DieDatenschutz-Grundverordnung (DSGVO)legt Richtlinien fest, die verschiedene Aspekte des Datenschutzes und der Privatsphäre für Personen innerhalb der Europäischen Union (EU) und des Europäischen Wirtschaftsraums (EWR) abdecken, einschließlich des Umgangs, der Verarbeitung und des Schutzes personenbezogener Daten. Nachfolgend finden Sie eine Übersicht der wichtigsten Elemente der DSGVO-Richtlinien:

1. 1.Umfang und Anwendbarkeit

DSGVO gilt für:

• Alle Organisationen(einschließlich Unternehmen, gemeinnützige Organisationen und Regierungen), die personenbezogene Daten von Personen in der EU oder im EWR verarbeiten, unabhängig davon, wo sich die Organisation befindet.
• Datenverantwortliche(die Zweck und Mittel der Verarbeitung bestimmen) undDatenverarbeiter(die Daten im Auftrag von Verantwortlichen verarbeiten).

Es gilt für jede Art der Verarbeitung personenbezogener Daten, einschließlich Erhebung, Erhebung, Speicherung, Veränderung, Abruf, Absprache, Verwendung, Weitergabe, Löschung und Vernichtung.

2. 2.Wichtige Definitionen

• Persönliche Daten: Alle Informationen, die eine Person direkt oder indirekt identifizieren können (z.B. Name, E-Mail-Adresse, IP-Adresse, Standortdaten usw.).
• Sensible personenbezogene Daten: Besondere Kategorien von Daten, die zusätzlichen Schutz erfordern, wie rassische oder ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gesundheitsdaten, biometrische Daten und sexuelle Orientierung.
• Betroffene Person: Die Person, der die personenbezogenen Daten gehören.
• Verantwortlicher: Die Stelle, die die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmt.
• Datenverarbeiter: Die Stelle, die Daten im Auftrag des für die Verarbeitung Verantwortlichen verarbeitet.

3.Grundsätze der Datenverarbeitung

DSGVO basiert auf folgendensieben Schlüsselprinzipiender Datenverarbeitung:

1. Rechtmäßigkeit, Fairness und Transparenz: Daten müssen rechtmäßig, fair und transparent verarbeitet werden. Über die Verarbeitung ihrer Daten müssen Personen informiert werden.
2. Zweckbeschränkung: Personenbezogene Daten müssen für bestimmte, ausdrückliche und legitime Zwecke erhoben und nicht auf eine Weise verwendet werden, die mit diesen Zwecken unvereinbar ist.
3. Datenminimierung: Die erhobenen Daten müssen angemessen, relevant und auf das beschränkt sein, was für den vorgesehenen Zweck erforderlich ist.
4. Genauigkeit: Personenbezogene Daten müssen korrekt sein und auf dem neuesten Stand gehalten werden.
5. Speicherbeschränkung: Die Daten dürfen nicht länger als für die Zwecke, für die sie erhoben wurden, erforderlich gespeichert werden.
6. Integrität und Vertraulichkeit: Daten müssen sicher verarbeitet werden, um den Schutz vor unbefugtem oder rechtswidrigem Zugriff, Verlust oder Beschädigung zu gewährleisten.
7. Verantwortlichkeit: Die Datenverantwortlichen sind für die Einhaltung der oben genannten Grundsätze verantwortlich und müssen in der Lage sein, die Einhaltung nachzuweisen.

4. 4.Rechtsgrundlagen für die Verarbeitung

Personenbezogene Daten können nur verarbeitet werden, wenn eine gültige Rechtsgrundlage besteht, wie z.B.:

• Einwilligung: Die Person hat für einen bestimmten Zweck eine ausdrückliche Einwilligung erteilt.
• Vertrag: Die Verarbeitung ist zur Erfüllung eines Vertrages mit der Person erforderlich.
• Rechtliche Verpflichtung: Die Verarbeitung ist erforderlich, um das Gesetz einzuhalten.
• Vitalinteressen: Verarbeitung ist notwendig, um das Leben eines Menschen zu schützen.
• Öffentliche Aufgabe: Die Verarbeitung ist notwendig, um eine Aufgabe im öffentlichen Interesse auszuführen.
• Berechtigte Interessen: Die Verarbeitung ist für berechtigte Interessen des Verantwortlichen erforderlich, es sei denn, die Rechte der Person überwiegen.

5.Betroffenenrechte

DSGVO gewährt Einzelpersonen mehrere Rechte in Bezug auf ihre personenbezogenen Daten:

1. Recht auf Auskunft: Personen haben das Recht zu erfahren, wie ihre Daten erhoben, verwendet und weitergegeben werden (über eine Datenschutzerklärung).
2. Recht auf Auskunft: Einzelpersonen können Zugang zu ihren personenbezogenen Daten und deren Verarbeitung verlangen.
3. Recht auf Berichtigung: Einzelpersonen können die Korrektur unrichtiger oder unvollständiger Daten verlangen.
4. Recht auf Löschung ("Recht auf Vergessenwerden"): Einzelpersonen können unter bestimmten Umständen die Löschung ihrer personenbezogenen Daten verlangen (z.B. wenn die Daten nicht mehr benötigt werden).
5. Recht auf Einschränkung der Verarbeitung: Einzelpersonen können unter bestimmten Voraussetzungen verlangen, dass ihre Daten von der Verarbeitung eingeschränkt werden.
6. Recht auf Datenübertragbarkeit: Einzelpersonen können verlangen, dass ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format an eine andere Organisation oder direkt an sich selbst übertragen.
7. Widerspruchsrecht: Einzelpersonen können der Verarbeitung ihrer personenbezogenen Daten für bestimmte Zwecke widersprechen, einschließlich Direktmarketing.
8. Rechte im Zusammenhang mit automatisierter Entscheidungsfindung und Profilerstellung: Personen haben das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung einschließlich Profiling beruhenden Entscheidung unterworfen zu werden, es sei denn, bestimmte Voraussetzungen sind erfüllt.

6.Datenschutz-Folgenabschätzungen (DPIAs)

DPIAs müssen durchgeführt werden, wenn Datenverarbeitungsaktivitäten wahrscheinlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen führen. Dies gilt typischerweise für die groß angelegte Verarbeitung, Profilerstellung oder Verarbeitung sensibler Daten.

7.Benachrichtigungen über Datenschutzverletzungen

Organisationen müssen die zuständige Datenschutzbehörde (in Großbritannien ist dies das Büro des Informationsbeauftragten oder ICO) innerhalb72 StundenKenntnis einer Verletzung personenbezogener Daten, die ein Risiko für die Rechte und Freiheiten von Einzelpersonen darstellt. Sollte die Verletzung wahrscheinlich zu hohen Risiken führen, müssen die betroffenen Personen auch informiert werden.

8.Datenübertragungen außerhalb der EU/EWR

Übermittlung personenbezogener Daten in Länder außerhalb der EU/EWR ist nur gestattet, wenn:

• Das Empfangsland bietet eineangemessenes Schutzniveauwie von der Europäischen Kommission festgelegt.
• Passende Garantien, wieStandardvertragsklauseln (SCCs)oderVerbindliche Unternehmensregeln (BCRs), sind an Ort und Stelle.
• Die betroffene Person hat eine ausdrückliche Einwilligung erteilt.

9.Datenschutz nach Design und Standard

Organisationen müssen von Anfang an Datenschutzmaßnahmen einbeziehen, das die Verarbeitung personenbezogener Daten umfasst, einbeziehen. Dieses Prinzip wird bekannt alsPrivatsphäre nach Design und standardmäßig, d.h. Privatsphäre muss in der Designphase und während des gesamten Lebenszyklus der Datenverarbeitung berücksichtigt werden.

10.Datenschutzbeauftragter (DSB)

Ein DSB muss bestellt werden, wenn:

• Die Organisation ist eine Behörde.
• Die Kernaktivitäten umfassen die regelmäßige und systematische Überwachung von Personen im großen Maßstab.
• Die Organisation verarbeitet große Mengen sensibler personenbezogener Daten.

Zu den Aufgaben des DSB gehören:

• Überwachung der Einhaltung der DSGVO.
• Beratung bei datenschutzrechtlichen Verpflichtungen.
• Als Kontaktstelle mit den Datenschutzbehörden tätig.

11.Geldbußen und Strafen

Organisationen, die die DSGVO nicht einhalten, können mit erheblichen Geldbußen konfrontiert sein:

• Bis zu20 Mio. €oder4% des globalen Jahresumsatzes des Unternehmens, je nachdem, was höher ist, für die schwerwiegendsten Verstöße.
• Weniger Verstöße können zu Geldbußen von bis zu10 Mio. €oder2% des Jahresumsatzes.

12.Verantwortlichkeit und Aufzeichnung

Organisationen müssen Dokumentationen führen, um die DSGVO-Konformität nachzuweisen, einschließlich:

• Aufzeichnungen über Verarbeitungsaktivitäten.
• Datenschutzrichtlinien und -verfahren.
• DPIAs bei Bedarf.
• Aufzeichnungen von Anfragen und Antworten der betroffenen Person.

13.Zustimmungsanforderungen

Bei der Einigung als Rechtsgrundlage für die Verarbeitung personenbezogener Daten sind folgende Richtlinien zu beachten:

• Die Einwilligung muss frei, spezifisch, informiert und eindeutig sein.
• Zustimmung muss durch eine klare positive Bestätigung (z.B. Opt-in) und nicht durch vorgetickte Felder erteilt werden.
• Organisationen müssen nachweisen können, dass die Einwilligung eingeholt wurde.
• Personen müssen das Recht haben, eine Einwilligung jederzeit zu widerrufen.

Die DSGVO setzt hohe Standards für den Datenschutz und zielt darauf ab, Einzelpersonen mehr Kontrolle über ihre personenbezogenen Daten zu geben. Durch die Einhaltung dieser Richtlinien können Unternehmen die Einhaltung gewährleisten und das Risiko von Strafen vermeiden.