Begriffsbestimmungen
Die rechtlichen Definitionen in der DSGVO sind nicht einfach zu lesen und zu verstehen, nicht einmal für Datenschutzexperten. Dies wird deutlich, wenn wir uns ansehen, wie unterschiedlich die Auslegung in der Rechtsprechung und in den Richtlinien von Behörden und Gerichten in verschiedenen Ländern sowie vom Europäischen Gerichtshof sein kann.
Nachfolgend haben wir die von uns in diesem Datenschutzbereich am häufigsten verwendeten Begriffe zusammengestellt, um Ihnen zu helfen, ihre Bedeutung zu verstehen. Wir haben nicht nur die rechtliche Definition (die nicht immer so hilfreich ist) angegeben, sondern auch eine Erklärung in anderen Worten und Beispiele hinzugefügt.
Wenn Sie weitere Informationen wünschen, empfehlen wir Ihnen, die Website einer Datenschutzbehörde zu besuchen. Über diesen Link finden Sie die Website-Adressen der Datenschutzbehörden in der EU/im EWR.
Rechtliche Definition:
"Verantwortlicher" bezeichnet die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können der Verantwortliche beziehungsweise die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden.
Mit anderen Worten:
Der Verantwortliche ist das Getinge Unternehmen (oder ein anderes Unternehmen oder eine andere Person), das/die entscheidet, warum die personenbezogenen Daten auf eine bestimmte Weise verwendet werden und wie diese Verwendung aussehen wird. Wenn Sie beispielsweise als Kunde handeln und gemäß unserer Datenschutzerklärung für Kunden, ist das Getinge-Unternehmen, das Ihnen ein Produkt verkauft hat, der Verantwortliche für Ihre personenbezogenen Daten, wenn Mitarbeiter des Getinge-Unternehmens, bei dem Sie das Produkt gekauft haben, mit Ihnen darüber kommunizieren. Ebenso ist der Kunde der Verantwortliche für alle anschließend verarbeiteten Daten, d. h. Kundendaten, Patientendaten und Daten von Getinge-Mitarbeitern. Wir haben beide separat entschieden, welche personenbezogenen Daten wir benötigen, um sicherzustellen, dass wir effizient kommunizieren können, wie wir sie verwenden und wie lange diese personenbezogenen Daten gespeichert werden. Ein weiteres Beispiel ist, dass Ihr Arbeitgeber in vielen Situationen der Verantwortliche für Ihre personenbezogenen Daten als Mitarbeiter ist.
Rechtliche Definition:
"Auftragsverarbeiter" bezeichnet eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;
Mit anderen Worten:
Ein Auftragsverarbeiter ist ein Unternehmen (entweder ein externes Unternehmen oder ein Unternehmen der Gruppe), das nicht die Entscheidungsbefugnis wie der Datenverantwortliche hat und stattdessen im Auftrag dieses Unternehmens handelt und den Anweisungen des Verantwortlichen folgt. Ein Beispiel könnte ein Cloud-Service-Anbieter sein, der jede Art von IT-System bereitstellt, das in einem Krankenhaus verwendet wird.
Rechtliche Definition:
Eine betroffene Person ist eine identifizierte oder identifizierbare natürliche Person, auf die sich die personenbezogenen Daten beziehen.
Mit anderen Worten:
Sie oder eine andere Person, deren personenbezogene Daten wir in irgendeiner Weise verwenden.
Die Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn der Verantwortliche nachweisen kann, dass eine gültige Rechtsgrundlage vorliegt. Das bedeutet, dass Getinge vor Beginn der Verarbeitung personenbezogener Daten die anwendbare Rechtsgrundlage ermitteln und sicherstellen muss, dass die Anforderungen dieser Rechtsgrundlage erfüllt werden. In der DSGVO gibt es sechs Rechtsgrundlagen:
a) Einwilligung – Die betroffene Person hat ihre Einwilligung zur Verarbeitung ihrer personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben
b) Erfüllung eines Vertrags – Die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen
c) Rechtliche Verpflichtung – die Verarbeitung ist für die Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt
d) Lebenswichtiges Interesse – die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen
e) Öffentliches Interesse – die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde; und
f) Berechtigtes Interesse – die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Für Getinge gelten hauptsächlich die unter (a) bis (c) und (f) genannten Rechtsgrundlagen. Diese sind alle in unseren Datenschutzhinweisen aufgeführt. Nachfolgend finden Sie weitere Informationen zu diesen Rechtsgrundlagen.
Einwilligung
Eine Einwilligung wird in der DSGVO definiert als "jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist".
Mit anderen Worten bedeutet dies, dass wir sicherstellen müssen, dass Sie ordnungsgemäß darüber informiert wurden, wie wir mit Ihren personenbezogenen Daten umgehen, und dass Sie freiwillig Ihre eindeutige Einwilligung gegeben haben.
Vertragserfüllung
Diese Rechtsgrundlage gilt, wenn wir Ihre personenbezogenen Daten verarbeiten müssen, um unsere Verpflichtungen aus dem mit Ihnen geschlossenen Vertrag zu erfüllen. Beispielsweise benötigen wir möglicherweise Ihre Bankverbindung, um die Zahlung für die Erfüllung einer Aufgabe durch Sie auszuführen. Wir benötigen auf jeden Fall Ihren Namen und Ihre persönliche Identifikationsnummer, um Sie als Vertragspartei identifizieren zu können, sowie Ihre Kontaktdaten, um mit Ihnen bezüglich des Vertrags kommunizieren zu können.
Rechtliche Verpflichtung
Wenn wir gesetzlich verpflichtet sind, einer Verpflichtung nachzukommen, bedeutet dies, dass es notwendig sein kann, dass wir Ihre personenbezogenen Daten verarbeiten. Wenn beispielsweise Ihr Name und Ihre Berufsbezeichnung in Dokumenten enthalten wären, die wir zur Erfüllung unserer Verpflichtungen aus den geltenden Gesetzen und Vorschriften für Medizinprodukte benötigen, würden wir solche Dokumente aufbewahren und die Aufbewahrung Ihrer personenbezogenen Daten in solchen Dokumenten unterstützen, da dies für uns zur Erfüllung der gesetzlichen Verpflichtung erforderlich ist.
Berechtigtes Interesse
Diese Rechtsgrundlage ist eine Abwägungsübung, bei der das Interesse des Verantwortlichen gegen das Interesse der betroffenen Person abgewogen wird. Wenn Getinge zu dem Schluss kommen würde, dass die verfolgten berechtigten Interessen durch die Interessen, Rechte und Freiheiten der betroffenen Person außer Kraft gesetzt werden, und wenn keine mildernden Maßnahmen ergriffen werden können, kann sich eine solche Verarbeitungstätigkeit nicht auf diese Rechtsgrundlage stützen.
Ein berechtigtes Interesse kann in verschiedenen Situationen geltend gemacht werden, z. B. beim Aufbau von Kundenbeziehungen, beim Direktmarketing, bei der Betrugsprävention und bei der Sicherheit.
Rechtliche Definition:
alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
Mit anderen Worten:
Personenbezogene Daten können fast alles sein, was etwas über Sie als Person aussagt, entweder für sich allein oder in Kombination mit anderen Informationen. Ob die Informationen als personenbezogene Daten gelten, hängt also vom Kontext ab. Ein gutes Beispiel hierfür ist der Name eines Unternehmens und seine Adresse. Diese Informationen sind nicht automatisch personenbezogene Daten. In Kombination mit dem vollständigen Namen eines Mitarbeiters und seiner Berufsbezeichnung werden sie jedoch zu personenbezogenen Daten, da sie uns sagen, wo diese Person arbeitet (Ort) und welches Unternehmen ihr Arbeitgeber ist. Ein weiteres Beispiel ist ein Name. Wenn der Name nicht eindeutig ist und Sie keine weiteren Informationen über diese Person haben, kann dieser Name nicht mit einer Einzelperson verknüpft werden. Es gibt jedoch natürlich direkte Identifikatoren, die ausreichen, um jemanden zu identifizieren – wie z. B. eine persönliche Identifikationsnummer (da diese mit einer Einzelperson verknüpft ist).
Weitere Beispiele für personenbezogene Daten:
- Kontaktangaben wie E-Mail (wenn sie z. B. Ihren Namen und Ihr Unternehmen enthält) und Telefonnummer,
- Alter, Größe und Gewicht.
- Bild- und Tonaufnahmen von Personen, die mit einem Computer verarbeitet werden, können personenbezogene Daten darstellen, selbst wenn keine Namen genannt werden.
- Verschlüsselte Daten und verschiedene Arten elektronischer Identitäten, z. B. IP-Adressen und Cookies, gelten als personenbezogene Daten, wenn sie mit natürlichen Personen verknüpft werden können.
- Informationen, die verschlüsselt, verschleiert oder pseudonymisiert wurden, die aber durch ergänzende Daten einer natürlichen Person zugeordnet werden können.
"Datenschutzerklärung" ist kein definierter Begriff in der DSGVO, sondern eine gebräuchliche Bezeichnung für ein Dokument, das von Organisationen verwendet wird, um Einzelpersonen über die Verarbeitung ihrer personenbezogenen Daten zu informieren. Die Bereitstellung von Informationen, wie z. B. in einer Datenschutzerklärung, ist nicht nur eine Verpflichtung im Rahmen der DSGVO, sondern auch von entscheidender Bedeutung für die Wahrung der Transparenz zwischen Organisationen und Einzelpersonen. Mit unseren Datenschutzerklärungen möchten wir Sie darüber informieren, welche personenbezogenen Daten erhoben werden, warum sie erhoben werden, wie sie verwendet werden und an wen sie weitergegeben werden.
Rechtliche Definition:
bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
Mit anderen Worten:
Verarbeitung ist jede Handlung, die mit personenbezogenen Daten durchgeführt wird. Dies kann alles sein, von der Erhebung und Speicherung von Daten bis hin zu ihrer Nutzung, Weitergabe oder sogar Löschung. Wenn Sie personenbezogene Daten in irgendeiner Weise verarbeiten, verarbeiten Sie sie. Auch die bloße Gewährung des Zugriffs auf personenbezogene Daten gilt als Verarbeitung personenbezogener Daten. Nachfolgend finden Sie einige Beispiele.
Erfassung:
Die Erfassung personenbezogener Daten kann z. B. im Falle der Erfassung von E-Mail-Adressen erfolgen, um mit Ihnen kommunizieren und Ihnen Marketingmaterial oder andere Unternehmensinformationen zusenden zu können.
Verwendung:
Während des monatlichen Gehaltsabrechnungsprozesses werden Ihre personenbezogenen Daten, die Sie Ihrem Arbeitgeber zur Verfügung gestellt haben, verwendet, um Ihnen die Gehaltszahlung auf Ihr Bankkonto und möglicherweise zusätzlich die entsprechende Gehaltsabrechnung per E-Mail oder in Papierform direkt an Ihre Privatadresse zu senden.
Löschen:
Das Löschen personenbezogener Daten erfolgt, wenn die personenbezogenen Daten nicht mehr für den Zweck/die Zwecke benötigt werden, für den/die sie ursprünglich erhoben und gespeichert wurden, und die Aufbewahrungsfrist erreicht ist. Dies kann der Fall sein, wenn Sie Finanzdokumente gemäß den Finanzgesetzen 10 Jahre lang aufbewahren müssen und wenn dieser Zeitraum abgelaufen ist, können die Daten gelöscht werden.
Weitergabe:
Dies kann der Fall sein, wenn wir Ihre personenbezogenen Daten an einen Dienstleister weitergeben müssen, der als Auftragsverarbeiter für Getinge fungiert, um Ihnen den erforderlichen Zugriff auf eine Software oder Lösungen zu gewähren, die von einem Dritten bereitgestellt werden.
Aufzeichnung:
Dies kann der Fall sein, wenn jemand als Redner in einem Webinar oder einer anderen Veranstaltung auftritt und das aufgezeichnete Material anschließend an die Teilnehmer oder andere Personen weitergegeben wird.
Jeder Mitgliedstaat sieht eine oder mehrere unabhängige Behörden vor, die für die Überwachung der Anwendung der DSGVO zuständig sind, um Ihre Grundrechte und Grundfreiheiten bei der Verarbeitung personenbezogener Daten zu schützen und den freien Verkehr personenbezogener Daten innerhalb der Europäischen Union zu erleichtern.
Wie auf unserer Seite über Ihre Rechte angegeben, haben Sie das Recht, bestimmte Rechte gegenüber einer Organisation auszuüben, z. B. Informationen über die Verarbeitung ihrer personenbezogenen Daten zu erhalten, personenbezogene Daten löschen zu lassen usw. Darüber hinaus haben Sie das Recht, direkt bei der Aufsichtsbehörde eine Beschwerde über die Verarbeitung ihrer personenbezogenen Daten einzureichen. Unter diesem Link finden Sie Informationen zu den Aufsichtsbehörden in der EU/im EWR.