Was ist die Datenschutz-Grundverordnung (DSGVO)?

Was ist die Datenschutz-Grundverordnung (DSGVO)?

Die Datenschutz-Grundverordnung (DSGVO) ist ein ausführliches Datenschutzgesetz, das am 25. Mai 2018 in Kraft getreten ist. Die DSGVO schafft einen Rechtsrahmen für die Erhebung, Verarbeitung, Speicherung und Übermittlung von persönlichen Daten. Sie schreibt vor, dass alle persönlichen Daten auf sichere Weise verarbeitet werden müssen. Für Unternehmen, die diese Anforderungen nicht erfüllen, sieht sie Geldbußen und Strafen vor. Außerdem gewährt sie Einzelpersonen eine Reihe von Rechten in Bezug auf ihre persönlichen Daten.

Da die Technik immer fortgeschrittener wird und immer mehr Daten gesammelt werden, ist das Thema Datenschutz ins Rampenlicht gerückt. Zum Zeitpunkt ihrer Verabschiedung war die DSGVO die umfassendste Datenschutzverordnung überhaupt. Sie harmonisierte separate Datenschutzbestimmungen aus der gesamten Europäischen Union (EU) und dehnte den Geltungsbereich dieser Vorschriften auch auf Organisationen außerhalb der EU aus, wenn diese Organisationen in der EU erhobene persönliche Daten verarbeiten.

Die DSGVO gilt für jedes Unternehmen oder jede Organisation unabhängig von ihrem geografischen Standort, wenn das Unternehmen oder die Organisation Waren und Dienstleistungen für Menschen in der EU anbietet oder deren Verhalten innerhalb der EU überwacht.

Wie definiert die DSGVO „personenbezogene Daten“?

Mit der DSGVO wurde der Umfang dessen, was als personenbezogene Daten galt, erweitert und umfasst nun alle Informationen, die sich auf eine natürliche, identifizierbare Person beziehen. Dazu gehören Details, die eindeutig personenbezogen sind, wie z. B. der Name und die Adresse einer Person, aber auch alle anderen Informationen, die zur Identifizierung einer Person verwendet werden können, einschließlich ihrer IP-Adresse und bestimmter Cookie-Kennungen, die mit einer Web-Browsing-Sitzung verbunden sind.

Welche Anforderungen stellt die DSGVO an die Verantwortlichen und Auftragsverarbeiter?

Die DSGVO definiert die für die Datenverarbeitung Verantwortlichen als Stellen, die über die Mittel und Zwecke entscheiden, für die persönliche Daten erhoben und verarbeitet werden, und die Auftragsverarbeiter als Stellen, die persönliche Daten verarbeiten, in der Regel im Auftrag eines Verantwortlichen.

Die DSGVO legt auch sieben Schlüsselprinzipien dafür fest, wie Verantwortliche und Auftragsverarbeiter mit persönlichen Daten umgehen sollten:

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
• Zweckbindung
• Datenminimierung
• Genauigkeit
• Speicherbegrenzung
• Integrität und Vertraulichkeit (Sicherheit)
• Rechenschaftspflicht

Die DSGVO beschreibt diese Grundsätze nicht nur im Detail, sondern verlangt von den Verantwortlichen und Auftragsverarbeitern auch eine Reihe spezifischer Maßnahmen. Hier sind vier dieser Maßnahmen:

• Verzeichnis führen: Auftragsverarbeiter müssen Verzeichnisse über ihre Verarbeitungstätigkeiten führen.
• Sicherheitsmaßnahmen: Verantwortliche und Auftragsverarbeiter müssen regelmäßig geeignete Sicherheitsmaßnahmen anwenden und testen, um die von ihnen erhobenen und verarbeiteten Daten zu schützen.
• Benachrichtigung über Datenschutzverletzungen: Verantwortliche, die von einer Datenschutzverletzung betroffen sind, müssen die zuständigen Behörden innerhalb von 72 Stunden benachrichtigen, abgesehen von einigen Ausnahmen. In der Regel müssen sie auch die Personen benachrichtigen, deren persönliche Daten von der Verletzung betroffen waren.
• Datenschutzbeauftragter (DSB): Unternehmen, die Daten verarbeiten, müssen möglicherweise einen Datenschutzbeauftragten (DSB) einstellen. Der DSB leitet und beaufsichtigt alle Bemühungen zur Einhaltung der DSGVO.

Die vollständigen Anforderungen an Verantwortliche und Auftragsverarbeiter sind in der DSGVO beschrieben.

Welche Rechte haben betroffene Personen gemäß der DSGVO?

Die DSGVO definiert eine betroffene Person als „eine identifizierte oder identifizierbare natürliche Person“. Betroffene Personen haben die folgenden Rechte:

• Recht auf Information: Betroffene Personen müssen leicht verständliche Informationen darüber erhalten, wie ihre persönlichen Daten erhoben und verarbeitet werden
• Recht auf Datenübertragbarkeit: Betroffene Personen können ihre Daten von einem Verantwortlichen zu einem anderen übertragen
• Auskunftsrecht: Betroffene Personen haben das Recht, eine Kopie der gesammelten personenbezogenen Daten zu erhalten
• Recht auf Berichtigung: Betroffene Personen können unzutreffende Daten über sich selbst korrigieren
• Recht auf Löschung: Betroffene Personen können verlangen, dass ihre Daten gelöscht werden (auch Recht auf Vergessenwerden genannt)
• Recht auf Einschränkung der Verarbeitung: Unter bestimmten Umständen können betroffene Personen die Art und Weise der Verarbeitung ihrer persönlichen Daten einschränken
• Widerspruchsrecht: Betroffene Personen haben das Recht, der Verarbeitung ihrer persönlichen Daten zu widersprechen, und unter bestimmten Umständen ist der Verantwortliche oder Auftragsverarbeiter verpflichtet, dem Widerspruch der betroffenen Person Folge zu leisten
• Recht auf Widerspruch gegen die automatisierte Verarbeitung: Betroffene Personen können Widerspruch gegen eine sie rechtlich betreffende Entscheidung einlegen, die ausschließlich auf einer automatisierten Datenverarbeitung beruht

Welche Strafen drohen bei Verstößen gegen die DSGVO?

Die DSGVO beschreibt die Bußgelder, die gegen Unternehmen verhängt werden sollen, die gegen ihre Richtlinien verstoßen.

Die DSGVO sieht zwei Stufen von Geldbußen vor, wobei jede Stufe einer anderen Kategorie von Verstößen entspricht:

• Erste Stufe: Ein Verstoß führt zu einer maximalen Geldstrafe von entweder 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes des Unternehmens, je nachdem, welcher Betrag höher ist.
• Zweite Stufe: Ein Verstoß führt zu einer maximalen Geldstrafe von entweder 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes des Unternehmens, je nachdem, welcher Betrag höher ist.

Zusätzlich zu diesen Bußgeldern können betroffene Personen Schadensersatz verlangen, wenn ein Unternehmen gegen die DSGVO verstößt.

Cloudflare und Datenschutz

Die Aufgabe von Cloudflare ist es, zu einem besseren Internet beizutragen, und Datenschutz kommt dabei eine zentrale Rolle zu. Cloudflare entwickelt seine Produkte nach dem Prinzip „Privacy by Design“ und hat eine Reihe von Diensten zur Verbesserung des Datenschutzes der Nutzer bereitgestellt (darunter die Cloudflare Data Localization Suite). Cloudflare hat außerdem die Validierung des EU Code of Conduct für Datenschutz erhalten – den ersten von der EU offiziell anerkannten DSGVO-Verhaltenskodex. Erfahren Sie mehr über Cloudflare und die DSGVO.