Datenschutzerklärung

1. Verantwortlicher und Kontaktwege

Verantwortlicher für die Verarbeitung der im Rahmen der Okeanun-App für Taucher (nachfolgend die „App“ oder der „Dienst“) verarbeiteten personenbezogenen Daten ist MUNAEKO DEVELOPMENT SOFTWARE SOLUTIONS, S.L. (Marke „Okeanun“), Steuernummer B88989868, mit Sitz in Gran Vía Manuel López Carreño, 1, 2.º, 30180 Bullas, Murcia, Spanien. Für alle Datenschutzfragen sowie für die Ausübung von Rechten bei Verarbeitungen, bei denen Okeanun Verantwortlicher ist, steht der Kanal [email protected] zur Verfügung. Diese Erklärung stellt eine zusätzliche Information oder „zweite Ebene“ im Sinne des mehrstufigen Informationsmodells dar. Sie ist präzise, transparent, verständlich und leicht zugänglich in klarer Sprache gestaltet und dauerhaft in der App sowie gegebenenfalls in den zugehörigen Web-Umgebungen abrufbar.

2. Grundsätze der Verarbeitung

Okeanun verarbeitet personenbezogene Daten nach den Grundsätzen der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz, der Zweckbindung, der Datenminimierung, der Richtigkeit, der Speicherbegrenzung, der Integrität und Vertraulichkeit sowie der Rechenschaftspflicht. Insbesondere verfolgt Okeanun einen Rechenschaftsansatz (Accountability): Es werden geeignete technische und organisatorische Maßnahmen getroffen und deren Rechtskonformität nachweisbar gehalten; die Maßnahmen werden bei Bedarf überprüft und aktualisiert. Umgesetzt wird dieser Ansatz durch interne Richtlinien, die Dokumentation von Entscheidungen, Zugriffskontrollen und Maßnahmen zur Nachvollziehbarkeit, die besonders dann relevant sind, wenn der Dienst Zugriffe Dritter (Tauchbasen) einbindet oder potenziell sensible Unterlagen verwaltet.

3. Rollen und Verarbeitungsszenarien: Okeanun und Tauchbasen

Im Okeanun-Ökosystem können je nach Szenario und konkretem Zweck Verarbeitungen mit unterschiedlichen Verantwortlichen nebeneinander bestehen. Grundsätzlich ist Okeanun Verantwortlicher für die Verarbeitungen, die zum Betrieb des Okeanun-Kontos und des Dienstes erforderlich sind (zum Beispiel Registrierung, Authentifizierung, Wartung, Support, Sicherheit und Betrieb der sozialen Ebene). Darüber hinaus handeln bestimmte Tauchbasen als eigenständige Verantwortliche für die Daten, die sie zur Verwaltung ihrer Buchungen, Aktivitäten, Kurse, Tauchgänge und Pflichten gegenüber Tauchern verarbeiten; in diesen Fällen kann Okeanun Daten im Auftrag der Basis als Auftragsverarbeiter verarbeiten. Die Auftragsverarbeitung wird durch einen Vertrag oder ein anderes Rechtsinstrument mit dem erforderlichen Inhalt geregelt, einschließlich Verarbeitung nach dokumentierten Weisungen, Vertraulichkeitsverpflichtung, Sicherheitsmaßnahmen, Unterstützung des Verantwortlichen bei der Ausübung von Betroffenenrechten, Regelungen zu Unterauftragsverarbeitern, Rückgabe oder Löschung nach Abschluss der Leistung sowie Bereitstellung von Informationen für Prüfungen.

4. Welche personenbezogenen Daten wir verarbeiten

Je nach Nutzung des Dienstes kann Okeanun nach dem Grundsatz der Datenminimierung folgende Kategorien personenbezogener Daten verarbeiten:

• a) Identitäts- und Kontodaten: Vor- und Nachname (sofern angegeben), Alias/Benutzername, interne Kennungen, E-Mail-Adresse, Zugangsdaten und Kontoeinstellungen.
• b) Kontaktdaten: zum Beispiel Telefonnummer und Notfallnummer (sofern angegeben).
• c) Aktivitäts- und Inhaltsdaten: Einträge des Tauchlogbuchs, Beiträge, Kommentare, Reaktionen sowie Inhalte, die die nutzende Person im Dienst hochlädt oder erzeugt.
• d) Logbuchfotos und Multimedia-Inhalte: von der nutzenden Person zu ihren Einträgen hinzugefügte Fotos, die Bilder Dritter enthalten können.
• e) Soziales Netz: Freundschaften, „Buddys“, Einladungen und soziale Beziehungen innerhalb der App.
• f) Standortdaten: mit Tauchgängen verknüpfter Standort, wenn die nutzende Person ihn in ihre Einträge aufnimmt oder Funktionen aktiviert, die ihn erfordern.
• g) Wirtschaftliche Daten gegenüber Tauchbasen: Informationen zu offenen Beträgen, Gutscheinen oder Zahlungsaufforderungen, wenn die nutzende Person entsprechende Funktionen verwendet.
• h) Technische und Sicherheitsdaten: Daten, die für den Betrieb und den Schutz des Dienstes erforderlich sind, sowie Nachweise zur Nachvollziehbarkeit bei sensiblen Vorgängen (zum Beispiel Bestätigung oder Ablehnung einer Verknüpfung mit einer Tauchbasis), gegebenenfalls einschließlich IP-Adresse sowie Browser- und Gerätedaten.
• i) Metadaten zu Erklärungen oder Annahmen: Dokumentation der Annahme und ihrer Nachvollziehbarkeit (zum Beispiel Zeitstempel und zugehörige Metadaten), zum Nachweis der Entscheidung der nutzenden Person und zur Sicherheit des Dienstes.
• j) Taucherunterlagen einschließlich besonderer Kategorien: Zertifizierungen und Versicherung sowie, sofern die nutzende Person sie bereitstellt, Fragebögen, ärztliche Bescheinigungen oder sonstige gesundheitsbezogene Unterlagen. Gesundheitsdaten sind besondere Kategorien personenbezogener Daten und unterliegen einem verschärften Schutzregime.
• k) Anthropometrische und physiologische Daten: Gewicht, Größe, Schuhgröße, bevorzugtes Blei und SAC. Diese Daten sind zwar keine besondere Kategorie, werden aber wegen ihrer Nähe zur Gesundheitssphäre mit verschärften Zugriffsvorkehrungen behandelt, auf die Zwecke der Ausrüstungsvorbereitung und der Verbrauchsschätzung beschränkt und nicht in das für Tauchbasen ohne Verknüpfung sichtbare Verzeichnis (Stufe 0) aufgenommen.

5. Zwecke der Verarbeitung und Rechtsgrundlagen

Okeanun verarbeitet personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke, benennt für jede Verarbeitung die anwendbare Rechtsgrundlage und stellt sicher, dass bei der Verarbeitung besonderer Kategorien das entsprechende verschärfte Regime angewendet wird.

• a) Registrierung, Authentifizierung, Kontoverwaltung und Bereitstellung der Funktionen des Dienstes. Rechtsgrundlage: Erfüllung eines Vertrags oder auf Anfrage der nutzenden Person durchgeführte vorvertragliche Maßnahmen.
• b) Support und Nutzerbetreuung. Rechtsgrundlage: Vertragserfüllung.
• c) Für den Dienst erforderliche betriebliche Mitteilungen. Rechtsgrundlage: Vertragserfüllung und/oder berechtigtes Interesse, soweit sie für den Betrieb des Dienstes erforderlich und verhältnismäßig sind.
• d) Sicherheit und Integrität des Dienstes, Nachvollziehbarkeit und Verhinderung missbräuchlicher Nutzung. Rechtsgrundlage: berechtigtes Interesse, mit geeigneten technischen und organisatorischen Maßnahmen und Zugriffskontrollen.
• e) Für Tauchbasen ohne vorherige Verknüpfung sichtbares Qualifikationsverzeichnis (Stufe 0). Rechtsgrundlage: berechtigtes Interesse. Die nutzende Person kann ihr Widerspruchsrecht über den in der App bereitgestellten Schalter ausüben; Folge ist der Ausschluss aus dem Verzeichnis der Stufe 0.
• f) Überprüfung der Verknüpfung Taucher↔Tauchbasis und Dokumentation des Vorgangs. Rechtsgrundlage: Vertragserfüllung und gegebenenfalls Aufbewahrung von Nachweisen der Annahme/Entscheidung der nutzenden Person und ihres Widerrufs zu Beweis- und Sicherheitszwecken.
• g) Verarbeitung von durch die nutzende Person bereitgestellten medizinischen Unterlagen oder Gesundheitsdaten. Entscheidet sich die nutzende Person, Gesundheitsdaten bereitzustellen, erfolgt die Verarbeitung auf einer geeigneten Rechtsgrundlage und unter dem für besondere Kategorien geltenden verschärften Regime, gegebenenfalls einschließlich der ausdrücklichen Einwilligung für bestimmte Zwecke; die Einwilligung kann jederzeit widerrufen werden, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

6. Qualifikationsverzeichnis und Zugriffsstufen für Tauchbasen

Der Dienst kann ein für Tauchbasen ohne Verknüpfung sichtbares Qualifikationsverzeichnis (Stufe 0) umfassen. Auf dieser Stufe kann die Tauchbasis ausschließlich die für diesen Zweck unbedingt erforderlichen und konfigurierten Felder einsehen, darunter: Vor- und Nachname, Alias, Avatar, interne Okeanun-Kennung, Gesamtzahl der Tauchgänge, Datum des letzten Tauchgangs, aus Zertifizierungen abgeleitete Befähigungen sowie je Zertifizierung Ausbildungsverband (einschließlich Logo), Kursbezeichnung, Stufe und Verifizierungsstatus sowie unbedingt erforderliche funktionale Metadaten (type, isOkeanunUser). Auf Stufe 0 werden weder Kontaktdaten (E-Mail, Telefon) noch Versicherungsdaten, anthropometrische und physiologische Daten, medizinische oder daraus abgeleitete Informationen, Bilder von Gesundheitsunterlagen, gegenüber Dritten überprüfbare Zertifizierungskennungen (zum Beispiel die Zertifizierungsnummer) oder Ablaufdaten von Zertifizierungen offengelegt. Diese Abgrenzung folgt den Grundsätzen der Datenminimierung und des Datenschutzes durch Voreinstellungen hinsichtlich der Zugänglichkeit von Daten für Dritte.

Der Zugriff einer Tauchbasis auf Informationen des Tauchers außerhalb der Stufe 0 (nachfolgend „Stufe 1 oder höher“) wird weder allein dadurch freigeschaltet, dass die Basis eine Suche im Verzeichnis durchführt, noch durch das bloße Bestehen einer von der Basis erstellten Buchung. Für die Freischaltung der Stufe 1 oder höher muss eine vorherige Beziehung zur Basis bestehen, die nach der Logik des Dienstes als verifiziert gilt. Als Tatbestände, die Stufe 1 oder höher ermöglichen, gelten insoweit: (i) das Bestehen einer verifizierten Verknüpfung Taucher↔Tauchbasis und (ii) die Mitgliedschaft in der Basis (zum Beispiel wenn der Taucher Inhaber, Mitinhaber oder Mitarbeiter der Basis ist); im letzteren Fall ergibt sich der Zugriff aus der Zugehörigkeit zur Basis.

Die verifizierte Verknüpfung kann über verschiedene Kanäle bestätigt werden, die zur Transparenz über die Erteilung des Zugriffs gesondert beschrieben werden: (a) ausdrückliche Annahme in der App über einen eigenen Bildschirm für die Zugriffsanfrage der Basis, auf dem der Zugriffsumfang angezeigt und die Optionen „Annehmen“, „Ablehnen“ oder „Jetzt nicht“ angeboten werden; (b) ausdrückliche Annahme über einen per E-Mail versandten Link mit zeitlicher Befristung, der zum selben Bestätigungsablauf führt; und (c) bei einer Buchung im Portal einer Tauchbasis mit Okeanun-Identität durch den Buchungsinhaber selbst (Authentifizierung und Handeln auf eigene Rechnung) kann die Verknüpfung ohne zusätzlichen Bildschirm als verifiziert gelten. Diese automatische Verifizierung gilt nur für den selbst handelnden Inhaber und nicht für Begleitpersonen oder andere in die Buchung einbezogene Personen, die gegebenenfalls eine eigene individuelle Bestätigungsanfrage erhalten.

Darüber hinaus kann der Dienst Zwischenzustände der Beziehung zu einer Tauchbasis abbilden, um betriebliche Situationen darzustellen, in denen eine geschäftliche Verbindung besteht (zum Beispiel Buchung oder Gutschein), ohne dass die nutzende Person eine verifizierte Verknüpfung bestätigt hat: In diesen Fällen greift die Basis nicht auf die Okeanun-Akte des Tauchers zu (Stufe 1 oder höher), sondern ausschließlich auf das, was zur Steuerung ihrer eigenen Beziehung unbedingt erforderlich ist (zum Beispiel eigene Buchungshistorie, Salden, aktive Gutscheine und gegebenenfalls „Guest“-Profile sowie von der Basis selbst erhobene Unterlagen); insoweit handelt die Basis als Verantwortlicher.

7. Widerspruchsrecht gegen das Verzeichnis der Stufe 0

Stützt sich das Verzeichnis der Stufe 0 auf ein berechtigtes Interesse, kann die nutzende Person jederzeit über den in der App bereitgestellten Schalter widersprechen. Der Widerspruch bewirkt den Ausschluss der nutzenden Person aus den Verzeichnisergebnissen für Tauchbasen ohne Verknüpfung. Der Widerspruch berührt weder den Zugriff von Basen mit verifizierter Verknüpfung noch den aus einer Mitgliedschaft in einer Basis abgeleiteten Zugriff.

8. Empfänger und Kategorien von Empfängern

Grundsätzlich gibt Okeanun keine Daten an Dritte weiter, außer wenn dies zur Erbringung des Dienstes erforderlich ist, eine gesetzliche Pflicht besteht oder die nutzende Person Funktionen aktiviert, die das Teilen von Daten mit einer bestimmten Tauchbasis beinhalten (zum Beispiel Verknüpfung, Buchungen oder die basisbezogene Dokumentenverwaltung).

• a) Tauchbasen – verknüpfte Basis oder Mitgliedschaft: Besteht eine verifizierte Verknüpfung oder eine Mitgliedschaft, kann die Basis innerhalb der freigeschalteten Stufe auf die Daten zugreifen, die zur Abwicklung von Buchungen, Kursen, Tauchgängen, Überprüfungen und damit verbundenen Pflichten erforderlich sind. Für die Verarbeitung zu eigenen Zwecken handelt die Basis als Verantwortlicher.
• a) Tauchbasen – nicht verknüpfte Basis: Zugriff auf das Verzeichnis der Stufe 0. In diesem Fall wird die empfangende Basis ab Erhalt der Daten eigenständiger Verantwortlicher für die von ihr durchgeführte Verarbeitung und muss gegebenenfalls ihrer eigenen Informationspflicht nachkommen, insbesondere wenn die Daten nicht unmittelbar bei der betroffenen Person erhoben wurden.
• b) Dienstleister (Auftragsverarbeiter und Unterauftragsverarbeiter): Okeanun nutzt technische Dienstleister zur Erbringung des Dienstes (zum Beispiel Hosting und Infrastruktur, Datenbank, Speicherung und Verarbeitung von Bildern, transaktionale E-Mails, Authentifizierung, Karten, Fehlerdiagnose, Support-/Ticketverwaltung und Zahlungen). Diese Dienstleister verarbeiten Daten im Auftrag von Okeanun als Auftragsverarbeiter oder Unterauftragsverarbeiter nach dokumentierten Weisungen und mit angemessenen vertraglichen Pflichten, einschließlich der Regelungen zu Unterauftragsverarbeitern und der Transparenz bei deren Wechsel, soweit anwendbar. Die namentliche und aktuelle Liste der Dienstleister und Unterauftragsverarbeiter mit Angabe der Standorte und gegebenenfalls der Mechanismen für internationale Datenübermittlungen kann jederzeit unter [email protected] angefordert werden.

9. Internationale Datenübermittlungen

Bestimmte Dienstleister können internationale Übermittlungen personenbezogener Daten mit sich bringen, einschließlich Situationen, in denen trotz einer in der Europäischen Union konfigurierten Verarbeitungsregion ein administrativer oder Support-Zugriff aus Drittländern erfolgt. In diesen Fällen wendet Okeanun die erforderlichen geeigneten Garantien an und stellt klare Informationen über das Bestehen von Übermittlungen sowie über die Möglichkeiten bereit, eine Kopie der Garantien zu erhalten oder auf sie zuzugreifen, über [email protected].

Ebenso kann die Nutzung im Browser geladener Dienste Dritter (zum Beispiel Karten- oder Identitätsdienste Dritter) unmittelbare Datenübermittlungen vom Gerät der nutzenden Person an diese Dritten bedeuten; dies ist gegebenenfalls von den Informationen zu Empfängern und internationalen Übermittlungen erfasst.

10. Speicherfristen

Personenbezogene Daten werden so lange aufbewahrt, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist, im Einklang mit dem Grundsatz der Speicherbegrenzung und gegebenenfalls unter Anwendung von Löschung oder Einschränkung der Verarbeitung. Okeanun verwendet konkrete Kriterien und Fristen für relevante Datenkategorien, unbeschadet dessen, dass bestimmte Verarbeitungen eine zusätzliche Aufbewahrung erfordern können, soweit dies zur Wahrnehmung von Verantwortlichkeiten und zur Rechtsverteidigung erforderlich ist.

Im Einzelnen:

• a) Kontodaten und Betrieb des Dienstes: solange das Konto aktiv ist und danach für weitere 2 Jahre zur Wahrnehmung von Verantwortlichkeiten und zur Rechtsverteidigung.
• b) Verknüpfungs-Token: bis zu 72 Stunden.
• c) Protokoll der Zugriffe von Tauchbasen: 12 Monate.
• d) Nachweis der Verifizierung der Verknüpfung Taucher↔Tauchbasis und zugehörige Protokolle: solange die Verknüpfung besteht und danach für 2 Jahre.
• e) Vollständig stornierte Buchungen ohne Zahlungen: endgültige Löschung.
• f) Buchungen mit Zahlungen oder damit verbundenen Pflichten: Aufbewahrung für die zur Erfüllung von Pflichten und zur Verteidigung gegen Ansprüche im Zusammenhang mit dem Zahlungsvorgang erforderliche Dauer.
• g) Im Auftrag einer Tauchbasis verarbeitete Daten: Die Fristen legt die Basis als Verantwortlicher fest; handelt Okeanun als Auftragsverarbeiter, gelten die Bestimmungen des Auftragsverarbeitungsvertrags (DPA), einschließlich Rückgabe oder Löschung, soweit einschlägig.

11. Rechte der nutzenden Personen und deren Ausübung

Die nutzende Person kann die im Datenschutzrecht vorgesehenen Rechte ausüben (Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und gegebenenfalls Datenübertragbarkeit) sowie eine Einwilligung widerrufen, wenn die Verarbeitung auf einer Einwilligung beruht. Die Ausübung wird über zugängliche Kanäle und Verfahren ermöglicht, die eine fristgerechte Antwort und eine angemessene Nachvollziehbarkeit erlauben.

In jedem Fall kann die betroffene Person bei der spanischen Datenschutzbehörde (AEPD) Beschwerde einlegen.

• a) Verarbeitungen, bei denen Okeanun Verantwortlicher ist: Anträge können an [email protected] gerichtet werden.
• b) Verarbeitungen, bei denen die Tauchbasis Verantwortlicher ist: Betrifft die Verarbeitung eine Basis (zum Beispiel Verwaltung von Buchungen, Kursen oder von der Basis geforderten Unterlagen), sind die Rechte gegenüber der Basis auszuüben. Erhält Okeanun einen Antrag zu einer im Auftrag der Basis durchgeführten Verarbeitung, leistet Okeanun die nach dem Auftragsverarbeitungsverhältnis und den Weisungen der verantwortlichen Basis gebotene technische Unterstützung.
• c) Widerruf der Verknüpfung und praktische Grenzen: Die nutzende Person kann eine verifizierte Verknüpfung mit einer Basis in der App widerrufen (Einstellungen → Datenschutz → Verknüpfte Tauchbasen → „Zugriff entziehen“), mit sofortiger Wirkung auf den Zugriff der Basis auf die Akte des Tauchers bei Okeanun. Der Widerruf hindert die Basis weder daran, (i) ihre eigene geschäftliche und operative Historie zu verarbeiten (zum Beispiel Buchungen, Gutscheine, Salden sowie von der Basis selbst erhobene Unterlagen oder „Guest“-Profile), wofür sie als eigenständiger Verantwortlicher handelt, noch (ii) macht er einen etwaigen vorherigen Download oder die Übernahme von Daten in die eigenen Systeme der Basis während des Zeitraums ihres Zugriffs rückgängig; in diesem Fall sind die Rechte gegenüber der Basis als Verantwortlichem auszuüben. Bei einer Beziehung aufgrund von Mitgliedschaft (zum Beispiel Inhaber, Mitinhaber oder Mitarbeiter der Basis) beseitigt der Entzug des Zugriffs durch Widerruf der Verknüpfung nicht den aus der Zugehörigkeit zur Basis abgeleiteten Zugriff; dieser ist gegebenenfalls durch Ausscheiden aus der Basis nach dem geltenden Verfahren zu beenden.
• d) Tatsächliche Grenze des Löschrechts hinsichtlich der von Tauchbasen aufbewahrten Kopien: Eine gegenüber Okeanun beantragte Löschung erstreckt sich nicht auf Kopien oder Akten, die Tauchbasen als eigenständige Verantwortliche zur Erfüllung eigener Pflichten oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen aufbewahren. In diesen Fällen ist das Recht gegenüber der Basis geltend zu machen, unbeschadet der Rechte, die gegenüber Okeanun hinsichtlich der eigenen Verarbeitungen bestehen.

12. Mehrstufige Information an den Erhebungsstellen

Werden personenbezogene Daten unmittelbar bei der nutzenden Person erhoben, erfolgt die Information klar und zugänglich, wobei ein mehrstufiges System verwendet werden kann: eine erste Ebene (Basisinformation) an den Erhebungsstellen (zum Beispiel Registrierung, Formulare, Verknüpfungsabläufe, Hochladen von Unterlagen und Zahlungen) und eine zweite Ebene mit zusätzlichen Informationen über diese Erklärung oder einen direkten Link darauf. Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, erfolgt die Information nach Maßgabe der anwendbaren Vorgaben und Fristen; auch hier kann ein mehrstufiges Modell nach spanischem Recht verwendet werden.

13. Datenschutz durch Technikgestaltung und durch Voreinstellungen sowie Standardeinstellungen des Dienstes

Okeanun trifft technische und organisatorische Maßnahmen, um den Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen einzubinden, sodass standardmäßig nur die für den jeweiligen Zweck erforderlichen Daten verarbeitet werden und Umfang, Ausmaß, Zugänglichkeit und Speicherdauer kontrolliert werden, unter Berücksichtigung des Stands der Technik, der Kosten und der Risiken für Rechte und Freiheiten. Diese Maßnahmen werden dokumentiert und risikoabhängig überprüft.

Unbeschadet dessen enthält der Dienst relevante Standardeinstellungen, die bereits ab der Registrierung bekannt sein sollten und von der nutzenden Person ohne Aufwand geändert werden können:

Diese Optionen werden angeboten, um eine informierte Entscheidung und eine wirksame Kontrolle der nutzenden Person über die Zugänglichkeit ihrer Informationen im Dienst zu ermöglichen.

• a) Sichtbarkeit des sozialen Profils: Standardmäßig ist das soziale Profil öffentlich. Das bedeutet, dass bestimmte Elemente des Profils und der von der nutzenden Person freiwillig veröffentlichten sozialen Inhalte entsprechend der sozialen Logik des Dienstes sichtbar sein können. Die nutzende Person kann diese Einstellung jederzeit mit sofortiger Wirkung ändern. Gesundheitsunterlagen sind nicht Teil des sozialen Profils.
• b) Sichtbarkeit im Verzeichnis für Tauchbasen: Standardmäßig ist die nutzende Person für Tauchbasen im Qualifikationsverzeichnis (Stufe 0) sichtbar. Die nutzende Person kann diese Sichtbarkeit jederzeit über den bereitgestellten Schalter mit sofortiger Wirkung deaktivieren.

14. Sicherheit der Verarbeitung und Vorfälle

Okeanun wendet geeignete technische und organisatorische Maßnahmen an, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, mit Zugriffskontrollen, auf Vertraulichkeit, Integrität und Verfügbarkeit ausgerichteten Maßnahmen sowie Mechanismen zur Nachvollziehbarkeit, die bei Zugriffen durch Tauchbasen und bei sensiblen Vorgängen besonders relevant sind. Diese Maßnahmen werden bei Bedarf anhand der Risikoanalyse und gegebenenfalls von Datenschutz-Folgenabschätzungen überprüft und aktualisiert.

Im Falle einer Verletzung des Schutzes personenbezogener Daten dokumentiert Okeanun den Vorfall und erfüllt die Meldepflichten, soweit einschlägig. Handelt Okeanun als Auftragsverarbeiter im Auftrag einer Tauchbasis, meldet Okeanun der verantwortlichen Basis unverzüglich die ihm bekannt gewordenen Verletzungen des Schutzes personenbezogener Daten, wie im Auftragsverarbeitungsverhältnis gefordert.

15. Minderjährige

Der Dienst richtet sich nicht an Minderjährige. Tauchbasen können jedoch minderjährige Taucher als „Guest Diver“ verwalten und deren Unterlagen im Umfeld der Basis bereitstellen oder verwalten. In diesem Fall handelt die Basis als Verantwortlicher und Okeanun kann als Auftragsverarbeiter im Auftrag der Basis handeln; der Basis obliegt es, die Einwilligung der Personensorgeberechtigten einzuholen, soweit diese erforderlich ist, insbesondere in Bezug auf Gesundheitsunterlagen oder andere besonders sensible Unterlagen.

16. Cookies und ähnliche Technologien

In den Web-Umgebungen des Dienstes nutzt Okeanun derzeit ausschließlich die Speicherung von und den Zugriff auf Informationen in Endgeräten, soweit dies zur Erbringung des von der nutzenden Person angeforderten Dienstes und zu Sicherheitszwecken unbedingt erforderlich ist (zum Beispiel zur Aufrechterhaltung der Sitzung). Es werden keine Cookies oder ähnlichen Technologien für Analyse, Werbung oder Personalisierung eingesetzt; daher wird keine Einwilligung eingeholt und kein Cookie-Banner angezeigt. Sollten künftig nicht unbedingt erforderliche Technologien eingeführt werden, werden vorab klare und vollständige Informationen über deren Einsatz und Zwecke bereitgestellt, die Einwilligung der nutzenden Person eingeholt und Mechanismen zur Konfiguration und zum Widerruf der Einwilligung bereitgestellt.

17. Änderungen der Datenschutzerklärung

Okeanun kann diese Erklärung aktualisieren, wenn sich der Dienst, seine Prozesse oder die Rechtslage ändern. Die jeweils geltende Fassung ist zugänglich verfügbar, mit Angabe des Datums der letzten Überarbeitung; über wesentliche Änderungen wird auf angemessenem Weg innerhalb des Dienstes oder auf elektronischem Weg informiert.