Was ist die DSGVO?

DSGVO: Definition und Geltungsbe­reich

Die Datenschutz-Grundverordnung gilt in allen EU-Mitgliedstaaten unmittelbar und wird in Deutschland durch das Bundesdatenschutzgesetz (BDSG) ergänzt. Sie betrifft jede Verarbeitung personenbezogener Daten, also aller Angaben, die sich auf eine identifizierbare Person beziehen – vom Namen und der E-Mail-Adresse über die IP-Adresse bis zu Fotos und Kundennummern. Auch kleine Betriebe, Vereine und Selbstständige sind erfasst.

Grundprinzip ist das Verbot mit Erlaubnisvorbehalt: Verarbeitet werden darf nur, wenn eine Rechtsgrundlage vorliegt. Dazu zählen vor allem die Einwilligung, die Erfüllung eines Vertrags, eine rechtliche Verpflichtung und das berechtigte Interesse (Art. 6 DSGVO). Für besondere Kategorien wie Gesundheitsdaten gelten strengere Regeln. Die Verordnung greift auch bei Anbietern außerhalb der EU, die Menschen in der EU Waren oder Dienstleistungen anbieten.

Grundsätze und Rechte der Betroffenen

Art. 5 DSGVO nennt die Grundsätze: Rechtmäßigkeit und Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Unternehmen müssen die Einhaltung nachweisen können (Rechenschaftspflicht). Das bedeutet in der Praxis: Entscheidungen, Verträge und Schutzmaßnahmen werden dokumentiert, damit sie sich gegenüber Aufsichtsbehörden und Betroffenen belegen lassen.

Betroffene haben Anspruch auf Information, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Anfragen sind grundsätzlich innerhalb eines Monats zu beantworten, in begründeten Ausnahmefällen mit Verlängerung. Deshalb braucht jedes Unternehmen einen klaren internen Ablauf, wer eine solche Anfrage entgegennimmt, prüft und beantwortet.

Praxis­bei­spiel: Heizungs­bauer mit Website und Cloud-Software

Ein typisches Szenario: Ein Heizungsbauer mit zwölf Mitarbeitern betreibt eine Website mit Kontaktformular, nutzt ein Newsletter-Tool, führt Kundendaten in einer Cloud-Software und hat Google Maps eingebunden. Bei einer Durchsicht zeigt sich, dass die Datenschutzerklärung das Newsletter-Tool nicht nennt, mit dem Cloud-Anbieter kein Auftragsverarbeitungsvertrag besteht und die Karte schon beim Seitenaufruf Daten überträgt.

Die Lösung besteht aus vier Schritten: Verarbeitungen erfassen, fehlende Verträge abschließen, die Karte erst nach Einwilligung laden und die Datenschutzerklärung anpassen. Der Aufwand ist überschaubar – deutlich geringer als der Ärger mit einer Beschwerde bei der Aufsichtsbehörde oder einer Abmahnung. Wichtig ist, die Punkte anschließend zu dokumentieren und bei neuen Tools erneut zu prüfen.

Pflichten, Bußgelder und typische Fehler

Aufsichtsbehörden können bei Verstößen Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist; für bestimmte formale Pflichten gilt ein niedrigerer Rahmen. Hinzu kommen mögliche Schadensersatzansprüche Betroffener. In der Praxis beginnen Verfahren häufig mit der Beschwerde einer betroffenen Person.

• Dienstleister mit Datenzugriff ohne Auftragsverarbeitungsvertrag
• Tracking, Karten oder Videos werden vor der Einwilligung geladen
• Datenschutzerklärung aus einem Mustertext, der nicht zur Website passt
• Keine Löschfristen: Daten bleiben unbegrenzt im System
• Kein Ablauf für Auskunftsanfragen und Datenpannen (Meldung binnen 72 Stunden)

Worauf Unternehmen achten sollten

Beginnen Sie mit einer Bestandsaufnahme: Welche Daten fallen wo an, wer hat Zugriff, welche Dienstleister sind beteiligt? Daraus ergeben sich Verzeichnis der Verarbeitungstätigkeiten, Verträge, Löschkonzept und Datenschutzerklärung. Datenschutz gehört schon in die Planung neuer Software (Privacy by Design). Nano Concepts unterstützt bei der technischen Umsetzung, etwa bei Einwilligungslösungen, Hosting in Deutschland und Rollenkonzepten. Dieser Beitrag ersetzt keine Rechtsberatung.