DSGVO-Compliance für dein Unternehmen

Die DSGVO (Datenschutz-Grundverordnung, EU-Verordnung 2016/679) ist die zentrale europäische Datenschutzverordnung, die seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten gilt. Sie regelt den Schutz personenbezogener Daten und gewährt Betroffenen umfangreiche Rechte wie Auskunft, Löschung und Datenübertragbarkeit.

Die DSGVO gilt für alle Unternehmen und Organisationen, die personenbezogene Daten von EU-Bürgern verarbeiten, unabhängig davon, ob sie ihren Sitz in der EU haben oder nicht (Marktortprinzip). In der Praxis betrifft die DSGVO nahezu jedes Unternehmen, das in der EU tätig ist.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören Name, E-Mail-Adresse, IP-Adresse, Standortdaten, Cookies, Gesundheitsdaten, biometrische Daten und vieles mehr. Die Definition ist bewusst weit gefasst.

Das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) dokumentiert alle Prozesse, bei denen personenbezogene Daten verarbeitet werden. Es muss Zweck, Rechtsgrundlage, Kategorien von Betroffenen und Daten, Empfänger, Löschfristen und technische Schutzmaßnahmen enthalten. Es ist Pflicht für jeden Verantwortlichen und Auftragsverarbeiter.

Nach § 38 BDSG ist ein Datenschutzbeauftragter (DSB) Pflicht, wenn mindestens 20 Personen regelmäßig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Mitarbeiterzahl ist ein DSB auch erforderlich, wenn umfangreiche Verarbeitungen besonderer Datenkategorien (Art. 9 DSGVO) oder systematische Überwachung stattfindet.

Eine Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO) ist eine Risikoanalyse, die durchgeführt werden muss, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Typische Fälle: Videoüberwachung, Scoring, Profiling, umfangreiche Verarbeitung besonderer Datenkategorien.

Betroffene haben nach Art. 15–22 DSGVO umfangreiche Rechte: Auskunftsrecht (Art. 15), Recht auf Berichtigung (Art. 16), Recht auf Löschung/Vergessenwerden (Art. 17), Recht auf Einschränkung (Art. 18), Recht auf Datenübertragbarkeit (Art. 20), Widerspruchsrecht (Art. 21) und Recht gegen automatisierte Entscheidungen (Art. 22). Die Antwortfrist beträgt einen Monat.

Bei einer Verletzung des Schutzes personenbezogener Daten (Datenpanne) muss der Verantwortliche die zuständige Aufsichtsbehörde innerhalb von 72 Stunden benachrichtigen (Art. 33 DSGVO). Betroffene müssen benachrichtigt werden, wenn ein hohes Risiko für ihre Rechte besteht (Art. 34). Alle Datenpannen müssen dokumentiert werden.

Die DSGVO sieht zwei Bußgeldrahmen vor: Bis zu 10 Mio. EUR oder 2% des weltweiten Jahresumsatzes für Verstöße gegen organisatorische Pflichten, und bis zu 20 Mio. EUR oder 4% des Jahresumsatzes für schwerwiegende Verstöße wie die Verletzung von Betroffenenrechten oder unzulässige Datenverarbeitung. Prominente Fälle: Meta (1,2 Mrd. EUR), Amazon (746 Mio. EUR).

Kopexa bietet ein vorgeladenes DSGVO-Framework mit allen Anforderungen, einen Maßnahmenkatalog mit Best-Practice-TOMs, Vorlagen für Verarbeitungsverzeichnis und AVVs, integriertes Vendor-Management für Auftragsverarbeiter, Cross-Mapping zu ISO 27001 und NIS2, sowie zentrale Evidence Collection für die Audit-Readiness. Die Gap-Analyse zeigt sofort, wo Handlungsbedarf besteht.