Sághy-Sat Kft. :: Datenschutz- und Datenverarbeitungsrichtlinie

saghysat.hu für Besucher und registrierte Nutzer der Website

Download

datenschutzhinweis_gdpr.pdf
datenschutzordnung_gdpr.pdf

Anwendung der Datenschutzordnung

Name der Organisation:	Sághy-Sat Kft
Sitz der Organisation:	7754 Bóly, Ady Endre u. 9
Für den Inhalt der Ordnung verantwortliche Person:	Ferenc Sághy
Datum des Inkrafttretens der Ordnung:	25.05.2018

Diese Ordnung legt Regeln für den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und für den freien Verkehr personenbezogener Daten fest. Die Bestimmungen dieser Ordnung sind bei konkreten Datenverarbeitungstätigkeiten sowie bei der Herausgabe von Anweisungen und Informationen zur Regelung der Datenverarbeitung anzuwenden.

Die Pflicht zur Beschäftigung (Benennung) eines Datenschutzbeauftragten erstreckt sich auf alle Behörden oder sonstigen öffentlichen Stellen (unabhängig davon, welche Daten sie verarbeiten) sowie auf sonstige Organisationen, deren Kerntätigkeit in der systematischen, weitreichenden Überwachung von Personen besteht oder die besondere Kategorien personenbezogener Daten in großem Umfang verarbeiten.

Die Organisation beschäftigt einen Datenschutzbeauftragten.

Im Falle der Beschäftigung eines Datenschutzbeauftragten:

Name:	Ferenc Sághy
Position:	Geschäftsführer
Kontaktinformationen:	69-368-162

Geltungsbereich der Ordnung

Diese Ordnung gilt bis auf Widerruf; ihr Geltungsbereich erstreckt sich auf die Organe, Mitarbeiter der Organisation und den Datenschutzbeauftragten der Organisation.

Datum: Bóly, 23.05.2018

Zweck der Ordnung

Der Zweck dieser Ordnung besteht darin, die Bestimmungen anderer interner Regelungen der Organisation in Bezug auf Datenverarbeitungstätigkeiten zu harmonisieren, um die Grundrechte und Grundfreiheiten natürlicher Personen zu schützen und die ordnungsgemäße Verarbeitung personenbezogener Daten zu gewährleisten.

Die Organisation beabsichtigt, bei ihren Tätigkeiten den gesetzlichen Vorschriften zur Verarbeitung personenbezogener Daten, insbesondere den Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates, vollumfänglich zu entsprechen.

Ein wichtiger Zweck der Herausgabe dieser Ordnung ist zudem, dass die Mitarbeiter der Organisation durch deren Kenntnis und Einhaltung in der Lage sind, die Verarbeitung der Daten natürlicher Personen rechtmäßig durchzuführen.

Wichtige Begriffe und Definitionen

Die DSGVO (Datenschutz-Grundverordnung) ist die neue Datenschutzverordnung der Europäischen Union.

Verantwortlicher: die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien für seine Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

Verarbeitung: jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

Auftragsverarbeiter: eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;

Personenbezogene Daten: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;

Dritter: eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten;

Einwilligung der betroffenen Person: jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;

Einschränkung der Verarbeitung: die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken;

Pseudonymisierung: die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden;

Dateisystem: jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, gleichgültig, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;

Verletzung des Schutzes personenbezogener Daten: eine Verletzung der Sicherheit, die im Zusammenhang mit im Rahmen der Bereitstellung von öffentlich zugänglichen Elektronischen Kommunikationsdiensten übertragenen, gespeicherten oder auf andere Weise verarbeiteten personenbezogenen Daten zur zufälligen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu diesen Daten führt;

Grundsätze der Datenverarbeitung

Personenbezogene Daten müssen auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden.

Personenbezogene Daten dürfen nur für festgelegte, eindeutige und rechtmäßige Zwecke erhoben werden.

Der Zweck der Verarbeitung personenbezogener Daten muss angemessen, erheblich und auf das notwendige Maß beschränkt sein.

Personenbezogene Daten müssen sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein. Ungenaue personenbezogene Daten müssen unverzüglich gelöscht werden.

Personenbezogene Daten müssen in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es erforderlich ist. Eine längere Speicherung personenbezogener Daten darf nur erfolgen, wenn die Speicherung ausschließlich für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke erfolgt.

Personenbezogene Daten müssen in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Vernichtung oder unbeabsichtigter Schädigung durch geeignete technische oder organisatorische Maßnahmen.

Die Grundsätze des Datenschutzes sollten für alle Informationen gelten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Der die Datenverarbeitung durchführende Mitarbeiter der Organisation trägt die disziplinarische, finanzielle, ordnungswidrigkeitenrechtliche und strafrechtliche Verantwortung für den rechtmäßigen Umgang mit personenbezogenen Daten. Wenn der Mitarbeiter feststellt, dass die von ihm verarbeiteten personenbezogenen Daten fehlerhaft, unvollständig oder veraltet sind, ist er verpflichtet, diese zu berichtigen oder deren Berichtigung bei dem für die Datenerfassung verantwortlichen Mitarbeiter zu veranlassen.

Verarbeitung personenbezogener Daten

Da natürliche Personen mit Online-Kennungen verknüpft werden können, die von ihren Geräten, Anwendungen, Tools und Protokollen bereitgestellt werden, wie etwa IP-Adressen und Cookie-Kennungen, können diese Daten in Kombination mit anderen Informationen dazu verwendet werden, Profile natürlicher Personen zu erstellen und diese Personen zu identifizieren.

Eine Datenverarbeitung darf nur erfolgen, wenn die betroffene Person durch eine eindeutige bestätigende Handlung, beispielsweise durch eine schriftliche – einschließlich auf elektronischem Wege abgegebene – oder mündliche Erklärung, ihre freiwillige, spezifische, informierte und unmissverständliche Einwilligung in die Verarbeitung der Daten erteilt.

Eine Einwilligung in die Datenverarbeitung liegt auch dann vor, wenn die betroffene Person beim Betrachten der Website ein entsprechendes Kontrollkästchen anklickt. Schweigen, bereits angekreuzte Kontrollkästchen oder Untätigkeit stellen keine Einwilligung dar.

Eine Einwilligung liegt auch dann vor, wenn ein Nutzer bei der Nutzung elektronischer Dienste entsprechende technische Einstellungen vornimmt oder eine Erklärung abgibt oder Handlung vornimmt, die in dem jeweiligen Kontext die Einwilligung der betroffenen Person in die Verarbeitung ihrer personenbezogenen Daten eindeutig signalisiert.

Zu den Gesundheitsdaten gehören personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person beziehen und aus denen Informationen über deren vergangenen, gegenwärtigen oder künftigen Gesundheitszustand hervorgehen. Dazu gehören:

die Registrierung zum Zwecke der Erbringung von Gesundheitsdienstleistungen;
eine der natürlichen Person für gesundheitliche Zwecke zugewiesene Nummer, ein Symbol oder ein Kennzeichen zur eindeutigen Identifizierung;
Informationen, die aus der Prüfung oder Untersuchung eines Körperteils oder einer körpereigenen Substanz abgeleitet wurden, einschließlich genetischer Daten und biologischer Proben;
Informationen über eine Krankheit, eine Behinderung, ein Krankheitsrisiko, eine Krankengeschichte, eine klinische Behandlung oder den physiologischen oder biomedizinischen Zustand der betroffenen Person unabhängig von ihrer Quelle, wie beispielsweise von einem Arzt oder sonstigen im Gesundheitswesen Tätigen, einem Krankenhaus, einem Medizinprodukt oder einem In-vitro-Diagnostikum.

Genetische Daten sollten als personenbezogene Daten definiert werden, die sich aus den ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person ergeben und aus der Analyse einer biologischen Probe der betreffenden natürlichen Person gewonnen wurden, insbesondere durch Chromosomenanalyse, DNA- oder RNA-Untersuchung oder die Untersuchung jedes anderen Elements, das den Erhalt gleichwertiger Informationen ermöglicht.

Kinder verdienen besonderen Schutz in Bezug auf ihre personenbezogenen Daten, da sie sich der Risiken, Folgen und Garantien sowie ihrer Rechte im Zusammenhang mit der Verarbeitung personenbezogener Daten möglicherweise weniger bewusst sind. Dieser besondere Schutz sollte insbesondere für die Verwendung personenbezogener Daten von Kindern für Marketingzwecke oder für die Erstellung von Persönlichkeits- oder Nutzerprofilen gelten.

Personenbezogene Daten müssen in einer Weise verarbeitet werden, die ein angemessenes Maß an Sicherheit und Vertraulichkeit gewährleistet, unter anderem um unbefugten Zugriff auf personenbezogene Daten und die für die Verarbeitung verwendeten Geräte sowie deren unbefugte Verwendung zu verhindern.

Es sind alle zumutbaren Schritte zu unternehmen, um sicherzustellen, dass ungenaue personenbezogene Daten berichtigt oder gelöscht werden.

Rechtmäßigkeit der Verarbeitung

Die Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn mindestens eine der folgenden Bedingungen erfüllt ist:

Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke erteilt;
die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Im Sinne der vorstehenden Bestimmungen gilt die Datenverarbeitung als rechtmäßig, wenn sie im Rahmen eines Vertrags oder einer Absicht zum Vertragsabschluss erforderlich ist.

Erfolgt die Datenverarbeitung im Rahmen der Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen oder ist sie für die Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe oder in Ausübung öffentlicher Gewalt erforderlich, so muss die Verarbeitung eine Rechtsgrundlage im Unionsrecht oder im Recht eines Mitgliedstaats haben.

Die Verarbeitung sollte als rechtmäßig angesehen werden, wenn sie erforderlich ist, um ein Interesse zu schützen, das für das Leben der betroffenen Person oder einer anderen natürlichen Person überlebenswichtig ist. Eine Verarbeitung personenbezogener Daten unter Berufung auf die lebenswichtigen Interessen einer anderen natürlichen Person sollte grundsätzlich nur dann erfolgen, wenn die Verarbeitung offensichtlich nicht auf eine andere Rechtsgrundlage gestützt werden kann.

Einige Arten der Verarbeitung können sowohl wichtigen Gründen des öffentlichen Interesses als auch lebenswichtigen Interessen der betroffenen Person dienen, wie beispielsweise, wenn die Verarbeitung für humanitäre Zwecke erforderlich ist, einschließlich der Überwachung von Epidemien und deren Ausbreitung, oder in humanitären Notlagen, insbesondere bei Naturkatastrophen oder von Menschen verursachten Katastrophen.

Die berechtigten Interessen eines Verantwortlichen – einschließlich des Verantwortlichen, dem die personenbezogenen Daten offengelegt werden dürfen – oder eines Dritten können eine Rechtsgrundlage für die Verarbeitung bilden. Ein solches berechtigtes Interesse könnte beispielsweise vorliegen, wenn eine maßgebliche und angemessene Beziehung zwischen der betroffenen Person und dem Verantwortlichen besteht, beispielsweise in Situationen, in denen die betroffene Person ein Kunde des Verantwortlichen ist oder in dessen Diensten steht.

Die Verarbeitung personenbezogener Daten, die zur Verhinderung von Betrug unbedingt erforderlich ist, stellt ebenfalls ein berechtigtes Interesse des betroffenen Verantwortlichen dar. Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann ebenfalls als ein berechtigtes Interesse angesehen werden.

Um das Bestehen eines berechtigten Interesses festzustellen, muss unter anderem sorgfältig geprüft werden, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und im entsprechenden Kontext vernünftigerweise erwarten kann, dass eine Verarbeitung für diesen Zweck erfolgen kann. Die Interessen und Grundrechte der betroffenen Person könnten das Interesse des Verantwortlichen überwiegen, wenn personenbezogene Daten unter Umständen verarbeitet werden, unter denen die betroffenen Personen eine weitere Verarbeitung vernünftigerweise nicht erwarten.

Die Verarbeitung personenbezogener Daten im für die Gewährleistung der Netz- und Informationssicherheit unbedingt erforderlichen und verhältnismäßigen Umfang durch Behörden, Computernotfallteams, Netzwerksicherheits-Incident-Response-Teams, Betreiber elektronischer Kommunikationsnetze und -dienste sowie Anbieter von Sicherheitstechnologien stellt ein berechtigtes Interesse des betroffenen Verantwortlichen dar.

Die Verarbeitung personenbezogener Daten für andere Zwecke als diejenigen, für die sie ursprünglich erhoben wurden, ist nur zulässig, wenn die Verarbeitung mit den Zwecken vereinbar ist, für die die personenbezogenen Daten ursprünglich erhoben wurden. In diesem Fall ist keine separate Rechtsgrundlage erforderlich, die von derjenigen abweicht, die die Erhebung der personenbezogenen Daten ermöglicht hat.

Die Verarbeitung personenbezogener Daten durch Behörden zur Erreichung der im Verfassungsrecht oder im Völkerrecht festgelegten Ziele offiziell anerkannter religiöser Organisationen gilt als im öffentlichen Interesse liegend.

Einwilligung der betroffenen Person, Bedingungen

Basiert die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.

Wird die Einwilligung der betroffenen Person im Rahmen einer schriftlichen Erklärung erteilt, die sich auch auf andere Sachverhalte bezieht, so muss das Ersuchen um Einwilligung in einer von den anderen Sachverhalten klar unterscheidbaren Weise erfolgen.

Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Vor Erteilung der Einwilligung ist die betroffene Person darüber zu unterrichten. Der Widerruf der Einwilligung muss ebenso einfach möglich sein wie die Erteilung der Einwilligung.

Bei der Feststellung, ob die Einwilligung freiwillig erteilt wurde, ist dem Umstand, unter anderem, in größtmöglichem Umfang Rechnung zu tragen, ob die Erfüllung eines Vertrags, einschließlich der Erbringung von Dienstleistungen, von der Einwilligung in eine Verarbeitung von personenbezogenen Daten abhängig gemacht wurde, die für die Erfüllung dieses Vertrags nicht erforderlich sind.

In Bezug auf das direkte Angebot von Diensten der Informationsgesellschaft an Kinder ist die Verarbeitung der personenbezogenen Daten eines Kindes rechtmäßig, wenn das Kind das 16. Lebensjahr vollendet hat. Bei einem Kind unter 16 Jahren ist diese Verarbeitung nur dann und in dem Umfang rechtmäßig, wie die Einwilligung durch den Träger der elterlichen Verantwortung für das Kind erteilt oder autorisiert wurde.

Die Verarbeitung personenbezogener Daten, aus denen die rassistische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt, es sei denn, die betroffene Person hat ausdrücklich in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke eingewilligt.

Die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßnahmen darf nur unter behördlicher Aufsicht erfolgen.

Datenverarbeitung, die keine Identifizierung erfordert

Erfordern die Zwecke, für die ein Verantwortlicher personenbezogene Daten verarbeitet, nicht oder nicht mehr die Identifizierung einer betroffenen Person durch den Verantwortlichen, so ist der Verantwortliche nicht verpflichtet, zusätzliche Informationen aufzubewahren.

Kann der Verantwortliche nachweisen, dass er nicht in der Lage ist, die betroffene Person zu identifizieren, so unterrichtet er die betroffene Person hierüber, sofern möglich, in geeigneter Weise.

Information und Rechte der betroffenen Person

Der Grundsatz der fairen und transparenten Verarbeitung erfordert, dass die betroffene Person über das Bestehen des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird.

Werden die personenbezogenen Daten bei der betroffenen Person erhoben, so ist die betroffene Person auch darüber zu unterrichten, ob sie verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche Folgen die Nichtbereitstellung dieser Daten hätte. Diese Informationen können durch standardisierte Symbole ergänzt werden, um in leicht sichtbarer, leicht verständlicher und klar lesbarer Form einen allgemeinen Überblick über die beabsichtigte Verarbeitung zu vermitteln.

Die Informationen über die Verarbeitung personenbezogener Daten, die die betroffene Person betreffen, sind dieser zum Zeitpunkt der Erhebung der Daten bereitzustellen, oder, wenn die Daten nicht bei der betroffenen Person, sondern aus einer anderen Quelle erhoben wurden, innerhalb einer angemessenen Frist unter Berücksichtigung der Umstände des Falls.

Eine betroffene Person sollte das Recht auf Auskunft über die sie betreffenden erhobenen personenbezogenen Daten haben und dieses Recht leicht und in angemessenen Abständen ausüben können, um sich der Rechtmäßigkeit der Verarbeitung bewusst zu sein und diese zu überprüfen. Jede betroffene Person sollte das Recht haben, insbesondere die Zwecke, für die die personenbezogenen Daten verarbeitet werden, und, sofern möglich, den Zeitraum, für den die personenbezogenen Daten verarbeitet werden, zu erfahren.

Eine betroffene Person sollte das Recht auf Berichtigung der sie betreffenden personenbezogenen Daten und ein „Recht auf Vergessenwerden“ haben, wenn die Speicherung dieser Daten gegen diese Verordnung oder gegen Unionsrecht oder das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt, verstößt oder wenn betroffene Personen ihre Einwilligung zur Verarbeitung widerrufen haben.

Werden personenbezogene Daten verarbeitet, um Direktwerbung zu betreiben, so sollte die betroffene Person das Recht haben, jederzeit und unentgeltlich Widerspruch gegen die Verarbeitung sie betreffender personenbezogener Daten für derartige Werbung einzulegen.

Überprüfung personenbezogener Daten

Um sicherzustellen, dass personenbezogene Daten nicht länger als erforderlich aufbewahrt werden, setzt der Verantwortliche Fristen für deren Löschung oder regelmäßige Überprüfung.

Die von der Leitung der Organisation festgelegte Frist für die regelmäßige Überprüfung beträgt: 1 Jahr.

Aufgaben des Datenverantwortlichen

Der Verantwortliche wendet geeignete interne Datenschutzrichtlinien an, um eine rechtmäßige Verarbeitung zu gewährleisten. Diese Regelung deckt den Zuständigkeits- und Verantwortungsbereich des Verantwortlichen ab.

Der Verantwortliche ist verpflichtet, geeignete und wirksame Maßnahmen umzusetzen und nachweisen zu können, dass die Datenverarbeitungstätigkeiten den geltenden Gesetzen entsprechen.

Diese Regelung ist unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher Personen zu erlassen.

Unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen setzt der Verantwortliche geeignete technische und organisatorische Maßnahmen um. Auf der Grundlage dieser Richtlinie überprüft er andere interne Richtlinien und aktualisiert sie gegebenenfalls.

Der Verantwortliche oder der Auftragsverarbeiter führt ein angemessenes Verzeichnis der Verarbeitungstätigkeiten, die in seine Zuständigkeit fallen. Jeder Verantwortliche und Auftragsverarbeiter ist verpflichtet, mit der Aufsichtsbehörde zusammenzuarbeiten und diese Verzeichnisse auf Anfrage zur Überprüfung dieser Verarbeitungsvorgänge zur Verfügung zu stellen.

Rechte im Zusammenhang mit der Datenverarbeitung

Recht auf Auskunft

Jede Person kann über die angegebenen Kontaktkanäle Auskunft darüber verlangen, welche Daten die Organisation über sie, auf welcher Rechtsgrundlage, zu welchem Zweck, aus welcher Quelle und für welche Dauer verarbeitet. Auf Antrag ist die Auskunft unverzüglich, spätestens jedoch innerhalb von 30 Tagen, an die angegebene Kontaktadresse zu senden.

Recht auf Berichtigung

Jede Person kann über die angegebenen Kontaktkanäle die Änderung ihrer Daten verlangen. Dem Antrag ist unverzüglich, spätestens jedoch innerhalb von 30 Tagen, stattzugeben, und eine entsprechende Information ist an die angegebene Kontaktadresse zu senden.

Recht auf Löschung

Jede Person kann über die angegebenen Kontaktkanäle die Löschung ihrer Daten verlangen. Dem Antrag ist unverzüglich, spätestens jedoch innerhalb von 30 Tagen, stattzugeben, und eine entsprechende Information ist an die angegebene Kontaktadresse zu senden.

Recht auf Einschränkung / Sperrung

Jede Person kann über die angegebenen Kontaktkanäle die Sperrung ihrer Daten verlangen. Die Sperrung dauert so lange an, wie der angegebene Grund die Speicherung der Daten erforderlich macht. Dem Antrag ist unverzüglich, spätestens jedoch innerhalb von 30 Tagen, stattzugeben, und eine entsprechende Information ist an die angegebene Kontaktadresse zu senden.

Recht auf Widerspruch

Jede Person kann über die angegebenen Kontaktkanäle Widerspruch gegen die Datenverarbeitung einlegen. Der Widerspruch ist innerhalb der kürzestmöglichen Frist ab Einreichung des Antrags, spätestens jedoch innerhalb von 15 Tagen, zu prüfen, es ist eine Entscheidung über dessen Begründetheit zu treffen und die Entscheidung ist an die angegebene Kontaktadresse zu senden.

Rechtsbehelfsmöglichkeiten im Zusammenhang mit der Datenverarbeitung

Nationale Behörde für Datenschutz und Informationsfreiheit

Postanschrift: 1530 Budapest, Pf.: 5.
Adresse: 1125 Budapest, Szilágyi Erzsébet fasor 22/c
Telefon: +36 (1) 391-1400
Fax: +36 (1) 391-1410
E-Mail: ugyfelszolgalat@naih.hu
URL: https://naih.hu
Koordinaten: N 47°30'56''; O 18°59'57''

Die betroffene Person kann sich bei einer Verletzung ihrer Rechte gegen den Verantwortlichen an ein Gericht wenden. Das Gericht entscheidet in der Sache in einem beschleunigten Verfahren. Die Klage kann nach Wahl der betroffenen Person auch vor dem für den Wohnsitz oder Aufenthaltsort der betroffenen Person zuständigen Gericht erhoben werden.

Aufgaben der Organisation zur Gewährleistung eines angemessenen Datenschutzes

Datenschutzbewusstsein. Die fachliche Bereitschaft zur Einhaltung der Gesetze muss gewährleistet sein. Die fachliche Schulung der Mitarbeiter und die Kenntnis der Richtlinie sind unerlässlich.

Der Zweck, das Kriteriensystem und das Konzept der Verarbeitung personenbezogener Daten müssen überprüft werden. Eine rechtmäßige Datenverarbeitung und -handhabung muss im Einklang mit den Datenschutzregeln gewährleistet sein.

Angemessene Information der von der Datenverarbeitung betroffenen Person. Es ist zu beachten, dass – wenn die Datenverarbeitung auf der Einwilligung der betroffenen Person beruht – der Verantwortliche im Zweifelsfall nachweisen muss, dass die Einwilligung der betroffenen Person zur Datenverarbeitung vorlag.

Die der betroffenen Person bereitgestellten Informationen sollten prägnant, leicht zugänglich und leicht verständlich sein und daher in klarer und einfacher Sprache formuliert und dargestellt werden.

Die Anforderung einer transparenten Datenverarbeitung beinhaltet, dass die betroffene Person Informationen über die Tatsache und die Zwecke der Datenverarbeitung erhält. Die Information muss vor Beginn der Datenverarbeitung bedacht und bereitgestellt werden, und das Recht auf Information steht der betroffenen Person während der Datenverarbeitung bis zu deren Beendigung zu.

Die wichtigsten Rechte der von der Datenverarbeitung betroffenen Person sind folgende:

Auskunft über die sie betreffenden personenbezogenen Daten;
Berichtigung personenbezogener Daten;
Löschung personenbezogener Daten;
Einschränkung der Verarbeitung personenbezogener Daten;
Widerspruch gegen Profiling und automatisierte Datenverarbeitung;
das Recht auf Datenübertragbarkeit.

Der Verantwortliche unterrichtet die betroffene Person ohne unberechtigte Verzögerung, spätestens jedoch innerhalb eines Monats nach Eingang des Antrags. Erforderlichenfalls kann diese Frist unter Berücksichtigung der Komplexität des Antrags und der Anzahl der Anträge um weitere zwei Monate verlängert werden. Die Informationspflicht kann durch den Betrieb eines sicheren Online-Systems gewährleistet werden, über das die betroffene Person leicht und schnell auf die erforderlichen Informationen zugreifen kann.

Die von der Organisation durchgeführte Datenverarbeitung muss überprüft und die Ausübung des Rechts auf informationelle Selbstbestimmung gewährleistet werden. Auf Antrag der betroffenen Person sind deren Daten unverzüglich zu löschen, wenn die betroffene Person die Einwilligung, die die Grundlage der Datenverarbeitung bildet, widerruft.

Aus der Einwilligung der betroffenen Person muss unmissverständlich hervorgehen, dass sie der Verarbeitung zustimmt. Basiert die Datenverarbeitung auf der Einwilligung der betroffenen Person, muss der Verantwortliche im Zweifelsfall nachweisen, dass die betroffene Person in den Datenverarbeitungsvorgang eingewilligt hat.

Bei der Verarbeitung personenbezogener Daten von Kindern ist besonders auf die Einhaltung der Datenverarbeitungsregeln zu achten. Die Verarbeitung personenbezogener Daten im Rahmen des direkten Angebots von Diensten der Informationsgesellschaft an Kinder ist rechtmäßig, wenn das Kind das 16. Lebensjahr vollendet hat. Bei einem Kind unter 16 Jahren ist diese Verarbeitung nur dann und in dem Umfang rechtmäßig, wie die Einwilligung durch den Träger der elterlichen Verantwortung für das Kind erteilt oder autorisiert wurde.

Im Falle einer unrechtmäßigen Handhabung oder Verarbeitung personenbezogener Daten entsteht eine Meldepflicht gegenüber der Aufsichtsbehörde. Der Verantwortliche hat die Aufsichtsbehörde unverzüglich – und nach Möglichkeit spätestens 72 Stunden, nachdem ihm die Verletzung bekannt wurde – zu benachrichtigen, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte natürlicher Personen führt.

In bestimmten Fällen kann es gerechtfertigt sein, dass der Verantwortliche vor der Datenverarbeitung eine Datenschutz-Folgenabschätzung durchführt. Im Rahmen der Folgenabschätzung ist zu prüfen, wie sich die geplanten Verarbeitungsvorgänge auf den Schutz personenbezogener Daten auswirken. Ergibt eine Datenschutz-Folgenabschätzung, dass die Verarbeitung ein hohes Risiko zur Folge hätte, muss der Verantwortliche vor der Verarbeitung die Aufsichtsbehörde konsultieren.

Für den Fall, dass die Kerntätigkeiten in Verarbeitungsvorgängen bestehen, die aufgrund ihrer Art, ihres Umfangs oder ihrer Zwecke eine regelmäßige und systematische Überwachung von betroffenen Personen in großem Umfang erfordern, ist ein Datenschutzbeauftragter zu benennen. Die Benennung eines Datenschutzbeauftragten zielt darauf ab, die Datensicherheit zu stärken.

Datensicherheit

Daten müssen durch geeignete Maßnahmen geschützt werden, insbesondere gegen unbefugten Zugriff, Veränderung, Übermittlung, unbefugte Offenlegung, Löschung oder Vernichtung sowie gegen zufällige Vernichtung und Beschädigung und gegen Unzugänglichkeit infolge von Änderungen der verwendeten Technologie.

Um elektronisch geführte Datenbestände in Registern zu schützen, muss durch eine geeignete technische Lösung sichergestellt werden, dass in Registern gespeicherte Daten nicht direkt zusammengeführt und der betroffenen Person zugeordnet werden können.

Bei der Gestaltung und Anwendung der Datensicherheit ist der aktuelle Stand der Technik zu berücksichtigen. Unter mehreren möglichen Datenverarbeitungslösungen ist diejenige zu wählen, die ein höheres Schutzniveau für personenbezogene Daten bietet, es sei denn, dies würde für den Verantwortlichen eine unverhältnismäßige Schwierigkeit darstellen.

Datenschutzbeauftragter

Die Benennung eines Datenschutzbeauftragten ist aufgrund folgender Kriterien verpflichtend:

Die Verarbeitung wird von einer Behörde oder öffentlichen Stelle durchgeführt, mit Ausnahme von Gerichten, die im Rahmen ihrer justiziellen Tätigkeit handeln;
die Kerntätigkeiten des Verantwortlichen oder des Auftragsverarbeiters bestehen in Verarbeitungsvorgängen, die aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen;
die Kerntätigkeiten des Verantwortlichen oder des Auftragsverarbeiters bestehen in der umfangreichen Verarbeitung besonderer Kategorien von Daten oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten.

Ist die Benennung eines Datenschutzbeauftragten verpflichtend, gelten folgende Regeln:

Der Datenschutzbeauftragte wird auf der Grundlage seiner beruflichen Qualifikation und insbesondere seines Fachwissens auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis sowie seiner Fähigkeit zur Erfüllung der Aufgaben benannt.

Der Datenschutzbeauftragte kann ein Beschäftigter des Verantwortlichen oder des Auftragsverarbeiters sein oder seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllen.

Der Verantwortliche oder der Auftragsverarbeiter veröffentlicht die Kontaktdaten des Datenschutzbeauftragten und teilt diese der Aufsichtsbehörde mit.

Stellung des Datenschutzbeauftragten

Der Verantwortliche stellt sicher, dass der Datenschutzbeauftragte ordnungsgemäß und rechtzeitig in alle mit dem Schutz personenbezogener Daten zusammenhängenden Fragen eingebunden wird. Es ist sicherzustellen, dass die zur Erhaltung seines Fachwissens erforderlichen Ressourcen zur Verfügung stehen.

Der Datenschutzbeauftragte darf von dem Verantwortlichen oder dem Auftragsverarbeiter bezüglich der Erfüllung dieser Aufgaben keine Anweisungen erhalten. Er darf von dem Verantwortlichen oder dem Auftragsverarbeiter wegen der Erfüllung seiner Aufgaben nicht entlassen oder benachteiligt werden. Der Datenschutzbeauftragte berichtet direkt an die höchste Managementebene des Verantwortlichen oder des Auftragsverarbeiters.

Betroffene Personen können den Datenschutzbeauftragten zu allen mit der Verarbeitung ihrer personenbezogenen Daten und mit der Wahrnehmung ihrer Rechte zusammenhängenden Fragen konsultieren.

Der Datenschutzbeauftragte ist bei der Erfüllung seiner Aufgaben an das Berufsgeheimnis oder an Geheimhaltungspflichten gebunden.

Der Datenschutzbeauftragte kann andere Aufgaben und Pflichten wahrnehmen, sofern keine Interessenkonflikte entstehen.

Aufgaben des Datenschutzbeauftragten

Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverarbeiters und der Beschäftigten, die Verarbeitungen durchführen;
Überwachung der Einhaltung dieser Verordnung sowie der Strategien des Verantwortlichen oder des Auftragsverarbeiters für den Schutz personenbezogener Daten;
Beratung – auf Anfrage – im Zusammenhang mit der Datenschutz-Folgenabschätzung und Überwachung ihrer Durchführung;
Zusammenarbeit mit der Aufsichtsbehörde.

Verletzung des Schutzes personenbezogener Daten (Datenschutzincidents)

Eine Verletzung des Schutzes personenbezogener Daten ist eine Verletzung der Sicherheit, die zur zufälligen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt, die übertragen, gespeichert oder auf andere Weise verarbeitet wurden.

Eine Verletzung des Schutzes personenbezogener Daten kann, wenn nicht angemessen und rechtzeitig reagiert wird, einen physischen, materiellen oder immateriellen Schaden für natürliche Personen nach sich ziehen, wie etwa den Verlust der Kontrolle über ihre personenbezogenen Daten oder die Einschränkung ihrer Rechte, Diskriminierung, Identitätsdiebstahl oder -betrug.

Die Verletzung des Schutzes personenbezogener Daten wird der zuständigen Aufsichtsbehörde ohne unberechtigte Verzögerung und nach Möglichkeit binnen 72 Stunden, nachdem sie dem Verantwortlichen bekannt wurde, gemeldet, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Die betroffene Person wird unverzüglich benachrichtigt, wenn die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der natürlichen Person zur Folge hat, damit sie die notwendigen Vorkehrungen treffen kann.

Verarbeitung zu administrativen und Registerführungszwecken

Die Organisation kann personenbezogene Daten auch in Fällen verarbeiten, die zu ihren Tätigkeiten gehören, sowie zu administrativen und Registerführungszwecken.

Die Grundlage für die Datenverarbeitung ist die freiwillige und eindeutige Einwilligung der betroffenen Person, die auf einer angemessenen Information beruht. Nach einer detaillierten Information – die den Zweck, die Rechtsgrundlage und die Dauer der Datenverarbeitung sowie die Rechte der betroffenen Person abdeckt – ist die betroffene Person auf die Freiwilligkeit der Datenverarbeitung hinzuweisen. Die Einwilligung zur Datenverarbeitung ist schriftlich festzuhalten.

Die Datenverarbeitung zu administrativen und Registerführungszwecken dient folgenden Zielen:

Verarbeitung von Daten von Mitgliedern und Beschäftigten der Organisation, die auf einer gesetzlichen Verpflichtung beruht;
Verarbeitung von Daten von Personen, die in einem Auftrags- oder Vertragsverhältnis zur Organisation stehen, zu Kontakt-, Abrechnungs- und Registerführungszwecken;
Kontaktdaten anderer Organisationen, Einrichtungen und Unternehmen, die in einer Geschäftsbeziehung zur Organisation stehen, wobei es sich auch um Kontakt- und Identifikationsdaten natürlicher Personen handeln kann.

Die Datenverarbeitung gemäß den vorstehenden Bestimmungen beruht einerseits auf einer gesetzlichen Verpflichtung, und andererseits hat die betroffene Person der Verarbeitung ihrer Daten ausdrücklich zugestimmt (beispielsweise zum Zwecke eines Arbeitsvertrags oder als Partner auf der Website registriert usw.).

Bei Dokumenten, die der Organisation in schriftlicher Form übermittelt werden und personenbezogene Daten enthalten (beispielsweise Lebenslauf, Bewerbung, sonstige Einsendungen usw.), ist die Einwilligung der betroffenen Person zu vermuten. Nach Abschluss des Verfahrens sind die Dokumente – mangels Einwilligung in eine weitere Verwendung – zu vernichten. Die Vernichtung ist in einem Protokoll festzuhalten.

Bei der Datenverarbeitung zu administrativen Zwecken erscheinen personenbezogene Daten ausschließlich in den Dokumenten und Registern des jeweiligen Falls. Die Verarbeitung dieser Daten dauert bis zur Aussonderung des Dokuments an, das die Grundlage der Verarbeitung bildet.

Die Datenverarbeitung zu administrativen und Registerführungszwecken ist – um sicherzustellen, dass die Speicherung personenbezogener Daten auf den erforderlichen Zeitraum beschränkt bleibt – jährlich zu überprüfen, und ungenaue personenbezogene Daten sind unverzüglich zu löschen.

Die Einhaltung der Gesetze muss auch bei der Datenverarbeitung zu administrativen und Registerführungszwecken gewährleistet sein.

Datenverarbeitung zu anderen Zwecken

Beabsichtigt die Organisation eine Datenverarbeitung, die in dieser Ordnung nicht enthalten ist, muss sie ihre interne Ordnung vorab entsprechend ergänzen oder dem neuen Datenverarbeitungszweck entsprechende Teilregeln beifügen.

Andere zur Ordnung gehörende Dokumente

Dokumente und Regeln, die beispielsweise die schriftliche Erklärung zur Einwilligung in die Datenverarbeitung enthalten oder beispielsweise bei Webseiten den obligatorischen Datenschutzhinweis beschreiben, sind mit den Datenschutz- und Datenverarbeitungsregeln zu verknüpfen und gemeinsam mit diesen zu behandeln.

Rechtsvorschriften, die die Grundlage der Datenverarbeitung bilden

VERORDNUNG (EU) 2016/679 DES EUROPÄISCHEN PARLAMENTS UND DES RATES (vom 27. April 2016) zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung).
Gesetz CXII aus dem Jahr 2011 über das Recht auf informationelle Selbstbestimmung und die Informationsfreiheit.
Gesetz LXVI aus dem Jahr 1995 über öffentliche Urkunden, öffentliche Archive und den Schutz privaten Archivguts.
Regierungsverordnung 335/2005 (XII. 29.) über die allgemeinen Anforderungen an das Dokumentenmanagement durch Stellen, die öffentliche Aufgaben wahrnehmen.
Gesetz CVIII aus dem Jahr 2001 über bestimmte Fragen von Diensten der E-Commerce und Diensten der Informationsgesellschaft.
Gesetz C aus dem Jahr 2003 über die elektronische Kommunikation.