Die DSGVO regelt, wie Unternehmen in der EU personenbezogene Daten erheben, verarbeiten und schützen müssen. Sie gilt für jedes Unternehmen, das Daten von EU-Bürgerinnen und -Bürgern verarbeitet.
Die Datenschutz-Grundverordnung ist eine EU-Verordnung, die seit dem 25. Mai 2018 in allen EU-Mitgliedstaaten unmittelbar gilt. Sie löste die europäische Datenschutzrichtlinie von 1995 ab und schafft einen einheitlichen Rechtsrahmen für den Umgang mit personenbezogenen Daten.
Hinter der DSGVO steckt ein einfaches Prinzip: Menschen sollen die Kontrolle über ihre eigenen Daten behalten. Unternehmen müssen nachweisen können, dass sie Daten nur dann verarbeiten, wenn sie dafür einen klaren Rechtsgrund haben.
Die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten von Personen in der EU verarbeitet. Das gilt unabhängig davon, wo das Unternehmen selbst sitzt. Ein Unternehmen in den USA, das Daten von EU-Kunden verarbeitet, fällt genauso unter die Verordnung wie ein KMU in München.
Personenbezogene Daten sind alle Informationen, die sich einer natürlichen Person zuordnen lassen: Name, E-Mail-Adresse, IP-Adresse, Standortdaten oder auch eine Kundennummer, sofern sie einer Person zugeordnet werden kann.
Kurz: Wer Mitarbeiter hat, Kunden betreut oder eine Website betreibt, verarbeitet personenbezogene Daten und ist damit betroffen.
Die DSGVO stellt konkrete Pflichten an Unternehmen. Die wichtigsten im Überblick:
Du musst dokumentieren, welche personenbezogenen Daten du zu welchem Zweck verarbeitest. Das VVT ist die Grundlage jeder Datenschutzprüfung und für die meisten Unternehmen verpflichtend (Art. 30 DSGVO).
Jede Datenverarbeitung braucht einen Rechtsgrund: Einwilligung, Vertragserfüllung, gesetzliche Verpflichtung oder berechtigtes Interesse (Art. 6 DSGVO). Ohne Rechtsgrundlage ist die Verarbeitung unzulässig.
Betroffene Personen müssen wissen, wer ihre Daten verarbeitet, zu welchem Zweck und wie lange. Das passiert typischerweise über eine Datenschutzerklärung (Art. 13 und 14 DSGVO).
Du musst angemessene Sicherheitsmaßnahmen für personenbezogene Daten umsetzen, zum Beispiel Verschlüsselung, Zugriffskontrolle und sichere Authentifizierung (Art. 32 DSGVO).
Verletzt du den Schutz personenbezogener Daten, musst du das innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde melden. Betroffene Personen sind in schwerwiegenden Fällen ebenfalls zu informieren (Art. 33 und 34 DSGVO).
Unternehmen, die regelmäßig und systematisch personenbezogene Daten in großem Umfang verarbeiten oder besondere Kategorien von Daten verarbeiten, müssen einen DSB bestellen (Art. 37 DSGVO). Ein externer DSB ist dabei eine schlanke und rechtssichere Lösung für KMU.
Die DSGVO hat Zähne. Aufsichtsbehörden können bei Verstößen Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist.
Für KMU ist das Bußgeldrisiko selten in dieser Größenordnung, aber Abmahnungen, Reputationsschäden und der Aufwand für nachtрägliche Korrekturen sind teuer genug. Behörden prüfen heute aktiv, vor allem nach Datenpannen und Beschwerden von Betroffenen.
Datenschutz ist kein einmaliges Projekt, sondern laufende Arbeit. Als externer Datenschutzbeauftragter übernimmt Digimojo die Beratung, Dokumentation und laufende Betreuung deines Datenschutzes. Du bekommst einen festen Ansprechpartner, der deine Situation kennt und dich bei Behördenanfragen, Datenpannen und der laufenden Pflege deiner Dokumentation begleitet.
DigimojoCOMPLY unterstützt dich mit einer strukturierten Plattform für dein Verzeichnis der Verarbeitungstätigkeiten, deine Datenschutzrichtlinien und deine technischen und organisatorischen Maßnahmen.
Schreib uns kurz, worum es geht. Wir melden uns innerhalb von 24 Stunden mit konkreten nächsten Schritten.
