DSGVO
1. Anwendungsbereich der DSGVO
Diese Richtlinie erläutert die wesentlichen Bestimmungen der Datenschutz-Grundverordnung (DSGVO) und die Rechte betroffener Personen, soweit die DSGVO auf eine konkrete Verarbeitung personenbezogener Daten Anwendung findet.
Die DSGVO gilt nicht automatisch für jedes Unternehmen, das Waren in die Schweiz liefert oder eine Website für den Schweizer Markt betreibt. Ob sie anwendbar ist, richtet sich insbesondere nach Artikel 3 DSGVO.
Die DSGVO kann insbesondere gelten, wenn:
- ein Unternehmen eine Niederlassung in der Europäischen Union hat und personenbezogene Daten im Rahmen deren Tätigkeit verarbeitet;
- ein Unternehmen ausserhalb der EU Waren oder Dienstleistungen gezielt Personen in der EU anbietet;
- ein Unternehmen das Verhalten von Personen beobachtet, soweit dieses Verhalten innerhalb der EU stattfindet.
Die Lieferung von Waren ausschliesslich innerhalb der Schweiz oder eine Kontaktadresse in den USA begründet für sich allein keine Anwendung der DSGVO.
Haverleigh richtet sein Online-Angebot nach den vorliegenden Angaben auf den Schweizer Markt aus. Daraus allein folgt keine allgemeine Anwendbarkeit der DSGVO. Sollten einzelne Verarbeitungsvorgänge die Voraussetzungen von Artikel 3 DSGVO erfüllen, gelten die entsprechenden Bestimmungen für diese Verarbeitungsvorgänge.
Soweit die DSGVO nicht anwendbar ist, richten sich die einschlägigen Datenschutzpflichten insbesondere nach dem jeweils anwendbaren Schweizer Recht.
2. Grundsätze der Datenverarbeitung nach der DSGVO
Soweit die DSGVO anwendbar ist, müssen personenbezogene Daten gemäss Artikel 5 DSGVO nach folgenden Grundsätzen verarbeitet werden:
- Rechtmässigkeit, Verarbeitung nach Treu und Glauben und Transparenz: Die Verarbeitung muss auf einer gültigen Rechtsgrundlage beruhen und für betroffene Personen nachvollziehbar sein.
- Zweckbindung: Daten dürfen nur für festgelegte, eindeutige und rechtmässige Zwecke erhoben und grundsätzlich nicht für unvereinbare Zwecke weiterverarbeitet werden.
- Datenminimierung: Es dürfen nur Daten verarbeitet werden, die für den jeweiligen Zweck erforderlich sind.
- Richtigkeit: Personenbezogene Daten müssen sachlich richtig und erforderlichenfalls aktuell sein. Unrichtige Daten sind nach den gesetzlichen Vorgaben zu berichtigen oder zu löschen.
- Speicherbegrenzung: Daten dürfen grundsätzlich nur so lange in identifizierbarer Form gespeichert werden, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.
- Integrität und Vertraulichkeit: Daten müssen durch geeignete Massnahmen vor unbefugter oder unrechtmässiger Verarbeitung sowie vor Verlust, Zerstörung oder Beschädigung geschützt werden.
- Rechenschaftspflicht: Der Verantwortliche muss die Einhaltung der anwendbaren Datenschutzgrundsätze sicherstellen und nachweisen können.
Diese Grundsätze beschreiben die gesetzlichen Anforderungen der DSGVO. Sie sind keine Zusicherung bestimmter technischer Produkte, Zertifizierungen oder nicht bestätigter interner Verfahren.
3. Rechtsgrundlagen der Verarbeitung
Soweit die DSGVO gilt, muss jede Verarbeitung personenbezogener Daten auf einer Rechtsgrundlage nach Artikel 6 DSGVO beruhen. Die passende Rechtsgrundlage richtet sich nach dem jeweiligen Zweck und den tatsächlichen Umständen der Verarbeitung.
Insbesondere kommen folgende Rechtsgrundlagen in Betracht:
- Vertragserfüllung – Artikel 6 Absatz 1 Buchstabe b DSGVO: Die Verarbeitung kann erforderlich sein, um eine Bestellung abzuwickeln, eine Zahlung zuzuordnen, eine Lieferung zu organisieren oder eine andere vertraglich vereinbarte Leistung zu erbringen.
- Rechtliche Verpflichtung – Artikel 6 Absatz 1 Buchstabe c DSGVO: Daten können verarbeitet werden, soweit dies zur Erfüllung gesetzlicher Pflichten erforderlich ist, beispielsweise im Zusammenhang mit anwendbaren Buchführungs-, Steuer- oder Aufbewahrungspflichten.
- Berechtigte Interessen – Artikel 6 Absatz 1 Buchstabe f DSGVO: Eine Verarbeitung kann zulässig sein, wenn sie zur Wahrung berechtigter Interessen erforderlich ist und die Interessen oder Grundrechte der betroffenen Person nicht überwiegen. In Betracht kommen je nach Einzelfall beispielsweise die Sicherheit des Online-Shops, die Verhinderung von Betrug oder die Durchsetzung beziehungsweise Verteidigung von Rechtsansprüchen.
- Einwilligung – Artikel 6 Absatz 1 Buchstabe a DSGVO: Soweit eine Einwilligung erforderlich ist, muss sie freiwillig, informiert, eindeutig und auf einen bestimmten Zweck bezogen erteilt werden. Dies kann beispielsweise bestimmte Marketingaktivitäten oder nicht erforderliche Tracking-Technologien betreffen.
Nicht jede Verarbeitung setzt eine Einwilligung voraus. Eine erteilte Einwilligung kann nach Artikel 7 DSGVO jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmässigkeit der Verarbeitung vor dem Widerruf bleibt davon unberührt.
Die Verarbeitung besonderer Kategorien personenbezogener Daten nach Artikel 9 DSGVO wird nicht als Bestandteil der üblichen Bestell- und Kundenserviceprozesse vorausgesetzt. Sollte eine solche Verarbeitung stattfinden, muss zusätzlich eine einschlägige Ausnahme nach Artikel 9 DSGVO vorliegen.
4. Mögliche Zwecke der Verarbeitung
Soweit die DSGVO auf einen konkreten Verarbeitungsvorgang anwendbar ist, können personenbezogene Daten entsprechend den tatsächlichen Geschäftsvorgängen insbesondere für folgende Zwecke verarbeitet werden:
- Bearbeitung und Verwaltung von Bestellungen;
- Zuordnung und Abwicklung von Zahlungen;
- Organisation und Zustellung von Lieferungen sowie Mitteilung des Bestellstatus;
- Beantwortung von Anfragen und Bereitstellung des Kundenservice;
- Bearbeitung von Rückgabe-, Erstattungs- und Stornierungsanfragen;
- Erfüllung gesetzlicher Verpflichtungen;
- Schutz des Online-Shops und angemessene Massnahmen zur Verhinderung von Betrug und Missbrauch;
- statistische Auswertungen oder Marketingaktivitäten, sofern diese tatsächlich durchgeführt werden und eine geeignete Rechtsgrundlage besteht.
Welche dieser Zwecke tatsächlich verfolgt werden, richtet sich nach den eingesetzten Systemen und den konkreten Geschäftsvorgängen. Die Aufzählung stellt keine Bestätigung dar, dass sämtliche genannten Aktivitäten durchgeführt werden.
5. Empfänger personenbezogener Daten
Personenbezogene Daten dürfen nur dann an Dritte übermittelt werden, wenn dies für einen bestimmten Zweck erforderlich und rechtlich zulässig ist.
Je nach tatsächlichem Geschäftsablauf können Empfänger insbesondere folgende Kategorien umfassen:
- Zahlungsdienstleister zur Abwicklung oder Zuordnung von Zahlungen;
- Versand- und Logistikdienstleister zur Zustellung von Bestellungen;
- Hosting- und technische Dienstleister für den Betrieb des Online-Shops;
- Kundensupport-Dienstleister, sofern solche Dienste eingesetzt werden;
- Behörden oder andere berechtigte Stellen, sofern eine gesetzliche Verpflichtung oder eine andere gültige Rechtsgrundlage besteht.
Die Übermittlung ist auf die für den jeweiligen Zweck erforderlichen Daten zu beschränken. Die genannten Kategorien sind allgemeine Beispiele und bestätigen nicht den Einsatz bestimmter, nicht näher bezeichneter Anbieter oder Plattformen.
Personenbezogene Daten werden nicht beliebig weitergegeben und nicht allein zum Zweck des Verkaufs oder der Vermietung an Dritte überlassen.
6. Speicherdauer
Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist oder eine gesetzliche Aufbewahrungspflicht besteht.
Die Speicherdauer kann je nach Datenart und Verarbeitungsvorgang unterschiedlich sein. Dabei können insbesondere folgende Kriterien massgebend sein:
- Bestell- und Vertragsdaten: Dauer der Vertragsabwicklung sowie erforderliche Fristen für Rückfragen und Rechtsansprüche;
- Zahlungs- und Transaktionsunterlagen: anwendbare gesetzliche Buchführungs-, Steuer- und Aufbewahrungspflichten;
- Kundenservice-Kommunikation: Dauer der Bearbeitung des Anliegens und eine angemessene anschliessende Aufbewahrungszeit;
- technische Protokoll- und Sicherheitsdaten: Zeitraum, der für den sicheren Betrieb und die Fehleranalyse erforderlich ist.
Entfällt der jeweilige Zweck und besteht keine andere Rechtsgrundlage oder Aufbewahrungspflicht, werden die Daten nach den anwendbaren gesetzlichen Vorgaben gelöscht oder anonymisiert.
Konkrete Speicherfristen richten sich nach den tatsächlichen Verarbeitungsabläufen und den jeweils geltenden gesetzlichen Anforderungen. Eine einheitliche Frist für sämtliche Daten wird nicht festgelegt.
7. Internationale Datenübermittlungen
Soweit die DSGVO anwendbar ist und personenbezogene Daten in ein Land ausserhalb der EU beziehungsweise des Europäischen Wirtschaftsraums übermittelt werden, müssen die Anforderungen des Kapitels V DSGVO eingehalten werden.
Je nach konkretem Datenfluss kann eine Übermittlung insbesondere auf folgenden Grundlagen beruhen:
- Angemessenheitsbeschluss der Europäischen Kommission: Eine Übermittlung kann zulässig sein, wenn für das betreffende Land oder einen bestimmten Bereich ein angemessenes Datenschutzniveau anerkannt wurde.
- Geeignete Garantien nach Artikel 46 DSGVO: Dazu können insbesondere die von der Europäischen Kommission verabschiedeten Standardvertragsklauseln gehören, sofern die gesetzlichen Voraussetzungen erfüllt sind.
- Gesetzliche Ausnahmen nach Artikel 49 DSGVO: Diese kommen nur in den dort geregelten Fällen und unter den jeweiligen Voraussetzungen in Betracht.
Ob Daten tatsächlich in Drittländer übermittelt werden, welche Länder betroffen sind und welcher Übermittlungsmechanismus verwendet wird, hängt von den tatsächlichen Datenflüssen und den eingesetzten Dienstleistern ab.
Die in den Kontaktdaten angegebene Adresse in den USA belegt für sich allein weder eine Speicherung personenbezogener Daten in den USA noch eine Übermittlung dorthin. Es werden deshalb keine bestimmten Drittländer, Empfänger oder Übermittlungsmechanismen als tatsächlich eingesetzt vorausgesetzt.
8. Rechte betroffener Personen
Soweit die DSGVO auf die jeweilige Verarbeitung anwendbar ist und die gesetzlichen Voraussetzungen erfüllt sind, stehen betroffenen Personen insbesondere folgende Rechte zu:
- Auskunft – Artikel 15 DSGVO: Das Recht, Auskunft darüber zu erhalten, ob personenbezogene Daten verarbeitet werden, und unter den gesetzlichen Voraussetzungen eine Kopie dieser Daten zu verlangen.
- Berichtigung – Artikel 16 DSGVO: Das Recht, unrichtige personenbezogene Daten berichtigen und unvollständige Daten ergänzen zu lassen.
- Löschung – Artikel 17 DSGVO: Das Recht, unter bestimmten Voraussetzungen die Löschung personenbezogener Daten zu verlangen. Gesetzliche Aufbewahrungspflichten und andere gesetzliche Ausnahmen bleiben vorbehalten.
- Einschränkung der Verarbeitung – Artikel 18 DSGVO: Das Recht, unter den gesetzlichen Voraussetzungen eine Einschränkung der Verarbeitung zu verlangen.
- Datenübertragbarkeit – Artikel 20 DSGVO: Das Recht, bestimmte bereitgestellte personenbezogene Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder – soweit technisch machbar und gesetzlich vorgesehen – an einen anderen Verantwortlichen übertragen zu lassen. Dieses Recht gilt insbesondere für automatisierte Verarbeitungen auf Grundlage einer Einwilligung oder eines Vertrags.
- Widerspruch – Artikel 21 DSGVO: Das Recht, aus Gründen der besonderen Situation gegen bestimmte Verarbeitungen auf Grundlage von Artikel 6 Absatz 1 Buchstabe e oder f DSGVO Widerspruch einzulegen. Gegen die Verarbeitung personenbezogener Daten für Direktwerbung kann jederzeit Widerspruch eingelegt werden.
- Widerruf einer Einwilligung – Artikel 7 Absatz 3 DSGVO: Das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen.
- Rechte bei automatisierten Entscheidungen – Artikel 22 DSGVO: Unter den gesetzlichen Voraussetzungen das Recht, nicht einer ausschliesslich automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen zu werden. Gesetzliche Ausnahmen und Schutzvorkehrungen bleiben vorbehalten.
- Beschwerde – Artikel 77 DSGVO: Das Recht, bei einer zuständigen Datenschutzaufsichtsbehörde Beschwerde einzulegen, insbesondere im Mitgliedstaat des gewöhnlichen Aufenthalts, des Arbeitsplatzes oder des Orts des mutmasslichen Verstosses.
Diese Rechte gelten nicht uneingeschränkt. Ob und in welchem Umfang ein Recht ausgeübt werden kann, richtet sich nach den jeweiligen Voraussetzungen und Ausnahmen der DSGVO.
Anfragen können über die nachstehend angegebenen Kontaktmöglichkeiten eingereicht werden. Soweit erforderlich, kann zur Vermeidung einer unbefugten Offenlegung eine angemessene Identitätsprüfung vorgenommen werden. Die Bearbeitung erfolgt innerhalb der gesetzlichen Fristen.
9. Datensicherheit und Datenschutzverletzungen
Soweit die DSGVO anwendbar ist, müssen geeignete technische und organisatorische Massnahmen gemäss Artikel 32 DSGVO getroffen werden. Das erforderliche Schutzniveau richtet sich insbesondere nach Art, Umfang, Umständen und Zweck der Verarbeitung sowie nach den damit verbundenen Risiken.
Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, sind die Artikel 33 und 34 DSGVO zu beachten, soweit sie anwendbar sind:
- Die zuständige Aufsichtsbehörde ist grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden der Verletzung zu benachrichtigen, wenn die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.
- Betroffene Personen sind unverzüglich zu informieren, wenn voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten besteht und keine gesetzliche Ausnahme greift.
Ob eine Meldung oder Benachrichtigung erforderlich ist, richtet sich nach der konkreten Situation und den gesetzlichen Voraussetzungen. Eine absolute Sicherheit der Datenverarbeitung kann nicht gewährleistet werden.
10. Datenschutzbeauftragter und Vertreter in der EU
Ob ein Datenschutzbeauftragter oder ein Vertreter in der Europäischen Union zu benennen ist, richtet sich nach den gesetzlichen Voraussetzungen der DSGVO.
Datenschutzbeauftragter
Nach Artikel 37 DSGVO ist ein Datenschutzbeauftragter insbesondere zu benennen, wenn:
- die Verarbeitung durch eine Behörde oder öffentliche Stelle erfolgt, vorbehaltlich der gesetzlichen Ausnahmen;
- die Kerntätigkeit eine umfangreiche, regelmässige und systematische Überwachung betroffener Personen erforderlich macht; oder
- die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten nach Artikel 9 DSGVO oder von Daten über strafrechtliche Verurteilungen und Straftaten nach Artikel 10 DSGVO besteht.
Ob eine solche Pflicht besteht, muss anhand der tatsächlichen Tätigkeiten und Verarbeitungsvorgänge beurteilt werden.
Vertreter in der Europäischen Union
Nach Artikel 27 DSGVO kann ein Verantwortlicher oder Auftragsverarbeiter ohne Niederlassung in der EU verpflichtet sein, schriftlich einen Vertreter in der EU zu benennen, wenn die DSGVO aufgrund von Artikel 3 Absatz 2 anwendbar ist.
Eine Ausnahme kann insbesondere dann gelten, wenn die Verarbeitung nur gelegentlich erfolgt, keine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten oder von Daten über strafrechtliche Verurteilungen und Straftaten einschliesst und voraussichtlich kein Risiko für die Rechte und Freiheiten betroffener Personen besteht.
Auf Grundlage der derzeit vorliegenden Angaben wird keine bestehende Benennung eines Datenschutzbeauftragten oder EU-Vertreters vorausgesetzt. Sollte eine gesetzliche Benennungspflicht bestehen, sind die entsprechenden Angaben vor der Veröffentlichung zu ergänzen.
11. Änderungen dieser Richtlinie
Diese Richtlinie kann angepasst werden, wenn sich die rechtlichen Anforderungen oder die für ihren Inhalt relevanten Umstände ändern.
Die jeweils aktuelle Fassung wird auf dieser Website veröffentlicht. Soweit gesetzlich erforderlich, werden betroffene Personen in geeigneter Weise über wesentliche Änderungen informiert.
Eine Aktualisierung dieser Richtlinie begründet für sich allein keine erneute Einwilligungspflicht. Ob eine Einwilligung erforderlich ist, richtet sich nach dem jeweiligen Verarbeitungsvorgang und den anwendbaren gesetzlichen Bestimmungen.
12. Kontakt
Bei Fragen zu dieser DSGVO-Richtlinie oder zur Ausübung von Rechten nach der DSGVO können Sie Haverleigh über folgende Kontaktmöglichkeiten erreichen:
Adresse: 238 Wabash Woods Way, O Fallon, MO 63366, USA
Telefon: +1 (636) 272-4916
E-Mail: customer@haverleigh.com
Servicezeiten: Montag bis Freitag, 09:00 bis 18:00 Uhr (Mitteleuropäische Zeit, CET)