Gegenstand und Ziele der DSGVO (Art. 1)

• Schutz der Grundrechte und Grundfreiheiten natürlicher Personen
• insbesondere deren Recht auf Schutz personenbezogener Daten
• Schutz des freien Verkehr personenbezogener Daten innerhalb der Union

Räumlicher und sachlicher Anwendungsbereich (Art. 2 & 3)

Der Anwendungsbereich der DSGVO ist sowohl sachlich als auch räumlich beschränkt. Sie gilt für die automatisierte und nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Allerdings fallen bestimmte Datenverarbeitungen wie unsortierte analoge Datensammlungen oder die Verarbeitung von Unternehmensdaten nicht unter die DSGVO. Räumlich gilt die DSGVO für Unternehmen mit Sitz oder Niederlassung in der EU und für Unternehmen außerhalb der EU, die Waren oder Dienstleistungen in der EU anbieten oder das Verhalten von EU-Bürgern verfolgen.

Grundsätze des Datenschutzes:

Grundlegende Prinzipien

• Informationelle Selbstbestimmung, die es den Betroffenen ermöglicht, selbst zu bestimmen, welche ihrer personenbezogenen Daten erhoben und verarbeitet werden.
• Die Betroffenenzentriertheit stellt sicher, dass die Interessen und Rechte der Betroffenen im Mittelpunkt stehen.
• Das Verbot der Verarbeitung personenbezogener Daten mit Erlaubnisvorbehalt. Die Verarbeitung von personenbezogenen Daten ist nur erlaubt, wenn es eine rechtliche Grundlage dafür gibt.
• Der risikobasierte Ansatz stellt sicher, dass Organisationen angemessene Maßnahmen zum Schutz personenbezogener Daten ergreifen, die dem Risiko der Datenverarbeitung angemessen sind.
• Technologieneutral bedeutet, dass die DSGVO auf verschiedene Datenverarbeitungsverfahren und Technologien angewendet werden kann und auch in einer sich ständig wandelnden technologischen Landschaft relevant bleibt.

Grundsätze des Datenschutzes gemäß Art. 5

1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz: Die Verarbeitung personenbezogener Daten muss auf einer rechtmäßigen Grundlage erfolgen. Unternehmen müssen den Betroffenen vor der Verarbeitung ihrer Daten transparent mitteilen, welche Daten zu welchem Zweck verarbeitet werden.
2. Zweckbindung: Personenbezogene Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben und verarbeitet werden. Eine Weiterverarbeitung für einen anderen Zweck ist nur zulässig, wenn dieser mit dem ursprünglichen Zweck vereinbar ist.
3. Datenminimierung: Die Verarbeitung personenbezogener Daten sollte auf das notwendige Maß beschränkt werden. Es sollten nur die Daten erhoben werden, die für den jeweiligen Zweck erforderlich sind.
4. Richtigkeit: Personenbezogene Daten müssen richtig und gegebenenfalls auf dem neuesten Stand sein. Unternehmen müssen angemessene Maßnahmen ergreifen, um sicherzustellen, dass unrichtige Daten berichtigt oder gelöscht werden.
5. Speicherbegrenzung: Personenbezogene Daten sollten nur so lange gespeichert werden, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Nach Ablauf dieser Zwecke müssen die Daten gelöscht oder anonymisiert werden, sofern keine anderweitigen Aufbewahrungsfristen gelten.
6. Integrität und Vertraulichkeit: Unternehmen müssen angemessene technische und organisatorische Maßnahmen ergreifen, um die Sicherheit personenbezogener Daten zu gewährleisten und diese vor unbefugtem Zugriff, Verlust oder Beschädigung zu schützen.
7. Rechenschaftspflicht: “Der Verantwortliche ist für die Einhaltung der Datenschutzgrundsätze gemäß Art. 5 Abs. 1 verantwortlich und muss dessen Einhaltung nachweisen können.” Es müssen interne Mechanismen und Prozesse etabliert werden, um die Einhaltung der Grundsätze zu gewährleisten. Dies führt zu einem erheblichen zusätzlichem Dokumentationsaufwand, um die Nachweispflicht zu erfüllen. Die Notwendigkeit eines Datenschutzmanagementsystems wird auch ohne explizite Forderung der Verordnung deutlich, da die DSGVO in verschiedenen Artikeln Dokumentationspflichten vorsieht.

Konsequenzen aus Verstößen gegen die Grundsätze

Bei Verstößen gegen die DSGVO drohen empfindliche Sanktionen. Bußgelder können bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs betragen, je nachdem, welcher Betrag höher ist. Die Festlegung der Sanktionen berücksichtigt dabei Art, Schwere und Dauer des Verstoßes sowie die Auswirkungen auf betroffene Personen.

Zusammenfassung

Die DSGVO ist ein bedeutender Schritt zum Schutz der Privatsphäre und der Rechte von Personen, deren Daten verarbeitet werden. Unternehmen sollten sich der Grundsätze der DSGVO bewusst sein und die notwendigen Maßnahmen ergreifen, um die Einhaltung dieser Verordnung sicherzustellen. Ein umfassendes Verständnis der DSGVO ist von entscheidender Bedeutung, um das Vertrauen der Kunden zu gewinnen und potenzielle Sanktionen zu vermeiden.

Brauchen Sie Unterstützung bei der Umsetzung der Anforderungen der DSGVO? Melden Sie sich bei uns! Wir unterstützen Sie gern als Datenschutzbeauftragter.