DSGVO

DSGVO Gesetz

DSGVO ist eine Abkürzung für Datenschutz-Grundverordnung. Vollständig wird die DSGVO als Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) bezeichnet.

Bei der DSGVO handelt es sich um eine europarechtliche Verordnung.

Die europarechtlich beschlossenen Verordnungen müssen nicht erst in nationale Gesetze umgesetzt werden. Daher gilt die DSGVO auch in dem EU-Mitgliedstaat Deutschland unmittelbar als gesetzliche Regelung.

Die Datenschutz-Grundverordnung ist am 25. Mai 2016 beschlossen worden und beansprucht gem. Art. 99 Abs. 2 DSGVO ab dem 25. Mai 2018 Geltung. Durch die zwei dazwischenliegenden Jahre wurde den Unternehmen ermöglicht, die Regelungen und Anforderungen der DSGVO umzusetzen.

DSGVO Anwendungsbereich

Für wen und unter welchen Umständen der Anwendungsbereich der DSGVO eröffnet ist, ist in Art. 2 und Art. 3 DSGVO geregelt. In Art. 1 Abs. 1 DSGVO wird deutlich gemacht, dass die Verordnung für den Schutz natürlicher Personen gilt.

Die DSGVO ist daher in allen Fällen der Verarbeitung personenbezogener Daten durch eine elektronische Datenverarbeitung oder analoger Datensammlungen von allen Unternehmen zu beachten.

DSGVO Zusammenfassung

Wichtige Regelungen der DSGVO sind unter anderem:

• Gegenstand und Ziele der Verordnung, Art. 1 DSGVO: Schutz der Privatsphäre und des allgemeinen Persönlichkeitsrechts
• Sachlicher und räumlicher Anwendungsbereich, Art. 2, 3 DSGVO: findet Anwendung bei jeder Verarbeitung personenbezogener Daten durch Unternehmen
• Begriffsbestimmungen, Art. 4 DSGVO: Definitionen wichtiger Begriffe der Verordnung
• Grundsätze der rechtmäßigen Verarbeitung personenbezogener Daten, Art. 5 ff. DSGVO: genau bestimmte Voraussetzungen, die eingehalten werden müssen, damit persönliche Daten verarbeitet und verwendet werden dürfen
• Rechte der betroffenen Personen, Art. 12 ff. DSGVO: Möglichkeiten der einzelnen Personen, Rechte einzufordern, die die Verarbeitung ihrer persönlichen Daten betreffen

DSGVO Bedeutung

Die Datenschutz-Grundverordnung soll natürliche Personen bei der Verarbeitung personenbezogener Daten schützen und regelt den freien Verkehr solcher Daten, Art. 1 Abs. 1 DSGVO. Durch die Regelungen der DSGVO werden daher die Rechte der EU-Bürger*innen in Bezug auf ihre persönlichen Daten gestärkt.

Vorrangig hat die DSGVO eine erhebliche Bedeutung im Bereich des Schutzes des Persönlichkeitsrechts der einzelnen natürlichen Personen. Unter die natürlichen Personen fallen auch Arbeitnehmer*innen, weshalb deren Arbeitnehmerdaten geschützt werden.

Insgesamt ist der Zweck und die Bedeutung der DSGVO, dass die Transparenz bei der Erhebung und Verarbeitung von persönlichen Daten verstärkt wird. Dies wird auch in Art. 1 Abs. 2 DSGVO deutlich:

DSGVO Datenschutz

Die DSGVO dient dem Datenschutz der einzelnen natürlichen Personen, also den Menschen, die die Angebote eines Unternehmens nutzen.

Neben offensichtlich illegalen Methoden zur Beschaffung der persönlichen Daten einzelner Menschen, etwa durch Hacking, Phishing oder Viren, gibt es andere Möglichkeiten, persönliche Daten zu nutzen, die auf den ersten Blick nicht illegal erscheinen.

Durch den Datenschutz, der auch in der DSGVO vorgesehen ist, sollen die persönlichen Daten des Einzelnen vor missbräuchlicher Verwendung und Datenverarbeitung geschützt werden. Dieser Datenschutz geht einher mit dem Schutz des Persönlichkeitsrechts, der Privatsphäre und dem Recht auf informationelle Selbstbestimmung. Der Datenschutz dient also dem Schutz von Grundrechten des Einzelnen.

In der DSGVO finden sich viele verschiedene Regelungen, die alle den Zweck des Datenschutzes verfolgen. Von besonderer Bedeutung sind unter anderem:

• der Schutz personenbezogener Daten
• die Anonymisierung
• das Auskunftsrecht
• das Verarbeitungsverzeichnis

DSGVO personenbezogene Daten

Die Datenschutz-Grundverordnung bezieht sich auf den Schutz personenbezogener Daten. Was unter personenbezogenen Daten im Sinne der DSGVO zu verstehen ist, ist in Art. 4 Nr. 1 DSGVO definiert.

Unter personenbezogene Daten fallen also alle Informationen, die sich auf eine natürliche Person beziehen. Dabei reicht die Möglichkeit der Identifizierung der Person aus. Personenbezogene Daten sind damit alle Informationen über eine natürliche Person, die durch ein Unternehmen verarbeitet werden könnten.

Der Schutz der personenbezogenen Daten dient dem Schutz der Privatsphäre der natürlichen Person, da es sich bei den personenbezogenen Daten insbesondere um Informationen handelt, die sich persönlich auf die Person beziehen und privat sind.

Die Grundsätze für die Verarbeitung personenbezogener Daten sind in Art. 5 DSGVO geregelt. Demnach müssen personenbezogene Daten unter Wahrung der folgenden Grundsätze verarbeitet werden:

• Rechtmäßigkeit
• Verarbeitung nach Treu und Glauben
• Transparenz
• Zweckbindung
• Datenminimierung
• Richtigkeit
• Speicherbegrenzung
• Integrität
• Vertraulichkeit
• Rechenschaftspflicht

Unter welchen Voraussetzungen die Verarbeitung der personenbezogenen Daten rechtmäßig ist, ist in Art. 6 DSGVO festgehalten. Gem. Art. 6 Abs. 1 S. 1 DSGVO muss mindestens eine der nachfolgenden Bedingungen erfüllt sein.

• Vorliegen der Einwilligung zu der Verarbeitung ihrer personenbezogenen Daten durch die betroffene Person
• Erforderlichkeit der Verarbeitung für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist
• Notwendigkeit der Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt
• Erforderlichkeit der Verarbeitung, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen
• Notwendigkeit der Verarbeitung für die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt

DSGVO Anonymisierung

Im Erwägungsgrund 26 S. 5 der DSGVO ist geregelt, dass die Vorschriften der Datenschutz-Grundverordnung nicht auf anonymisierte Informationen oder Daten angewendet werden kann.

Wenn aufgrund der Anonymisierung nicht erkennbar ist, welcher Person die Daten zuzuordnen sind, kann auch nicht in die Privatsphäre oder das Allgemeine Persönlichkeitsrecht dieser Person eingegriffen werden, wenn die Daten veröffentlicht werden. Daher muss sich bei der Verarbeitung anonymisierter Daten auch nicht an die Vorschriften der DSGVO gehalten werden.

Es handelt sich somit um anonymisierte Daten, auf die die Datenschutz-Grundverordnung nicht anwendbar ist. Das Unternehmen muss keine Einwilligung der Befragten zur Datenverarbeitung einholen.

DSGVO Auskunftsrecht

Ein Auskunftsrecht betroffener Personen ist in Art. 15 DSGVO geregelt. In Art. 15 Abs. 1 DSGVO heißt es:

Das Auskunftsrecht richtet sich also gegen denjenigen, der die personenbezogenen Daten veröffentlicht hat. Es erstreckt sich zunächst auf:

• das Auskunftsrecht darüber, ob personenbezogene Daten verarbeitet werden

Falls dies der Fall sein sollte, kann die betreffende Person Folgendes verlangen:

• Auskunft über diese personenbezogenen Daten
• Verarbeitungszwecke
• Kategorien personenbezogener Daten
• Empfänger
• geplante Dauer der Speicherung
• Bestehen eines Rechts auf Berichtigung oder Löschung
• Bestehen eines Beschwerderechts

Durch das Auskunftsrecht kann die betroffene Person weitere Rechte wie die Berichtigung oder Löschung der Daten geltend machen. Wird ihr keine Auskunft gewährt, muss der Verantwortliche ein Bußgeld zahlen.

Die Auskunft muss der Verantwortliche gem. Art. 12 Abs. 1 S. 1 DSGVO in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache übermitteln. Dabei erfolgt die Übermittlung der Informationen schriftlich oder in anderer Form, wobei sie auch mündlich verlangt werden kann, Art. 12 Abs. 1 S. 2, S. 3 DSGVO. Die Auskunft muss gem. Art. 12 Abs. 3 DSGVO unverzüglich, aber spätestens innerhalb eines Monats nach Eingang des Antrags zur Verfügung gestellt werden.

DSGVO Verarbeitungsverzeichnis

Die Verpflichtung zur Führung eines Verarbeitungsverzeichnisses ergibt sich aus Art. 30 Abs. 1 S. 1 DSGVO:

Es wird also von den verantwortlichen Unternehmen verlangt, dass sie ein Verarbeitungsverzeichnis anlegen.

Dabei dient das Verarbeitungsverzeichnis der Transparenz über die Verarbeitung personenbezogener Daten. Zudem kann das Unternehmen nachweisen, dass es die persönlichen Daten in korrekter Weise nutzt, sodass das Verarbeitungsverzeichnis der rechtlichen Absicherung des Unternehmens dient. Es kann nachgewiesen werden, dass die Vorschriften der Datenschutz-Grundverordnung eingehalten worden sind.

Ziele und Zwecke, die durch das Verarbeitungsverzeichnis verfolgt werden, sind:

• Transparenz über die Verarbeitung personenbezogener Daten
• Nachweis der korrekten Nutzung personenbezogener Daten
• rechtliche Absicherung des Unternehmens
• Offenlegung der Nutzung der personenbezogenen Daten

Der Verantwortliche muss alle Verarbeitungstätigkeiten dokumentieren. Sobald ein Unternehmen personenbezogene Daten nutzt und verarbeitet, muss diese Nutzung im Verarbeitungsverzeichnis aufgeführt werden.

Was unter einem Unternehmen zu verstehen ist, erfährst Du in Art. 4 Nr. 18 DSGVO. Ein Unternehmen ist:

Es sind also alle Personen, die regelmäßig einer wirtschaftlichen Tätigkeit nachgehen, von der Verpflichtung erfasst, ein Verarbeitungsverzeichnis zu führen. Allerdings sieht die Datenschutz-Grundverordnung bezüglich der Verpflichtung zur Führung eines Verarbeitungsverzeichnisses Ausnahmen vor.

In Art. 30 Abs. 5 DSGVO ist geregelt, dass Unternehmen mit weniger als 250 Mitarbeitenden grundsätzlich kein Verarbeitungsverzeichnis führen müssen. Das gilt nicht in diesen Fällen:

• wenn die von ihnen vorgenommene Verarbeitung ein Risiko für Rechte und Freiheiten der betroffenen Person birgt
• wenn die Verarbeitung nicht nur gelegentlich erfolgt
• wenn eine Verarbeitung besonderer Datenkategorien gem. Art. 9 Abs. 1 DSGVO erfolgt
• wenn personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten verarbeitet werden

In diesen Ausnahmefällen müssen auch Unternehmen mit weniger als 250 Mitarbeitenden ein Verarbeitungsverzeichnis führen.

Zudem muss gem. Art. 30 Abs. 2 DSGVO von den Auftragsverarbeitern ein Verzeichnis zu allen Kategorien von im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung führen.

Welchen Inhalt das Verarbeitungsverzeichnis aufweisen muss, ist in Art. 30 Abs. 1 S. 2 DSGVO aufgeführt. Die Mindestanforderungen an den Inhalt des Verarbeitungsverzeichnisses sind, dass es folgende Angaben enthält:

• Name und Kontaktdaten des Verantwortlichen
• Zwecke der Verarbeitung
• Beschreibung der Kategorien betroffener Personen
• Beschreibung der Kategorien personenbezogener Daten
• Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt werden
• ggf. Übermittlungen von personenbezogenen Daten an ein Drittland
• Fristen für die Löschung der Datenkategorien
• allgemeine Beschreibung der technischen und organisatorischen Maßnahmen zur Erhebung der Daten

Durch die Dokumentation der Nutzung der personenbezogenen Daten kann das Risiko verringert werden, dass der Verantwortliche die Rechte der betroffenen Person verletzt. Indem das Unternehmen nachweisen und genau dokumentieren muss, welche Daten es verarbeitet, kann durch die Aufsichtsbehörde überprüft werden, ob die Datennutzung den Vorschriften der DSGVO entspricht. Für diese Kontrolle ist in Art. 30 Abs. 4 DSGVO vorgesehen, dass der Verantwortliche oder der Auftragsverarbeiter das Verarbeitungsverzeichnis der Aufsichtsbehörde auf Anfrage zur Verfügung stellen.

Die Aufsichtsbehörde ist eine von einem Mitgliedstaat gem. Art. 51 DSGVO eingerichtete unabhängige staatliche Stelle, Art. 4 Nr. 21 DSGVO.

Das verantwortliche Unternehmen muss gegenüber der Aufsichtsbehörde mithilfe des Verarbeitungsverzeichnisses nachweisen, dass es sich an die Vorschriften der DSGVO gehalten hat. Es gehört zur generellen Pflicht des Unternehmens der Aufsichtsbehörde auf Anfrage den Inhalt des Verarbeitungsverzeichnisses zur Verfügung zu stellen.

In Deutschland gibt es mehrere datenschutzrechtliche Überwachungsbehörden, die als Aufsichtsbehörden die Einhaltung der DSGVO durch die privatwirtschaftlichen Unternehmen und in öffentlichen Bereichen überprüfen.