Die Datenschutzgrundverordnung (DSGVO) richtig anwenden!

Die Datenschutz-Grundverordnung hat vor allem ein wesentliches Ziel: den Schutz der persönlichen Daten zu gewährleisten.

Sobald Daten auftreten, die auf eine bestimmte, natürliche Person zurückzuführen sind, ist die DSGVO anzuwenden.

Die Idee der Datenschutz-Grundverordnung verinnerlicht man am einfachsten, wenn man sich die Grundsätze vor Augen führt, die diese Verordnung wie einen roter Faden durchziehen. Merken Sie sich diese Grundsätze – dann haben Sie in der Beurteilung von datenschutzrelevanten Vorgängen einen guten Ansatzpunkt.

Der Betroffene muss Klarheit darüber bekommen, wie und in welchem Umfang Daten von ihm verarbeitet werden.

Daten dürfen nur für den Zweck genutzt werden, für den sie auch erhoben wurden. Entfällt der Zweck, dann sind die Daten auch ggf. zu löschen.

Es dürfen nur Daten erhoben werden, die angemessen und unmittelbar für den bestimmten Zweck notwendig sind.

Die geforderte „Datenrichtigkeit“ lässt sich in drei Aspekte unterteilen:  Datenwahrheit, Datenaktualität und Datenvollständigkeit.

Der Grundsatz der Speicherbegrenzung besagt, dass personenbezogene Daten nur so lange gespeichert werden dürfen, wie es für den Zweck ihrer Verarbeitung notwendig ist.

Die DSGVO verwendet den Begriff "technische und organisatorische Maßnahmen", abgekürzt „TOM“, um solche Sicherheitsmaßnahmen zu beschreiben, wie z.B. die Verschlüsselung von Daten oder den Einsatz von Passwörtern, Zugangskontrollen und Raumzutrittskontrollen.

Die Rechenschaftspflicht, verankert in Artikel 5 Abs. 2 der DSGVO, verlangt von den Verantwortlichen nicht nur die Einhaltung der Datenschutzgrundsätze, sondern auch den Nachweis über dieEinhaltung der DSGVO-Bestimmungen.

Die Grundsätze noch einmal im Überblick – mit Merksätzen!

Wenn die betroffene Person einer Datenerhebung explizit zustimmt, dann ist deren Verarbeitung grundsätzlich zulässig.

Den betroffenen Personen erwachsen aus dem Schutz von personengebundenen Daten eine große Anzahl an Rechten und die Datenschutz-Grundverordnung macht die Stelle, die die Daten verarbeitet, zum Verantwortlichen, die Rechte der betroffenen Person zu wahren.

Die DSGVO übergibt dem Verantwortlichen in Art. 24, den klaren Auftrag, geeignete technische und organisatorische Maßnahmen zu treffen, damit die Datenverarbeitung im Sinne der Verordnung erfolgen kann.

In nahezu jedem Unternehmen fallen eine große Menge von Kunden- oder auch Mitarbeiterdaten in den unterschiedlichsten Bereichen an. Zur Erfassung dieser Verarbeitungsvorgänge sieht die Datenschutz-Grundverordnung die Erstellung eines sogenannten Verarbeitungsverzeichnisses vor.

Die DSGVO verpflichtet die Verantwortlichen dazu, Maßnahmen einzusetzen, damit die Datenverarbeitung im Sinne der Verordnung erfolgen kann. Dazu gehören z.B. baulich-technische Maßnahmen wie Zugangskontrolle, Trennung oder Zugangskontrolle von Daten u.a.m.

Eine in der Praxis häufig vorkommende Konstellation betrifft die Erhebung, Verarbeitung oder sogar Nutzung von Daten, durch einen externen Dienstleister für einen anderen Auftraggeber.

Die DSGVO reagiert mit einer Pflicht zur umgehenden Meldung von Datenschutzverletzungen auf die teilweise verheerend laxen Umgänge mit Datenpannen in den vergangenen Jahren.

In diesem Video lernen Sie einige mögliche Zertifizierungen kennen, die Unternehmen erlangen  können, um ihre Konformität mit den Datenschutzbestimmungen nachzuweisen. Allerdings gelten für diese Zertifizierungen bestimmte Einschränkungen.

Unternehmen ab einer bestimmten Größe, bzw. Umfang und Art der Datenverarbeitung, können verpflichtet sein, einen Datenschutzbeauftragten einzusetzen.

Laut Artikel 44 ist jeder Datentransfer untersagt, der nicht den Anforderungen der DSGVO entspricht. Das Ziel des Artikels 44 ist aber nicht, Datentransfers grundsätzlich zu unterbinden, sondern eine höhere Datensicherheit zu gewährleisten.

Sobald ein Angemessenheitsentschluss getroffen wird, können Unternehmen personenbezogene Daten an dieses Land oder diese Organisation ohne die Notwendigkeit weiterer Sicherheitsmaßnahmen übertragen.

Der Artikel 46 der DSGVO verlangt „geeignete Garantien“ für einen Datentransfer in Drittländer damit die Rechte betroffenener Personen gewahrt bleiben.

Eine kurze Zusammenfassung und abschließende Bemerkungen.