Wenn Sie im Datenschutz arbeiten oder einfach nur online aktiv sind, haben Sie wahrscheinlich schon von der DSGVO gehört. Es wurde von der EU entworfen und verabschiedet und ist das strengste Datenschutz- und Sicherheitsgesetz weltweit. Die DSGVO bezieht sich jedoch nicht ausschließlich auf EU-Länder. Weil die DSGVO Unternehmen überall auf der Welt Verpflichtungen auferlegt, wenn sie im Besitz von Daten von EU-Bürgern sind.
Deshalb ist es so wichtig, sicherzustellen, dass Ihr Unternehmen DSGVO-konform ist.
Hier erklären wir, was genau die DSGVO ist und welche wichtigen Auswirkungen dies hat. Dazu gehören Themen wie Einwilligung, Compliance und personenbezogene Daten.
Was ist die DSGVO?
Die Datenschutz-Grundverordnung (DSGVO) ist der rechtliche Rahmen, der die Erhebung und Verarbeitung personenbezogener Daten von Einwohnern der Europäischen Union (EU) regelt. Der Rahmen wurde erstmals im April 2016 angenommen, trat aber erst im Mai 2018 vollständig in Kraft.
Die DSGVO ist das strengste Datenschutz- und Sicherheitsgesetz weltweit. Das liegt daran, dass eine Website auch dann nach der DSGVO haftbar ist, wenn sie keine Waren oder Dienstleistungen speziell an EU-Bürger vermarktet. Jede Website, die europäische Besucher anzieht, ist betroffen.
Warum wurde die DSGVO eingeführt?
Für die Europäer ist die Privatsphäre seit langem ein notwendiges Recht. Aus diesem Grund wurde in der Europäischen Menschenrechtskonvention von 1950 kodifiziert, dass „jeder das Recht auf Achtung seines Privat- und Familienlebens, seiner Wohnung und seiner Korrespondenz hat“.
Doch der Kongress wurde vom technologischen Fortschritt überschattet.
1995 verabschiedete die EU daher die europäische Datenschutzrichtlinie, um Mindeststandards für Datenschutz und Datensicherheit festzulegen. Anhand dieser Standards würde dann jeder Mitgliedstaat seine Rechtsvorschriften ausarbeiten.
Was die Standards nicht würdigten, war das schiere Ausmaß der Erhebung personenbezogener Daten. Was wir brauchten, war ein Weg, um die Zustimmung der Öffentlichkeit zu gewährleisten, die für die Einstellung der EU zum Datenschutz von grundlegender Bedeutung ist – also kehrte die EU zum Reißbrett zurück.
Da immer mehr personenbezogene Daten im Internet zu finden sind, hat die EU versucht, den Schutz der EU-Bürger nachdrücklich zu verbessern. Es wurden Bedenken hinsichtlich des begrenzten regionalen Geltungsbereichs früherer Gesetzesinitiativen geäußert, trotz der globalen Reichweite des Online-Bereichs. Daher schlugen die EU-Gesetzgeber eine Verordnung mit wirklich globaler Reichweite vor.
Das Ergebnis war die DSGVO.
Was sind die Grundsätze der DSGVO?
Im Rahmen der DSGVO wurden sieben allgemeine Prinzipien umrissen. Dazu gehören:
- Rechtmäßigkeit, Fairness und Transparenz. Jede Datenerhebung muss rechtmäßig, fair und für den Einzelnen transparent sein.
- Zweckbindung. Die Datenerhebung sollte nur auf wesentliche Zwecke beschränkt werden.
- Datenminimierung. Es werden keine irrelevanten personenbezogenen Daten erhoben – sie müssen sich auf den angegebenen Zweck beziehen.
- Genauigkeit. Personenbezogene Daten müssen korrekt und aktuell sein.
- Speicherbeschränkung. Personenbezogene Daten dürfen nur so lange gespeichert werden, wie dies für den angegebenen Zweck erforderlich ist.
- Integrität und Vertraulichkeit. Personenbezogene Daten, in die die Erhebung eingewilligt wurde, müssen sicher aufbewahrt werden.
- Verantwortlichkeit. Der für die Datenverarbeitung Verantwortliche muss nachweisen, wie er die DSGVO einhält.
Datenschutzrechte und DSGVO
Zusätzlich zu den sieben Grundsätzen erkennt die DSGVO auch viele Datenschutzrechte für betroffene Personen an. Grundlegendes Ziel ist es, den Nutzern mehr Kontrolle und Zugang zu ihren persönlichen Daten zu geben. Somit sind personenbezogene Daten nicht mehr Eigentum der Organisationen, sondern werden lediglich für eine gewisse Zeit ausgeliehen.
Zu den Datenschutzrechten der betroffenen Personen gehören:
- Das Recht auf Information
- Das Auskunftsrecht
- Das Recht auf Berichtigung
- Das Recht auf Löschung
- Das Recht auf Einschränkung der Verarbeitung
- Das Recht auf Datenübertragbarkeit
- Widerspruchsrecht
- Rechte in Bezug auf automatisierte Entscheidungsfindung und Profiling
Was sind die Anforderungen der DSGVO?
Haben Sie diese Keksboxen auf einer Website bemerkt? Das ist das Ergebnis der DSGVO. Sie wurden implementiert, da Kunden, um DSGVO-konform zu sein, ausdrücklich mit der Erfassung von Informationen einverstanden sein müssen. Da es sich bei „Cookies“ um kleine Dateien mit personenbezogenen Daten handelt, fallen sie in ihren Zuständigkeitsbereich.
Das sind jedoch nicht alle Anforderungen der DSGVO.
Nach einer Datenschutzverletzung müssen Websites alle Besucher unverzüglich informieren, wenn ihre personenbezogenen Daten betroffen sind. Sie müssen dies tun, auch wenn ihre lokale Gesetzgebung nicht so streng ist.
Darueber hinaus muessen Unternehmen eine Datensicherheitsueberpruefung durchfuehren, um die Einhaltung sicherzustellen. Und beurteilen Sie, ob ein dedizierter Datenschutzbeauftragter (DSB) erforderlich ist. Die Nutzer der Website müssen auch in der Lage sein, sich an den für die Datenverarbeitung Verantwortlichen zu wenden und die Löschung ihrer personenbezogenen Daten zu verlangen.
Schließlich müssen alle personenbezogenen Daten (PII) anonymisiert werden. Es reicht nicht aus, nur die Zustimmung einzuholen. Auch eine Pseudonymisierung ist zulässig – wenn ein Pseudonym die Identität eines Verbrauchers ersetzt. Dies ermöglicht es den Datenverantwortlichen, weiterhin Datenanalysen durchzuführen, ohne die Privatsphäre der Benutzer zu gefährden.
Was passiert, wenn Sie nicht DSGVO-konform sind?
Angenommen, Sie holen keine ausdrückliche Zustimmung zur Erhebung personenbezogener Daten ein? Sie sind nicht mehr DSGVO-konform.
Also, was passiert?
In den meisten Fällen führen schwerwiegende Verstöße gegen die DSGVO zu hohen Geldstrafen – bis zu 17.000.000 £. In einigen Fällen können die Aufsichtsbehörden für die Durchsetzung der DSGVO jedoch keine Geldstrafe gegen das Unternehmen verhängen, sondern lediglich Maßnahmen des Website-Eigentümers verlangen.
Das hört sich vielleicht besser an – kann aber dennoch den Ruf Ihres Unternehmens erheblich beeinträchtigen und zu einem Verlust von Kunden führen.
In jedem Fall kann die Nichteinhaltung der DSGVO Unternehmen zum Sinken bringen und tut dies auch. Die meisten haben nicht die notwendigen Mittel, um die horrenden Bußgelder zu bezahlen, und erleiden auch keinen Geschäftsverlust.
Das hat zu heftiger Kritik an der DSGVO geführt. Kritiker argumentieren, dass dies zu einem unzumutbaren Verwaltungsaufwand geführt hat. Bedenken gibt es auch, dass zum einen die Richtlinien für bestimmte Bereiche, also Mitarbeiterdaten, zu vage sind. Auf der anderen Seite besteht die Sorge, dass der gesetzgeberische Aufwand im Laufe der Zeit weiter zunehmen wird, was den Online-Handel weiter behindern wird.
Schlussfolgerung
Was auch immer Sie von der DSGVO halten, sie ist hier, um zu bleiben. Da fast jedes bedeutende Online-Unternehmen betroffen ist, ist es wichtig, die Vor- und Nachteile der DSGVO zu kennen, um konform zu bleiben.
Wenn Sie der Meinung sind, dass Sie von der DSGVO betroffen sind, empfehlen wir Ihnen, die 88-seitige Verordnung selbst zu lesen.
Quellen:
https://www.investopedia.com/terms/g/general-data-protection-regulation-gdpr.asp
https://dma.org.uk/article/what-is-gdpr-and-why-is-it-important
https://gdpr.eu/what-is-gdpr/?cn-reloaded=1
https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/711097/guide-to-the-general-data-protection-regulation-gdpr-1-0.pdf