DSGVO

DSGVO, kurz für Datenschutz-Grundverordnung, ist eine Verordnung der Europäischen Union zum Schutz personenbezogener Daten und zu den Regeln für deren Verarbeitung. Sie legt Anforderungen daran fest, wie Unternehmen, Organisationen und Behörden personenbezogene Daten erheben, speichern, verwenden, übermitteln und schützen müssen. Die DSGVO gilt für die Verarbeitung personenbezogener Daten in der EU und im Europäischen Wirtschaftsraum und kann auch Unternehmen außerhalb dieser Regionen betreffen, wenn diese mit Daten von Personen aus diesen Regionen arbeiten.

Personenbezogene Daten sind Informationen, die eine Person direkt oder indirekt identifizieren können. Dazu zählen unter anderem Name, E-Mail-Adresse, Telefonnummer, IP-Adresse, Cookie-Kennungen, Standortdaten, Zahlungsinformationen, Kontodaten, Bestellhistorie oder weitere Daten, die sich auf eine bestimmte Person beziehen.

Das Hauptziel der DSGVO besteht darin, Menschen mehr Kontrolle über ihre Daten zu geben und Organisationen zu verpflichten, diese transparent, rechtmäßig und sicher zu verarbeiten. Die Verordnung gilt nicht nur für digitale Systeme: Die Europäische Kommission weist darauf hin, dass die DSGVO technologieneutral ist und sowohl für automatisierte als auch für manuelle Verarbeitung gilt, sofern die Daten nach bestimmten Kriterien strukturiert sind.

Was die DSGVO regelt

Die DSGVO definiert die Grundsätze der Verarbeitung personenbezogener Daten, die Rechte der Nutzer sowie die Pflichten von Organisationen. Ein Unternehmen muss wissen, welche Daten es erhebt, wozu es sie benötigt, auf welcher Rechtsgrundlage sie verarbeitet werden, wo sie gespeichert werden, wer Zugriff darauf hat und wie lange sie verwendet werden.

Die Verordnung umfasst eine breite Palette von Vorgängen mit Daten. Zur Verarbeitung gehören nicht nur das Erheben von Informationen, sondern auch das Speichern, Ändern, Einsehen, Übermitteln, Löschen, Strukturieren und weitere Vorgänge. Deshalb ist die DSGVO relevant für Websites, SaaS-Plattformen, Online-Shops, CRM-Systeme, Hosting-Anbieter, Cloud-Services, mobile Anwendungen und alle Systeme, in denen Daten von Nutzern, Kunden oder Mitarbeitern verwendet werden.

Zu den Grundsätzen der DSGVO gehören:

• Rechtmäßigkeit, Transparenz und Fairness der Verarbeitung;
• Zweckbindung der Datenverwendung;
• Datenminimierung;
• Richtigkeit und Aktualität der Informationen;
• Speicherbegrenzung;
• Vertraulichkeit und Integrität der Daten;
• Rechenschaftspflicht der Organisation hinsichtlich der Einhaltung der Anforderungen.

Diese Grundsätze bedeuten, dass ein Unternehmen Daten nicht „auf Vorrat“ sammeln, sie nicht für unklare Zwecke nutzen und nicht länger als nötig speichern sollte.

Rechte der Nutzer nach der DSGVO

Die DSGVO gewährt Personen eine Reihe von Rechten in Bezug auf ihre personenbezogenen Daten. Nutzer können Auskunft darüber verlangen, welche Daten über sie gespeichert werden, wozu sie verwendet werden und an wen sie übermittelt werden. In bestimmten Fällen können sie die Berichtigung, Löschung, Einschränkung der Verarbeitung oder die Übertragung der Daten an einen anderen Dienstleister verlangen.

Ein weiteres wichtiges Recht ist der Widerruf der Einwilligung, sofern die Verarbeitung gerade auf einer Einwilligung beruht. Hat sich beispielsweise ein Nutzer für einen E-Mail-Newsletter angemeldet, muss er eine klare Möglichkeit zur Abmeldung haben. Gleichzeitig muss das Unternehmen nachweisen können, dass die Einwilligung ordnungsgemäß eingeholt wurde.

Für Unternehmen bedeutet dies, entsprechende Prozesse aufzubauen: Nutzeranfragen bearbeiten, Einwilligungen dokumentieren, Aufbewahrungsfristen verwalten und Entscheidungen im Zusammenhang mit der Verarbeitung personenbezogener Informationen festhalten.

DSGVO und IT-Infrastruktur

Für die IT-Infrastruktur ist die DSGVO nicht nur als rechtliche Anforderung wichtig, sondern auch als praxisnaher Regelrahmen für das Datenmanagement. Ein Unternehmen muss wissen, wo sich personenbezogene Daten befinden: in Datenbanken, Backups, Logs, CRM-Systemen, Analytics-Diensten, E-Mail-Systemen, Cloud-Speichern und Support-Diensten.

Besonderes Augenmerk liegt auf der Sicherheit. Eine Organisation muss dem Risiko angemessene Maßnahmen ergreifen: Zugriffskontrolle, Verschlüsselung, Backups, Ereignisprotokollierung, Segmentierung der Infrastruktur, regelmäßige Updates und Verfahren zur Reaktion auf Vorfälle. Im Falle einer Datenpanne kann das Unternehmen verpflichtet sein, die Aufsichtsbehörde und in bestimmten Fällen auch die betroffenen Nutzer zu informieren.

Die DSGVO wirkt sich auch auf die Auswahl von Auftragnehmern und Anbietern aus. Verarbeitet ein externes Unternehmen personenbezogene Daten im Auftrag eines Kunden, müssen die Rollen der Parteien, die Verantwortlichkeiten, die Sicherheitsmaßnahmen und die Bedingungen der Datenübermittlung festgelegt werden.

FAQ

🠔 Zurück zum Glossar