DSGVO (Datenschutz-Grundverordnung)

Die Datenschutz-Grundverordnung (DSGVO) – Verordnung (EU) 2016/679 – ist das zentrale Datenschutzgesetz der Europäischen Union und gilt seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten. Sie regelt den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und den freien Datenverkehr innerhalb der EU. Als Verordnung mit unmittelbarer Wirkung hat die DSGVO nationale Datenschutzgesetze weitgehend abgelöst und einen einheitlichen europäischen Rechtsrahmen geschaffen, der weltweit als Maßstab für Datenschutzgesetzgebung gilt.

Was ist die DSGVO?

Die DSGVO verfolgt zwei zentrale Ziele: den Schutz der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere ihres Rechts auf Schutz personenbezogener Daten – sowie die Gewährleistung des freien Verkehrs personenbezogener Daten innerhalb der Union. Sie basiert auf sieben Grundsätzen der Datenverarbeitung: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Ergänzt wird dies durch den Grundsatz der Rechenschaftspflicht, der Verantwortliche verpflichtet, die Einhaltung aller Grundsätze nachweisen zu können.

Wen betrifft die DSGVO?

Die DSGVO gilt für alle Organisationen – unabhängig von ihrer Größe oder Rechtsform – die personenbezogene Daten von EU-Bürgern verarbeiten. Dies umfasst:

• Verantwortliche: Jede Stelle, die über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet – von multinationalen Konzernen bis zu Einzelunternehmern.
• Auftragsverarbeiter: Dienstleister, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten (z. B. Cloud-Anbieter, IT-Dienstleister, Lohnbüros).
• Drittlandsunternehmen: Auch Unternehmen außerhalb der EU unterliegen der DSGVO, wenn sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten (Marktortprinzip).

Die Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung, wenn die Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

Kernforderungen

Die DSGVO stellt umfassende Anforderungen an die Verarbeitung personenbezogener Daten:

• Rechtsgrundlage: Jede Datenverarbeitung benötigt eine gültige Rechtsgrundlage – Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse oder berechtigte Interessen (Art. 6).
• Betroffenenrechte: Umfangreiche Rechte für betroffene Personen, darunter Auskunftsrecht, Recht auf Berichtigung, Recht auf Löschung, Recht auf Einschränkung der Verarbeitung, Recht auf Datenübertragbarkeit und Widerspruchsrecht.
• Datenschutz durch Technikgestaltung: Privacy by Design und Privacy by Default müssen in alle Verarbeitungstätigkeiten integriert werden (Art. 25).
• Verzeichnis von Verarbeitungstätigkeiten: Dokumentation aller Datenverarbeitungsvorgänge mit detaillierten Angaben zu Zweck, Kategorien, Empfängern und Löschfristen (Art. 30).
• Datenschutz-Folgenabschätzung: Bei Verarbeitungen mit voraussichtlich hohem Risiko ist eine DSFA durchzuführen (Art. 35).
• Datenschutzbeauftragter: Pflicht zur Benennung eines DSB unter bestimmten Voraussetzungen, insbesondere bei Behörden, umfangreicher systematischer Überwachung oder Verarbeitung besonderer Datenkategorien (Art. 37).
• Meldepflicht bei Datenschutzverletzungen: Verletzungen des Schutzes personenbezogener Daten müssen innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde gemeldet werden (Art. 33). Bei hohem Risiko sind auch die betroffenen Personen zu benachrichtigen (Art. 34).
• Auftragsverarbeitung: Strenge Anforderungen an Verträge mit Auftragsverarbeitern, einschließlich technischer und organisatorischer Maßnahmen (Art. 28).
• Internationaler Datentransfer: Übermittlungen in Drittländer nur bei Vorliegen eines Angemessenheitsbeschlusses, geeigneter Garantien (z. B. Standardvertragsklauseln) oder Ausnahmen (Art. 44-49).

Sanktionen

Die DSGVO sieht ein zweistufiges Bußgeldsystem vor: Verstöße gegen bestimmte Pflichten (z. B. technische Maßnahmen, Verzeichnisse, Datenschutzbeauftragter) können mit bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes geahndet werden. Bei Verstößen gegen die Grundsätze der Verarbeitung, die Betroffenenrechte oder die Vorschriften zur Datenübermittlung in Drittländer drohen bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes. Die Aufsichtsbehörden verfügen zudem über weitreichende Befugnisse zur Untersuchung, Anordnung von Maßnahmen und Verhängung von Verarbeitungsverboten.