Die Datenschutz-Grundverordnung, Verordnung (EU) 2016/679, betrifft praktisch jedes Unternehmen, denn personenbezogene Daten fallen überall an: in der Kundendatenbank, in der Personalverwaltung, in E-Mails und in Protokolldateien. Als EU-Verordnung gilt sie direkt. Nationale Gesetze wie das österreichische Datenschutzgesetz (DSG) oder das deutsche Bundesdatenschutzgesetz (BDSG) ergänzen sie in einzelnen Punkten. Auch Unternehmen außerhalb der EU können erfasst sein, etwa wenn sie Personen in der EU Waren oder Dienstleistungen anbieten.
Die Aufsicht liegt bei nationalen Behörden, in Österreich bei der Datenschutzbehörde. Bei schweren Verstößen sind Geldbußen von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes möglich, je nachdem, welcher Betrag höher ist.
Wie die DSGVO aufgebaut ist
Im Zentrum stehen die Grundsätze aus Art. 5:
- Rechtmäßigkeit und Transparenz: Jede Verarbeitung braucht eine Rechtsgrundlage, etwa einen Vertrag, eine gesetzliche Pflicht, ein berechtigtes Interesse oder eine Einwilligung. Betroffene sind zu informieren.
- Zweckbindung, Datenminimierung und Richtigkeit: nur so viele Daten wie für den festgelegten Zweck nötig, und diese sachlich richtig.
- Speicherbegrenzung: Daten werden gelöscht, wenn der Zweck entfällt und keine Aufbewahrungspflicht entgegensteht.
- Integrität und Vertraulichkeit: Schutz durch technische und organisatorische Maßnahmen.
- Rechenschaftspflicht: Das Unternehmen muss die Einhaltung nachweisen können.
Betroffene haben unter anderem Rechte auf Auskunft, Berichtigung, Löschung und Widerspruch. Zu den Pflichten von Unternehmen gehören ein Verzeichnis der Verarbeitungstätigkeiten, Verträge zur Auftragsverarbeitung mit Dienstleistern und die Meldung von Datenschutzverletzungen an die Aufsichtsbehörde, grundsätzlich binnen 72 Stunden.
Typische Beispiele
- Ein Kunde verlangt Auskunft über seine gespeicherten Daten. Die Antwort ist grundsätzlich innerhalb eines Monats fällig.
- Ein Notebook mit unverschlüsselten Kundendaten wird gestohlen. Das ist eine Datenschutzverletzung, die zu bewerten und gegebenenfalls zu melden ist.
- Vor der Einführung eines neuen Cloud-Dienstes werden Rechtsgrundlage, Auftragsverarbeitung, Speicherort und gegebenenfalls eine Datenschutz-Folgenabschätzung geklärt.
- Beim Einsatz von KI-Werkzeugen werden personenbezogene Daten vorab reduziert oder pseudonymisiert.
Worauf Unternehmen achten sollten
- Ein aktuelles Verzeichnis der Verarbeitungstätigkeiten führen und Zuständigkeiten festlegen.
- Abläufe für Auskunftsanfragen und Datenpannen vorbereiten, damit Fristen eingehalten werden.
- Lösch- und Aufbewahrungsfristen festlegen und technisch umsetzen.
- Dienstleister prüfen, besonders bei Datenübermittlungen in Länder außerhalb des EWR.
- Prüfen, ob eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter zu benennen ist.
Dieser Eintrag ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.