DSGVO und Datenschutz im Unternehmen

DSGVO und Datenschutz im Unternehmen

Die Datenschutz-Grundverordnung (DSGVO) ist eine umfassende Regelung zum Schutz personenbezogener Daten in der Europäischen Union (EU). Sie trat am 25. Mai 2018 in Kraft und ersetzt die zuvor geltende Datenschutzrichtlinie von 1995. Die DSGVO zielt darauf ab, den Datenschutz zu harmonisieren und die Rechte der betroffenen Personen zu stärken. Dieser Artikel behandelt die wichtigsten Aspekte der DSGVO und die Auswirkungen auf Unternehmen, einschließlich der rechtlichen Anforderungen, der Verantwortlichkeiten und der praktischen Umsetzung im Unternehmenskontext.

1. Grundlegende Aspekte der DSGVO

1.1. Anwendungsbereich

Die DSGVO gilt für alle Unternehmen, die personenbezogene Daten von EU-Bürgern verarbeiten, unabhängig davon, ob das Unternehmen seinen Sitz in der EU hat oder nicht. Dies bedeutet, dass auch Unternehmen aus Drittländern, die Dienstleistungen oder Waren in der EU anbieten oder das Verhalten von EU-Bürgern beobachten, den Bestimmungen der DSGVO unterliegen (Art. 3 DSGVO).

1.2. Definition personenbezogener Daten

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören unter anderem:

• Name
• Email-Adresse
• IP-Adresse
• Standortdaten
• Gesundheitsdaten

1.3. Grundsätze der Datenverarbeitung

Die DSGVO definiert mehrere Grundsätze, die bei der Verarbeitung personenbezogener Daten beachtet werden müssen:

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz: Daten müssen auf rechtmäßige Weise verarbeitet werden und die betroffenen Personen müssen über die Verarbeitung informiert werden.
• Zweckbindung: Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke verarbeitet werden.
• Datenminimierung: Es dürfen nur die Daten erhoben werden, die für den jeweiligen Zweck erforderlich sind.
• Richtigkeit: Die Daten müssen korrekt und auf dem neuesten Stand sein.
• Speicherbegrenzung: Daten dürfen nicht länger aufbewahrt werden, als es für den Zweck erforderlich ist.
• Integrität und Vertraulichkeit: Die Daten müssen sicher verarbeitet werden, um unbefugte Zugriffe zu verhindern.

2. Rechte der betroffenen Personen

Die DSGVO stärkt die Rechte der betroffenen Personen erheblich. Zu den wichtigsten Rechten gehören:

• Recht auf Auskunft (Art. 15 DSGVO): Betroffene haben das Recht, Auskunft darüber zu verlangen, ob personenbezogene Daten verarbeitet werden, und wenn ja, welche Daten und zu welchem Zweck.
• Recht auf Berichtigung (Art. 16 DSGVO): Betroffene können die Berichtigung unrichtiger personenbezogener Daten verlangen.
• Recht auf Löschung (“Recht auf Vergessenwerden”) (Art. 17 DSGVO): Betroffene können die Löschung ihrer personenbezogenen Daten unter bestimmten Voraussetzungen verlangen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Betroffene können unter bestimmten Umständen die Einschränkung der Verarbeitung ihrer Daten verlangen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Betroffene haben das Recht, ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
• Widerspruchsrecht (Art. 21 DSGVO): Betroffene können jederzeit Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten einlegen.

3. Verantwortlichkeiten der Unternehmen

Unternehmen, die personenbezogene Daten verarbeiten, sind als “Verantwortliche” im Sinne der DSGVO verpflichtet, die gesetzlichen Vorgaben einzuhalten. Zu den wesentlichen Verpflichtungen gehören:

3.1. Dokumentationspflichten

Unternehmen müssen ein Verzeichnis aller Verarbeitungstätigkeiten führen, in dem sie die Art der verarbeiteten Daten, die Zwecke der Verarbeitung, die Empfänger und die Fristen für die Löschung dokumentieren (Art. 30 DSGVO).

3.2. Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO)

Unternehmen müssen sicherstellen, dass Datenschutz bereits in der Planungsphase von Produkten und Dienstleistungen berücksichtigt wird. Dies umfasst die Implementierung von geeigneten technischen und organisatorischen Maßnahmen.

3.3. Datenschutzbeauftragter

In bestimmten Fällen müssen Unternehmen einen Datenschutzbeauftragten benennen, der für die Überwachung der Einhaltung der DSGVO verantwortlich ist. Dies ist insbesondere der Fall, wenn:

• die Kerntätigkeit des Unternehmens die umfangreiche Verarbeitung von sensiblen Daten erfordert,
• die Verarbeitung von Daten in großem Umfang erfolgt oder
• das Unternehmen eine öffentliche Behörde ist.

4. Datenschutz-Folgenabschätzung (DSFA)

Die DSGVO verlangt, dass Unternehmen eine Datenschutz-Folgenabschätzung durchführen, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt (Art. 35 DSGVO). In der DSFA müssen die Risiken identifiziert und Maßnahmen zur Risikominderung festgelegt werden.

5. Umgang mit Datenpannen

Unternehmen sind verpflichtet, Verletzungen des Schutzes personenbezogener Daten unverzüglich, jedoch spätestens innerhalb von 72 Stunden, der zuständigen Aufsichtsbehörde zu melden, wenn ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht (Art. 33 DSGVO). Zudem müssen betroffene Personen informiert werden, wenn das Risiko hoch ist (Art. 34 DSGVO).

6. Bußgelder und Haftung

Die DSGVO sieht erhebliche Geldbußen vor, die bei Verstößen gegen die Verordnung verhängt werden können. Die Höchstbeträge betragen bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes des Unternehmens, je nachdem, welcher Betrag höher ist (Art. 83 DSGVO).

7. Praktische Umsetzung der DSGVO im Unternehmen

Die Implementierung der DSGVO in Unternehmen erfordert eine sorgfältige Planung und Durchführung. Hier sind einige wichtige Schritte, die Unternehmen unternehmen sollten:

7.1. Sensibilisierung und Schulung

Die Mitarbeiter sollten über die Anforderungen der DSGVO informiert und geschult werden, um die Einhaltung der Vorschriften zu gewährleisten. Dies kann durch regelmäßige Schulungen und Informationsveranstaltungen erfolgen.

7.2. Risikoanalyse

Unternehmen sollten eine umfassende Risikoanalyse durchführen, um potenzielle Risiken im Umgang mit personenbezogenen Daten zu identifizieren und entsprechende Maßnahmen zur Risikominderung zu implementieren.

7.3. Bestandsaufnahme der Datenverarbeitung

Eine gründliche Bestandsaufnahme aller Datenverarbeitungsprozesse ist notwendig, um zu verstehen, welche Daten verarbeitet werden und ob die Verarbeitung rechtmäßig ist. Diese Bestandsaufnahme sollte regelmäßig aktualisiert werden.

7.4. Erstellung eines Datenschutzkonzepts

Unternehmen sollten ein umfassendes Datenschutzkonzept erstellen, das alle Aspekte der DSGVO abdeckt, einschließlich der Dokumentation von Verarbeitungstätigkeiten, der Rechte der betroffenen Personen und der Sicherheitsmaßnahmen.

8. Fazit

Die DSGVO stellt hohe Anforderungen an Unternehmen, die personenbezogene Daten verarbeiten. Die Einhaltung dieser Anforderungen ist jedoch nicht nur eine rechtliche Verpflichtung, sondern auch eine Chance, das Vertrauen der Kunden zu stärken und die Unternehmensreputation zu verbessern. Unternehmen sollten sich frühzeitig mit den Anforderungen der DSGVO auseinandersetzen und entsprechende Maßnahmen ergreifen, um die Rechte der betroffenen Personen zu schützen und mögliche Bußgelder zu vermeiden.