Datenschutz

1. Zweck der Verordnung

Diese Datenverwaltungs- und Datenschutzrichtlinie (nachfolgend „Richtlinie“ genannt) regelt die Datenverwaltungsprozesse des Datenverantwortlichen in Bezug auf die personenbezogenen Daten natürlicher Personen und gewährleistet die Rechte der betroffenen Personen. Der Zweck der Richtlinie besteht darin, die technischen und organisatorischen Maßnahmen im Zusammenhang mit der Verarbeitung und dem Schutz personenbezogener Daten festzulegen. Bei den Vorschriften handelt es sich um interne Dokumente des Datenverantwortlichen. Die Informationen zur öffentlichen Datenverwaltung und zum Datenschutz gemäß den Datenschutzgesetzen sind in den Informationen zum Datenschutz und zur Datenverwaltung enthalten.

1.1. Daten des Datenverantwortlichen

• Name: Land Plan Ltd.
• Hauptsitz: 9012 Győr, Ménfői u. 64.
• Firmenregistrierungsnummer: 08-09-028190
• Steuernummer: 25586505-2-08
• Registergericht: Handelsgericht Győr
• Telefonnummer: +3696 900 490
• E-Mail cím: hotel@landplanhotel.hu

2. Geltungsbereich der Verordnung

2.1. Zeitlicher Geltungsbereich

Die Verordnung vom 2018.05.25. tritt am Tag in Kraft. Die Richtlinie bleibt in Kraft, bis der Datenverantwortliche nicht mehr existiert oder eine neue Richtlinie mit gleichzeitiger Aufhebung dieser Richtlinie erstellt wird.

2.2. Persönlicher Geltungsbereich

Der Geltungsbereich der Verordnung umfasst:

• an die natürlichen Personen, in Bezug auf die der Datenverwalter personenbezogene Daten verwaltet oder verarbeitet (betroffene Person),
• Personen, die im Auftrag des Verantwortlichen Datenverarbeitungstätigkeiten durchführen (Mitarbeiter oder Personen in einem anderen Arbeitsverhältnis),
• Personen, die im Auftrag des Auftragsverarbeiters Datenverarbeitungstätigkeiten durchführen (Arbeitnehmer oder Personen in einem anderen Arbeitsverhältnis).

Alle Mitarbeiter des Verantwortlichen oder sonstige in einem Arbeitsverhältnis stehende Mitarbeiter sind verpflichtet, alle in ihrem jeweiligen Arbeits- bzw. Aufgabenbereich liegenden Tätigkeiten auszuführen, um die Bestimmungen dieser Richtlinie zu ermöglichen und umzusetzen.

2.3. Umfang

Der sachliche Geltungsbereich der Richtlinie umfasst personenbezogene Daten, die vom Datenverantwortlichen im Rahmen von Datenverwaltungsaktivitäten verwaltet oder verarbeitet werden, die in den persönlichen Geltungsbereich dieser Richtlinie fallen.

3. Datenschutz und Datensicherheitsgesetze

Gesetze mit datenschutzrechtlichem und datensicherheitsrelevantem Inhalt im Sinne dieser Richtlinie sind insbesondere die folgenden:

2016. VERORDNUNG (EU) 2016/27 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 2016. April 679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (DSGVO),
2017. Gesetz CXII von 2011 über das Recht auf informationelle Selbstbestimmung und Informationsfreiheit. Gesetz (nachfolgend Informationsgesetz genannt),
2018. Gesetz V von 2013 über das Bürgerliche Gesetzbuch (nachfolgend „Bürgerliches Gesetzbuch“),
2019. CXIX. Gesetz zur Verarbeitung von Namens- und Adressdaten für Zwecke der Marktforschung und des Direktmarketings
2020. Gesetz XLVIII.tv (Grt.) von 2008 über die Grundbedingungen und bestimmte Beschränkungen der wirtschaftlichen Werbetätigkeit
2021. Gesetz CVIII von 2001 zu bestimmten Fragen des elektronischen Handels und der Dienste im Zusammenhang mit der Informationsgesellschaft. Gesetz (Ekertv.)
2022. Gesetz C von 2000 über die Rechnungslegung (Rechnungslegungsgesetz),
2023. das Verbraucherschutzgesetz von 1997. Gesetz (Fgytv.).
2024. Gesetz CXXXIII von 2005 über die Regeln des Personen- und Eigentumsschutzes und der Tätigkeit von Privatdetektiven. Gesetz
2025. Gesetz I von 2012 zum Arbeitsgesetzbuch. (Berg)

4. Konzeptdefinitionen

Personenbezogene Daten: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen; Als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Nummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind (DSGVO Artikel 4(1)).

• Betroffene Person: eine identifizierte oder identifizierbare natürliche Person (DSGVO Artikel 4.)
• Datenverarbeitung: jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten oder Dateien wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung (DSGVO Artikel 4).
• Einschränkung der Verarbeitung: Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken (Art. 4 Abs. 3 DSGVO)
• Datenverantwortlicher: die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; Sind die Zwecke und Mittel der Datenverarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können der Verantwortliche bzw. die konkreten Aspekte seiner Benennung auch durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben werden (Art. 4 Nr. 7 DSGVO).
• Auftragsverarbeiter: die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (DSGVO Artikel 4 8)
• Empfänger: die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Öffentliche Stellen, die im Rahmen einer Einzeluntersuchung gemäß dem Unionsrecht oder dem Recht der Mitgliedstaaten möglicherweise auf personenbezogene Daten zugreifen, gelten nicht als Empfänger. Die Verarbeitung dieser Daten durch diese Behörden muss den geltenden Datenschutzvorschriften entsprechend den Zwecken der Verarbeitung entsprechen (Artikel 4 Absatz 9 der DSGVO).
• Einwilligung der betroffenen Person: Jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist (Art. 4 Nr. 11 DSGVO).
• Datenschutzverletzung: eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu übermittelten, gespeicherten oder anderweitig verarbeiteten personenbezogenen Daten führt (DSGVO Artikel 4(12))
• Aufsichtsbehörde: eine von einem Mitgliedstaat gemäß Artikel 51 eingerichtete unabhängige öffentliche Behörde (DSGVO Artikel 4 21)

5. Datenschutz- und Datensicherheitsbestimmungen

5.1. Grundsätze

Der Verantwortliche beachtet die Grundsätze für die Verarbeitung personenbezogener Daten gemäß Artikel 5 der DSGVO, wonach:

(1) Personenbezogene Daten:

1. (a) Die Verarbeitung muss auf rechtmäßige Weise und nach Treu und Glauben sowie in einer für die betroffene Person nachvollziehbaren Weise erfolgen („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz“);
2. b) nur für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise verarbeitet werden; Eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke („Zweckbindung“) gilt nicht als unvereinbar mit dem ursprünglichen Zweck gemäß Artikel 89 Absatz 1.
3. (c) Sie müssen im Hinblick auf die Zwecke der Verarbeitung angemessen und erheblich sein und sich auf das notwendige Maß beschränken („Datensparsamkeit“);
4. d) Sie müssen genau sein und, soweit erforderlich, auf dem neuesten Stand gehalten werden. Es müssen alle angemessenen Schritte unternommen werden, um sicherzustellen, dass personenbezogene Daten, die im Hinblick auf die Zwecke der Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
5. e) Sie müssen in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur für den Zeitraum ermöglicht, der zur Erreichung der Zwecke, für die die personenbezogenen Daten verarbeitet werden, erforderlich ist. Personenbezogene Daten dürfen nur dann für einen längeren Zeitraum gespeichert werden, wenn die personenbezogenen Daten für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden, vorbehaltlich der Umsetzung geeigneter technischer und organisatorischer Maßnahmen zum Schutz der Rechte und Freiheiten der betroffenen Personen gemäß dieser Verordnung („begrenzte Speicherung“);
6. f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, Zerstörung oder Schädigung der Daten durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“).

(2) Der Verantwortliche ist für die Einhaltung des Absatzes (1) verantwortlich und muss dies nachweisen können („Rechenschaftspflicht“).

Der Verantwortliche stellt die Einhaltung der oben genannten Grundsätze insbesondere wie folgt sicher:

• die Definition der Rechtsgrundlagen unter Buchstabe a) ist im Verzeichnis der Datenverarbeitungstätigkeiten (AKNy) enthalten,
• Die Zweckbestimmung der Datenverarbeitungstätigkeit gemäß Punkt b) stellt der Verantwortliche im Musterdokument der Zweckbestimmung in Anlage 1 zur Verfügung. Anlage Nr. 2 enthält das Muster eines Datenverwaltungsregisters. Anhang enthalten,
• Der Umfang der gemäß Buchstabe c) verarbeiteten personenbezogenen Daten ist in der AKNy enthalten.
• Die Dauer der Datenverarbeitung gemäß Punkt ad) ist in der AKNy enthalten,
• die organisatorischen und technischen Maßnahmen zur Datenspeicherung und Datenlöschung gemäß Punkt e) (oder ein Verweis darauf) sind in dieser Richtlinie enthalten,
• die in Buchstabe f) genannten organisatorischen und technischen Maßnahmen (oder ein Verweis darauf) in dieser Verordnung enthalten sind,
• Um dem Grundsatz der Rechenschaftspflicht gerecht zu werden, sind in dieser Richtlinie Dokumentationspflichten enthalten.

5.2. Rechtmäßigkeit der Datenverarbeitung

5.2.1. Rechtsgrundlage für die Verarbeitung personenbezogener Daten

Der Verantwortliche verarbeitet personenbezogene Daten nur in den folgenden Fällen und auf der Grundlage der folgenden Rechtsgrundlagen:

31. Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben (DSGVO Artikel 31 (1) a)),
32. die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen (Art. 31 Abs. 1 lit. b DSGVO),
33. die Datenverarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt (Art. 31 Abs. 1 lit. c DSGVO),
34. die Verarbeitung ist zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich (Art. 31 Abs. 1 lit. d DSGVO),
35. die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde (Art. 31 Abs. 1 lit. e) DSGVO),
36. die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt (Art. 31 Abs. 1 lit. f DSGVO).

Der Verantwortliche führt die Datenverarbeitung überwiegend auf Grundlage der unter Punkt ab), c) und f) genannten Rechtsgrundlagen und in geringerem Maße auf Grundlage der unter Punkt a) genannten Rechtsgrundlage durch. Die Anwendung der unter den Punkten d) und e) genannten Rechtsgrundlagen für die Datenverarbeitung ist für den Verantwortlichen nicht typisch. Die genauen Rechtsgrundlagen der jeweiligen Datenverarbeitungsvorgänge sind im Datenschutzgesetz enthalten.

5.2.2. Dokumentationspflicht im Zusammenhang mit den Rechtsgrundlagen der Datenverarbeitung

5.2.2.1. Beitrag

Wenn die Datenschutzbehörde die Einwilligung als Rechtsgrundlage für die Datenverarbeitung angibt, muss der Verantwortliche nachweisen können, dass die betroffene Person auf der Grundlage angemessener Informationen freiwillig, konkret und eindeutig in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. Bei der Einwilligung handelt es sich um eine Handlung, die eine eindeutige Erklärung oder Bestätigung zum Ausdruck bringt und mit der Sie Ihre ausdrückliche Zustimmung zur Verarbeitung der Sie betreffenden oder Sie betreffenden personenbezogenen Daten erteilt haben.

Der Verantwortliche verarbeitet Daten, die zu besonderen Kategorien personenbezogener Daten gehören, nur in den folgenden Fällen:

– mit ausdrücklicher Einwilligung der betroffenen Person,

– im Falle eines Arbeitnehmers zur Erfüllung einer gesetzlichen Verpflichtung auf Grundlage der Gesetzgebung in Bezug auf Beschäftigung, soziale Sicherheit und Schutz.

Der Verantwortliche gibt das von der betroffenen Person übermittelte Dokument mit sensiblen Daten ohne Anfertigung einer Kopie und ohne Verarbeitung der darin enthaltenen Daten an den Verantwortlichen zurück, mit Ausnahme von Dokumenten oder Daten, die aufgrund der Erfüllung einer gesetzlichen Verpflichtung einer Datenverarbeitung unterliegen.

Eine Verarbeitung personenbezogener Daten der betroffenen Person auf der Rechtsgrundlage der Einwilligung ist nur zulässig, wenn eine dokumentierte Einwilligungserklärung der betroffenen Person in Papierform oder elektronisch vorliegt. Der Datenverantwortliche erstellt eine Dokumentvorlage für die Einwilligung der betroffenen Person.

5.2.2.2. Interessenabwägungstest

Wenn die Datenschutzbehörde als Rechtsgrundlage für die Datenverarbeitung ein berechtigtes Interesse angibt, muss eine Interessenabwägung durchgeführt und dokumentiert werden. Im Rahmen der Abwägungsprüfung werden das berechtigte Interesse des Verantwortlichen (oder eines Dritten) und die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person ermittelt und die Abwägung auf Grundlage dieser Faktoren vorgenommen. Wenn das Ergebnis der Abwägung nicht eindeutig positiv ist, müssen zusätzliche Schutzmaßnahmen zum Schutz der Rechte der betroffenen Person ergriffen werden.

Bei Vorliegen eines berechtigten Interesses dürfen personenbezogene Daten – unter Berücksichtigung des Grundsatzes der Rechenschaftspflicht – nur nach Durchführung einer Abwägung und schriftlicher Dokumentation verarbeitet werden.

Die Abwägungsprüfung muss unter Einbeziehung des Datenschutzbeauftragten und des gesetzlichen Vertreters vor Beginn der Datenverarbeitung durchgeführt werden.

Die schriftliche Dokumentation der Abwägungsprüfungen wird vom Datenschutzbeauftragten aufbewahrt.

5.3. Verordnung zum Schutz der Rechte betroffener Personen

5.3.1. Recht auf transparente Information und Kommunikation

5.3.1.1. DSGVO Artikel 12 „(1) Der Verantwortliche trifft geeignete Maßnahmen, um sicherzustellen, dass der betroffenen Person alle in den Artikeln 13 und 14 genannten Informationen sowie die in den Artikeln 15 bis 22 genannten Informationen über die Verarbeitung personenbezogener Daten zur Verfügung gestellt werden. und alle Informationen gemäß Artikel 34 in präziser, transparenter, verständlicher und leicht zugänglicher Form in klarer und einfacher Sprache bereitzustellen, insbesondere wenn es sich um Informationen handelt, die sich an Kinder richten. Die Informationen werden schriftlich oder auf anderem Wege, gegebenenfalls auch auf elektronischem Wege, bereitgestellt. Auf Wunsch der betroffenen Person kann auch eine mündliche Auskunft erteilt werden, sofern die Identität der betroffenen Person auf andere Weise festgestellt wurde.

(2) Der Verantwortliche erleichtert der betroffenen Person die Verarbeitung personenbezogener Daten gemäß den Artikeln 15 bis 22. Ausübung seiner Rechte gemäß Artikel XNUMX.

Der Datenverantwortliche stellt den betroffenen Personen in Form einer Mitteilung Informationen zur Verarbeitung personenbezogener Daten zur Verfügung. Die Mitteilung enthält Informationen in einem prägnanten, transparenten, verständlichen und leicht zugänglichen Format und ist klar und verständlich formuliert. Die Informationen werden der betroffenen Person schriftlich (auf Papier oder elektronisch) zur Verfügung gestellt.

Der Verantwortliche erstellt Dokumentvorlagen gemäß den in den Artikeln 13–14 der DSGVO festgelegten obligatorischen Inhaltselementen. Die Termine für die Benachrichtigungen sind gemäß den Rechtsvorschriften in einer separaten Liste anzugeben.

Die Mitteilungen müssen unter Berücksichtigung der besonderen Umstände der Verarbeitung personenbezogener Daten zu folgenden Zeitpunkten erfolgen:

• wenn die personenbezogenen Daten zum Zeitpunkt der Erhebung bei der betroffenen Person erhoben wurden,
• wenn die personenbezogenen Daten nicht von der betroffenen Person erhoben wurden, innerhalb einer angemessenen Frist ab dem Datum der Erhebung der personenbezogenen Daten, spätestens jedoch innerhalb eines Monats,
• wenn die personenbezogenen Daten zum Zwecke der Kommunikation mit der betroffenen Person verwendet werden, zumindest beim ersten Kontakt mit der betroffenen Person, oder
• wenn eine Übermittlung der Daten an andere Empfänger zu erwarten ist, spätestens zum Zeitpunkt der erstmaligen Übermittlung der personenbezogenen Daten,
• Beabsichtigt der Verantwortliche, personenbezogene Daten zu einem anderen Zweck weiterzuverarbeiten als dem, zu dem sie erhoben wurden, muss er die betroffene Person vor der Weiterverarbeitung über diesen anderen Zweck und alle weiteren relevanten Informationen gemäß Artikel 14 Absatz 2 DSGVO informieren.

Artikel 14 Absatz 5 der DSGVO. Auf dieser Grundlage ist der Verantwortliche berechtigt, die Ausübung des Auskunftsrechts der betroffenen Person in folgenden Fällen zu verweigern:

1. a) die betroffene Person bereits über die Informationen verfügt,
2. b) die Bereitstellung der Informationen unmöglich ist, einen unverhältnismäßigen Aufwand erfordern würde oder die Erreichung des Zwecks der Datenverarbeitung unmöglich machen oder gefährden würde und für den der Verantwortliche angemessene Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person getroffen hat,
3. c) im Falle einer ausdrücklichen gesetzlichen Regelung, die zugleich den Schutz der berechtigten Interessen der betroffenen Person vorsieht,
4. d) wenn die Datenverarbeitung aufgrund einer gesetzlichen Verschwiegenheitspflicht oder einer gesetzlichen Geheimhaltungspflicht vertraulich bleiben muss.

DSGVO Art. 12 Abs. 2 lit. „In den in Artikel 11 Absatz 2 genannten Fällen teilt der Verantwortliche der betroffenen Person Folgendes mit: darf einem Antrag auf Ausübung der Rechte gemäß Artikel 15 nicht nachkommen, es sei denn, er weist nach, dass die Identifizierung der betroffenen Person nicht möglich ist.

(3) Der Verantwortliche teilt der betroffenen Person unverzüglich, spätestens jedoch innerhalb eines Monats nach Eingang des Antrags, die in den Artikeln 15 bis 22 genannten Informationen mit. über die Maßnahmen, die aufgrund eines Ersuchens gemäß Artikel ergriffen werden. Bei Bedarf kann diese Frist unter Berücksichtigung der Komplexität des Antrags und der Anzahl der Anträge um weitere zwei Monate verlängert werden. Der Verantwortliche informiert die betroffene Person innerhalb eines Monats nach Eingang des Antrags über die Fristverlängerung und gibt die Gründe hierfür an. Hat die betroffene Person den Antrag elektronisch gestellt, werden die Informationen nach Möglichkeit elektronisch bereitgestellt, sofern die betroffene Person nichts anderes verlangt.

(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person unverzüglich, spätestens jedoch innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und darüber, dass die betroffene Person das Recht hat, Beschwerde bei einer Aufsichtsbehörde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.

(5) Die in den Artikeln 13 und 14 sowie in den Artikeln 15 bis 22 genannten Informationen sind und die Informationen und Maßnahmen gemäß Artikel 34 werden unentgeltlich bereitgestellt. Wenn die Anfrage der betroffenen Person offensichtlich unbegründet oder exzessiv ist, insbesondere wenn sie häufig vorkommt, kann der Verantwortliche unter Berücksichtigung der Verwaltungskosten, die mit der Bereitstellung der gewünschten Informationen oder Mitteilungen oder mit der Durchführung der gewünschten Maßnahme verbunden sind, Folgendes tun:

1. a) eine angemessene Gebühr verlangen oder
2. b) kann es ablehnen, dem Ersuchen nachzukommen.

Die Beweislast dafür, dass der Antrag offensichtlich unbegründet oder übertrieben ist, liegt beim Verantwortlichen.

(6) Unbeschadet des Artikels 11 gilt: Hat der Verantwortliche begründete Zweifel, ob die betroffene Person die Anforderungen der Artikel 15 bis 21 erfüllt hat, In Bezug auf die Identität der natürlichen Person, die einen Antrag gemäß Artikel XNUMX stellt, kann der Verantwortliche die Bereitstellung weiterer Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.

(7) Die der betroffenen Person gemäß den Artikeln 13 und 14 bereitzustellenden Informationen können durch standardisierte Bildsymbole ergänzt werden, um der betroffenen Person allgemeine Informationen über die beabsichtigte Verarbeitung in klar erkennbarer, leicht verständlicher und lesbarer Form bereitzustellen. Elektronisch angezeigte Symbole müssen maschinenlesbar sein.“

DSGVO Artikel 11 (Verarbeitung von Daten, die keine Identifizierung erfordern)

(1) Ist für die Zwecke, zu denen der Verantwortliche personenbezogene Daten verarbeitet, die Identifizierung der betroffenen Person durch den Verantwortlichen nicht oder nicht mehr erforderlich, ist der Verantwortliche nicht verpflichtet, ausschließlich zum Zwecke der Einhaltung dieser Verordnung zusätzliche Informationen zur Identifizierung der betroffenen Person zu speichern, einzuholen oder zu verarbeiten.

(2) Kann der Verantwortliche in den in Absatz 1 dieses Artikels genannten Fällen nachweisen, dass er nicht in der Lage ist, die betroffene Person zu identifizieren, so teilt er der betroffenen Person dies, sofern möglich, mit. In solchen Fällen sind die 15-20. Artikel XNUMX findet keine Anwendung, es sei denn, die betroffene Person stellt zur Ausübung ihrer in diesen Artikeln niedergelegten Rechte zusätzliche Informationen bereit, die ihre Identifizierung ermöglichen.

Der Verantwortliche informiert die betroffene Person gemäß den Artikeln 15–22 der DSGVO. Nach Einreichung eines dokumentierten (eingereichten) Antrags auf Ausübung Ihrer Rechte gemäß Artikel XNUMX wird dieser von dem mit der Datenverarbeitung befassten Mitarbeiter, gegebenenfalls unter Einbeziehung des Datenschutzbeauftragten oder des gesetzlichen Vertreters des Verantwortlichen, geprüft, um Folgendes festzustellen:

– der Antrag wurde von einer identifizierbaren betroffenen Person oder einer hierzu befugten Person gestellt,

– auf welche Ausübung sich der Antrag bezieht,

– ob der Verantwortliche verpflichtet ist, der Anfrage nachzukommen.

Nach Prüfung des Antrags erstellt der für die Datenverarbeitung zuständige Mitarbeiter des Verantwortlichen einen Entwurf der Rückmeldung, legt diesen dem Datenschutzbeauftragten zur Stellungnahme vor und gibt anschließend dem Antragsteller unverzüglich, spätestens jedoch innerhalb eines Monats, kostenlos eine Rückmeldung:

• Maßnahmen des Verantwortlichen,
• Unterlassene Maßnahmen des Verantwortlichen (einschließlich Verlängerung der Rückmeldungsfrist) und die hierfür geltenden gesetzlichen Gründe,
• Informationen über Rechtsbehelfe (die betroffene Person kann bei der Aufsichtsbehörde Beschwerde einlegen und ihr Recht auf gerichtlichen Rechtsbehelf geltend machen),
• zusätzliche Informationen im Zusammenhang mit der Anfrage, Informationen zur Verarbeitung dieser Daten durch den Datenverantwortlichen während der Identifizierung.

Der Verantwortliche erstellt Dokumentvorlagen, um Rückmeldungen (Antwortschreiben) auf einheitliche und rechtskonforme Weise zu übermitteln.

Die dem Verantwortlichen zur Verfügung stehende einmonatige Antwortfrist kann um weitere zwei Monate verlängert werden, wenn dies aufgrund der Komplexität der Anfrage und der Anzahl der Anfragen gerechtfertigt ist.

Der Verantwortliche kann die Bearbeitung einer Anfrage der betroffenen Person ablehnen oder eine angemessene Gebühr für die angeforderten Informationen oder die Verwaltungskosten für die Durchführung der Maßnahme verlangen, wenn die Anfrage nachweislich und eindeutig unbegründet oder übertrieben ist (insbesondere aufgrund ihres wiederkehrenden Charakters).

Ist der Empfänger ebenfalls an der Anfrage beteiligt, muss dieser gleichzeitig mit der Rückmeldung (Antwortschreiben) informiert werden.

5.3.2. Das Auskunftsrecht der betroffenen Person

DSGVO Artikel 15 „(1) Die betroffene Person hat das Recht, von dem Verantwortlichen Auskunft darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist eine solche Verarbeitung der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

1. a) die Zwecke der Datenverarbeitung;
2. b) die Kategorien personenbezogener Daten, die verarbeitet werden;
3. c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
4. d) gegebenenfalls die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
5. e) das Recht der betroffenen Person, von dem für die Verarbeitung Verantwortlichen die Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder eine Einschränkung der Verarbeitung zu verlangen oder Widerspruch gegen die Verarbeitung dieser personenbezogenen Daten einzulegen;
6. f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
7. g) wenn die Daten nicht bei der betroffenen Person erhoben wurden, alle verfügbaren Informationen über die Herkunft der Daten;
8. h) das Bestehen einer automatisierten Entscheidungsfindung gemäß Artikel 22 Absätze 1 und 4 einschließlich Profiling und, zumindest in diesen Fällen, aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die absehbaren Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3) Der Verantwortliche stellt der betroffenen Person eine Kopie der personenbezogenen Daten, die Gegenstand der Datenverarbeitung sind, zur Verfügung. Für weitere von der betroffenen Person angeforderte Kopien kann der Verantwortliche eine angemessene Gebühr auf Grundlage der Verwaltungskosten verlangen. Hat die betroffene Person den Antrag elektronisch gestellt, sind die Informationen in einem gängigen elektronischen Format bereitzustellen, sofern die betroffene Person nichts anderes verlangt.

(4) Das in Absatz (3) genannte Recht, eine Kopie anzufordern, darf die Rechte und Freiheiten anderer nicht beeinträchtigen.“

Wenn die betroffene Person vom Verantwortlichen eine Kopie ihrer personenbezogenen Daten anfordert, werden ihr diese Daten beim ersten Mal kostenlos zur Verfügung gestellt. Wenn die betroffene Person zusätzliche Kopien anfordert, ist der Datenverantwortliche berechtigt, eine angemessene Gebühr auf Grundlage der Verwaltungskosten zu erheben.

Der Antrag der betroffenen Person auf eine Kopie ihrer personenbezogenen Daten und die Erfüllung dieses Antrags dürfen jedoch die Rechte und Freiheiten anderer nicht beeinträchtigen. Daher darf ein Dokument mit Daten anderer betroffener Personen nur nach entsprechender Anonymisierung herausgegeben werden.

Unter einer Kopie personenbezogener Daten ist lediglich eine Kopie der vom Verantwortlichen gespeicherten personenbezogenen Daten zu verstehen, nicht jedoch eine Kopie von Dokumenten (einschließlich Papier- und elektronischer Dokumente), die unter Verwendung der personenbezogenen Daten erstellt wurden. Der Verantwortliche ist gemäß der DSGVO nicht verpflichtet, für diese Dokumente eine Kopie bereitzustellen.

5.3.3. Recht auf Berichtigung

DSGVO Artikel 16 „Die betroffene Person hat das Recht, von dem Verantwortlichen auf Verlangen unverzüglich die Berichtigung sie betreffender unrichtiger personenbezogener Daten zu verlangen. Unter Berücksichtigung der Zwecke der Datenverarbeitung hat die betroffene Person das Recht, die Vervollständigung unvollständiger personenbezogener Daten – auch mittels einer ergänzenden Erklärung – zu verlangen.“

DSGVO Artikel 19 „Der Verantwortliche teilt jede Berichtigung gemäß Artikel 16 … jedem Empfänger mit, dem die personenbezogenen Daten offengelegt wurden, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden.“ Auf Anfrage wird der betroffenen Person von dem Verantwortlichen über diese Empfänger unterrichtet.“

5.3.4. Das Recht auf Löschung („das Recht, vergessen zu werden“)

DSGVO Artikel 17 „(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, sie betreffende personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

1. a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.
2. b) Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.
3. c) Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.
4. d) die personenbezogenen Daten wurden unrechtmäßig verarbeitet;
5. e) Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.
6. f) Die personenbezogenen Daten wurden im Zusammenhang mit der Bereitstellung von Diensten der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.

(2) Hat der Verantwortliche personenbezogene Daten öffentlich gemacht und ist er gemäß Absatz (1) zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.

(3) Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist

1. a) zur Ausübung des Rechts auf freie Meinungsäußerung und Information;
2. b) zur Erfüllung einer Verpflichtung zur Verarbeitung personenbezogener Daten nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
3. c) aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 9 Absatz 2 Buchstaben h und i sowie Artikel 9 Absatz 3;
4. d) für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1, soweit das in Absatz 1 genannte Recht die genannte Verarbeitung voraussichtlich unmöglich macht oder ernsthaft beeinträchtigt, oder
5. e) zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.“

DSGVO Artikel 19: „Der Verantwortliche unterrichtet alle Empfänger der …, Artikel 17 Absatz 1 ….“ über alle Löschungen gemäß …, denen oder denen die personenbezogenen Daten übermittelt wurden, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden. Auf Anfrage wird der betroffenen Person von dem Verantwortlichen über diese Empfänger unterrichtet.“

Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten der betroffenen Person unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

1. a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.
2. b) die betroffene Person ihre Einwilligung, auf deren Grundlage die Verarbeitung ihrer allgemeinen personenbezogenen Daten oder besonderer Daten erfolgt, widerruft und es an einer anderweitigen Rechtsgrundlage für die Verarbeitung fehlt;
3. c) die betroffene Person legt Widerspruch gegen die Verarbeitung der Daten ein, wenn dies im öffentlichen Interesse, zur Ausübung öffentlicher Gewalt oder aufgrund eines berechtigten Interesses erfolgt und keine vorrangigen berechtigten Gründe für die Verarbeitung vorliegen, oder die betroffene Person legt Widerspruch gegen die Verarbeitung ihrer Daten für Zwecke der Direktwerbung, einschließlich Profiling, ein, sofern es mit dieser in Verbindung steht;
4. d) die personenbezogenen Daten wurden unrechtmäßig verarbeitet;
5. e) Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.
6. f) die personenbezogenen Daten wurden im Zusammenhang mit der Bereitstellung von Diensten der Informationsgesellschaft direkt für Kinder erhoben.

Das Recht der betroffenen Person auf Löschung kann eingeschränkt sein und der Verantwortliche kann die Daten, deren Löschung beantragt wurde, in den folgenden Fällen rechtmäßig weiter verarbeiten:

1. a) zur Ausübung des Rechts auf freie Meinungsäußerung und Information,
2. b) zur Erfüllung einer Verpflichtung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche die Verarbeitung personenbezogener Daten unterliegt, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde,
3. c) die Verarbeitung ist für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die Erstellung einer medizinischen Diagnose, für die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Rechts der Union oder der Mitgliedstaaten oder aufgrund eines Vertrags mit Angehörigen eines Gesundheitsberufs, der dessen Verschwiegenheitspflicht garantiert, und aufgrund des öffentlichen Interesses im Bereich der öffentlichen Gesundheit erforderlich,
4. d) für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke, soweit ein Recht auf Löschung die vorliegende Verarbeitung voraussichtlich unmöglich machen oder ernsthaft gefährden würde, oder
5. e) zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

5.3.5. Das Recht auf Einschränkung der Datenverarbeitung

DSGVO Artikel 18 „(1) Die betroffene Person hat das Recht, von dem Verantwortlichen die Einschränkung der Verarbeitung zu verlangen, wenn eine der folgenden Voraussetzungen gegeben ist:

1. a) die Richtigkeit der personenbezogenen Daten von der betroffenen Person bestritten wird; in diesem Fall gilt die Einschränkung für eine Dauer, die es dem Verantwortlichen ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen;
2. b) die Verarbeitung unrechtmäßig ist und die betroffene Person die Löschung der Daten ablehnt und stattdessen die Einschränkung der Nutzung der Daten verlangt;
3. c) der Verantwortliche die personenbezogenen Daten für die Zwecke der Verarbeitung nicht länger benötigt, die betroffene Person sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt, oder
4. d) die betroffene Person Widerspruch gegen die Verarbeitung gemäß Artikel 21 Absatz 1 eingelegt hat; in diesem Fall gilt die Einschränkung für den Zeitraum, bis festgestellt wird, ob die berechtigten Gründe des Verantwortlichen gegenüber denen der betroffenen Person überwiegen.

(2) Unterliegt die Verarbeitung gemäß Absatz 1 Einschränkungen, so dürfen diese personenbezogenen Daten – von ihrer Speicherung abgesehen – nur mit Einwilligung der betroffenen Person oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aus Gründen eines wichtigen öffentlichen Interesses der Union oder eines Mitgliedstaats verarbeitet werden.

(3) Der Verantwortliche unterrichtet die betroffene Person, auf deren Antrag die Einschränkung der Datenverarbeitung gemäß Absatz (1) eingeschränkt wurde, vor der Aufhebung der Einschränkung der Datenverarbeitung.“

DSGVO Artikel 19 „Der Verantwortliche informiert alle Empfänger von ….“ alle … gemäß Artikel 18. auf Einschränkung der Datenverarbeitung, denen die personenbezogenen Daten offengelegt wurden, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden. Auf Anfrage wird der betroffenen Person von dem Verantwortlichen über diese Empfänger unterrichtet.“

Bei der Einschränkung der Datenverarbeitung handelt es sich in erster Linie um eine vorübergehende Maßnahme, bis ein Anspruch geprüft oder Maßnahmen ergriffen werden.

Sie können unter Einschränkung der Datenverarbeitung gespeichert und in folgenden Fällen verarbeitet werden:

– mit Einwilligung der betroffenen Person oder

– zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder

– zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder

– im wichtigen öffentlichen Interesse der Union oder eines Mitgliedstaats.

5.3.6. Das Recht auf Datenübertragbarkeit

DSGVO Artikel 20 „(1) Die betroffene Person hat das Recht, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, und sie hat das Recht, diese Daten einem anderen Verantwortlichen ohne Behinderung durch den Verantwortlichen, dem die personenbezogenen Daten bereitgestellt wurden, zu übermitteln, sofern

6. a) die Verarbeitung auf einer Einwilligung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a oder auf einem Vertrag gemäß Artikel 6 Absatz 1 Buchstabe b beruht; Und
7. b) die Datenverarbeitung mithilfe automatisierter Verfahren erfolgt.

(2) Bei der Ausübung des Rechts auf Datenübertragbarkeit gemäß Absatz (1) hat die betroffene Person das Recht, zu erwirken, dass die personenbezogenen Daten direkt zwischen Verantwortlichen übermittelt werden, soweit dies technisch machbar ist.

(3) Die Ausübung des in Absatz 1 dieses Artikels genannten Rechts erfolgt unbeschadet des Artikels 17. Das vorgenannte Recht besteht nicht, wenn die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.

(4) Das in Absatz (1) genannte Recht darf die Rechte und Freiheiten anderer nicht beeinträchtigen.“

Die betroffene Person ist berechtigt, das Recht auf Datenübertragbarkeit nur in Bezug auf die sie betreffenden Daten auszuüben, die sie dem Verantwortlichen bereitgestellt hat, sofern:

– die Verarbeitung personenbezogener Daten oder sensibler personenbezogener Daten auf der Rechtsgrundlage der Einwilligung oder auf der Rechtsgrundlage eines Vertrages beruht und

– die Datenverarbeitung erfolgt automatisiert.

Das Recht auf Datenübertragbarkeit steht dem Recht auf Löschung nicht entgegen und Datenübertragbarkeit bedeutet nicht die Löschung von Daten. Das Recht auf Datenübertragbarkeit bedeutet die Übertragbarkeit personenbezogener Daten, die in den Aufzeichnungen des Verantwortlichen gespeichert sind, und bedeutet nicht die Übertragbarkeit von Papier- oder elektronischen Dokumenten, die die Daten enthalten.

5.3.7. Das Recht zu protestieren

DSGVO Artikel 21 „(1) Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die aufgrund von Artikel 6 Absatz 1 Buchstaben e oder f DSGVO erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling. In diesem Fall darf der Verantwortliche die personenbezogenen Daten nicht mehr verarbeiten, es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

(2) Werden personenbezogene Daten verarbeitet, um Direktwerbung zu betreiben, so hat die betroffene Person das Recht, jederzeit Widerspruch gegen die Verarbeitung sie betreffender personenbezogener Daten zu solchen Zwecken einzulegen; dies gilt auch für das Profiling, soweit es mit solcher Direktwerbung in Verbindung steht.

(3) Widerspricht die betroffene Person der Verarbeitung personenbezogener Daten für Zwecke der Direktwerbung, so dürfen die personenbezogenen Daten nicht mehr für diese Zwecke verarbeitet werden.

(4) Die betroffene Person muss spätestens bei der ersten Kontaktaufnahme ausdrücklich auf das in den Absätzen (1) und (2) genannte Recht hingewiesen werden und die entsprechenden Informationen müssen deutlich und getrennt von allen anderen Informationen dargestellt werden.

(5) Im Zusammenhang mit der Nutzung von Diensten der Informationsgesellschaft kann die betroffene Person abweichend von der Richtlinie 2002/58/EG ihr Widerspruchsrecht auch mittels automatisierter Verfahren ausüben, bei denen technische Spezifikationen verwendet werden.

(6) Werden personenbezogene Daten zu wissenschaftlichen und historischen Forschungszwecken oder zu statistischen Zwecken gemäß Artikel 89 Absatz 1 verarbeitet, hat die betroffene Person das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, gegen die sie betreffende Verarbeitung sie betreffender personenbezogener Daten Widerspruch einzulegen, es sei denn, die Verarbeitung ist zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe erforderlich.“

Die betroffene Person hat das Recht, der Verarbeitung ihrer personenbezogenen Daten beim Verantwortlichen nur aus Gründen, die mit ihrer persönlichen Situation zusammenhängen, in den folgenden Fällen zu widersprechen:

– im öffentlichen Interesse, im Falle einer Datenverarbeitung auf Grundlage der Rechtsgrundlage der öffentlichen Gewalt oder der Rechtsgrundlage des berechtigten Interesses (in diesem Fall darf der Verantwortliche die Daten nur dann weiterverarbeiten, wenn er die Rechtsgrundlage des berechtigten Interesses des Verantwortlichen nachweist), oder

– im Falle einer Datenverarbeitung zu Zwecken des Direktmarketings, einschließlich Profiling, sofern es mit dem Direktmarketing in Verbindung steht (in diesem Fall dürfen die Daten nicht mehr verarbeitet werden, sondern müssen gelöscht werden), oder

– die Verarbeitung zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken erfolgt und keine gesetzliche Grundlage für die Erfüllung einer im öffentlichen Interesse liegenden Aufgabe besteht.

5.3.8. Automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling

DSGVO Artikel 22 „(1) Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

(2) Absatz (1) findet keine Anwendung, wenn die Entscheidung

1. a) für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist,
2. b) dies ist aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt, zulässig. Diese Rechtsvorschriften enthalten angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person; oder
3. (c) mit ausdrücklicher Einwilligung der betroffenen Person erfolgt.

(3) In den in Absatz (2) Buchstaben a und c genannten Fällen trifft der Verantwortliche angemessene Maßnahmen, um die Rechte und Freiheiten sowie die berechtigten Interessen der betroffenen Person zu wahren, wozu mindestens das Recht der betroffenen Person auf Erwirkung des Eingreifens einer Person seitens des Verantwortlichen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung gehört.

(4) Die Entscheidungen nach Absatz 2 dürfen nicht auf besonderen Kategorien personenbezogener Daten nach Artikel 9 Absatz 1 beruhen, sofern nicht Artikel 9 Absatz 2 Buchstabe a oder g gilt und angemessene Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person getroffen wurden.“

Der Verantwortliche ist berechtigt, in folgenden Fällen eine Entscheidung auf Grundlage einer automatisierten Datenverarbeitung, einschließlich Profiling, zu treffen, die gegenüber der betroffenen Person rechtliche Auswirkungen hätte oder sie in ähnlicher Weise erheblich beeinträchtigen würde:

1. a) für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist;
2. b) dies ist aufgrund geltenden Unionsrechts oder des Rechts der Mitgliedstaaten, dem der Verantwortliche unterliegt, zulässig und dieses Recht enthält angemessene Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person; oder
3. c) auf der ausdrücklichen Einwilligung der betroffenen Person beruht und
4. d) die Datenverarbeitung gemäß den Buchstaben a) – c) keine sensiblen personenbezogenen Daten betrifft (es sei denn, die Verarbeitung sensibler personenbezogener Daten basiert auf einer Einwilligung und ist nicht gesetzlich verboten oder die Datenverarbeitung ist durch ein berechtigtes öffentliches Interesse gemäß einem Gesetz gerechtfertigt).

5.4. Datenschutzbeauftragter

5.4.1. Benennung eines Datenschutzbeauftragten

Um eine gesetzeskonforme Datenverarbeitung zu gewährleisten, benennt der Verantwortliche einen Datenschutzbeauftragten, dessen Name und Kontaktdaten in Abschnitt 3 aufgeführt sind. im Anhang enthalten.

5.4.2. Die Aufgaben des Datenschutzbeauftragten:

1. a) den Mitarbeitern des Verantwortlichen Informationen und fachliche Beratung hinsichtlich ihrer Pflichten gemäß der DSGVO und anderer EU- oder nationaler Datenschutzbestimmungen bietet,
2. b) prüft die Einhaltung der DSGVO, anderer EU- oder nationaler Bestimmungen sowie dieser Richtlinie und ist für die Erstellung und Aktualisierung dieser Richtlinie verantwortlich, insbesondere für die Erstellung und Aktualisierung des Registers der Datenverarbeitungstätigkeiten des Verantwortlichen,
3. c) prüft die Aufgabenzuweisung im Zusammenhang mit der Datenverwaltung, nimmt an den internen Revisionstätigkeiten des Verantwortlichen teil, unterbreitet Vorschläge für Vorschriften und Änderungen im Zusammenhang mit dem Schutz personenbezogener Daten und gibt Stellungnahmen zu Regulierungsbehörden aus der Perspektive des Schutzes personenbezogener Daten ab,
4. d) die Sensibilisierung und Schulung des an der Datenverarbeitung beteiligten Personals zu organisieren und zu überwachen,
5. e) fachliche Beratung bei Datenschutz-Folgenabschätzungen und Überwachung deren Durchführung;
6. e) arbeitet mit der Aufsichtsbehörde zusammen und berät sie in allen Fragen, fungiert als Ansprechpartner für die Aufsichtsbehörde und beteiligt sich in diesem Zusammenhang an den Aktivitäten des Datenverantwortlichen im Bereich des Datenschutzvorfallmanagements.

5.4.3. Verfahren zum Datenschutzbeauftragten

Stellt ein Mitarbeiter des Verantwortlichen einen Umstand fest, der im Zusammenhang mit der Datenverarbeitung im Rahmen der Tätigkeit des Verantwortlichen ein Handeln erfordert, hat er wie folgt vorzugehen:

1. a) Wenn eine betroffene Person eine Anfrage im Zusammenhang mit der Datenverarbeitung an ihn oder den für die Datenverarbeitung Verantwortlichen richtet, ist sie verpflichtet, den Datenschutzbeauftragten des Unternehmens darüber zu informieren.
2. b) Sollten Sie ein Ereignis feststellen, das auf einen Datenschutzvorfall hindeutet, oder sonstige diesbezüglich relevante Informationen erhalten, müssen Sie dies unverzüglich dem obersten Vorgesetzten des Verantwortlichen mitteilen und ihm die relevanten Dokumente und Informationen weiterleiten.

5.5. Aufzeichnungen und Dokumentation

Der Datenverantwortliche stellt die Einhaltung der für seine Datenverwaltungs- (Datenverarbeitungs-)Aktivitäten geltenden Gesetze auf der Grundlage der nachstehend aufgeführten Aufzeichnungen und der bereits in den Vorschriften angegebenen Dokumentation sowie der in diesem Abschnitt angegebenen Dokumentation sicher. Der Verantwortliche (Auftragsverarbeiter) stellt der Aufsichtsbehörde die Aufzeichnungen und bezeichneten Dokumente zur Verfügung, diese Dokumente gelten jedoch nicht als öffentliche Dokumente.

Die Aufzeichnungen des Verantwortlichen werden vom Datenschutzbeauftragten geführt.

5.5.1. Verzeichnis von Datenverarbeitungstätigkeiten

Der Verantwortliche führt gemäß Artikel 2 der Verordnung ein Verzeichnis der von ihm durchgeführten Datenverarbeitungstätigkeiten in Bezug auf personenbezogene Daten (AKNy). mit Inhalt entsprechend dem Muster im Anhang.

Der Verantwortliche überprüft und aktualisiert die Datenverwaltungsaufzeichnungen kontinuierlich, insbesondere wie folgt:

– Erfassung neuer Datenverarbeitungsvorgänge,

– Löschung eingestellter Datenverarbeitungstätigkeiten,

– Änderung der Datenverarbeitungstätigkeit.

Grundlage der Informationsmitteilungen ist das Datenverwaltungsregister. In die Informationsmitteilungen dürfen nur die im AKNy enthaltenen Datenverwaltungen aufgenommen werden.

Die Arbeitsorganisation des Verantwortlichen benachrichtigt den Datenschutzbeauftragten über den Antrag auf Änderung des AKNy, der für die Aktualisierung des Registers sorgt.

Die AKNy bildet die Grundlage für die Kontrolle und Umsetzung der Pflicht zur Löschung personenbezogener Daten. Der Verantwortliche überprüft die Aufzeichnungen der Datenverwaltung vierteljährlich, wenn die Datenspeicherungsdauer mit der Beendigung eines Rechtsverhältnisses zusammenhängt oder wenn es sich um eine Verjährungsfrist handelt. Die AKNy arbeitet ansonsten kalenderjährlich, wobei jedes Kalenderjahr III. wird im vierten Quartal einer umfassenden Überprüfung unterzogen.

Wird eine Datenverarbeitungstätigkeit aus dem AKNy gelöscht, erfolgt gleichzeitig die Löschung der mit der Tätigkeit in Zusammenhang stehenden personenbezogenen Daten, ansonsten zu den oben genannten Löschüberprüfungsterminen.

Die durchgeführten Maßnahmen zur Datenlöschung werden durch die Aufnahme eines Protokolls dokumentiert, welches anschließend in gesperrter Papierform aufbewahrt und elektronisch gesperrt wird.

Bevor eine neue Datenverarbeitungsaktivität in das Datenschutzgesetz aufgenommen wird, muss der Datenverantwortliche eine Folgenabschätzung durchführen, um festzustellen, ob die Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Die Informationen zur Folgenabschätzung sind im AKNy enthalten.

5.5.2. Datenverarbeiterregister

Handelt der Verantwortliche als Auftragsverarbeiter, so führt er gemäß Artikel 4 der Verordnung Aufzeichnungen über die durchgeführte Datenverarbeitung. gemäß dem Muster im Anhang.

Für die Überprüfung des Datenverarbeitungsverzeichnisses gelten im Übrigen die Regelungen zur Überprüfung des Datenverwaltungsverzeichnisses.

5.5.3. Protokollierung von Datenschutzvorfällen

Der Verantwortliche führt ein Verzeichnis der Datenschutzvorfälle im Zusammenhang mit der Datenverarbeitung personenbezogener Daten gemäß Artikel 33 Absatz 5 DSGVO. bezogen auf. In der Aufzeichnung werden die Fakten, Umstände, Auswirkungen und Maßnahmen im Zusammenhang mit dem Datenschutzvorfall festgehalten.

Die Vorlage für das Datenschutz-Vorfallprotokoll finden Sie in Abschnitt 5 dieser Vorschriften. im Anhang enthalten.

Der Datenverantwortliche stellt sicher, dass das Register der Datenschutzvorfälle kontinuierlich aktualisiert wird. Das AINy enthält sämtliche Vorfälle, die sich im Zusammenhang mit dem Verantwortlichen ereignet haben, unabhängig davon, ob für den Verantwortlichen eine Meldepflicht gegenüber der Aufsichtsbehörde besteht oder ob für den Verantwortlichen eine Benachrichtigungspflicht gegenüber den betroffenen Personen besteht.

5.6. Allgemeine Regeln für Datenverarbeitungsaktivitäten

5.6.1. Speicherung, Nutzung und Weitergabe personenbezogener Daten im Rahmen des Verantwortlichen

Der Verantwortliche speichert und verwendet, übermittelt innerhalb und außerhalb des Verantwortlichen oder verarbeitet personenbezogene Daten anderweitig gemäß den Grundsätzen der DSGVO (Abschnitt 5.1 der Verordnung).

Detaillierte technische Maßnahmen und Sicherheitsvorschriften sind in der Informationssicherheitsrichtlinie des Datenverantwortlichen enthalten.

Weitere organisatorische und technische Maßnahmen sind in der Dokumentenverwaltungsrichtlinie des Datenverantwortlichen enthalten.

Der Verantwortliche speichert die Daten – nach ihrer Herkunft – wie folgt:

• Daten, die auf der Grundlage einer schriftlichen Erklärung, eines schriftlichen Vertrags/einer schriftlichen Vereinbarung verarbeitet werden, werden in der schriftlichen Originalform oder in Form einer elektronischen Kopie des Originaldokuments gespeichert,
• speichert Daten, die nicht aufgrund schriftlicher Angaben entstanden sind, in Form von Audio- oder Videoaufzeichnungen oder in sonstiger elektronischer Form.

Bei der Verarbeitung personenbezogener Daten innerhalb der Organisation des Datenverantwortlichen ist dieser bestrebt, die Übermittlung von Papierdokumenten oder elektronischen Kopien von Papierdokumenten auf ein Minimum zu beschränken, um sicherzustellen, dass dies nur in dem zur Erfüllung der jeweiligen Aufgabe erforderlichen Umfang geschieht.

5.6.2. Löschen personenbezogener Daten

Der Verantwortliche stellt die Löschung bestimmter personenbezogener Daten nach Ablauf der im Datenverwaltungsregister angegebenen Frist oder unmittelbar nach der Entscheidung über die Beurteilung des Löschungsantrags der betroffenen Person sicher (einschließlich der Ausübung des Widerspruchsrechts zusätzlich zur Ausübung des Löschungsrechts im Löschungsantrag).

Im Rahmen der Erfüllung der Löschpflicht löscht der Verantwortliche die personenbezogenen Daten aus der Datenbank, sowohl am elektronischen Speicherort als auch im Papierdokument.

5.6.3. Datensicherheit

Der Verantwortliche (Auftragsverarbeiter) ergreift unter Berücksichtigung des Stands der Wissenschaft und Technik, der Implementierungskosten und der mit der Datenverarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Datenschutzniveau gemäß Artikel 32 der DSGVO zu gewährleisten.

Der Datenverantwortliche (Datenverarbeiter) stellt sicher, dass seine Mitarbeiter, die Zugriff auf die personenbezogenen Daten der betroffenen Personen haben, die personenbezogenen Daten gemäß dem Gesetz verarbeiten (es sei denn, sie sind durch einen Rechtsakt der Europäischen Union oder Ungarns zu einer Abweichung hiervon verpflichtet).

5.7. Regeln für die Verwendung eines Datenverarbeiters

Der Verantwortliche bedient sich für die Datenverarbeitung ausschließlich eines Auftragsverarbeiters, der den Anforderungen der DSGVO entspricht. Der Verantwortliche holt vor Begründung des Vertragsverhältnisses vom Auftragsverarbeiter eine Erklärung ein, dass dieser die Anforderungen der DSGVO einhält.

Der Vertrag über die Auftragsverarbeitung muss gleichzeitig mit dem Vertrag über die Nutzung des Auftragsverarbeiters schriftlich abgeschlossen werden, entweder als separater Vertrag oder als Teil eines Vertrags mit anderem Inhalt.

Die Arbeitsorganisation muss den Datenschutzbeauftragten vorab über ihre Absicht informieren, einen Vertrag über die Datenverarbeitung abzuschließen, um die Rechtmäßigkeit der Aufzeichnungen zur Datenverwaltung und der Aufzeichnungen zur Datenverarbeitung sicherzustellen.

5.8. Datenschutzvorfall

5.8.1. Ermittlung des Datenschutzvorfalls

Dem Verantwortlichen ist bewusst, dass der Datenschutzvorfall den betroffenen Personen physische, materielle oder immaterielle Schäden zufügen kann, insbesondere Folgendes:

– Verlust der Kontrolle über die Daten der betroffenen Person oder Einschränkung ihrer Rechte,

– Identitätsdiebstahl oder Identitätsmissbrauch,

– finanzielle Verluste,

– Rufschädigung,

– Verletzung der Vertraulichkeit von Daten, die dem Berufsgeheimnis unterliegen,

– Diskriminierung,

– sonstige erhebliche wirtschaftliche oder soziale Benachteiligung.

Bei der Feststellung eines Datenschutzvorfalls ist vor allem dessen Qualität zu ermitteln:

• Vertraulichkeitsvorfall: versehentliche Offenlegung oder Zugriff auf Daten,
• Integritätsvorfall: versehentliche oder unrechtmäßige Veränderung von Daten,
• Zugriffsvorfall: versehentliche oder unrechtmäßige Zerstörung oder Verlust von Daten.

Wenn ein Mitarbeiter oder Mitarbeiter des Datenverantwortlichen Kenntnis von einem Datenschutzvorfall erhält oder einen solchen vermutet, muss er die entsprechenden Informationen unverzüglich an den Datenschutzbeauftragten weiterleiten.

Auf Grundlage der durch die unverzüglich durchzuführende Untersuchung festgestellten Tatsachen und Umstände und unter Berücksichtigung der Ergebnisse der Risikobewertung des Datenschutzvorfalls erarbeitet der Datenschutzbeauftragte einen Entscheidungsvorschlag an den Verantwortlichen in Bezug auf Folgendes:

• ob es sich bei dem Ereignis um einen Datenschutzvorfall handelt,
• ob ein Datenschutzvorfall ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt und in welchem ​​Fall eine Meldepflicht gegenüber der Aufsichtsbehörde besteht,
• Information der betroffenen Personen bei hohem Risiko eines meldepflichtigen Vorfalls gegenüber der Aufsichtsbehörde.

Der vom Datenschutzbeauftragten erstellte Entscheidungsvorschlag berücksichtigt auch die berechtigten Interessen der Strafverfolgungsbehörden in Fällen, in denen eine vorzeitige Weitergabe die Aufklärung des Sachverhalts unnötig gefährden würde.

An der Erarbeitung des Entscheidungsvorschlags durch den Datenschutzbeauftragten wirken auch weitere von den Ereignissen und Umständen betroffene Mitarbeiter des Verantwortlichen mit. Gleichzeitig mit der Entscheidung über die Meldung an die Aufsichtsbehörde und die Information der Betroffenen werden die zur Behebung des Datenschutzvorfalls ergriffenen bzw. zu ergreifenden Maßnahmen festgelegt.

5.8.2. Meldung einer Datenschutzverletzung an die Aufsichtsbehörde

DSGVO Artikel 33 „(1) Der Verantwortliche meldet die Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung des Schutzes personenbezogener Daten bekannt wurde, der gemäß Artikel 55 zuständigen Aufsichtsbehörde, es sei denn, es ist nicht absehbar, dass die Verletzung des Schutzes personenbezogener Daten zu einem Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen führt.“ Erfolgt die Meldung nicht innerhalb von 72 Stunden, sind die Gründe für die Verzögerung beizufügen.

(2) Der Auftragsverarbeiter meldet den Datenschutzvorfall unverzüglich, nachdem er davon Kenntnis erlangt hat, dem Verantwortlichen.

(3) Die in Absatz (1) genannte Mitteilung muss mindestens Folgendes enthalten:

1. a) eine Beschreibung der Art der Datenschutzverletzung, soweit möglich einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der von der Verletzung betroffenen Daten;
2. b) Name und Kontaktdaten des Datenschutzbeauftragten oder einer anderen Kontaktperson für weitere Informationen müssen angegeben werden;
3. c) die voraussichtlichen Folgen des Datenschutzvorfalls müssen beschrieben werden;
4. d) eine Beschreibung der vom Verantwortlichen ergriffenen oder geplanten Maßnahmen zur Behebung des Datenschutzvorfalls, gegebenenfalls einschließlich der Maßnahmen zur Abmilderung etwaiger nachteiliger Folgen des Datenschutzvorfalls.

(4) Wenn und soweit eine gleichzeitige Übermittlung der Informationen nicht möglich ist, können diese ohne weitere unangemessene Verzögerung zu einem späteren Zeitpunkt in Teilen übermittelt werden.

(5) Der Verantwortliche hat über Datenschutzvorfälle ein Verzeichnis zu führen, in dem die mit dem Datenschutzvorfall verbundenen Fakten, seine Auswirkungen und die zu seiner Behebung ergriffenen Maßnahmen aufgeführt sind. Dieses Register soll es der Aufsichtsbehörde ermöglichen, die Einhaltung der Anforderungen dieses Artikels zu überprüfen.“

5.8.3. Information der betroffenen Person über den Datenschutzvorfall

DSGVO Artikel 34 „(1) Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, so informiert der Verantwortliche die betroffene Person unverzüglich über die Verletzung des Schutzes personenbezogener Daten.

(2) Die in Absatz 1 genannte Unterrichtung der betroffenen Person muss in klarer und verständlicher Weise die Art der Verletzung des Schutzes personenbezogener Daten beschreiben und mindestens die in Artikel 33 Absatz 3 Buchstaben b, c und d genannten Informationen und Maßnahmen umfassen.

(3) Die betroffene Person ist nicht verpflichtet, Informationen gemäß Absatz (1) zu erhalten, wenn eine der folgenden Voraussetzungen erfüllt ist:

1. a) Der Verantwortliche hat geeignete technische und organisatorische Schutzmaßnahmen getroffen und diese Maßnahmen wurden auf die von der Datenschutzverletzung betroffenen Daten angewendet. Dies umfasst insbesondere Maßnahmen – wie etwa die Verwendung von Verschlüsselung –, die die Daten für Personen unzugänglich machen, die nicht zum Zugriff auf die personenbezogenen Daten befugt sind.
2. b) der Verantwortliche nach der Verletzung des Schutzes personenbezogener Daten weitere Maßnahmen ergriffen hat, um sicherzustellen, dass das in Absatz 1 genannte hohe Risiko für die Rechte und Freiheiten der betroffenen Person voraussichtlich nicht mehr besteht;
3. c) die Bereitstellung von Informationen einen unverhältnismäßigen Aufwand erfordern würde. In solchen Fällen sollten die betroffenen Personen mittels öffentlich veröffentlichter Informationen informiert werden oder es sollten ähnliche Maßnahmen ergriffen werden, um sicherzustellen, dass die betroffenen Personen in ähnlich wirksamer Weise informiert werden.

(4) Hat der Verantwortliche die betroffene Person noch nicht über die Verletzung des Schutzes personenbezogener Daten benachrichtigt, kann die Aufsichtsbehörde, nachdem sie geprüft hat, ob die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko birgt, die Benachrichtigung der betroffenen Person anordnen oder feststellen, dass eine der in Absatz (3) genannten Voraussetzungen erfüllt ist.“

5.9. Rechtsbehelfe der betroffenen Person

5.9.1. Beschwerderecht bei der Aufsichtsbehörde

DSGVO Artikel 77 „(1) Jede betroffene Person hat unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.

(2) Die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, unterrichtet den Kunden über den Verfahrensverlauf und die Ergebnisse der Beschwerde, einschließlich des Rechts des Kunden auf einen gerichtlichen Rechtsbehelf gemäß Artikel 78.

5.9.2. Das Recht auf einen wirksamen Rechtsbehelf gegen die Aufsichtsbehörde

DSGVO Artikel 78 „(1) Jede natürliche oder juristische Person hat unbeschadet anderweitiger verwaltungsrechtlicher oder außergerichtlicher Rechtsbehelfe das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen eine sie betreffende rechtsverbindliche Entscheidung einer Aufsichtsbehörde.

(2) Jede betroffene Person hat unbeschadet anderweitiger verwaltungsrechtlicher oder außergerichtlicher Rechtsbehelfe das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sich die gemäß Artikel 55 oder 56 zuständige Aufsichtsbehörde nicht mit der Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der gemäß Artikel 77 erhobenen Beschwerde informiert.

(3) Für Verfahren gegen eine Aufsichtsbehörde sind die Gerichte des Mitgliedstaats zuständig, in dem diese ihren Sitz hat.

(4) Wird ein Verfahren gegen eine Entscheidung der Aufsichtsbehörde eingeleitet, zu der der Ausschuss zuvor eine Stellungnahme abgegeben oder im Rahmen des Kohärenzmechanismus eine Entscheidung getroffen hat, ist die Aufsichtsbehörde verpflichtet, diese Stellungnahme oder Entscheidung dem Gericht zu übermitteln.“

Die Klage fällt in die Zuständigkeit des zuständigen Gerichts.

5.9.3. Das Recht auf einen wirksamen Rechtsbehelf gegen den Verantwortlichen oder den Auftragsverarbeiter

DSGVO Artikel 79 „(1) Jede betroffene Person hat unbeschadet eines ihr zur Verfügung stehenden verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Artikel 77 das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung der sie betreffenden personenbezogenen Daten verletzt wurden.

(2) Für Klagen gegen einen Verantwortlichen oder einen Auftragsverarbeiter sind die Gerichte des Mitgliedstaats zuständig, in dem der Verantwortliche oder der Auftragsverarbeiter niedergelassen ist. Solche Klagen können auch vor den Gerichten des Mitgliedstaats erhoben werden, in dem die betroffene Person ihren gewöhnlichen Aufenthalt hat, es sei denn, es handelt sich bei dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter um eine Behörde eines Mitgliedstaats, die im Rahmen ihrer öffentlichen Gewalt gehandelt hat.“

Die Klage fällt in die Zuständigkeit des zuständigen Gerichts.

6. Newsletteranmeldung und -versand

 

 

Zubehör

6. NEIN. Anhang: Zwecke und Mittel der Verarbeitung personenbezogener Daten (Beispiel)
7. NEIN. Anlage: Verzeichnis der Datenverarbeitungstätigkeiten (Muster)
8. NEIN. Anlage: Benennung des Datenschutzbeauftragten
9. NEIN. Anlage: Datenverarbeitungsregister (Muster)
10. NEIN. Anhang: Datenschutzvorfallregister (Muster)

Nr. 1 annektieren

Zwecke und Mittel der Verarbeitung personenbezogener Daten

1. Zwecke der Verarbeitung personenbezogener Daten

1.	Hauptziel
1.1	Teilziel
1.2	Teilziel

 

1. Tools zur Verarbeitung personenbezogener Daten

 

	IT-Dienstleistung	Typ/Bezeichnung
1.	Ablage-/Dokumentenmanagementsystem
2.	Mailingsystem
3.	Arbeitssystem
4.	Gehaltssystem
5.	Buchhaltungssystem
6.	Zutrittskontrollsystem
7.	Kamerasystem
8.	GPS-System
9.	IT-Sicherheitssystem
10	Webseite

Nr. 2 annektieren

Name des Datenverantwortlichen: Land Plan Kft.	Datenschutzbeauftragter Name: Dr. Nóra Nagy
Verfügbarkeit: borbely.bea@landplanhotel.hu	Verfügbarkeit: dr.nagy.nora.avt@upcmail.hu

 

Aufzeichnung von Datenverarbeitungstätigkeiten

 

AKN-Nummer	Kategorie der betroffenen Person und Kategorie der personenbezogenen Daten (mit gesondert gekennzeichneten Sonderdaten)	Zweck der Datenverwaltung	Datenverarbeitung Rechtsgrundlage	Zweck und Rechtsgrundlage der Datenübermittlung	Empfänger der Datenübermittlung	Ziellöschzeitpunkt für eine Datenkategorie	DSGVO Art. 32 Abs. 1 lit. allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß a) -Informationsmethode – Vorliegen einer Einwilligung – Bestehen eines Vertrags zur Auftragsdatenverarbeitung b) – Risikoniveau – Datensicherheit. messen	Hinweise, sonstige gesetzlich vorgeschriebene Daten
1.1	Betroffene Kategorie
1.1.1	Kategorie der personenbezogenen Daten

 

Nr. 3 annektieren

DATENSCHUTZBEAUFTRAGTER

ARTIKELIDENTIFIZIERUNG UND KONTAKTDATEN

Datenschutzbeauftragter des Verantwortlichen: Dr. Nora Nagy

Telefonnummer: 46/412-327

Faxnummer: 46/415-623

E-Mail: dr.nagy.nora.avt@upcmail.hu

4.NEIN. annektieren

Name des Datenverarbeiters: Land Plan Kft.	Datenschutzbeauftragter Name ist Dr. Nora Nagy
Verfügbarkeit: borbely.bea@landplanhotel.hu	Verfügbarkeit: dr.nagy.nora.avt@upcmail.hu

 

DATENVERARBEITUNGSVERZEICHNISSE

 

Name, Kontaktdaten, Vertreter des Verantwortlichen sowie Name und Kontaktdaten des Datenschutzbeauftragten des Verantwortlichen	Datum und Dauer des Datenverarbeitungsvertrages	Kategorie der betroffenen Person und Kategorie der personenbezogenen Daten	Zweck der Datenverarbeitung	Name und Kontaktdaten des Unterauftragsverarbeiters, seines Vertreters sowie Name und Kontaktdaten des Datenschutzbeauftragten	Zweck und Rechtsgrundlage der Datenübermittlung	Empfänger der Datenübermittlung	DSGVO Art. 32 Abs. 1 lit. allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß

 

Nr. 5 annektieren

Name des Datenverarbeiters: Land Plan Kft.	Datenschutzbeauftragter Name: Dr. Nora Nagy
Verfügbarkeit: borbely.bea@landplanhotel.hu	Verfügbarkeit: dr.nagy.nora.avt@upcmail.hu

 

Registrierung von Datenschutzvorfällen

1. A) Veranstaltung

Seriennummer	Bezeichnung	Meldedatum an AVT

 

1. B) Fakten im Zusammenhang mit dem Ereignis

• Was ist passiert?
• Wo ist es passiert?
• Wann ist es passiert?
• Warum ist das passiert?

1. C) Klassifizierung des Vorfalls, Auswirkungen

• Risikokategorie
• Wirkung/Konsequenz
• Kurs
• Datum des AVT-Vorschlags
• Meldepflicht gegenüber Behörden (ja/nein)
• Datum, Registriernummer
• Informationspflicht gegenüber der betroffenen Person (ja/nein)
• Datum, Registriernummer

1. D) Vorfallbehebung

• Sofortmaßnahmen
• Maßnahmenbeschreibung

1. E) Hinweise