Warum die Aufregung um die DSGVO?

Richtlinien zum Datenschutz sind nichts Neues für EU Mitgliedsstaaten. Das durch die Mitgliedsstaaten umgesetzte nationales Recht ist allerdings umfangreich, komplex und je nach Land unterschiedlich. Mit der neuen Verordnung, der so genannten Datenschutz-Grundverordnung (DSGVO), die ab dem 25. Mai 2018 in Kraft tritt und die Richtlinie 95/46/EG ersetzt, wird das Datenschutzrecht EU-weit vereinheitlicht. Die DSGVO regelt die Rechte der Betroffenen und die Pflichten von Organisationen, die persönliche Daten verarbeiten, speichern oder weitergeben. Die Verordnung soll durch Vorgabe von Maßnahmen zum Datenschutz den Datendiebstahl erschweren, die Offenlegung von erfolgreichen Angriffen und Notifizierung der Betroffenen beschleunigen, und EU-Bürgern mehr Rechte im Hinblick auf Zugriff sowie auch Löschung persönlicher Daten zugestehen.

Was sind die wichtigsten Bestimmungen?

Einverständniserklärung

• Schon bevor personenbezogene Daten gesammelt werden, müssen Unternehmen das Einverständnis einholen, dabei muss auf die Art und Verwendung der Daten hingewiesen werden.
• Dieses Einverständnis muss in als „Opt-In“ und getrennt von sonstigen Themen (wie etwa das Akzeptieren der AGB) angeboten werden.
• Das Einverständnis muss jederzeit und einfach wiederrufbar sein.
• Die Erklärung muss entsprechend dokumentiert sein um die Transparenz zu gewährleisten.
• Für Information von Minderjährigen muss das Einverständnis des Erziehungsberechtigten eingeholt werden.
• Die weitere Verarbeitung von personenbezogener Information sowie die Weitergabe an Drittländer muss explizit bestätigt werden.

Zweckgebundene Verarbeitung

• Personenbezogene Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden.
• Außerdem muss die Rechtmäßigkeit der Verarbeitung gewährleistet sein.

Rechte der Person

• Organisationen müssen Möglichkeiten bereitstellen, auf die eigenen Daten zuzugreifen, falsche Daten richtig zu stellen und sogenanntes Direktmarketing abzulehnen.
• Des Weiteren muss es möglich sein die Löschung der personenbezogenen Daten zu veranlassen.
• Der Verlust, wie auch die weitere Bearbeitung der Daten müssen der betroffenen Person mitgeteilt werden.

Organisatorische Änderungen

• Je nach Anwendungsfall muss ein Datenschutzbeauftragter ernannt werden.
• Der Datenschutzbeauftragte muss dem Management des Unternehmens direkt unterstellt sein.

Drittanbieter

• Die Anforderungen, die bei der Einbindung von Drittanbietern bereits in Verträge aufgenommen werden mussten, wurde angepasst und erweitert./li>
• Organisationen müssen vor der Verwendung von Drittanbietern Ihre Sorgfaltspflichten erfüllen.

IT Sicherheit

• Im Falle eines Datendiebstahles müssen Behörden sowie Geschädigte unverzüglich informiert werden (basierend auf der Schwere gelten unterschiedliche Fristen).
• Wo möglich, müssen personenbezogene Daten verschlüsselt und anonymisiert werden.
• Die Vertraulichkeit, Integrität und Verfügbarkeit der Daten und der verarbeitenden Systeme muss jederzeit gewährleistet sein.
• Im Fehlerfall muss es möglich sein die Verfügbarkeit der Daten in angemessener Zeit wiederherzustellen.
• Die Effektivität der technischen und organisatorischen Maßnahmen zur Sicherung der personenbezogenen Daten muss regelmäßig getestet und evaluiert werden.

Welche Sanktionen drohen bei Verstößen?

Geldbußen können bis zu einer Höhe von 4% des weltweiten Jahresumsatzes oder einer Obergrenze von 20 Millionen € als Sanktion verhängt werden. Diese extremen Sanktionen drohen allerdings nur bei groben Verstößen wie etwa der mutwilligen Nichteinhaltung von Kernkonzepten des Datenschutzes. Abgesehen von diesen behördlichen Sanktionen ist der potentielle Imageschaden, der durch Notifizierung aller Betroffenen entstehen würde, kaum zu beziffern.

Was bedeutet das für Sie?

Auf dieser Seite haben Sie schon einige der wesentlichen Punkte zur am 25. Mai 2018 in Kraft tretenden Verordnung gelesen. Während ein großer Teil der grundsätzlichen Anforderungen sich mit der vorangehenden Verordnung deckt, sind die größten Änderungen in den Konsequenzen und den konkreten Maßnahmen zu sehen. Unser DSGVO Bereitschafts-Check hilft Ihnen dabei herauszufinden welche Prozesse und Technologien angepasst werden müssen und stellt Ihnen einen Zeitplan zur Umsetzung bereit. Natürlich können wir Ihnen auch bei konkreten Fragen zur Umsetzung in Webseiten und in internen Prozessen zur Seite stehen.