Datenschutz-Grundverordnung (DSGVO)

Die Datenschutz-Grundverordnung (DS-GVO) ist die zentrale Rechtsgrundlage für den Schutz personenbezogener Daten in der Europäischen Union. Sie regelt, unter welchen Voraussetzungen Unternehmen und öffentliche Stellen personenbezogene Daten verarbeiten dürfen und welche Rechte betroffene Personen besitzen. Die Verordnung (EU) 2016/679 gilt seit dem 25. Mai 2018 unmittelbar in allen Mitgliedstaaten der Europäischen Union und schafft einen weitgehend einheitlichen europäischen Datenschutzrahmen.

Was regelt die Datenschutz-Grundverordnung und für wen gilt sie?

Die Datenschutz-Grundverordnung schützt die Grundrechte und Grundfreiheiten natürlicher Personen, insbesondere ihr Recht auf Schutz personenbezogener Daten. Gleichzeitig gewährleistet sie den freien Verkehr personenbezogener Daten innerhalb der Europäischen Union.

Die DS-GVO gilt nach Art. 2 und 3 insbesondere für Unternehmen, Behörden und andere Organisationen, die personenbezogene Daten automatisiert oder im Rahmen strukturierter Dateisysteme verarbeiten. Erfasst werden beispielsweise Kundendaten, Beschäftigtendaten, Kontaktdaten und Informationen über das Nutzungsverhalten auf Websites.

Die Verordnung gilt auch für Unternehmen außerhalb der Europäischen Union, wenn sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten innerhalb der EU beobachten. Damit erfasst die DS-GVO auch internationale Geschäftsmodelle.

Ausgenommen sind insbesondere rein persönliche oder familiäre Tätigkeiten. Auch für bestimmte staatliche Tätigkeiten, etwa im Bereich der Strafverfolgung, gelten besondere datenschutzrechtliche Regelungen.

Welche Grundsätze gelten nach der Datenschutz-Grundverordnung?

Art. 5 DS-GVO enthält die grundlegenden Anforderungen an die Verarbeitung personenbezogener Daten. Unternehmen und Organisationen müssen diese Grundsätze bei sämtlichen Verarbeitungsvorgängen beachten.

Zu den wichtigsten Datenschutzgrundsätzen gehören:

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz: Personenbezogene Daten dürfen nur rechtmäßig und in einer für die betroffenen Personen nachvollziehbaren Weise verarbeitet werden.
• Zweckbindung: Daten müssen für festgelegte, eindeutige und legitime Zwecke erhoben werden. Eine Weiterverarbeitung für andere Zwecke unterliegt besonderen Voraussetzungen.
• Datenminimierung: Es dürfen nur die personenbezogenen Daten verarbeitet werden, die für den jeweiligen Zweck erforderlich sind.
• Richtigkeit: Personenbezogene Daten müssen sachlich richtig und erforderlichenfalls aktuell sein.
• Speicherbegrenzung: Personenbezogene Daten dürfen grundsätzlich nicht länger gespeichert werden, als es für die jeweiligen Zwecke erforderlich ist.
• Integrität und Vertraulichkeit: Personenbezogene Daten müssen durch angemessene technische und organisatorische Maßnahmen vor unbefugter Verarbeitung, Verlust und Beschädigung geschützt werden.

Hinzu kommt die Rechenschaftspflicht nach Art. 5 Abs. 2 DS-GVO. Danach muss der Verantwortliche die Einhaltung dieser Grundsätze nachweisen können.

Wann ist die Verarbeitung personenbezogener Daten erlaubt?

Die Verarbeitung personenbezogener Daten ist nach Art. 6 Abs. 1 DS-GVO nur rechtmäßig, wenn mindestens eine der dort genannten Rechtsgrundlagen vorliegt. Eine Einwilligung ist daher nicht für jede Datenverarbeitung erforderlich.

Die DS-GVO unterscheidet insbesondere folgende Rechtsgrundlagen:

• Einwilligung: Die betroffene Person hat der Verarbeitung ihrer personenbezogenen Daten für einen bestimmten Zweck wirksam zugestimmt.
• Vertragserfüllung: Die Verarbeitung ist für die Erfüllung eines Vertrags oder für vorvertragliche Maßnahmen auf Anfrage der betroffenen Person erforderlich.
• Rechtliche Verpflichtung: Die Verarbeitung ist notwendig, um eine gesetzliche Pflicht zu erfüllen.
• Lebenswichtige Interessen: Die Verarbeitung ist erforderlich, um lebenswichtige Interessen einer natürlichen Person zu schützen.
• Öffentliches Interesse oder öffentliche Gewalt: Die Verarbeitung dient der Wahrnehmung einer gesetzlich übertragenen Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt.
• Berechtigte Interessen: Die Verarbeitung ist zur Wahrung berechtigter Interessen erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen.

Für besondere Kategorien personenbezogener Daten, beispielsweise Gesundheitsdaten oder biometrische Daten zur eindeutigen Identifizierung, gelten zusätzlich die besonderen Anforderungen des Art. 9 DS-GVO.

Unternehmen müssen für jeden Verarbeitungsvorgang eine passende Rechtsgrundlage bestimmen und die weiteren datenschutzrechtlichen Anforderungen einhalten.

Welche Rechte haben betroffene Personen nach der DS-GVO?

Die Datenschutz-Grundverordnung stärkt die Kontrolle natürlicher Personen über ihre personenbezogenen Daten. Die Art. 12 bis 22 DS-GVO regeln hierzu umfassende Betroffenenrechte.

Zu den wichtigsten Rechten gehören:

• Auskunftsrecht (Art. 15 DS-GVO): Betroffene Personen dürfen Auskunft darüber verlangen, ob und welche personenbezogenen Daten über sie verarbeitet werden.
• Recht auf Berichtigung (Art. 16 DS-GVO): Unrichtige personenbezogene Daten müssen berichtigt werden.
• Recht auf Löschung (Art. 17 DS-GVO): Betroffene Personen können unter den gesetzlichen Voraussetzungen die Löschung ihrer Daten verlangen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DS-GVO): Die Verarbeitung personenbezogener Daten muss in bestimmten Fällen eingeschränkt werden.
• Recht auf Datenübertragbarkeit (Art. 20 DS-GVO): Betroffene Personen können unter bestimmten Voraussetzungen ihre bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten oder übertragen lassen.
• Widerspruchsrecht (Art. 21 DS-GVO): Betroffene Personen können unter den gesetzlichen Voraussetzungen einer Verarbeitung widersprechen.
• Schutz bei automatisierten Entscheidungen (Art. 22 DS-GVO): Die Verordnung schützt vor bestimmten ausschließlich automatisierten Entscheidungen mit rechtlichen oder ähnlich erheblichen Auswirkungen.

Zusätzlich besteht nach Art. 77 DS-GVO das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

Verantwortliche müssen Anfragen betroffener Personen grundsätzlich innerhalb eines Monats beantworten. Unter den Voraussetzungen des Art. 12 Abs. 3 DS-GVO ist eine Verlängerung um weitere zwei Monate zulässig.

Welche Pflichten haben Unternehmen nach der Datenschutz-Grundverordnung?

Unternehmen müssen den Schutz personenbezogener Daten in ihre organisatorischen und technischen Abläufe integrieren. Welche konkreten Pflichten bestehen, hängt insbesondere von der Art und dem Umfang der Verarbeitung sowie den damit verbundenen Risiken ab.

Zu den zentralen Anforderungen gehören:

• Informationspflichten: Betroffene Personen müssen nach Art. 13 und 14 DS-GVO transparent über die Verarbeitung ihrer Daten informiert werden.
• Verzeichnis von Verarbeitungstätigkeiten: Nach Art. 30 DS-GVO müssen Verantwortliche und Auftragsverarbeiter unter den gesetzlichen Voraussetzungen ihre Verarbeitungstätigkeiten dokumentieren.
• Technische und organisatorische Maßnahmen: Art. 32 DS-GVO verlangt ein dem Risiko angemessenes Sicherheitsniveau, beispielsweise durch Zugriffsbeschränkungen, Verschlüsselung und geeignete Sicherheitsverfahren.
• Auftragsverarbeitung: Werden personenbezogene Daten durch externe Dienstleister im Auftrag verarbeitet, müssen die Anforderungen des Art. 28 DS-GVO eingehalten werden.
• Datenschutzbeauftragter: Unternehmen müssen unter den Voraussetzungen der Art. 37 bis 39 DS-GVO und ergänzender nationaler Vorschriften einen Datenschutzbeauftragten benennen.
• Datenschutz-Folgenabschätzung: Bei voraussichtlich hohem Risiko für die Rechte und Freiheiten natürlicher Personen ist nach Art. 35 DS-GVO eine Datenschutz-Folgenabschätzung erforderlich.
• Meldung von Datenschutzverletzungen: Meldepflichtige Datenschutzverletzungen müssen nach Art. 33 DS-GVO grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet werden.

Die DS-GVO verlangt außerdem, Datenschutz bereits bei der Entwicklung von Verfahren und durch datenschutzfreundliche Voreinstellungen zu berücksichtigen. Diese Anforderungen sind in Art. 25 DS-GVO geregelt.

Auch bei der Übermittlung personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums müssen die besonderen Anforderungen der Art. 44 ff. DS-GVO beachtet werden.

Welche Folgen haben Verstöße gegen die Datenschutz-Grundverordnung?

Verstöße gegen die Datenschutz-Grundverordnung können aufsichtsbehördliche Maßnahmen, Schadensersatzansprüche und erhebliche Geldbußen zur Folge haben.

Nach Art. 83 DS-GVO sind je nach Art des Verstoßes Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent beziehungsweise bis zu 20 Millionen Euro oder 4 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres möglich. Bei Unternehmen ist jeweils der höhere Betrag maßgeblich.

Die tatsächliche Höhe einer Geldbuße richtet sich unter anderem nach der Schwere und Dauer des Verstoßes, dem Verschulden und den getroffenen Maßnahmen zur Schadensbegrenzung. Die Datenschutzaufsichtsbehörden können außerdem nach Art. 58 DS-GVO beispielsweise die Anpassung oder Einschränkung rechtswidriger Verarbeitungsvorgänge anordnen.

Betroffene Personen haben nach Art. 82 DS-GVO zudem unter den gesetzlichen Voraussetzungen Anspruch auf Ersatz materieller und immaterieller Schäden.

Praxisbeispiel: Umsetzung der DS-GVO in einem Online-Shop

Ein Online-Shop verarbeitet Namen, Anschriften, E-Mail-Adressen und Zahlungsinformationen seiner Kunden. Diese Daten benötigt das Unternehmen, um Bestellungen abzuwickeln, Zahlungen zuzuordnen und Waren zu versenden.

Die für die Vertragsabwicklung erforderliche Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DS-GVO. Gesetzlich vorgeschriebene Aufbewahrungspflichten, beispielsweise für steuerrechtlich relevante Unterlagen, beruhen dagegen auf Art. 6 Abs. 1 lit. c DS-GVO in Verbindung mit den jeweiligen gesetzlichen Vorschriften.

Der Online-Shop informiert seine Kunden in einer Datenschutzerklärung über die Datenverarbeitung, legt angemessene Löschfristen fest und schützt die gespeicherten Informationen durch geeignete technische und organisatorische Maßnahmen. Für den Einsatz externer Auftragsverarbeiter schließt er die erforderlichen Verträge nach Art. 28 DS-GVO ab.

Möchte das Unternehmen Kundendaten zusätzlich für personalisierte Werbung verwenden, muss es die hierfür geltenden datenschutz- und wettbewerbsrechtlichen Anforderungen gesondert prüfen. Die Rechtsgrundlage der Vertragsabwicklung erlaubt nicht automatisch jede weitere Nutzung der Daten.

legal data Einschätzung: Die Datenschutz-Grundverordnung verpflichtet Unternehmen, sämtliche Verarbeitungsvorgänge auf eine rechtmäßige Grundlage zu stellen und die Einhaltung der Datenschutzanforderungen nachweisen zu können. Entscheidend ist eine datenschutzkonforme Organisation, die klare Zuständigkeiten, transparente Informationen, geeignete Sicherheitsmaßnahmen und nachvollziehbare

Dokumentationen umfasst. Datenschutz muss deshalb dauerhaft in die betrieblichen Abläufe integriert werden.

Rechtsgrundlagen

Zentrale Rechtsgrundlage ist die Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung). Besonders relevant sind Art. 1 bis 4 DS-GVO zum Gegenstand, Anwendungsbereich und den Begriffsbestimmungen, Art. 5 und 6 DS-GVO zu den Verarbeitungsgrundsätzen und Rechtsgrundlagen, Art. 9 DS-GVO zu besonderen Kategorien personenbezogener Daten sowie Art. 12 bis 22 DS-GVO zu den Betroffenenrechten.

Ergänzend regeln Art. 24 bis 39 DS-GVO die wesentlichen Pflichten der Verantwortlichen und Auftragsverarbeiter, Art. 44 ff. DS-GVO internationale Datenübermittlungen sowie Art. 77 bis 84 DS-GVO Rechtsbehelfe, Haftung und Sanktionen.

In Deutschland wird die DS-GVO insbesondere durch das Bundesdatenschutzgesetz (BDSG) und weitere bereichsspezifische Datenschutzvorschriften ergänzt. Die DS-GVO gilt unmittelbar; nationale Vorschriften konkretisieren oder ergänzen sie im Rahmen der vorgesehenen Öffnungsklauseln.