PayPal-Datenschutzvorschriften für Nutzerdaten

Das Ziel der PayPal-Gruppe ist es, einheitliche, angemessene und globale Datenschutzstandards für den Umgang mit allen personenbezogenen Nutzerdaten in der gesamten PayPal-Gruppe anzuwenden.  Die vorliegenden Datenschutzvorschriften für Nutzerdaten gelten für alle personenbezogenen Nutzerdaten:

• die von einem Gruppenmitglied im EWR (als Verantwortlicher) an ein Gruppenmitglied außerhalb des EWR(als Verantwortlicher oder Auftragsverarbeiter) übermittelt werden; und
• die von einem empfangenden Gruppenmitglied außerhalb des EWR gemäß diesen Datenschutzvorschriften für Nutzerdaten an ein anderes Nicht-Gruppenmitglied außerhalb des EWR(als Verantwortlicher oder Auftragsverarbeiter) weiterübermittelt werden.

Nutzer geben ihre personenbezogenen Daten an die Gruppenmitglieder weltweit weiter, um die von der Gruppe angebotenen Dienste zu nutzen.  Die meisten personenbezogenen Nutzerdaten werden in den USA erfasst und gespeichert.  Das globale Geschäft von PayPal erfordert, dass personenbezogene Nutzerdaten an andere PayPal-Unternehmen in den USA und anderen Ländern weitergegeben werden, in denen PayPal derzeit präsent ist oder sein möchte.

PayPal verpflichtet sich, die Nutzerinformationen unabhängig davon, wo sich die personenbezogenen Daten befinden, angemessen zu schützen und die personenbezogenen Nutzerdaten, die außerhalb des EWR übermittelt werden, angemessen zu schützen.

Eine Liste der Gruppenmitglieder, die diesen Unternehmensrichtlinien für Nutzer unterliegen, ist in Anhang I aufgeführt. Mitarbeiter mit Standort in den in Anhang II aufgeführten Rechtsordnungen können Zugriff auf personenbezogene Nutzerdaten haben. Diese Listen können sich im Zuge der geschäftlichen Entwicklung des Unternehmens ändern.

Der sachliche Geltungsbereich dieser Vorschriften ergibt sich aus den Definitionen und Abschnitten der vorliegenden Vorschriften, wie beispielsweise Abschnitt 12 (Personenbezogene Nutzerdaten und Arten von betroffenen Personen), Abschnitt 2.1 bezüglich der Arten der Verarbeitung, d.h. der Zwecke, für die personenbezogene Nutzerdaten verarbeitet werden, und der Länderliste in Anhang II.

Die Datenschutzvorschriften für Nutzerdaten werden durch eine Vereinbarung ("IGA") zwischen PayPal (Europe) S.à r.l. & Cie, S.C.A. ("Leitendes Gruppenmitglied") und anderen Unternehmen der PayPal-Gruppe rechtsverbindlich.  Die IGA verlangt von den Gruppenmitgliedern die Einhaltung dieser Datenschutzvorschriften für Nutzerdaten. Gruppenmitglieder fordern von ihren Mitarbeitern die Einhaltung dieser Datenschutzvorschriften für Nutzerdaten beim Umgang mit personenbezogenen Nutzerdaten.

Führungskräfte und die Geschäftsleitung der PayPal-Gruppe sind verantwortlich für die Einhaltung der Datenschutzvorschriften für Nutzerdaten; dies umfasst auch die Sicherstellung, dass Mitarbeiter die Datenschutzvorschriften für Nutzerdaten kennen und einhalten.

Der Leiter für Datenschutz-Compliance steuert das Datenschutzprogramm von PayPal. Er/sie hat eine leitende Position bei PayPal Holdings, Inc. inne und ist dem Chief Compliance Officer oder dem ranghöchsten Mitglied der Geschäftsleitung, das die Compliance-Abteilung bei PayPal leitet, direkt unterstellt.  Der Leiter für Datenschutz-Compliance überwacht das PayPal Global Privacy Compliance-Team und arbeitet mit anderen internen Organisationen oder Teams zusammen, z.B. Geschäftsbetrieb, Informationssicherheit, Compliance, Risikomanagement und interne Prüfung, um konsistente Datenschutzkommunikationen, -praktiken und -richtlinien für die gesamte PayPal-Gruppe sicherzustellen. Das PayPal Global Privacy Compliance-Team erarbeitet eine Compliance-Strategie, koordiniert deren Implementierung in der gesamten PayPal-Gruppe und überprüft die Einhaltung der betrieblichen Vorschriften.  Das PayPal Global Privacy Compliance-Team hat direkte und indirekte Vertreter in der gesamten PayPal-Gruppe, die unter anderem dazu beitragen, die Einhaltung der Datenschutzvorschriften für Nutzerdaten und der geltenden Datenschutzgesetze zu gewährleisten.

Der Verantwortliche für datenschutzrechtliche Angelegenheiten beaufsichtigt das PayPal Global Privacy Legal-Team und ist dem Chief Legal Officer oder dem ranghöchsten Mitglied der Geschäftsleitung, das die Rechtsabteilung bei PayPal leitet, direkt unterstellt. Der Verantwortliche für datenschutzrechtliche Angelegenheiten definiert die Verpflichtungen des Unternehmens gemäß den geltenden Datenschutzgesetzen und diesen Datenschutzvorschriften für Nutzerdaten. Der Leiter für datenschutzrechtliche Angelegenheiten und das PayPal Global Privacy Legal-Team arbeiten eng mit dem Leiter für Datenschutz-Compliance und dem PayPal Global Compliance Privacy-Team zusammen und interagieren mit anderen internen Organisationen und Teams, z.B. Rechtsabteilung, Geschäftsbetrieb, Informationssicherheit und Risikomanagement, um Rechtsberatung bereitzustellen und weltweit die rechtlichen und regulatorischen Auswirkungen der sich weiterentwickelnden Datenschutzangelegenheiten für die gesamte PayPal-Gruppe zu interpretieren.

Das PayPal Global Privacy Compliance-Team und das PayPal Global Privacy Legal-Team bilden gemeinsam das PayPal Global Privacy-Team.

Der Europäische Datenschutzbeauftragte mit Sitz in Luxemburg wird von der Geschäftsführung von PayPal (Europe) S.à r.l. et Cie, S.C.A. ernannt und ist ihr direkt unterstellt. Der Europäische Datenschutzbeauftragte ist primärer Ansprechpartner für die Datenschutzbehörden im EWR und nimmt keine Aufgaben wahr, die zu einem Interessenkonflikt führen können. Der Europäische Datenschutzbeauftragte hat unter anderem folgende Aufgaben: Gruppenmitglieder und ihre Mitarbeiter, die personenbezogene Daten verarbeiten, über ihre Verpflichtungen gemäß den Datenschutzgesetzen zu informieren und zu beraten, um die Einhaltung dieser Datenschutzvorschriften für Nutzerdaten zu gewährleisten; mit dem PayPal Global Privacy-Team zusammenzuarbeiten, um die Einhaltung der Datenschutzgesetze und der damit verbundenen Richtlinien der Gruppenmitglieder zu überwachen; und die Gruppenmitglieder auf deren Anforderung hin bezüglich der Datenschutz-Folgenabschätzung und deren Durchführung rechtlich zu beraten. Der Europäische Datenschutzbeauftragte berichtet an die oberste Führungsebene und kann diese informieren, wenn während der Ausübung seiner Aufgaben Fragen oder Probleme auftreten.

Gruppenmitglieder beachten die folgenden Verarbeitungsgrundsätze für personenbezogene Nutzerdaten.

2.1 Zweckbindung

Die personenbezogenen Nutzerdaten dürfen nur für bestimmte, eindeutige und rechtmäßige Zwecke verarbeitet werden.  Insbesondere können personenbezogenen Nutzerdaten zu folgenden Zwecken verarbeitet werden:

• Kommunikation mit Nutzern in Bezug auf Dienstleistungen
• Angebot, Verwaltung und Ermöglichung der Bereitstellung von Dienstleistungen auf Anfrage von Nutzern, einschließlich der Eröffnung eines Kontos und der Abwicklung von Zahlungen der Nutzer;
• Verbesserung der Dienste und Entwicklung neuer Dienste;
• Beilegung von Streitigkeiten, Bearbeitung von Rechtsstreitigkeiten, Behebung von Problemen und Bereitstellung von Kundenservice, einschließlich zu Datenanalyse-, Test-, Forschungs- und Statistikzwecken;
• Durchführung von Risikomanagement;
• Bearbeitung von Transaktionen und Einziehung geschuldeter Gebühren, einschließlich des Nachweises, dass Transaktionen ausgeführt wurden;
• Überprüfung von Kreditwürdigkeit und Zahlungsfähigkeit;
• Messung des Interesses von Nutzern an Diensten, Einholung von Nutzer-Feedback und -Meinungen in Bezug auf Dienste sowie Information von Nutzern über Online- und Offline-Angebote, Dienste und Neuerungen;
• Anpassung von Kundenerfahrungen;
• Aufdeckung von Fehlern, Betrug und anderen strafbaren Aktivitäten und Schutz vor diesen, einschließlich der Überprüfung der Identität und der Kontaktdaten von Nutzern;
• Erfüllung der rechtlichen, vertraglichen oder regulatorischen Verpflichtungen der PayPal-Gruppe;
• Durchsetzung der Nutzungsbedingungen für den Dienst und anderweitige dem Nutzer zum Zeitpunkt der Erhebung und in der Datenschutzrichtlinie für den Dienst dargelegte Zwecke;
• Wahrung der Sicherheit, Integrität und Verfügbarkeit der Dienste und des Netzwerks der PayPal-Gruppe;
• Schutz der gesetzlichen Rechte und Interessen der PayPal-Gruppe, insbesondere die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder Inkassoverfahren;
• Prüfung, welche Zahlungsmethoden und Dienstleistungen Nutzern angeboten werden können, beispielsweise durch Durchführung interner und externer Bonitätsprüfungen;
• Einhaltung der internen Verfahren von PayPal.

Die Verarbeitung von personenbezogenen Nutzerdaten für andere Zwecke, als die oben aufgeführten, erfolgt vorbehaltlich der vorherigen Zustimmung des PayPal Global Privacy Legal-Teams.  Im Zweifelsfall holen die Gruppenmitglieder Rat beim PayPal Global Privacy Legal-Team ein.

Personenbezogene Nutzerdaten dürfen für weitere Zwecke nicht in einer Weise verarbeitet werden, die mit den oben genannten Zwecken nicht vereinbar ist, es sei denn, das für ein Gruppenmitglied im EWR, welches für die Erhebung und/oder Übermittlung der personenbezogenen Nutzerdaten verantwortlich ist (z.B. das exportierende Unternehmen), geltende Recht bietet eine Rechtsgrundlage dafür.   

2.2 Datenminimierung, Richtigkeit und Speicherbegrenzung

Personenbezogene Nutzerdaten müssen:

• sachlich richtig und, soweit erforderlich, auf dem neuesten Stand sein;
• angemessen, relevant und auf das für die Zwecke der Verarbeitung erforderliche Maß beschränkt sein;
•  dürfen nur so lange gespeichert werden, wie dies für die Zwecke erforderlich ist, für die sie erhoben oder weiterverarbeitet wurden; und
• müssen gemäß den geltenden PayPal-Richtlinien gelöscht, vernichtet oder anonymisiert werden, sofern sie für die Zwecke, für die sie verarbeitet wurden, nicht mehr benötigt werden, es sei denn, es liegt eine Rechtsgrundlage für die weitere Verarbeitung vor oder die Aufbewahrung ist nach geltendem Recht oder den geltenden PayPal-Richtlinien vorgeschrieben.

2.3 Rechtsgrundlagen für die Verarbeitung und Fairness

1. Rechtsgrundlage für die Verarbeitung von personenbezogenen Nutzerdaten

Die Gruppenmitglieder stellen sicher, dass personenbezogene Nutzerdaten fair und rechtmäßig und insbesondere auf der Grundlage von mindestens einem der folgenden Rechtsgründe verarbeitet werden:

• Eindeutige, freiwillig erteilte, spezifische und in voller Kenntnis der Sachlage erteilte Einwilligung des Nutzers;
• die Verarbeitung ist erforderlich, um einen Vertrag zu erfüllen, an dem der Nutzer beteiligt ist, oder um auf Anfrage des Nutzers vor Abschluss eines Vertrags Maßnahmen zu ergreifen;
• die Verarbeitung ist erforderlich, um einer rechtlichen Verpflichtung nachzukommen, der die Gruppenmitglieder unterliegen;
• die Verarbeitung ist erforderlich, um die lebenswichtigen Interessen des Nutzers oder einer anderen natürlichen Person zu schützen;
• die Verarbeitung ist für die Durchführung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung von öffentlicher Gewalt erfolgt, die Gruppenmitgliedern oder einer dritten Partei, gegenüber der die Daten offengelegt werden, übertragen wurde; oder
• die Verarbeitung ist erforderlich, um die berechtigten Interessen des Gruppenmitglieds oder der dritten Partei oder Parteien, gegenüber denen die Daten offengelegt werden, zu wahren, es sei denn, die Grundrechte und Grundfreiheiten des Nutzers überwiegen.

2. Rechtsgrundlage für die Verarbeitung von besonderen Kategorien personenbezogener Nutzerdaten

Soweit eine solche Erhebung erforderlich ist oder wenn Nutzer Informationen freiwillig bereitstellen, verpflichten sich die Gruppenmitglieder, zu gewährleisten, dass eine Verarbeitung von sensiblen personenbezogenen Nutzerdaten nur aus mindestens einem der folgenden Gründe erfolgt:

• Ausdrückliche Zustimmung des Nutzers;
• die Verarbeitung ist erforderlich, um die lebenswichtigen Interessen des Nutzers oder einer anderen Person zu schützen und der Nutzer ist aus körperlichen oder rechtlichen Gründen außerstande, seine/ihre Zustimmung zu geben;
• die Verarbeitung bezieht sich auf personenbezogene Nutzerdaten, die der Nutzer offensichtlich öffentlich gemacht hat; oder
• die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich.

3. Rechtsgrundlage für die Verarbeitung im Zusammenhang mit automatisierter Entscheidungsfindung

Soweit ein Nutzer einer Entscheidung unterliegen kann, die ausschließlich auf einer automatisierten Entscheidungsfindung, einschließlich Profiling, beruht und rechtliche oder erhebliche Auswirkungen hat (eine "automatisierte Entscheidung"), haben die Gruppenmitglieder zu gewährleisten, dass die automatisierte Entscheidung:

• für den Abschluss oder die Erfüllung eines Vertrags zwischen dem Nutzer und einem Gruppenmitglied erforderlich ist;
• aufgrund von Rechtsvorschriften der EU oder des Mitgliedstaats, denen das Gruppenmitglied unterliegt, zulässig ist und diese Rechtsvorschriften angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen des Nutzers enthalten oder
• mit ausdrücklicher Einwilligung des Nutzers erfolgt.

Darüber hinaus muss das Gruppenmitglied zumindest in den oben genannten ersten und dritten Fällen angemessene Maßnahmen treffen, um die Rechte und Freiheiten sowie die berechtigten Interessen des Nutzers zu wahren, beispielsweise indem es dem Nutzer die Möglichkeit bietet, die Entscheidung von einem Kundenservice-Mitarbeiter individuell überprüfen zu lassen und seinen eigenen Standpunkt darzulegen. Wenn der Nutzer der automatisierten Entscheidung weiterhin widerspricht, eskaliert der Kundenservice-Mitarbeiter die Angelegenheit an den EU-Datenschutzbeauftragten. Gegebenenfalls sind der Leiter für datenschutzrechtliche Angelegenheiten zu konsultieren und der Leiter für Datenschutz-Compliance zu benachrichtigen.

2.4 Transparenz

Wenn Gruppenmitglieder personenbezogene Nutzerdaten erfassen, müssen sie die Nutzer über Folgendes informieren:

• die Identität und die Kontaktdaten des Gruppenmitglieds, das für die ursprüngliche Erhebung und Verarbeitung verantwortlich ist;
• die Kontaktdaten des europäischen Datenschutzbeauftragten. Die entsprechenden Angaben sind: Europäischer Datenschutzbeauftragter, PayPal (Europe) S.à r.l et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg, oder online.
• Die vorgesehenen Zwecke der Verarbeitung sowie die Rechtsgrundlage für die Verarbeitung;
• sofern die Verarbeitung auf berechtigten Interessen beruht, die berechtigten Interessen des Gruppenmitglieds oder eines Dritten;
• die Empfänger oder Kategorien von Empfängern (einschließlich Auftragsverarbeiter) der personenbezogenen Nutzerdaten;
• gegebenenfalls die Tatsache, dass das Gruppenmitglied beabsichtigt, personenbezogene Daten des Nutzers in ein Drittland oder an eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder Fehlen eines Angemessenheitsbeschlusses der Europäischen Kommission oder einen Verweis auf die geeigneten oder angemessenen Sicherheitsmaßnahmen (einschließlich dieser Datenschutzvorschriften für Nutzerdaten), sofern auf diese zurückgegriffen wird, sowie die Art und Weise, wie eine Kopie davon erhältlich oder wo sie verfügbar ist;
• die Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
• das Bestehen von Rechten der Nutzer, einschließlich des Rechts, vom Gruppenmitglied Auskunft über die personenbezogenen Nutzerdaten sowie deren Berichtigung oder Löschung oder die Einschränkung der Verarbeitung in Bezug auf den Nutzer zu verlangen oder der Verarbeitung zu widersprechen, sowie des Rechts auf Datenübertragbarkeit;
• wenn die Verarbeitung auf einer Einwilligung beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
• das Bestehen eines Beschwerderechts bei einer Datenschutzbehörde;
• ob die Bereitstellung von personenbezogenen Nutzerdaten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, sowie ob die Beantwortung der Fragen verpflichtend oder freiwillig ist und welche möglichen Folgen eine Nichtbeantwortung hätte; und
• Im Falle automatisierter Entscheidungen aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für den Nutzer.

Gruppenmitglieder können die Informationen in einer Datenschutzrichtlinie für den Dienst bereitstellen, auf die über einen Link zugegriffen werden kann und/oder die an prominenter Stelle auf jeder Dienst-Website oder -Anwendung sowie während der Registrierung angezeigt wird.  Die Informationspflicht besteht nicht, wenn Nutzer die Informationen bereits kennen.  

Wenn sich die Bereitstellung von Informationen als unmöglich erweist oder mit einem unverhältnismäßigen Aufwand verbunden wäre, können die Gruppenmitglieder die Bereitstellung der Information unterlassen.  Dies wäre nur der Fall bei personenbezogenen Nutzerdaten, die nicht direkt beim Nutzer eingeholt wurden. 

In Ausnahmefällen kann die Bereitstellung der Informationen ausgesetzt oder ganz weggelassen werden, z.B. im Rahmen von Untersuchungen fehlerhaften Verhaltens, zwecks Einhaltung der geltenden Gesetze oder wenn die Bereitstellung von Informationen die Integrität der Untersuchung gefährden könnte.

2.5 Rechenschaftspflicht, Vertraulichkeit und Sicherheit

1. Rechenschaftspflicht

Jedes Gruppenmitglied, das als Verantwortlicher handelt, ist für die Einhaltung der Datenschutzvorschriften für Nutzerdaten verantwortlich und muss diese nachweisen können.

Damit diese Vorschriften besser eingehalten werden, sowie bei Bedarf, werden Datenschutz-Folgenabschätzungen für Verarbeitungsvorgänge durchgeführt, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringen. Geht aus einer Datenschutz-Folgenabschätzung gemäß der Verordnung (EU) 2016/679 hervor, dass die Verarbeitung ohne Maßnahmen des Gruppenmitglieds ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringen würde, so ist vor der Verarbeitung die zuständige Datenschutzbehörde zu konsultieren.

Es werden geeignete technische und organisatorische Maßnahmen getroffen, die dafür ausgelegt sind, die Datenschutzgrundsätze umzusetzen und die Einhaltung der in den Datenschutzvorschriften für Nutzerdaten festgelegten Anforderungen in der Praxis zu erleichtern (Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen).

2. Vertraulichkeit und Sicherheit

Gruppenmitglieder setzen entsprechend der Menge und Vertraulichkeit der personenbezogenen Nutzerdaten physische, technische und organisatorische Sicherheitskontrollen ein, um eine unbefugte Verarbeitung zu verhindern, darin eingeschlossen, jedoch nicht beschränkt auf unbefugten Zugriff, Erwerb und Verwendung, Verlust, Zerstörung oder Beschädigung von personenbezogenen Nutzerdaten. Die Gruppenmitglieder setzen Verschlüsselungen, Firewalls, Zugangsbeschränkungen, Standards und andere Maßnahmen ein, um personenbezogene Nutzerdaten vor unbefugtem Zugriff zu schützen.  Der physische und logische Zugriff auf elektronische und gedruckte Dateien wird basierend auf beruflichen Verantwortlichkeiten und geschäftlichen Anforderungen weiter eingeschränkt.

3. Verletzung des Schutzes personenbezogener Daten

Bei Feststellung einer Verletzung des Schutzes von personenbezogenen Daten im Sinne von Art. 4 Abs. 12, Art. 33 Abs. 1 und Art. 34 Abs. 1 der DSGVO (Verordnung (EU) 2016/679) hat das betroffene Gruppenmitglied unverzüglich das leitende Gruppenmitglied, den Europäischen Datenschutzbeauftragten und andere erforderliche Beteiligte gemäß den geltenden internen Richtlinien zu benachrichtigen. Wenn die Verletzung des Schutzes von personenbezogenen Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt, müssen das Gruppenmitglied und das leitende Gruppenmitglied in Absprache mit dem Europäischen Datenschutzbeauftragten die betroffenen Personen und gegebenenfalls die Datenschutzbehörde informieren. Verletzungen des Schutzes personenbezogener Daten sind zu dokumentieren, einschließlich i) der im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten stehenden Fakten, ii) deren Auswirkungen und iii) der ergriffenen Abhilfemaßnahmen. Diese Dokumentation ist der zuständigen Datenschutzbehörde auf deren Anfrage zur Verfügung zu stellen.

2.6 Entscheidungen und Rechte der Nutzer

Nutzer können die folgenden Rechte ausüben:

• Nutzer können auf die meisten personenbezogenen Nutzerdaten, die sie betreffen und die von den Gruppenmitgliedern mithilfe des entsprechenden Online-Tools oder Self-Service-Prozesses über die Website oder Anwendung des Diensts verwaltet werden, zugreifen und diese berichtigen.
• In allen Fällen haben Nutzer das Recht, eine Anforderung auf Zugriff der Daten einer betroffenen Person zu stellen, um eine Kopie der personenbezogenen Nutzerdaten anzuzeigen oder zu erhalten, die nicht über die Website oder Anwendung des Diensts zugänglich sind. Nutzer sollten sich an den Kundenservice wenden, indem sie den Anweisungen auf der Website oder in der Anwendung des Diensts folgen.
• Nutzer können auch eine Berichtigung ihrer Daten verlangen, wenn diese unvollständig oder fehlerhaft sind. Die Gruppenmitglieder werden dieser Anforderung nachkommen und die Nutzer benachrichtigen, sobald ihre Daten berichtigt worden sind. Die Gruppenmitglieder werden Dritten, denen die Daten des Nutzers offengelegt wurden, jede Berichtigung dieser Daten mitteilen, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden.
• Nutzer können ihr Recht auf eine menschliche Überprüfung jeder automatisierten Entscheidung ausüben, die von einem Gruppenmitglied gemäß Abschnitt 2.3 (c) getroffen wurde.
• Nutzer können der Verarbeitung ihrer personenbezogenen Nutzerdaten widersprechen. Die Gruppenmitglieder kommen solchen Anforderungen nach, es sei denn, die Aufbewahrung personenbezogener Nutzerdaten ist gesetzlich vorgeschrieben oder für die Verteidigung der PayPal-Gruppe gegen Rechtsansprüche erforderlich. Die Nutzer werden über das Ergebnis ihrer Anforderung und die von den Gruppenmitgliedern getroffenen Maßnahmen informiert.
• Darüber hinaus können Nutzer die Schließung ihrer Konten beantragen, indem sie den Anweisungen auf der Website oder in der Anwendung des Diensts folgen. Sie können im Zusammenhang mit einer solchen Kontoschließung auch ihr Recht auf Einschränkung der Verarbeitung oder Löschung Ihrer personenbezogenen Nutzerdaten ausüben. Die Gruppenmitglieder werden die Informationen eines Nutzers aus einem Dienst entfernen oder anonymisieren, sobald dies unter Berücksichtigung der Kontoaktivitäten möglich ist.  In einigen Fällen können Gruppenmitglieder die Schließung eines Kontos verzögern oder personenbezogene Nutzerdaten speichern, um eine Untersuchung durchzuführen oder wenn dies gesetzlich erforderlich ist. Gruppenmitglieder können auch Nutzerinformationen von geschlossenen Konten aufbewahren, um Betrug zu erkennen und zu verhindern, zur Zahlung fällige Gebühren einzutreiben, Rechtsstreitigkeiten beizulegen, Probleme zu beheben, bei Untersuchungen behilflich zu sein, Risiken zu verwalten, die Nutzungsbedingungen eines Diensts durchzusetzen, gesetzliche oder regulatorische Anforderungen zu erfüllen und andere nach geltendem Recht zulässige Maßnahmen zu ergreifen. Die Daten werden so aufbewahrt, dass eine Identifizierung der betroffenen Personen nur so lange möglich ist, wie dies für die Zwecke, für welche die Daten erhoben wurden oder für die sie weiterverarbeitet werden, erforderlich ist; die Daten werden gelöscht, sobald der zugrunde liegende Grund für ihre Aufbewahrung bearbeitet oder gelöst wurde.
• Die Gruppenmitglieder können personenbezogene Nutzerdaten verwenden, um Nutzern gemäß geltendem Recht Kommunikationen basierend auf ihren Interessen zukommen zu lassen; hiervon ausgenommen sind diejenigen Nutzer, die sich gegen den Erhalt bestimmter Mitteilungen entschieden haben.  Nutzern, die keine Marketing-Kommunikationen von der PayPal-Gruppe erhalten möchten, werden leicht zugängliche Mittel angeboten, um dem Erhalt weiterer Werbung zu widersprechen, beispielsweise in ihren Kontoeinstellungen oder indem sie den Anweisungen in einer E-Mail oder einem Link in der Kommunikation folgen.

In allen Fällen können Nutzer die oben genannten Rechte ausüben, indem sie den Kundenservice kontaktieren. Wenn die Identität eines Nutzers schwer zu bestätigen ist, können die Gruppenmitglieder vom Nutzer einen zusätzlichen Identitätsnachweis verlangen. Gruppenmitglieder werden die Anträge innerhalb der nach geltendem Recht vorgeschriebenen Fristen bearbeiten, es sei denn, das geltende Recht sieht eine Ausnahme von dieser Verpflichtung vor.

2.7 Offenlegung und Übermittlung von personenbezogenen Daten

Gruppenmitglieder können personenbezogene Nutzerdaten im Rahmen der üblichen Geschäftstätigkeit an andere Gruppenmitglieder weltweit zu den in Abschnitt 2.1 genannten Zwecke weitergeben.

1. Offenlegung und Übermittlung an externe Behörden

In Übereinstimmung mit geltenden Gesetzen, Abkommen oder geltenden internationalen Übereinkünften können Gruppenmitglieder personenbezogene Daten an Strafverfolgungs- und Aufsichtsbehörden weitergeben, wenn dies in einer demokratischen Gesellschaft erforderlich ist, um die nationale Sicherheit, Verteidigung, öffentliche Sicherheit, Prävention, Untersuchung, Erkennung und Verfolgung von Straftaten sicherzustellen und insbesondere um auf internationaler und/oder nationaler Ebene festgesetzte Sanktionen sowie Vorschriften zur Steuermeldung und zur Bekämpfung von Geldwäsche einzuhalten.

Hat ein außerhalb der EU ansässiges Gruppenmitglied Grund zu der Annahme, dass die Rechtsvorschriften, die es zu beachten hat, dieses Unternehmen daran hindern, seinen Verpflichtungen gemäß den Datenschutzvorschriften für Nutzerdaten nachzukommen, und dies erhebliche Auswirkungen auf die durch die Regeln gewährten Garantien hat, wird das außerhalb der EU ansässige Gruppenmitglied (sofern dies nicht untersagt ist) das leitende Gruppenmitglied und/oder den Europäischen Datenschutzbeauftragten unverzüglich darüber informieren. Dies gilt auch dann, wenn es:

1. eine rechtsverbindliche Aufforderung einer Behörde außerhalb der EU zur Offenlegung von personenbezogenen Nutzerdaten erhält, die gemäß diesen Datenschutzvorschriften für Nutzerdaten übermittelt wurden; in diesem Fall wird das außerhalb der EU ansässige Gruppenmitglied (sofern dies nicht untersagt ist) dem leitenden Gruppenmitglied und/oder dem Europäischen Datenschutzbeauftragten Informationen über die angeforderten personenbezogenen Nutzerdaten, die anfragende Behörde außerhalb der EU, die Rechtsgrundlage für die Aufforderung und die erteilte Antwort zukommen lassen;
2. es Kenntnis von einem direkten Zugriff durch Behörden außerhalb der EU auf personenbezogene Nutzerdaten erhält, die gemäß den Datenschutzvorschriften für Nutzerdaten übermittelt wurden; in diesem Fall wird das außerhalb der EU ansässige Gruppenmitglied (sofern dies nicht untersagt ist) dem leitenden Gruppenmitglied und/oder dem Europäischen Datenschutzbeauftragten die Informationen zukommen lassen, die dem außerhalb der EU ansässigen Gruppenmitglied bekannt sind.

Sollten in bestimmten Fällen die Aussetzung und/oder die Benachrichtigung untersagt sein, bemüht sich das Gruppenmitglied, das die Aufforderung erhalten hat, die Erlaubnis zur Aufhebung dieses Verbots einzuholen, um so viele Informationen wie möglich so schnell wie möglich weitergeben zu können. Das außerhalb der EU ansässige Gruppenmitglied prüft die Rechtmäßigkeit jeder Aufforderung zur Offenlegung einer Behörde außerhalb der EU, um festzustellen, ob diese im Rahmen der dieser Behörde übertragenen Befugnisse liegt, und wird gegen die Aufforderung vorgehen, wenn dies nicht der Fall ist. Es dokumentiert und archiviert seine Prüfung und stellt diese Unterlagen – sofern dies nicht untersagt ist – dem leitenden Gruppenmitglied und/oder dem Europäischen Datenschutzbeauftragten zur Verfügung. Auf Anfrage stellt es diese auch den zuständigen Datenschutzbehörden zur Verfügung.

Das außerhalb der EU ansässige Gruppenmitglied wird bei der Beantwortung einer Aufforderung einer Behörde außerhalb der EU zur Offenlegung von Daten auf der Grundlage einer angemessenen Auslegung der Aufforderung nur die minimal zulässige Menge an Daten weitergeben.

Gruppenmitglieder dürfen personenbezogene Nutzerdaten nicht in einer umfangreichen, unverhältnismäßigen und unterschiedslosen Weise an eine Nicht-EU-Behörde übermitteln, die über das in einer demokratischen Gesellschaft erforderliche Maß hinausgeht.

2. Offenlegung von personenbezogenen Daten an einen Auftragsverarbeiter

Bei der Übermittlung von personenbezogenen Nutzerdaten durch Gruppenmitglieder an einen Auftragsverarbeiter, ist der Auftragsverarbeiter vor Beginn seiner Tätigkeit und vor der Übermittlung von personenbezogenen Nutzerdaten einer Risikobewertung in Bezug auf Datenschutz und Informationssicherheit zu unterziehen.  Der Umfang der Bewertung richtet sich nach der Sensibilität der zu verarbeitenden personenbezogenen Nutzerdaten. Die Bewertung in Bezug auf Datenschutz und Informationssicherheit ist für Auftragsverarbeiter, die bereits einer solchen Bewertung unterzogen wurden oder Gruppenmitglieder sind, nicht verpflichtend, es sei denn, die Verarbeitungsvorgänge sind unter Berücksichtigung der Art und des Umfangs der personenbezogenen Daten sowie der Art der betreffenden Verarbeitungsvorgänge mit einem hohen Risiko verbunden.

Auftragsverarbeiter, einschließlich von Gruppenmitgliedern, die als Auftragsverarbeiter auftreten, müssen mit demjenigen Gruppenmitglied, das als Verantwortlicher für die personenbezogenen Nutzerdaten handelt, eine Vereinbarung schließen, um angemessene Maßnahmen zum Datenschutz und zur Informationssicherheit zu gewährleisten. Eine solche Vereinbarung enthält Klauseln, die eine angemessene Verwendung der personenbezogenen Nutzerdaten sowie Sicherheitsmaßnahmen, die der Menge, Art und Sensibilität der betreffenden personenbezogenen Nutzerdaten entsprechen, gewährleisten. 

Die vertraglich festgelegten Sicherheitsmaßnahmen müssen mindestens die folgenden Punkte abdecken:

• Anforderungen zur Einhaltung der Gesetze und zur Verarbeitung personenbezogener Nutzerdaten nur in Übereinstimmung mit den Bedingungen der Vereinbarung und nur auf Anweisung der betreffenden Gruppenmitglieder;
• die Zusicherung, dass sich die zur Verarbeitung der personenbezogenen Nutzerdaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
• die Zusicherung, dass kein anderer Auftragsverarbeiter ohne vorherige spezifische oder allgemeine schriftliche Genehmigung des Gruppenmitglieds beauftragt wird und dass dieser Auftragsverarbeiter bei der Beauftragung eines weiteren Auftragsverarbeiters dieselben vertraglich festgelegten Sicherheitsmaßnahmen einhalten wird.
• angemessene technische und organisatorische Maßnahmen, die an die Sensibilität der betroffenen personenbezogenen Nutzerdaten angepasst sind;
• Unterstützung des Gruppenmitglieds durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, zur Erfüllung der Verpflichtung des Gruppenmitglieds, auf Anfragen zur Ausübung der Rechte der betroffenen Person zu reagieren;
• Meldepflichten bei Sicherheitsverletzungen, wie beispielsweise die Verpflichtung, PayPal unverzüglich schriftlich zu benachrichtigen, sobald eine Sicherheitsverletzung bekannt wird.
• Nach Wahl des offenlegenden Gruppenmitglieds die Löschung oder Rückgabe aller personenbezogenen Daten an dieses Gruppenmitglied nach Beendigung der Erbringung der Dienstleistungen, die mit der Verarbeitung in Zusammenhang stehen, sowie die Löschung bestehender Kopien, sofern nicht das Recht der EU oder eines Mitgliedstaats die Speicherung der personenbezogenen Daten vorschreibt;
• ein Recht auf Überprüfung der Einhaltung der vertraglichen Garantien seitens der Auftragsverarbeiter;
• Bestimmungen zur Sanierung, falls der Auftragsverarbeiter seinen gesetzlichen oder vertraglichen Verpflichtungen nicht nachkommt.

Die Vereinbarungen müssen Bestimmungen enthalten, die sicherstellen, dass die Nichteinhaltung von Bedingungen der Vereinbarung neben anderen vertraglich genannten Rechtsmitteln die Aussetzung oder Kündigung der Vereinbarung zur Folge haben kann.

3. Weitergabe von personenbezogenen Daten an Dritte

Wenn Gruppenmitglieder personenbezogene Daten von Nutzern im EWR an Dritte übermitteln (einschließlich Auftragsverarbeiter, die keine Gruppenmitglieder sind und ihren Sitz in einem Land außerhalb des EWR haben, das (i) kein angemessenes Schutzniveau (im Sinne der Datenschutz-Grundverordnung der EU) bietet, und (ii) über keine anderen Vereinbarungen verfügt, die den EU-Angemessenheitsanforderungen genügen würden), muss das Gruppenmitglied dafür sorgen, dass der Dritte geeignete vertraglich festgelegte Sicherheitsmaßnahmen umsetzt, wie beispielsweise von der Europäischen Kommission genehmigte Standardvertragsklauseln, die ein Schutzniveau bieten, das diesen Datenschutzvorschriften für Nutzerdaten entspricht, oder alternativ sicherstellen, dass die Übermittlung (i) mit der ausdrücklichen Einwilligung des Nutzers erfolgt, (ii) zum Abschluss oder zur Erfüllung eines mit dem Nutzer geschlossenen Vertrags erforderlich ist, (iii) aus Gründen eines wichtigen öffentlichen Interesses erforderlich oder gesetzlich vorgeschrieben ist, (iv) zum Schutz der lebenswichtigen Interessen des Nutzers notwendig ist; oder (v) zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

2.8 Folgenabschätzungen bei der Übermittlung von Daten

Die Mitglieder haben zu prüfen (und fortlaufend zu überwachen), ob Gesetze oder Praktiken in Drittländern der Einhaltung dieser Datenschutzvorschriften für Nutzerdaten entgegenstehen. Bei diesen Prüfungen ist Folgendes zu berücksichtigen:

• Die spezifischen Umstände der Übermittlungen oder der Reihe von Übermittlungen sowie etwaiger geplanter Weiterübermittlungen innerhalb desselben Drittlandes oder in ein anderes Drittland, einschließlich:
• der Zwecke, zu denen die Daten übermittelt und verarbeitet werden (z.B. Marketing, Personalwesen, Speicherung, IT-Support, klinische Studien);
• die Arten der an der Verarbeitung beteiligten Stellen (der Datenimporteur und etwaige weitere Empfänger einer Weiterübermittlung);
• der Wirtschaftssektor, in dem die Übermittlung oder die Reihe von Übermittlungen stattfindet;
• die Kategorien und das Format der übermittelten personenbezogenen Daten;
• der Ort der Verarbeitung, einschließlich der Speicherung; und
• die verwendeten Übertragungskanäle;
• die im Hinblick auf die Umstände der Übermittlung maßgeblichen Rechtsvorschriften und Praktiken des Bestimmungsdrittlandes, einschließlich derjenigen, welche die Offenlegung von Daten gegenüber Behörden vorschreiben oder diesen Behörden den Zugriff gestatten, sowie derjenigen, die den Zugriff auf diese Daten während der Durchleitung zwischen dem Land des Datenexporteurs und dem Land des Datenimporteurs vorsehen; und
• alle relevanten vertraglichen, technischen oder organisatorischen Sicherheitsmaßnahmen, die zur Ergänzung der Sicherheitsmaßnahmen gemäß den Datenschutzvorschriften für Nutzerdaten getroffen wurden, einschließlich der Maßnahmen, die während der Übermittlung und bei der Verarbeitung von personenbezogenen Nutzerdaten im Zielland angewendet werden.

Kann kein angemessenes Schutzniveau gewährleistet werden, müssen die Übermittlungen ausgesetzt oder beendet werden. Die Prüfungen sind zu dokumentieren und den Datenschutzbehörden auf Anfrage zur Verfügung zu stellen.

2.9 Anfragen von Behörden

Importeure haben das leitende Gruppenmitglied auf Anfrage über Auskunftsersuchen von Behörden zu informieren. Sie müssen in angemessener Weise gegen Anträge in Zusammenhang mit der Geheimhaltungspflicht oder rechtswidrige Anträge vorgehen, die Offenlegung auf ein Minimum beschränken und die getroffenen Maßnahmen dokumentieren.

Wenn Nutzer denken, dass die Verarbeitung ihrer personenbezogenen Nutzerdaten gegen die Datenschutzvorschriften für Nutzerdaten verstößt, können sie ihr Anliegen dem Kundenservice des jeweiligen Gruppenmitglieds über die entsprechende Website des Dienstes, per E-Mail oder wie anderweitig in den jeweiligen Nutzungsbedingungen angegeben melden.  In der Regel finden Nutzer Antworten auf die häufigsten Fragen und Bedenken, indem sie das Wort „Datenschutz“ in den Hilfe-Bereich des jeweiligen Diensts eingeben. Von dort gelangen sie in der Regel zu bestimmten Datenschutzseiten oder -richtlinien.  Der „Hilfe“-Abschnitt des jeweiligen Diensts ist der zentrale Einstiegspunkt für alle Nutzerfragen in Bezug auf Datenschutz oder die Verarbeitung ihrer Nutzerdaten und bietet Nutzern die Möglichkeit, Kontakt zum Kundenservice aufzunehmen. 

Bei Unklarheiten darüber, über welchen Kanal datenschutzbezogene Anliegen gemeldet werden sollen, können sich Nutzer onlinean den Europäischen Datenschutzbeauftragten wenden.

Der Kundenservice untersucht die Anliegen von Kunden und versucht, diese zu lösen. Mitarbeiter, die für die Bearbeitung von datenschutzbezogenen Anliegen verantwortlich sind, arbeiten eng mit dem PayPal Global Privacy-Team zusammen und antworten auf Nutzeranfragen in Übereinstimmung mit den Richtlinien, Verfahren und Anweisungen von PayPal. Wenn Kunden glauben, dass ihr Anliegen nicht zufriedenstellend gelöst wurde, oder wenn sie keine Antwort erhalten, können sie darum bitten, dass es an den Europäischen Datenschutzbeauftragten weitergeleitet wird. Der Leiter für  datenschutzrechtliche  Angelegenheiten wird hinzugezogen und der Leiter für Datenschutz-Compliance benachrichtigt. Die Eskalationswege werden auf Grundlage von Art und Umfang des Anliegens festgelegt und unverzüglich an das zuständige Team weitergeleitet.  Der Nutzer erhält innerhalb einer angemessenen Frist eine Antwort auf seine Beschwerde, in jedem Fall jedoch innerhalb von drei (3) Monaten nach dem Tag der Anfrage, es sei denn, es liegen ungewöhnliche Umstände oder komplexe Fragen vor; in diesem Fall wird der Nutzer darüber informiert, dass die Antwort länger als drei (3) Monate in Anspruch nehmen wird.

Das Verfahren zur Bearbeitung von Beschwerden beeinträchtigt nicht das Recht eines Nutzers, Beschwerden bei den zuständigen Datenschutzbehörden oder Gerichten vorzubringen. Insbesondere können Nutzer Beschwerden bei den folgenden Stellen einreichen:

• bei einer zuständigen Datenschutzbehörde, insbesondere in dem Mitgliedstaat, in dem sie ihren gewöhnlichen Aufenthalt haben oder arbeiten oder in dem der mutmaßliche Verstoß stattgefunden hat; und
• vor einem zuständigen Gericht in einem der Mitgliedstaaten, in denen das Gruppenmitglied, das Verantwortlicher oder Auftragsverarbeiter für die personenbezogenen Nutzerdaten ist, eine Niederlassung oder der Nutzer seinen gewöhnlichen Aufenthalt hat.

EWR-Nutzer, die einen Verstoß gegen die Datenschutzvorschriften für Nutzerdaten außerhalb des EWR vermuten, haben das Recht auf gerichtliche Durchsetzung sowie das Recht auf Abhilfe und gegebenenfalls auf Entschädigung im Falle eines Verstoßes gegen eines der durchsetzbaren Elemente der Datenschutzvorschriften für Nutzerdaten als Drittbegünstigte, insbesondere in Bezug auf die Abschnitte 2, 3, 4, 7, 8 und 9 der Datenschutzvorschriften für Nutzerdaten, vor den zuständigen Datenschutzbehörden oder vor den Gerichten gemäß Abschnitt 3. Diese Durchsetzungsrechte gelten zusätzlich zu anderen Rechtsbehelfen oder Rechten, die von PayPal oder durch geltendes Recht gewährt werden.

EWR-Nutzern wird empfohlen (sie sind jedoch nicht dazu verpflichtet), ihre Anliegen zunächst direkt an das betreffende Gruppenmitglied anstatt an die Datenschutzbehörden oder Gerichte heranzutragen.  Dies ermöglicht eine effiziente und schnelle Reaktion seitens der PayPal-Gruppe und beschränkt etwaige Verzögerungen aufseiten der Datenschutzbehörden oder Gerichte auf ein Minimum.

PayPal Europe S.à r.l. et Cie, S.C.A., eine luxemburgische Gesellschaft mit beschränkter Haftung, übernimmt die Verantwortung für die Einhaltung der Datenschutzvorschriften für Nutzerdaten durch die Gruppenmitglieder und verpflichtet sich, diese zu überwachen.  Das führende Gruppenmitglied verpflichtet sich, (i) erforderliche Maßnahmen zur Heilung eines von Gruppenmitgliedern außerhalb des EWR begangenen Verstoßes zu ergreifen und (ii) die von der leitenden Datenschutzbehörde oder den luxemburgischen Gerichten gewährten Entschädigungen an EWR-Nutzer für Schäden zu zahlen, die sich direkt aus dem Verstoß gegen die Datenschutzvorschriften für Nutzerdaten durch Gruppenmitglieder außerhalb des EWR ergeben, sollte das betreffende Gruppenmitglied nicht in der Lage oder willens sein, die Entschädigung zu zahlen oder der Anordnung Folge zu leisten. 

Das leitende Gruppenmitglied erkennt an und akzeptiert, dass es die Beweislast in Bezug auf mutmaßliche Verstöße gegen die Datenschutzvorschriften für Nutzerdaten trägt.

Das leitende Gruppenmitglied (oder ein anderes Gruppenmitglied) haftet nicht, wenn es auf der Grundlage der verfügbaren Fakten und unter Berücksichtigung der Stellungnahme des Nutzers glaubhaft nachweisen kann, dass das außerhalb des EWR ansässige Gruppenmitglied nicht gegen die Datenschutzvorschriften für Nutzerdaten verstoßen hat oder nicht für den vom Nutzer geltend gemachten Schaden verantwortlich ist.

Die Gruppenmitglieder tragen dafür Sorge, dass alle Mitarbeiter, die personenbezogene Nutzerdaten verarbeiten, sowie diejenigen Mitarbeiter, die an der Entwicklung von Tools zur Erfassung oder Verarbeitung personenbezogener Nutzerdaten beteiligt sind, Schulungen zu Datenschutz und Informationssicherheit erhalten, in denen sie auf die Notwendigkeit des Schutzes personenbezogener Nutzerdaten in Einklang mit diesen Datenschutzvorschriften für Nutzerdaten aufmerksam gemacht werden. 

Mitarbeiter sind verpflichtet, jedes Jahr eine Online-Compliance-Schulung zum Verhaltens- und Ethikkodex des Unternehmens, die unter anderem einen Abschnitt zum Thema Datenschutz umfasst, zu absolvieren.  Neue Mitarbeiter sind verpflichtet, die Online-Compliance-Schulung zu Beginn ihrer Beschäftigung abzuschließen.

Neben dieser Online-Schulung führen das PayPal Global Privacy-Team und der Europäische Datenschutzbeauftragte auch andere Schulungen zu Datenschutz und Informationssicherheit durch, um Mitarbeiter auf die Notwendigkeit des Schutzes personenbezogener Daten aufmerksam zu machen. Diese Schulungen werden jährlich durchgeführt oder häufiger, sollten die Umstände dies erfordern.

Die Schulungen, die Mitarbeiter erhalten, werden an deren jeweiligen Zugriffsrechte für personenbezogene Nutzerdaten angepasst; Mitarbeiter mit höheren Zugriffsrechten erhalten zusätzliche Schulungen. 

Die Gruppenmitglieder setzen ihre Mitarbeiter darüber in Kenntnis, dass Verstöße gegen die Datenschutzvorschriften für Nutzerdaten Disziplinarmaßnahmen und andere nach geltendem Recht zulässige Maßnahmen nach sich ziehen können.  Eine Kopie dieser Datenschutzvorschriften für Nutzerdaten und andere relevante Datenschutz- und Sicherheitsrichtlinien und -verfahren stehen Mitarbeitern jederzeit im Intranet des Unternehmens zur Verfügung. Die Datenschutzvorschriften für Nutzerdaten sind auch im Verhaltens- und Ethikkodex des Unternehmens enthalten; alle Mitarbeiter sind verpflichtet, diesen Verhaltens- und Ethikkodex zu lesen und sich zu dessen Einhaltung zu verpflichten. 

Um zur Einhaltung der Datenschutzvorschriften für Nutzerdaten beizutragen, prüft das PayPal Global Privacy Compliance-Team laufend die Aktivitäten und Praktiken bei der Verarbeitung von personenbezogenen Nutzerdaten. Diese Aktivitäten werden in enger Abstimmung mit dem Europäischen Datenschutzbeauftragten koordiniert. Sie finden regelmäßig, mindestens jedoch einmal jährlich, statt und dienen der Überprüfung der Einhaltung der Datenschutzvorschriften für Nutzerdaten.

Das interne Prüfungsteam ist ein unabhängiger und objektiver Berater der Geschäftsführung und des Verwaltungsrats und übermittelt über den Prüfungsausschuss die Prüfungsergebnisse an den Verwaltungsrat, die Leiter für Datenschutz und den Europäischen Datenschutzbeauftragten. 

Das interne Prüfungsteam kann regelmäßig eine Überprüfung der vom Global Privacy-Team genannten Aktivitäten oder Praktiken vornehmen. Das interne Prüfungsteam, die für den Datenschutz verantwortlichen Leiter und der Europäische Datenschutzbeauftragte verlangen im Bedarfsfall die Umsetzung eines Aktionsplans, um die Einhaltung dieser Datenschutzvorschriften für Nutzerdaten zu gewährleisten. Soweit interne Teams eine jeweilige Angelegenheit nicht angemessen beheben, kann die Gruppe unabhängige, externe Prüfer für weitere Lösungsbemühungen bestellen.

Der Europäische Datenschutzbeauftragte, das PayPal Global Privacy Compliance-Team oder das interne Prüfungsteam und externe Prüfer stellen detaillierte Prüfungs- und Zeitpläne basierend auf dem Risiko der Verarbeitung auf.

Die Ergebnisse der Datenschutzprüfungen werden auf Anfrage den zuständigen Datenschutzbehörden zur Verfügung gestellt.

Angesichts der weltweit unterschiedlichen gesetzlichen Anforderungen in Bezug auf Datenschutz wurden mit den Datenschutzvorschriften für Nutzerdaten einheitliche Anforderungen aufgestellt, mit denen eine angemessene Verarbeitung von personenbezogenen Nutzerdaten sichergestellt werden soll. Die Datenschutzvorschriften für Nutzerdaten enthalten grundlegende Anforderungen, die von den Gruppenmitgliedern einzuhalten sind; die Gruppenmitglieder sind darüber hinaus jedoch auch verpflichtet, geltende Gesetze zu befolgen, mit denen unter Umständen strengere Standards als die in diesen Datenschutzvorschriften für Nutzerdaten festgelegten verlangt werden.

Nichts in diesen Datenschutzvorschriften für Nutzerdaten berührt die Verpflichtungen eines Gruppenmitglieds unter den geltenden Bankgesetzen, insbesondere in Bezug auf das Bankgeheimnis.   Wenn geltendes Recht mit diesen Datenschutzvorschriften für Nutzerdaten auf eine Weise in Konflikt steht, dass ein Gruppenmitglied daran gehindert werden könnte, seinen Verpflichtungen gemäß den Datenschutzvorschriften für Nutzerdaten nachzukommen, und wenn dies erhebliche Auswirkungen auf die darin enthaltenen Zusicherungen hat, muss das Gruppenmitglied den Europäischen Datenschutzbeauftragten unverzüglich darüber informieren, es sei denn, die Bereitstellung solcher Informationen wird von einer Strafverfolgungsbehörde oder durch ein Gesetz untersagt.  Der Europäische Datenschutzbeauftragte, die Leiter für Datenschutz und das leitende Gruppenmitglied legen in diesem Fall die geeignete Vorgehensweise fest und beraten sich im Zweifelsfall mit der zuständigen Datenschutzbehörde.

Die Gruppenmitglieder werden zusammenarbeiten und sich gegenseitig dabei unterstützen, Anfragen oder Beschwerden von Nutzern in Bezug auf diese Datenschutzvorschriften für Nutzerdaten zu bearbeiten.

Die Gruppenmitglieder werden sorgfältig und angemessen auf Anfragen von Datenschutzbehörden zu den Datenschutzvorschriften für Nutzerdaten reagieren.  Wenn ein Mitarbeiter eine solche Anfrage von einer Datenschutzbehörde erhält, sollte er dies unverzüglich dem Europäischen Datenschutzbeauftragten mitteilen.   

Die Gruppenmitglieder werden bei Anfragen von zuständigen Datenschutzbehörden im EWR bezüglich der Einhaltung dieser Datenschutzvorschriften für Nutzerdaten kooperieren und Prüfungen akzeptieren sowie deren Entscheidungen in Einklang mit dem geltenden Recht und den entsprechenden Verfahrensrechten respektieren.

Die Gruppenmitglieder werden den Empfehlungen der Datenschutzbehörden zu Fragen im Zusammenhang mit den Datenschutzvorschriften für Nutzerdaten folgen. Streitigkeiten im Zusammenhang mit der Ausübung der Aufsicht über die Einhaltung der Datenschutzvorschriften für Nutzerdaten durch eine zuständige Datenschutzbehörde werden von den Gerichten des Mitgliedstaats, in dem sich diese Datenschutzbehörde befindet, gemäß dem Verfahrensrecht dieses Mitgliedstaats entschieden. Die Gruppenmitglieder verpflichten sich, sich der Zuständigkeit dieser Gerichte zu unterwerfen.

PayPal behält sich das Recht vor, diese Datenschutzvorschriften für Nutzerdaten nach Bedarf zu ändern, zum Beispiel im Falle von Änderungen der geltenden Gesetze, Regeln, Vorschriften, PayPal-Praktiken, -Verfahren und -Organisationsstrukturen oder von Vorgaben der zuständigen Datenschutzbehörden.

Das PayPal Global Privacy Legal-Team (unter Federführung des Leiters für datenschutzrechtliche Angelegenheiten) wird gegebenenfalls erforderliche Änderungen an diesen Datenschutzvorschriften für Nutzerdaten vorschlagen. Das PayPal Global Privacy Compliance-Team (unter Federführung des Leiters für Datenschutz-Compliance) und der Europäische Datenschutzbeauftragte müssen alle Änderungen an den Datenschutzvorschriften für Nutzerdaten genehmigen sowie alle Änderungen an den Datenschutzvorschriften für Nutzerdaten sowie Änderungen an der Liste der Gruppenmitglieder festhalten. Gemäß dem geltenden Recht melden die Gruppenmitglieder den zuständigen Datenschutzbehörden Änderungen an den Datenschutzvorschriften für Nutzerdaten, damit diese offiziell genehmigt werden können.

Das leitende Gruppenmitglied berät sich mit der leitenden Datenschutzbehörde über wesentliche Änderungen der Datenschutzvorschriften für Nutzerdaten, die sich auf die Einhaltung der Datenschutzbestimmungen oder die Umsetzung der Datenschutzvorschriften für Nutzerdaten auswirken würden.  Das leitende Gruppenmitglied unterrichtet die leitende Datenschutzbehörde mindestens einmal jährlich über wesentliche Änderungen der Datenschutzvorschriften für Nutzerdaten und Änderungen der Liste der Gruppenmitglieder. Beeinträchtigt eine wesentliche Änderung das durch diese Datenschutzvorschriften für Nutzerdaten gebotene Schutzniveau oder würde sie sich anderweitig erheblich auf die Datenschutzvorschriften für Nutzerdaten auswirken (z.B. bei Änderungen ihres verbindlichen Charakters oder des leitenden Gruppenmitglieds), werden diese Änderungen der leitenden Datenschutzbehörde im Voraus mit einer kurzen Erläuterung der Gründe für die Änderung vorgelegt, damit die leitende Datenschutzbehörde gemeinsam mit anderen zuständigen Datenschutzbehörden prüfen kann, ob die Änderungen eine neue Genehmigung erfordern.

Die PayPal Global Privacy-Teams werden gemeinsam den Europäischen Datenschutzbeauftragten unterstützen, der insbesondere die Antworten koordinieren und sich umgehend mit Anmerkungen, Vorschlägen oder Einwänden gegen die Änderungen befassen wird, die von der leitenden Datenschutzbehörde im Auftrag von PayPal vorgebracht werden. Etwaige Kommentare, Vorschläge oder Einwände anderer Datenschutzbehörden werden dem Europäischen Datenschutzbeauftragten von der leitenden Datenschutzbehörde mitgeteilt, die im Auftrag der anderen Datenschutzbehörden handelt.  

Änderungen an den Datenschutzvorschriften für Nutzerdaten gelten für alle Gruppenmitglieder zum Zeitpunkt ihres Inkrafttretens. Das PayPal Global Privacy-Team und der Europäische Datenschutzbeauftragte werden die Gruppenmitglieder vor deren Umsetzung über Änderungen an den Datenschutzvorschriften für Nutzerdaten informieren. Die Gruppenmitglieder werden den Nutzern gemäß deren jeweiligen Einstellungen wesentliche Änderungen an den Datenschutzvorschriften für Nutzerdaten vorab entweder per Rund-E-Mail oder mit einer Nachricht auf der Website mit einem klaren Hinweis zu den Änderungen mitteilen. Die Gruppenmitglieder veröffentlichen die überarbeiteten Datenschutzvorschriften für Nutzerdaten auf ausgewählten externen Websites oder Anwendungen, auf die Nutzer zugreifen können.  Änderungen an den Datenschutzvorschriften für Nutzerdaten treten innerhalb von zwei Monaten in Kraft, nachdem die Gruppenmitglieder die Nutzer benachrichtigt und die überarbeiteten Datenschutzvorschriften für Nutzerdaten veröffentlicht haben.

Eine Übertragung auf ein neues Gruppenmitglied erfolgt erst, wenn das neue Gruppenmitglied durch verbindliche Unternehmensregeln wirksam an die Datenschutzvorschriften für Nutzerdaten gebunden ist und die Einhaltung der Vorschriften gewährleisten kann.

Die Datenschutzvorschriften für Nutzerdaten werden veröffentlicht, und auf der Website oder in den Anwendungen des Diensts wird ein Link zur Verfügung gestellt.  Sie werden in den wichtigsten EU-Sprachen verfügbar sein. Nutzer können beim Europäischen Datenschutzbeauftragten unter der Adresse PayPal (Europe) S.à r.l et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg oder onlineein Exemplar anfordern.

Datum des Inkrafttretens: Datum der Veröffentlichung

Kontakt: Nutzer können Fragen oder Bedenken in Bezug auf die Datenschutzvorschriften für Nutzerdaten an folgende Stelle richten:

An den Europäischen Datenschutzbeauftragten (DSB)

PayPal (Europe) S.à r.l et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg oder indem sie PayPal über den folgenden Link kontaktieren: https://www.paypal.com/uk/cshelp/contact-us/privacy

Die Gruppenmitglieder haben die Datenschutzvorschriften für Nutzerdaten so auszulegen, dass sie den allgemeinen Grundsätzen der Verordnung (EU) 2016/679 oder etwaigen diese ersetzenden EU-Rechtsvorschriften möglichst genau entsprechen.

Für die Zwecke dieser Datenschutzvorschriften für Nutzerdaten gelten folgende Definitionen:

Verwaltungsrat bezeichnet den Verwaltungsrat des leitenden Gruppenmitglieds.

Verantwortlicher bezeichnet die juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Datenschutzbehörden bezeichnet die unabhängigen öffentlichen Behörden, die durch Ermittlungs- und Abhilfebefugnisse die Anwendung des Datenschutzrechts gemäß Kapitel VI der Verordnung (EU) 2016/679 und anderer einschlägiger nationaler Gesetze überwachen.

EWR bezeichnet den Europäischen Wirtschaftsraum, der derzeit die EU-Mitgliedstaaten, Island, Liechtenstein und Norwegen umfasst.

„Mitarbeiter“ bezeichnet Mitarbeiter, Arbeitnehmer, Auszubildende und sonstige Beschäftigte oder Angestellte, einschließlich Leiharbeitnehmer, Aushilfskräfte oder Vertragspartner eines Gruppenmitglieds, unabhängig davon, ob es sich um Vollzeit- oder Teilzeitbeschäftigungen handelt und unabhängig von der Art der jeweiligen Beschäftigung oder des Arbeitsverhältnisses.

Europäischer Datenschutzbeauftragter (DSB) bezeichnet den Mitarbeiter, der von der Geschäftsleitung des leitenden Gruppenmitglieds ernannt wird und dieser unterstellt ist und darüber hinaus Mitglied des PayPal Global Privacy Legal-Teams ist. Der Europäische DSB hat seinen Sitz in Luxemburg.

Gruppenmitglied bezeichnet ein Unternehmen der PayPal-Gruppe, das die IGA unterzeichnet hat.

IGA bezeichnet die gruppeninterne Vereinbarung zwischen dem leitenden Gruppenmitglied und anderen PayPal-Gruppenmitgliedern, die diesen Datenschutzvorschriften für Nutzerdaten innerhalb der PayPal-Gruppe verbindliche Wirkung verleiht.

Leitende Datenschutzbehörde bezeichnet die "Commission nationale pour la protection des données" ("CNPD") in Luxemburg.

Leitendes Gruppenmitglied bezeichnet PayPal (Europe) S.à r.l. & Cie, S.C.A., eine Gesellschaft mit beschränkter Haftung in Luxemburg.

PayPal Global Privacy-Team bezeichnet das koordinierte PayPal Global Privacy Compliance-Team und das PayPal Global Privacy Legal-Team.

PayPal Global Privacy Compliance-Team bezeichnet die Mitglieder der Compliance-Organisation, die sich mit der Einhaltung und der Umsetzung des PayPal-Datenschutzprogramms beschäftigt. 

PayPal Global Privacy Legal-Team bezeichnet die Mitglieder der Rechtsabteilung, die konkret mit dem Datenschutz betraut wurden.

PayPal-Gruppe bezeichnet die PayPal Holdings, Inc. ("PayPal") und jedes direkt oder indirekt von PayPal kontrollierte Unternehmen, das personenbezogene Nutzerdaten verarbeitet, wobei unter “Kontrolle“ der Besitz von mehr als fünfzig Prozent (50 %) der Stimmrechte zur Wahl der Vorstandsmitglieder des Unternehmens oder von mehr als fünfzig Prozent (50 %) der Eigentumsanteile an dem Unternehmen zu verstehen ist.

Personenbezogene Daten bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; eine identifizierbare Person ist eine Person, die direkt oder indirekt identifiziert werden kann, insbesondere anhand einer Identifikationsnummer oder eines oder mehrerer Merkmale, die Ausdruck ihrer physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind.

Verarbeitung bezeichnet einen mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder eine Vorgangsreihe in Zusammenhang mit personenbezogenen Daten,; dies umfasst unter anderem das Erheben, das Erfassen, die Organisation, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Sperrung, das Löschen oder die Vernichtung.

Auftragsverarbeiter bezeichnet jede natürliche oder juristische Person, die personenbezogene Daten im Auftrag eines Gruppenmitglieds verarbeitet.

Besondere Kategorien personenbezogener Daten bezeichnet personenbezogene Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, die Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Daten über Straftaten oder Gesundheitsdaten, Daten zum Sexualleben oder der sexuellen Orientierung hervorgehen.

Dienst bezeichnet eine Website, Anwendung oder andere Produkte oder Dienstleistungen, die von einem Gruppenmitglied für die Verwendung durch einen Nutzer angeboten werden.

Dritter bezeichnet jede natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle außer dem Nutzer, dem Gruppenmitglied, und den Personen, die unter der unmittelbaren Weisungsbefugnis des Gruppenmitglieds berechtigt sind, personenbezogene Daten zu verarbeiten, wie z.B. Mitarbeitende. Als "Dritte" gelten auch Auftragsverarbeiter, die keine Gruppenmitglieder sind.

Nutzer bezeichnet ehemalige und bestehende Kunden, potenzielle Kunden, Investoren, Geschäftspartner und Händler der PayPal-Gruppe.

Personenbezogene Nutzerdaten bezeichnet personenbezogene Daten in Bezug auf Nutzer.

“Verletzung des Schutzes von personenbezogenen Nutzerdaten“ bezeichnet eine Sicherheitsverletzung, die zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf übermittelte, gespeicherte oder anderweitig verarbeitete personenbezogene Daten von Nutzern führt.

Liste der Gruppenmitglieder

Unternehmen in der EU/dem EWR

Unternehmen im Vereinigten Königreich

Unternehmen außerhalb der EU, des EWR und des Vereinigten Königreichs

Länderliste

Länder außerhalb der EU

Vereinigtes Königreich

EU