Source: https://www.s-trust.de/datenschutz.html
Timestamp: 2020-07-15 12:19:54+00:00

Document:
Datenschutzhinweise für „S-Trust“
Moderne digitale Angebote verwenden Daten in vielfältiger, kundenorientierter Weise. Wir erheben Daten sparsam und gehen sorgsam mit ihnen um. Hierzu hat sich der DSV als zentraler Lösungsanbieter der Sparkassen-Finanzgruppe seit jeher verpflichtet. Wichtige Grundsätze einer ordnungsgemäßen Datenverarbeitung sind die Rechtmäßigkeit und die Transparenz gegenüber den Personen, deren Daten verarbeitet werden. Diesem Transparenzgebot folgen wir mit den vorliegenden Hinweisen.
Verantwortlicher im Sinne der EU Datenschutz-Grundverordnung (im Folgenden „DSGVO“) und weiterer Vorschriften über den Datenschutz ist die
(im Folgenden „DSV“)
Telefon: +49 711 782-21022
Website: https://www.s-trust.de
Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (sog. „betroffene Person“, im Folgenden auch „Betroffener“, „Kunde“ oder „Nutzer“). Dazu gehören, um nur einige Beispiele zu nennen, der Name, die E-Mail-Adresse oder die Telefonnummer sowie Daten über Interessen oder Website-Besuche, in Dokumenten enthaltene Informationen oder getätigte Online-Einkäufe, immer vorausgesetzt, dass diese Informationen mit einer Person wie eben dem Kunden verbunden sind oder in Verbindung gebracht werden können. Anonymisierte Daten etwa weisen keinen Personen mehr auf.
Auf der Website www.s-trust.de (im Folgenden „Website“ genannt) werden Informationen rund um das Produkt S-Trust dargestellt.
Die App verfügt auch über eine Web-Version über die der Nutzer die Funktionen von S-Trust nutzen kann (im Folgenden „Web-Version“ genannt).
(1) Art, Umfang und Zweck der Verarbeitung
Der DSV erhebt und verwendet personenbezogene Daten (Verarbeitung) seiner Nutzer grundsätzlich nur, soweit dies zur Erbringung seiner Leistungen und etwaiger damit verbundener Nebenleistungen erforderlich ist. Außerdem würde sich der DSV freuen, wenn er seinen Nutzern Informationen zu den Produkten und Services der Sparkassen-Finanzgruppe zukommen lassen dürfte.
Einzelheiten werden in der vorliegenden Datenschutzerklärung erläutert.
Soweit der DSV für Verarbeitungsvorgänge personenbezogener Daten eine Einwilligung der betroffenen Person einholt, dient diese in Verbindung mit Artikel 6 Absatz 1 Satz 1 Buchstabe a und Artikel 7 DSGVO als Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Beispiele hierfür wären die Einholung einer Einwilligung für das Webtracking oder für Zwecke der Werbung.
Bei der Verarbeitung von personenbezogenen Daten, die zur Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist, erforderlich ist, dient Artikel 6 Absatz 1 Satz 1 Buchstabe b DSGVO als Rechtsgrundlage. Dies gilt auch für Verarbeitungsvorgänge, die zur Durchführung vorvertraglicher Maßnahmen erforderlich sind. Beispiele hierfür sind die Erfüllung eines Vertrags über ein Dokumenten-Portal oder die Vorhaltung von Daten in einem Online-Warenkorb für eine angemessene Zeitspanne.
Soweit eine Verarbeitung personenbezogener Daten zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, welcher der DSV unterliegt, dient Artikel 6 Absatz 1 Satz 1 Buchstabe c DSGVO als Rechtsgrundlage. Beispiele hierfür sind Aufzeichnungs- und Aufbewahrungspflichten zur Gewährleistung der Sicherheit der Verarbeitung oder nach Handels-, Gewerbe-, Steuer- und Sozialrecht.
Für den Fall, dass lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person eine Verarbeitung personenbezogener Daten erforderlich machen, dient Artikel 6 Absatz 1 Satz 1 Buchstabe d DSGVO als Rechtsgrundlage. Dies trifft für die Verarbeitung von Daten der hier genannten Kategorien betroffener Personen typischerweise nicht zu, wäre also nur für derzeit nicht erwartete Fälle anwendbar.
Ist die Verarbeitung zur Wahrung eines berechtigten Interesses des DSV oder eines Dritten erforderlich und überwiegen die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person das erstgenannte Interesse nicht, so dient Artikel 6 Absatz 1 Satz 1 Buchstabe f DSGVO als Rechtsgrundlage für die Verarbeitung. Die Interessenabwägung kann in vielen verschiedenen Fallkonstellationen zur Anwendung kommen, etwa für Zwecke der Werbung oder Markt- und Meinungsforschung (soweit der Nutzer der Nutzung der Daten nicht widersprochen hat oder der DSV diese Verarbeitung nicht auf eine Einwilligung stützt), zur Konsultation von Auskunfteien und zum Datenaustausch mit diesen (Ermittlung von Bonitäts- bzw. Ausfallrisiken), zur Prüfung und Optimierung von Verfahren zur Bedarfsanalyse und direkten Kundenansprache, zur Geltendmachung rechtlicher Ansprüche und zur Verteidigung bei rechtlichen Streitigkeiten, zur Gewährleistung der Sicherheit der Verarbeitung, der Informations- und IT-Sicherheit sowie des IT-Betriebs oder zur Verhinderung und Aufklärung von Straftaten.
(3) Datenlöschung, Einschränkung der Datenverarbeitung und Speicherdauer
Soweit erforderlich, verarbeitet der DSV die Daten der Nutzer für die Dauer der Geschäftsbeziehung, was insbesondere die Anbahnung und die Abwicklung eines Vertrages umfasst. Dabei ist zu beachten, dass viele Geschäftsbeziehungen des DSV auf Dauer angelegt sind, häufig für viele Jahre.
Darüber hinaus unterliegt der DSV verschiedenen Aufbewahrungs- und Dokumentationspflichten, die sich unter anderem aus dem Handelsgesetzbuch (HGB), der Abgabenordnung (AO), dem Kreditwesengesetz (KWG), dem Geldwäschegesetz (GwG) und dem Wertpapierhandelsgesetz (WpHG) ergeben. Die dort vorgegebenen Fristen zur Aufbewahrung bzw. Dokumentation betragen zwei bis zehn Jahre.
Personenbezogenen Daten werden vom DSV unverzüglich gelöscht, sofern sie für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind und keine Aufbewahrungs- und Dokumentationspflichten, legitimen Aufbewahrungsrechte (etwa zur Verfolgung eigener Rechtsansprüche oder zur Erfüllung der Rechenschaftspflichten gemäß DSGVO) oder anderweitigen Rechtsgrundlagen für die Verarbeitung entgegenstehen. Gleiches gilt für die Löschung von Daten in Folge des Widerrufs einer Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a DSGVO stützte. Legt die betroffene Person gemäß Artikel 21 Absatz 1 DSGVO Widerspruch gegen die Verarbeitung ein und liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder stützt die betroffene Person ihren Widerspruch auf Artikel 21 Absatz 2 DSGVO, so werden die Daten vom DSV ebenfalls unverzüglich gelöscht. Gleiches gilt für den Fall, dass die personenbezogenen Daten gemäß Artikel 17 Absatz 1 Buchstabe c DSGVO unrechtmäßig verarbeitet wurden. Die unverzügliche Löschung der personenbezogenen Daten kann außerdem zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder nationalem Recht erforderlich sein. Wurden die personenbezogenen Daten in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 DSGVO erhoben, so gilt die Löschpflicht gemäß Artikel 17 Absatz 1 Buchstabe f DSGVO.
a) die Richtigkeit der personenbezogenen Daten von der betroffenen Person bestritten wird, und zwar für eine Dauer, die es dem DSV ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen,
d) die betroffene Person Widerspruch gegen die Verarbeitung gemäß Artikel 21 Absatz 1 DSGVO eingelegt hat, solange noch nicht feststeht, ob die berechtigten Gründe des DSV gegenüber denen der betroffenen Person überwiegen.
(4) Schutz personenbezogener Daten
Der DSV hat auf Basis des gesetzlich geforderten risikoorientierten Ansatzes technische und organisatorische Maßnahmen umgesetzt, um personenbezogene Daten gegen zufällige oder vorsätzliche Manipulationen, gegen Verlust, Zerstörung oder den Zugriff Unberechtigter zu schützen. Die Sicherheitsmaßnahmen des DSV werden unter anderem entsprechend der technologischen Entwicklung fortlaufend kontrolliert und verbessert.
Die Deutscher Sparkassen Verlag GmbH ist nach ISO 27001 und anderen anerkannten Standards zertifiziert. Sie wird laufend durch interne und externen Stellen überprüft.
§ 4 Datenverarbeitung bei Erstellung eines Kundenkontos und zur Erfüllung des zu Grunde liegenden Rechtsverhältnisses
(1) Für die Anwendung S-Trust (Web-Version und App) legt der Kunde ausschließlich über die dafür angebotene Klickstrecke für sich selbst ein Kundenkonto an. Das Kundenkonto ist Voraussetzung für die sichere Verwaltung der in der Anwendung hinterlegten und verwalteten Dokumente und Passwörter des Kunden.
(2) Wenn der Kunde ein Kundenkonto einrichtet, verarbeitet der DSV für die Zwecke der Registrierung den Benutzernamen und die E-Mail-Adresse des Kunden. Für die Nutzung der App-Version werden zusätzlich App-Berechtigungen gesetzt. Diese umfassen Nutzung der Kamera für Scan, Face-ID und Fingerabdruck für Login bei Nutzung des Fingerabdrucksensors. Die App-Berechtigungen werden vom Nutzer einzeln bestätigt.
(3) Die während der Nutzung von S-Trust vom Kunden in die Anwendung eingestellten Dokumente sind nach dem Stand der Technik verschlüsselt und zu keinem Zeitpunkt – weder für den DSV noch für die Sparkasse – einsehbar. Gleiches gilt für das Passwort, das der Kunde für den sicheren Login benötigt. Der Kunde hat aber auch die Möglichkeit, einzelne seiner Dokumente über die hierfür in der Anwendung zur Verfügung gestellte Funktionalität für andere Personen gezielt freizugeben und auf diese Weise zu teilen. Selbst wenn den DSV gemäß Artikel 6 Absatz 1 Satz 1 Buchstabe c DSGVO aufgrund von Ansprüchen eines Erben oder Aufforderungen der Strafverfolgungsbehörden eine nicht abwendbare Pflicht zur Herausgabe von Dokumenten träfe, ist es ihm gleichwohl nicht möglich, auf Dokumente zuzugreifen. Vielmehr müsste in einer solchen Ausnahmesituation ein strenges Escrow-Verfahren durchlaufen werden.
(4) Die Datenübertragung ist mit „https“ gesichert. Die Implementierung solcher Maßnahmen der Sicherheit und die Verschlüsselung erfolgen jeweils nach dem Stand der Technik.
(5) Rechtsgrundlage: Durch die Erstellung des Kundenkontos wird ein eigenes Rechtsverhältnis begründet. Die Daten werden gemäß Artikel 6 Absatz 1 Satz 1 Buchstabe b DSGVO verarbeitet. Für die Erfüllung vertraglicher Nebenpflichten und die Erwartungen der Kunden ist der DSV ferner gemäß Artikel 1 Absatz 1 Satz 1 Buchstabe f DSGVO berechtigt. Der DSV hat ein berechtigtes Interesse an der umfassenden Vertragserfüllung und einem umfassenden kundenorientierten Service auch insoweit sich dies nicht unmittelbar aus den vertraglichen Hauptleistungspflichten ergibt. Entgegenstehende Interessen der Kunden sind diesbezüglich gerade nicht ersichtlich, da ein solches Vorgehen Teil der Erwartungshaltung des Kunden entgegenkommt.
(6) Der Zweck der Verarbeitung der Daten ist die Herstellung und Führung des Kundenkontos und die Erfüllung des zu Grunde liegenden Rechtsverhältnisses.
(7) Dauer der Speicherung: Die personenbezogenen Daten werden bis zur Kündigung des Kundenkontos oder bis zu dem Zeitpunkt verarbeitet, in dem für den DSV ersichtlich ist, dass einer der sonstigen in Artikel 17 Absatz 1 DSGVO genannten Löschgründe vorliegt und insoweit einer Löschung der Daten keine der in Artikel 17 Absatz 3 DSGVO genannten Gründe, insbesondere gesetzliche Aufbewahrungspflichten oder die Verfolgung eigener Rechtsansprüche entgegenstehen. Für die Einhaltung gesetzlicher Aufbewahrungsfristen (z. B. Steuerrecht, Handelsrecht, Gewerberecht, Sozialrecht) hinsichtlich der gespeicherten Dokumente ist allein der Nutzer verantwortlich. Der DSV weist darauf hin, dass der Ausdruck digitaler Dokumente eine Kopie darstellt und gegebenenfalls rechtlich einem Original nicht gleichgestellt ist.
(8) Widerruf, Widerspruch und Ende der Verarbeitung: Zur Beendigung der Verarbeitung kann das Kundenkonto gekündigt oder durch den Nutzer über die vorgesehene Möglichkeit im Account gelöscht werden.
(9) Sind bei einem Downgrade mehr Daten gespeichert, als in dem neuen Account möglich, wird der Account auf „expired“ gesetzt. Ein Zugriff ist nicht mehr möglich. Die Daten werden aufbewahrt. Der Zugriff kann durch ein erneutes Upgrade wieder aktiviert werden. Nach 60 Tagen erfolgt die Löschung der Daten. Der DSV ist nicht verpflichtet, den Nutzer auf die Löschung seiner Daten nach der 60-Tage-Frist hinzuweisen.
§ 5 Datenverarbeitung zur Prüfung der Vorteilsberechtigung und Weitergabe von Daten an die Sparkasse des Kunden (Offenlegung)
(1) Nach Erstellung eines vorteilsberechtigten Kundenkontos wird an die vom Kunden hierfür benannte Sparkasse die E-Mail-Adresse des Kunden übermittelt.
(2) Rechtsgrundlage: Interessenabwägung gemäß Artikel 6 Absatz 1 Satz 1 Buchstabe f DSGVO. Der DSV hat ein berechtigtes Interesse daran, das Bestehen einer Vorteilsberechtigung durch die zuständige Sparkasse überprüfen zu lassen. Dem stehen keine überwiegenden Interessen des Nutzers entgegen, da Vorteilskonten nur für Sparkassen-Kunden eingerichtet werden und Nutzer davon ausgehen dürfen, dass die Rechtmäßigkeit der Inanspruchnahme überprüft wird.
(3) Zweck der Verarbeitung ist die Prüfung der Vorteilsberechtigung durch die Sparkasse des Kunden sowie die zwischen DSV und Sparkasse stattfindende Abrechnung der Kundenkonten.
(4) Dauer der Speicherung: Die Daten werden bis zur Kündigung des Kundenkontos oder bis zu dem Zeitpunkt verarbeitet, in dem für den DSV ersichtlich ist, dass einer der sonstigen in Artikel 17 Absatz 1 DSGVO genannten Löschungsgründe vorliegt und insoweit einer Löschung der Daten keine der in Artikel 17 Absatz 3 DSGVO genannten Gründe, insbesondere gesetzliche Aufbewahrungspflichten oder die Verfolgung eigener Rechtsansprüche entgegenstehen. Für die Einhaltung gesetzlicher Aufbewahrungsfristen (z. B. Steuerrecht, Handelsrecht, Gewerberecht, Sozialrecht) hinsichtlich der gespeicherten Dokumente ist allein der Nutzer verantwortlich. Der DSV weist darauf hin, dass der Ausdruck digitaler Dokumente eine Kopie darstellt und gegebenenfalls rechtlich einem Original nicht gleichgestellt ist.
§ 6 Datenverarbeitung für Werbemaßnahmen der Sparkasse
(1) Viele Kunden sind an Informationen ihrer Sparkasse interessiert. Als Servicepartner der Sparkassen bittet der DSV Nutzer daher um ihr diesbezügliches Werbeeinverständnis. Die dem Nutzer zugeordnete Sparkasse kann bei Vorliegen eines solches Einverständnisses die E-Mail-Adresse des Nutzers für Zwecke der Werbung verarbeiten.
(2) Rechtsgrundlage: Einwilligung gemäß Artikel 6 Absatz 1 Satz 1 Buchstabe a DSGVO i. V. m. Artikel 7 DSGVO. Der Nutzer kann der Verwendung der Daten zu Zwecken der Werbung jederzeit widersprechen, ohne dass ihm hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen.
(3) Die Verarbeitung erfolgt insoweit für Zwecke der Werbung durch die Sparkasse.
§ 7 Datenverarbeitung für Werbemaßnahmen des DSV
(1) Der DSV möchte Nutzern nur höchst ausnahmsweise Informationen zukommen lassen, die Werbecharakter haben können.
(2) Solche Informationen erhalten Nutzer an ihre bei der Erstellung des S-Trust-Kontos hinterlegte E-Mail-Adresse auch nur dann, wenn sie der DSV die Adresse zur Direktwerbung für eigene ähnliche Waren oder Dienstleistungen verwendet und der Nutzer der Verwendung der Adresse zu Zwecken der Werbung nicht widersprochen hat. Der Nutzer kann der Verwendung der Daten zu Zwecken der Werbung jederzeit widersprechen, ohne dass ihm hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen.
(3) Rechtsgrundlage: Interessenabwägung gemäß Artikel 6 Absatz 1 Satz 1 Buchstabe f DSGVO i. V. m. § 7 Absatz 3 UWG. Der DSV hat ein berechtigtes Interesse daran, dem Nutzer Informationen über die Nutzung von S-Trust zukommen zu lassen, die auch werbliche Hinweise beinhalten können. Dem stehen keine überwiegenden Interessen des Nutzers entgegen, da er an einer umfassenden Information über die Nutzungsmöglichkeiten von S-Trust und über Produkte und Dienstleistungen in diesem Umfeld interessiert ist.
§ 8 Datenverarbeitung für Newsletter
(1) Der DSV möchte Nutzern Informationen rund um das Produkt per E-Mail zukommen lassen (z. B. Sicherheitshinweise, Releaseinformationen, Tipps zur optimalen Nutzung des Produktes), die nur höchst ausnahmsweise Werbecharakter haben können.
(2) Rechtsgrundlage: Einwilligung gemäß Artikel 6 Absatz 1 Satz 1 Buchstabe a DSGVO i. V. m. Artikel 7 DSGVO.
§ 9 Datenverarbeitung im Zusammenhang mit der Nutzung der Website
(1) Bei jeder Nutzung der Website werden Daten zwischen dem Client (z. B. dem Browser des Nutzers) und dem Server (Website) ausgetauscht. Dabei verarbeitet der DSV personenbezogene Daten. Es handelt sich hierbei um folgende Informationen: Datum und Uhrzeit des Zugriffs, Typ und Version des Browsers, Typ und Version des Betriebssystems, volle IP-Adresse des Nutzers (Speicherung für 30 Tage), Internet-Service-Provider des Nutzers, aufgerufene Seiten der Website, Datenmenge der angeforderten Inhalte der Website, die zuvor besuchte Seite / Referrer URL).
(2) Diese Informationen werden vom DSV ausschließlich für die nachfolgenden Zwecke genutzt: Erstellung von Nutzungsstatistiken und Statistiken des IT-Betriebs, Optimierung der Inhalte, Sicherstellung des Betriebs oder der Betriebssicherheit, Analyse bei Verdacht auf eine rechtswidrige Nutzung der Website.
(3) Rechtsgrundlage für die vorübergehende Speicherung dieser Daten und der zugehörigen Logfiles ist die Interessenabwägung gemäß Artikel 6 Absatz 1 Satz 1 Buchstabe f DSGVO, wobei das berechtigte Interesse des DSV in der Erfüllung der oben genannten Zwecke liegt.
(4) Dauer der Speicherung: Die Daten werden gelöscht, sobald sie für die Erreichung des jeweiligen Zweckes nicht mehr erforderlich sind.
(5) Der Erfassung der Daten zur Bereitstellung der Website und die Speicherung der Daten in Logfiles kann effektiv durch Verlassen der Internetseite widersprochen werden. Soweit personenbezogene Daten bereits gespeichert sind, richtet der Nutzer seinen etwaigen Widerspruch bitte an die eingangs genannten Kontaktdaten. Soweit die Daten für die Sicherung und den Betrieb der Website zwingend erforderlich sind, besteht keine Widerspruchsmöglichkeit.
§ 10 Datenverarbeitung im Zusammenhang mit technisch notwendigen Cookies
(1) Beim Besuch der Website können auf dem Rechner des Nutzers außerdem Cookies gesetzt werden. Cookies sind Informationsdateien, die beim Abruf der Website auf dem vom Nutzer verwendeten Endgerät abgelegt werden, insbesondere, um diese Informationen zu einem späteren Zeitpunkt wieder nutzen zu können.
Bei jeder Nutzung der Website werden die nachfolgenden Informationen in Cookies abgelegt: Log-In-Informationen / Session Cookies, damit die Option „Angemeldet-Bleiben“ genutzt werden kann und die Seiteninhalte in einer Weise angeboten werden können, die einem modernen Nutzererlebnis entspricht. Weiterhin Cookies, um die Sicherheit der Verbindung zum Server zu erhöhen. Die durch technisch notwendige Cookies erhobenen Nutzerdaten werden nicht zur Erstellung von Nutzerprofilen verwendet.
(2) Zweck dieser Datenverarbeitung ist es, die Betriebsfähigkeit der Website zu gewährleisten.
(3) Da der DSV die Cookies verwendet, um einen ordnungsgemäßen Betrieb der Website zu gewährleisten, stützt er die Datenverarbeitung gemäß Artikel 6 Absatz 1 Satz 1 Buchstabe f DSGVO auf sein berechtigtes Interesse.
(4) Dauer der Speicherung: Die Daten werden mit Löschung eines Cookies gelöscht. Das kann im Cookie hinterlegt sein oder vom Nutzer aktiv über den Browser veranlasst werden. Die handelsüblichen Browser bieten die Möglichkeit, Cookies durch den Nutzer zu löschen.
(5) Der Erfassung der Daten durch Cookies und der Speicherung der Daten kann effektiv durch Verlassen der Website widersprochen werden. Soweit personenbezogene Daten bereits gespeichert sind, löscht der Nutzer mit der dafür vorgesehenen Browser-Funktionalität die Cookies und richtet etwaige darüberhinausgehende Widersprüche an die eingangs genannten Kontaktdaten.
§ 11 Datenverarbeitung im Zusammenhang mit technisch nicht notwendigen Cookies für den Einsatz von Google Analytics
(1) Die vom DSV auf seiner Website eingesetzten technisch nicht notwendigen Cookies betreffen den Einsatz von Tracking-Software. Die Website nutzt Google Analytics, einen Webanalysedienst der Google LLC (im Folgenden „Google“). Google Analytics verwendet sog. „Cookies“ also Informationsdateien, die auf dem Computer des Nutzers gespeichert werden, um eine Analyse der Nutzung der Website zu ermöglichen.(1) Die vom DSV auf seiner Website eingesetzten technisch nicht notwendigen Cookies betreffen den Einsatz von Tracking-Software. Die Website nutzt Google Analytics, einen Webanalysedienst der Google LLC (im Folgenden „Google“). Google Analytics verwendet sog. „Cookies“ also Informationsdateien, die auf dem Computer des Nutzers gespeichert werden, um eine Analyse der Nutzung der Website zu ermöglichen.
Für die auf den Google-Servern verarbeiteten Daten geht der DSV aufgrund der im Folgenden beschriebenen Maskierung von keinem Personenbezug und keiner Personenbeziehbarkeit aus. Insoweit ist für die Verarbeitung der Daten eine datenschutzrechtliche Rechtfertigung nicht erforderlich.
Die Informationen über die Nutzung der Website werden nur eingeschränkt verarbeitet, da der DSV die Maskierungsfunktion anonymizeIP() verwendet und mit Google zudem vereinbart hat, dass Google diese Informationen nicht für eigene Zwecke verwenden darf. Aufgrund der aktivierten IP-Anonymisierung wird die IP-Adresse des Nutzers sowohl in Cookies als auch in Logfiles so gekürzt, dass eine Personenbeziehbarkeit entfällt. Das letzte Oktett der IP-Adresse wird gekürzt oder als String „XXX“ dargestellt und übermittelt. Aufgrund dieser Maskierung geht der DSV von keinem Personenbezug und keiner Personenbeziehbarkeit aus. Insoweit ist für die Verarbeitung der Daten eine datenschutzrechtliche Ermächtigungsgrundlage nicht erforderlich.
Dennoch hat der DSV für Google Analytics den von den Aufsichtsbehörden geforderten Vertrag zur Auftragsverarbeitung mit Google abgeschlossen. Dieser findet insbesondere für die Verarbeitung zu Zwecken der Anonymisierung Anwendung, welche vorzugsweise auf EU-Servern stattfindet. Die Google-Infrastruktur ist allerdings so eingerichtet, dass der Datenverkehr von dem Rechenzentrum aus bedient wird, welches dem Ursprungsort des Verkehrs am nächsten liegt und ein Lastausgleich stattfinden kann. Daher kann der Datenverkehr von Servern in der EU an US-Server übertragen werden. Google unterliegt dabei dem Privacy Shield.
(2) Verarbeitungszweck: Der DSV verwendet die Analyseinformationen, um die Nutzung seiner Website auszuwerten und Reports über die Website-Aktivitäten zu erstellen, damit er die Website verbessern, interessanter und noch sicherer gestalten sowie Kunden und Interessenten gezielter ansprechen kann.
(3) Rechtsgrundlage: Interessenabwägung gemäß Artikel 6 Absatz 1 Satz 1 Buchstabe f DSGVO i. V. m. Artikel 44, 45 DSGVO i. V. m. Artikel 28, 29 DSGVO, dem „Privacy Shield“ und der Antwort der Europäischen Kommission vom 04.04.2017 auf die Parlamentarische Anfrage 23.01.2017 (Aktenzeichen E-000300 / 2017), die unter www.europarl.europa.eu abgerufen werden kann. Der DSV hat als Unternehmen ein berechtigtes Interesse an der laufenden Verbesserung seiner Außendarstellung als auch an Maßnahmen der Werbung und des Marketings. Die frühzeitige Anonymisierung der personenbezogenen Daten gewährleistet, dass dem keine den berechtigten Interessen des DSV überwiegende Einschränkung der Rechte und Freiheiten betroffener Personen entgegensteht.
Nutzer finden unter https://policies.google.com/privacy auch zu der für die Website verwendeten datenschutzfreundlichen Tool-Konfiguration ergänzende Datenschutzhinweise von Google.
(4) Innerhalb von Google Analytics werden Daten nach 26 Monaten automatisch gelöscht. Die Löschung von Daten, deren Aufbewahrungsdauer erreicht ist, erfolgt automatisch einmal im Monat.
(5) Nutzer können die Installation von Cookies durch eine entsprechende Einstellung ihres Browsers verhindern. Dies kann sich jedoch negativ auf das Tool-Erlebnis und die Funktionsweise des Tools auswirken.
(6) Alternativ können Nutzer über Opt-out-Link den Opt-out für Google Analytics bewirken, soweit die Konfiguration des Clients dies technisch zulässt.
§ 12 Datenverarbeitung aufgrund behördlicher oder gerichtlicher Anordnung oder zwingender Rechtspflichten
(1) Bevor der DSV Daten aufgrund einer behördlichen oder gerichtlichen Anordnung sowie zwingender Rechtspflichten offenlegt, prüft er mit besonderer Sorgfalt, ob die entsprechenden Anforderungen formal wie inhaltlich berechtigt sind.
(2) Rechtsgrundlage: Erfüllung einer rechtlichen Verpflichtung gemäß Artikel 6 Absatz 1 Satz 1 Buchstabe c DSGVO.
(3) Zweck der Verarbeitung ist die Einhaltung der höheren, unabdingbaren Rechtsordnung.
(4) Dauer der Speicherung: Der Umstand und die Umstandsmomente der Offenlegung können zu Beweiszwecken gesondert protokolliert und bis zum Ablauf der diesbezüglichen Verjährungsfristen aufbewahrt werden, in der Regel für die Dauer von drei Jahren.
§ 13 Rechte betroffener Personen
Werden personenbezogenen Daten verarbeitet, stehen dem Nutzer gegenüber dem DSV die im Folgenden genannten Rechte zu.
Nutzer können vom DSV eine Bestätigung darüber verlangen, ob personenbezogene Daten, die den Nutzer betreffen, vom DSV verarbeitet werden.
Liegt eine solche Verarbeitung vor, können Nutzer vom DSV über folgende Informationen Auskunft verlangen:
Nutzern steht das Recht zu, Auskunft darüber zu verlangen, ob die den Nutzer betreffenden personenbezogenen Daten in ein Drittland oder an eine internationale Organisation übermittelt werden. In diesem Zusammenhang kann der Nutzer verlangen, über die geeigneten Garantien gemäß Artikel 46 DSGVO im Zusammenhang mit der Übermittlung unterrichtet zu werden.
Nutzer haben ein Recht auf Berichtigung und/oder Vervollständigung gegenüber dem DSV, sofern die verarbeiteten personenbezogenen Daten, die den Nutzer betreffen, unrichtig oder unvollständig sind. Der DSV hat die Berichtigung unverzüglich vorzunehmen.
wenn sie die Richtigkeit der sie betreffenden personenbezogenen Daten für eine Dauer bestreiten, die es dem DSV ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen;
der DSV die personenbezogenen Daten für die Zwecke der Verarbeitung nicht länger benötigt, sie diese jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt, oder
wenn sie Widerspruch gegen die Verarbeitung gemäß Artikel 21 Absatz 1 DSGVO eingelegt haben und noch nicht feststeht, ob die berechtigten Gründe des DSV gegenüber ihren Gründen überwiegen.
Wurde die Verarbeitung der einen Nutzer betreffenden personenbezogenen Daten eingeschränkt, dürfen diese Daten – von ihrer Speicherung abgesehen – nur mit der Einwilligung des Nutzers oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aus Gründen eines wichtigen öffentlichen Interesses der Union oder eines Mitgliedstaats verarbeitet werden.
Wurde die Verarbeitung nach den o.g. Voraussetzungen eingeschränkt, wird der Nutzer vom DSV unterrichtet, bevor die Einschränkung aufgehoben wird.
Nutzer können vom DSV verlangen, dass die sie betreffenden personenbezogenen Daten unverzüglich gelöscht werden, und der DSV ist verpflichtet, diese Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:
Der Nutzer widerruft seine Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Satz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a DSGVO stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.
Der Nutzer legt gemäß Artikel 21 Absatz 1 DSGVO Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder der Nutzer legt gemäß Artikel 21 Absatz 2 DSGVO Widerspruch gegen die Verarbeitung ein.
Die Löschung der den Nutzer betreffenden personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der DSV unterliegt.
(5) Information an Dritte in Folge der Löschung
Hat der DSV die den Nutzer betreffenden personenbezogenen Daten öffentlich gemacht und ist er gemäß Artikel 17 Absatz 1 DSGVO zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass der Nutzer als betroffene Person vom DSV die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.
zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem DSV übertragen wurde;
Haben Nutzer das Recht auf Berichtigung, Löschung oder Einschränkung der Verarbeitung gegenüber dem DSV geltend gemacht, ist dieser verpflichtet, allen Empfängern, denen die die Nutzer betreffenden personenbezogenen Daten offengelegt wurden, diese Berichtigung oder Löschung der Daten oder Einschränkung der Verarbeitung mitzuteilen, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden.
Nutzern steht gegenüber dem DSV das Recht zu, über diese Empfänger unterrichtet zu werden.
Nutzer haben das Recht, die sie betreffenden personenbezogenen Daten, die sie dem DSV bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Außerdem haben Nutzer das Recht, diese Daten einem anderen Verantwortlichen ohne Behinderung durch den DSV zu übermitteln, sofern
In Ausübung dieses Rechts haben Nutzer ferner das Recht, zu erwirken, dass die die Nutzer betreffenden personenbezogenen Daten direkt vom DSV einem anderen Verantwortlichen übermittelt werden, soweit dies technisch machbar ist. Freiheiten und Rechte anderer Personen dürfen hierdurch nicht beeinträchtigt werden.
Das Recht auf Datenübertragbarkeit gilt nicht für eine Verarbeitung personenbezogener Daten, die für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem DSV übertragen wurde.
Nutzer haben das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung der sie betreffenden personenbezogenen Daten, die aufgrund von Artikel 6 Absatz 1 Satz 1 Buchstabe e oder f DSGVO erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling.
Der DSV verarbeitet die die Nutzer betreffenden personenbezogenen Daten dann nicht mehr, es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der Nutzer überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Werden die die Nutzer betreffenden personenbezogenen Daten verarbeitet, um Direktwerbung zu betreiben, haben Nutzer das Recht, jederzeit Widerspruch gegen die Verarbeitung der sie betreffenden personenbezogenen Daten zum Zwecke derartiger Werbung einzulegen; dies gilt auch für das Profiling, soweit es mit solcher Direktwerbung in Verbindung steht.
Nutzer haben die Möglichkeit, im Zusammenhang mit der Nutzung von Diensten der Informationsgesellschaft ungeachtet der Richtlinie 2002/58/EG ihr Widerspruchsrecht mittels automatisierter Verfahren auszuüben, bei denen technische Spezifikationen verwendet werden.
Allerdings dürfen diese Entscheidungen nicht auf besonderen Kategorien personenbezogener Daten nach Artikel 9 Absatz 1 DSGVO beruhen, sofern nicht Artikel 9 Absatz 2 Buchstabe a oder g DSGVO gilt und angemessene Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der Nutzer getroffen wurden.
Hinsichtlich der in (a) und (c) genannten Fälle trifft der DSV angemessene Maßnahmen, um die Rechte und Freiheiten sowie die berechtigten Interessen der Nutzer zu wahren, wozu mindestens das Recht auf Erwirkung des Eingreifens einer Person seitens des DSV, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung gehört.
§ 14 Betrieblicher Datenschutzbeauftragter
Betrieblicher Datenschutzbeauftragter ist Herr Jochen Weller.
Telefon: +49 711 782-21151

References: § 4

§ 5

§ 6

§ 7
 § 7

§ 8

§ 9

§ 10

§ 11

§ 12

§ 13

§ 14