DSGVO und Rechte betroffener Personen

Die Datenschutz-Grundverordnung (DSGVO) ist ein Datenschutzgesetz der Europäischen Union, das am 25. Mai 2018 in Kraft trat. Sie regelt, wie Unternehmen personenbezogene Daten von EU-Bürgern erheben, speichern, verarbeiten und weitergeben – unabhängig davon, wo das Unternehmen selbst ansässig ist. Ein US-amerikanisches Unternehmen, das Daten von Besuchern einer EU-Website erhebt, muss die DSGVO einhalten. Verstöße können mit Geldbußen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden, wobei der höhere Betrag maßgeblich ist. Damit gehört die DSGVO weltweit zu den Datenschutzvorschriften mit den weitreichendsten Konsequenzen.

Die DSGVO führt eine spezifische Terminologie ein. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (betroffene Person) beziehen. Ein Verantwortlicher bestimmt die Zwecke und Mittel der Verarbeitung – typischerweise das Unternehmen, das die Daten erhebt. Ein Auftragsverarbeiter verarbeitet Daten im Auftrag des Verantwortlichen (etwa Cloud-Anbieter oder Analyseanbieter). Verarbeitung umfasst jeden Vorgang im Zusammenhang mit personenbezogenen Daten: Erhebung, Speicherung, Änderung, Übermittlung oder Löschung. Das Verständnis dieser Rollen ist entscheidend, da die DSGVO Verantwortlichen und Auftragsverarbeitern unterschiedliche Pflichten auferlegt.

Unternehmen müssen vor der Verarbeitung personenbezogener Daten eine Rechtsgrundlage bestimmen. Die DSGVO definiert sechs Rechtsgrundlagen: Einwilligung (freiwillig, spezifisch, informiert und eindeutig); Vertrag (zur Erfüllung eines Vertrags mit der betroffenen Person erforderlich); rechtliche Verpflichtung (gesetzlich vorgeschrieben); lebenswichtige Interessen (zum Schutz des Lebens einer Person); öffentliche Aufgabe (im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt); und berechtigte Interessen (abzuwägen gegen die Rechte der betroffenen Person). An die Einwilligung werden hohe Anforderungen gestellt – vorausgewählte Kontrollkästchen gelten nicht als Einwilligung.

Artikel 5 der DSGVO legt sieben Grundsätze fest. Rechtmäßigkeit, Fairness und Transparenz – Daten müssen rechtmäßig und nachvollziehbar verarbeitet werden. Zweckbindung – für einen bestimmten Zweck erhobene Daten dürfen ohne eine neue Rechtsgrundlage nicht für andere Zwecke verwendet werden. Datenminimierung – es dürfen nur unbedingt erforderliche Daten erhoben werden. Richtigkeit – Daten müssen aktuell gehalten werden. Speicherbegrenzung – Daten dürfen nicht länger als erforderlich aufbewahrt werden. Integrität und Vertraulichkeit – es müssen geeignete Sicherheitsmaßnahmen angewendet werden. Rechenschaftspflicht – Unternehmen müssen die Einhaltung nachweisen können.

Die DSGVO gewährt Einzelpersonen (betroffenen Personen) mehrere durchsetzbare Rechte. Das Auskunftsrecht (Artikel 15) ermöglicht es Einzelpersonen, eine Kopie aller personenbezogenen Daten anzufordern, die ein Unternehmen über sie besitzt, sowie Informationen über Verarbeitungszwecke, Aufbewahrungsfristen und Empfänger außerhalb des Unternehmens. Unternehmen müssen innerhalb von einem Monat antworten (bei komplexen Anfragen ist eine Verlängerung auf drei Monate möglich). Dieses Recht wird durch ein Verfahren für ein Auskunftsersuchen der betroffenen Person (Subject Access Request, SAR) erfüllt, das die meisten DSGVO-konformen Unternehmen in ihrer Datenschutzrichtlinie dokumentieren.

Das Recht auf Löschung („Recht auf Vergessenwerden“, Artikel 17) ermöglicht es Einzelpersonen, die Löschung ihrer Daten zu verlangen, wenn diese nicht mehr erforderlich sind, eine Einwilligung widerrufen wurde oder die Daten unrechtmäßig verarbeitet wurden. Das Recht auf Berichtigung (Artikel 16) erlaubt es Einzelpersonen, unrichtige oder unvollständige Daten korrigieren zu lassen. Keines dieser Rechte ist uneingeschränkt – Daten, die zur Erfüllung einer rechtlichen Verpflichtung oder zur Verteidigung gegen Rechtsansprüche erforderlich sind, müssen nicht gelöscht werden. Diese Rechte stellen die Datenarchitektur vor erhebliche Herausforderungen, insbesondere bei Systemen mit replizierten oder archivierten Datenbanken.

Das Recht auf Datenübertragbarkeit (Artikel 20) ermöglicht es Einzelpersonen, ihre personenbezogenen Daten in einem strukturierten, maschinenlesbaren Format (JSON, CSV) zu erhalten und an einen anderen Verantwortlichen zu übermitteln – dadurch wird der Wechsel zwischen Dienstanbietern erleichtert. Das Widerspruchsrecht (Artikel 21) ermöglicht es Einzelpersonen, bestimmte Verarbeitungen zu stoppen, insbesondere bei Direktwerbung (die nach einem Widerspruch sofort eingestellt werden muss) oder bei einer Verarbeitung aufgrund berechtigter Interessen (bei der das Unternehmen zwingende Gründe für eine Fortsetzung nachweisen muss).

Artikel 33 der DSGVO verpflichtet Unternehmen, ihre Aufsichtsbehörde (die nationale Datenschutzbehörde, etwa das britische ICO oder das deutsche BSI) innerhalb von 72 Stunden nach Bekanntwerden einer Datenschutzverletzung zu benachrichtigen, wenn diese ein Risiko für die Rechte und Freiheiten von Einzelpersonen darstellt. Ist voraussichtlich ein hohes Risiko für Einzelpersonen gegeben, müssen auch die betroffenen Personen gemäß Artikel 34 unverzüglich direkt benachrichtigt werden. Diese Frist von 72 Stunden ist deutlich kürzer als die Fristen für Meldungen von Datenschutzverletzungen nach vielen US-Bundesstaatengesetzen.

Die DSGVO verpflichtet bestimmte Unternehmen, einen Datenschutzbeauftragten (Data Protection Officer, DPO) zu benennen: Behörden, Unternehmen, die in großem Umfang sensible Daten verarbeiten (Gesundheits-, biometrische oder Strafregisterdaten), oder Unternehmen, die eine umfangreiche systematische Überwachung durchführen (etwa verhaltensbezogene Werbung). Der DPO muss über umfassende Fachkenntnisse im Datenschutzrecht verfügen, unabhängig sein (und wegen der Erfüllung seiner DPO-Aufgaben nicht disziplinarisch belangt werden dürfen) und als wichtigste Ansprechperson für die Aufsichtsbehörde fungieren. Unternehmen, die nicht zur Benennung eines DPO verpflichtet sind, tun dies häufig freiwillig, um ihre Rechenschaftspflicht zu stärken.

Die DSGVO schränkt die Übermittlung personenbezogener Daten in Länder außerhalb der EU bzw. des EWR ein, sofern dort kein angemessener Schutz besteht. Angemessenheitsbeschlüsse bestätigen Ländern ein gleichwertiges Schutzniveau (Japan, Kanada, das Vereinigte Königreich nach dem Brexit sowie die USA im Rahmen des EU-US Data Privacy Framework). Fehlt ein Angemessenheitsbeschluss, verwenden Unternehmen Standardvertragsklauseln (SCCs) – vorab genehmigte Musterverträge – oder verbindliche interne Datenschutzvorschriften (BCRs) für konzerninterne Übermittlungen in multinationalen Unternehmen. Nicht genehmigte internationale Datenübermittlungen sind eine häufige Ursache für Durchsetzungsmaßnahmen nach der DSGVO.

Die DSGVO sieht zwei Stufen von Verwaltungsstrafen vor. Stufe 1 (niedriger): bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes bei Verstößen wie fehlender Aufbewahrung von Verzeichnissen, versäumter Meldung von Datenschutzverletzungen oder unzureichenden Vereinbarungen mit Auftragsverarbeitern. Stufe 2 (höher): bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes bei grundlegenden Verstößen – etwa unrechtmäßiger Verarbeitung, fehlender Rechtsgrundlage oder Verletzung der Rechte betroffener Personen. Zu den bekannten Durchsetzungsmaßnahmen gehören Geldbußen gegen Google (50 Millionen Euro), Meta (1,2 Milliarden Euro) und Amazon (746 Millionen Euro).

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Die DSGVO regelt personenbezogene Daten von EU-Bürgern und gilt weltweit, wobei Geldbußen bis zu 4 % des weltweiten Umsatzes möglich sind. Zu den sechs Rechten betroffener Personen gehören Auskunft, Löschung, Berichtigung, Datenübertragbarkeit, Widerspruch und Einschränkung der Verarbeitung. Eine Meldung innerhalb von 72 Stunden an die Aufsichtsbehörden ist bei Datenschutzverletzungen, die die Rechte und Freiheiten von Einzelpersonen gefährden, verpflichtend. Als Nächstes betrachten wir HIPAA, PCI-DSS und sektorspezifische Compliance-Anforderungen.