DSGVO: Definition, Erklärung & Beispiele

Die Datenschutz-Grundverordnung (DSGVO) ist eine Verordnung der Europäischen Union, die seit dem 25. Mai 2018 in allen EU-Mitgliedstaaten gilt. Sie regelt die Verarbeitung personenbezogener Daten und soll den Datenschutz für alle Bürger innerhalb der EU stärken. Die DSGVO legt fest, wie Unternehmen und Organisationen mit persönlichen Daten umgehen müssen, um die Privatsphäre der Betroffenen zu schützen.

Die DSGVO funktioniert durch die Festlegung von Prinzipien und Anforderungen, die Unternehmen und Organisationen bei der Verarbeitung personenbezogener Daten einhalten müssen. Dazu gehören unter anderem die Einhaltung von Datenminimierung, Zweckbindung und Speicherbegrenzung. Die Verordnung gibt den Betroffenen auch Rechte wie das Recht auf Auskunft, Löschung und Datenportabilität, die umgesetzt werden müssen.

Die DSGVO wird verwendet, um den Schutz personenbezogener Daten in der Europäischen Union zu gewährleisten. Sie zielt darauf ab, die Rechte der Bürger zu stärken und ihnen mehr Kontrolle über ihre Daten zu geben. Unternehmen müssen sicherstellen, dass sie die Vorgaben der Verordnung einhalten, um Bußgelder und rechtliche Konsequenzen zu vermeiden.

Die zentralen Prinzipien der DSGVO umfassen Datenminimierung, Zweckbindung und Speicherbegrenzung. Datenminimierung bedeutet, dass nur die unbedingt notwendigen Daten erhoben werden dürfen. Zweckbindung besagt, dass Daten nur für festgelegte, legitime Zwecke verarbeitet werden dürfen. Speicherbegrenzung fordert, dass Daten nicht länger als nötig aufbewahrt werden.

Privacy by Design ist ein Konzept der DSGVO, das in Artikel 25 festgelegt ist. Es verlangt, dass Datenschutzmaßnahmen bereits in der Planungsphase von Softwareentwicklungen integriert werden. Dies bedeutet, dass Datenschutz nicht nachträglich hinzugefügt, sondern von Anfang an in den Entwicklungsprozess einfließen muss.

Nach Artikel 32 der DSGVO sind technische und organisatorische Maßnahmen (TOMs) erforderlich, um die Sicherheit personenbezogener Daten zu gewährleisten. Dazu gehört die Verschlüsselung von Daten sowohl bei der Speicherung als auch bei der Übertragung. Zudem müssen Änderungen an Daten nachvollziehbar sein, was durch Auditing erreicht werden kann.

Die DSGVO gewährt den Betroffenen mehrere Rechte, darunter das Recht auf Auskunft, das Recht auf Löschung (Recht auf Vergessenwerden) und das Recht auf Datenportabilität. Unternehmen müssen sicherstellen, dass diese Rechte in ihren Systemen implementiert sind, um den Betroffenen den Zugang zu ihren Daten und die Kontrolle darüber zu ermöglichen.

Ein Auftragsverarbeitungsvertrag (AVV) ist ein rechtliches Dokument, das zwischen einem Datenverantwortlichen und einem Auftragsverarbeiter geschlossen wird. Er regelt die Bedingungen, unter denen der Auftragsverarbeiter personenbezogene Daten im Auftrag des Datenverantwortlichen verarbeitet. Ein solcher Vertrag ist nach Artikel 28 der DSGVO erforderlich, wenn externe Dienstleister eingesetzt werden.

Verstöße gegen die DSGVO können mit erheblichen Strafen geahndet werden. Die Bußgelder können bis zu 4 % des weltweiten Jahresumsatzes eines Unternehmens oder bis zu 20 Millionen Euro betragen, je nachdem, welcher Betrag höher ist. Diese hohen Strafen sollen Unternehmen dazu anregen, den Datenschutz ernst zu nehmen und die Verordnung einzuhalten.

Die DSGVO hat spezifische Anforderungen an die Entwicklung von KI-gestützter Software eingeführt, insbesondere im Hinblick auf Transparenzpflichten. Anbieter müssen offenlegen, welche Daten zur Ausbildung der KI verwendet wurden und wie Entscheidungen getroffen werden. Dies soll sicherstellen, dass die Rechte der Betroffenen auch bei der Nutzung von KI gewahrt bleiben.

Dynamisch vergebene IP-Adressen gelten seit einer Klärung des Europäischen Gerichtshofs im Jahr 2016 als personenbezogene Daten, wenn eine theoretische Zuordnung zur Person möglich ist. Dies bedeutet, dass Unternehmen, die solche IP-Adressen verarbeiten, die Anforderungen der DSGVO einhalten müssen, da sie als personenbezogene Daten betrachtet werden.

Datenschutz muss im gesamten Entwicklungsprozess integriert werden, beginnend mit der Festlegung von Anforderungen, in denen das Risiko-Level definiert wird. Während der Codierung sollten unsichere Module entfernt werden, gefolgt von Sicherheitstests im Testing-Phase. Schließlich muss ein Notfallplan im Release-Prozess vorhanden sein, um auf Datenschutzvorfälle reagieren zu können.

Das Verzeichnis der Verarbeitungstätigkeiten (VVT) ist ein Dokument, das Unternehmen führen müssen, um die Verarbeitung personenbezogener Daten nachzuverfolgen. Es muss Informationen über die Art der verarbeiteten Daten, die Zwecke der Verarbeitung, die Rechtsgrundlagen und die Aufbewahrungsfristen enthalten. Das VVT muss regelmäßig aktualisiert werden, insbesondere bei Änderungen in der Datenverarbeitung.

Die Einwilligung spielt eine zentrale Rolle in der DSGVO, da sie eine der Rechtsgrundlagen für die Verarbeitung personenbezogener Daten darstellt. Die Einwilligung muss freiwillig, spezifisch, informiert und unmissverständlich sein. Unternehmen müssen sicherstellen, dass sie die Einwilligung der Betroffenen ordnungsgemäß einholen und dokumentieren, um die rechtlichen Anforderungen zu erfüllen.

Unternehmen können die DSGVO einhalten, indem sie zunächst eine Bestandsaufnahme ihrer Datenverarbeitungsprozesse durchführen und die notwendigen Anpassungen vornehmen. Dazu gehört die Implementierung technischer und organisatorischer Maßnahmen, die Schulung der Mitarbeiter in Datenschutzfragen und die regelmäßige Überprüfung der Einhaltung der Verordnung durch Audits.