Was ist die DSGVO?
Die Datenschutz-Grundverordnung (DSGVO) ist eine EU-Verordnung, die den Schutz personenbezogener Daten regelt. Sie gilt seit dem 25. Mai 2018 in allen EU-Mitgliedstaaten unmittelbar und ersetzt die bisherigen nationalen Datenschutzgesetze. Die DSGVO stärkt die Rechte der betroffenen Personen und verpflichtet Unternehmen zu umfassenden technischen und organisatorischen Maßnahmen zum Datenschutz.
Für kleine und mittelständische Unternehmen bedeutet dies: Jede Verarbeitung personenbezogener Daten muss rechtmäßig, transparent und zweckgebunden erfolgen. Verstöße können mit Bußgeldern bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes geahndet werden.
Die 7 Grundprinzipien der DSGVO
Die DSGVO basiert auf sieben Grundprinzipien, die bei jeder Datenverarbeitung beachtet werden müssen. Diese Prinzipien bilden das Fundament eines datenschutzkonformen Handelns.
DSGVO-Grundprinzipien im Überblick
1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
Personenbezogene Daten müssen auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden. Die betroffene Person muss über die Datenverarbeitung informiert werden.
2. Zweckbindung
Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden. Eine Weiterverarbeitung für andere Zwecke ist nur unter bestimmten Voraussetzungen zulässig.
3. Datenminimierung
Es dürfen nur die Daten erhoben werden, die für den jeweiligen Zweck erforderlich sind. Überflüssige Datenerhebungen sind zu vermeiden.
4. Richtigkeit
Personenbezogene Daten müssen sachlich richtig und aktuell sein. Unrichtige Daten müssen unverzüglich gelöscht oder berichtigt werden.
5. Speicherbegrenzung
Daten dürfen nur so lange gespeichert werden, wie es für den Verarbeitungszweck erforderlich ist. Danach müssen sie gelöscht werden, es sei denn, gesetzliche Aufbewahrungspflichten stehen dem entgegen.
6. Integrität und Vertraulichkeit
Daten müssen durch geeignete technische und organisatorische Maßnahmen vor unbefugter Verarbeitung, Verlust, Zerstörung oder Schädigung geschützt werden.
7. Rechenschaftspflicht
Der Verantwortliche muss die Einhaltung aller Grundsätze nachweisen können. Dies erfordert eine umfassende Dokumentation aller Datenverarbeitungsprozesse.
Pflichten für Unternehmen
Die DSGVO verpflichtet Unternehmen zu einer Reihe von Maßnahmen, um den Datenschutz zu gewährleisten. Die wichtigsten Pflichten im Überblick.
Verzeichnis von Verarbeitungstätigkeiten
Jedes Unternehmen muss ein Verzeichnis aller Verarbeitungstätigkeiten führen. Dieses Verzeichnis dokumentiert, welche personenbezogenen Daten zu welchen Zwecken verarbeitet werden, wer Zugriff hat und wie lange die Daten gespeichert werden. Das Verzeichnis muss auf Anfrage der Aufsichtsbehörde vorgelegt werden können.
Datenschutzbeauftragter
Unternehmen müssen einen Datenschutzbeauftragten benennen, wenn sie regelmäßig und systematisch personenbezogene Daten in großem Umfang verarbeiten oder wenn die Kerntätigkeit in der Verarbeitung besonderer Kategorien von Daten besteht. Für viele KMUs ist ein externer Datenschutzbeauftragter die praktikabelste Lösung, da er das erforderliche Fachwissen mitbringt und unabhängig ist.
Datenschutz-Folgenabschätzung
Wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, muss vorab eine Datenschutz-Folgenabschätzung durchgeführt werden. Dies betrifft insbesondere neue Technologien, umfangreiche Profiling-Aktivitäten oder die Verarbeitung sensibler Daten in großem Umfang.
Meldepflicht bei Datenpannen
Datenschutzverletzungen müssen innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden, wenn sie voraussichtlich ein Risiko für die Rechte und Freiheiten der betroffenen Personen zur Folge haben. Bei hohem Risiko müssen auch die betroffenen Personen informiert werden. Dies erfordert klare Prozesse und schnelle Reaktionszeiten im Unternehmen.
Technische und organisatorische Maßnahmen (TOM)
Artikel 32 DSGVO verpflichtet Unternehmen zu geeigneten technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehören:
Pseudonymisierung und Verschlüsselung
Personenbezogene Daten sollten verschlüsselt gespeichert und übertragen werden. Pseudonymisierung reduziert das Risiko bei Datenpannen.
Vertraulichkeit
Zugriff auf personenbezogene Daten nur für berechtigte Personen. Implementierung von Benutzerrechten und Zugriffskontrollsystemen.
Integrität
Schutz vor unbefugter Veränderung oder Löschung von Daten durch Versionierung, Protokollierung und Integritätsprüfungen.
Verfügbarkeit und Belastbarkeit
Regelmäßige Backups, Notfallkonzepte und redundante Systeme zur Sicherstellung der Verfügbarkeit.
Verfahren zur Überprüfung und Bewertung
Regelmäßige Tests, Audits und Überprüfungen der technischen und organisatorischen Maßnahmen.
Rechte der betroffenen Personen
Die DSGVO stärkt die Rechte der betroffenen Personen erheblich. Unternehmen müssen in der Lage sein, diese Rechte zeitnah zu erfüllen.
Betroffenenrechte nach DSGVO
Auskunftsrecht (Art. 15)
Betroffene können Auskunft darüber verlangen, welche Daten über sie verarbeitet werden.
Berichtigungsrecht (Art. 16)
Betroffene können die Berichtigung unrichtiger Daten verlangen.
Löschungsrecht / "Recht auf Vergessenwerden" (Art. 17)
Unter bestimmten Voraussetzungen können Betroffene die Löschung ihrer Daten verlangen.
Recht auf Einschränkung der Verarbeitung (Art. 18)
Betroffene können verlangen, dass ihre Daten nur noch gespeichert, aber nicht mehr verarbeitet werden.
Recht auf Datenübertragbarkeit (Art. 20)
Betroffene können ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten.
Widerspruchsrecht (Art. 21)
Betroffene können der Verarbeitung ihrer Daten widersprechen, insbesondere bei Direktwerbung.
DSGVO-Compliance-Checkliste für KMUs
Mit dieser Checkliste können Sie systematisch prüfen, ob Ihr Unternehmen die DSGVO-Anforderungen erfüllt. Die Checkliste deckt alle wesentlichen Bereiche ab.
DSGVO-Compliance-Checkliste
Fazit und Handlungsempfehlungen
DSGVO-Compliance ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Die Anforderungen sind umfangreich, aber mit systematischem Vorgehen gut umsetzbar. Wichtig ist, dass Datenschutz nicht als lästige Pflicht, sondern als Chance zur Vertrauensbildung bei Kunden und Geschäftspartnern verstanden wird.
Beginnen Sie mit einer Bestandsaufnahme: Erstellen Sie das Verzeichnis von Verarbeitungstätigkeiten und identifizieren Sie Schwachstellen. Priorisieren Sie Maßnahmen nach Risiko und Aufwand. Besonders wichtig sind technische Maßnahmen wie Verschlüsselung, Zugriffskontrolle und Backup-Strategien. Investieren Sie in Schulungen für Mitarbeiter, denn viele Datenschutzverstöße entstehen durch Unwissenheit. Holen Sie sich professionelle Unterstützung durch einen externen Datenschutzbeauftragten, wenn Sie nicht über das erforderliche Fachwissen verfügen.