Die erhobenen Daten werden zu klar definierten Zwecken verarbeitet. Dazu gehören insbesondere der technische Betrieb und die Sicherheit der Website, die Beantwortung eingehender Anfragen, die Pflege bestehender Geschäftsbeziehungen sowie die Auswertung anonymisierter oder pseudonymisierter Nutzungsinformationen zur Verbesserung der Inhalte. Rechtsgrundlagen sind je nach Situation die Erfüllung vertraglicher Pflichten, berechtigte Interessen oder eine erteilte Einwilligung.

Soweit Daten für Analysezwecke genutzt werden, erfolgt dies vorrangig in aggregierter Form, um allgemeine Nutzungsmuster zu erkennen, beispielsweise häufig aufgerufene Seiten oder technische Störungen. Personenbezogene Auswertungen werden auf das notwendige Maß beschränkt und, wo möglich, durch Pseudonymisierung oder Anonymisierung ergänzt. Eine Profilbildung mit rechtlicher Wirkung oder vergleichbar erheblicher Beeinträchtigung findet nicht statt.

Personenbezogene Daten werden nur dann an Dritte übermittelt, wenn hierfür eine Rechtsgrundlage besteht. Dies ist insbesondere der Fall, wenn externe Dienstleister zur technischen Bereitstellung der Website, zum Hosting, zur Wartung oder zur Auswertung anonymisierter Nutzungsinformationen eingesetzt werden. Diese Dienstleister handeln auf Grundlage vertraglicher Vereinbarungen zur Auftragsverarbeitung und sind an Weisungen sowie an angemessene Sicherheitsmaßnahmen gebunden.

Eine weitergehende Weitergabe an andere Empfänger erfolgt nur, wenn dies zur Erfüllung vertraglicher oder gesetzlicher Pflichten erforderlich ist, etwa gegenüber Behörden, oder wenn eine ausdrückliche Einwilligung vorliegt. Soweit eine Übermittlung in Staaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums in Betracht kommt, erfolgt diese ausschließlich unter Beachtung der dafür vorgesehenen Schutzmechanismen, beispielsweise auf Basis anerkannter Garantien oder geeigneter vertraglicher Regelungen.

Zum Schutz personenbezogener Daten werden technische und organisatorische Maßnahmen eingesetzt, die regelmäßig überprüft und weiterentwickelt werden. Dazu zählen unter anderem Zugriffsbeschränkungen nach dem Need-to-know-Prinzip, verschlüsselte Übertragungswege, gesicherte Serverumgebungen sowie Verfahren zur Protokollierung und Auswertung sicherheitsrelevanter Ereignisse. Mitarbeitende, die mit personenbezogenen Daten arbeiten, werden auf Vertraulichkeit verpflichtet und auf relevante Datenschutzvorgaben hingewiesen.

Trotz angemessener Schutzmaßnahmen kann kein absoluter Schutz vor Angriffen oder unbefugtem Zugriff garantiert werden. Im Fall sicherheitsrelevanter Vorfälle werden etablierte Prozesse zur Erkennung, Bewertung und Meldung von Datenschutzverletzungen angewendet. Soweit gesetzlich erforderlich, werden betroffene Personen und Aufsichtsbehörden über relevante Vorfälle informiert. Die Sicherheitsmaßnahmen werden fortlaufend an den Stand der Technik und an organisatorische Entwicklungen angepasst.