Hinweis zu internationalen Datenübermittlungen

Umfang und Zweck der Übermittlungen

Einige technische Dienste, etwa Hosting, Content Delivery, Benachrichtigungen, App-Store-Verifizierung, Videokommunikation, Sicherheit, künstliche Intelligenz oder OCR, können einen im Ausland ansässigen Anbieter oder Fernzugriff aus dem Ausland einbeziehen. Eine Übermittlung ist auf die Daten beschränkt, die erforderlich sind, um die von der Nutzerin angeforderte Funktion bereitzustellen, das System sicher zu betreiben oder eine gesetzliche Pflicht zu erfüllen.

Die Datenkategorien hängen von der jeweiligen Funktion ab. Direkte Identifikatoren und Gesundheitsdaten dürfen nicht übermittelt werden, wenn sie nicht erforderlich sind. Der tatsächliche Einsatz von Pseudonymisierung, Maskierung, Trennung und Zugriffsbeschränkung nach dem Prinzip der geringsten Berechtigung muss für jeden geeigneten Ablauf praktisch überprüft werden. Ein bestimmtes Land des Anbieters, Rechenzentrum oder eine dauerhaft unveränderte Infrastruktur wird nicht zugesichert, bevor dies geprüft wurde.

Eine regelmäßige Übermittlung beginnt erst, wenn ein vorrangiger Mechanismus wie eine Angemessenheitsentscheidung oder eine geeignete Garantie nach dem KVKK eingerichtet und praktisch überprüft wurde. Eine ausdrückliche Einwilligung behebt das Fehlen eines solchen Mechanismus grundsätzlich nicht und kommt nur gesondert für eine konkrete, gelegentliche Übermittlung in Betracht, die die gesetzlichen Voraussetzungen erfüllt.

Schutzmaßnahmen und Benutzerrechte

• Anbieterauswahl, Zweckbindung, Vertraulichkeit, Zugriffskontrollen, Vorfallbenachrichtigung, Lösch- oder Rückgabepflichten, Audits und Unterauftragsverarbeitung müssen in einem Vertrag oder Datenverarbeitungszusatz abgeschlossen und operativ überprüft werden.
• Risikoangemessene Verschlüsselungs-, Authentifizierungs-, Protokollierungs- und Datenminimierungskontrollen müssen im tatsächlichen Übertragungs- und Speicherfluss überprüft werden; absolute Sicherheit wird nicht garantiert.
• Nutzerinnen können Auskunft über Empfängerkategorien und den anwendbaren Übermittlungsmechanismus verlangen, eine einschlägige Einwilligung widerrufen und ihre KVKK-Rechte über [email protected] ausüben.