Die EU-DS-GVO und ihre Auswirkungen

Einleitung

Die EU-Datenschutz-Grundverordnung gilt seit dem 25. Mai 2018. Ihr Ziel ist die Vereinheitlichung des Datenschutzrechts in Europa. Sie betrifft Unternehmen und Niederlassungen in der Europäischen Union, die personenbezogene Daten verarbeiten.

Unter bestimmten Voraussetzungen erfasst sie auch Unternehmen außerhalb der EU, wenn die Verarbeitung mit dem Angebot von Waren oder Dienstleistungen an Menschen in der Union oder mit der Beobachtung ihres Verhaltens zusammenhängt.

Damit stellt sich für Organisationen die Frage, welche Anforderungen eine rechtmäßige Verarbeitung erfüllen muss, welche Pflichten damit verbunden sind und welche Folgen bei Verstößen drohen.

Aufsichtsbehörden

Aufsichtsbehörden überwachen und setzen die Anwendung der Verordnung durch. Sie bearbeiten Anfragen und Beschwerden betroffener Personen, sensibilisieren Verantwortliche für ihre Pflichten und untersuchen, ob die Vorgaben eingehalten werden.

Ihre Befugnisse reichen von Verwarnungen bis zu Anweisungen, mit denen die Rechte betroffener Personen sichergestellt werden sollen. Bei Verstößen können je nach Tatbestand Geldbußen von bis zu 20 Millionen Euro oder bis zu vier Prozent des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden.

Datenschutzgrundsätze

Die Verordnung stützt sich auf zentrale Grundsätze für die Verarbeitung personenbezogener Daten. Daten müssen:

• rechtmäßig, nach Treu und Glauben und für die betroffene Person nachvollziehbar verarbeitet werden,
• für festgelegte, eindeutige und legitime Zwecke erhoben werden,
• auf das für diese Zwecke notwendige Maß beschränkt sein,
• sachlich richtig und aktuell gehalten werden,
• und nur so lange gespeichert werden, wie es für den Verarbeitungszweck erforderlich ist.

Hinzu kommen Sicherheit und Schutz vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor unbeabsichtigtem Verlust, Zerstörung oder Schädigung. Geeignete technische und organisatorische Maßnahmen sollen diese Ziele gewährleisten. Verantwortliche müssen die Einhaltung der Grundsätze nachweisen können.

Rechtmäßigkeit

Eine Verarbeitung kann auf der Einwilligung der betroffenen Person beruhen. Weitere mögliche Rechtsgrundlagen sind unter anderem die Erfüllung eines Vertrags, eine rechtliche Verpflichtung, Aufgaben im öffentlichen Interesse und die Wahrung berechtigter Interessen eines Verantwortlichen oder Dritten. Welche Grundlage trägt, hängt vom konkreten Verarbeitungsvorgang ab.

Rechte betroffener Personen

Betroffene Personen haben in Bezug auf ihre personenbezogenen Daten insbesondere folgende Rechte:

• Recht auf Auskunft
• Recht auf Berichtigung
• Recht auf Löschung
• Recht auf Einschränkung der Verarbeitung
• Recht auf Datenübertragbarkeit
• Recht auf Widerspruch
• Recht, nicht ausschließlich einer automatisierten Einzelentscheidung unterworfen zu sein
• Recht auf Widerruf einer Einwilligung

Sicherheit der Verarbeitung

Verantwortliche müssen unter Berücksichtigung von Art, Umfang, Umständen und Zweck der Verarbeitung geeignete technische und organisatorische Maßnahmen treffen. Diese sollen in einem angemessenen Verhältnis zu den Verarbeitungstätigkeiten und Risiken stehen. Dabei sind auch Implementierungskosten und der Stand der Technik zu berücksichtigen.

Zu den genannten Maßnahmen zählen:

• Pseudonymisierung und Verschlüsselung personenbezogener Daten,
• die dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste,
• die Fähigkeit, Verfügbarkeit und Zugang nach einem physischen oder technischen Zwischenfall wiederherzustellen,
• sowie ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der getroffenen Maßnahmen.

Der Beitrag bildet den Informationsstand zum Veröffentlichungszeitpunkt ab und ersetzt keine rechtliche Beratung.