Was ist die DSGVO?
Die Datenschutz-Grundverordnung, oder DSGVO, vereinheitlicht die Datenschutzgesetze in der Europäischen Union (EU). Das Europäische Parlament hat die DSGVO am 14. April 2016 genehmigt, und sie trat am 25. Mai 2018 in Kraft.
Die DSGVO ersetzte die frühere EU-Datenschutzrichtlinie von 1995. Die DSGVO konzentriert sich darauf, Unternehmen transparenter zu machen und die Datenschutzrechte der betroffenen Personen zu erweitern. Wann immer ein Datenverstoß festgestellt wird, verlangt die DSGVO, dass das Unternehmen die Aufsichtsbehörden und alle betroffenen Personen innerhalb von 72 Stunden benachrichtigt.
Es ist für alle EU-Bürger und Unternehmen, die die Daten von EU-Bürgern verarbeiten, speichern oder verwalten, verpflichtend, die DSGVO einzuhalten. Dies gilt auch unabhängig davon, ob sie EU-Bürger sind oder nicht. Die DSGVO verhängt auch Strafen für Nichteinhaltung. Viele Organisationen verwenden Software für das Datenschutzmanagement, um die Privatsphäre der betroffenen Personen zu verwalten und sensible Daten zu kartieren.
DSGVO-Grundsätze
Jeder, der Daten verarbeitet, muss dies gemäß den in Artikel 5.1-2 dargelegten Schutz- und Verantwortlichkeitsgrundsätzen tun. Nachfolgend sind die sieben grundlegenden Grundsätze der DSGVO aufgeführt, die ihre Regeln und Vorschriften leiten.
- Rechtmäßigkeit, Fairness und Transparenz. Die betroffenen Personen müssen darüber informiert werden, wie genau ihre Daten verwendet werden.
- Zweckbindung. Daten können zu legitimen Zwecken erhoben und verarbeitet werden. Zum Beispiel zur Bearbeitung eines Vertrags, an dem die betroffene Person beteiligt ist.
- Datenminimierung. Es dürfen nur kritische Daten erhoben werden.
- Datenrichtigkeit. Organisationen, die Daten erheben, müssen deren Genauigkeit und Aktualität sicherstellen. Daten müssen auf Wunsch der betroffenen Person gelöscht oder geändert werden.
- Speicherbegrenzung. Die DSGVO rät davon ab, erhobene Daten länger als nötig aufzubewahren.
- Integrität und Vertraulichkeit. Persönliche Daten müssen mit geeigneten Maßnahmen geschützt werden. Sie müssen sicher und vor Diebstahl oder unbefugter Nutzung geschützt sein.
- Datenkonformität. Datensammler sind dafür verantwortlich, die Einhaltung der DSGVO sicherzustellen.
Mehrere spezifische Rechte der betroffenen Personen gemäß den sieben Grundsätzen der DSGVO werden unten diskutiert.
- Das Recht auf Vergessenwerden. Betroffene Personen können verlangen, dass persönlich identifizierbare Informationen (PII) aus dem Speicher eines Unternehmens gelöscht werden. Wenn das Unternehmen jedoch erfolgreich einen rechtlichen Grund für die Aufbewahrung der Daten nachweisen kann, hat es das Recht, Anfragen abzulehnen.
- Das Zugangsrecht. Gespeicherte Daten sind für die betroffenen Personen zur Überprüfung zugänglich.
- Das Widerspruchsrecht. Betroffene Personen können die Nutzung oder Verarbeitung personenbezogener Daten ablehnen. Wenn ein Unternehmen die rechtlichen Bedingungen für die Verarbeitung personenbezogener Daten erfüllt, kann es die Ablehnung ignorieren. Es muss jedoch die betroffene Person benachrichtigen und seine Begründung erklären.
- Das Recht auf Berichtigung. Korrekturen falscher persönlicher Informationen sind auf Anfrage der betroffenen Personen möglich.
- Das Recht auf Datenübertragbarkeit. Der Zugriff auf und die Übertragung persönlicher Informationen der betroffenen Personen ist nach Ermessen der betroffenen Person möglich.
Wie man die DSGVO einhält
Die DSGVO informiert Datensammler über die erwarteten Ergebnisse eines hervorragenden und verantwortungsvollen Datenmanagements. Sie definiert jedoch keine spezifischen technischen Maßnahmen. Nachfolgend sind einige bewährte Praktiken aufgeführt, die Unternehmen helfen, die DSGVO einzuhalten.
- Es ist wichtig, vor der Erhebung personenbezogener Daten zu fragen. Die betroffenen Personen müssen freiwillige Teilnehmer sein.
- Organisationen müssen nur das sammeln, was sie benötigen. Sie sind für die Erhebung und Nutzung verantwortlich.
- Unternehmen dürfen Daten nicht ohne die Zustimmung der Nutzer und die Genehmigung der Aufsichtsbehörden weitergeben.
- Es ist wichtig, alle persönlichen Daten zu verschlüsseln, sowohl im Ruhezustand als auch während der Übertragung.
- Es ist am besten, zwei sichere Backup-Kopien persönlicher Daten an zwei externen Standorten zu haben.
- Unternehmen sollten in der Lage sein, bestimmte Elemente persönlicher Daten mit den notwendigen Werkzeugen leicht zu bearbeiten oder zu löschen, um die Aktionen zu überprüfen und zu dokumentieren.
Umfang der DSGVO
Der Umfang der DSGVO-Compliance ist relativ breit. Daher ist es wichtig, zu verstehen, wie ein Unternehmen unter den Geltungsbereich der DSGVO fällt, wenn es die Daten von EU-Bürgern verarbeitet, unabhängig davon, ob es sich innerhalb der EU befindet oder ein Büro außerhalb der EU hat.
Nachfolgend sind zwei Möglichkeiten aufgeführt, wie ein Unternehmen unter den Geltungsbereich der DSGVO fällt:
- Materieller Geltungsbereich: Artikel 2 definiert den materiellen Geltungsbereich der DSGVO für die Verarbeitung personenbezogener Daten. Gemäß dem materiellen Geltungsbereich fällt ein Verarbeitungszentrum (ein Auftragsverarbeiter) auch dann unter den Geltungsbereich der DSGVO, wenn es sich nicht in der EU befindet.
- Räumlicher Geltungsbereich: Artikel 3 der DSGVO erklärt den räumlichen Geltungsbereich der DSGVO und wie er grob in zwei Segmente unterteilt ist: Artikel 3(1) und Artikel 3(2). Der räumliche Geltungsbereich bezieht sich darauf, wann Unternehmen innerhalb der EU-Region die persönlichen Informationen der betroffenen Personen verarbeiten.
DSGVO-Strafen für Nichteinhaltung
Die Strafen für Nichteinhaltung sind schwerwiegend. Mehrere Kriterien werden bewertet, um angemessene Gebühren zu bestimmen, einschließlich der Dauer des Verstoßes, der Anzahl der betroffenen Personen und der Schwere des Verstoßes.
Ob ein Datenverstoß durch Fahrlässigkeit oder Absicht verursacht wurde, beeinflusst ebenfalls die Strafen. Das Führen unzureichender Aufzeichnungen über die Erhebung und Verarbeitung personenbezogener Daten kann zu einer Geldstrafe von 10 Millionen Euro oder 2 % des Jahresumsatzes führen, wobei die Strafen bei vollständiger Nichteinhaltung bis zu 20 Millionen Euro oder bis zu 4 % des Jahresumsatzes betragen können.
DSGVO vs. CCPA
Die DSGVO und der California Consumer Privacy Act (CCPA) sind Compliance-Gesetze, die Benutzerdaten vor unbefugtem Zugriff und Verarbeitung schützen.
Der CCPA wird in Compliance-Kreisen oft als "DSGVO light" bezeichnet. Während die DSGVO die Daten und die Privatsphäre der EU schützt, ist der CCPA das Datenschutz- und Privatsphäre-Gesetz für Einwohner Kaliforniens.
Die DSGVO verlangt von Unternehmen, dass sie rechtliche Grundlagen für die Datenverarbeitung haben, wie z.B. die Einwilligung. Der CCPA hat keine solche Anforderung, konzentriert sich jedoch darauf, Transparenz zu schaffen und die Nutzer über ihre Datenrechte aufzuklären.
Erfahren Sie mehr über Datenschutzmanagement-Software und wie lange es dauert, sie zu implementieren.
Sagar Joshi
Sagar Joshi is a former content marketing specialist at G2 in India. He is an engineer with a keen interest in data analytics and cybersecurity. He writes about topics related to them. You can find him reading books, learning a new language, or playing pool in his free time.
