Was ist die DSGVO?
Die Datenschutz-Grundverordnung (DSGVO, englisch GDPR) ist eine Verordnung der Europäischen Union, die seit dem 25. Mai 2018 unmittelbar in allen Mitgliedstaaten gilt. Sie vereinheitlicht das Datenschutzrecht in Europa und löst das frühere nationale Flickwerk weitgehend ab. In Deutschland wird sie durch das Bundesdatenschutzgesetz (BDSG) und Landesgesetze ergänzt.
Im Kern regelt die DSGVO, unter welchen Bedingungen personenbezogene Daten verarbeitet werden dürfen. Sie gibt den betroffenen Personen Rechte und legt den Unternehmen klare Pflichten auf. Verstöße können von den Aufsichtsbehörden mit empfindlichen Bußgeldern geahndet werden.
Für wen gilt die DSGVO?
Die Verordnung gilt für jeden Verantwortlichen, der personenbezogene Daten verarbeitet, sowie für Dienstleister im Rahmen der Auftragsverarbeitung. Sie betrifft Konzerne ebenso wie kleine Handwerksbetriebe, Vereine, Arztpraxen und Online-Shops. Maßgeblich ist nicht die Größe, sondern die Tatsache, dass überhaupt mit Daten von Personen gearbeitet wird.
Typische Verarbeitungen, die unter die DSGVO fallen, sind unter anderem:
- Führung von Kunden-, Lieferanten- und Mitarbeiterdaten
- Betrieb einer Website mit Kontaktformular oder Newsletter
- Videoüberwachung von Geschäftsräumen
- Einsatz von Cloud-Diensten und externen IT-Dienstleistern
Auch Unternehmen außerhalb der EU unterliegen der DSGVO, sobald sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten.
Welche Grundprinzipien gelten?
Die DSGVO baut auf einigen Grundsätzen auf, die jede Verarbeitung erfüllen muss: Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Jede Verarbeitung braucht eine gültige Rechtsgrundlage, etwa eine Einwilligung oder einen Vertrag.
Hinzu kommt die Rechenschaftspflicht: Ein Unternehmen muss die Einhaltung dieser Grundsätze nicht nur sicherstellen, sondern auch nachweisen können. Dazu dienen Dokumente wie das Verzeichnis von Verarbeitungstätigkeiten und ein durchdachtes Datenschutzkonzept.