Die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG)
Die DSGVO und das BDSG sind die wichtigsten Gesetze zum Schutz personenbezogener Daten in Deutschland und der Europäischen Union. Sie regeln, wie Unternehmen und Behörden mit den Daten von Bürgerinnen und Bürgern umgehen müssen, welche Rechte diese haben und welche Pflichten die Verantwortlichen haben. Die DSGVO gilt seit dem 25. Mai 2018 für alle Mitgliedstaaten der EU und für alle Organisationen, die Daten von EU-Bürgern verarbeiten. Das BDSG ist die nationale Umsetzung der DSGVO in Deutschland und enthält einige spezifische Regelungen, die nur für Deutschland gelten.
Die Ziele der DSGVO und des BDSG
Die Ziele der DSGVO und des BDSG sind unter anderem:
- Die Stärkung der informationellen Selbstbestimmung und des Persönlichkeitsrechts der Betroffenen
- Die Schaffung eines einheitlichen Datenschutzrechts in der EU und eines hohen Schutzniveaus für personenbezogene Daten
- Die Förderung des freien Datenverkehrs innerhalb des Binnenmarkts und mit Drittländern
- Die Erhöhung der Transparenz und der Rechenschaftspflicht der Verantwortlichen
- Die Einführung von wirksamen Sanktionen bei Verstößen gegen die Datenschutzvorschriften
Die Anforderungen der DSGVO und des BDSG
Die DSGVO und das BDSG enthalten verschiedene Anforderungen an die Verarbeitung personenbezogener Daten, wie zum Beispiel:
Die Grundsätze für die Verarbeitung personenbezogener Daten
Die Verantwortlichen müssen die Grundsätze für die Verarbeitung personenbezogener Daten einhalten, wie Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit.
Beispiel: Ein Online-Shop darf nur die Daten erheben, die für die Abwicklung einer Bestellung erforderlich sind, und muss diese nach einer angemessenen Frist löschen.
Die Informationspflichten gegenüber den Betroffenen
Die Verantwortlichen müssen die Betroffenen über die Verarbeitung ihrer Daten, ihre Rechte und die Kontaktdaten des Verantwortlichen und des Datenschutzbeauftragten informieren.
Beispiel: Eine Website muss einen Hinweis anzeigen, der erklärt, welche Cookies sie verwendet, wofür sie diese benötigt und wie man ihnen widersprechen kann.
Die Einwilligung oder andere Rechtsgrundlagen für die Datenverarbeitung
Die Verantwortlichen müssen eine wirksame Einwilligung der Betroffenen für bestimmte Arten der Datenverarbeitung einholen oder eine andere Rechtsgrundlage vorweisen können.
Beispiel: Ein Arzt muss die Zustimmung seiner Patienten einholen, bevor er ihre Gesundheitsdaten an eine Forschungseinrichtung weitergibt.
Die Datenschutz-Folgenabschätzung bei risikoreichen Verarbeitungen
Die Verantwortlichen müssen eine Datenschutz-Folgenabschätzung durchführen, wenn sie eine Verarbeitung planen, die ein hohes Risiko für die Rechte und Freiheiten der Betroffenen birgt.
Beispiel: Eine Bank muss eine Analyse durchführen, bevor sie ein neues System zur automatisierten Kreditvergabe einführt.
Die technischen und organisatorischen Maßnahmen zum Schutz der Daten
Die Verantwortlichen müssen technische und organisatorische Maßnahmen umsetzen, um die Sicherheit der Daten zu gewährleisten.
Beispiel: Ein Unternehmen muss seine Daten nach Möglichkeit verschlüsseln, regelmäßig sichern und den Zugang zu ihnen kontrollieren.
Die Meldung von Datenschutzverletzungen an die Aufsichtsbehörde und die Betroffenen
Die Verantwortlichen müssen Datenschutzverletzungen an die zuständige Aufsichtsbehörde und gegebenenfalls an die Betroffenen melden, wenn diese zu einem Risiko für ihre Rechte und Freiheiten führen können.
Beispiel: Ein soziales Netzwerk muss einen Hackerangriff melden, bei dem Millionen von Nutzerdaten gestohlen wurden.
Die Übermittlung von Daten an Drittländer oder internationale Organisationen
Die Verantwortlichen müssen die Vorgaben für die Übermittlung von Daten an Drittländer oder internationale Organisationen beachten, wenn sie diese außerhalb des Europäischen Wirtschaftsraums (EWR) übertragen wollen.
Beispiel: Ein Konzern muss sicherstellen, dass seine Tochtergesellschaften in anderen Ländern ein angemessenes Datenschutzniveau bieten oder andere Garantien erfüllen.
Die Rechte der Betroffenen auf Auskunft, Berichtigung, Löschung etc.
Die Betroffenen haben verschiedene Rechte in Bezug auf ihre Daten, wie das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit.
Beispiel: Eine Versicherung muss einem Kunden auf Anfrage mitteilen, welche Daten sie über ihn gespeichert hat und ihm ermöglichen, diese zu korrigieren oder zu löschen.
Bestellpflicht eines Datenschutzbeauftragten
Die DSGVO sowie das BDSG geben vor, ab wann ein Unternehmen einen Datenschutzbeauftragten benennen muss.
Gemäß BDSG liegt die Grenze bei 20 Mitarbeitenden, die sich regelmäßig mit der Verarbeitung von personenebezogenen Daten befassen, dazu reicht schon ein Mailaccount.
Das Unternehmen entscheidt, ob ein interner oder ein externe Datenschutzbeauftragter bestellt wird. Es sind allerdings gewisse Anforderungen an diesen gestellt.
Mehr erfahren Sie beim Klick auf den nachfolgenden Button.
