EU-DSGVO

Bußgelder können bis zu 4 % des jährlichen weltweiten Umsatzes bei Verstößen gegen die DSGVO oder 20 Millionen Euro betragen. Dies ist die Höchststrafe für die schwerwiegendsten Verstöße, z. B. fehlende ausreichende Kundeneinwilligung zur Datenverarbeitung oder Verletzung der Grundprinzipien von „Privacy by Design“.

Personenbezogene Daten sind alle Informationen, die zur direkten oder indirekten Identifizierung einer Person verwendet werden können, wie Name, Foto, E-Mail-Adresse, Bankdaten, Beiträge in sozialen Netzwerken, medizinische Informationen oder eine IP-Adresse.

Die Einwilligung muss in verständlicher und leicht zugänglicher Form mit dem Zweck der Datenverarbeitung erteilt werden. Sie muss eindeutig, leicht erkennbar und in klarer, verständlicher Sprache formuliert sein. Die Widerrufung muss genauso einfach sein wie die Erteilung. Bei der Verarbeitung sensibler personenbezogener Daten reicht nichts weniger als „Opt-in“ aus.

Wenn die betroffene Person unter 16 Jahre alt ist, ist die elterliche Einwilligung zur Verarbeitung der personenbezogenen Daten des Kindes erforderlich. Mitgliedstaaten können das Mindestalter für elterliche Einwilligung senken, aber nicht unter 13 Jahre.

DSB müssen ernannt werden bei (a) Behörden, (b) Organisationen, die groß angelegtes oder Big-Data-Systemmonitoring betreiben, oder (c) Organisationen, die die Massenverarbeitung sensibler personenbezogener Daten durchführen (Art. 37). Wenn Ihre Organisation nicht in eine dieser Kategorien fällt, müssen Sie keinen DSB ernennen.

Meldung von Datenschutzverletzungen

Nach der DSGVO wird die Meldung von Datenschutzverletzungen in allen Mitgliedstaaten verpflichtend, wenn eine Verletzung wahrscheinlich „ein Risiko für die Rechte und Freiheiten von Personen“ darstellt. Die Meldung muss innerhalb von 72 Stunden nach Kenntnisnahme der Verletzung erfolgen. Datenverarbeiter müssen die Verantwortlichen „unverzüglich“ nach Kenntnisnahme einer Verletzung informieren.

Auskunftsrecht

Betroffene Personen haben das Recht, vom Verantwortlichen eine Bestätigung darüber zu erhalten, ob sie betreffende personenbezogene Daten verarbeitet wurden, wo und zu welchem Zweck. Der Verantwortliche stellt eine Kopie der personenbezogenen Daten kostenlos in elektronischem Format bereit.

Recht auf Vergessenwerden

Bekannt als Datenlöschung, berechtigt das Recht auf Vergessenwerden die betroffene Person, die Löschung ihrer personenbezogenen Daten durch den Verantwortlichen zu verlangen, die weitere Verbreitung der Daten einzustellen und ggf. Dritte von der weiteren Verarbeitung abzuhalten. Die Daten dürfen für die ursprünglichen Verarbeitungszwecke nicht mehr relevant sein oder die betroffene Person widerruft die Einwilligung. Beachten Sie, dass Verantwortliche bei solchen Anfragen die Rechte der betroffenen Person mit „dem öffentlichen Interesse an der Verfügbarkeit der Daten“ abwägen müssen.

Datenübertragbarkeit

Die betroffene Person kann die sie betreffenden personenbezogenen Daten, die sie zuvor bereitgestellt hat, in einem „gängigen und maschinenlesbaren Format“ erhalten und das Recht haben, diese Daten an einen anderen Verantwortlichen zu übermitteln.

Privacy by Design

Datenschutz muss im Kern der Technologiesysteme stehen, die Verantwortliche und Verarbeiter zur Verwaltung der Informationen betroffener Personen nutzen – nicht nur als nachträgliche Ergänzung.

Die Informationen, die einer betroffenen Person bei der Datenerhebung zur Verfügung gestellt werden müssen, sind präzise definiert und umfassen:

• Identität und Kontaktdaten des Verantwortlichen und des DSB
• Zwecke der Verarbeitung, für die die personenbezogenen Daten bestimmt sind
• Rechtsgrundlage der Verarbeitung
• Ggf. die verfolgten berechtigten Interessen des Verantwortlichen oder eines Dritten
• Ggf. Empfänger oder Kategorien von Empfängern der personenbezogenen Daten
• Speicherdauer der personenbezogenen Daten oder, falls nicht möglich, die Kriterien zur Bestimmung dieser Dauer
• Bestehen des Rechts auf Auskunft, Berichtigung oder Löschung der personenbezogenen Daten
• Recht auf Datenübertragbarkeit
• Recht, die Einwilligung jederzeit zu widerrufen
• Recht, bei einer Aufsichtsbehörde Beschwerde einzulegen

Wichtig: Wenn die Daten nicht direkt von der betroffenen Person erhoben wurden (z. B. über eine Drittpartei-Liste), variiert die Liste und umfasst die Quelle der personenbezogenen Daten:

• Bestehen von Profiling und aussagekräftige Informationen über die beteiligte Logik sowie die Bedeutung und voraussichtlichen Folgen einer solchen Verarbeitung für die betroffene Person.
• Die DSGVO stellt ein erhebliches Problem für Marketer dar, die Daten aus Drittpartei-Listen beziehen.

Artikel 6 der DSGVO-Verordnung besagt, dass ein Datenerheber personenbezogene Daten nur rechtmäßig verarbeiten darf, wenn er unter anderem ein berechtigtes Interesse oder eine Einwilligung hat. Die Feststellung, ob ein berechtigtes Interesse vorliegt, erfordert eine „sorgfältige Bewertung“ der Erwartungen und des Kontexts der erhobenen Daten.

Es ist verlockend, berechtigtes Interesse weit auszulegen, um die Einwilligung zu umgehen. Wir raten davon ab, berechtigtes Interesse als offene Rechtfertigung für die Datenerhebung zu nutzen. Die DSGVO nennt Beispiele wie die Verarbeitung personenbezogener Daten zur Betrugsprävention, interne Verwaltungszwecke in Bezug auf Mitarbeiter und Kunden, Netzwerksicherheit und die Meldung möglicher krimineller Aktivitäten oder Bedrohungen der öffentlichen Sicherheit.

Es gibt weiterhin einen Graubereich um berechtigtes Interesse, und die Definition wird mit der Zeit klarer. Kurzfristig empfehlen wir, sich zur Gewohnheit zu machen zu fragen: „Kann dasselbe Ziel ohne Verarbeitung personenbezogener Daten erreicht werden?“ Wenn die Antwort ja lautet, ist es Best Practice, berechtigtes Interesse als Grundlage für die Datenverarbeitung aufzugeben; Sie sollten eine Einwilligung einholen.

1. Erstellen Sie einen proaktiven Plan für Ihre DSGVO-Compliance.
2. Überprüfen Sie Datenschutzhinweise und -richtlinien und stellen Sie sicher, dass sie den DSGVO-Anforderungen entsprechen.
3. Bereiten Sie einen Plan für den Fall einer Sicherheitsverletzung vor.
4. Prüfen Sie Ihre Einwilligungen.
5. Machen Sie Marketing-Einwilligungen zu Opt-in.
6. Überprüfen Sie mit Ihrer Rechtsberatung den Teil über berechtigtes Interesse, um sicherzustellen, dass er Ihre Organisation für die Nutzung der Käuferdaten zur Abwicklung und Verwaltung der Bestellung abdeckt.
7. Machen Sie Ihre Einwilligungssprache leicht auffindbar und verständlich bezüglich der Nutzung personenbezogener Daten.
8. Erstellen Sie einen Aktionsplan für Anfragen betroffener Personen zur Nutzung ihrer Daten.
9. Übernehmen Sie Verantwortung für Ihre Compliance.
10. Schulen Sie Ihre Mitarbeiter.
11. Legen Sie klare, schriftliche und geprüfte Prozesse fest.
12. Ernennen Sie einen DSB, wo erforderlich.
13. Stellen Sie sicher, dass Ihre Verantwortlichen/Verarbeitungspartner compliant sind.

Die DSGVO gilt für Organisationen, Verantwortliche und Verarbeiter innerhalb und außerhalb der EU, die Waren oder Dienstleistungen für EU-Betroffene anbieten. Die DSGVO gilt auch für Organisationen wie Marketingorganisationen oder solche, die Daten liefern oder nutzen und das Verhalten von EU-Betroffenen überwachen.

Ein Verantwortlicher bestimmt die Zwecke, Bedingungen und Mittel für die Verarbeitung personenbezogener Daten, während der Verarbeiter die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet.