Was ist die DSGVO?
Die DSGVO legt fest, unter welchen Bedingungen Unternehmen, Behörden und Vereine Daten über Menschen erheben, nutzen, weitergeben und löschen dürfen, und welche Rechte die betroffenen Personen dabei haben. Sie ist die Verordnung (EU) 2016/679 und gilt seit dem 25. Mai 2018. Als Verordnung wirkt sie ohne Umsetzungsgesetz in allen Mitgliedstaaten.
Wo die Verordnung den Mitgliedstaaten Spielraum lässt, füllen nationale Gesetze ihn aus: in Deutschland das BDSG, in Österreich das Datenschutzgesetz (DSG). Die Schweiz gehört nicht zur EU und hat ein eigenes Datenschutzgesetz (DSG, SR 235.1), in Kraft seit dem 1. September 2023. Für ein Schweizer Unternehmen gilt die DSGVO nur, wenn das Marktortprinzip des Art. 3 Abs. 2 greift.
Gilt die DSGVO für Ihr Unternehmen?
Prüfen Sie die Anwendbarkeit in vier Fragen. Erst wenn alle vier zur Anwendung führen, gilt die Verordnung für die betreffende Verarbeitung.
| Frage | Fundstelle | Gilt, wenn | Beispiel |
|---|---|---|---|
| 1. Geht es um personenbezogene Daten? | Art. 4 Nr. 1 | sich die Information auf eine identifizierte oder identifizierbare natürliche Person bezieht | Name, Personalnummer, IP-Adresse, Gerätekennung |
| 2. Werden sie automatisiert oder in einem Dateisystem verarbeitet? | Art. 2 Abs. 1 | ganz oder teilweise automatisiert oder in einem geordneten Dateisystem | CRM, E-Mail, geordnete Personalakten |
| 3. Greift keine Ausnahme? | Art. 2 Abs. 2 | weder die Haushaltsausnahme (Buchst. c) noch die Strafverfolgung durch Behörden (Buchst. d) vorliegt | Die Haushaltsausnahme gilt nur für natürliche Personen bei ausschließlich persönlichen oder familiären Tätigkeiten, nicht für ein Unternehmen. |
| 4. Besteht ein räumlicher Bezug zur EU? | Art. 3 | eine Niederlassung in der EU verarbeitet (Abs. 1) oder Personen in der EU Waren oder Dienstleistungen angeboten oder ihr Verhalten beobachtet wird (Abs. 2) | Ein Schweizer Onlineshop liefert an Kunden in Deutschland. |
Eine Größenschwelle für die Geltung gibt es nicht. Schwellen wie die 250 Beschäftigten in Art. 30 Abs. 5 oder die 20 Personen in § 38 BDSG betreffen einzelne Pflichten, nicht die Verordnung als Ganzes. Ein Unternehmen ohne Niederlassung in der EU, das unter Art. 3 Abs. 2 fällt, benennt nach Art. 27 einen Vertreter in der Union, sofern keine Ausnahme nach Abs. 2 greift.
Die Grundsätze des Art. 5
Art. 5 ist der Maßstab für jede Verarbeitung. Wer eine Verarbeitung nicht entlang dieser Grundsätze begründen kann, hat ein Rechtmäßigkeitsproblem, das sich mit Dokumentation nicht beheben lässt.
| Grundsatz | Was er verlangt |
|---|---|
| Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz | Rechtsgrundlage und verständliche Information der betroffenen Person |
| Zweckbindung | Zweck vor der Erhebung festlegen, keine unvereinbare Weiterverarbeitung |
| Datenminimierung | nur Daten, die für den Zweck erforderlich sind |
| Richtigkeit | Daten aktuell halten, Unrichtiges berichtigen oder löschen |
| Speicherbegrenzung | Daten nur so lange identifizierbar aufbewahren, wie der Zweck es erfordert |
| Integrität und Vertraulichkeit | angemessener Schutz vor Verlust und unbefugtem Zugriff |
| Rechenschaftspflicht | der Verantwortliche muss die Einhaltung nachweisen können (Art. 5 Abs. 2) |
Welche Rechtsgrundlage braucht eine Verarbeitung, und welche Rechte haben Betroffene?
Jede Verarbeitung braucht eine der sechs Rechtsgrundlagen des Art. 6 Abs. 1: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigtes Interesse. Für besondere Kategorien wie Gesundheitsdaten oder die Gewerkschaftszugehörigkeit gilt zusätzlich das Verbot des Art. 9 mit seinen Ausnahmen.
Die Betroffenenrechte umfassen Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Der Verantwortliche antwortet nach Art. 12 Abs. 3 unverzüglich, spätestens innerhalb eines Monats. Bei komplexen oder zahlreichen Anträgen kann er um zwei Monate verlängern und informiert darüber innerhalb des ersten Monats.
Welche Pflichten folgen aus der DSGVO?
Für den Betrieb ergeben sich vor allem diese Pflichten:
- ein Verzeichnis von Verarbeitungstätigkeiten (Art. 30);
- technische und organisatorische Maßnahmen, bemessen am Risiko für die betroffenen Personen (Art. 32);
- eine Datenschutz-Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko birgt (Art. 35);
- ein Vertrag nach Art. 28 Abs. 3 mit jedem Dienstleister, der Daten im Auftrag verarbeitet;
- die Meldung einer Datenpanne an die zuständige Aufsichtsbehörde, unverzüglich und möglichst binnen 72 Stunden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko (Art. 33);
- die Benachrichtigung der betroffenen Personen bei voraussichtlich hohem Risiko (Art. 34);
- ein Datenschutzbeauftragter nach Art. 37, in Deutschland nach § 38 Abs. 1 BDSG auch, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
Welcher Bußgeldrahmen gilt?
Art. 83 sieht zwei Rahmen vor; welcher gilt, hängt an der verletzten Vorschrift. Maßgeblich ist jeweils der höhere der beiden Beträge.
| Rahmen | Fundstelle | Erfasste Verstöße | Beispiel |
|---|---|---|---|
| bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes | Art. 83 Abs. 4 Buchst. a | Pflichten der Verantwortlichen und Auftragsverarbeiter nach Art. 8, 11, 25 bis 39, 42 und 43 | fehlendes Verarbeitungsverzeichnis, verspätete Meldung einer Datenpanne |
| bis 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes | Art. 83 Abs. 5 | unter anderem Grundsätze und Rechtsgrundlagen (Art. 5, 6, 7, 9), Betroffenenrechte (Art. 12 bis 22), Übermittlungen in Drittländer (Art. 44 bis 49) | Verarbeitung ohne Rechtsgrundlage, unbeantwortetes Auskunftsersuchen |
Verstößt ein Unternehmen bei gleichen oder verbundenen Verarbeitungsvorgängen gegen mehrere Vorschriften, übersteigt die Geldbuße nach Art. 83 Abs. 3 nicht den Betrag für den schwerwiegendsten Verstoß. Zuständig sind in Deutschland für nichtöffentliche Stellen die Aufsichtsbehörden der Länder (§ 40 Abs. 1 BDSG).
DSGVO in Rizzqo
In Rizzqo kennzeichnen Sie, welche Informationen und Prozesse personenbezogene Daten enthalten, etwa Kundendaten oder die Lohnabrechnung, und welche Arten. Jedes damit verknüpfte System und jeder Dienst eines Dienstleisters zeigt das ebenfalls. So sehen Sie, wo personenbezogene Daten liegen, etwa für Ihr Verzeichnis nach Art. 30 oder bei der Prüfung einer Datenpanne nach Art. 33.