Was ist die DSGVO?

Die Datenschutz-Grundverordnung (DSGVO) ist die Verordnung (EU) 2016/679. Sie schützt natürliche Personen bei der Verarbeitung personenbezogener Daten und regelt zugleich den freien Datenverkehr in der EU. Personenbezogene Daten sind alle Informationen, die sich direkt oder indirekt einer Person zuordnen lassen – von Name und Kundennummer bis zu Online-Kennungen oder Standortdaten.

Wann gilt die DSGVO?

Sie gilt für automatisierte Verarbeitung sowie strukturierte nichtautomatisierte Datensammlungen. Erfasst sind Organisationen mit Niederlassung in der EU und unter bestimmten Voraussetzungen auch Anbieter außerhalb der EU, wenn sie Personen in der EU Waren oder Dienstleistungen anbieten oder ihr Verhalten beobachten. Rein persönliche oder familiäre Tätigkeiten können ausgenommen sein. Für Behörden, Beschäftigtendaten, Telekommunikation oder Gesundheitswesen können zusätzliche nationale und sektorspezifische Regeln gelten.

Welche Grundsätze gelten?

Einwilligung ist nur eine von mehreren möglichen Rechtsgrundlagen. Je nach Verarbeitung kommen etwa Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigte Interessen in Betracht. Eine vorsorglich eingeholte Einwilligung ist nicht automatisch wirksam und kann widerrufen werden.

Welche Rollen unterscheidet die DSGVO?

Der Verantwortliche entscheidet über Zwecke und Mittel der Verarbeitung. Ein Auftragsverarbeiter verarbeitet Daten nach dokumentierter Weisung des Verantwortlichen; die Beziehung benötigt grundsätzlich einen Vertrag nach Artikel 28. Legen mehrere Parteien Zwecke und Mittel gemeinsam fest, kann eine gemeinsame Verantwortlichkeit vorliegen. Rollen werden nach der tatsächlichen Tätigkeit bestimmt, nicht allein nach der Vertragsüberschrift.

Welche Rechte haben betroffene Personen?

Dazu gehören insbesondere Information und Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Bei ausschließlich automatisierten Entscheidungen mit erheblicher Wirkung bestehen zusätzliche Schutzrechte. Diese Rechte gelten nicht ausnahmslos; Identität, gesetzliche Aufbewahrung, Rechte anderer Personen und der konkrete Rechtsgrund müssen geprüft werden. Prozesse benötigen klare Zuständigkeiten und Fristen, damit Anfragen vollständig und sicher beantwortet werden.

Was verlangt Artikel 32 zur Sicherheit?

Verantwortliche und Auftragsverarbeiter müssen ein dem Risiko angemessenes Schutzniveau schaffen. Maßgeblich sind Stand der Technik, Implementierungskosten, Art und Umfang der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere möglicher Folgen für Menschen. Die DSGVO schreibt deshalb nicht für jede Organisation identische Produkte vor.

• Pseudonymisierung und Verschlüsselung, soweit angemessen.
• Dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme.
• Fähigkeit, Verfügbarkeit und Zugang nach einem Vorfall zeitnah wiederherzustellen.
• Regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen.

Praktisch gehören dazu unter anderem Zugriffskontrollen, sichere Entwicklung, Patch- und Schwachstellenmanagement, Backups, Protokollierung, Incident Response, Schulungen und kontrollierte Dienstleister. Ein Penetrationstest kann die Wirksamkeitsprüfung unterstützen, ersetzt aber nicht das gesamte Datenschutzprogramm.

Wann muss ein Vorfall gemeldet werden?

Eine Verletzung des Schutzes personenbezogener Daten umfasst unbeabsichtigte oder unrechtmäßige Vernichtung, Verlust, Veränderung, Offenlegung oder unbefugten Zugang. Der Verantwortliche meldet sie grundsätzlich ohne unangemessene Verzögerung und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde, außer die Verletzung führt voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten. Bei voraussichtlich hohem Risiko müssen grundsätzlich auch die betroffenen Personen verständlich informiert werden. Auftragsverarbeiter informieren den Verantwortlichen ohne unangemessene Verzögerung.

Nicht jeder Security Incident ist eine Datenschutzverletzung, und nicht jede Datenschutzverletzung ist ein Hackerangriff. Fehlversand, verlorene Geräte oder versehentlich gelöschte Daten können ebenso relevant sein. Der Verantwortliche muss Verletzungen und seine Risikobewertung dokumentieren – auch wenn keine Behördenmeldung erforderlich ist.

Was gehört zu einer praktischen Umsetzung?

1. Verarbeitungstätigkeiten, Datenflüsse, Zwecke, Rechtsgrundlagen, Empfänger und Löschfristen erfassen.
2. Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen bereits im Projekt berücksichtigen.
3. Risiken bewerten und bei voraussichtlich hohem Risiko eine Datenschutz-Folgenabschätzung durchführen.
4. Auftragsverarbeiter auswählen, Verträge und internationale Übermittlungen prüfen.
5. Betroffenenanfragen, Löschung, Vorfälle und Wirksamkeitskontrollen als wiederholbare Prozesse betreiben.

Was wird häufig missverstanden?

Datenschutz ist mehr als Informationssicherheit: Auch technisch perfekt geschützte Daten können ohne Rechtsgrundlage, zu lange oder für einen unzulässigen Zweck verarbeitet werden. Umgekehrt macht eine Datenschutzerklärung eine unsichere Verarbeitung nicht rechtmäßig. Anonymisierte Daten fallen nur dann aus dem Personenbezug, wenn eine Re-Identifizierung unter vernünftigerweise erwartbaren Mitteln nicht möglich ist; Pseudonyme bleiben grundsätzlich personenbezogene Daten. Konkrete Zweifelsfälle benötigen eine rechtliche Bewertung, nicht nur eine technische Checkliste.