarbeiten,
die Verarbeitung durch die Inanspruchnahme von Diensten Dritter erfolgt oder
Daten an andere Personen, Stellen oder Unternehmen in Drittländern übermittelt werden.

Konkret werden Ihre Daten nur unter einer der folgenden Voraussetzungen in einem Drittland verarbeitet:

Sie haben ausdrücklich Ihre Einwilligung dazu erklärt;
die Verarbeitung ist aus vertraglichen oder gesetzlichen Gründen erforderlich (Art. 49 DS-GVO);
die Drittländer verfügen über ein anerkanntes Datenschutzniveau (Art. 45 DSGVO) durch vertragliche Verpflichtungen (Standardschutzklauseln der EU-Kommission gem. Art. 46 DS-GVO), Zertifizierungen oder verbindliche interne Datenschutzvorschriften (Art. 44 bis 49 DSGVO).

EU-US Trans-Atlantic Data Privacy Framework: Das „Data Privacy Framework” (DPF) gemäß Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023 ermöglicht den Datenexport an zertifizierte Unternehmen in den USA. Die Liste der zertifizierten Unternehmen und weitere Informationen zu dem DPF finden Sie unter https://www.dataprivacyframework.gov/ (in Englisch). Wir informieren Sie in Ziffer 13 dieser Datenschutzerklärung, welche von uns eingesetzten Diensteanbieter unter dem Data Privacy Framework zertifiziert sind.

8. Wie lange werden meine Daten gespeichert? Wann werden sie gelöscht?

Wir löschen oder anonymisieren Ihre Daten, sobald sie für die Zwecke, für die wir sie verarbeitet haben, nicht mehr erforderlich sind und der Löschung keine gesetzlichen Aufbewahrungsfristen entgegenstehen. Wenn wir Ihre Daten für andere, gesetzlich zulässige Zwecke benötigen, löschen wir die Daten nicht. Das ist etwa der Fall, wenn wir diese aus handels- oder steuerrechtlichen Gründen aufbewahren müssen. Wir verarbeiten die Daten dann aber nur noch eingeschränkt, indem wir sie z. B. sperren.

Wir orientieren uns bei Ihrem Löschungsanspruch an Artikel 17 DS-GVO („Recht auf Vergessenwerden“) und an Artikel 18 DS-GVO (Recht auf Einschränkung der Verarbeitung).

9. Welche Rechte habe ich?

Sie haben uns gegenüber folgende Rechte in Bezug auf Ihre Daten:

Recht auf Auskunft, Art. 15 DS-GVO
Recht auf Berichtigung, Art. 16,
Recht auf Löschung, Art. 17 DS-GVO
Recht auf Einschränkung der Verarbeitung, Art. 18 DS-GVO
Recht auf Widerspruch gegen die Verarbeitung, Art. 21 DS-GVO
Recht auf Datenübertragbarkeit, Art. 20 DS-GVO
das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über unsere Verarbeitung Ihrer personenbezogenen Daten zu beschweren.

In den nachfolgenden Ziffern 9.1 bis 9.8 informieren wir Sie im Einzelnen über Ihre Rechte.

9.1 Wie kann ich mein Auskunftsrecht wahrnehmen?

Sie können jederzeit von uns Auskunft darüber verlangen, welche Sie betreffenden Daten wir verarbeiten. Schreiben Sie uns einfach einen Brief oder eine E-Mail an die unter Ziffer 1 dieser Datenschutzerklärung genannte Kontaktadresse.

Art und Umfang des Auskunftsrechts ergeben sich aus Art. 15 DS-GVO.

9.2 Wann und wie kann ich meine Daten berichtigen lassen?

Sind die Daten falsch, die wir von Ihnen verarbeiten? Dann können Sie von uns verlangen, dass wir diese Daten unverzüglich berichtigen. Bitte wenden Sie sich dazu an die unter Ziffer 1 genannte Kontaktadresse.

9.3 Wann müssen meine Daten gelöscht werden?

Ihnen steht unter bestimmten Voraussetzungen das Recht zu, von uns zu verlangen, dass wir Ihre Daten löschen. Sie können von diesem Recht z. B. Gebrauch machen, wenn

Ihre Daten für die Zwecke, für die sie verarbeitet wurden, nicht mehr erforderlich sind;
bei einer unrechtmäßigen Verarbeitung;
wenn Sie der Verarbeitung widersprochen haben; oder
wenn nach Unionsrecht oder dem deutschen Recht eine Löschungspflicht besteht.

Wenn Sie möchten, dass wir Ihre Daten löschen, wenden Sie sich bitte an die unter Ziffer 1 genannte Kontaktadresse.

Art. 17 DS-GVO beschreibt, welche Voraussetzungen erfüllt sein müssen, um die Löschung der Daten zu verlangen.

9.4 Was bedeutet „Recht auf Einschränkung der Verarbeitung“?

Sie können unter bestimmten Voraussetzungen verlangen, dass wir Ihre Daten nur noch eingeschränkt verarbeiten, z. B. wenn

zwischen uns und Ihnen strittig ist, ob die von uns zu Ihrer Person verarbeiteten Daten richtig sind: Für die Dauer der Überprüfung dürfen wir Ihre Daten nur eingeschränkt verarbeiten;
Ihnen das Löschungsrecht zusteht (siehe oben), Sie aber stattdessen die eingeschränkte Verarbeitung von uns verlangen;
wir Ihre Daten für die von uns verfolgten Zwecke nicht mehr brauchen, Sie diese aber benötigen, um Rechtsansprüche geltend zu machen, auszuüben oder zu verteidigen; oder
Sie Ihr Widerspruchsrecht ausgeübt haben, aber noch umstritten ist, ob der Widerspruch berechtigt war.

Sie können uns unter der in Ziffer 1 genannten Adresse kontaktieren, um Ihr Recht auf Einschränkung der Verarbeitung auszuüben.

Das Recht auf Einschränkung der Verarbeitung folgt aus Art. 18 DS-GVO.

9.5 Was bedeutet „Recht auf Datenübertragbarkeit“?

Nach Art. 20 DS-GVO steht Ihnen das Recht zu, Ihre Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen, maschinenlesbaren Format zu erhalten. Bitte wenden Sie sich dazu an die unter Ziffer 1 genannte Adresse.

9.6 Wie übe ich mein Widerspruchsrecht aus?

Wenn wir die Verarbeitung Ihrer Daten auf eine Interessenabwägung stützen, können Sie Widerspruch gegen die Verarbeitung einlegen. Wenn Sie einen solchen Widerspruch ausüben, bitten wir Sie, die Gründe anzugeben, warum wir Ihre Daten nicht wie von uns durchgeführt verarbeiten sollten. Ist Ihr Widerspruchs begründet, prüfen wir den Sachverhalt. Wir werden dann entweder die Datenverarbeitung einstellen bzw. anpassen oder Ihnen gegebenenfalls unsere zwingenden schutzwürdigen Gründe aufzeigen, aufgrund derer wir die Verarbeitung fortführen.

Selbstverständlich können Sie der Verarbeitung Ihrer Daten für Zwecke der Werbung und Datenanalyse jederzeit widersprechen. Über Ihren Werbewiderspruch können Sie uns unter den in Ziffer 1 genannten Kontaktdaten informieren.

Artikel 6 Abs. 1 f DS-GVO bestimmt, wann eine Datenverarbeitung aufgrund einer Interessenabwägung zulässig ist. Die Vorschrift bildet einen so genannten Ausnahmetatbestand für die Fälle, in denen eine Verarbeitung nicht nach den Alternativen Artikel 6 Abs. 1 a bis e möglich ist. Das berechtigte Interesse des Verantwortlichen für die Datenverarbeitung muss dabei das Interesse der betroffenen Person überwiegen.

Das Widerrufsrecht gegen eine derartige Verarbeitung ist in Artikel 21 Abs. 1 DS-GVO geregelt.

9.7 Wie kann ich eine Einwilligung widerrufen?

Falls Sie eine Einwilligung zur Verarbeitung Ihrer Daten erteilt haben, können Sie diese jederzeit widerrufen. Wenn Sie Ihre Einwilligung widerrufen, ändert sich die Zulässigkeit der Verarbeitung Ihrer Daten.

9.8 Wann und wie kann ich mich bei der Aufsichtsbehörde beschweren?

Wenn Sie nicht damit einverstanden sind, wie wir Ihre Daten verarbeiten oder auf Ihre datenschutzrechtlichen Anliegen reagieren, können Sie sich an die zuständige Aufsichtsbehörde wenden. Die Kontaktdaten der Behörde lauten:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit
Ludwig-Erhard-Str. 22
20459 Hamburg

Telefon: (040) 428 54 4040
Telefax: (040) 428 54 4000
E-Mail: mailbox@datenschutz.hamburg.de

10. Ist gesetzlich oder vertraglich vorgeschrieben, dass ich meine Daten bereitstellen muss?

Sie sind nicht durch Gesetz oder einen Vertrag oder aus einem sonstigen Grund verpflichtet, uns Ihre Daten auf unserer Webseite bereitzustellen.

Für einen Vertragsabschluss benötigen wir die durch den Besuch unserer Webseite verarbeiteten Daten ebenfalls nicht, es sei denn, Sie möchten auf diesem Weg einen Vertrag mit uns abschließen.

Wenn Sie uns nicht Ihre von uns benötigten Daten zur Verfügung stellen, können Sie unser Online-Angebot jedoch möglicherweise nicht in vollem Umfang nutzen.

11. Finden automatisierte Entscheidungsprozesse im Zusammenhang mit meinen Daten statt?

Auf unserer Webseite werden keine automatisierte Entscheidungsfindung oder Profiling genutzt.

12. Welche Daten werden beim Besuch der Website learning.clarius.solutions verarbeitet?

Wenn Sie unsere Webseite ausschließlich zu Ihrer Information nutzen (und sich nicht dort einloggen) erheben wir nur die Daten, die Ihr Browser an unseren Server übermittelt. Wenn Sie die Webseite ansehen, erheben wir die nachfolgend aufgeführten Daten. Sie sind technisch erforderlich, um Ihnen unsere Webseite anzeigen zu können und deren Stabilität und Sicherheit zu gewährleisten:

IP-Adresse,
Datum und Uhrzeit der Anfrage,
Zeitzonendifferenz zur Greenwich Mean Time (GMT),
Inhalt der Anforderung (konkrete Seite),
Zugriffsstatus/HTTP-Statuscode,
jeweils übertragene Datenmenge,
Website, von der die Anforderung kommt,
Browser,
Betriebssystem und dessen Oberfläche,
Sprache und Version der Browsersoftware.

Rechtsgrundlage für die Verarbeitung ist Artikel 6 Abs. 1 S. 1 f DS-GVO.

Neben diesen Daten werden Cookies auf Ihrem Rechner gespeichert, wenn Sie unsere Webseite nutzen. Ein Cookie besteht aus einem Key-Value-Paar mit den Elementen "Key" = Name des Cookies (z. B. dt_id) und "Value" = Inhalt des Cookies (z.B. hfcjakdf3424fnewl).

Dadurch fließen uns bestimmte Informationen zu. Cookies können keine Programme ausführen oder Viren auf Ihren Computer übertragen. Sie dienen dazu, das Internetangebot insgesamt nutzerfreundlicher und effizienter zu machen.

Einsatz von Cookies:

a) Diese Webseite nutzt folgende Arten von Cookies, deren Umfang und Funktionsweise im Folgenden erläutert werden:

Transiente Cookies (dazu b),
Persistente Cookies (dazu c).

b) Transiente Cookies werden automatisiert gelöscht, wenn Sie den Browser schließen. Dazu zählen insbesondere die Session-Cookies. Diese speichern eine sogenannte Session-ID, mit welcher sich verschiedene Anfragen Ihres Browsers der gemeinsamen Sitzung zuordnen lassen. Dadurch kann Ihr Rechner wiedererkannt werden, wenn Sie auf unsere Website zurückkehren. Die Session-Cookies werden gelöscht, wenn Sie sich ausloggen oder den Browser schließen.

c) Persistente Cookies werden automatisiert nach einer vorgegebenen Dauer gelöscht, die sich je nach Cookie unterscheiden kann. Sie können die Cookies in den Sicherheitseinstellungen Ihres Browsers jederzeit löschen.

d) Sie können Ihre Browser-Einstellung entsprechend Ihren Wünschen konfigurieren und z. B. die Annahme von Third-Party-Cookies oder allen Cookies ablehnen. Wir weisen Sie darauf hin, dass Sie eventuell nicht alle Funktionen dieser Webseite nutzen können.

13. Welche Daten werden bei Nutzung der Lernplattform verarbeitet?

Wir stellen auf unserer Webseite Lerninhalte zur Verfügung. Die Software dient dem digitalen Training, der Schulung, Ausbildung, Fort- und Weiterbildung sowie zur Kommunikation zwischen den Anwendern. Durch die Nutzung der Software werden persönliche Daten der User gespeichert:

E-Mail des Nutzers / Anmeldename
Persönliches Passwort
Protokolldaten über die Lernaktivität des Nutzers unter Angabe durchgeführter Aktivitäten, Zeitpunkt der Aktivität und anderer Verkehrsdaten

Der Nutzer kann in seinem Profil selbst festlegen, welche Daten darüber hinaus gespeichert werden wie

Vorname, Nachname, Titel, Anrede
Geburtsdatum
Anmeldename und persönliches Kennwort
Adresse, Stadt, Land
Weitere Daten, die der Nutzer in sein Profil einstellt

Um die Lerninhalte anbieten und die Schulungen durchführen sowie verwalten zu können, werden Leistungen von folgenden Unternehmen in Anspruch genommen:

Susell GmbH (Bereitstellung der Plattform)
Unternehmenssitz: Rosenthaler Str. 38, 10178 Berlin, Germany

DigitalOcean, LLC. (Server & Hosting)
Rechenzentrum: Frankfurt am Main (Deutschland)
Unternehmenssitz: 101 Avenue of the Americas, New York, NY 10013 (USA)

Amazon Web Services Inc. (Datei-Speicher & E-Mail-Versand)
Rechenzentrum: Frankfurt am Main (Deutschland)
Unternehmenssitz: 410 Terry Avenue North, Seattle, Washington 98109-5210 (USA)

Streamdiver GmbH (Videoverarbeitung & -hosting)
Unternehmenssitz: Lakeside B06, 9020 Klagenfurt am Wörthersee (Österreich)

Rustici Software, LLC (SCORM-Verarbeitung & -hosting)
Unternehmenssitz: 210 Gothic Ct #100, Franklin, TN 37067 (USA)

FlowMate GmbH (Bereitstellung von Schnittstellen zu Drittanbieter Software)
Unternehmenssitz: Harry-Blum-Platz 2, 50678 Cologne, Germany

14. Durch welche Sicherheitsmaßnahmen schützen wir Ihre Daten?

Wir haben geeignete technische und organisatorische Maßnahmen ergriffen, um den Schutz Ihrer Daten zu gewährleisten.

SSL- bzw. TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte, wie zum Beispiel Bestellungen oder Anfragen, die Sie an uns als Seitenbetreiber senden, eine SSL-bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von “http://” auf “https://” wechselt und das Schloss-Symbol in Ihrer Browserzeile angezeigt wird.

Wenn die SSL- bzw. TLS-Verschlüsselung aktiviert ist, können die Daten, die Sie an uns übermitteln, nicht von Dritten mitgelesen werden.

Wir gewährleisten das von Artikel 32 DS-GVO geforderte „angemessene Schutzniveau“ und haben dabei folgende Faktoren berücksichtigt:

Stand der Technik
Implementierungskosten
Art der Verarbeitung
Umfang der Verarbeitung
Umstände der Verarbeitung
Zwecke der Verarbeitung
Eintrittswahrscheinlichkeiten
Schwere des Risikos für
- Vernichtung der Daten
- Verlust der Daten
- Veränderung der Daten
- unbefugte Offenlegung personenbezogener Daten
- unbefugter Zugang zu personenbezogenen Daten

Dadurch haben wir die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit unserer Systeme und Dienste sichergestellt.

15. Änderungen dieser Datenschutzerklärung

Wir sorgen dafür, dass diese Datenschutzerklärung immer auf dem neuesten Stand ist. Deshalb behalten wir uns vor, sie bei Bedarf anzupassen und Änderungen bei der Verarbeitung Ihrer Daten darin aufzunehmen.

16. Erläuterung einiger datenschutzrechtlicher Begriffe

Anonymisierung

Eine Anonymisierung liegt vor, wenn der Personenbezug von Daten derart aufgehoben ist, dass er nicht oder nur unter unverhältnismäßigem Aufwand an Zeit, Kosten und Arbeitskraft wiederhergestellt werden kann.

Eine absolute Anonymisierung, die dazu führt, dass niemand den Personenbezugs wiederherstellen kann, ist oft nicht möglich und wird in der Regel datenschutzrechtlich auch nicht gefordert. Es reicht dann aus, dass eine Re-Identifizierung praktisch nicht durchführbar ist, weil sie mit einem außerordentlich hohen Aufwand verbunden wäre.

Auftragsverarbeitung

Der Begriff wird in Art. 4 Nr. 8 DS-GVO definiert:

„ „Auftragsverarbeiter“ [ist] eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.“

Der Verantwortliche muss sicherstellen, dass der Auftragnehmer die erforderlichen und geeigneten technischen und organisatorischen zum Schutz der verarbeiteten Daten ergreift. Die Datenverarbeitung muss im Einklang mit den datenschutzrechtlichen Bestimmungen erfolgen. Mit anderen Worten: Der Auftragnehmer muss die Daten genauso sensibel behandeln wie der Auftraggeber.

Datenschutz durch Technikgestaltung („data protection by design“)

Die Technik muss dem geltenden Recht folgen. Daher ist der Datenschutz schon bei der Konzeption von Programmen oder der Programmierung selbst zu berücksichtigen. Geeignete technische und organisatorische Maßnahmen durch Technikgestaltung sind z.B.:

die Pseudonymisierung oder Verschlüsselung von Daten (Zweck: bei Missbrauch oder Verlust nicht leicht auszuwerten, Art. 32 Abs. 1 a DS-GVO)
die Anonymisierung der Daten ohne einen Personenbezug (Art. 32 DS-GVO nennt nur Beispiele)
die technische Einbindung von Datenschutzhinweisen (Zweck: Transparenz, Art. 5 Abs. 1 a DS-GVO)
Authentifizierungsverfahren zur Sicherstellung des ausschließlichen Zugangs von berechtigten Nutzern (zur Datenminimierung, Art. 5 Abs. 1 f DS-GVO)
spezielle Markierungen von Datensätzen (elektronische Etikettierung, sog. Tag; hilfreich für die Einhaltung des Zweckbindungsgrundsatzes, Art. 5 Abs. 1 b DS-GVO)

Datenschutz durch datenschutzfreundliche Voreinstellungen („data protection by default“)

Diese Regelung in Art. 25 Abs. 2 DS-GVO ist neu und dürfte sich insbesondere auf Internetdienste und soziale Netzwerke beziehen. Im Grundsatz soll dadurch u.a. das Prinzip der Datenminimierung bereits durch technische Voreinstellungen umgesetzt werden. Danach sind die technischen Systeme auf die Grundsätze des Datenschutzes abzustimmen und zwar hinsichtlich:

der Beschränkung auf den jeweiligen Verarbeitungszweck
der Menge der erhobenen personenbezogenen Daten
des Umfangs ihrer Verarbeitung
der Speicherfristen
ihrer Zugänglichkeit

Voreinstellungen sind die Variablen, die der Verantwortliche den Nutzern seines Datenverarbeitungssystems vorgibt. Der Nutzer muss diese also eintragen oder durch „Anklicken“ auswählen.

Datenschutzerklärung (Webseite)

Die Datenschutzerklärung auf einer Webseite soll Verbraucher als Nutzer darüber aufklären, in welchem Umfang Daten verarbeitet werden, was dabei zum Schutz seiner Persönlichkeitssphäre unternommen wird und welche Rechte er hat.

In der Erklärung wird unter anderem beschrieben, wie personenbezogene Daten von dem Betreiber gesammelt, genutzt oder an Dritte weitergegeben werden. Die DS-GVO verlangt dabei eine klare und verständliche Sprache (kein „Fachchinesisch“).

Integrität der Daten

Begriff: Gespeicherte personenbezogene Daten müssen davor geschützt sein, durch Fehlfunktionen des Systems beschädigt zu werden.

Schutz: Backup-Konzept (Sicherungskopien), sichere Aufbewahrung der Daten.

Kontrolle: Berechtigung zur Datensicherung, Sensibilisierung, Patch-Management (Sicherheitslücken, Updates).

Personenbezogene Daten

Der Begriff wird in Art. 4 Nr. 1 DS-GVO definiert:

„ [...] alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.“

Beispiele: Name, Anschrift, Geburtsdatum, Personalnummer, IP-Adressen, Cookies, Standortdaten, biometrische Daten.

Pseudonymisierung (Art. 4 Nr. 5, 25 Abs. 1, 32 Abs. 1 a DS-GVO)

Begriff:

Der Bezug zu einer Person wird teilweise aufgehoben (eingeschränkt) und kann ohne zusätzliche Informationen (z.B. Identifizierungsdaten) nicht wiederhergestellt werden.

Voraussetzungen:

- keine Zuordnung der Daten ohne Identifikationsdaten

- getrennte Aufbewahrung der Identifikationsdaten durch den Verantwortlichen

- technische und organisatorische Maßnahmen zum Schutz der Identifikationsdaten (Zugang)

Beispiel:

Medizinische Daten und persönliche Daten werden getrennt und können nur durch die Identifikationsdaten zugeordnet werden.

Schutz:

Geeignete Maßnahmen zur Gewährleistung der Datensicherheit, insbesondere bei höherem Schutzbedarf (Art. 24, 25, 32 DS-GVO).

Stand der Technik (Art. 25, 32 DS-GVO)

Der Stand der Technik umfasst die technologischen Werkzeuge, die zur Verfügung stehen, um z.B. eine angemessene Verschlüsselung oder eine verlässliche Pseudonymisierung zu gewährleisten.

Die Sicherheit der Verarbeitung muss „nach dem Stand der Technik“ und durch „geeignete technische und organisatorische Maßnahmen“ (TOMs) erfolgen (Art. 24, 32 DS-GVO).

Weiter nennt die DS-GVO Datenschutz durch „Technikgestaltung“ und „datenschutzfreundliche Voreinstellungen“. Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der datenverarbeitenden Systeme müssen dadurch sichergestellt werden.

Dabei muss nicht zwingend auf die besten verfügbaren Technologien zurückgegriffen werden. Es reicht aus, bewährte und effiziente Technik einzusetzen.

Konkretisierung:

IT-Grundschutzkompendium des BSI, BSI-Standard 200-2
Standard-Datenschutzmodell (SDM)
ISO-27000-Normenreihe
sonstige Empfehlungen staatlicher Stellen

Technische und organisatorische Maßnahmen (TOM)

Die sogenannten „TOMs“ stellen Maßnahmen dar, die ein angemessenes Schutzniveau für die personenbezogenen Daten gewährleisten sollen (Art. 32 DS-GVO). Beispiele: Pseudonymisierung und Verschlüsselung, Sicherheitsschlösser, Firewall, Virenscanner, Berechtigungskonzept, Feuermeldeanlage und -Löscheinrichtung, Klimaanlage, Sicherheitsräume, Alarmanlagen etc.

Stand: März 2024