DSGVO-Compliance

Die Datenschutz-Grundverordnung (DSGVO) ist die umfassende Datenschutzverordnung der Europäischen Union, die im Mai 2018 in Kraft trat und strenge Regeln dafür festlegt, wie Organisationen personenbezogene Daten von in der EU ansässigen Personen erheben, verarbeiten, speichern und schützen müssen - sie gilt nicht nur für in Europa ansässige Unternehmen, sondern für jede Organisation weltweit, die Waren oder Dienstleistungen für EU-Bürger anbietet oder das Verhalten von Personen in der EU überwacht, wodurch Compliance für praktisch alle multinationalen Unternehmen und viele international tätige Startups verpflichtend wird. Nichteinhaltung führt zu empfindlichen finanziellen Sanktionen (bis zu 4 Prozent des weltweiten Jahresumsatzes oder 20 Millionen Euro, je nachdem, welcher Betrag höher ist - Milliardenbußen wurden bereits gegen Facebook, Google und Amazon verhängt), zusätzlich zu erheblichen Reputationsschäden und einem möglichen Verbot der Verarbeitung europäischer Daten, das den Betrieb auf dem europäischen Markt unmöglich machen kann. Die DSGVO beruht auf zentralen Datenschutzgrundsätzen: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz (die Verarbeitung muss eine Rechtsgrundlage haben und die Betroffenen müssen klar über die Nutzung ihrer Daten informiert werden), Zweckbindung (für bestimmte Zwecke erhobene Daten dürfen ohne neue Einwilligung nicht für unvereinbare Zwecke weiterverwendet werden), Datenminimierung (nur Daten erheben, die dem angegebenen Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sind), Richtigkeit (Daten korrekt und aktuell halten), Speicherbegrenzung (Daten nur so lange aufbewahren, wie es für den Zweck erforderlich ist, und sie danach löschen oder anonymisieren), Integrität und Vertraulichkeit (angemessene Sicherheit durch Verschlüsselung, Zugriffskontrollen, Pseudonymisierung umsetzen) und Rechenschaftspflicht (Accountability) (Compliance durch Dokumentation, Richtlinien, Audits und Datenschutz-Folgenabschätzungen nachweisen). Die Verordnung räumt den betroffenen Personen umfassende Rechte ein, darunter das Auskunftsrecht (eine Kopie der verarbeiteten personenbezogenen Daten erhalten), das Recht auf Berichtigung (unrichtige Daten korrigieren), das Recht auf Löschung / "Recht auf Vergessenwerden" (Daten unter bestimmten Umständen löschen), das Recht auf Einschränkung der Verarbeitung, das Recht auf Datenübertragbarkeit (Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten, um sie an einen anderen Verantwortlichen zu übertragen) und das Widerspruchsrecht gegen eine auf berechtigten Interessen oder Direktmarketing beruhende Verarbeitung.

Rechtsgrundlagen für die Verarbeitung und Einwilligung

Die DSGVO verlangt eine gültige Rechtsgrundlage für jede Verarbeitung personenbezogener Daten - Organisationen müssen ermitteln und dokumentieren, welche Rechtsgrundlage für jede Verarbeitungstätigkeit gilt; die sechs zulässigen Grundlagen sind: Einwilligung - eine freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung der betroffenen Person (durch eine Erklärung oder eine eindeutige bestätigende Handlung wie das Aktivieren eines Opt-in-Kästchens), die jederzeit leicht widerrufbar sein muss, nicht gebündelt werden darf (die Einwilligung für unterschiedliche Zwecke muss granular sein, sodass einige akzeptiert und andere abgelehnt werden können) und für deren Gültigkeit die Beweislast bei der Organisation liegt - geeignet für Marketing-Opt-in, nicht wesentliche Cookies und optionale Datenweitergabe. Vertrag - Verarbeitung, die für die Erfüllung eines Vertrags mit der betroffenen Person oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist - gilt für Daten, die bei der Anmeldung zu einem Dienst, der Lieferung gekaufter Produkte und der Erfüllung vertraglicher Pflichten erhoben werden. Rechtliche Verpflichtung - Einhaltung gesetzlicher Anforderungen (Steuermeldungen, Arbeitsrecht, Vorschriften zur Geldwäschebekämpfung) - die Organisation muss die konkrete Rechtsvorschrift benennen, die die Verarbeitung vorschreibt. Lebenswichtige Interessen - Schutz des Lebens der betroffenen Person oder einer anderen Person (medizinische Notfallversorgung) - begrenzter Anwendungsbereich, nur bei absoluter Notwendigkeit verwendet. Wahrnehmung einer öffentlichen Aufgabe - Erfüllung einer im öffentlichen Interesse liegenden Aufgabe oder Ausübung öffentlicher Gewalt - relevant für Behörden und öffentliche Stellen. Berechtigte Interessen - die vom Verantwortlichen oder einem Dritten verfolgt werden, sofern nicht die Interessen oder Grundrechte der betroffenen Person überwiegen, die den Schutz erfordern (insbesondere bei einem Kind) - erfordert eine Abwägungsprüfung und eine Bewertung der berechtigten Interessen (LIA), die dokumentiert: worin das berechtigte Interesse besteht, die Erforderlichkeit der Verarbeitung zur Erreichung des Interesses und die Abwägung gegenüber den Rechten und Interessen der Personen - Beispiele sind Betrugsprävention, Netzwerksicherheit und interne Verwaltung. Die Wahl der Rechtsgrundlage ist eine strategische Entscheidung mit Folgen: Die Einwilligung erfordert ein laufendes Management von Opt-ins/Opt-outs und deren Nachweis, die Vertragsgrundlage ist stabiler, aber auf die vertragliche Notwendigkeit beschränkt, und berechtigte Interessen bieten Flexibilität, erfordern jedoch eine sorgfältige Abwägung, wobei die betroffenen Personen ein Widerspruchsrecht haben.

Datenschutzbeauftragter (DPO) und Rechenschaftspflicht

Die DSGVO schreibt die Benennung eines Datenschutzbeauftragten in drei Fällen vor: bei einer von einer Behörde durchgeführten Verarbeitung, wenn die Kerntätigkeiten in der umfangreichen regelmäßigen und systematischen Überwachung betroffener Personen bestehen, oder wenn die Kerntätigkeiten in der umfangreichen Verarbeitung besonderer Kategorien von Daten (Gesundheits-, biometrische, genetische Daten) oder strafrechtlicher Verurteilungen bestehen. Der DPO muss über Fachwissen im Datenschutzrecht und in der Datenschutzpraxis verfügen, unabhängig sein (direkt der höchsten Managementebene berichten und keine Anweisungen bezüglich der Ausübung seiner Aufgaben erhalten) und über ausreichende Ressourcen verfügen. Zu den Aufgaben des DPO gehören: die Organisation über ihre DSGVO-Pflichten zu unterrichten und zu beraten, die Einhaltung der DSGVO und interner Richtlinien zu überwachen, zu DPIAs zu beraten, mit der Aufsichtsbehörde zusammenzuarbeiten und als Anlaufstelle für die Aufsichtsbehörde und die betroffenen Personen zu fungieren. Der DPO kann ein Beschäftigter oder ein externer Dienstleister sein, muss aber einen Interessenkonflikt vermeiden (er kann nicht zugleich CEO, CFO oder CTO sein, da er sonst seine eigene Compliance überwachen würde). Organisationen, die keinen verpflichtenden DPO benötigen, profitieren dennoch davon, jemanden mit Datenschutzverantwortung zu benennen. Der Grundsatz der Rechenschaftspflicht verlangt von Organisationen, die Compliance durch Dokumentation nachzuweisen: ein Verzeichnis von Verarbeitungstätigkeiten (ROPA) zu führen, das alle Verarbeitungsvorgänge detailliert (Zwecke, Datenkategorien, Empfänger, Aufbewahrungsfristen, Sicherheitsmaßnahmen), Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Privacy by Design und by Default) umzusetzen (Datenschutz von Anfang an in das Systemdesign zu integrieren und Systeme so zu konfigurieren, dass standardmäßig nur notwendige Daten verarbeitet werden), Datenschutz-Folgenabschätzungen (DPIAs) für Verarbeitungen mit hohem Risiko durchzuführen, angemessene technische und organisatorische Maßnahmen umzusetzen (Verschlüsselung, Zugriffskontrollen, Pseudonymisierung, Backup) und Dokumentation vorzuhalten, die Compliance-Entscheidungen und Risikobewertungen belegt. Aufsichtsbehörden können bei Audits Dokumentation anfordern, und Organisationen, die ihre Compliance nicht nachweisen können, drohen Sanktionen, selbst wenn keine tatsächliche Verletzung eingetreten ist.

Datenschutz-Folgenabschätzung (DPIA)

Eine DPIA ist ein systematischer Prozess zur Bewertung und Minderung der Datenschutzrisiken von Verarbeitungstätigkeiten, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen zur Folge haben - verpflichtend, wenn die Verarbeitung Folgendes umfasst: ein systematisches und umfangreiches Profiling mit erheblichen Auswirkungen, die umfangreiche Verarbeitung besonderer Datenkategorien oder die umfangreiche systematische Überwachung öffentlich zugänglicher Bereiche (Gesichtserkennung im öffentlichen Raum). Eine DPIA muss vor Beginn der Verarbeitung durchgeführt werden, damit Risiken frühzeitig im Projektlebenszyklus erkannt und adressiert werden können. Strukturierter DPIA-Prozess: Die Verarbeitung beschreiben - Art, Umfang, Kontext und Zwecke der Verarbeitung, Datenflüsse, Aufbewahrungsfristen und beteiligte Akteure dokumentieren. Notwendigkeit und Verhältnismäßigkeit bewerten - nachweisen, dass die Verarbeitung für den angegebenen Zweck erforderlich und verhältnismäßig (nicht übermäßig) ist, Alternativen prüfen, die den Zweck mit geringeren Auswirkungen auf die Privatsphäre erreichen, und gegebenenfalls die Bewertung der berechtigten Interessen dokumentieren. Risiken identifizieren für die Personen - überlegen, was schiefgehen könnte (unbefugter Zugriff, Datenschutzverletzungen, Zweckentfremdung (Function Creep), bei der für Zweck A erhobene Daten für Zweck B verwendet werden, diskriminierende Ergebnisse automatisierter Entscheidungen, Überwachungseffekte) und Wahrscheinlichkeit sowie Schwere jedes Risikos bewerten. Minderungsmaßnahmen identifizieren - technische Kontrollen (Verschlüsselung, Anonymisierung, Zugriffskontrollen, Sicherheitsüberwachung) und organisatorische Maßnahmen (Richtlinien, Schulungen, Lieferantenverträge, Transparenzhinweise), um Risiken auf ein akzeptables Maß zu reduzieren. Ergebnisse dokumentieren - einen DPIA-Bericht erstellen, der die Bewertung, die identifizierten Risiken, die umgesetzten Minderungsmaßnahmen und die Akzeptanz des Restrisikos detailliert, abgezeichnet von der Geschäftsleitung und dem DPO. Die Aufsichtsbehörde konsultieren, wenn das Restrisiko trotz Minderungsmaßnahmen hoch bleibt - die Behörde gibt Hinweise dazu, ob die Verarbeitung fortgesetzt werden kann und welche zusätzlichen Garantien erforderlich sind. Eine DPIA ist ein lebendes Dokument, das überprüft werden muss, wenn sich die Verarbeitung wesentlich ändert, regelmäßig (alle 2-3 Jahre) oder wenn neue Risiken auftreten. Gut durchgeführte DPIAs belegen die Rechenschaftspflicht, verringern das regulatorische Risiko und decken häufig betriebliche Verbesserungen über die Compliance hinaus auf.

Meldung von und Reaktion auf Datenschutzverletzungen

Die DSGVO stellt strenge Anforderungen an die Meldung von Verletzungen und erkennt an, dass eine schnelle Meldung es Personen ermöglicht, Schutzmaßnahmen zu ergreifen (Passwörter ändern, Kreditwürdigkeit überwachen, Betrugswarnungen aktivieren) und Aufsichtsbehörden eine Reaktion zu koordinieren. Eine Verletzung des Schutzes personenbezogener Daten wird weit gefasst definiert als eine "Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, ob unbeabsichtigt oder unrechtmäßig" - sie umfasst Ransomware-Verschlüsselung, einen falsch konfigurierten S3-Bucket, der Daten offenlegt, einen verlorenen Laptop mit unverschlüsselten Daten, unbefugten Zugriff durch Mitarbeiter und Hacking-Vorfälle. Sobald eine Verletzung bekannt wird, muss die Organisation: Die Verletzung eindämmen umgehend (betroffene Systeme isolieren, kompromittierte Zugangsdaten widerrufen, Expositionsvektoren schließen), die Auswirkungen bewerten (wie viele Personen betroffen sind, welche Datentypen betroffen sind, die Sensibilität der Daten, die Wahrscheinlichkeit und Schwere des Schadens), die Aufsichtsbehörde benachrichtigen innerhalb von 72 Stunden nach Bekanntwerden (Verzögerungen sind zu begründen), unter Angabe einer Beschreibung der Art der Verletzung, der Kategorien und der ungefähren Zahl der betroffenen Personen, der wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer Folgen - die erste Meldung kann unvollständig sein, wenn eine vollständige Bewertung nicht innerhalb von 72 h möglich ist, wobei spätere Aktualisierungen bereitgestellt werden, sobald Informationen verfügbar sind. Die betroffenen Personen benachrichtigen unverzüglich, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat - die Benachrichtigung muss die Verletzung in klarer und einfacher Sprache beschreiben, eine Anlaufstelle für weitere Informationen angeben und die wahrscheinlichen Folgen sowie die von der Organisation zur Abmilderung ergriffenen Maßnahmen beschreiben - die Benachrichtigung kann entfallen, wenn die Organisation technische Schutzmaßnahmen umgesetzt hat, die die Daten unverständlich machen (Verschlüsselung mit nicht kompromittierten Schlüsseln), nachfolgende Maßnahmen ergriffen hat, die das Eintreten des hohen Risikos unwahrscheinlich machen, oder die Benachrichtigung einen unverhältnismäßigen Aufwand erfordern würde (in welchem Fall eine öffentliche Bekanntmachung zulässig ist). Die Verletzung dokumentieren in einem internen Verletzungsregister, selbst wenn keine Meldung erforderlich war - die Aufsichtsbehörde kann Dokumentation anfordern, die die Einhaltung der Bewertungs- und Meldepflichten nachweist. Eine unterbliebene Meldung innerhalb von 72 h, eine unangemessene Verzögerung bei der Benachrichtigung der Personen oder eine unzureichende Dokumentation können Sanktionen nach sich ziehen, die von der zugrunde liegenden Verletzung getrennt sind.