DSGVO

GDPR

GDPR Definition

GDPR steht für die Datenschutz-Grundverordnung. Es ist ein umfassendes Datenschutzgesetz, das am 25. Mai 2018 eingeführt wurde, um zu regulieren, wie Unternehmen und Organisationen mit personenbezogenen Daten von Personen innerhalb der Europäischen Union (EU) und des Europäischen Wirtschaftsraums (EWR) umgehen. Das Hauptziel der GDPR ist es, Einzelpersonen die Kontrolle über ihre personenbezogenen Daten zu geben und das regulatorische Umfeld für Unternehmen, die innerhalb der EU und des EWR tätig sind, zu vereinfachen.

Schlüsselkonzepte und Anforderungen

GDPR umfasst mehrere Schlüsselkonzepte und Anforderungen, an die sich Organisationen halten müssen, um die Einhaltung sicherzustellen. Einige davon sind:

Rechtmäßige, Transparente und Bestimmte Zwecke

Unter der GDPR dürfen personenbezogene Daten nur rechtmäßig, transparent und für bestimmte Zwecke verarbeitet werden. Organisationen müssen eine rechtliche Grundlage für die Verarbeitung personenbezogener Daten haben, wie die Notwendigkeit zur Erfüllung eines Vertrages, die Einhaltung einer gesetzlichen Verpflichtung, den Schutz lebenswichtiger Interessen, Einwilligung, die Erfüllung einer im öffentlichen Interesse liegenden Aufgabe oder in Ausübung öffentlicher Gewalt oder berechtigte Interessen des Datenverantwortlichen oder eines Dritten.

Einwilligung

Einwilligung ist ein entscheidender Aspekt der GDPR. Organisationen sind verpflichtet, eine klare und explizite Einwilligung von Einzelpersonen einzuholen, bevor sie ihre personenbezogenen Daten sammeln. Die Einwilligung muss freiwillig gegeben, spezifisch, informiert und unmissverständlich sein. Den Einzelpersonen müssen klare Informationen über den Zweck der Datenverarbeitung, die Kategorien der betroffenen personenbezogenen Daten, die Empfänger der Daten, die Aufbewahrungsfrist und ihre Rechte in Bezug auf ihre Daten zur Verfügung gestellt werden. Es sollte für Einzelpersonen genauso einfach sein, ihre Einwilligung zu widerrufen, wie sie zu geben.

Rechte der Einzelpersonen

GDPR gewährt Einzelpersonen verschiedene Rechte in Bezug auf ihre personenbezogenen Daten. Einige dieser Rechte sind:

• Recht auf Datenzugang: Einzelpersonen haben das Recht, Zugang zu den personenbezogenen Daten zu verlangen, die Organisationen über sie halten.
• Recht auf Datenübertragbarkeit: Einzelpersonen haben das Recht, ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese Daten an eine andere Organisation zu übertragen.
• Recht auf Löschung: Auch bekannt als das "Recht auf Vergessenwerden", haben Einzelpersonen das Recht, die Löschung ihrer personenbezogenen Daten zu verlangen, wenn sie für den Zweck, für den sie gesammelt wurden, nicht mehr notwendig sind, wenn die Person ihre Einwilligung widerruft oder wenn die Datenverarbeitung unrechtmäßig ist.
• Recht auf Berichtigung: Einzelpersonen haben das Recht, die Berichtigung ungenauer oder unvollständiger personenbezogener Daten zu verlangen.

Benachrichtigung bei Datenschutzverletzungen

GDPR verpflichtet Organisationen, die Aufsichtsbehörden bei Datenschutzverletzungen unverzüglich und, wenn möglich, innerhalb von 72 Stunden nach Kenntniserlangung der Verletzung zu benachrichtigen. Ist die Verletzung wahrscheinlich mit einem hohen Risiko für die Rechte und Freiheiten von Einzelpersonen verbunden, muss die Organisation auch die betroffenen Personen direkt benachrichtigen.

Einhaltung und Durchsetzung

Organisationen, die unter den Anwendungsbereich der GDPR fallen, müssen sicherstellen, dass sie die Bestimmungen erfüllen, um Strafen und möglichen Reputationsschäden zu vermeiden. Hier sind einige Schritte, die Organisationen zur Sicherstellung der GDPR-Einhaltung unternehmen können:

• Verstehen der Anforderungen: Organisationen sollten sich mit den Anforderungen der GDPR vertraut machen und prüfen, wie sie auf ihre spezifischen Umstände zutreffen. Dies kann eine Datenerfassung, die Bewertung von Datenverarbeitungsaktivitäten und die Implementierung notwendiger Richtlinien und Verfahren umfassen.
• Einwilligung einholen: Organisationen sollten sicherstellen, dass sie eine klare Einwilligung von Einzelpersonen erhalten, bevor sie ihre personenbezogenen Daten sammeln. Die Einwilligung sollte auf eine verständliche Weise und getrennt von anderen Bedingungen eingeholt werden.
• Data Protection Officer (DPO): Die Ernennung eines Datenschutzbeauftragten kann helfen, die GDPR-Einhaltung sicherzustellen. Ein DPO ist eine innerhalb einer Organisation benannte Person, die die Datenschutzaktivitäten überwacht und als Ansprechpartner für Betroffene und Aufsichtsbehörden fungiert.
• Privacy by Design: Organisationen sollten das Prinzip des Privacy by Design in ihre Prozesse und Systeme integrieren. Dies bedeutet, Datenschutz und Datensicherheit von den frühesten Phasen der Planung und Entwicklung von Produkten, Dienstleistungen und Geschäftspraktiken zu berücksichtigen.
• Robuste Sicherheitsmaßnahmen: Die Implementierung robuster Sicherheitsmaßnahmen, wie Verschlüsselung, Zugangskontrollen und regelmäßige Sicherheitsaudits, kann dazu beitragen, personenbezogene Daten vor unbefugtem Zugriff, Offenlegung und Zerstörung zu schützen.

Neueste Entwicklungen und Kontroversen

Seit ihrer Implementierung hat die GDPR einen erheblichen Einfluss auf den Datenschutz und den Schutz persönlicher Daten. Die Verordnung hat andere Länder und Regionen dazu angeregt, ähnliche Gesetze umzusetzen, wie den California Consumer Privacy Act (CCPA) in den Vereinigten Staaten.

Einer der wesentlichen fortlaufenden Kontroversen rund um die GDPR ist, wie sie durchgesetzt wird und die Strafen für Nicht-Einhaltung. GDPR erlaubt Aufsichtsbehörden, Geldbußen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres zu verhängen, je nachdem, welcher Betrag höher ist, für schwerwiegende Verstöße. Einige Kritiker argumentieren jedoch, dass die Strafen unverhältnismäßig angewandt wurden, insbesondere gegen kleinere Unternehmen.

Ein weiteres Diskussionsfeld ist der Balanceakt zwischen Datenschutz und Innovation. Einige argumentieren, dass die GDPR Innovation behindere und belastende Compliance-Anforderungen an Unternehmen stelle, während andere darauf bestehen, dass sie notwendig sei, um die Grundrechte der Einzelnen zu schützen und das Vertrauen in die digitale Wirtschaft zu erhalten.

Verwandte Begriffe

• Data Protection Officer (DPO): Eine Person, die beauftragt ist, die Einhaltung der GDPR innerhalb einer Organisation zu überwachen.
• Privacy by Design: Das Prinzip, Datenschutz- und Sicherheitsüberlegungen in das Design und den Betrieb von IT-Systemen und Geschäftspraktiken einzubetten.