Datenschutz

Rechtsgrundlagen der Datenverarbeitung

Von Gesetzes wegen ist mir die Verarbeitung Deiner personenbezogenen Daten nur dann erlaubt, wenn eine konkrete Datenverarbeitung unter einen der folgenden Rechtfertigungstatbestände gefasst werden kann.

• Soweit für Verarbeitungsvorgänge personenbezogener Daten Deine Einwilligung eingeholt wird, dient Art. 6 Abs. 1 lit. a DSGVO als Rechtsgrundlage.
• Bei der Verarbeitung Deiner personenbezogenen Daten, die zur Erfüllung eines Vertrages erforderlich ist, dessen Vertragspartei Du bist, dient Art. 6 Abs. 1 lit. b DSGVO als Rechtsgrundlage. Dies gilt auch für Verarbeitungsvorgänge, die zur Durchführung vorvertraglicher Maßnahmen erforderlich sind.
• Soweit eine Verarbeitung personenbezogener Daten zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der ich unterliege, dient Art. 6 Abs. 1 lit. c DSGVO als Rechtsgrundlage. In diesem Fall nenne ich die jeweilige Norm, aus der sich die Verpflichtung ergibt, noch einmal ausdrücklich.
• Für den Fall, dass lebenswichtige Interessen von Dir oder einer anderen natürlichen Person eine Verarbeitung personenbezogener Daten erforderlich machen, dient Art. 6 Abs. 1 lit. d DSGVO als Rechtsgrundlage.
• Ist die Verarbeitung zur Wahrung eines berechtigten Interesses von mir oder eines Dritten erforderlich und überwiegen Deine Interessen, Grundrechte und Grundfreiheiten das erstgenannte Interesse nicht, so dient Art. 6 Abs. 1 lit. f DSGVO als Rechtsgrundlage für die Verarbeitung.

Übermittlungen in Drittländer

In Übereinstimmung mit den untenstehenden Ausführungen setze ich teilweise Dienste ein, deren Anbieter in Drittländern (wie den USA) sitzen, also Ländern, deren Datenschutzniveau nicht dem der Europäischen Union entspricht.

Einigen Drittländern bescheinigt die Europäische Kommission durch sog. Angemessenheitsbeschlüsse (Art. 45 DSGVO) ein Datenschutzniveau, das dem Datenschutzstandard der Europäischen Union vergleichbar ist. Eine Liste dieser Länder sowie eine Kopie der Angemessenheitsbeschlüsse findet sich hier: Europäische Kommission. Dies betrifft insbesondere das im Verhältnis zu den USA geschlossene „EU-US Data Privacy Framework“ (DPF); der entsprechende Angemessenheitsbeschluss der Europäischen Kommission ist hier abrufbar: Adequacy decision for the EU-US Data Privacy Framework. Das DPF dient der Gewährleistung zwingender Datenschutzstandards im Rahmen von Datenverarbeitungen in die USA. Demnach können Datenverarbeitungen aus der EU in die USA an Unternehmen, die unter dem DPF zertifiziert sind, erfolgen, ohne dass es zusätzlicher geeigneter Garantien gem. Art. 46 DSGVO bedarf. Weitere Informationen über das DPF sowie die teilnehmenden Unternehmen finden sich unter https://www.dataprivacyframework.gov/.

Soweit eine Datenübermittlung in Drittländer erfolgt und die Europäische Kommission für diese Länder keinen Angemessenheitsbeschluss erlassen hat, habe ich entsprechende Vorkehrungen getroffen, um ein angemessenes Datenschutzniveau für etwaige Datenübertragungen zu gewährleisten (sog. geeignete Garantien). Hierzu zählen u.a. die Standardvertragsklauseln der Europäischen Union oder verbindliche interne Datenschutzvorschriften.

Wo dies nicht möglich ist, werden Datenübermittlungen auf Ausnahmen des Art. 49 DSGVO gestützt, insbesondere auf Deine ausdrückliche Einwilligung oder die Erforderlichkeit der Übermittlung zur Vertragserfüllung.

Sofern eine Drittstaatenübermittlung vorgesehen ist und kein Angemessenheitsbeschluss oder geeignete Garantien vorliegen, ist es möglich und besteht das Risiko, dass Behörden im jeweiligen Drittland (z.B. Geheimdienste) Zugriff auf die übermittelten Daten erlangen können, um diese zu erfassen und zu analysieren, und dass eine Durchsetzbarkeit Ihrer Betroffenenrechte nicht gewährleistet werden kann. Bei Einholung Ihrer Einwilligung wirst Du hierüber ebenfalls informiert.

Weitere Informationen zu dieser Thematik befinden sich hier: Europäische Kommission - International dimension of data protection.

Speicherdauer

Ich speichere personenbezogene Daten grundsätzlich nur so lange, wie dies für den jeweiligen Verarbeitungszweck erforderlich ist. Danach werden die Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen an einer weiteren Speicherung entgegenstehen.

Daten aus Kursanmeldungen und der Vertragsabwicklung bewahre ich für die Dauer des Vertragsverhältnisses auf. Soweit Unterlagen steuer- oder handelsrechtlichen Aufbewahrungspflichten unterliegen, werden sie für die jeweils gesetzlich vorgeschriebene Dauer gespeichert; dies betrifft insbesondere Rechnungen und abrechnungsrelevante Unterlagen.

Soweit dies zur Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche erforderlich ist, können die hierfür erforderlichen Daten bis zum Ablauf der gesetzlichen Verjährungsfristen aufbewahrt werden.

Hinsichtlich der Verarbeitung Deiner personenbezogenen Daten stehen Dir als einer betroffenen Person die nachfolgend genannten Rechte gemäß Art. 15 ff. DSGVO zu:

• Du kannst Auskunft darüber verlangen, ob ich personenbezogene Daten von Dir verarbeite. Ist dies der Fall, so hast Du ein Recht auf Auskunft über diese personenbezogenen Daten sowie auf weitere mit der Verarbeitung zusammenhängende Informationen (Art. 15 DSGVO).
• Für den Fall, dass personenbezogene Daten über Dich nicht (mehr) zutreffend oder unvollständig sind, kannst Du eine Berichtigung und gegebenenfalls Vervollständigung dieser Daten verlangen (Art. 16 DSGVO).
• Bei Vorliegen der gesetzlichen Voraussetzungen kannst Du die Löschung Deiner bei mir gespeicherten personenbezogenen Daten (Art. 17 DSGVO) oder die Einschränkung der Verarbeitung dieser Daten (Art. 18 DSGVO) verlangen. Das Recht auf Löschung ist allerdings unter anderem in Fällen eingeschränkt, in denen ich Deine Daten aufgrund gesetzlicher Pflichten noch nicht löschen darf.
• Dir steht ein Recht auf Datenübertragbarkeit zu, sofern Du in die Datenverarbeitung eingewilligt hast oder einen Vertrag mit mir abgeschlossen hast (Art. 20 DSGVO).
• Du kannst der Verarbeitung Deiner personenbezogenen Daten jederzeit aus Gründen, die sich aus Deiner besonderen Situation ergeben, widersprechen (Art. 21 DSGVO, siehe dazu sogleich unten). Sofern die gesetzlichen Voraussetzungen vorliegen, verarbeite ich in der Folge Deine personenbezogenen Daten nicht mehr.
• Sofern Du mir eine Einwilligung für die Datenverarbeitung erteilt hast, kannst Du diese jederzeit widerrufen, beispielsweise per E-Mail an info@studio-surya.de. Der Widerruf wirkt erst für die Zukunft; das heißt, durch den Widerruf wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt.
• Du hast das Recht, sich bei einer Aufsichtsbehörde im Sinne des Art. 51 DSGVO über die Verarbeitung Deiner personenbezogenen Daten zu beschweren, z.B. bei der zuständigen Aufsichtsbehörde des Bundeslands Deines Wohnsitzes oder bei der für mich als verantwortliche Stelle zuständigen Behörde.

Eine Liste der Aufsichtsbehörden (für den nichtöffentlichen Bereich) mit Anschrift findest Du unter: BfDI - Anschriften und Links.

Weitere Einschränkungen, Modifikationen und gegebenenfalls Ausschlüsse der vorgenannten Rechte können sich aus der DSGVO oder nationalen Rechtsvorschriften ergeben.

Informationen über Dein Widerspruchsrecht gemäß Art. 21 DSGVO

Du hast das Recht aus Gründen, die sich aus Deiner besonderen Situation ergeben, jederzeit gegen die Verarbeitung Dich betreffender personenbezogener Daten Widerspruch einzulegen, die aufgrund von Artikel 6 Absatz 1 Satz 1 f) Datenschutzgrundverordnung erfolgt (Datenverarbeitung auf der Grundlage einer Interessenabwägung).

Legst Du Widerspruch ein, werde ich Deine personenbezogenen Daten nicht mehr verarbeiten, es sei denn, ich kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Werden die Dich betreffenden personenbezogenen Daten zum Zwecke der Direktwerbung verarbeitet, steht Dir ein generelles Widerspruchsrecht zu, das auch ohne die Angabe von Gründen von mir umgesetzt wird. Widersprichst Du der Verarbeitung für Zwecke der Direktwerbung, so werde ich Deine personenbezogenen Daten nicht mehr für diese Zwecke verarbeiten.

Möchtest Du von Deinem Widerspruchsrecht Gebrauch machen, genügt eine formlose Mitteilung an die oben genannten Kontaktdaten.

Allgemeine Nutzung und Bereitstellung meiner Website

Beschreibung und Umfang der Datenverarbeitung

Wenn Du meine Website nutzen möchtest, werden die nachfolgend beschriebenen personenbezogenen Daten vorübergehend gespeichert und verarbeitet:

• IP-Adresse
• Datum und Uhrzeit der Anfrage
• Zeitzonendifferenz zur Greenwich Mean Time (GMT)
• Anfragedetails und Zieladresse (Protokollversion, HTTP-Methode, Referer, UserAgent-String)
• Zugriffsstatus/HTTP-Statuscode
• jeweils übertragene Datenmenge
• Websites, von denen das System des Nutzers auf meine Internetseite gelangt
• Websites, die vom System des Nutzers über meine Website aufgerufen werden
• Browsertyp oder verwendete App
• Betriebssystem und dessen Oberfläche
• Sprache und Version der Browsersoftware
• Session IDs

Rechtsgrundlage

Rechtsgrundlage für die Erhebung dieser personenbezogenen Daten ist Art. 6 Abs. 1 S. 1 lit. f DSGVO.

Zweck der Datenverarbeitung

Die vorübergehende Speicherung der IP-Adresse durch das System ist notwendig, um eine Auslieferung der Website an den Rechner des Nutzers zu ermöglichen. Hierfür muss die IP-Adresse des Nutzers für die Dauer der Sitzung gespeichert bleiben. Im Übrigen dient die Datenverarbeitung der Sicherstellung der Funktionsfähigkeit und Stabilität meiner Website sowie ihrer Optimierung. Zudem soll dadurch die Sicherheit meiner informationstechnischen Systeme gewährleistet werden. In diesen Zwecken liegt auch mein berechtigtes Interesse an der Datenverarbeitung nach Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer

Die Daten werden gelöscht, wenn die jeweilige Sitzung beendet ist. Im Falle einer Speicherung der Daten in Logfiles werden diese nach spätestens sieben Tagen gelöscht. Eine darüberhinausgehende Speicherung ist möglich. In diesem Fall werden die IP-Adressen der Nutzer gelöscht oder verfremdet, sodass eine Zuordnung des aufrufenden Clients nicht mehr möglich ist.