Datenschutzrichtlinie

DATENSCHUTZERKLÄRUNG

Die HENDER-MEDICAL Innovation KFT. – im Folgenden als Unternehmen bezeichnet – veröffentlicht diese Datenschutzerklärung, um den Verpflichtungen zur vorherigen Information der betroffenen Personen gemäß VERORDNUNG (EU) 2016/679 DES EUROPÄISCHEN PARLAMENTS UND DES RATES zu entsprechen, wonach gemäß den einschlägigen Artikeln der Verordnung alle erforderlichen Informationen in prägnanter, transparenter, verständlicher und leicht zugänglicher Form bereitzustellen sind, klar und verständlich formuliert und für die Betroffenen leicht zugänglich sein müssen.

  1. BEZEICHNUNG DES VERANTWORTLICHEN UND AUFTRAGSVERARBEITERS

Das Unternehmen informiert die betroffene Person darüber, dass es als Verantwortlicher für die Verarbeitung personenbezogener Daten gilt.

FIRMENNAME: HENDER-MEDICAL Innovation KFT.

SITZ: 1015 Budapest, Donáti utca 38. A. lház. fszt.

HANDELSREGISTERNUMMER: 01-09-298253

STEUERNUMMER: 12455074-2-41

TELEFON: +36308212732

DATENSCHUTZBEAUFTRAGTER: Andrea Ollári

VERTRETER: Andrea Ollári

E-MAIL: andrea.ollari@hender.hu

WEBSEITE: www.gyomorballon.hu, akcio.gyomorballon.hu

Die persönlichen Daten können von den Mitarbeitern des Unternehmens mit den entsprechenden Zugriffsberechtigungen, sowie von Personen und Organisationen, die im Rahmen von Dienstleistungsverträgen Datenverarbeitungstätigkeiten durchführen und von der Firma definiertem Umfang und im erforderlichen Maß bekannt gemacht werden.

  1. DEFINITIONEN
  2. “Personenbezogene Daten”: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (“betroffene Person”) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels eines Identifikators wie einem Namen, einer Kennnummer, Standortdaten, einem Online-Kennzeichen oder aufgrund von Faktoren, die die physische, physiologische, genetische, psychische, wirtschaftliche, kulturelle oder soziale Identität dieser natürlichen Person bestimmen, identifiziert werden kann.
  3. “Datenverarbeitung”: Jeder Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten oder Datenbeständen, sei es automatisiert oder nicht automatisiert, wie das Erheben, Erfassen, Ordnen, Speichern, Anpassen oder Verändern, Abfragen, Abrufen, Verwenden, Übermitteln, Verbreiten oder auf sonstige Weise Bereitstellen, Zusammenführen, Löschen oder Vernichten.
  4. “Beschränkung der Verarbeitung”: Die Kennzeichnung gespeicherter personenbezogener Daten mit dem Ziel, deren künftige Verarbeitung einzuschränken.
  5. “Profiling”: Jede Form der automatisierten Verarbeitung personenbezogener Daten, bei der diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich der Arbeitsleistung, finanziellen Situation, Gesundheit, persönlichen Vorlieben, Interessen, Zuverlässigkeit, Verhaltensweisen, Aufenthaltsortes oder Bewegungen vorherzusagen oder zu analysieren.
  6. “Pseudonymisierung”: Die Verarbeitung personenbezogener Daten in einer Weise, dass ohne Hinzuziehung zusätzlicher Informationen nicht mehr festgestellt werden kann, welche spezifische natürliche Person betroffen ist, sofern diese zusätzlichen Informationen getrennt aufbewahrt werden und durch technische und organisatorische Maßnahmen sichergestellt ist, dass die personenbezogenen Daten nicht mehr einer identifizierten oder identifizierbaren natürlichen Person zugeordnet werden können.
  7. “Dateiregistrierungssystem”: Eine strukturierte Sammlung personenbezogener Daten in jeder Form, sei es zentralisiert, dezentralisiert oder nach funktionalen oder geografischen Gesichtspunkten gegliedert, die anhand bestimmter Kriterien zugänglich ist.
  8. “Verantwortlicher”: Eine natürliche oder juristische Person, Behörde, Agentur oder andere Stelle, die eigenständig oder gemeinsam mit anderen die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt. Sollten die Zwecke und Mittel der Verarbeitung durch das Unionsrecht oder das Recht eines Mitgliedstaats vorgegeben sein, so können der Verantwortliche bzw. die spezifischen Kriterien für seine Benennung durch das Unionsrecht oder das Recht eines Mitgliedstaats festgelegt werden.
  9. “Auftragsverarbeiter”: Eine natürliche oder juristische Person, Behörde, Agentur oder andere Stelle, die personenbezogene Daten im Namen des Verantwortlichen verarbeitet.
  10. “Empfänger”: Eine natürliche oder juristische Person, Behörde, Agentur oder andere Stelle, der bzw. derer personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich dabei um einen Dritten handelt. Öffentliche Stellen, die im Rahmen einer spezifischen Untersuchung gemäß dem Unionsrecht oder dem Recht eines Mitgliedstaats Zugang zu personenbezogenen Daten erhalten können, gelten nicht als Empfänger; die Verarbeitung solcher Daten durch diese öffentlichen Stellen muss den geltenden Datenschutzbestimmungen entsprechend den Zwecken der Verarbeitung entsprechen.
  11. “Dritte”: Eine natürliche oder juristische Person, Behörde, Agentur oder andere Stelle, die nicht identisch ist mit der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter oder Personen, die vom Verantwortlichen oder Auftragsverarbeiter unmittelbar autorisiert wurden, personenbezogene Daten zu verarbeiten.
  12. “Einwilligung der betroffenen Person”: Die freiwillige, spezifische, auf angemessenen Informationen basierende und eindeutige Zustimmung der betroffenen Person, die durch eine Erklärung oder eine eindeutige positive Handlung erfolgt, mit der die betroffene Person ihre Zustimmung zur Verarbeitung ihrer personenbezogenen Daten gibt.
  13. “Datenschutzvorfall”: Eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Zerstörung, Verlust, Änderung, unbefugten Offenlegung oder unbefugten Zugriff auf übermittelte, gespeicherte oder anderweitig verarbeitete personenbezogene Daten führt.
  14. “Unternehmen”: Eine natürliche oder juristische Person, die wirtschaftliche Tätigkeiten ausübt, unabhängig von ihrer rechtlichen Form, einschließlich eingetragener Vereine und Einzelunternehmen, die regelmäßig wirtschaftlich tätig sind.

III. DIE RECHTSGRUNDLAGE DER DATENVERARBEITUNG

  1. Die Zustimmung der betroffenen Person

(1) Die Rechtmäßigkeit der Verarbeitung personenbezogener Daten beruht auf der Zustimmung der betroffenen Person oder einer anderen gesetzlich festgelegten Rechtsgrundlage.

(2) Bei der Verarbeitung von personenbezogenen Daten auf der Grundlage der Zustimmung der betroffenen Person kann diese ihre Zustimmung zur Verarbeitung ihrer personenbezogenen Daten auf folgende Weise erteilen:

  1. a) Schriftlich in Form einer Erklärung zur Zustimmung zur Verarbeitung personenbezogener Daten,
  2. b) Elektronisch durch ein ausdrückliches Verhalten auf der Internetseite des Unternehmens, Markieren eines Kontrollkästchens oder durch technische Einstellungen im Zusammenhang mit der Inanspruchnahme von Diensten der Informationsgesellschaft sowie durch jede andere Erklärung oder Handlung, die eindeutig die Zustimmung der betroffenen Person zur geplanten Verarbeitung ihrer personenbezogenen Daten in diesem Zusammenhang zeigt.

(3) Schweigen, vorab angekreuzte Kästchen oder Untätigkeit gelten nicht als Zustimmung. (4) Die Zustimmung erstreckt sich auf sämtliche Datenverarbeitungstätigkeiten für denselben Zweck oder dieselben Zwecke.

(5) Wenn die Datenverarbeitung gleichzeitig mehreren Zwecken dient, muss die Zustimmung für alle diese Verarbeitungszwecke gegeben werden. Wenn die betroffene Person ihre Zustimmung nach einer elektronischen Aufforderung erteilt, muss diese Aufforderung klar und prägnant sein und darf die Inanspruchnahme einer Dienstleistung, für die die Zustimmung angefordert wird, nicht unnötig behindern.

(6) Die betroffene Person hat das Recht, ihre Zustimmung jederzeit zu widerrufen. Der Widerruf der Zustimmung beeinträchtigt nicht die Rechtmäßigkeit der vor dem Widerruf auf der Grundlage der Zustimmung erfolgten Datenverarbeitung. Die betroffene Person muss vor Erteilung ihrer Zustimmung darüber informiert werden. Der Widerruf der Zustimmung muss in gleicher Weise ermöglicht werden wie die Erteilung der Zustimmung.

 

  1. Vertragserfüllung
  2. Die Datenverarbeitung gilt als rechtmäßig, wenn sie zur Erfüllung eines Vertrags erforderlich ist, an dem die betroffene Person beteiligt ist, oder wenn sie erforderlich ist, um auf Anfrage der betroffenen Person vor Vertragsabschluss erforderliche Schritte zu unternehmen.
  3. Die Zustimmung der betroffenen Person zur Verarbeitung personenbezogener Daten, die nicht für die Erfüllung des Vertrags erforderlich sind, darf keine Voraussetzung für den Vertragsabschluss sein.
  4. Erfüllung der rechtlichen Verpflichtung des Datenverantwortlichen oder zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person
  5. Die Rechtsgrundlage für die Datenverarbeitung durch Erfüllung einer rechtlichen Verpflichtung wird durch das Gesetz festgelegt, sodass die Zustimmung der betroffenen Person zur Verarbeitung ihrer personenbezogenen Daten in diesem Fall nicht erforderlich ist.
  6. Der Datenverantwortliche ist verpflichtet, die betroffene Person über den Zweck, die Rechtsgrundlage, die Dauer, die Identität des Datenverantwortlichen sowie über ihre Rechte und die Möglichkeiten zur Rechtsbehelfung in Bezug auf die Datenverarbeitung zu informieren.
  7. Nach dem Widerruf der Zustimmung der betroffenen Person ist der Datenverantwortliche aufgrund der Erfüllung einer rechtlichen Verpflichtung berechtigt, den Datenbestand zu verarbeiten, der zur Erfüllung einer ihm auferlegten rechtlichen Verpflichtung erforderlich ist.
  8. Durchführung einer Aufgabe im öffentlichen Interesse oder im Rahmen der Ausübung öffentlicher Befugnisse, die dem Datenverantwortlichen übertragen wurden, oder zur Wahrung der berechtigten Interessen des Datenverantwortlichen oder eines Dritten.
  9. Der Datenverantwortliche – einschließlich der Stelle, an die personenbezogene Daten offengelegt werden können – oder ein Dritter kann ein berechtigtes Interesse als Rechtsgrundlage für die Datenverarbeitung heranziehen, vorausgesetzt, dass die Interessen, grundlegenden Rechte und Freiheiten der betroffenen Person nicht Vorrang haben und die vernünftigen Erwartungen der betroffenen Person unter Berücksichtigung der Beziehung zwischen dem Datenverantwortlichen und der betroffenen Person berücksichtigt werden. Ein solches berechtigtes Interesse kann beispielsweise dann vorliegen, wenn eine relevante und angemessene Beziehung zwischen der betroffenen Person und dem Datenverantwortlichen besteht, zum Beispiel, wenn die betroffene Person Kunde des Datenverantwortlichen ist oder in dessen Beschäftigung steht.
  10. Die Feststellung des Vorliegens eines berechtigten Interesses erfordert eine sorgfältige Prüfung, insbesondere ob die betroffene Person zum Zeitpunkt der Erhebung personenbezogener Daten und in diesem Zusammenhang vernünftigerweise damit rechnen kann, dass die Datenverarbeitung zu diesem spezifischen Zweck erfolgt.
  11. Die Interessen und grundlegenden Rechte der betroffenen Person können Vorrang vor dem Interesse des Datenverantwortlichen haben, wenn die personenbezogenen Daten unter Umständen verarbeitet werden, in denen die betroffenen Personen keine weiteren Datenverarbeitungen erwarten.
  12. RECHTE DER BETROFFENEN PERSON IN BEZUG AUF DIE VERARBEITUNG PERSONENBEZOGENER DATEN
  1. Die Firma gibt eine kurze Erläuterung zu den Rechten der betroffenen Person wie folgt:

Die betroffene Person hat das Recht:

  1. auf Information vor Beginn der Datenverarbeitung,
  2. eine Rückmeldung vom Datenverantwortlichen darüber zu erhalten, ob die Verarbeitung personenbezogener Daten stattfindet, und wenn ja, das Recht auf Zugang zu den personenbezogenen Daten sowie zu den folgenden Informationen,
  3. die Berichtigung oder Löschung seiner Daten zu verlangen und eine Benachrichtigung über diese Maßnahmen seitens des Datenverantwortlichen zu erhalten,
  4. die Einschränkung der Verarbeitung zu verlangen und darüber benachrichtigt zu werden,
  5. auf Datenübertragbarkeit,
  6. Widerspruch einzulegen, wenn seine personenbezogenen Daten im öffentlichen Interesse oder zur Wahrung der berechtigten Interessen des Datenverantwortlichen verarbeitet werden,
  7. von automatisierten Entscheidungen, einschließlich Profiling, ausgenommen zu sein,
  8. bei der Aufsichtsbehörde Beschwerde einzureichen. Das Beschwerderecht kann von der betroffenen Person unter folgenden Kontaktdaten ausgeübt werden: Nationaler Behörde für Datenschutz und Informationsfreiheit, Adresse: 1125 Budapest, Szilágyi Erzsébet fasor 22/c., Telefon: +36 (1) 391-1400; Fax: +36(1) 391-1410, Website: http://www.naih.hu, E-Mail: ugyfelszolgalat@naih.hu,
  9. wirksamen gerichtlichen Rechtsschutz gegenüber der Aufsichtsbehörde zu beantragen,
  10. wirksamen gerichtlichen Rechtsschutz gegenüber dem Datenverantwortlichen oder dem Auftragsverarbeiter zu beantragen,
  11. über Datenschutzverletzungen informiert zu werden.

 

Die detaillierte Information über die Rechte der betroffenen Person:

Informationsrecht

(1) Die betroffene Person hat das Recht, vor Beginn der Verarbeitung ihrer Daten Informationen über die mit der Datenverarbeitung verbundenen Umstände zu erhalten.

(2) Informationen, die bereitgestellt werden müssen, wenn personenbezogene Daten von der betroffenen Person erhoben werden:

  1. Die Identität und Kontaktdaten des Datenverantwortlichen und, falls vorhanden, des Vertreters des Datenverantwortlichen;
  2. Die Kontaktdaten des Datenschutzbeauftragten, sofern vorhanden;
  3. Der Zweck der beabsichtigten Verarbeitung personenbezogener Daten und die Rechtsgrundlage für die Verarbeitung;
  4. Im Falle einer Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe f der Verordnung die berechtigten Interessen, die vom Datenverantwortlichen oder einem Dritten verfolgt werden;
  5. Falls zutreffend, die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten;
  7. Gegebenenfalls die Tatsache, ob der Datenverantwortliche beabsichtigt, die personenbezogenen Daten in ein Drittland oder an eine internationale Organisation zu übermitteln, sowie das Bestehen oder Nichtbestehen einer Angemessenheitsentscheidung der Kommission oder, falls im Artikel 46, 47 oder im zweiten Unterabsatz des Artikel 49 Absatz 1 der Verordnung genannte Datenübermittlungen vorliegen, die Angabe angemessener und geeigneter Garantien sowie Verweise auf die Möglichkeiten, Kopien dieser Garantien zu erhalten oder deren Erreichbarkeit

(3) Neben den Informationen gemäß Absatz (1) informiert der Datenverantwortliche die betroffene Person zum Zeitpunkt der Erhebung personenbezogener Daten zusätzlich über folgende ergänzende Informationen, um eine faire und transparente Datenverarbeitung sicherzustellen:

  1. Zur Speicherungsdauer der personenbezogenen Daten oder, falls dies nicht möglich ist, über die Kriterien zur Festlegung dieser Dauer;
  2. Über das Recht der betroffenen Person, vom Datenverantwortlichen Zugang zu ihren personenbezogenen Daten zu verlangen, diese zu berichtigen, zu löschen oder deren Verarbeitung einzuschränken, sowie Widerspruch gegen die Verarbeitung solcher personenbezogenen Daten einzulegen, und über das Recht auf Datenübertragbarkeit;
  3. Bei Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a der Verordnung das Recht, die Einwilligung jederzeit zu widerrufen, wobei der Widerruf die Rechtmäßigkeit der aufgrund der Einwilligung vor dem Widerruf erfolgten Verarbeitung nicht berührt;
  4. Das Recht, eine Beschwerde bei der Aufsichtsbehörde einzureichen;
  5. Ob die Bereitstellung personenbezogener Daten gesetzlich oder vertraglich vorgeschrieben ist oder eine Voraussetzung für den Vertragsabschluss darstellt, sowie ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche möglichen Folgen ein Versäumnis der Datenbereitstellung haben kann;
  6. Die Tatsache einer gemäß Artikel 22 Absatz 1 und 4 der Verordnung genannten automatisierten Entscheidungsfindung, einschließlich Profiling, und zumindest in diesen Fällen Informationen über die angewandte Logik sowie Informationen über die Tragweite einer solchen Datenverarbeitung und die zu erwartenden Auswirkungen auf die betroffene Person.

(4) Wenn die personenbezogenen Daten nicht von der betroffenen Person stammen, stellt der Datenverantwortliche der betroffenen Person die folgenden Informationen zur Verfügung:

  1. Identität und Kontaktdaten des Datenverantwortlichen und – sofern vorhanden – seines Vertreters;
  2. Kontaktdaten des Datenschutzbeauftragten, sofern vorhanden;
  3. Zweck der geplanten Verarbeitung personenbezogener Daten sowie die Rechtsgrundlage für die Verarbeitung;
  4. Kategorien der personenbezogenen Daten der betroffenen Person;
  5. Empfänger oder Kategorien von Empfängern der personenbezogenen Daten, sofern vorhanden;
  6. Gegebenenfalls die Absicht des Datenverantwortlichen, die personenbezogenen Daten an Empfänger in Drittländern oder internationale Organisationen zu übermitteln, sowie das Vorhandensein oder Fehlen einer Entscheidung der Kommission gemäß Artikel 46 der Verordnung, des Artikels 47 der Verordnung oder des zweiten Unterabsatzes des Artikels 49 Absatz 1 der Verordnung über die Angabe angemessener und geeigneter Garantien und die Methoden oder Verweise zur Erlangung von Kopien dieser Garantien

(2) Neben den in Absatz (1) genannten Informationen stellt der Datenverantwortliche dem Betroffenen die folgenden zusätzlichen Informationen zur Verfügung, um eine faire und transparente Datenverarbeitung für die betroffene Person sicherzustellen:

  1. Die Speicherdauer der personenbezogenen Daten oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
  2. Wenn die Datenverarbeitung auf der Grundlage von Artikel 6 Absatz 1 Buchstabe f) der Verordnung erfolgt, die berechtigten Interessen des Datenverantwortlichen oder eines Dritten;
  3. Das Recht der betroffenen Person, vom Datenverantwortlichen Zugang zu den sie betreffenden personenbezogenen Daten zu verlangen, deren Berichtigung, Löschung oder Einschränkung der Verarbeitung zu beantragen und der Verarbeitung ihrer personenbezogenen Daten zu widersprechen sowie das Recht auf Datenübertragbarkeit;
  4. Bei einer Datenverarbeitung auf der Grundlage von Artikel 6 Absatz 1 Buchstabe a) der Verordnung oder Artikel 9 Absatz 2 Buchstabe a) der Verordnung das Recht, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
  5. Das Recht, eine Beschwerde bei einer Aufsichtsbehörde einzureichen;
  6. Die Herkunft der personenbezogenen Daten und gegebenenfalls, ob die Daten aus öffentlich zugänglichen Quellen stammen; und
  7. Die Tatsache automatisierter Entscheidungsfindung gemäß Artikel 22 Absatz 1 und 4 der Verordnung, einschließlich Profiling, sowie zumindest in diesen Fällen Informationen über die angewandte Logik und die erwarteten Auswirkungen auf die betroffene Person.

(3) Wenn der Datenverantwortliche personenbezogene Daten für einen anderen Zweck als den, für den sie erhoben wurden, weiterverarbeiten möchte, muss er die betroffene Person vor einer solchen weiteren Verarbeitung über diesen abweichenden Zweck und alle relevanten zusätzlichen Informationen gemäß Absatz (2) informieren.

(4) Die Absätze (1) bis (3) finden keine Anwendung, wenn und soweit:

  1. die betroffene Person bereits über die Informationen verfügt;
  2. die Bereitstellung dieser Informationen unmöglich ist oder einen unverhältnismäßigen Aufwand erfordern würde, insbesondere für Zwecke des öffentlichen Archivwesens, der wissenschaftlichen oder historischen Forschung oder zu statistischen Zwecken unter Berücksichtigung der in Artikel 89 Absatz 1 genannten Bedingungen und Garantien für die Verarbeitung oder wenn die in diesem Absatz genannte Verpflichtung voraussichtlich die Erreichung der Ziele dieser Verarbeitung unmöglich machen oder ernsthaft beeinträchtigen würde. In solchen Fällen muss der Datenverantwortliche angemessene Maßnahmen ergreifen – einschließlich der Bereitstellung von Informationen für die Öffentlichkeit – zum Schutz der Rechte, Freiheiten und berechtigten Interessen der betroffenen Person;
  3. die Erhebung oder Offenlegung der Daten ausdrücklich durch das anwendbare Unions- oder Mitgliedstaatsrecht vorgeschrieben ist, das angemessene Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsieht; oder
  4. die personenbezogenen Daten aufgrund einer in Unionsrecht oder dem Recht eines Mitgliedstaats vorgesehenen beruflichen Geheimhaltungspflicht, einschließlich einer auf Gesetz beruhenden Geheimhaltungspflicht, vertraulich zu behandeln sind.

Die Zugangsrechte der betroffenen Person

(1) Die betroffene Person hat das Recht, vom Datenverantwortlichen eine Bestätigung darüber zu erhalten, ob ihre personenbezogenen Daten verarbeitet werden, und falls eine solche Verarbeitung stattfindet, Zugang zu den personenbezogenen Daten und zu folgenden Informationen zu erhalten:

  1. die Zwecke der Datenverarbeitung;
  2. die Kategorien der personenbezogenen Daten der betroffenen Person;
  3. die Empfänger oder Kategorien von Empfängern, denen die personenbezogenen Daten offengelegt wurden oder offengelegt werden sollen, einschließlich insbesondere Empfänger in Drittländern oder internationalen Organisationen;
  4. gegebenenfalls die geplante Speicherdauer der personenbezogenen Daten oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
  5. das Recht der betroffenen Person, vom Datenverantwortlichen die Berichtigung, Löschung oder Einschränkung der Verarbeitung der sie betreffenden personenbezogenen Daten zu verlangen, sowie das Recht, gegen die Verarbeitung solcher personenbezogenen Daten Widerspruch zu erheben;
  6. das Recht, bei einer Aufsichtsbehörde Beschwerde einzulegen;
  7. sofern die personenbezogenen Daten nicht von der betroffenen Person erhoben wurden, alle verfügbaren Informationen über deren Herkunft;
  8. die Tatsache automatisierter Entscheidungsfindung gemäß Artikel 22 Absatz 1 und 4 dieser Verordnung, einschließlich Profiling, sowie in diesen Fällen mindestens Informationen über die angewandte Logik sowie die Tragweite und die voraussichtlichen Auswirkungen einer solchen Verarbeitung auf die betroffene Person.

(2) Sollten personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt werden, hat die betroffene Person das Recht, Informationen über die geeigneten Garantien gemäß Artikel 46 zu erhalten.

(3) Der Datenverantwortliche stellt der betroffenen Person eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für weitere Kopien, die von der betroffenen Person angefordert werden, kann der Datenverantwortliche eine angemessene Gebühr auf der Grundlage der Verwaltungskosten erheben. Wenn die betroffene Person die Anfrage elektronisch eingereicht hat, müssen die Informationen in einem weit verbreiteten elektronischen Format bereitgestellt werden, es sei denn, die betroffene Person wünscht ausdrücklich etwas anderes.

Die Rechte auf Berichtigung und Löschung betreffender Personendaten

Das Recht auf Berichtigung

(1) Die betroffene Person ist berechtigt, vom Datenverantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger personenbezogener Daten zu verlangen. Unter Berücksichtigung des Verarbeitungszwecks hat die betroffene Person das Recht, die Vervollständigung unvollständiger personenbezogener Daten – auch mittels einer ergänzenden Erklärung – zu verlangen.

Das Recht auf Löschung (“Recht auf Vergessenwerden”)

(1) Die betroffene Person ist berechtigt, vom Datenverantwortlichen unverzüglich die Löschung sie betreffender personenbezogener Daten zu verlangen. Der Datenverantwortliche ist verpflichtet, personenbezogene Daten der betroffenen Person unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

 

  1. Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.
  2. Die betroffene Person widerruft ihre Einwilligung nach Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a der Verordnung (Einwilligung zur Verarbeitung personenbezogener Daten), und es fehlt an einer anderen Rechtsgrundlage für die Verarbeitung.
  3. Die betroffene Person legt gemäß Artikel 21 Absatz 1 der Verordnung (Widerspruchsrecht) Widerspruch gegen die Verarbeitung ein, und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 der Verordnung (Widerspruch gegen die Verarbeitung personenbezogener Daten für Direktmarketingzwecke) Widerspruch gegen die Verarbeitung ein.
  4. Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.
  5. Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach Unionsrecht oder dem Recht eines Mitgliedstaats erforderlich, dem der Datenverantwortliche unterliegt.
  6. Die personenbezogenen Daten wurden im Zusammenhang mit Diensten der Informationsgesellschaft gemäß Artikel 8 Absatz 1 der Verordnung erhoben.

(2) Wenn der Datenverantwortliche personenbezogene Daten öffentlich gemacht hat und auf Antrag der betroffenen Person zur Löschung verpflichtet ist, unternimmt er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Schritte – einschließlich technischer Maßnahmen –, um die anderen Datenverarbeiter, die diese personenbezogenen Daten verarbeiten, darüber zu informieren, dass die betroffene Person die Löschung von Links zu diesen personenbezogenen Daten oder von Kopien bzw. Reproduktionen dieser Daten beantragt hat.

(3) Die Absätze (1) und (2) sind nicht anwendbar, soweit die Datenverarbeitung erforderlich ist:

  1. zur Ausübung des Rechts auf freie Meinungsäußerung und Information;
  2. zur Erfüllung einer gesetzlichen Verpflichtung, die für den Datenverantwortlichen gemäß dem anwendbaren Unionsrecht oder dem Recht eines Mitgliedstaats besteht, oder zur Ausübung öffentlicher Gewalt, die dem Datenverantwortlichen übertragen wurde und im öffentlichen Interesse liegt;
  3. auf der Grundlage des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 9 Absatz 2 Buchstaben h) und i) sowie Artikel 9 Absatz 3 der Verordnung;
  4. zu Archivzwecken im öffentlichen Interesse, zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken gemäß Artikel 89 Absatz 1 der Verordnung, soweit das in Absatz (1) genannte Recht voraussichtlich die Durchführung dieser Verarbeitung unmöglich machen oder ernsthaft beeinträchtigen würde; oder
  5. zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

 

Az Recht auf Einschränkung der Datenverarbeitung

(1) Die betroffene Person hat das Recht, auf Antrag des Datenverantwortlichen die Verarbeitung einzuschränken, wenn eine der folgenden Bedingungen erfüllt ist:

  1. Die betroffene Person bestreitet die Richtigkeit der personenbezogenen Daten; in diesem Fall bezieht sich die Einschränkung auf den Zeitraum, der es dem Datenverantwortlichen ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen;
  2. Die Verarbeitung ist unrechtmäßig, und die betroffene Person lehnt die Löschung der Daten ab und beantragt stattdessen die Einschränkung ihrer Nutzung;
  3. Der Datenverantwortliche benötigt die personenbezogenen Daten nicht mehr für die Zwecke der Verarbeitung, die betroffene Person benötigt sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen; oder
  4. Die betroffene Person hat gemäß Artikel 21 Absatz 1 der Verordnung der Verarbeitung widersprochen; in diesem Fall bezieht sich die Einschränkung auf den Zeitraum, bis festgestellt wurde, ob die berechtigten Gründe des Datenverantwortlichen Vorrang gegenüber den Gründen der betroffenen Person haben.

(2) Wenn die Verarbeitung gemäß Absatz (1) eingeschränkt ist, dürfen solche personenbezogenen Daten nur mit Zustimmung der betroffenen Person oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer natürlichen oder juristischen Person oder aus Gründen eines wichtigen öffentlichen Interesses der Union oder eines Mitgliedstaats, außer für die Speicherung, verarbeitet werden.

(3) Der Datenverantwortliche informiert die betroffene Person, deren Antrag gemäß Absatz (1) die Einschränkung der Verarbeitung zur Folge hat, im Voraus über die Aufhebung der Einschränkung der Verarbeitung

Die Verpflichtung zur Benachrichtigung im Zusammenhang mit der Berichtigung oder Löschung von personenbezogenen Daten sowie der Einschränkung der Datenverarbeitung

(1) Der Datenverantwortliche informiert jeden Empfänger über die Berichtigung, Löschung oder Einschränkung der Verarbeitung der personenbezogenen Daten, es sei denn, dies erweist sich als unmöglich oder erfordert einen unverhältnismäßigen Aufwand.

(2) Auf Anfrage des Betroffenen informiert der Datenverantwortliche diesen über diese Empfänger.

Das Recht auf Datenübertragbarkeit

(1) Die betroffene Person hat das Recht, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, und sie hat das Recht, diese Daten einem anderen Verantwortlichen ohne Behinderung durch den Verantwortlichen, dem die personenbezogenen Daten bereitgestellt wurden, zu übermitteln, sofern:

 

  1. die Verarbeitung auf einer Einwilligung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a oder auf einem Vertrag gemäß Artikel 6 Absatz 1 Buchstabe b beruht; und
  2. die Verarbeitung automatisiert erfolgt.

(2) Bei der Ausübung des Rechts auf Datenübertragbarkeit gemäß Absatz 1 hat die betroffene Person das Recht, sofern technisch machbar, die unmittelbare Übermittlung der personenbezogenen Daten von einem Verantwortlichen zum anderen zu verlangen.

(3) Die Ausübung des in Absatz 1 genannten Rechts darf Artikel 17 nicht beeinträchtigen. Das genannte Recht gilt nicht, soweit die Verarbeitung zur Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe oder zur Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.

(4) Das Recht gemäß Absatz 1 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

Das Recht auf Widerspruch

  • Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung ihrer personenbezogenen Daten Widerspruch einzulegen, die aufgrund der Ausübung öffentlicher Gewalt oder im öffentlichen Interesse liegenden Aufgaben erfolgt oder die zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich sind (auf der Grundlage von Artikel 6 Absatz 1 Buchstabe e oder f der Verordnung), einschließlich der auf diesen Bestimmungen beruhenden Profilerstellung. In diesem Fall darf der Verantwortliche die personenbezogenen Daten nicht mehr verarbeiten, es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
  • Wenn personenbezogene Daten für Direktwerbung verarbeitet werden, hat die betroffene Person das Recht, jederzeit gegen die Verarbeitung ihrer personenbezogenen Daten zum Zwecke derartiger Werbung, einschließlich der Profilerstellung, Widerspruch einzulegen.
  • Wenn die betroffene Person der Verarbeitung ihrer personenbezogenen Daten zum Zwecke der Direktwerbung widerspricht, dürfen die personenbezogenen Daten nicht mehr für diese Zwecke verarbeitet werden.
  • Das Recht gemäß Absatz 1 und 2 muss spätestens bei der ersten Kontaktaufnahme mit der betroffenen Person ausdrücklich erwähnt und in der entsprechenden Information klar und getrennt von anderen Informationen dargestellt werden.
  • Im Zusammenhang mit der Inanspruchnahme von Diensten der Informationsgesellschaft und abweichend von der Richtlinie 2002/58/EG kann die betroffene Person das Widerspruchsrecht auch durch technische Vorgaben basierend auf automatisierten Mitteln ausüben.
  • Wenn personenbezogene Daten gemäß Artikel 89 Absatz 1 der Verordnung zu wissenschaftlichen oder historischen Forschungszwecken oder für statistische Zwecke verarbeitet werden, hat die betroffene Person das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, gegen die Verarbeitung ihrer personenbezogenen Daten Widerspruch einzulegen, es sei denn, die Verarbeitung ist zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe erforderlich.

Recht auf Befreiung von automatisierten Entscheidungen

(1) Die betroffene Person hat das Recht, nicht einer Entscheidung unterworfen zu sein, die ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruht und ihr gegenüber rechtlicher Wirkung entfaltet oder sie in ähnlich erheblicher Weise betrifft.

(2) Absatz (1) findet keine Anwendung, wenn die Entscheidung:

 

  1. für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist;
  2. durch das Unionsrecht oder das Recht eines Mitgliedstaats, dem der Verantwortliche unterliegt, gestattet ist und dieses Recht geeignete Maßnahmen zum Schutz der Rechte, Freiheiten und berechtigten Interessen der betroffenen Person vorsieht; oder
  3. auf der ausdrücklichen Einwilligung der betroffenen Person beruht.

(3) In den in Absatz (2) Buchstabe a) und c) genannten Fällen ist der Verantwortliche verpflichtet, angemessene Maßnahmen zum Schutz der Rechte, Freiheiten und berechtigten Interessen der betroffenen Person zu ergreifen, einschließlich des Rechts der betroffenen Person, vom Verantwortlichen eine menschliche Intervention zu verlangen, ihren Standpunkt darzulegen und gegen die Entscheidung Einspruch zu erheben.

(4) Entscheidungen gemäß Absatz (2) dürfen nicht auf besonderen Kategorien personenbezogener Daten gemäß Artikel 9 Absatz 1 der Verordnung beruhen, es sei denn, Artikel 9 Absatz 2 Buchstabe a) oder g) ist anwendbar und es wurden geeignete Maßnahmen zum Schutz der Rechte, Freiheiten und berechtigten Interessen der betroffenen Person ergriffen.

 

Die Rechte auf Beschwerde und Rechtsbehelf

Das Recht zur Einreichung einer Beschwerde bei der Aufsichtsbehörde.

(1) Die betroffene Person hat gemäß Artikel 77 der Verordnung das Recht, bei der Aufsichtsbehörde eine Beschwerde einzureichen, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.

(2) Das Recht zur Einreichung einer Beschwerde kann die betroffene Person über die folgenden Kontaktdaten ausüben:

Nationaler Datenschutz- und Informationsfreiheitsbehörde

Adresse: 1125 Budapest, Szilágyi Erzsébet fasor 22/c

Telefon: +36 (1) 391-1400; Fax: +36 (1) 391-1410

Website: http://www.naih.hu

E-Mail: ugyfelszolgalat@naih.hu

(3) Die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, ist verpflichtet, den Kunden über die Verfahrensentwicklungen und das Ergebnis der Beschwerde zu informieren, einschließlich der Tatsache, dass der Kunde gemäß Artikel 78 der Verordnung berechtigt ist, Rechtsbehelfe vor Gericht einzulegen.

Das Recht auf wirksamen gerichtlichen Rechtsbehelf gegenüber der Aufsichtsbehörde

(1) Unbeschadet anderer Verwaltungs- oder außergerichtlicher Rechtsbehelfe ist jede natürliche oder juristische Person berechtigt, einen wirksamen gerichtlichen Rechtsbehelf gegen eine rechtlich verbindliche Entscheidung der Aufsichtsbehörde einzulegen.

(2) Unbeschadet anderer Verwaltungs- oder außergerichtlicher Rechtsbehelfe hat jeder Betroffene das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn die zuständige Aufsichtsbehörde sich nicht mit der Beschwerde befasst oder den Betroffenen nicht innerhalb von drei Monaten über die Verfahrensentwicklungen oder das Ergebnis der Beschwerde gemäß Artikel 77 der Verordnung informiert.

(3) Das Verfahren gegenüber der Aufsichtsbehörde ist vor dem Gericht des Mitgliedstaats einzuleiten, in dem die Aufsichtsbehörde ihren Sitz hat.

(4) Falls gegen eine Entscheidung der Aufsichtsbehörde vorgegangen wird, zu der der Ausschuss im Rahmen des Kohärenzverfahrens bereits eine Stellungnahme abgegeben oder eine Entscheidung getroffen hat, ist die Aufsichtsbehörde verpflichtet, diese Stellungnahme oder Entscheidung dem Gericht zu übermitteln.

Das Recht auf wirksamen gerichtlichen Rechtsbehelf gegenüber dem Datenverantwortlichen oder dem Auftragsverarbeiter

(1) Unbeschadet anderer Verwaltungs- oder außergerichtlicher Rechtsbehelfe – einschließlich des Rechts, bei der Aufsichtsbehörde gemäß Artikel 77 Beschwerde zu erheben – ist jeder Betroffene berechtigt, einen wirksamen gerichtlichen Rechtsbehelf einzulegen, wenn er der Ansicht ist, dass seine Rechte gemäß dieser Verordnung aufgrund einer nicht den Bestimmungen dieser Verordnung entsprechenden Verarbeitung seiner personenbezogenen Daten verletzt wurden.

(2) Das Verfahren gegenüber dem Datenverantwortlichen oder dem Auftragsverarbeiter ist vor dem Gericht des Mitgliedstaats einzuleiten, in dem der Datenverantwortliche oder der Auftragsverarbeiter seinen Sitz hat. Ein solches Verfahren kann auch vor dem Gericht des Mitgliedstaats eingeleitet werden, in dem der Betroffene seinen gewöhnlichen Aufenthalt hat, es sei denn, der Datenverantwortliche oder der Auftragsverarbeiter handelt als öffentliche Stelle im Rahmen der Ausübung öffentlicher Gewalt eines Mitgliedstaats

Beschränkungen

(1) Die Rechte und Pflichten gemäß Artikel 5 in Bezug auf die Rechte und Pflichten gemäß den Artikeln 12 bis 22 und 34 können durch Rechtsvorschriften der Union oder der Mitgliedstaaten eingeschränkt werden, die auf die in den genannten Artikeln festgelegten Rechte und Pflichten abgestimmt sind, wenn die Beschränkung den wesentlichen Inhalt der Grundrechte und -freiheiten wahrt und in einer demokratischen Gesellschaft als notwendige und angemessene Maßnahme zum Schutz der folgenden Interessen erfolgt:

  1. nationale Sicherheit;
  2. Verteidigung;
  3. öffentliche Sicherheit;
  4. Vorbeugung, Untersuchung, Aufdeckung oder Strafverfolgung von Straftaten oder Vollstreckung strafrechtlicher Sanktionen, einschließlich des Schutzes vor Bedrohungen der öffentlichen Sicherheit und der Verhinderung solcher Bedrohungen;
  5. andere wichtige allgemeine Interessen der Union oder eines Mitgliedstaates, insbesondere wichtige wirtschaftliche oder finanzielle Interessen der Union oder eines Mitgliedstaates, einschließlich Fragen der Währung, des Haushalts und der Besteuerung, der öffentlichen Gesundheit und der sozialen Sicherheit;
  6. Unabhängigkeit der Justiz und Schutz der gerichtlichen Verfahren;
  7. ethische Verstöße in regulierten Berufen zu verhindern, zu untersuchen, aufzudecken und die entsprechenden Verfahren durchzuführen;
  8. in den in den Buchstaben a) bis e) und g) genannten Fällen gegebenenfalls die Kontroll-, Untersuchungs- oder Regelungstätigkeiten im Zusammenhang mit der Ausübung öffentlicher Aufgaben;
  9. Schutz des Betroffenen oder Schutz der Rechte und Freiheiten anderer Personen;
  10. Durchsetzung zivilrechtlicher Ansprüche.

(2) Die in Absatz 1 genannten Rechtsvorschriften enthalten gegebenenfalls mindestens folgende detaillierte Bestimmungen:

  1. Zweck oder Kategorien der Verarbeitung;
  2. Kategorien personenbezogener Daten;
  3. Geltungsbereich der eingeführten Einschränkungen;
  4. Garantien zur Verhinderung von Missbrauch, unbefugtem Zugriff oder Weitergabe;
  5. Bestimmung des Datenverantwortlichen oder der Kategorien von Datenverantwortlichen;
  6. Aufbewahrungsfristen und anwendbare Garantien unter Berücksichtigung der Art, des Geltungsbereichs und der Zwecke der Verarbeitung oder der Kategorien von Verarbeitungen;
  7. Risiken für die Rechte und Freiheiten der betroffenen Personen;
  8. Recht der betroffenen Personen auf Information über die Beschränkung, es sei denn, dies könnte das Ziel der Beschränkung beeinträchtigen.

 

Informationen über Datenschutzverletzungen

(1) Wenn der Datenschutzvorfall voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen birgt, informiert der Datenverantwortliche die betroffene Person unverzüglich über den Datenschutzvorfall.

(2) Die in Absatz 1 genannte Information für die betroffene Person muss klar und verständlich die Art des Datenschutzvorfalls beschreiben und mindestens den Namen und die Kontaktdaten des Datenschutzbeauftragten oder eines anderen Ansprechpartners für weitere Informationen, die wahrscheinlichen Folgen des Datenschutzvorfalls, die vom Datenverantwortlichen ergriffenen oder geplanten Maßnahmen zur Behebung des Datenschutzvorfalls, einschließlich möglicher Maßnahmen zur Minderung nachteiliger Folgen des Datenschutzvorfalls, umfassen.

(3) Die betroffene Person muss gemäß Absatz 1 nicht informiert werden, wenn eine der folgenden Bedingungen erfüllt ist:

  1. Der Datenverantwortliche hat angemessene technische und organisatorische Schutzmaßnahmen ergriffen, die auf die vom Datenschutzvorfall betroffenen Daten angewendet wurden, insbesondere Maßnahmen wie die Anwendung von Verschlüsselung, die unberechtigten Personen den Zugriff auf die Daten unverständlich machen.
  2. Der Datenverantwortliche hat nach dem Datenschutzvorfall zusätzliche Maßnahmen ergriffen, um sicherzustellen, dass das für die Rechte und Freiheiten der betroffenen Person gemeldete hohe Risiko gemäß Absatz 1 wahrscheinlich nicht mehr eintritt.
  3. Eine Benachrichtigung würde unverhältnismäßigen Aufwand erfordern. In solchen Fällen sollten die Betroffenen über öffentlich verfügbare Informationen informiert werden oder es sollte eine ähnliche Maßnahme ergriffen werden, um eine ähnlich effektive Information der Betroffenen sicherzustellen.

(4) Falls der Datenverantwortliche die betroffene Person noch nicht über den Datenschutzvorfall informiert hat, kann die Aufsichtsbehörde, nachdem geprüft wurde, ob der Datenschutzvorfall wahrscheinlich mit einem hohen Risiko verbunden ist, die Benachrichtigung der betroffenen Person anordnen oder feststellen, dass eine der in Absatz 3 genannten Bedingungen erfüllt ist.

  1. VERFAHREN BEI ANTRÄGEN VON BETROFFENEN

(1) Das Unternehmen erleichtert die Ausübung der Rechte der betroffenen Person und darf die Erfüllung eines Antrags zur Ausübung der in dieser Datenschutzerklärung festgelegten Rechte der betroffenen Person nicht ablehnen, es sei denn, es kann nachweisen, dass es nicht möglich ist, die betroffene Person zu identifizieren.

(2) Das Unternehmen informiert die betroffene Person unverzüglich, jedoch spätestens innerhalb eines Monats nach Eingang des Antrags, über die aufgrund des Antrags getroffenen Maßnahmen. Gegebenenfalls kann diese Frist auf insgesamt drei Monate verlängert werden, unter Berücksichtigung der Komplexität des Antrags und der Anzahl der Anträge. Über die Verlängerung der Frist informiert der Datenverantwortliche die betroffene Person innerhalb eines Monats nach Eingang des Antrags unter Angabe der Gründe für die Verzögerung.

(3) Wenn der Antrag elektronisch eingereicht wurde, erfolgt die Mitteilung nach Möglichkeit ebenfalls elektronisch, es sei denn, die betroffene Person wünscht dies anders.

(4) Wenn das Unternehmen keine Maßnahmen aufgrund des Antrags der betroffenen Person ergreift, informiert es diese unverzüglich, jedoch spätestens innerhalb eines Monats nach Eingang des Antrags über die Gründe für die Unterlassung von Maßnahmen sowie über das Recht der betroffenen Person, bei der Aufsichtsbehörde eine Beschwerde einzureichen und von ihrem Recht auf gerichtlichen Rechtsbehelf Gebrauch zu machen.

(5) Das Unternehmen stellt die folgenden Informationen und Maßnahmen kostenlos zur Verfügung: Rückmeldung zur Verarbeitung personenbezogener Daten, Zugang zu den verarbeiteten Daten, Berichtigung, Ergänzung, Löschung von Daten, Einschränkung der Datenverarbeitung, Datenübertragbarkeit, Widerspruch gegen die Datenverarbeitung, Information über Datenschutzverletzungen.

(6) Wenn der Antrag der betroffenen Person eindeutig unbegründet ist oder aufgrund seines wiederholten Charakters übermäßig ist und damit zusätzliche Verwaltungskosten für die Bereitstellung der angeforderten Informationen oder Maßnahmen entstehen, kann der Datenverantwortliche eine Gebühr in Höhe von 5000.- Ft erheben oder die Bearbeitung des Antrags verweigern.

(7) Die Beweislast für die eindeutig unbegründete oder übermäßige Natur des Antrags liegt beim Datenverantwortlichen.

(8) Unbeschadet der Bestimmungen des Artikels 11 der Verordnung kann der Datenverantwortliche bei begründeten Zweifeln an der Identität einer natürlichen Person, die einen Antrag gemäß den Artikeln 15 bis 21 der Verordnung stellt, zusätzliche Informationen zur Bestätigung der Identität der betroffenen Person anfordern.

  1. VERFAHREN BEI EINEM DATENSCHUTZVORFALL (PERSONENBEZOGENER DATENVORFALL)

(1) Ein Datenschutzvorfall gemäß der Verordnung ist eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Zerstörung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von übermittelten, gespeicherten oder auf andere Weise verarbeiteten personenbezogenen Daten oder zum unbefugten Zugang zu diesen Daten führt.

(2) Ein Datenschutzvorfall liegt vor, wenn ein Gerät (Laptop, Mobiltelefon), das personenbezogene Daten enthält, verloren geht oder gestohlen wird. Es liegt auch vor, wenn der Code zur Entschlüsselung einer Datei des Datenverantwortlichen verloren geht oder unzugänglich wird, eine Ransomware-Infektion vorliegt, die Daten unzugänglich macht, bis ein Lösegeld gezahlt wird, ein Angriff auf das Informationssystem erfolgt, versehentlich persönliche Daten in einer E-Mail gesendet werden oder eine Adressliste öffentlich gemacht wird usw.

(3) Bei Feststellung eines Datenschutzvorfalls führt der Vertreter des Unternehmens unverzüglich eine Untersuchung zur Identifizierung des Datenschutzvorfalls und der möglichen Folgen durch. Es sind die erforderlichen Maßnahmen zur Schadensbegrenzung zu ergreifen.

(4) Der Datenschutzvorfall ist unverzüglich und, sofern möglich, innerhalb von 72 Stunden nach Kenntnisnahme des Datenschutzvorfalls der zuständigen Aufsichtsbehörde zu melden, es sei denn, der Datenschutzvorfall birgt voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen. Wird die Meldung nicht innerhalb von 72 Stunden vorgenommen, sind die Gründe für die Verzögerung beizufügen.

(5) Der Auftragsverarbeiter meldet den Datenschutzvorfall unverzüglich nach Kenntnisnahme ebenfalls dem Datenverantwortlichen.

(6) In der gemäß Absatz (3) genannten Meldung sind mindestens:

  1. die Art des Datenschutzvorfalls zu beschreiben, einschließlich – soweit möglich – der Kategorien und ungefähren Anzahl betroffener Personen sowie der Kategorien und ungefähren Anzahl betroffener Daten;
  2. der Name und die Kontaktdaten des Datenschutzbeauftragten oder eines anderen Ansprechpartners für weitere Informationen anzugeben;
  3. die wahrscheinlichen Folgen des Datenschutzvorfalls zu erläutern;
  4. die vom Datenverantwortlichen ergriffenen oder geplanten Maßnahmen zur Behebung des Datenschutzvorfalls zu beschreiben, einschließlich gegebenenfalls von Maßnahmen zur Milderung möglicher nachteiliger Folgen des Datenschutzvorfalls.

(7) Wenn und soweit eine sofortige Mitteilung nicht möglich ist, können die Informationen ohne weitere unangemessene Verzögerung später schrittweise mitgeteilt werden.

(8) Der Datenverantwortliche führt eine Liste der Datenschutzvorfälle, in der die mit dem Datenschutzvorfall verbundenen Fakten, dessen Auswirkungen und die ergriffenen Maßnahmen zur Behebung vermerkt sind. Diese Liste ermöglicht der Aufsichtsbehörde die Überprüfung der Einhaltung der Anforderungen gemäß Artikel 33 der Verordnung, ohne dass dadurch Artikel 11 der Verordnung verletzt wird.

 

VII. DATENVERARBEITUNG IM ZUSAMMENHANG MIT DER WEBSITE

Informationen zur Datenverarbeitung der Website-Besucher durch das Unternehmen

(1) Während des Besuchs auf der Website des Unternehmens wird ein oder mehrere Cookies – kleine Informationspakete, die vom Server an den Browser gesendet und bei jeder Anfrage an den Server vom Browser zurückgesendet werden – an den Computer der Person gesendet, die die Website besucht. Dadurch kann der Browser eindeutig identifiziert werden, sofern die betreffende Person nach einer klaren und eindeutigen Information ihre ausdrückliche (aktive) Einwilligung zur weiteren Nutzung der Website durch ihr Browsing-Verhalten gegeben hat.

(2) Die Cookies dienen ausschließlich zur Verbesserung der Benutzererfahrung und zur Automatisierung des Anmeldevorgangs. Die auf der Website verwendeten Cookies speichern keine personenbezogenen Identifikationsinformationen und das Unternehmen führt in diesem Zusammenhang keine persönliche Datenverarbeitung durch.

 

Registrierung, Newsletter-Abonnement

(1) Die Rechtsgrundlage für die Datenverarbeitung im Falle einer Registrierung oder eines Newsletter-Abonnements ist die Einwilligung der betroffenen Person, die sie nach Erhalt der Informationen zur Verarbeitung ihrer Daten durch Ankreuzen des Kontrollkästchens neben dem Text “Registrierung” bzw. “Newsletter-Abonnement” auf der Website des Unternehmens erteilt.

(2) Der betroffene Personenkreis bei einer Registrierung oder einem Newsletter-Abonnement umfasst alle natürlichen Personen, die sich für den Newsletter des Unternehmens anmelden möchten oder sich auf der Website registrieren möchten und ihre Zustimmung zur Verarbeitung ihrer personenbezogenen Daten geben.

(3) Der Umfang der verarbeiteten Daten bei einem Newsletter-Abonnement umfasst: Name, E-Mail-Adresse.

(4) Der Umfang der verarbeiteten Daten bei einer Registrierung umfasst: Name, Adresse, E-Mail-Adresse, Telefonnummer, Login-Passwort.

(5) Der Zweck der Datenverarbeitung bei einem Newsletter-Abonnement ist die Information der betroffenen Person über die Dienstleistungen, Produkte, Änderungen in diesen, Neuigkeiten und Veranstaltungen des Unternehmens.

(6) Der Zweck der Datenverarbeitung bei einer Registrierung ist die Kontaktaufnahme zur Vorbereitung eines Vertragsabschlusses, die Bereitstellung kostenloser Dienste auf der Website für die betroffene Person und der Zugang zu nicht öffentlichen Inhalten der Webseite.

(7) Die Empfänger der Daten (die Zugang zu den Daten haben) im Falle eines Newsletter-Abonnements oder einer Registrierung sind: der Geschäftsführer des Unternehmens, Mitarbeiter des Kundenservice, Mitarbeiter des Datenverarbeiters, der den Betrieb der Website des Unternehmens durchführt.

(8) Die Dauer der Datenverarbeitung im Falle eines Newsletter-Abonnements oder einer Registrierung: Im Falle eines Newsletter-Abonnements bis zur Abmeldung und im Falle einer Registrierung bis zur Löschung auf Antrag der betroffenen Person.

(9) Die betroffene Person kann sich jederzeit vom Newsletter abmelden oder die Löschung ihrer Registrierung (ihrer personenbezogenen Daten) beantragen. Die Abmeldung vom Newsletter erfolgt durch Klicken auf den Abmelde-Link in den per E-Mail gesendeten Nachrichten oder durch Zusendung eines postalischen Schreibens an den Unternehmenssitz.

 

Datenverarbeitung im Zusammenhang mit Direktmarketing-Aktivitäten

(1) Die Rechtsgrundlage für die Datenverarbeitung zu Zwecken des Direktmarketings durch das Unternehmen beruht auf der Einwilligung der betroffenen Person, die eindeutig und ausdrücklich ist. Die betroffene Person gibt ihre eindeutige und ausdrückliche vorherige Einwilligung zur Verarbeitung ihrer Daten zu Direktmarketingzwecken, indem sie das Kontrollkästchen neben dem Text zur Einwilligung in Direktmarketing-Kontaktaufnahmen auf der Website des Unternehmens ankreuzt, nachdem sie über die Verarbeitung ihrer Daten informiert wurde.

(2) Die Einwilligung der betroffenen Person kann auch schriftlich erfolgen, indem das Datenblatt ausgefüllt wird, das Teil des Anhangs 2 dieser Richtlinie ist.

(3) Betroffene Personengruppe: Alle natürlichen Personen, die eine eindeutige und ausdrückliche Einwilligung zur Verarbeitung ihrer persönlichen Daten für Direktmarketingzwecke des Unternehmens erteilen.

(4) Zwecke der Datenverarbeitung: Versand von Werbematerial und Angeboten im Zusammenhang mit Dienstleistungen und Produktverkäufen sowie Benachrichtigung über Aktionen auf elektronischem oder postalischem Weg.

(5) Empfänger der persönlichen Daten: Geschäftsführer des Unternehmens und Mitarbeiter, die aufgrund ihrer Tätigkeit im Kundenservice und im Marketingbereich tätig sind.

(6) Umfang der verarbeiteten persönlichen Daten: Name, Adresse, Telefonnummer, E-Mail-Adresse.

(7) Dauer der Datenverarbeitung: Die Verarbeitung personenbezogener Daten für Direktmarketingzwecke erfolgt bis zum Widerruf durch die betroffene Person.

 

Datenverarbeitung im Zusammenhang mit dem Online-Shop

(1) Die oben genannten Bestimmungen gelten für die Datenverarbeitung im Zusammenhang mit der Registrierung im Online-Shop, der Anmeldung zum Newsletter und der Information der Besucher.

(2) Online-Verträge (Käufe) auf der Website des Unternehmens unterliegen dem ungarischen Gesetz Nr. CVIII von 2001 (Eker tv.). Daher dient die Datenverarbeitung neben den genannten Zielen auch der Erfüllung der gesetzlich vorgeschriebenen Verpflichtungen zur Verbraucherinformation, dem Nachweis des Vertragsabschlusses, der Vertragsgestaltung, -änderung und -überwachung sowie der Abrechnung der daraus resultierenden Gebühren und der Durchsetzung von damit verbundenen Ansprüchen.

(3) Bei Einkäufen im Online-Shop bildet die Vertragsdurchführung und die Erfüllung rechtlicher Verpflichtungen die Rechtsgrundlage für die Datenverarbeitung.

(4) Kategorien der betroffenen Daten: Name der Käufer, Adresse, Telefonnummer, Login-Passwort, Bankverbindung.

(5) Kategorien der betroffenen Personen: Jede natürliche Person, die sich im Online-Shop des Unternehmens registriert, den Newsletter abonniert oder einen Kauf tätigt.

(6) Kategorien der Empfänger der Daten: Geschäftsführer des Unternehmens, Mitarbeiter im Kundenkontakt und Vertrieb, Mitarbeiter des Datenverarbeiters, der den Betrieb der Website des Unternehmens unterstützt, sowie Mitarbeiter der Buchhaltung des Unternehmens und des datenverarbeitenden Dienstleisters, die für diese Aufgaben zuständig sind.

(7) Der Ort der Datenverarbeitung ist der Sitz des Unternehmens.

(8) Die Dauer der Datenverarbeitung beträgt 5 Jahre ab Beendigung des Vertrags.

 

VIII. DATENVERARBEITUNG IM ZUSAMMENHANG MIT DER VERTRAGSERFÜLLUNG

(1) Das Unternehmen verarbeitet die personenbezogenen Daten natürlicher Personen – Kunden, Käufer, Lieferanten – im Zusammenhang mit der vertraglichen Beziehung. Die betroffenen Personen müssen über die Verarbeitung ihrer personenbezogenen Daten informiert werden.

(2) Kreis der Betroffenen: Alle natürlichen Personen, die eine vertragliche Beziehung mit dem Unternehmen eingehen.

(3) Die Rechtsgrundlage der Datenverarbeitung ist die Vertragserfüllung, deren Zweck die Aufrechterhaltung der Kommunikation, die Durchsetzung von Vertragsansprüchen und die Gewährleistung der Erfüllung vertraglicher Verpflichtungen ist.

(4) Empfänger der personenbezogenen Daten: Geschäftsführer des Unternehmens, Mitarbeiter im Kundenservice und Buchhaltung, die entsprechende Aufgaben aufgrund ihrer Position ausführen, sowie externe Datenverarbeiter.

(5) Kategorien der verarbeiteten personenbezogenen Daten: Name, Adresse, Firmensitz, Telefonnummer, E-Mail-Adresse, Steuernummer, Bankverbindung, Unternehmens- und landwirtschaftliche Registrierungsnummern.

(6) Dauer der Datenverarbeitung: 5 Jahre ab Beendigung des Vertrags.

  1. INFORMATIONEN ZUR DATENVERARBEITUNG MIT DEM EINSATZ EINES ELEKTRONISCHEN ÜBERWACHUNGSSYSTEMS

(1) Unser Unternehmen betreibt in den Kundenbereichen/Eigentumsbereichen sowie den dazugehörigen Einheiten ein elektronisches Überwachungs- und Aufzeichnungssystem (Kamerasystem). Beim Betreten des überwachten Bereichs (Raums) mit dem entsprechenden Hinweisschild wird das elektronische Überwachungssystem das Bild und die Handlungen der betroffenen Person aufzeichnen.

(2) Die Rechtsgrundlage der Kamerabeobachtung ist die freiwillige Einwilligung der betroffenen Person aufgrund der Informationen, die unser Unternehmen in Form von Hinweisschildern angebracht hat. Die Einwilligung der betroffenen Person kann auch durch ausdrückliches verhaltensorientiertes Handeln erfolgen. Ein solches ausdrückliches verhaltensorientiertes Handeln liegt vor, wenn die betroffene Person den überwachten Raum/Bereich betritt oder sich darin aufhält. Wenn Sie Ihre Einwilligung nicht erteilen möchten, betreten Sie bitte nicht die Räume/Bereiche oder Einheiten, die mit dem Hinweisschild markiert sind.

(3) Der Zweck der Aufzeichnungen liegt im Schutz menschlichen Lebens, körperlicher Unversehrtheit, persönlicher Freiheit, im Schutz von Geschäftsgeheimnissen, der Verhinderung und Erkennung von Rechtsverstößen, der Beweissicherung von Rechtsverletzungen, der Dokumentation möglicher Unfälle im Kundenbereich sowie zur Erfüllung von Versicherungsaufgaben zum Schutz des für die Öffentlichkeit zugänglichen privaten Bereichs. Das elektronische Überwachungssystem zeichnet keinen Ton auf.

(4) Die Rechtsgrundlage der Kamerabeobachtung ist die freiwillige Einwilligung der betroffenen Person aufgrund der Informationen, die unser Unternehmen in Form von Hinweisschildern angebracht hat. Die Einwilligung der betroffenen Person kann auch durch ausdrückliches verhaltensorientiertes Handeln erfolgen. Ein solches ausdrückliches verhaltensorientiertes Handeln liegt vor, wenn die betroffene Person den überwachten Raum/Bereich betritt oder sich darin aufhält.

(5) Der Speicherort der durch das elektronische Überwachungssystem aufgezeichneten Aufnahmen (personenbezogene Daten) ist der Hauptsitz unseres Unternehmens, und die Aufbewahrungsfrist für die Aufnahmen beträgt 3 Arbeitstage ab dem Zeitpunkt der Aufzeichnung.

(6) Der Umfang der verarbeiteten Daten umfasst das aufgezeichnete Bild der betroffenen Person und andere personenbezogene Daten des betroffenen Individuums, die vom betriebenen Kamerasystem erfasst werden.

(7) Personenbezogene Daten, die durch die Kameraaufzeichnung erfasst wurden, können eingesehen werden durch: den Leiter des Unternehmens, Mitarbeiter, die das Kamerasystem betreiben, und Datenverarbeiter zur Aufklärung von Rechtsverstößen und zur Überprüfung des Systembetriebs.

  1. BESTIMMUNGEN ZUR DATENSICHERHEIT

(1) Das Unternehmen darf personenbezogene Daten nur entsprechend den in dieser Richtlinie festgelegten Aktivitäten und gemäß dem Zweck der Datenverarbeitung verarbeiten.

(2) Das Unternehmen sorgt für die Sicherheit der Daten und verpflichtet sich daher, alle technischen und organisatorischen Maßnahmen zu ergreifen, die unerlässlich sind, um die Vorschriften zum Datenschutz und zur Geheimhaltung sowie die Bestimmungen zum Datenschutz durchzusetzen. Es wird auch Verfahrensregeln schaffen, die zur Durchsetzung der oben genannten gesetzlichen Bestimmungen erforderlich sind.

(3) Das Unternehmen schützt die Daten durch angemessene Maßnahmen vor unbefugtem Zugriff, Änderung, Weitergabe, Offenlegung, Löschung oder Zerstörung sowie vor zufälliger Zerstörung und Beschädigung sowie vor der Unzugänglichkeit aufgrund von Änderungen in der angewandten Technologie.

(4) Die vom Unternehmen zur Gewährleistung der Datensicherheit durchzuführenden technischen und organisatorischen Maßnahmen werden in den Datenschutzrichtlinien des Unternehmens festgehalten.

(5) Bei der Festlegung und Anwendung von Maßnahmen zum Schutz der Daten berücksichtigt das Unternehmen den aktuellen Stand der Technik. Sofern mehrere mögliche Datenverarbeitungslösungen vorhanden sind, wählt das Unternehmen die Lösung, die einen höheren Schutz personenbezogener Daten gewährleistet, es sei denn, dies wäre unverhältnismäßig schwierig.

  1. REGELN ZUR DATENVERARBEITUNG
  2. Allgemeine Regeln zur Datenverarbeitung

(1) Die Rechte und Pflichten des Datenverarbeiters im Zusammenhang mit der Verarbeitung personenbezogener Daten werden vom Datenverantwortlichen im Rahmen des Gesetzes und der speziellen Gesetze zur Datenverarbeitung festgelegt.

(2) Das Unternehmen erklärt, dass der Datenverarbeiter keine Kompetenz zur Entscheidungsfindung in Bezug auf die wesentliche Datenverarbeitung hat. Er darf personenbezogene Daten, von denen er Kenntnis erlangt hat, nur gemäß den Anweisungen des Datenverantwortlichen verarbeiten, darf keine Datenverarbeitung für eigene Zwecke durchführen und ist verpflichtet, die personenbezogenen Daten gemäß den Anweisungen des Datenverantwortlichen zu speichern und aufzubewahren.

(3) Die Rechtmäßigkeit der Anweisungen für die Datenverarbeitungsoperationen liegt in der Verantwortung des Unternehmens gegenüber dem Datenverarbeiter.

(4) Das Unternehmen ist verpflichtet, die Betroffenen über die Identität des Datenverarbeiters und den Ort der Datenverarbeitung zu informieren.

(5) Das Unternehmen erteilt dem Datenverarbeiter keine Genehmigung zur weiteren Inanspruchnahme von Datenverarbeitern.

(6) Der Vertrag zur Datenverarbeitung muss schriftlich festgelegt werden. Organisationen, die in Geschäftstätigkeiten involviert sind, die die zu verarbeitenden personenbezogenen Daten verwenden, dürfen nicht mit der Datenverarbeitung beauftragt werden.

Ausgestellt in Budapest am 25. Mai 2018.