GRUNDSÄTZE DER DSGVO

Mit der DSGVO wird der Datenschutz nicht neu erfunden. Die bisherigen Grundsätze wie der Grundsatz der Datensparsamkeit oder das Verbotsprinzip mit Erlaubnisvorbehalt bleiben im Wesentlichen erhalten. Neu hinzugekommen ist das Rechenschaftsprinzip. Es regelt die Nachweispflicht der Verantwortlichen für die Einhaltung der Prinzipien der Grundverordnung. Dies führt zu erheblichen zusätzlichen Dokumentations- und Nachweispflichten für Unternehmen. Weiter werden neue Grundsätze wie Privacy by Design und Datenschutz schon bei der Produktentwicklung sowie Privacy by Default, datenschutzfreundliche Voreinstellungen und der Grundsatz der sachlichen Richtigkeit, dem Recht zur Berichtung und Löschung von Daten gesetzlich normiert.

MARKTORT PRINZIP 

Die DSGVO ist für alle Verarbeitungen von personenbezogenen Daten in Europa anzuwenden, wobei allein der Aufenthalt innerhalb der EU ausreichend ist. Das heißt, auch für Verantwortliche oder Auftragsverarbeiter ohne Niederlassung in der EU finden die Vorschriften der DS-GVO Anwendung, wenn sie Daten von EU-Bürgern verarbeiten. 

VERFAHRENVERZEICHNIS VON BERBEITUNGSTÄTIGKEITEN 

Künftig müssen Verzeichnisse von Verarbeitungstätigkeiten geführt werden. Eine bestimmte Form ist dabei nicht vorgeschrieben. Inhaltlich müssen dabei die in der DSGVO genannten Mindestanforderungen erfüllt werden. Dies sind etwa Namen und Kontaktdaten des Verantwortlichen, die Zwecke der Verarbeitung und Ähnliches. 

RECHT AUF LÖSCHUNG 

Die DSGVO sieht umfassende Löschungspflichten vor. Der Betroffene kann vom Verantwortlichen verlangen, dass seine Daten zum Beispiel gelöscht werden, wenn die Zwecke, für welche die Daten erhoben wurden, nicht mehr notwendig sind oder die betroffene Person ihre Einwilligung in die Datenverarbeitung widerruft. Die Pflicht geht so weit, dass auch öffentlich gemachte Daten vom Verantwortlichen gelöscht werden müssen. Das bedeutet, dass dieser angemessene Maßnahmen treffen muss, um auch andere Verantwortliche darüber zu informieren, dass der Betroffene die Löschung sämtlicher Links fordert. 

VERZEICHNIS VON VERARBEITUNGSTÄTIGKEITEN 

Künftig müssen Verzeichnisse von Verarbeitungstätigkeiten geführt werden. Das Verzeichnis kann in schriftlicher oder in elektronischer Form geführt werden. Inhaltlich müssen dabei die in der DSGVO genannten Mindestanforderungen erfüllt werden. Dies sind etwa Namen und Kontaktdaten des Verantwortlichen und Zwecke der Verarbeitung. 

EINWILLIGUNG IN DIE DATENVERARBEITUNG 

Durch die DSGVO werden die Anforderungen an Einwilligungen in Datenverarbeitungen erhöht. Mitunter ist der Unternehmer in der Pflicht nachzuweisen, dass sie freiwillig und in Kenntnis des geplanten Zwecks zur Erhebung, Verarbeitung oder Nutzung erteilt wurde. Dabei ist ein ,,Koppelungsverbot" zu beachten. Das bedeutet, dass die Erfüllung zum Beispiel eines Vertrages nicht von einer Einwilligung in die Datenverarbeitung von personenbezogenen Daten abhängig gemacht werden darf. Die Anforderungen an den Widerruf einer Einwilligung werden herabgesetzt. 

RECHT AUF DATENPORTABILITÄT 

Dabei handelt es sich um Daten, die der Betroffene selbst zur Verfügung gestellt hat. Diese müssen, sofern der Betroffene es wünscht, in einem gängigen Format entweder ihm selbst oder gegebenfalls auf seinen Wunsch hin direkt an einen Dritten übermittelt werden. 

INFORMATIONS- UND' AUSKUNFTSPFLICHTEN 

Die Informations- und Auskunftspflichten werden durch 
die DSGVO um etliche weitere Angaben erweiterten betroffener Personen, muss seitens des Verantwortlichen eine Datenschutzfolgenabschätzung durchgeführt werden. Das bedeutet, er muss die Schwere und Eintrittswahrscheinlichkeit eines möglichen Risikos bewerten. 

DATENTRANSFER IN DRITTSTAATEN 

Die Datenübermittlung in ein Drittland darf nur aufgrund einer Rechtsgrundlage erfolgen. Zusätzlich bedarf es im Zielland eines angemessenen Datenschutzniveaus. 

ONE-STOP-SHOP-I PRINZIP 

Neu eingeführt wird das One-Stop-Shop-Prinzip, wenn es um die grenzüberschreitende Verarbeitung von personenbezogenen Daten geht. Danach ist die am Hauptsitz des Unternehmens zuständige Aufsichtsbehörde der alleinige Ansprechpartner des Verantwortlichen. 

MELDEPFLICHT VON DATENPANNEN 

Bei Verletzung des Schutzes personenbezogener Daten ist dies künftig binnen 72 Stunden der zuständigen Aufsichtsbehörde zu melden. Irrelevant bei der Fristwahrung sind dabei dazwischenliegende Wochenenden oder Feiertage. Die Meldepflicht gilt zum Beispiel bei Hacking, Verlust, Fehlversand, Softwarefehler oder Schadcode. 

SCHÄRFERE SANKTIONEN 

Wer gegen die Norm der DSGVO verstößt, muss mit Bußgeldern von bis zu zehn Millionen Euro bzw. zwei Prozent des weltweiten Vorjahresumsatzes oder mit bis zu 20 Millionen Euro bzw. vier Prozent des weltweiten Vorjahresumsatzes rechnen.