Was beinhaltet die Datenschutz-Grundverordnung (DSGVO)?

Die Datenschutz-Grundverordnung (DSGVO) ist die Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten. Sie gilt seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten und hat die Datenschutzrichtlinie 95/46/EG abgelöst. Die DSGVO soll die Kontrolle der Menschen über ihre Daten stärken und die Datenschutzregeln in der EU vereinheitlichen. Sie betrifft die Verarbeitung, Speicherung und Übermittlung personenbezogener Daten.

Kernpunkte der DSGVO

Grundsätze der Datenverarbeitung

Die DSGVO nennt die Grundsätze Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie Rechenschaftspflicht. Unternehmen müssen betroffene Personen unter anderem darüber informieren, zu welchem Zweck ihre Daten erhoben und wie lange sie gespeichert werden. Die Einhaltung lässt sich mit Datenschutz-Audits prüfen, für die es eigene Personenzertifikate gibt, etwa den Datenschutzauditor (TÜV) oder den Datenschutz-Auditor (DGI).

Rechte der betroffenen Personen

Personen, deren Daten verarbeitet werden, haben unter anderem ein Recht auf Auskunft, Berichtigung, Löschung („Recht auf Vergessenwerden“), Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen die Verarbeitung. Kenntnisse der DSGVO prüfen Zertifizierungen wie der Certified Information Privacy Professional/Europe (CIPP/E) der IAPP oder der Certified Data Protection Officer (CDPO) von PECB.

Pflichten der Verantwortlichen und Auftragsverarbeiter

Wer personenbezogene Daten verarbeitet, muss geeignete technische und organisatorische Maßnahmen treffen. Dazu gehören unter anderem ein Verzeichnis von Verarbeitungstätigkeiten, Datenschutz-Folgenabschätzungen bei Verarbeitungen mit hohem Risiko und in bestimmten Fällen die Benennung eines Datenschutzbeauftragten.

Übermittlung in Drittländer

Personenbezogene Daten dürfen nur unter bestimmten Bedingungen in Länder außerhalb der EU übermittelt werden, etwa wenn im Empfängerland ein angemessenes Datenschutzniveau besteht oder Standardvertragsklauseln verwendet werden.

Bußgelder

Die DSGVO sieht zwei Stufen von Geldbußen vor: bis zu 10 Millionen Euro oder bei Unternehmen bis zu 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, bei Verstößen etwa gegen die Verarbeitungsgrundsätze oder die Betroffenenrechte bis zu 20 Millionen Euro oder bis zu 4 %, jeweils je nachdem, welcher Betrag höher ist.

Bedeutung für Organisationen

Die DSGVO verlangt von Organisationen Transparenz bei der Datenverarbeitung, stärkt die Rechte der Einzelnen und erweitert die Pflichten derjenigen, die personenbezogene Daten verarbeiten. Unternehmen müssen die Anforderungen kennen und ihre Prozesse daran ausrichten.

Häufige Fragen zu Datenschutz-Grundverordnung (DSGVO)

Was genau ist die Datenschutz-Grundverordnung (DSGVO)?

Die DSGVO ist eine Verordnung der Europäischen Union, die die Verarbeitung personenbezogener Daten durch Unternehmen, Organisationen und öffentliche Stellen regelt. Sie soll den Menschen mehr Kontrolle über ihre Daten geben und den Datenschutz in der EU vereinheitlichen.

Für wen gilt die DSGVO und wer muss sich daran halten?

Die DSGVO gilt für Verantwortliche und Auftragsverarbeiter mit Niederlassung in der EU, unabhängig davon, ob die Verarbeitung selbst in der EU stattfindet. Sie gilt außerdem für Anbieter außerhalb der EU, wenn sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten in der EU beobachten. Erfasst sind Unternehmen, Gewerbetreibende und öffentliche Stellen.

Welche Rechte räumt die DSGVO den betroffenen Personen ein?

Dazu gehören das Recht auf Auskunft über die eigenen verarbeiteten Daten, auf Berichtigung falscher Daten, auf Löschung („Recht auf Vergessenwerden“), auf Einschränkung der Verarbeitung, auf Datenübertragbarkeit und das Widerspruchsrecht.

Was sind die Pflichten der Unternehmen unter der DSGVO?

Unternehmen müssen die Grundsätze des Datenschutzes einhalten. Dazu zählen datenschutzfreundliche Voreinstellungen, Datenschutz-Folgenabschätzungen bei Verarbeitungen mit hohem Risiko und die Meldung von Datenschutzverletzungen an die zuständige Aufsichtsbehörde und gegebenenfalls an die betroffenen Personen.

Was bedeutet Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen in der DSGVO?

Beide Grundsätze (Art. 25 DSGVO) verlangen, Datenschutz bereits bei der Entwicklung von Produkten und Dienstleistungen zu berücksichtigen. Systeme sollen so gestaltet sein, dass sie nur so viele personenbezogene Daten erheben, verarbeiten und speichern, wie für den Zweck nötig sind (Datenminimierung), und dass die Voreinstellungen die Privatsphäre schützen.

Wie wirkt sich die DSGVO auf die Verarbeitung spezieller Kategorien personenbezogener Daten aus?

Für besondere Kategorien personenbezogener Daten, etwa Gesundheitsdaten, Daten über politische Meinungen oder religiöse Überzeugungen, gelten strengere Regeln (Art. 9 DSGVO). Ihre Verarbeitung ist grundsätzlich untersagt, es sei denn, eine der dort geregelten Ausnahmen greift, zum Beispiel eine ausdrückliche Einwilligung der betroffenen Person.

Welche Strafen können bei Verstößen gegen die DSGVO verhängt werden?

Je nach Verstoß sind Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes möglich, in den schwereren Fällen bis zu 20 Millionen Euro oder 4 %, jeweils je nachdem, welcher Betrag höher ist (Art. 83 DSGVO).