Grundsätzlich handelt es sich bei den Services von ImmobilienScout24 nicht um Vorgänge/Services, die eine Auftragsdatenverarbeitung im Sinne des Datenschutzrechts darstellt. Dies gilt sowohl für die aktuelle Rechtslage nach dem BDSG (Bundesdatenschutzgesetz) - und ggf. dem TMG (Telemediengesetz) – als auch nach der ab dem 25.05.2018 geltenden Datenschutzgrundverordnung der EU (DSGVO). Dies vor dem Hintergrund, da wir unseren Kunden gegenüber weder weisungsgebunden sind noch die sonstigen Voraussetzungen für eine Auftragsdatenverarbeitung gem. § 11 BDSG bzw. Art. 28 und 29 DS-GVO vorliegen.

ImmobilienScout24 stellt den Service zur Verfügung und verarbeitet die Daten im eigenen Interesse und nicht im Auftrag des Kunden. ImmobilienScout24 ist verantwortliche Stelle (§ 3 Abs. 7 BDSG bzw. Art. 4 Nr. 7 DSGVO) für die auf ihrer Website erhobenen personenbezogenen Daten, dies sind nicht Sie - unsere Kunden.

Es ist daher (weiterhin) nicht erforderlich, Verträge über Auftragsverarbeitung mit unseren Kunden zu schließen.

Das Widget zieht nur Daten aus dem Domain-Widget.immobilienscout24.de und liefert diese Daten dann auf der Seite der Kunden aus. Ein Tracking Tracking-Pixel ist nicht.

Sobald die Seite des Kunden aufgerufen wird übertragen unsere Server nur die unvermeidlichen HTTP-Header-Parameter vom Browser des Benutzers zurück zu unserem Loadbalancer. Im Widget werden dann die dort enthaltenen Angaben auf der Seite des Kunden angezeigt. Wenn der Nutzer, der die Seite Ihres Mandanten aufgerufen hat, tatsächlich Cookies auf der Domain .immobilienscout24.de eingerichtet hat (wie zum Beispiel ein sso-Cookie), wird diese Information an unsere Server übertragen.

Unsere Server schreiben aus betrieblichen Gründen ein Zugriffsprotokoll, um die Dienststabilität zu gewährleisten, das einige der oben erwähnten HTTP-Header-Parameter speichert, das Protokolle auf dem Server werden nach sieben Tagen automatisch gelöscht. Die Logs werden auch an unser zentrales Logging-System weitergeleitet. Hier werden Daten automatisch nach spätestens 21 Tagen gelöscht. Diese Daten werden nur aus betrieblichen Gründen von unseren Ingenieuren abgerufen. Die Widget-Informationen werden jedes Mal von unseren Servern abgerufen, wenn ein Benutzer auf die einbettende Kundenseite zugreift. Es wird nicht aktualisiert, wenn es einmal geladen wurde, bis die einschließende Seite neu geladen wurde. Da jede HTTP / HTTPS-Anfrage immer die IP-Adresse des aufrufenden Nutzers an unsere Server überträgt, erhalten wir die IP-Adresse als personenbezogenes Datum. Diese Daten werden nicht weiter verarbeitet.

Ausführliche Infos zu dem Thema Verarbeitung, Widerspruchsrecht, Cookies und Löschung von Daten bekommen Sie auf unserer aktualisierten Seite zu unseren Datenschutzrichtlinien unter:

https://www.immobilienscout24.de/agb/datenschutz.html

Hiernach gilt die Datenschutz-Grundverordnung nicht nur für in der EU niedergelassene Unternehmen. Voraussetzung ist lediglich, dass sich ein Angebot an einen bestimmten nationalen Markt in der EU richtet oder dass die Datenverarbeitung der Beobachtung des Verhaltens von Personen in der EU gilt.

Damit gilt die DSGVO auch für außereuropäische Unternehmen, die auf dem europäischen Markt tätig sind.

Für Unternehmen mit Niederlassungen in mehreren EU-Mitgliedsstaaten wird nur die Aufsichtsbehörde an Ihrem Hauptsitz zuständig sein. So ist gewährleistet, dass sie einen zentralen Ansprechpartner haben.

Bei Verstößen drohen nun Bußgelder bis zu 20 Mio. € bzw. 4% des weltweiten Jahresumsatzes des vergangenen Geschäftsjahres (sind diese 4% Jahresumsatz größer als die Summe des Bußgeldes, ist jener Umsatz als Strafzahlung zu entrichten)

Die europäische Datenschutzgrundverordnung verbietet explizit, die Vertragserfüllung von einer Einwilligung zur Preisgabe von Daten abhängig zu machen, die für die Vertragserfüllung gar nicht erforderlich ist.

Die europäische Datenschutzgrundverordnung besagt, dass unter bestimmten Voraussetzungen eine betroffene Person Anspruch eine Kopie der sie betreffenden Daten zu erhalten hat, um diese zu einem neuen Anbieter "mitzunehmen". Die Daten können entweder dem Betroffenen zur Verfügung gestellt werden oder direkt an den neuen Anbieter geschickt werden.

Unternehmen, die Daten erheben, haben schon bei der Produktentwicklung und -implementierung dafür Sorge zu tragen, dass die Datenschutzgrundsätze eingehalten werden. Gemäß der Datenschutz-Grundverordnung soll ebenso sichergestellt sein, dass die Standardeinstellungen darauf ausgerichtet sind, nur personenbezogene Daten zu verarbeiten, die für den konkreten Zweck erforderlich sind.

• die Zuständigkeiten für den Datenschutz im Unternehmen; dazu gehört die Einbindung des betrieblichen Datenschutzbeauftragten
• die Sensibilisierung und Schulung der Mitarbeiter 
• die Durchführung von Kontrollen, ob die getroffenen Regelungen/Anweisungen auch eingehalten werden 
• den Stand der Technik als Anforderung an die IT-Sicherheit
• die Führung des Verzeichnisses von Verarbeitungstätigkeiten
• den Prozess zur Meldung von Verletzungen des Datenschutzes (hier finden Sie ein Arbeitspapier zum Umgang Datenpannen)

• Name und Kontaktdaten des Verantwortlichen sowie ggf. seines Vertreters, 
• Kontaktdaten des Datenschutzbeauftragten, 
• Zwecke der Verarbeitung und Rechtsgrundlage, 
• wenn die Verarbeitung auf Art. 6 Abs. 1 f beruht: berechtigtes Interesse des Verantwortlichen, 
• ggf. Empfänger oder Kategorien von Empfängern, 
• Absicht der Übermittlung in ein Drittland/internationale Organisation sowie das Vorhandensein oder Fehlen eines Angemessenheitsbeschlusses der Kommission, 
• Dauer der Datenspeicherung, 
• Bestehen eines Rechts auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruchsrecht und Recht auf Datenübertragbarkeit, 
• Recht auf Widerruf einer Einwilligung (bei Verarbeitung mit Art. 6 Abs. 1 a o. Art. 9 Abs. 2 a), 
• Bestehen eines Beschwerderechts gegenüber einer Aufsichtsbehörde,
• Information, ob die Bereitstellung der personenbezogenen Daten gesetzlich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist und welche möglichen Folgen die Nichtbereitstellung hätte, 
• das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling (Art. 22). 

Die Verarbeitung von personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ist zulässig, wenn die betroffene Person hierin ausdrücklich eingewilligt hat. Grundsätzlich gilt das bisher bekannte Prinzip, dass eine Einwilligung freiwillig und ohne jeden Zwang abgegeben werden muss.

Für das weitere Erfordernis der Informiertheit greift die Datenschutz-Grundverordnung 2018 auf bisher bekannte Grundsätze zurück. Blanko-Einwilligungen genügen nicht den Anforderungen. Die betroffene Person muss verstehen, welche personenbezogenen Daten zu welchem Zweck und von wem verarbeitet werden. Die verantwortliche Stelle muss ausdrücklich genannt werden. Dient eine Verarbeitung mehreren Zwecken, müssen alle Zwecke ausdrücklich genannt und die Einwilligung für sämtliche Zwecke eingeholt werden.

Das Einverständnis in die Verarbeitung muss eindeutig zum Ausdruck kommen.

Die Datenschutzgrundverordnung der EU führt das sogenannte Kopplungsverbot ein. Danach dürfen Unternehmen Verträge oder die Erbringung von Dienstleistungen nicht davon abhängig machen, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten, die für die Erfüllung des Vertrages nicht erforderlich sind, einwilligt.

Die Datenschutz-Grundverordnung 2018 sieht keine bestimmte Form für die Erteilung einer Einwilligung vor. Sie kann schriftlich, elektronisch oder mündlich erfolgen. Wichtig ist, dass eine unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutig bestätigenden Handlung, mit der die betroffene Person ihr sein Einverständnis zur Datenverarbeitung signalisiert, erkennbar ist. In der Praxis ist es empfehlenswert, Einwilligungen in Schriftform oder auf andere bewährte Weisen einzuholen, wie beispielsweise mittels Double Opt-in-Verfahren. Nur so kann die Eindeutigkeit der Einwilligung dokumentiert werden.

Nicht neu ist das Erfordernis des Hinweises auf die Widerrufsmöglichkeit. Die betroffene Person muss ausdrücklich auf ihr Recht hingewiesen werden, dass sie ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen kann. Dieser Hinweis ist ebenso wie die Einwilligungserklärung selbst in einfacher, verständlicher Sprache zu verfassen und leicht zugänglich zu machen. Der Hinweis auf das Widerrufsrecht muss vor Abgabe der Einwilligung erteilt werden.