DSGVO

Definition der DSGVO

Die Datenschutz-Grundverordnung (DSGVO) ist eine Verordnung der Europäischen Union, die den Schutz personenbezogener Daten von natürlichen Personen in der Europäischen Union und im Europäischen Wirtschaftsraum regelt. Ziel der DSGVO ist die Stärkung und Vereinheitlichung des Datenschutzes für betroffene Personen innerhalb der EU sowie die Sicherstellung des freien Datenverkehrs im europäischen Binnenmarkt. Die offizielle Bezeichnung lautet „Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)“.

Die DSGVO findet seit dem 25. Mai 2018 unmittelbare Anwendung in allen Mitgliedstaaten der Europäischen Union. Sie gilt sowohl für öffentliche Stellen als auch für private Unternehmen und Organisationen, sofern diese personenbezogene Daten von EU-Bürgerinnen und -Bürgern verarbeiten.

Allgemeiner Kontext und Relevanz der DSGVO

Aufgrund der fortschreitenden Digitalisierung und der zunehmenden globalen Vernetzung spielt der Schutz personenbezogener Daten eine immer größere Rolle. Die DSGVO ist vor diesem Hintergrund entstanden, um den unterschiedlichen Datenschutzbestimmungen innerhalb der Mitgliedstaaten der EU entgegenzuwirken und ein einheitliches Datenschutzniveau zu schaffen.

Die Verordnung hat sowohl auf rechtlicher, wirtschaftlicher als auch gesellschaftlicher Ebene erhebliche Auswirkungen. Sie verpflichtet Verantwortliche und Auftragsverarbeiter, den Schutz personenbezogener Daten proaktiv und umfassend zu gewährleisten. Damit beeinflusst die DSGVO zahlreiche Bereiche, etwa Geschäftsprozesse in Unternehmen, die Ausgestaltung von Online-Diensten, die Arbeit öffentlicher Stellen, das Verhalten in sozialen Netzwerken sowie zahlreiche alltägliche Vorgänge, bei denen personenbezogene Daten erfasst oder genutzt werden.

Formelle und Laienverständliche Definition

Formell betrachtet ist die DSGVO eine unmittelbar geltende Rechtsnorm der Europäischen Union mit Vorrang vor nationalen Regelungen, soweit diese in ihrem Anwendungsbereich betroffen sind. Sie legt einheitliche Regeln für die Verarbeitung personenbezogener Daten durch private Unternehmen, Behörden und andere Organisationen fest.

Laienverständlich ausgedrückt regelt die DSGVO, wie Unternehmen und Behörden mit den Daten von Menschen umgehen müssen. Sie schützt zum Beispiel Kontaktdaten, Adressen, Bankdaten, Gesundheitsdaten oder Kundendaten davor, ohne rechtliche Grundlage weitergegeben, gespeichert oder verarbeitet zu werden.

Thematische und Rechtliche Perspektiven zur DSGVO

Die DSGVO betrifft folgende grundlegende Bereiche:

• Betroffenenrechte (Transparenz, Auskunft, Löschung)
• Anforderungen an die Einwilligung zur Datenverarbeitung
• Pflichten zur sicheren Verarbeitung personenbezogener Daten
• Dokumentations- und Nachweispflichten
• Meldepflichten bei Datenschutzverstößen
• Grundlagen und Bedingungen für Datenübermittlungen ins Ausland
• Sanktionen und Bußgelder bei Verstößen gegen Datenschutzregelungen

Rechtlich steht die DSGVO im Zentrum des europäischen Datenschutzrechts und ersetzt die vorherige EU-Datenschutzrichtlinie 95/46/EG. In Deutschland wird die DSGVO durch das Bundesdatenschutzgesetz (BDSG-neu) konkretisiert und ergänzt.

Anwendungsbereiche der DSGVO

Die Anwendung der DSGVO erfolgt in zahlreichen Kontexten, darunter:

Wirtschaft und Unternehmen

Unternehmen, die beispielsweise Online-Shops betreiben, Newsletter versenden, Kundenregister führen oder Bewerberdaten speichern, müssen die Vorgaben der DSGVO beachten. Dazu gehören auch Unternehmen, die Software entwickeln oder Cloud-basierte Dienste anbieten. Typische Maßnahmen sind etwa das Einholen von Einwilligungen zur Datenverarbeitung, die Führung von Verzeichnissen über Verarbeitungstätigkeiten sowie die Durchführung von Datenschutz-Folgenabschätzungen bei risikoreichen Prozessen.

Verwaltung und öffentliche Stellen

Auch Behörden und öffentliche Einrichtungen – etwa Schulen, Kommunen oder Landesverwaltungen – unterliegen der DSGVO, sobald sie personenbezogene Daten verarbeiten. Hierbei spielen beispielsweise Meldewesen, Sozialleistungen oder Verwaltungsverfahren eine Rolle.

Alltag und Privatpersonen

Im Alltag greifen die Regelungen der DSGVO, sobald personenbezogene Daten im Rahmen einer geschäftlichen oder beruflichen Tätigkeit erfasst oder genutzt werden; rein private oder familiäre Tätigkeiten sind von der Verordnung ausgenommen (vgl. Art. 2 Abs. 2 lit. c DSGVO).

Wissenschaft und Forschung

Auch bei wissenschaftlichen Forschungsprojekten, die personenbezogene Daten verarbeiten – zum Beispiel medizinische Studien oder Umfragen – findet die DSGVO Anwendung. Allerdings gibt es für bestimmte wissenschaftliche Zwecke spezielle Öffnungsklauseln und Ausnahmeregelungen.

Typische Beispiele für die Anwendung der DSGVO

• Ein Online-Shop erfasst und verarbeitet Kundendaten für Bestellungen und Versand.
• Eine Arztpraxis speichert Patientendaten elektronisch.
• Ein Unternehmen nutzt E-Mail-Adressen für Marketingzwecke, nachdem Betroffene eingewilligt haben.
• Eine Kommune führt ein Einwohnerregister.
• Ein Verein legt Mitgliederlisten an.

Wesentliche Vorschriften und Institutionen im Zusammenhang mit der DSGVO

Artikel und relevante Regelungen

Die wichtigsten Kernregelungen der DSGVO umfassen u.a.:

• Artikel 5 DSGVO (Grundsätze für die Verarbeitung personenbezogener Daten)
• Artikel 6 DSGVO (Rechtsgrundlagen für die Datenverarbeitung)
• Artikel 7 DSGVO (Bedingungen für die Einwilligung)
• Artikel 12-23 DSGVO (Rechte der betroffenen Person, z.B. Auskunft, Berichtigung, Löschung)
• Artikel 24-43 DSGVO (Pflichten der Verantwortlichen, Datenschutz-Folgenabschätzung, Meldung von Datenschutzverstößen)
• Artikel 44 ff. DSGVO (Übermittlung personenbezogener Daten in Drittländer)

Aufsichtsbehörden

Für die Überwachung und Durchsetzung der DSGVO sind unabhängige Datenschutzaufsichtsbehörden zuständig. Diese bestehen sowohl auf Ebene der Mitgliedstaaten (z. B. die Datenschutzbeauftragten der Bundesländer in Deutschland) als auch auf europäischer Ebene im Europäischen Datenschutzausschuss (European Data Protection Board, EDPB).

Weitere relevante Gesetze

Die DSGVO gilt unmittelbar in allen EU-Mitgliedstaaten, wird aber durch nationale Datenschutzgesetze ergänzt, beispielsweise durch das Bundesdatenschutzgesetz (BDSG) in Deutschland oder das Datenschutzanpassungsgesetz in Österreich.

Betroffenenrechte nach der DSGVO

Eine zentrale Neuerung der DSGVO ist die Stärkung der Rechte der von einer Datenverarbeitung betroffenen Personen. Diese umfassen unter anderem:

• Recht auf Auskunft (Art. 15 DSGVO): Betroffene haben das Recht zu erfahren, welche Daten über sie gespeichert oder verarbeitet werden.
• Recht auf Berichtigung (Art. 16 DSGVO): Unrichtige Daten sind zu berichtigen.
• Recht auf Löschung (Art. 17 DSGVO, „Recht auf Vergessenwerden“): Unter bestimmten Voraussetzungen können personenbezogene Daten gelöscht werden.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Betroffene können verlangen, ihre Daten in einem gängigen Format zu erhalten.
• Widerspruchsrecht (Art. 21 DSGVO): Datenverarbeitung kann unter bestimmten Voraussetzungen widersprochen werden.

Pflichten für Verantwortliche und Auftragsverarbeiter

Die DSGVO legt zahlreiche Pflichten für diejenigen fest, die personenbezogene Daten verarbeiten. Zu den wichtigsten gehören:

• Transparenz und Information: Personen müssen über die Verarbeitung ihrer Daten informiert werden (z. B. durch Datenschutzerklärungen).
• Dokumentationspflichten: Verantwortliche müssen ein Verzeichnis der Verarbeitungstätigkeiten führen.
• Technische und organisatorische Maßnahmen: Es muss sichergestellt werden, dass Daten gegen unbefugten Zugriff, Verlust oder Missbrauch geschützt sind.
• Datenschutz-Folgenabschätzung: Bei neuen Verfahren, die ein hohes Risiko für die Rechte und Freiheiten Betroffener bergen, ist eine Datenschutz-Folgenabschätzung vorgeschrieben.
• Meldung von Datenschutzverstößen: Verletzungen des Datenschutzes sind binnen 72 Stunden an die zuständige Aufsichtsbehörde zu melden.

Bußgelder und Sanktionen

Ein wesentliches Merkmal der DSGVO ist die Möglichkeit, bei Verstößen gegen die Verordnung empfindliche Geldbußen zu verhängen. Diese können je nach Schwere und Art des Verstoßes bis zu 20 Millionen Euro oder bis zu vier Prozent des weltweiten Jahresumsatzes eines Unternehmens betragen (je nachdem, welcher Betrag höher ist – Art. 83 DSGVO).

Häufige Probleme und Besonderheiten der DSGVO-Praxis

In der praktischen Umsetzung der DSGVO treten immer wieder folgende Herausforderungen auf:

• Komplexität der Regelungen: Vielfach bestehen Unsicherheiten bei der Umsetzung der technischen und organisatorischen Maßnahmen.
• Abgrenzung zu nationalen Datenschutzgesetzen: Die Abstimmung mit ergänzenden nationalen Regelungen kann kompliziert sein.
• Einwilligungsmanagement: Die Anforderungen an eine wirksame Einwilligung sind hoch, insbesondere im Bereich Online-Dienste.
• Datenschutz bei Innovationen: Neue Technologien, etwa im Bereich Künstliche Intelligenz oder Big Data, werfen regelmäßig neue datenschutzrechtliche Fragen auf.
• Datentransfers außerhalb der EU: Die Regeln zur Übermittlung personenbezogener Daten in Drittländer sorgen für zusätzlichen Umsetzungsaufwand, vor allem nach der Aufhebung des Privacy Shield-Abkommens mit den USA.

Zusammenfassung und abschließende Bewertung

Die Datenschutz-Grundverordnung (DSGVO) ist eine europaweit geltende Verordnung, die einheitliche Standards zum Schutz personenbezogener Daten in der EU schafft und den freien Datenverkehr in Europa regelt. Sie stärkt die Rechte betroffener Personen, verpflichtet Unternehmen und öffentliche Stellen zu umfangreichen Datenschutzmaßnahmen und setzt bei Verstößen erhebliche Sanktionen durch.

Die DSGVO ist zentral für alle Organisationen und Unternehmen, die personenbezogene Daten von EU-Bürgerinnen und -Bürgern verarbeiten, unabhängig vom Sitz des Unternehmens. Die Einhaltung der DSGVO ist damit ein wichtiger Bestandteil moderner Geschäfts- und Verwaltungsprozesse und gewinnt angesichts neuer digitaler Technologien weiter an Bedeutung.

Für wen ist die DSGVO besonders relevant?

Die Regelungen der DSGVO sind insbesondere für folgende Gruppen relevant:

• Unternehmen aller Branchen, die Dienstleistungen oder Produkte in der EU anbieten oder Daten von EU-Bürgerinnen und -Bürgern verarbeiten
• Öffentliche Verwaltungen und Behörden
• Vereine und Organisationen, sofern personenbezogene Daten verarbeitet werden
• Anbieter digitaler Dienste, Onlineshops und Plattformen
• Wissenschaftliche Einrichtungen und Forschungsteams

Die kontinuierliche Beschäftigung mit den Anforderungen und Entwicklungen rund um die DSGVO ist für diese Gruppen unerlässlich, um rechtskonform und verantwortungsvoll mit personenbezogenen Daten umzugehen.

Häufig gestellte Fragen

Was ist die DSGVO und welches Ziel verfolgt sie?

Die Datenschutz-Grundverordnung (DSGVO) ist eine europäische Verordnung, die seit dem 25. Mai 2018 unmittelbar in allen Mitgliedstaaten der Europäischen Union gilt. Ihr Hauptziel ist der Schutz der Grundrechte und -freiheiten von natürlichen Personen, insbesondere deren Recht auf Schutz personenbezogener Daten. Die DSGVO legt umfassende Regelungen für die Verarbeitung, Speicherung und Weitergabe personenbezogener Daten fest. Sie gibt den Betroffenen umfangreiche Rechte an die Hand, stärkt die Transparenz in der Datenverarbeitung und verpflichtet Unternehmen sowie Behörden dazu, technische und organisatorische Maßnahmen zum Datenschutz zu ergreifen. Die Verordnung harmonisiert das Datenschutzrecht europaweit und sorgt dadurch für ein einheitliches Datenschutzniveau. Unternehmen können bei Verstößen mit empfindlichen Geldbußen belegt werden, um die Einhaltung sicherzustellen.

Für wen gilt die DSGVO?

Die DSGVO gilt für alle Unternehmen, Organisationen und Behörden innerhalb der Europäischen Union, die personenbezogene Daten verarbeiten. Darüber hinaus erstreckt sich die Geltung auch auf Nicht-EU-Unternehmen, sofern diese Waren oder Dienstleistungen für Personen in der EU anbieten oder das Verhalten solcher Personen innerhalb der EU beobachten (Art. 3 DSGVO, Marktortprinzip). Die Verordnung betrifft somit nicht nur große Konzerne, sondern auch kleine und mittlere Unternehmen, Selbstständige und Vereine, sobald sie Daten wie Name, Adresse, E-Mail-Adresse, Telefonnummer oder IP-Adressen einer identifizierten oder identifizierbaren natürlichen Person verarbeiten.

Was sind personenbezogene Daten im Sinne der DSGVO?

Personenbezogene Daten sind nach Artikel 4 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören zum Beispiel Name, Anschrift, Geburtsdatum, Telefonnummer, E-Mail-Adresse, Standortdaten, Online-Kennungen (z. B. IP-Adressen) und biometrische Daten. Auch Informationen, die in Kombination mit anderen Daten zur Identifizierung einer Person führen können, gelten als personenbezogen. Besondere Kategorien personenbezogener Daten, wie Gesundheitsdaten, genetische oder biometrische Daten, politische Meinungen oder religiöse Überzeugungen, unterliegen zudem einem erhöhten Schutz.

Welche Rechte haben Betroffene laut DSGVO?

Betroffene Personen verfügen laut DSGVO über umfangreiche Rechte bezüglich ihrer personenbezogenen Daten. Dazu gehören das Recht auf Auskunft (Art. 15), das Recht auf Berichtigung (Art. 16), das Recht auf Löschung („Recht auf Vergessenwerden“, Art. 17), das Recht auf Einschränkung der Verarbeitung (Art. 18), das Recht auf Datenübertragbarkeit (Art. 20) und das Widerspruchsrecht gegen die Verarbeitung (Art. 21). Zudem besteht das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden (Art. 22). Die verantwortliche Stelle muss binnen eines Monats nach Eingang des Antrags reagieren und genaue Auskunft über die Verarbeitungen erteilen.

Was sind die Pflichten von Unternehmen in Bezug auf die DSGVO?

Unternehmen müssen sicherstellen, dass sämtliche Verarbeitungen personenbezogener Daten rechtmäßig, transparent und zweckgebunden erfolgen. Sie sind verpflichtet, eine umfassende Dokumentation der Verarbeitungstätigkeiten zu führen (Art. 30). Darüber hinaus müssen sie technisch-organisatorische Maßnahmen (TOM) zum Schutz der Daten ergreifen, Datenschutzverletzungen binnen 72 Stunden melden (Art. 33), und unter Umständen einen Datenschutzbeauftragten benennen. Datenschutz-Folgenabschätzungen sind durchzuführen, wenn ein hohes Risiko für die Rechte und Freiheiten der Betroffenen besteht (Art. 35). Unternehmen müssen Betroffene klar und verständlich über die Datenverarbeitung informieren (Art. 13 und 14) und deren Einwilligungen, sofern notwendig, rechtskonform einholen.

Welche Strafen drohen bei Verstößen gegen die DSGVO?

Verstöße gegen die DSGVO können mit erheblichen Geldbußen geahndet werden. Die möglichen Strafen sind gestaffelt: Bei weniger schweren Verstößen sind Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs vorgesehen – je nachdem, welcher Betrag höher ist. Bei schwerwiegenden Verstößen, etwa bei Missachtung der Grundsätze der Verarbeitung, können Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes verhängt werden. Darüber hinaus können Betroffene zivilrechtliche Schadensersatzansprüche geltend machen und auch der Reputationsverlust für Unternehmen ist nicht zu unterschätzen.

Was ist eine Auftragsverarbeitung nach DSGVO und wann ist sie relevant?

Von einer Auftragsverarbeitung spricht man, wenn ein Unternehmen (der Verantwortliche) einen externen Dienstleister (den Auftragsverarbeiter) damit beauftragt, personenbezogene Daten im Auftrag und nach Weisung zu verarbeiten – beispielsweise durch einen externen IT-Dienstleister, einen Cloud-Anbieter oder einen Marketing-Dienstleister. Die DSGVO schreibt hierfür den Abschluss eines sogenannten Auftragsverarbeitungsvertrags (AVV) vor, in dem u.a. der Umfang, die Art, der Zweck der Verarbeitung sowie die technischen und organisatorischen Schutzmaßnahmen geregelt werden. Der Verantwortliche muss sich zudem vergewissern, dass der Auftragsverarbeiter ausreichende Garantien für den Schutz der Daten bietet und bleibt weiterhin für den Datenschutz verantwortlich.