DATENSCHUTZERKLÄRUNG

Die L.Z. Form Kft. – im Folgenden „Unternehmen“ genannt – kommt durch die Veröffentlichung dieser Datenschutzerklärung ihrer in der VERORDNUNG (EU) 2016/679 DES EUROPÄISCHEN PARLAMENTS UND DES RATES (EU) 2016/679 vorgeschriebenen Vorabinformationspflicht in Bezug auf die Verarbeitung personenbezogener Daten der betroffenen Personen, wonach alle Informationen gemäß den einschlägigen Artikeln der Verordnung in knapper, transparenter, verständlicher und leicht zugänglicher Form sowie klar und verständlich formuliert den von der Datenverarbeitung betroffenen Personen zur Verfügung gestellt werden müssen.

I. BEZEICHNUNG DES VERANTWORTLICHEN

Das Unternehmen informiert die betroffene Person darüber, dass es im Rahmen der Verarbeitung ihrer personenbezogenen Daten als Verantwortlicher gilt.

FIRMENNAME: L.Z. Form Kft.

SITZ: 8400 Ajka, Industriepark, Flurstück 5704/4.

HANDELSREGISTERNUMMER: 19-09-506-768

STUERNUMMER: 12962886-2-19

TELEFON: 06 88 216-142 (11)

NAME DES VERTRETERS: Zoltán Laki

E-MAIL: lzform@ajkanet.hu

WEBSEITE: www.lzform.hu

Personenbezogene Daten werden vom Unternehmen an Mitarbeiter weitergegeben, die über die für den jeweiligen Zweck der Datenverarbeitung erforderlichen Zugriffsrechte verfügen, soweit dies zur Ausübung ihrer Tätigkeit erforderlich ist.

II. NENNUNG DES/DER DATENVERARBEITER(S)

(1) Das Unternehmen beauftragt keinen externen Datenverarbeiter im Rahmen der von ihm auf der Grundlage einer freiwilligen Einwilligung verarbeiteten personenbezogenen Daten zum Zweck des Betriebs und der Wartung seiner Website.

III. BEGRIFFSBESTIMMUNGEN

1. „personenbezogene Daten“: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen; als identifizierbar gilt eine natürliche Person, die direkt oder indirekt identifiziert werden kann, insbesondere anhand eines Identifikators wie eines Namens, einer Nummer, Standortdaten, eines Online-Identifikators oder eines oder mehrerer Faktoren, die Ausdruck der körperlichen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;

2. „Datenverarbeitung“: jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten oder Datensätzen, wie das Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen oder Verändern, das Abfragen, Auslesen, Nutzung, Offenlegung, Übermittlung, Verbreitung oder sonstige Bereitstellung, Abgleich oder Verknüpfung, Einschränkung, Löschung oder Vernichtung;

3. „Einschränkung der Datenverarbeitung“: die Kennzeichnung gespeicherter personenbezogener Daten zum Zweck der Einschränkung ihrer künftigen Verarbeitung;

4. „Profiling“: jede Form der automatisierten Verarbeitung personenbezogener Daten, bei der diese Daten zur Bewertung bestimmter persönlicher Merkmale einer natürlichen Person herangezogen werden, insbesondere in Bezug auf die Arbeitsleistung, die wirtschaftliche Lage, den Gesundheitszustand, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Bewegungen verwendet werden;

5. „Pseudonymisierung“: die Verarbeitung personenbezogener Daten in einer Weise, bei der ohne die Verwendung zusätzlicher Informationen nicht mehr festgestellt werden kann, auf welche bestimmte natürliche Person sich die personenbezogenen Daten beziehen, vorausgesetzt, dass diese zusätzlichen Informationen gesondert gespeichert werden und durch technische und organisatorische Maßnahmen sichergestellt ist, dass diese personenbezogenen Daten nicht mit identifizierten oder identifizierbaren natürlichen Personen in Verbindung gebracht werden können;

6. „Dateisystem“: eine Sammlung personenbezogener Daten, die auf irgendeine Weise – zentralisiert, dezentralisiert oder nach funktionalen oder geografischen Gesichtspunkten gegliedert – gegliedert ist und nach bestimmten Kriterien zugänglich ist;

7. „Verantwortlicher“: die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt; Werden die Zwecke und Mittel der Datenverarbeitung durch das Unionsrecht oder das Recht eines Mitgliedstaats festgelegt, so können auch der Verantwortliche oder die besonderen Kriterien für die Bestimmung des Verantwortlichen durch das Unionsrecht oder das Recht eines Mitgliedstaats festgelegt werden;

8. „Auftragsverarbeiter“: die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;

9. „Empfänger“: die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, der bzw. der personenbezogene Daten übermittelt werden, unabhängig davon, ob es sich um einen Dritten handelt. Behörden, die im Rahmen einer konkreten Untersuchung gemäß dem Recht der Union oder der Mitgliedstaaten Zugang zu personenbezogenen Daten haben, gelten nicht als Empfänger; die Verarbeitung dieser Daten durch diese Behörden muss den geltenden Datenschutzvorschriften entsprechen, die den Zwecken der Datenverarbeitung angemessen sind;

10. „Dritter“: jede natürliche oder juristische Person, Behörde, Agentur oder jede andere Stelle, die nicht mit der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter oder den Personen identisch ist, die unter der unmittelbaren Weisung des Verantwortlichen oder des Auftragsverarbeiters zur Verarbeitung personenbezogener Daten befugt sind;

11. „Einwilligung der betroffenen Person“: eine freiwillige, konkrete und auf angemessener Aufklärung beruhende eindeutige Willensbekundung der betroffenen Person, mit der diese durch eine Erklärung oder eine Handlung, aus der die Bestätigung unmissverständlich hervorgeht, zum Ausdruck bringt, dass sie in die Verarbeitung der sie betreffenden personenbezogenen Daten einwilligt;

12. „Datenschutzvorfall“: eine Sicherheitsverletzung, die zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf übermittelte, gespeicherte oder auf andere Weise verarbeitete personenbezogene Daten führt;

13. „Unternehmen“: eine natürliche oder juristische Person, die eine wirtschaftliche Tätigkeit ausübt, unabhängig von ihrer Rechtsform, einschließlich Personengesellschaften und Vereine, die eine regelmäßige wirtschaftliche Tätigkeit ausüben.

IV. RECHTSGRUNDLAGE FÜR DIE DATENVERARBEITUNG

1. Einwilligung der betroffenen Person

(1) Die Rechtmäßigkeit der Verarbeitung personenbezogener Daten muss auf der Einwilligung der betroffenen Person beruhen oder auf einer anderen rechtmäßigen, gesetzlich festgelegten Grundlage.

(2) Bei einer Datenverarbeitung auf der Grundlage der Einwilligung der betroffenen Person kann diese ihre Einwilligung zur Verarbeitung ihrer personenbezogenen Daten in folgender Form erteilen:

a) schriftlich in Form einer Erklärung zur Einwilligung in die Verarbeitung personenbezogener Daten,

b) auf elektronischem Wege durch ein ausdrückliches Verhalten auf der Website des Unternehmens, durch das Ankreuzen eines Kontrollkästchens oder durch die Vornahme entsprechender technischer Einstellungen bei der Nutzung von Diensten der Informationsgesellschaft sowie durch jede andere Erklärung oder Handlung, die in dem jeweiligen Zusammenhang die Einwilligung der betroffenen Person in die geplante Verarbeitung ihrer personenbezogenen Daten eindeutig zum Ausdruck bringt.

(3) Schweigen, ein vorab angekreuztes Kästchen oder Untätigkeit gelten daher nicht als Einwilligung.

(4) Die Einwilligung erstreckt sich auf alle Datenverarbeitungsvorgänge, die zum selben Zweck oder zu denselben Zwecken durchgeführt werden.

(5) Dient die Datenverarbeitung mehreren Zwecken gleichzeitig, so muss die Einwilligung für alle Zwecke der Datenverarbeitung erteilt werden. Erteilt die betroffene Person ihre Einwilligung auf eine elektronische Aufforderung hin, so muss diese Aufforderung eindeutig und prägnant sein und darf die Inanspruchnahme der Dienstleistung, für die die Einwilligung eingeholt wird.

(6) Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Der Widerruf der Einwilligung berührt nicht die Rechtmäßigkeit der Datenverarbeitung, die auf der Einwilligung beruhte und vor dem Widerruf erfolgte. Die betroffene Person ist vor Erteilung der Einwilligung hierüber zu informieren. Der Widerruf der Einwilligung muss auf ebenso einfache Weise möglich sein wie deren Erteilung.

2. Erfüllung eines Vertrags

(1) Die Datenverarbeitung gilt als rechtmäßig, wenn sie zur Erfüllung eines Vertrags erforderlich ist, bei dem die betroffene Person eine Vertragspartei ist, oder wenn sie erforderlich ist, um vor Abschluss des Vertrags auf Anfrage der betroffenen Person Maßnahmen zu ergreifen.

(2) Die Einwilligung der betroffenen Person in die Verarbeitung personenbezogener Daten, die für die Erfüllung des Vertrags nicht erforderlich ist, darf keine Voraussetzung für den Vertragsabschluss sein.

3. Erfüllung einer rechtlichen Verpflichtung, der der für die Datenverarbeitung Verantwortliche unterliegt, oder Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person

(1) Die Rechtsgrundlage für die Datenverarbeitung im Falle der Erfüllung einer rechtlichen Verpflichtung wird durch das Gesetz festgelegt, sodass die Einwilligung der betroffenen Person in die Verarbeitung ihrer personenbezogenen Daten nicht erforderlich ist.

(2) Der für die Datenverarbeitung Verantwortliche ist verpflichtet, die betroffene Person über den Zweck, die Rechtsgrundlage und die Dauer der Datenverarbeitung, die Identität des für die Datenverarbeitung Verantwortlichen sowie über ihre Rechte und Rechtsbehelfe zu informieren.

(3) Zur Erfüllung einer rechtlichen Verpflichtung ist der Verantwortliche auch nach dem Widerruf der Einwilligung der betroffenen Person berechtigt, jene Daten zu verarbeiten, die zur Erfüllung einer ihn betreffenden rechtlichen Verpflichtung erforderlich sind.

4. Die Wahrnehmung einer Aufgabe im öffentlichen Interesse oder im Rahmen der Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, Wahrung der berechtigten Interessen des für die Datenverarbeitung Verantwortlichen oder eines Dritten.

(1) Das berechtigte Interesse des für die Datenverarbeitung Verantwortlichen – einschließlich des für die Datenverarbeitung Verantwortlichen, an den personenbezogene Daten weitergegeben werden können – oder eines Dritten kann eine Rechtsgrundlage für die Datenverarbeitung darstellen, sofern die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen, wobei die berechtigten Erwartungen der betroffenen Person aufgrund ihrer Beziehung zum für die Datenverarbeitung Verantwortlichen zu berücksichtigen sind. Ein solches berechtigtes Interesse liegt beispielsweise vor, wenn eine relevante und angemessene Beziehung zwischen der betroffenen Person und dem für die Datenverarbeitung Verantwortlichen besteht, etwa in Fällen, in denen die betroffene Person Kunde des für die Datenverarbeitung Verantwortlichen ist oder bei diesem beschäftigt ist.

(2) Zur Feststellung des Vorliegens eines berechtigten Interesses ist in jedem Fall sorgfältig zu prüfen, ob die betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und im Zusammenhang damit vernünftigerweise damit rechnen kann, dass eine Datenverarbeitung zu dem jeweiligen Zweck erfolgt.

(3) Die Interessen und Grundrechte der betroffenen Person können Vorrang vor den Interessen des für die Datenverarbeitung Verantwortlichen haben, wenn die personenbezogenen Daten unter Umständen verarbeitet werden, unter denen die betroffenen Personen nicht mit einer weiteren Datenverarbeitung rechnen.

V. RECHTE DER BETROFFENEN PERSON IM ZUSAMMENHANG MIT DER VERARBEITUNG IHRER DATEN

1. Das Unternehmen gibt folgende kurze Informationen zu den Rechten der betroffenen Person:

Die betroffene Person hat das Recht:

a) vor Beginn der Datenverarbeitung informiert zu werden,

b) vom Verantwortlichen eine Rückmeldung darüber zu erhalten, ob die Verarbeitung ihrer personenbezogenen Daten stattfindet, und falls eine solche Verarbeitung stattfindet, hat sie das Recht auf Zugang zu den personenbezogenen Daten und zu den folgenden Informationen,

c) die Berichtigung und Löschung ihrer Daten zu verlangen sowie vom Verantwortlichen eine Bestätigung darüber zu erhalten, dass dies erfolgt ist,

d) die Einschränkung der Datenverarbeitung zu verlangen und vom Datenverantwortlichen eine Bestätigung darüber zu erhalten,

e) das Recht auf Datenübertragbarkeit,

f) das Recht auf Widerspruch, wenn seine personenbezogenen Daten aus Gründen des öffentlichen Interesses oder unter Berufung auf das berechtigte Interesse des Datenverantwortlichen verarbeitet werden.

g) von einer automatisierten Entscheidungsfindung, einschließlich Profiling, ausgenommen zu werden,

h) eine Beschwerde bei der Aufsichtsbehörde einzureichen. Die betroffene Person kann ihr Recht auf Beschwerde über die folgenden Kontaktdaten ausüben: Nationale Behörde für Datenschutz und Informationsfreiheit, Anschrift: 1125 Budapest, Szilágyi Erzsébet fasor 22/c., Telefon: +36 (1) 391-1400; Fax: +36 (1) 391-1410, www: http://www.naih.hu, E-Mail: ugyfelszolgalat@naih.hu

i) auf einen wirksamen Rechtsbehelf vor Gericht gegen die Aufsichtsbehörde,

j) auf einen wirksamen Rechtsbehelf vor Gericht gegen den Verantwortlichen oder den Auftragsverarbeiter

k) auf die Unterrichtung über einen Datenschutzvorfall.

2. Ausführliche Informationen zu den Rechten der betroffenen Person

Recht auf Auskunft

(1) Die betroffene Person hat das Recht, vor Beginn der Verarbeitung ihrer Daten Auskunft über die mit der Datenverarbeitung zusammenhängenden Informationen zu erhalten.

(2) Zur Bereitstellung verpflichtete Informationen, wenn die personenbezogenen Daten bei der betroffenen Person erhoben werden:

a. die Identität und die Kontaktdaten des Verantwortlichen und – falls vorhanden – seines Vertreters;

b. die Kontaktdaten des Datenschutzbeauftragten, falls vorhanden;

c. den Zweck der geplanten Verarbeitung der personenbezogenen Daten sowie die Rechtsgrundlage der Verarbeitung;

d. im Falle einer Verarbeitung auf der Grundlage von Artikel 6 Absatz 1 Buchstabe f der Verordnung die berechtigten Interessen des Verantwortlichen oder eines Dritten;

e. gegebenenfalls die Empfänger der personenbezogenen Daten bzw. die Kategorien von Empfängern, sofern vorhanden;

f.

g. gegebenenfalls die Tatsache, dass der Verantwortliche beabsichtigt, die personenbezogenen Daten in ein Drittland oder an eine internationale Organisation zu übermitteln, sowie das Vorliegen oder Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle einer Datenübermittlung gemäß Artikel 46 c, Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 der Verordnung genannten Datenübermittlungen die Angabe der entsprechenden und geeigneten Garantien, sowie einen Hinweis auf die Möglichkeiten, Kopien davon zu erhalten, oder auf deren Verfügbarkeit.

(3) Zusätzlich zu den in Absatz 1 genannten Informationen unterrichtet der Verantwortliche die betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten, um eine faire und transparente Datenverarbeitung zu gewährleisten, über folgende zusätzliche Informationen:

a. die Dauer der Speicherung der personenbezogenen Daten oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

b. über das Recht der betroffenen Person, vom Verantwortlichen Zugang zu den sie betreffenden personenbezogenen Daten, deren Berichtigung, Löschung oder Einschränkung der Verarbeitung zu verlangen, sowie das Recht, gegen die Verarbeitung dieser personenbezogenen Daten Widerspruch einzulegen, und über das Recht der betroffenen Person auf Datenübertragbarkeit;

c. im Falle einer Datenverarbeitung auf der Grundlage von Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a der Verordnung das Recht, die Einwilligung jederzeit zu widerrufen, wobei die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Datenverarbeitung davon unberührt bleibt;

d. das Recht, eine Beschwerde bei der Aufsichtsbehörde einzureichen;

e. darüber, ob die Bereitstellung der personenbezogenen Daten auf einer gesetzlichen oder vertraglichen Verpflichtung beruht oder eine Voraussetzung für den Abschluss eines Vertrags ist, sowie darüber, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche möglichen Folgen eine Nichtbereitstellung der Daten haben kann;

f. die Tatsache einer automatisierten Entscheidungsfindung gemäß Artikel 22 Absätze 1 und 4 der Verordnung, einschließlich der Profilerstellung, sowie zumindest in diesen Fällen verständliche Informationen über die angewandte Logik und darüber, welche Bedeutung diese Datenverarbeitung hat und welche Folgen für die betroffene Person zu erwarten sind.

(4) Wurden die personenbezogenen Daten nicht bei der betroffenen Person erhoben, so stellt der Verantwortliche der betroffenen Person folgende Informationen zur Verfügung:

a. die Identität und die Kontaktdaten des Verantwortlichen und – falls vorhanden – seines Vertreters;

b. die Kontaktdaten des Datenschutzbeauftragten, falls vorhanden;

c. den Zweck der geplanten Verarbeitung der personenbezogenen Daten sowie die Rechtsgrundlage für die Verarbeitung;

d. die Kategorien der personenbezogenen Daten der betroffenen Person;

e. die Empfänger der personenbezogenen Daten bzw. die Kategorien der Empfänger, sofern vorhanden;

f. gegebenenfalls die Tatsache, dass der Verantwortliche beabsichtigt, die personenbezogenen Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation zu übermitteln, sowie das Vorliegen oder Fehlen eines Angemessenheitsbeschlusses der Kommission oder, im Falle einer Datenübermittlung gemäß Artikel 46, Artikel 47 der Verordnung oder Artikel 49 Absatz 1 Unterabsatz 2, die Angabe geeigneter und angemessener Garantien, sowie einen Hinweis auf die Möglichkeiten, Kopien davon zu erhalten, oder auf deren Verfügbarkeit.

(2) Zusätzlich zu den in Absatz 1 genannten Informationen stellt der Verantwortliche der betroffenen Person die folgenden ergänzenden Informationen zur Verfügung, die erforderlich sind, um eine faire und transparente Datenverarbeitung gegenüber der betroffenen Person zu gewährleisten:

a. die Dauer der Speicherung der personenbezogenen Daten oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

b. falls die Datenverarbeitung auf Artikel 6 Absatz 1 Buchstabe f der Verordnung beruht, die berechtigten Interessen des Verantwortlichen oder eines Dritten;

c. das Recht der betroffenen Person, vom Verantwortlichen Zugang zu den sie betreffenden personenbezogenen Daten, deren Berichtigung, Löschung oder Einschränkung der Verarbeitung zu verlangen sowie gegen die Verarbeitung personenbezogener Daten Widerspruch einzulegen, sowie das Recht der betroffenen Person auf Datenübertragbarkeit;

d. im Falle einer Datenverarbeitung auf der Grundlage von Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a der Verordnung das Recht, die Einwilligung jederzeit zu widerrufen, wobei die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Datenverarbeitung davon unberührt bleibt;

e. das Recht, eine Beschwerde bei einer Aufsichtsbehörde einzureichen;

f. die Quelle der personenbezogenen Daten und gegebenenfalls die Angabe, ob die Daten aus öffentlich zugänglichen Quellen stammen; und

g. die Tatsache einer automatisierten Entscheidungsfindung gemäß Artikel 22 Absätze 1 und 4 der Verordnung, einschließlich der Profilerstellung, sowie zumindest in diesen Fällen die angewandte Logik und verständliche Informationen darüber, welche Bedeutung diese Datenverarbeitung hat und welche Folgen für die betroffene Person zu erwarten sind.

(3) Beabsichtigt der für die Datenverarbeitung Verantwortliche, personenbezogene Daten für einen anderen Zweck als den, für den sie erhoben wurden, weiterzuverarbeiten, so muss er die betroffene Person vor der weiteren Datenverarbeitung über diesen anderen Zweck sowie über alle in Absatz (2) genannten relevanten zusätzlichen Informationen unterrichten.

(4) Die Absätze (1) bis (3) finden keine Anwendung, wenn und soweit:

a. die betroffene Person bereits über die Informationen verfügt;

b. die Bereitstellung der betreffenden Informationen sich als unmöglich erweist oder einen unverhältnismäßig großen Aufwand erfordern würde, insbesondere im Hinblick auf die Archivierung im öffentlichen Interesse, für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke bei einer Datenverarbeitung unter Berücksichtigung der in Artikel 89 Absatz 1 festgelegten Bedingungen und Garantien, oder wenn die in Absatz 1 dieses Artikels genannte Verpflichtung die Erreichung der Zwecke dieser Datenverarbeitung voraussichtlich unmöglich machen oder ernsthaft gefährden würde. In solchen Fällen muss der für die Datenverarbeitung Verantwortliche geeignete Maßnahmen ergreifen – einschließlich der Veröffentlichung von Informationen –, um die Rechte, Freiheiten und berechtigten Interessen der betroffenen Person zu gewährleisten;

c. die Erhebung oder Weitergabe der Daten ausdrücklich durch das für den Verantwortlichen geltende Recht der Union oder eines Mitgliedstaats vorgeschrieben ist, das angemessene Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsieht; oder

d. die personenbezogenen Daten aufgrund einer in einem Rechtsakt der Union oder eines Mitgliedstaats vorgesehenen beruflichen Geheimhaltungspflicht, einschließlich einer gesetzlich begründeten Geheimhaltungspflicht, vertraulich bleiben müssen.

Das Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, vom Verantwortlichen eine Rückmeldung darüber zu erhalten, ob ihre personenbezogenen Daten verarbeitet werden, und falls eine solche Verarbeitung stattfindet, hat sie das Recht auf Auskunft über die personenbezogenen Daten sowie über folgende Informationen:

a. die Zwecke der Datenverarbeitung;

b. die Kategorien der personenbezogenen Daten der betroffenen Person;

c. die Empfänger oder Kategorien von Empfängern, denen die personenbezogenen Daten offengelegt wurden oder offengelegt werden, insbesondere Empfänger in Drittländern oder internationale Organisationen;

d. gegebenenfalls die geplante Dauer der Speicherung der personenbezogenen Daten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;

e. das Recht der betroffenen Person, vom Verantwortlichen die Berichtigung, Löschung oder Einschränkung der Verarbeitung der sie betreffenden personenbezogenen Daten zu verlangen sowie gegen die Verarbeitung dieser personenbezogenen Daten Widerspruch einzulegen;

f. das Recht, eine Beschwerde bei einer Aufsichtsbehörde einzureichen;

g. falls die Daten nicht bei der betroffenen Person erhoben wurden, alle verfügbaren Informationen über ihre Herkunft;

h. die Tatsache einer automatisierten Entscheidungsfindung gemäß Artikel 22 Absätze 1 und 4 der Verordnung, einschließlich der Profilerstellung, sowie zumindest in diesen Fällen verständliche Informationen über die angewandte Logik und darüber, welche Bedeutung diese Datenverarbeitung hat und welche zu erwartenden Folgen sie für die betroffene Person hat.

(2) Erfolgt eine Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation, hat die betroffene Person das Recht, über die entsprechenden Garantien gemäß Artikel 46 informiert zu werden.

(3) Der Verantwortliche stellt der betroffenen Person eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für weitere von der betroffenen Person angeforderte Kopien kann der für die Datenverarbeitung Verantwortliche eine angemessene Gebühr erheben, die sich nach den Verwaltungskosten richtet. Hat die betroffene Person den Antrag auf elektronischem Wege gestellt, sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, es sei denn, die betroffene Person wünscht etwas anderes.

Das Recht der betroffenen Person auf Berichtigung und Löschung

Das Recht auf Berichtigung

(1) Die betroffene Person hat das Recht, dass der für die Datenverarbeitung Verantwortliche auf ihren Antrag hin unrichtige personenbezogene Daten, die sie betreffen, unverzüglich berichtigt. Unter Berücksichtigung des Zwecks der Datenverarbeitung hat die betroffene Person das Recht, die Vervollständigung unvollständiger personenbezogener Daten – unter anderem durch eine ergänzende Erklärung – zu verlangen.

Recht auf Löschung („Recht auf Vergessenwerden“)

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen auf Antrag die Löschung der sie betreffenden personenbezogenen Daten ohne ungerechtfertigte Verzögerung zu verlangen, und der Verantwortliche ist verpflichtet, die sie betreffenden personenbezogenen Daten ohne ungerechtfertigte Verzögerung zu löschen, wenn einer der folgenden Gründe vorliegt:

a. die personenbezogenen Daten werden für die Zwecke, für die sie erhoben oder anderweitig verarbeitet wurden, nicht mehr benötigt;

b. die betroffene Person widerruft ihre Einwilligung, die die Rechtsgrundlage für die Datenverarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a der Verordnung (Einwilligung zur Verarbeitung personenbezogener Daten) oder gemäß Artikel 9 Absatz 2 Buchstabe a der Verordnung (Erteilung einer ausdrücklichen Einwilligung) bildet, und es besteht keine andere Rechtsgrundlage für die Datenverarbeitung;

c. die betroffene Person legt gemäß Artikel 21 Absatz 1 der Verordnung (Recht auf Widerspruch) Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 der Verordnung (Widerspruch gegen die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung) Widerspruch gegen die Verarbeitung ein;

d. die personenbezogenen Daten wurden unrechtmäßig verarbeitet;

e. die personenbezogenen Daten müssen gelöscht werden, um einer rechtlichen Verpflichtung nach dem für den Verantwortlichen geltenden Unionsrecht oder dem Recht eines Mitgliedstaats nachzukommen;

f. die Erhebung der personenbezogenen Daten erfolgte im Zusammenhang mit dem Angebot von Diensten der Informationsgesellschaft im Sinne von Artikel 8 Absatz 1.

(2) Hat der Verantwortliche die personenbezogenen Daten veröffentlicht und ist er auf Antrag der betroffenen Person zur Löschung verpflichtet, so ergreift er unter Berücksichtigung der verfügbaren Technologie und der Kosten der Umsetzung alle vernünftigerweise erwartbaren Maßnahmen – einschließlich technischer Maßnahmen –, um die anderen für die Datenverarbeitung Verantwortlichen, die diese personenbezogenen Daten verarbeiten, darüber zu informieren, dass die betroffene Person von ihnen die Löschung von Links zu den betreffenden personenbezogenen Daten oder von Kopien oder Duplikaten dieser personenbezogenen Daten verlangt hat.

(3) Die Absätze (1) und (2) gelten nicht, sofern die Datenverarbeitung erforderlich ist:

a. zur Ausübung des Rechts auf freie Meinungsäußerung und des Rechts auf Information;

b. zur Erfüllung einer Verpflichtung nach dem für den Verantwortlichen geltenden Unionsrecht oder dem Recht eines Mitgliedstaats, das die Verarbeitung personenbezogener Daten vorschreibt, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

c. aufgrund eines öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 9 Absatz 2 Buchstaben h und i sowie Artikel 9 Absatz 3 der Verordnung;

d. im Einklang mit Artikel 89 Absatz 1 der Verordnung zum Zwecke der Archivierung im öffentlichen Interesse, zu wissenschaftlichen und historischen Forschungszwecken oder zu statistischen Zwecken, sofern das in Absatz 1 genannte Recht diese Datenverarbeitung voraussichtlich unmöglich machen oder ernsthaft gefährden würde; oder

e. zur Geltendmachung, Durchsetzung oder Verteidigung von Rechtsansprüchen.

Recht auf Einschränkung der Datenverarbeitung

(1) Die betroffene Person hat das Recht, auf ihren Antrag hin vom Verantwortlichen eine Einschränkung der Datenverarbeitung zu verlangen, wenn einer der folgenden Fälle vorliegt:

a. die betroffene Person bestreitet die Richtigkeit der personenbezogenen Daten; in diesem Fall erstreckt sich die Einschränkung auf den Zeitraum, der dem Verantwortlichen ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen;

b. die Datenverarbeitung ist unrechtmäßig, und die betroffene Person lehnt die Löschung der Daten ab und beantragt stattdessen die Einschränkung ihrer Verwendung;

c. der Verantwortliche benötigt die personenbezogenen Daten nicht mehr für die Zwecke der Datenverarbeitung, die betroffene Person benötigt sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen; oder

d. die betroffene Person gemäß Artikel 21 Absatz 1 der Verordnung Widerspruch gegen die Datenverarbeitung eingelegt hat; in diesem Fall gilt die Einschränkung so lange, bis festgestellt wird, ob die berechtigten Gründe des für die Datenverarbeitung Verantwortlichen Vorrang vor den berechtigten Gründen der betroffenen Person haben.

(2) Wird die Datenverarbeitung gemäß Absatz (1) eingeschränkt, dürfen diese personenbezogenen Daten – mit Ausnahme der Speicherung – nur mit Einwilligung der betroffenen Person oder zur Geltendmachung, Durchsetzung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aus wichtigen Gründen des öffentlichen Interesses der Union oder eines Mitgliedstaats verarbeitet werden.

(3) Der für die Datenverarbeitung Verantwortliche unterrichtet die betroffene Person, deren Datenverarbeitung auf deren Antrag hin gemäß Absatz (1) eingeschränkt wurde, vorab über die Aufhebung der Einschränkung der Datenverarbeitung.

Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten sowie der Einschränkung der Datenverarbeitung

(1) Der für die Datenverarbeitung Verantwortliche unterrichtet jeden Empfänger über die Berichtigung, Löschung oder Einschränkung der Datenverarbeitung, an den bzw. an den die personenbezogenen Daten übermittelt wurden, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden.

(2) Auf Antrag der betroffenen Person unterrichtet der Verantwortliche diese über die Empfänger.

Recht auf Datenübertragbarkeit

(1) Die betroffene Person hat das Recht, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen zur Verfügung gestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten; sie hat ferner das Recht, diese Daten an einen anderen Verantwortlichen zu übermitteln, ohne dass der Verantwortliche, dem die personenbezogenen Daten zur Verfügung gestellt wurden, dies verhindert, wenn:

a. die Datenverarbeitung auf Artikel 6 Absatz 1 Buchstabe a der Verordnung (Einwilligung der betroffenen Person in die Verarbeitung personenbezogener Daten) oder gemäß Artikel 9 Absatz 2 Buchstabe a der Verordnung (ausdrückliche Einwilligung der betroffenen Person in die Datenverarbeitung) oder auf einem Vertrag gemäß Artikel 6 Absatz 1 Buchstabe b beruht; und

b. die Datenverarbeitung erfolgt automatisiert.

(2) Bei der Ausübung des Rechts auf Datenübertragbarkeit gemäß Absatz 1 hat die betroffene Person das Recht, – sofern dies technisch machbar ist – die direkte Übermittlung der personenbezogenen Daten von einem Verantwortlichen an einen anderen zu verlangen.

(3) Die Ausübung des in Absatz (1) dieses Artikels genannten Rechts darf Artikel 17 der Verordnung nicht beeinträchtigen. Das genannte Recht findet keine Anwendung, wenn die Datenverarbeitung im öffentlichen Interesse erforderlich ist oder zur Erfüllung einer Aufgabe notwendig ist, die im Rahmen der Ausübung öffentlicher Gewalt durch den Verantwortlichen erfolgt.

(4) Das in Absatz (1) genannte Recht darf die Rechte und Freiheiten anderer nicht beeinträchtigen.

Das Recht auf Widerspruch

(1) Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung ihrer personenbezogenen Daten Widerspruch einzulegen, sofern diese Verarbeitung im öffentlichen Interesse oder im Rahmen der Ausübung hoheitlicher Befugnisse erfolgt oder zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist (Verarbeitung auf der Grundlage von Artikel 6 Absatz 1 Buchstabe e) oder Buchstabe f) der Verordnung), einschließlich der auf diesen Bestimmungen beruhenden Profilerstellung. In diesem Fall darf der Verantwortliche die personenbezogenen Daten nicht weiter verarbeiten, es sei denn, der Verantwortliche weist nach, dass zwingende berechtigte Gründe für die Verarbeitung vorliegen, die gegenüber den Interessen, Rechten und Freiheiten der betroffenen Person Vorrang haben oder die mit der Geltendmachung, Durchsetzung oder Verteidigung von Rechtsansprüchen in Zusammenhang stehen.

(2) Erfolgt die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung, so hat die betroffene Person das Recht, jederzeit gegen die Verarbeitung der sie betreffenden personenbezogenen Daten zu diesem Zweck Widerspruch einzulegen, einschließlich der Profilerstellung, sofern diese im Zusammenhang mit der Direktwerbung steht.

(3) Widerspricht die betroffene Person der Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung, so dürfen die personenbezogenen Daten künftig nicht mehr zu diesem Zweck verarbeitet werden.

(4) Auf das in den Absätzen (1) und (2) genannte Recht ist die betroffene Person spätestens bei der ersten Kontaktaufnahme ausdrücklich hinzuweisen, und die diesbezügliche Information muss klar und deutlich sowie getrennt von allen anderen Informationen dargestellt werden.

(5) Im Zusammenhang mit der Inanspruchnahme von Diensten der Informationsgesellschaft und abweichend von der Richtlinie 2002/58/EG kann die betroffene Person ihr Widerspruchsrecht auch durch automatisierte Verfahren auf der Grundlage technischer Spezifikationen ausüben.

(6) Werden personenbezogene Daten gemäß Artikel 89 Absatz 1 der Verordnung zu wissenschaftlichen und historischen Forschungszwecken oder zu statistischen Zwecken verarbeitet, hat die betroffene Person das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, gegen die Verarbeitung der sie betreffenden personenbezogenen Daten Widerspruch einzulegen, es sei denn, die Verarbeitung ist zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe erforderlich.

Recht auf Schutz vor automatisierten Entscheidungen

(1) Die betroffene Person hat das Recht, nicht einer Entscheidung unterworfen zu werden, die ausschließlich auf einer automatisierten Datenverarbeitung – einschließlich der Profilerstellung – beruht und die für sie rechtliche Folgen hätte oder sie in ähnlicher Weise erheblich beeinträchtigen würde.

(2) Absatz (1) findet keine Anwendung, wenn die Entscheidung:

a. zum Abschluss oder zur Erfüllung eines Vertrags zwischen der betroffenen Person und dem für die Datenverarbeitung Verantwortlichen erforderlich ist;

b. durch für den für die Datenverarbeitung Verantwortlichen geltendes Unionsrecht oder Recht eines Mitgliedstaats ermöglicht wird, das auch geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person vorsieht; oder

c. auf der ausdrücklichen Einwilligung der betroffenen Person beruht.

(3) In den in Absatz (2) Buchstaben a und c genannten Fällen ist der Verantwortliche verpflichtet, geeignete Maßnahmen zu ergreifen, um die Rechte, Freiheiten und berechtigter Interessen der betroffenen Person zu treffen, einschließlich zumindest des Rechts der betroffenen Person, eine menschliche Überprüfung durch den für die Datenverarbeitung Verantwortlichen zu beantragen, ihren Standpunkt darzulegen und gegen die Entscheidung Widerspruch einzulegen.

(4) Die in Absatz (2) genannten Entscheidungen dürfen nicht auf den in Artikel 9 Absatz 1 der Verordnung genannten besonderen Kategorien von personenbezogenen Daten beruhen, es sei denn, Artikel 9 Absatz 2 Buchstabe a oder g findet Anwendung und es wurden geeignete Maßnahmen zum Schutz der Rechte, Freiheiten und berechtigten Interessen der betroffenen Person getroffen.

Das Recht der betroffenen Person auf Beschwerde und Rechtsbehelf

Das Recht auf Beschwerde bei der Aufsichtsbehörde.

(1) Die betroffene Person hat gemäß Artikel 77 der Verordnung das Recht, bei der Aufsichtsbehörde Beschwerde einzulegen, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.

(2) Die betroffene Person kann ihr Recht auf Beschwerde über die folgenden Kontaktdaten ausüben:

Nationale Behörde für Datenschutz und Informationsfreiheit, Anschrift: 1125 Budapest, Szilágyi Erzsébet fasor 22/c Telefon: +36 (1) 391-1400; Fax: +36 (1) 391-1410 www: http://www.naih.hu E-Mail: ugyfelszolgalat@naih.hu

(3) Die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, ist verpflichtet, den Betroffenen über den Verlauf des Beschwerdeverfahrens und dessen Ergebnis zu unterrichten, einschließlich der Tatsache, dass der Betroffene gemäß Artikel 78 der Verordnung berechtigt ist, einen Rechtsbehelf vor Gericht einzulegen.

Das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen die Aufsichtsbehörde

(1) Unbeschadet anderer verwaltungsrechtlicher oder außergerichtlicher Rechtsbehelfe hat jede natürliche und juristische Person Anspruch auf einen wirksamen gerichtlichen Rechtsbehelf gegen eine sie betreffende, rechtsverbindliche Entscheidung der Aufsichtsbehörde.

(2) Unbeschadet anderer verwaltungsrechtlicher oder außergerichtlicher Rechtsbehelfe hat jede betroffene Person Anspruch auf einen wirksamen gerichtlichen Rechtsbehelf, wenn die zuständige Aufsichtsbehörde die Beschwerde nicht bearbeitet oder die betroffene Person nicht innerhalb von drei Monaten über den Stand des Verfahrens oder das Ergebnis der gemäß Artikel 77 der Verordnung eingereichten Beschwerde unterrichtet.

(3) Ein Verfahren gegen die Aufsichtsbehörde ist vor einem Gericht des Mitgliedstaats einzuleiten, in dem die Aufsichtsbehörde ihren Sitz hat.

(4) Wird ein Verfahren gegen eine Entscheidung der Aufsichtsbehörde eingeleitet, zu der der Ausschuss im Rahmen des einheitlichen Verfahrens zuvor eine Stellungnahme abgegeben oder eine Entscheidung getroffen hat, so ist die Aufsichtsbehörde verpflichtet, diese Stellungnahme oder Entscheidung dem Gericht zu übermitteln.

Das Recht auf einen wirksamen Rechtsbehelf vor Gericht gegen den für die Datenverarbeitung Verantwortlichen oder den Auftragsverarbeiter

(1) Unbeschadet der verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfe – einschließlich des Rechts auf Beschwerde bei der Aufsichtsbehörde gemäß Artikel 77 – hat jede betroffene Person Anspruch auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass ihre Rechte gemäß dieser Verordnung durch eine nicht dieser Verordnung entsprechende Verarbeitung ihrer personenbezogenen Daten verletzt wurden.

(2) Ein Verfahren gegen den für die Verarbeitung Verantwortlichen oder den Auftragsverarbeiter ist vor den Gerichten des Mitgliedstaats zu erheben, in dem der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter seine Niederlassung hat. Ein solches Verfahren kann auch vor dem Gericht des Mitgliedstaats eingeleitet werden, in dem die betroffene Person ihren gewöhnlichen Aufenthalt hat, es sei denn, der für die Datenverarbeitung Verantwortliche oder der Auftragsverarbeiter ist eine Behörde eines Mitgliedstaats, die im Rahmen ihrer hoheitlichen Befugnisse handelt.

Einschränkungen

(1) Das für den Verantwortlichen oder den Auftragsverarbeiter geltende Unionsrecht oder das Recht eines Mitgliedstaats kann durch Rechtsakte den Geltungsbereich der in den Artikeln 12 bis 22 und Artikel 34 enthaltenen Bestimmungen sowie der in den Artikeln 12 bis 22 festgelegten Rechte und Pflichten im Hinblick auf die in Artikel 5 , sofern die Einschränkung den wesentlichen Inhalt der Grundrechte und Grundfreiheiten achtet und eine in einer demokratischen Gesellschaft notwendige und verhältnismäßige Maßnahme zum Schutz folgender Bereiche darstellt:

a. der nationalen Sicherheit;

b. Landesverteidigung;

c. öffentliche Sicherheit;

d. Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten sowie Vollstreckung strafrechtlicher Sanktionen, einschließlich des Schutzes vor Gefahren für die öffentliche Sicherheit und der Vorbeugung gegen diese Gefahren;

e. sonstige wichtige Ziele von allgemeinem öffentlichem Interesse der Union oder eines Mitgliedstaats, insbesondere wichtige wirtschaftliche oder finanzielle Interessen der Union oder eines Mitgliedstaats, einschließlich Währungs-, Haushalts- und Steuerfragen, der öffentlichen Gesundheit und der sozialen Sicherheit;

f. die Unabhängigkeit der Justiz und der Schutz gerichtlicher Verfahren;

g. im Falle reglementierter Berufe die Verhütung, Untersuchung und Aufdeckung von Verstößen gegen die Berufsethik sowie die Durchführung der damit verbundenen Verfahren;

h. in den unter den Buchstaben a bis e und g genannten Fällen – auch nur gelegentlich – Kontroll-, Untersuchungs- oder Regulierungsmaßnahmen im Zusammenhang mit der Wahrnehmung hoheitlicher Aufgaben;

i. der Schutz der betroffenen Person oder der Schutz der Rechte und Freiheiten anderer;

j. die Durchsetzung zivilrechtlicher Ansprüche.

(2) Die in Absatz (1) genannten Rechtsvorschriften enthalten gegebenenfalls detaillierte Bestimmungen zumindest zu:

a. die Zwecke der Datenverarbeitung oder die Kategorien der Datenverarbeitung,

b. die Kategorien personenbezogener Daten,

c. den Geltungsbereich der eingeführten Beschränkungen,

d. die Garantien zur Verhinderung von Missbrauch sowie unbefugtem Zugriff oder unbefugter Weitergabe,

e. die Bestimmung des für die Datenverarbeitung Verantwortlichen oder die Bestimmung der Kategorien von für die Datenverarbeitung Verantwortlichen,

f. die Dauer der Speicherung der Daten sowie die anzuwendenden Garantien unter Berücksichtigung der Art, des Umfangs und der Zwecke der Datenverarbeitung oder der Kategorien der Datenverarbeitung,

g. die Risiken für die Rechte und Freiheiten der betroffenen Personen sowie

h. das Recht der betroffenen Personen, über die Einschränkung informiert zu werden, es sei denn, dies würde den Zweck der Einschränkung beeinträchtigen.

i. Unterrichtung über Datenschutzverletzungen

(1) Stellt die Datenschutzverletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen dar, so unterrichtet der Verantwortliche die betroffene Person unverzüglich über die Datenschutzverletzung.

(2) In der in Absatz (1) genannten Unterrichtung der betroffenen Person sind die Art des Datenschutzvorfalls klar und verständlich darzulegen und mindestens folgende Angaben zu machen:

den Namen und die Kontaktdaten des Datenschutzbeauftragten oder eines anderen Ansprechpartners, der weitere Informationen bereitstellt, die wahrscheinlichen Folgen des Datenschutzvorfalls sowie die vom Verantwortlichen zur Behebung der Datenschutzverletzung getroffenen oder geplanten Maßnahmen, einschließlich gegebenenfalls Maßnahmen zur Milderung etwaiger nachteiliger Folgen der Datenschutzverletzung.

(3) Die betroffene Person muss nicht gemäß Absatz (1) informiert werden, wenn eine der folgenden Bedingungen erfüllt ist:

a. der für die Datenverarbeitung Verantwortliche hat geeignete technische und organisatorische Schutzmaßnahmen getroffen, und diese Maßnahmen wurden in Bezug auf die von der Datenschutzverletzung betroffenen Daten angewendet, insbesondere solche Maßnahmen – wie beispielsweise die Anwendung von Verschlüsselung –, die die Daten für Personen, die nicht zum Zugriff auf personenbezogene Daten berechtigt sind, unlesbar machen;

b. der für die Datenverarbeitung Verantwortliche nach dem Datenschutzvorfall weitere Maßnahmen ergriffen hat, die gewährleisten, dass das in Absatz 1 genannte hohe Risiko für die Rechte und Freiheiten der betroffenen Personen künftig voraussichtlich nicht mehr eintritt;

c. die Unterrichtung einen unverhältnismäßigen Aufwand erfordern würde. In solchen Fällen sind die betroffenen Personen durch öffentlich zugängliche Informationen zu unterrichten oder es sind ähnliche Maßnahmen zu ergreifen, die eine ebenso wirksame Unterrichtung der betroffenen Personen gewährleisten.

(4) Hat der Verantwortliche die betroffene Person noch nicht über die Datenschutzverletzung informiert, kann die Aufsichtsbehörde nach Abwägung, ob die Datenschutzverletzung voraussichtlich ein hohes Risiko mit sich bringt, die Unterrichtung der betroffenen Person anordnen oder feststellen, dass eine der in Absatz (3) genannten Voraussetzungen erfüllt ist.

VI. VERFAHREN BEI ANTRÄGEN DER BETROFFENEN PERSON

(1) Das Unternehmen unterstützt die Ausübung der Rechte der betroffenen Person und darf die Erfüllung eines Antrags auf Ausübung der in dieser Datenschutzerklärung festgelegten Rechte der betroffenen Person nicht verweigern, es sei denn, es weist nach, dass die betroffene Person nicht identifiziert werden kann.

(2) Das Unternehmen informiert die betroffene Person unverzüglich, spätestens jedoch innerhalb eines Monats nach Eingang des Antrags, über die aufgrund des Antrags getroffenen Maßnahmen. Falls erforderlich und unter Berücksichtigung der Komplexität des Antrags sowie der Anzahl der Anträge kann diese Frist um weitere zwei Monate verlängert werden. Über die Fristverlängerung informiert der für die Datenverarbeitung Verantwortliche die betroffene Person unter Angabe der Gründe für die Verzögerung innerhalb eines Monats nach Eingang des Antrags.

(3) Hat die betroffene Person den Antrag auf elektronischem Wege gestellt, so erfolgt die Unterrichtung nach Möglichkeit auf elektronischem Wege, es sei denn, die betroffene Person verlangt etwas anderes.

(4) Ergreift das Unternehmen keine Maßnahmen aufgrund des Antrags der betroffenen Person, informiert es die betroffene Person unverzüglich, spätestens jedoch innerhalb eines Monats nach Eingang des Antrags, über die Gründe für das Unterlassen der Maßnahmen sowie darüber, dass die betroffene Person eine Beschwerde bei der Aufsichtsbehörde einreichen und ihr Recht auf gerichtlichen Rechtsbehelf wahrnehmen kann.

(5) Das Unternehmen stellt der betroffenen Person kostenlos folgende Informationen und Maßnahmen zur Verfügung: Rückmeldung zur Verarbeitung personenbezogener Daten, Auskunft über die verarbeiteten Daten, Berichtigung, Ergänzung und Löschung der Daten, Einschränkung der Datenverarbeitung, Datenübertragbarkeit, Widerspruch gegen die Datenverarbeitung sowie Unterrichtung über Datenschutzverletzungen.

(6) Ist der Antrag der betroffenen Person offensichtlich unbegründet oder – insbesondere aufgrund seines wiederholten Charakters – übertrieben, kann der für die Datenverarbeitung Verantwortliche unter Berücksichtigung der mit der Bereitstellung der angeforderten Informationen oder Auskünfte bzw. mit der Durchführung der angeforderten Maßnahme verbundenen Verwaltungskosten eine Gebühr in Höhe von 5.000 HUF erheben oder die auf der Grundlage des Antrags erforderliche Maßnahme verweigern.

(7) Der Nachweis, dass der Antrag offensichtlich unbegründet oder überzogen ist, obliegt dem für die Datenverarbeitung Verantwortlichen.

(8) Unbeschadet des Artikels 11 der Verordnung kann der für die Datenverarbeitung Verantwortliche, wenn er begründete Zweifel an der Identität der natürlichen Person hat, die einen Antrag gemäß den Artikeln 15 bis 21 der Verordnung stellt, die Übermittlung weiterer Informationen verlangen, die zur Bestätigung der Identität der betroffenen Person erforderlich sind.

IX. VORGEHENSWEISE IM FALLE EINES DATENSCHUTZVORFALLS (PERSONAL DATA BREACH)

(1) Eine Datenschutzverletzung im Sinne der Verordnung ist eine Sicherheitsverletzung, die zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf übermittelte, gespeicherte oder auf andere Weise verarbeitete personenbezogene Daten führt.

(2) Als Datenschutzvorfall gilt der Verlust oder Diebstahl eines Geräts (Laptop, Mobiltelefon), das personenbezogene Daten enthält; ebenso gilt als Datenschutzvorfall der Verlust des Codes zur Entschlüsselung einer vom Datenverantwortlichen verschlüsselten Datei, unzugänglich wird, eine Infektion durch Ransomware (Erpressungsvirus), die den Zugriff auf die vom Datenverantwortlichen verwalteten Daten bis zur Zahlung des Lösegeldes unmöglich macht, ein Angriff auf das IT-System, eine versehentlich versendete E-Mail mit personenbezogenen Daten, die Veröffentlichung einer Adressliste usw.

(3) Bei Feststellung eines Datenschutzvorfalls führt ein Vertreter des Unternehmens unverzüglich eine Untersuchung durch, um den Datenschutzvorfall zu identifizieren und seine möglichen Folgen zu ermitteln. Zur Schadensabwehr sind die erforderlichen Maßnahmen zu ergreifen.

(4) Der Datenschutzvorfall ist ohne ungerechtfertigte Verzögerung und, soweit möglich, spätestens 72 Stunden nach Bekanntwerden des Datenschutzvorfalls der zuständigen Aufsichtsbehörde zu melden, es sei denn, der Datenschutzvorfall stellt voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen dar. Erfolgt die Meldung nicht innerhalb von 72 Stunden, sind die Gründe für die Verzögerung beizufügen.

(5) Der Auftragsverarbeiter meldet den Datenschutzvorfall dem Verantwortlichen unverzüglich, nachdem er davon Kenntnis erlangt hat.

(6) Die in Absatz (3) genannte Meldung muss mindestens Folgendes enthalten:

a. eine Beschreibung der Art des Datenschutzvorfalls, einschließlich – soweit möglich – der Kategorien und der ungefähren Anzahl der betroffenen Personen sowie der Kategorien und der ungefähren Anzahl der von dem Vorfall betroffenen Daten;

b. der Name und die Kontaktdaten des Datenschutzbeauftragten oder einer anderen Kontaktperson, die weitere Informationen bereitstellt, anzugeben;

c. Die wahrscheinlichen Folgen des Datenschutzvorfalls sind darzulegen;

d. Die vom Verantwortlichen getroffenen oder geplanten Maßnahmen zur Behebung des Datenschutzvorfalls sind darzulegen, einschließlich gegebenenfalls Maßnahmen zur Milderung etwaiger nachteiliger Folgen des Datenschutzvorfalls.

(7) Ist es nicht möglich, die Informationen gleichzeitig zu übermitteln, können sie ohne weitere ungerechtfertigte Verzögerung später auch in Teilmengen übermittelt werden.

(8) Der Verantwortliche führt ein Verzeichnis der Datenschutzverletzungen, in dem die mit der Datenschutzverletzung verbundenen Sachverhalte, deren Auswirkungen und die zu ihrer Behebung getroffenen Maßnahmen festgehalten werden. Dieses Verzeichnis ermöglicht es der Aufsichtsbehörde, die Einhaltung der in Artikel 33 der Verordnung festgelegten Anforderungen zu überprüfen.

VI. DATENVERARBEITUNG IM ZUSAMMENHANG MIT DER WEBSITE

Informationen zu den Daten der Besucher der Website des Unternehmens

Das Unternehmen verwendet auf seiner Website keine Cookies.

Registrierung, Anmeldung zum Newsletter

(1) Rechtsgrundlage für die Datenverarbeitung im Falle einer Registrierung oder eines Newsletter-Abonnements ist die Einwilligung der betroffenen Person, die diese auf der Website des Unternehmens durch Anklicken des Kontrollkästchens neben dem Text „Registrierung“ bzw. „Newsletter-Abonnement“ nach Erhalt der Informationen zur Verarbeitung ihrer Daten erteilt.

(2) Der Kreis der betroffenen Personen bei Registrierung bzw. Newsletter-Anmeldung: jede natürliche Person, die den Newsletter des Unternehmens abonnieren bzw. sich auf der Website registrieren möchte und ihre Einwilligung zur Verarbeitung ihrer personenbezogenen Daten erteilt.

(3) Umfang der verarbeiteten Daten bei der Anmeldung zum Newsletter: Name, E-Mail-Adresse.

(4) Umfang der verarbeiteten Daten bei der Registrierung: Name, Anschrift, E-Mail-Adresse, Telefonnummer, Zugangs-Passwort.

(5) Zweck der Datenverarbeitung bei der Anmeldung zum Newsletter: Information der betroffenen Person über die Dienstleistungen und Produkte des Unternehmens, über Änderungen daran sowie über Neuigkeiten und Veranstaltungen.

(6) Zweck der Datenverarbeitung bei einer Registrierung: Kontaktaufnahme zur Vorbereitung eines Vertragsabschlusses, Bereitstellung der auf der Website kostenlos verfügbaren Dienste für die betroffene Person sowie Zugang zu den nicht öffentlichen Inhalten der Website.

(7) Empfänger der Daten (Personen, die Kenntnis von den Daten erlangen können) bei Newsletter-Anmeldung oder Registrierung: der Geschäftsführer des Unternehmens, Mitarbeiter im Kundenservice sowie die Mitarbeiter des Datenverarbeiters, die für den Betrieb der Website des Unternehmens zuständig sind.

(8) Dauer der Datenverarbeitung bei Newsletter-Anmeldung und Registrierung: bei Newsletter-Anmeldung bis zur Abmeldung, bei Registrierung bis zur Löschung auf Antrag der betroffenen Person.

(9) Die betroffene Person kann sich jederzeit vom Newsletter abmelden oder die Löschung ihrer Registrierung (ihrer personenbezogenen Daten) beantragen. Die Abmeldung vom Newsletter erfolgt durch Anklicken des Abmeldelinks in der Fußzeile der an die betroffene Person gesendeten E-Mails oder durch einen Brief an den Sitz des Unternehmens.

Datenverarbeitung im Zusammenhang mit Direktmarketing

Das Unternehmen betreibt kein Direktmarketing.

Datenverarbeitung im Zusammenhang mit dem Online-Shop

Das Unternehmen betreibt keinen Online-Shop.

VII. DATENVERARBEITUNG IM ZUSAMMENHANG MIT DER VERTRAGSERFÜLLUNG

(1) Das Unternehmen verarbeitet die personenbezogenen Daten der mit ihm vertraglich verbundenen natürlichen Personen – Kunden, Käufer, Lieferanten – im Zusammenhang mit dem Vertragsverhältnis. Die betroffene Person ist über die Verarbeitung der personenbezogenen Daten zu informieren.

(2) Kreis der betroffenen Personen: alle natürlichen Personen, die ein Vertragsverhältnis mit dem Unternehmen eingehen.

(3) Rechtsgrundlage für die Datenverarbeitung ist die Vertragserfüllung; Zweck der Datenverarbeitung ist die Aufrechterhaltung der Geschäftsbeziehung, die Geltendmachung vertraglicher Ansprüche sowie die Sicherstellung der Erfüllung vertraglicher Verpflichtungen.

(4) Empfänger der personenbezogenen Daten: der Geschäftsführer des Unternehmens, die Mitarbeiter des Unternehmens, die im Rahmen ihrer Tätigkeit Aufgaben im Kundenservice und in der Buchhaltung wahrnehmen, sowie Auftragsverarbeiter.

(5) Umfang der verarbeiteten personenbezogenen Daten: Name, Anschrift, Firmensitz, Telefonnummer, E-Mail-Adresse, Steuernummer, Bankkontonummer, Gewerbeschein-Nummer, Erzeugerausweis-Nummer.

(6) Dauer der Datenverarbeitung: 5 Jahre ab Beendigung des Vertrags.

VIII. INFORMATIONEN ZUR DATENVERARBEITUNG IM ZUSAMMENHANG MIT DEM EINSATZ EINES ELEKTRONISCHEN ÜBERWACHUNGSSYSTEMS

Unser Unternehmen betreibt kein elektronisches Überwachungs- und Aufzeichnungssystem (Kamerasystem).

IX. BESTIMMUNGEN ZUR DATENSICHERHEIT

(1) Das Unternehmen darf personenbezogene Daten nur im Einklang mit den in dieser Richtlinie festgelegten Tätigkeiten und entsprechend dem Zweck der Datenverarbeitung verarbeiten.

(2) Das Unternehmen sorgt für die Sicherheit der Daten und verpflichtet sich in diesem Zusammenhang, alle technischen und organisatorischen Maßnahmen zu ergreifen, die zur Durchsetzung der Rechtsvorschriften zur Datensicherheit sowie der Datenschutz- und Geheimhaltungsvorschriften unerlässlich sind, und die für die Durchsetzung der oben genannten Rechtsvorschriften erforderlichen Verfahrensregeln festzulegen.

(3) Das Unternehmen schützt die Daten durch geeignete Maßnahmen vor unbefugtem Zugriff, Änderung, Weitergabe, Offenlegung, Löschung oder Vernichtung sowie vor versehentlichem Verlust und Beschädigung und vor der Unzugänglichkeit, die sich aus einer Änderung der eingesetzten Technik ergibt.

(4) Die vom Unternehmen zur Gewährleistung der Datensicherheit zu ergreifenden technischen und organisatorischen Maßnahmen sind in der Datenschutzrichtlinie des Unternehmens festgelegt.

(5) Bei der Festlegung und Anwendung von Maßnahmen zur Datensicherheit berücksichtigt das Unternehmen den aktuellen Stand der Technik; bei mehreren möglichen Lösungen zur Datenverarbeitung wählt es die Lösung, die ein höheres Schutzniveau für personenbezogene Daten gewährleistet, es sei denn, dies würde einen unverhältnismäßigen Aufwand bedeuten.

X. REGELN IM ZUSAMMENHANG MIT DER DATENVERARBEITUNG

1. Allgemeine Regeln zur Datenverarbeitung

(1) Die Rechte und Pflichten des Auftragsverarbeiters im Zusammenhang mit der Verarbeitung personenbezogener Daten werden vom Verantwortlichen im Rahmen des Gesetzes sowie der besonderen Gesetze zur Datenverarbeitung festgelegt.

(2) Das Unternehmen erklärt, dass der Auftragsverarbeiter im Rahmen seiner Tätigkeit nicht befugt ist, wesentliche Entscheidungen bezüglich der Datenverarbeitung zu treffen, dass er die ihm zur Kenntnis gelangten personenbezogenen Daten ausschließlich gemäß den Anweisungen des Verantwortlichen verarbeiten darf, dass er keine Datenverarbeitung für eigene Zwecke vornehmen darf und und er ist zudem verpflichtet, die personenbezogenen Daten gemäß den Anweisungen des Datenverantwortlichen zu speichern und aufzubewahren.

(3) Das Unternehmen haftet für die Rechtmäßigkeit der dem Auftragsverarbeiter erteilten Anweisungen bezüglich der Datenverarbeitungsvorgänge.

(4) Das Unternehmen ist verpflichtet, den betroffenen Personen Auskunft über die Identität des Auftragsverarbeiters und den Ort der Datenverarbeitung zu erteilen.

(5) Das Unternehmen erteilt dem Auftragsverarbeiter keine Ermächtigung, weitere Auftragsverarbeiter einzuschalten.

(6) Der Vertrag über die Datenverarbeitung ist schriftlich festzuhalten. Die Datenverarbeitung darf nicht einer Organisation anvertraut werden, die ein geschäftliches Interesse an der Nutzung der zu verarbeitenden personenbezogenen Daten hat.

Datum: 10.12.2019