Compliance mit der DSGVO

Einwilligung 

Mit der DSGVO werden die Bedingungen dieser Einwilligung verschärft. So gilt künftig, dass diese Einwilligung „freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich“ bekundet werden muss sowie dass die Verantwortlichen die betreffenden Personen dabei in einer „klaren und einfachen“ Rechtssprache, die „von den anderen Sachverhalten klar zu unterscheiden ist“ ansprechen müssen. Außerdem müssen die Verantwortlichen nachweisen, dass ihre Verfahren DSGVO-konform sind und konsequent umgesetzt werden.

Ihre Kundinnen und Kunden dürfen also nicht zur Einwilligung gezwungen oder in Unkenntnis über ihre Einwilligung zur Verarbeitung ihrer personenbezogenen Daten gelassen werden. Außerdem müssen Ihre Kundinnen und Kunden genau darüber Bescheid wissen, wofür sie ihre Einwilligung geben, und sie müssen im Voraus über ihr Recht zur Widerrufung ihrer Einwilligung informiert werden. Die Einholung einer Einwilligung muss ein eindeutiges Zeichen der Zustimmung beinhalten – Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Personen stellen keine Einwilligung dar. In Zukunft ist es also wichtig, dass Sie Ihre Nutzerinnen und Nutzer im Rahmen des Einwilligungsvorgangs ausreichend informieren.

Neue Rechte für Einzelpersonen

In der Verordnung sind außerdem zwei neue Rechte für betroffene Personen enthalten: ein „Recht auf Vergessenwerden“, durch das Verantwortliche dazu verpflichtet sind, Empfänger über Anfragen auf Löschung zu unterrichten, sowie ein „Recht auf Datenübertragbarkeit“, durch das betroffene Personen eine Kopie ihrer Daten in einem gängigen Format beantragen können. Dies erleichtert es Verbraucherinnen und Verbrauchern, die über sie gespeicherten Daten löschen zu lassen oder eine Kopie der Daten anzufordern.

Antrag auf Auskunftserteilung

Datensubjekte hatten schon immer ein Recht darauf, Zugriff auf ihre Daten anzufordern. Mit der DSGVO werden diese Rechte ausgeweitet. In den meisten Fällen werden Sie für einen Antrag auf Auskunftserteilung keine Gebühren verlangen können, außer Sie können beweisen, dass die dadurch entstehenden Kosten übermäßig hoch sind. Dabei wird auch die Frist für die Bearbeitung eines Antrags auf Auskunftserteilung auf einen Monat verkürzt (diese kann jedoch unter Umständen um zwei Monate verlängert werden). In bestimmten Fällen können Unternehmen die Auskunftserteilung auch ablehnen. Dies gilt allerdings nur, wenn der Antrag als offensichtlich unbegründet oder unverhältnismäßig erachtet werden kann. Für diesen Fall müssen im Unternehmen jedoch klar definierte Verfahren und Richtlinien bestehen und es muss dargelegt werden, warum der Antrag auf Auskunftserteilung die Kriterien zur Ablehnung erfüllt.

„Privacy by Design“ und DPIA

Es gibt einige neue Richtlinien für juristische Personen, die personenbezogene Daten nutzen. Dazu gehört auch die Vorgabe, den Datenschutz bei der Entwicklung neuer Systeme „durch Technikgestaltung“ zu integrieren, sowie die Verpflichtung, bei der Datenverarbeitung mithilfe von „neuen Technologien“ oder bei risikoreichen Vorgehensweisen ein sogenanntes „Data Privacy Impact Assessment“ (DPIA) durchzuführen. Bei einem DPIA oder einer Datenschutz-Folgeabschätzung wird systematisch abgewogen, inwiefern ein Projekt oder eine Initiative Auswirkungen auf die Privatsphäre der Personen hat. Auf diese Weise können Unternehmen mögliche Datenschutzprobleme identifizieren, bevor sie entstehen, und diese noch vor Projektbeginn entschärfen.

Datenschutzbeauftragte

Gemäß DSGVO müssen viele Unternehmen im Hinblick auf die Sicherheit sogenannte Datenschutzbeauftragte (DSB) einsetzen, die sie bei ihren Compliance-Maßnahmen unterstützen. Dies betrifft öffentliche Behörden, Unternehmen, die im Rahmen ihrer Aktivitäten in großem Umfang regelmäßig und systematisch Datensubjekte überwachen, oder Unternehmen, die in großem Umfang sensible personenbezogene Daten verarbeiten.

Verträge und Dokumente zum Datenschutz

Da die DSGVO für mehr Transparenz und Vertrauen steht, müssen Verantwortliche und Auftragsverarbeitende ihre Datenschutzhinweise und -erklärungen sowie sämtliche interne Datenrichtlinien überprüfen und sicherstellen, dass diese DSGVO-konform sind. Werden Drittanbieter mit der Verarbeitung der Daten beauftragt, müssen Verantwortliche sicherstellen, dass die Verträge mit diesen Auftragsverarbeitenden die in Artikel 28 der Verordnung genannten neuen und verpflichtenden Bestimmungen für Auftragsverarbeitende enthalten. Ebenso müssen Auftragsverarbeitende ggf. Änderungen an ihren Kundenverträgen vornehmen, damit diese konform mit der DSGVO sind.

One-Stop-Shop

Eine Bestimmung der DSGVO soll Datenschutzbeauftragten das Leben erleichtern: der „One-Stop-Shop“. Mithilfe dieser neuen DSGVO-Regelung verfügen Unternehmen mit Büros in mehreren EU-Ländern über eine „federführende Aufsichtsbehörde“, die zentral für sie zuständig ist und klare, für alle geltende Anweisungen gibt.

Meldung von Verstößen

Die DSGVO verpflichtet Verantwortliche dazu, im Falle eines Verstoßes gegen den Schutz personenbezogener Daten die zuständige Aufsichtsbehörde binnen 72 Stunden, nachdem der Verstoß bekannt wurde, darüber zu informieren, es sei denn, die Daten sind anonymisiert oder verschlüsselt. Dies bedeutet, dass die Mehrheit der Datenschutzverletzungen der Data Protection Commission gemeldet werden müssen.  Im Falle von Verstößen, die wahrscheinlich zu einem Risiko für Einzelpersonen führen, z. B. Identitätsdiebstahl oder eine Verletzung der Geheimhaltungspflicht, müssen die betroffenen Personen ebenfalls benachrichtigt werden.

Anwendungsbereich

Die DSGVO gilt auch für Unternehmen außerhalb der EU, die ihre Produkte in der EU vermarkten oder das Verhalten von Verbraucherinnern und Verbrauchern in der EU beobachten. Selbst wenn Ihr Unternehmen also außerhalb der EU ansässig ist, Sie aber Daten von Bürgerinnen und Bürgern der EU erfassen und verarbeiten, fällt dies wahrscheinlich in den Geltungsbereich der DSGVO.

Rechenschaftspflicht

Verantwortliche und Auftragsverarbeitende müssen ihrer lokalen Aufsichtsbehörde nachweisen können, dass sie DSGVO-konform handeln. Die Abläufe müssen aufgezeichnet, implementiert und regelmäßig überprüft werden. Teams sollten dementsprechend geschult sein. Um die Einhaltung zu gewährleisten und nachzuweisen, müssen zudem geeignete technische und organisatorische Maßnahmen vorgenommen werden.

Empfindliche Strafen

Die Bedeutung dieser neuen DSGVO-Regelungen wird durch die Einführung von neuen Sanktionen im Falle eines Verstoßes untermauert. Abhängig von der Art des betreffenden Verstoßes müssen Verantwortliche und Auftragsverarbeitende im Falle einer Verletzung von personenbezogenen Daten oder der Rechte von Datensubjekten ggf. mit Geldbußen von bis zu 20 Millionen Euro oder 4 % ihres Jahresumsatzes rechnen (je nachdem, was größer ist).