Die Grundlagen der Datenschutz-Grundverordnung (DSGVO)

Was ist die DSGVO überhaupt?

Die Datenschutz-Grundverordnung (DSGVO) oder General Data Protection Regulation (GDPR) ist seit 25. Mai 2018 anwendbar. Sie regelt die Verarbeitung von personenbezogenen Daten in der Europäischen Union.

Die DSGVO hat die seit 1995 geltende EU-Datenschutz-Richtlinie abgelöst. Außerdem hat sie dafür gesorgt, dass unmittelbar geltendes EU-Recht nationale Datenschutz-Gesetze wie das frühere Bundesdatenschutzgesetz (BDSG) ersetzt.

Zusätzlich zur DSGVO soll es eine neue Verordnung zum Datenschutz in der elektronischen Kommunikation (E-Privacy-Verordnung) geben.

Aufgrund zahlreicher Öffnungsklauseln in der DSGVO sind darüber hinaus weiterhin nationale Datenschutz-Gesetze möglich. In Deutschland ist dies das neue Bundesdatenschutzgesetz. Es gilt ebenfalls seit 25. Mai 2018.

Die DSGVO hat Anwendungs-Vorrang vor den nationalen Datenschutz-Gesetzen. Zusätzlich gibt es Fachgesetze wie den Sozialdatenschutz im Sozialgesetzbuch sowie die Datenschutz-Gesetze der einzelnen Bundesländer.

Was regelt die Datenschutz-Grundverordnung?

Die DSGVO soll einen einheitlichen und starken Datenschutz in der EU gewährleisten, ohne den freien Datenverkehr innerhalb der EU zu gefährden.

Die Grundverordnung regelt den Umgang mit personenbezogenen Daten. Genauer: den Schutz personenbezogener Daten bei der ganz oder teilweise automatisierten Verarbeitung. Außerdem regelt sie die nichtautomatisierte (manuelle) Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

Laut Erwägungsgrund 22 heißt es: „Jede Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union sollte gemäß dieser Verordnung erfolgen.“

Die Datenschutz-Grundverordnung stärkt unter anderem die Betroffenenrechte, beispielsweise durch erhöhte Anforderungen an die Transparenz und umfangreichere Informations- und Benachrichtigungs-Pflichten der Unternehmen und Behörden.

Betroffenenrechte wie das Recht auf Daten-Portabilität oder das „Recht auf Vergessenwerden“ erhöhen den Einfluss des oder der Betroffenen auf die Verarbeitung der eigenen Daten.

Was sind die wesentlichen Aussagen der DSGVO?

Viele Datenschutz Grundsätze der DSGVO wie Zweckbindung, Datenrichtigkeit, Erforderlichkeit und Datensparsamkeit / Datenminimierung sind altbekannt. Doch die DSGVO enthält zahlreiche neue oder verschärfte Anforderungen an den Datenschutz.

Zu den Vorgaben gehören

• das Marktortprinzip, nach dem auch alle außereuropäischen Unternehmen verpflichtet sind, das europäische Datenschutzrecht einzuhalten, wenn sie auf dem europäischen Markt ihre Dienstleistungen anbieten (Erwägungsgrund 22),
• die federführenden Aufsichtsbehörde am Ort der Hauptniederlassung. Damit steht Unternehmen mit grenzüberschreitenden Datenverarbeitungs-Tätigkeiten ein zentraler Ansprechpartner zur Verfügung, das sogenannte One-Stop-Shop-Prinzip (Art. 56).
• die Rechenschaftspflicht (Verantwortlichkeit der Daten verarbeitenden Stellen für die Einhaltung der Datenschutz-Prinzipien und dessen Nachweis, Artikel. 5),
• neue Betroffenenrechte wie das Recht auf Vergessenwerden (Art. 17) und das Recht auf Datenübertragbarkeit (Art. 20),
• die ausdrückliche Forderung von Privacy by Design und Privacy by Default, zu deutsch: Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen(Art. 25),
• die Datenschutz-Folgenabschätzung (Artikel 35) und
• die Stärkung der Datenschutz-Zertifizierung sowie das neue Instrument der Verhaltensregeln (Abschnitt 5, Artikel 40 bis 43).

Erhöhte Anforderungen bestehen an

• die Transparenz bei der Datenverarbeitung,
• die Anforderungen an eine rechtswirksame Einwilligung der betroffenen Personen (z.B. Artikel 7),
• die Einwilligung eines Kindes bei Nutzung der Dienste der Informationsgesellschaft (laut Datenschutz-Grundverordnung erst ab 16 Jahren) sowie
• die Meldepflichten bei Datenschutzverletzungen (Art. 33 und 34).

Welche Sanktionen sieht die DSGVO vor?

Und zum Abschluss ein ganz wichtiger Punkt: Die Aufsichtsbehörden haben sehr ausgedehnte Abhilfe-Befugnisse. Sie können unter anderem Geldbußen bis zu 20 Mio. € oder vier Prozent des weltweiten Jahresumsatzes verhängen.

Oliver Schonschek