Was ist die DSGVO?

Definition

Personenbezogene Daten sind alle Informationen über eine identifizierbare Person. Zwei Rollen zählen: Der Verantwortliche entscheidet, warum und wie Daten genutzt werden, und der Auftragsverarbeiter verarbeitet sie in dessen Auftrag.

Die Geografie kann überraschen. Nach Artikel 3 fällt auch ein Unternehmen außerhalb der EU darunter, wenn es Menschen in der EU Waren oder Dienstleistungen anbietet oder ihr Verhalten dort beobachtet.

Warum es wichtig ist

Artikel 83 erlaubt für die schwersten Verstöße Bußgelder bis zu 20 Millionen € oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Der alltägliche Druck kommt jedoch oft aus dem Vertrieb. Einkäufer wollen vor der Unterschrift einen Auftragsverarbeitungsvertrag und Sicherheitsinformationen.

Wie es funktioniert

Führen Sie das Verzeichnis Ihrer Verarbeitungstätigkeiten (Artikel 30). Geben Sie jeder einen Zweck und eine der sechs Rechtsgrundlagen aus Artikel 6: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigte Interessen.

Wenden Sie die Grundsätze aus Artikel 5 an, informieren Sie die Menschen darüber, was Sie tun, und beantworten Sie ihre Anträge auf Auskunft, Berichtigung, Löschung und dergleichen, in der Regel innerhalb eines Monats (Artikel 12).

Danach kommen die Sicherheit (Artikel 32), die Verträge mit Auftragsverarbeitern (Artikel 28) und die Meldung einer meldepflichtigen Verletzung an die Behörde innerhalb von 72 Stunden (Artikel 33).

Ein Praxisbeispiel

Eine Personalvermittlung erfasst eine Tätigkeit für Bewerbungen. Die Rechtsgrundlage sind vorvertragliche Maßnahmen. Die Aufbewahrung beträgt zwei Jahre nach dem letzten Kontakt, mit einer Begründung, und Empfänger ist ihre Bewerbermanagement-Software, abgedeckt durch einen Auftragsverarbeitungsvertrag.

Wenn ein Bewerber eine Kopie seiner Daten verlangt, wird der Antrag erfasst und innerhalb von drei Wochen beantwortet.

Bewährte Praktiken

• Aktualisieren Sie das Verzeichnis, wenn sich Projekte ändern, solange sich alle noch an die Einzelheiten erinnern.
• Wählen Sie die Rechtsgrundlage vor Beginn der Verarbeitung, denn ein späterer Wechsel ist schwierig.
• Legen Sie für jeden Zweck eine Aufbewahrungsfrist fest und löschen Sie dann tatsächlich.
• Üben Sie eine Datenpanne und einen Antrag einer betroffenen Person, denn beide kommen mit einer Frist.
• Prüfen Sie, wo jeder Auftragsverarbeiter Daten speichert und welches Übermittlungsinstrument greift.

Häufige Fehler

• Überall die Einwilligung zu nutzen. Sie kann jederzeit widerrufen werden, und oft passt eine andere Grundlage besser.
• Eine Datenschutzerklärung zu kopieren, die nicht zu dem passt, was Sie tun, wodurch aus einem Papierproblem ein Verstoß gegen die Transparenz wird.
• Daten „für alle Fälle“ aufzubewahren, entgegen dem Grundsatz der Speicherbegrenzung.
• Zu vergessen, dass ein verlorener Laptop eine Verletzung des Schutzes personenbezogener Daten sein kann.

Fragen

Gilt die DSGVO für kleine Unternehmen?

Ja. Die Größe erleichtert nur einige Pflichten, etwa die begrenzte Ausnahme vom Verarbeitungsverzeichnis nach Artikel 30 Absatz 5.

Ist ein Datenschutzbeauftragter Pflicht?

Nur in den Fällen von Artikel 37: Behörden, umfangreiche regelmäßige Überwachung und umfangreiche Verarbeitung besonderer Kategorien von Daten. Nationales Recht kann weitere Fälle vorsehen.

Muss jede Datenpanne gemeldet werden?

Nein. Sie geht an die Behörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Menschen, und an die Betroffenen, wenn das Risiko hoch ist (Artikel 34). Alle Verletzungen müssen intern dokumentiert werden.

Dürfen personenbezogene Daten außerhalb der EU übermittelt werden?

Ja, nach Kapitel V: ein Angemessenheitsbeschluss, geeignete Garantien wie Standardvertragsklauseln oder begrenzte Ausnahmen.

Was unterscheidet Verantwortlichen und Auftragsverarbeiter?

Der Verantwortliche entscheidet über Zwecke und Mittel. Der Auftragsverarbeiter handelt nach dessen Weisungen und hat eigene direkte Pflichten.