RECHTLICHE  INFORMATIONEN

Richtlinie zum Schutz der Privatsphäre und personenbezogener Daten Juni 2026.

Änderungshistorie
Version : 

Datum  :

Autor der Änderung  :

Zusammenfassung der Änderung:
           

Zweck:
Der Zweck dieses Dokuments besteht darin, die organisatorischen Verantwortlichkeiten und den Schutz personenbezogener Daten festzulegen. Dieses Dokument behandelt die Bestimmungen von Kapitel II der Datenschutz-Grundverordnung sowie Kapitel IV – Verantwortlicher und Auftragsverarbeiter, Artikel 24 bis 31 der Datenschutz-Grundverordnung.
Inhaltsverzeichnis
1 Einleitung
2 Richtlinie zum Schutz der Privatsphäre und personenbezogener Daten
2.1 Datenschutz-Grundverordnung
2.2 Begriffsbestimmungen
2.3 Grundsätze der Verarbeitung personenbezogener Daten
2.4 Rechte der betroffenen Personen
2.5 Rechtmäßigkeit der Datenverarbeitung
2.5.1 Einwilligung
2.5.2 Vertragserfüllung
2.5.3 Einhaltung rechtlicher Verpflichtungen
2.5.4 Lebenswichtige Interessen der betroffenen Person
2.5.5 Die Verarbeitung ist zur Wahrnehmung einer Aufgabe im öffentlichen Interesse erforderlich
2.5.6 Berechtigte Interessen
2.6 Technischer Datenschutz
2.7 Verträge, die die Verarbeitung personenbezogener Daten umfassen
2.8 Grenzüberschreitende Übermittlung personenbezogener Daten
2.9 Datenschutzbeauftragter (DPO)
2.10 Meldung von Verletzungen des Schutzes personenbezogener Daten
2.11 Einhaltung der Datenschutz-Grundverordnung

Tabellenverzeichnis

Tabelle 1 – Fristen zur Wahrung der Rechte der betroffenen Person

1 Einleitung
Im Rahmen seiner täglichen Geschäftstätigkeit verwendet ZENITH, Gewerbebetrieb für Immobilienvermittlung, Inh. Zvonimir Rakić, Vodice, Ante Starčevića 25, OIB: 96044650550 (im Folgenden: Gewerbebetrieb) verschiedene personenbezogene Daten von Personen, anhand derer deren Identität festgestellt werden kann, einschließlich Daten über:
-    aktuelle, ehemalige und künftige Arbeitnehmer sowie andere im Rahmen einer Beschäftigung tätige Personen;
-    Klienten, Auftraggeber, Käufer, Verkäufer, Mieter, Vermieter, Pächter und Verpächter;
-    Lieferanten, Geschäftspartner, externe Mitarbeiter und Dienstleister;
-    Eigentümer, Miteigentümer, Bevollmächtigte und andere Personen, die mit den Immobilien, die Gegenstand der Vermittlung sind, verbunden sind;
-    Personen, die an Besichtigungen, Verhandlungen, dem Abschluss oder der Durchführung von Rechtsgeschäften im Zusammenhang mit Immobilien teilnehmen;
-    den Gewerbetreibenden bzw. den Inhaber des Gewerbebetriebs;
-    Personen, die die Geschäftsräume des Gewerbebetriebs betreten oder auf andere Weise mit dem Gewerbebetrieb kommunizieren;
-    Ausführende, Subunternehmer, Planer, Bauleiter und andere Personen, die an der Gestaltung, Instandhaltung, Anpassung oder dem Bau von Immobilien beteiligt sind, die mit der Geschäftstätigkeit des Gewerbebetriebs verbunden sind.
Bei der Erhebung und Nutzung der genannten Daten handelt der Gewerbebetrieb in Übereinstimmung mit den maßgeblichen Vorschriften, die die Art und Weise der Durchführung solcher Tätigkeiten sowie die zu gewährleistenden Schutzmaßnahmen für den Schutz solcher Tätigkeiten festlegen.
Der Zweck dieser Richtlinie besteht darin, die maßgeblichen Vorschriften festzulegen und die Schritte zu beschreiben, die der Gewerbebetrieb unternimmt, um sicherzustellen, dass ein solches Vorgehen mit den maßgeblichen Vorschriften im Einklang steht.
Diese Kontrolle findet auf alle Systeme, Personen und Prozesse Anwendung, die einen integralen Bestandteil des Informationssystems der Organisation bilden, einschließlich Arbeitnehmer, Lieferanten und andere dritte Personen, die Zugang zum Informationssystem des Gewerbebetriebs haben.

2 Richtlinie zum Schutz der Privatsphäre und personenbezogener Daten

2.1 Datenschutz-Grundverordnung
Die Datenschutz-Grundverordnung 2016 (im Folgenden: Datenschutz-Grundverordnung) ist eine der bedeutendsten Vorschriften, die festlegt, auf welche Weise der Gewerbebetrieb seine Tätigkeiten im Zusammenhang mit der Verarbeitung personenbezogener Daten ausübt. Für Verstöße gegen die Datenschutz-Grundverordnung sind hohe Geldbußen vorgesehen, die zum Schutz der personenbezogenen Daten der Bürger der Europäischen Union festgelegt wurden. Der Gewerbebetrieb gewährleistet durch seine Richtlinie die Einhaltung der Datenschutz-Grundverordnung und anderer maßgeblicher Vorschriften auf klare Weise, die jederzeit auch nachgewiesen werden kann.

2.2 Begriffsbestimmungen
Die Datenschutz-Grundverordnung führt 26 Begriffsbestimmungen an, und es ist nicht erforderlich, alle Begriffsbestimmungen in diesem Dokument anzuführen. Als grundlegende Begriffsbestimmungen dieser Richtlinie werden jedoch folgende Begriffe hervorgehoben:
„Personenbezogene Daten bedeutet:
alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt identifiziert werden kann, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.
„Verarbeitung bedeutet:
jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.
„Verantwortlicher bedeutet:
die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden.

2.3 Grundsätze der Verarbeitung personenbezogener Daten
Es gibt mehrere Grundprinzipien, auf denen die Datenschutz-Grundverordnung beruht.
Die genannten Grundsätze sind die folgenden:
1. Personenbezogene Daten müssen:
(a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz");
(b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Art. 89 Abs. 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung");
(c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung");
(d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit");
(e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit sie vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die diese Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person vorschreibt, ausschließlich für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung");
(f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit");
2. Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht").
Der Gewerbebetrieb gewährleistet ein Handeln im Einklang mit den genannten Grundsätzen sowohl bei der derzeit durchgeführten Verarbeitung personenbezogener Daten als auch bei der Einführung neuer Methoden zur Verarbeitung personenbezogener Daten, wie beispielsweise neuer IT-Systeme.

2.4 Rechte der betroffenen Personen
Die betroffene Person hat bestimmte Rechte gemäß der Datenschutz-Grundverordnung. Die Rechte der betroffenen Person bestehen aus folgenden Rechten:
1.    Recht auf Information;
2.    Recht auf Auskunft;
3.    Recht auf Berichtigung;
4.    Recht auf Löschung;
5.    Recht auf Einschränkung der Verarbeitung;
6.    Recht auf Datenübertragbarkeit;
7.    Recht auf Widerspruch;
8.    Rechte im Zusammenhang mit automatisierten Entscheidungen im Einzelfall einschließlich Profiling.
Jedes der genannten Rechte wird durch entsprechende interne Regelungen des Gewerbebetriebs gewährleistet, die die erforderlichen Maßnahmen innerhalb der gemäß der Datenschutz-Grundverordnung festgelegten Fristen ermöglichen.
Zur Wahrung der genannten Rechte der betroffenen Person sind Fristen vorgesehen, die in Tabelle 1 dargestellt sind.
Antrag der betroffenen Person    Frist
Recht auf Information    Während der Datenerhebung (wenn die Daten von der betroffenen Person erhoben werden) oder innerhalb eines Monats (wenn die Daten aus einer anderen Quelle stammen)
Recht auf Auskunft    Einen Monat ab Eingang des Antrags
Recht auf Berichtigung    Einen Monat ab Eingang des Antrags
Recht auf Löschung    Unverzüglich
Recht auf Einschränkung der Verarbeitung    Unverzüglich
Recht auf Datenübertragbarkeit    Einen Monat ab Eingang des Antrags
Recht auf Widerspruch    Zum Zeitpunkt des Eingangs des Widerspruchs
Recht im Zusammenhang mit automatisierten Entscheidungen und Profiling    Nicht festgelegt

Tabelle 1 – Fristen zur Wahrung der Rechte der betroffenen Person

2.5 Rechtmäßigkeit der Datenverarbeitung
Es gibt sechs alternative Möglichkeiten, wie die Rechtmäßigkeit der Verarbeitung personenbezogener Daten in jedem Einzelfall gemäß der Datenschutz-Grundverordnung erreicht wird. Es ist Aufgabe des Gewerbebetriebs, durch seine Richtlinie die Rechtsgrundlage für die Verarbeitung personenbezogener Daten gemäß der Datenschutz-Grundverordnung zu identifizieren und zu dokumentieren.
Rechtsgrundlagen der Verarbeitung personenbezogener Daten:
-    Vertragserfüllung / vorvertragliche Maßnahmen: Vermittlungsverträge, Kommunikation mit dem Auftraggeber, Käufer, Verkäufer, Vermieter, Mieter;
-    rechtliche Verpflichtung: Buchhaltung, Steuern, Geldwäscheprävention (AML/KYC), Verpflichtungen aus den Vorschriften über die Immobilienvermittlung;
-    berechtigtes Interesse: Geltendmachung von Rechtsansprüchen, Nachweis von Besichtigungen, Kommunikation mit Geschäftspartnern, Sicherheit der Räumlichkeiten, gegebenenfalls Forderungseinzug;
-    Einwilligung: Newsletter, Werbemitteilungen, Veröffentlichung von Fotografien von Personen, Nutzung spezieller Marketing-Tools, die für die Basisdienstleistung nicht erforderlich sind.
Die Möglichkeiten werden in den nachfolgenden Abschnitten kurz beschrieben.

2.5.1 Einwilligung
Der Gewerbebetrieb holt die Einwilligung der betroffenen Person nur in den Fällen ein, in denen die Einwilligung eine geeignete und erforderliche Rechtsgrundlage für die Verarbeitung personenbezogener Daten darstellt, insbesondere für bestimmte Marketingaktivitäten, den Versand von Newslettern, die Veröffentlichung von Fotografien von Personen, die Nutzung bestimmter Cookies oder anderer Tools, die für die Vertragserfüllung, die Einhaltung einer rechtlichen Verpflichtung oder die Wahrung eines berechtigten Interesses des Gewerbebetriebs nicht erforderlich sind.
Beruht die Verarbeitung auf einer Einwilligung, stellt der Gewerbebetrieb sicher, dass die Einwilligung freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben wird. Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen, wobei der Widerruf der Einwilligung die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt.
Der Gewerbebetrieb verwendet die Einwilligung nicht als Rechtsgrundlage für die Verarbeitung, wenn eine andere geeignete Rechtsgrundlage besteht, beispielsweise die Vertragserfüllung, die Durchführung von Maßnahmen vor Vertragsabschluss, die Erfüllung einer rechtlichen Verpflichtung oder die Wahrung eines berechtigten Interesses.

2.5.2 Vertragserfüllung
Eine ausdrückliche Einwilligung der betroffenen Person ist nicht erforderlich, wenn die Erhebung und Verarbeitung personenbezogener Daten zur Erfüllung eines Vertrags erforderlich ist, dessen Vertragspartei die betroffene Person ist. Dies wird häufig der Fall sein, wenn der Vertrag ohne Erhebung und Verarbeitung personenbezogener Daten nicht erfüllt werden kann, z. B. kann eine Lieferung ohne Angabe der Lieferadresse nicht erfolgen.

2.5.3 Einhaltung rechtlicher Verpflichtungen
Eine ausdrückliche Einwilligung der betroffenen Person ist nicht erforderlich, wenn personenbezogene Daten zur Einhaltung gesetzlicher Verpflichtungen erhoben und verarbeitet werden. Dies kann bei bestimmten Daten im Zusammenhang mit Beschäftigung und Besteuerung sowie in Fällen im Zusammenhang mit dem Tätigkeitsbereich des öffentlichen Sektors der Fall sein.

2.5.4 Lebenswichtige Interessen der betroffenen Person
Sind personenbezogene Daten erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen, so stellt dies eine rechtmäßige Grundlage für die Verarbeitung personenbezogener Daten dar. Wird dieser Grund als rechtmäßige Grundlage für die Erhebung personenbezogener Daten herangezogen, geht der Gewerbebetrieb bei der Beurteilung des Vorliegens einer rechtmäßigen Grundlage angemessen vor und dokumentiert die Nachweise, die das Vorliegen einer solchen rechtmäßigen Grundlage für die Erhebung personenbezogener Daten bestätigen. Diese Grundlage kann beispielsweise in Aspekten der Sozialfürsorge, insbesondere im öffentlichen Sektor, herangezogen werden.

2.5.5 Die Verarbeitung ist zur Wahrnehmung einer Aufgabe im öffentlichen Interesse erforderlich
Muss der Gewerbebetrieb eine Aufgabe wahrnehmen, von der er annimmt, dass sie im öffentlichen Interesse liegt, oder die zur Ausübung einer amtlichen Funktion erforderlich ist, ist eine ausdrückliche Einwilligung der betroffenen Person nicht erforderlich. Die Beurteilung des öffentlichen Interesses oder der amtlichen Funktion wird dokumentiert und im Bedarfsfall als Nachweis zur Verfügung gestellt.

2.5.6 Berechtigte Interessen
Ist die Verarbeitung bestimmter Daten zum Schutz der berechtigten Interessen des Gewerbebetriebs erforderlich und wird angenommen, dass diese die Rechte und Freiheiten der betroffenen Person nicht in erheblichem Maße beeinträchtigt, kann dies einen rechtmäßigen Grund für die Verarbeitung personenbezogener Daten darstellen. Die Begründung für das Vorliegen dieses Grundes ist zu dokumentieren.
Immobilienwerbung und Fotografien
Im Rahmen der Ausübung der Tätigkeit der Immobilienvermittlung kann der Gewerbebetrieb personenbezogene Daten im Zusammenhang mit den Immobilien, die Gegenstand der Vermittlung sind, verarbeiten, einschließlich Fotografien, Aufnahmen, Beschreibungen, Dokumentation und anderer Daten, die für die Bewerbung, Präsentation und Vermittlung beim Verkauf, Kauf, der Miete oder Pacht von Immobilien erforderlich sind.
Beim Fotografieren, Aufnehmen und Bewerben von Immobilien achtet der Gewerbebetrieb darauf, dass keine personenbezogenen Daten der betroffenen Person veröffentlicht werden, die für die Bewerbung der Immobilie nicht erforderlich sind, einschließlich Fotografien von Personen, persönlicher Dokumente, Familienfotos, privater Korrespondenz, Rechnungen, Kfz-Kennzeichen, medizinischer Dokumentation, Finanzdokumentation und anderer Gegenstände oder Daten, aus denen sich die Identität einer bestimmten Person direkt oder indirekt feststellen lässt.
Der Gewerbebetrieb wird, sofern zutreffend und in zumutbarer Weise möglich, vor der Veröffentlichung von Fotografien oder Aufnahmen der Immobilie personenbezogene Daten und andere Identifikationsmerkmale entfernen oder unkenntlich machen, die für die Bewerbung der Immobilie nicht erforderlich sind.
Die Veröffentlichung von Angaben zur Immobilie und von Fotografien der Immobilie erfolgt zum Zweck der Erfüllung des Vermittlungsvertrags, der Durchführung vorvertraglicher Maßnahmen, der Bewerbung der Immobilie und der Wahrung des berechtigten Interesses des Gewerbebetriebs und des Auftraggebers an der Suche nach interessierten Käufern, Mietern, Pächtern oder anderen Vertragsparteien.

Empfänger personenbezogener Daten
Der Gewerbebetrieb verarbeitet personenbezogene Daten ausschließlich in dem Umfang, der für die Ausübung der registrierten Tätigkeit, die Erfüllung vertraglicher und gesetzlicher Verpflichtungen sowie den Schutz seiner Rechte und berechtigten Interessen erforderlich ist.
Je nach Verarbeitungszweck können personenbezogene Daten an folgende Kategorien von Empfängern übermittelt werden:
a)    Käufer, Verkäufer, Vermieter, Mieter, Verpächter, Pächter, Auftraggeber und andere Personen, die an dem mit der Immobilie verbundenen Rechtsgeschäft beteiligt sind;
b)    Bevollmächtigte, Rechtsanwälte, Notare, Banken, Kreditinstitute, Gutachter, Geodäten, Energieausweis-Zertifizierer und andere Fachpersonen, die an der Vorbereitung, dem Abschluss oder der Durchführung des Rechtsgeschäfts beteiligt sind;
c)    Buchhaltungsdienstleister, Steuerberater und andere externe Dienstleister, die für den Gewerbebetrieb administrative, buchhalterische, steuerliche, IT- oder andere Geschäftsdienstleistungen erbringen;
d)    Anbieter von IT-, Kommunikations-, Hosting-, E-Mail-, CRM-, Marketing- und ähnlichen Dienstleistungen;
e)    Portale und Plattformen zur Immobilienwerbung, sofern dies zur Bewerbung der Immobilie erforderlich ist;
f)    zuständige Behörden, einschließlich der Steuerverwaltung, des Amts für Geldwäscheprävention, Gerichte, Notare, zuständige Ministerien und andere öffentlich-rechtliche Stellen, sofern hierfür eine gesetzliche Verpflichtung oder eine andere rechtmäßige Grundlage besteht.
Der Gewerbebetrieb schließt, soweit erforderlich, mit externen Auftragsverarbeitern entsprechende Verträge oder andere Rechtsakte ab, die den Schutz personenbezogener Daten sowie die Verpflichtung regeln, ausschließlich nach den Weisungen des Gewerbebetriebs zu handeln.
Website, Cookies und Online-Kommunikation
Nutzt der Gewerbebetrieb eine Website, Kontaktformulare, elektronische Post, soziale Netzwerke, Analysetools, Marketing-Tools oder andere Formen der Online-Kommunikation, können personenbezogene Daten der betroffenen Person auch auf diesem Weg verarbeitet werden.
Über die Website oder Online-Kommunikationskanäle kann der Gewerbebetrieb personenbezogene Daten wie Vor- und Nachname, Kontaktdaten, Inhalt der Anfrage, Angaben zur Immobilie, an der die betroffene Person Interesse zeigt, IP-Adresse, technische Daten zum Gerät und Browser sowie andere Daten verarbeiten, die die betroffene Person dem Gewerbebetrieb selbst zur Verfügung stellt.
Nutzt der Gewerbebetrieb Cookies oder ähnliche Technologien, wird er den betroffenen Personen einen klaren und zugänglichen Hinweis auf die Arten der Cookies, deren Zweck, Dauer und die Möglichkeit zur Verwaltung der Cookie-Einstellungen geben.
Cookies, die für die Funktion der Website nicht notwendig sind, insbesondere analytische und Marketing-Cookies, werden nur verwendet, wenn hierfür eine geeignete Rechtsgrundlage besteht, einschließlich der Einwilligung der betroffenen Person, sofern diese erforderlich ist.
Der Gewerbebetrieb kann soziale Netzwerke und Internetplattformen zur Bewerbung von Immobilien, zur Kommunikation mit Klienten und interessierten Personen sowie zur Bewerbung seiner Dienstleistungen nutzen. In diesem Fall unterliegt die Verarbeitung personenbezogener Daten über solche Plattformen auch den Datenschutzbestimmungen des jeweiligen Plattformanbieters.

2.6 Technischer Datenschutz
Der Gewerbebetrieb hat den Grundsatz des technischen Datenschutzes übernommen und wird sicherstellen, dass die Festlegung und Planung aller neuen oder wesentlichen Änderungen von Systemen, die personenbezogene Daten erheben oder verarbeiten, den Datenschutzregeln unterliegen, einschließlich der Durchführung einer oder mehrerer Datenschutz-Folgenabschätzungen.
Die Datenschutz-Folgenabschätzung umfasst:
-    die Betrachtung, auf welche Weise personenbezogene Daten verarbeitet werden und zu welchen Zwecken
-    die Beurteilung, ob die vorgeschlagene Verarbeitung personenbezogener Daten für den Zweck/die Zwecke erforderlich und verhältnismäßig ist
-    die Beurteilung der Risiken für die Personen bei der Verarbeitung personenbezogener Daten
-    welche Kontrollen zur Bewältigung der festgestellten Risiken und zum Nachweis der Einhaltung der Vorschriften erforderlich sind.
Die Anwendung von Techniken wie der Minimierung personenbezogener Daten und der Pseudonymisierung wird berücksichtigt, wo dies anwendbar und angemessen ist.

2.7 Verträge, die die Verarbeitung personenbezogener Daten umfassen
Der Gewerbebetrieb wird sicherstellen, dass alle Beziehungen, in die er eintritt und die die Verarbeitung personenbezogener Daten umfassen, Gegenstand eines schriftlichen Vertrags sind, der die in der Datenschutz-Grundverordnung vorgeschriebenen spezifischen Informationen und Bedingungen enthält.

2.8 Grenzüberschreitende Übermittlung personenbezogener Daten
Der Gewerbebetrieb übermittelt personenbezogene Daten in der Regel nicht an Drittländer außerhalb des Europäischen Wirtschaftsraums.
Kommt es aufgrund der Nutzung von IT-, Kommunikations-, Hosting-, Cloud-, Marketing-, Analyse- oder anderen Tools, deren Dienstanbieter personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten können, zu einer solchen Übermittlung, stellt der Gewerbebetrieb sicher, dass die Übermittlung nur erfolgt, wenn hierfür eine geeignete Rechtsgrundlage besteht und wenn die von der Datenschutz-Grundverordnung vorgeschriebenen angemessenen Garantien gewährleistet sind.
Solche Garantien können einen Angemessenheitsbeschluss der Europäischen Kommission, Standardvertragsklauseln, zusätzliche technische und organisatorische Schutzmaßnahmen oder andere von der Datenschutz-Grundverordnung zugelassene Mechanismen umfassen.
Verzeichnis von Verarbeitungstätigkeiten
Der Gewerbebetrieb führt gemäß der Datenschutz-Grundverordnung ein Verzeichnis von Verarbeitungstätigkeiten in dem Umfang, der angesichts der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung personenbezogener Daten anwendbar ist.
Das Verzeichnis von Verarbeitungstätigkeiten kann insbesondere folgende Tätigkeiten umfassen:

g)    Vermittlung beim Verkauf, Kauf, der Miete und Pacht von Immobilien;
h)    Abschluss und Erfüllung von Vermittlungsverträgen;
i)    Kommunikation mit Auftraggebern, Käufern, Verkäufern, Mietern, Vermietern, Pächtern, Verpächtern und anderen interessierten Personen;
j)    Bewerbung von Immobilien;
k)    Organisation und Dokumentation von Immobilienbesichtigungen;
l)    Verarbeitung von Eigentums-, Grundbuch-, Bau-, Nutzungs-, Energie- und sonstiger mit Immobilien verbundener Dokumentation;
m)    Durchführung von Maßnahmen zur Verhinderung von Geldwäsche und Terrorismusfinanzierung, sofern anwendbar;
n)    Buchhaltung, Rechnungsstellung und Erfüllung steuerlicher Pflichten;
o)    Verarbeitung von Daten der Arbeitnehmer, Stellenbewerber und anderer im Rahmen einer Beschäftigung tätiger Personen;
p)    Kommunikation mit Geschäftspartnern, Lieferanten und externen Mitarbeitern;
q)    Marketing, Newsletter und andere Werbeaktivitäten, sofern durchgeführt;
r)    Verarbeitung von Daten über die Website, Cookies, soziale Netzwerke und Online-Tools, sofern genutzt;
s)    Videoüberwachung, sofern durchgeführt.

Das Verzeichnis von Verarbeitungstätigkeiten enthält insbesondere den Namen und die Kontaktdaten des Gewerbebetriebs, die Verarbeitungszwecke, eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten, die Kategorien der Empfänger personenbezogener Daten, Informationen über Übermittlungen an Drittländer, sofern vorhanden, die vorgesehenen Speicherfristen sowie eine allgemeine Beschreibung der technischen und organisatorischen Schutzmaßnahmen.
Datenverarbeitung nach dem Gesetz zur Verhinderung von Geldwäsche und Terrorismusfinanzierung
Der Gewerbebetrieb verarbeitet personenbezogene Daten von Parteien und anderen relevanten Personen zur Durchführung von Maßnahmen zur Verhinderung von Geldwäsche und Terrorismusfinanzierung, einschließlich der Identifizierung und Überprüfung der Identität der Partei, der Feststellung des wirtschaftlichen Eigentümers, der Überprüfung des Zwecks und der Art der Geschäftsbeziehung sowie anderer durch besondere Vorschriften vorgeschriebener Maßnahmen.
Gegenstand der Verarbeitung personenbezogener Daten können sein: Vor- und Nachname, OIB (persönliche Identifikationsnummer), Adresse, Geburtsdatum, Staatsangehörigkeit, Kopie des Personalausweises/Reisepasses, Angaben zum wirtschaftlichen Eigentümer, Angaben zu politisch exponierten Personen, Angaben zur Transaktion und zum Kaufpreis.

Aufbewahrungsfrist personenbezogener Daten:
Kategorie der Dokumentation    Aufbewahrungsfrist
Vermittlungsverträge, Besichtigungsbestätigungen, geschäftsbezogene Kommunikation    mindestens bis zum Ablauf der Verjährungsfristen für Forderungen
Rechnungen und Buchhaltungsunterlagen    mindestens 11 Jahre
AML/KYC-Dokumentation    10 Jahre
Unterlagen von Stellenbewerbern, die nicht eingestellt wurden    z. B. 6 Monate, sofern der Bewerber nicht einer längeren Aufbewahrung zustimmt
Marketing-Einwilligungen    bis zum Widerruf der Einwilligung
Anfragen interessierter Käufer/Mieter    angemessen begrenzt, z. B. 12–24 Monate, je nach Geschäftszweck

Grenzüberschreitende Übermittlung personenbezogener Daten
Die Übermittlung personenbezogener Daten außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums wird vor der eigentlichen Übermittlung sorgfältig geprüft, um die Einhaltung des von der Datenschutz-Grundverordnung vorgegebenen Rahmens sicherzustellen. Diese Übermittlung hängt teilweise von der Beurteilung der Europäischen Kommission hinsichtlich der Angemessenheit der im Empfängerstaat angewandten Datenschutzmaßnahmen ab, was sich im Laufe der Zeit ändern kann.
Die internationale Übermittlung personenbezogener Daten innerhalb der Gruppe unterliegt rechtsverbindlichen Vereinbarungen, die verbindliche interne Datenschutzvorschriften gemäß Art. 47 der Datenschutz-Grundverordnung darstellen, mit denen die Rechte der betroffenen Personen gewährleistet werden; in Ermangelung solcher wird der Gewerbebetrieb Standardvertragsklauseln zum Datenschutz verwenden.

2.9 Datenschutzbeauftragter
Der Gewerbebetrieb ist nicht verpflichtet, einen Datenschutzbeauftragten zu benennen, es sei denn, in seiner Geschäftstätigkeit sind die in Artikel 37 der Datenschutz-Grundverordnung vorgeschriebenen Voraussetzungen erfüllt, insbesondere wenn die Kerntätigkeiten des Gewerbebetriebs eine regelmäßige und systematische umfangreiche Beobachtung von betroffenen Personen oder eine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten umfassen würden.
Angesichts der Art und des Umfangs der Geschäftstätigkeit führt der Gewerbebetrieb in der Regel keine Verarbeitung personenbezogener Daten durch, die die verpflichtende Benennung eines Datenschutzbeauftragten erfordern würde.
Unabhängig davon kann der Gewerbebetrieb freiwillig eine Person benennen, die für Fragen des Datenschutzes zuständig ist, oder eine Kontaktperson bestimmen, an die sich betroffene Personen bezüglich der Ausübung ihrer Rechte und in Fragen der Verarbeitung personenbezogener Daten wenden können.

2.10 Meldung von Verletzungen des Schutzes personenbezogener Daten
Die Richtlinie des Gewerbebetriebs muss fair und verhältnismäßig sein, wenn die Maßnahmen erwogen werden, die erforderlich sind, um betroffene Personen zu informieren, bei denen eine Verletzung des Schutzes personenbezogener Daten aufgetreten ist. Gemäß der Datenschutz-Grundverordnung wird die Aufsichtsbehörde im Falle einer Verletzung des Schutzes personenbezogener Daten, sofern diese voraussichtlich ein Risiko für die Rechte und Freiheiten der betroffenen Person zur Folge hat, innerhalb von 72 Stunden benachrichtigt. Dies erfolgt gemäß den Verhaltensregeln bei Sicherheitsvorfällen nach dem Verfahren des Gewerbebetriebs, das den gesamten Prozess des Managements von Informationssicherheitsvorfällen festlegt.
Gemäß der Datenschutz-Grundverordnung kann die zuständige Datenschutzbehörde bei Verstößen gegen die Bestimmungen Geldbußen von bis zu 4 % des weltweiten Jahresgesamtumsatzes bzw. 20 Millionen EUR verhängen.

2.11 Einhaltung der Datenschutz-Grundverordnung
Folgende Maßnahmen werden ergriffen, um sicherzustellen, dass der Gewerbebetrieb jederzeit den in der Datenschutz-Grundverordnung festgelegten Grundsätzen entspricht:
-    die Rechtsgrundlage für die Verarbeitung personenbezogener Daten ist klar und eindeutig;
-    ein Datenschutzbeauftragter wurde mit spezifischer Verantwortung für den Datenschutz in der Organisation benannt (sofern erforderlich);
-    alle Arbeitnehmer, die am Umgang mit personenbezogenen Daten beteiligt sind, verstehen ihre Verantwortlichkeiten im Zusammenhang mit bewährten Praktiken zum Schutz personenbezogener Daten;
-    allen Arbeitnehmern wird eine Schulung im Bereich des Schutzes personenbezogener Daten angeboten;
-    die Vorschriften über Einwilligungen werden eingehalten;
-    betroffenen Personen, die ihre Rechte in Bezug auf personenbezogene Daten ausüben möchten, wird deren Ausübung ermöglicht, und solche Anfragen werden effizient bearbeitet;
-    es werden regelmäßige Überprüfungen der Verfahren durchgeführt, die personenbezogene Daten umfassen;
-    der technische Datenschutz wird für alle neuen oder geänderten Systeme und Verfahren übernommen;
-    es wird ein Verarbeitungsverzeichnis mit folgenden Angaben erstellt:
-    Name der Organisation und relevante Angaben;
-    Zweck der Verarbeitung personenbezogener Daten;
-    Kategorien der Personen und der verarbeiteten personenbezogenen Daten;
-    Kategorien der Empfänger personenbezogener Daten;
-    Vereinbarungen und Mechanismen für die Übermittlung personenbezogener Daten in Staaten außerhalb der Europäischen Union, einschließlich Angaben zu bestehenden Prüfungen;
-    Dauer der Speicherung personenbezogener Daten;
-    relevante technische und organisatorische Kontrollen, die vor Ort durchgeführt werden.
Die genannten Maßnahmen werden im Rahmen des Managementprozesses zum Schutz personenbezogener Daten regelmäßig überprüft.
Bestandteil dieser Richtlinie können folgende Anlagen und verbundene Dokumente sein:
t)    Verzeichnis von Verarbeitungstätigkeiten;
u)    Hinweis zur Verarbeitung personenbezogener Daten für Klienten, Auftraggeber und interessierte Personen;
v)    Hinweis zur Verarbeitung personenbezogener Daten für Arbeitnehmer und andere im Rahmen einer Beschäftigung tätige Personen;
w)    Cookie-Richtlinie, sofern der Gewerbebetrieb eine Website und Cookies verwendet;
x)    Internes Verfahren zur Bearbeitung von Anträgen betroffener Personen;
y)    Internes Verfahren für den Umgang mit Verletzungen des Schutzes personenbezogener Daten;
z)    Liste der Auftragsverarbeiter und anderer Empfänger personenbezogener Daten.
Die genannten Dokumente werden entsprechend den geschäftlichen Bedürfnissen des Gewerbebetriebs, Änderungen in der Art der Verarbeitung personenbezogener Daten und den maßgeblichen Vorschriften geführt und aktualisiert.

ZENITH, Gewerbebetrieb für Immobilienvermittlung,
Inh. Zvonimir Rakić