Der Schutz personenbezogener Daten ist durch die steigende Anzahl von Datenschutzverletzungen in der heutigen digitalen Welt unerlässlich geworden. In Europa sind 2018 neue Vorschriften in Kraft getreten, die alle Unternehmen weltweit betreffen, die mit Einwohnern der Europäischen Union (EU) zusammenarbeiten. Diese Gesetze setzen neue Standards für die Datensicherheit und sehen hohe Strafen für Verstöße vor.
Was ist die Datenschutz-Grundverordnung (DSGVO)?
Eines der wichtigsten Gesetze in diesem Bereich ist die Datenschutzgrundverordnung (DSGVO), englisch General Data Protection Regulation (GDPR). Sie wurde 2016 in der Europäischen Union verabschiedet und ist am 25. Mai 2018 in Kraft getreten. Die DSGVO legt die Regeln für die Verarbeitung und den Schutz personenbezogener Daten von EU-Bürgern fest.
Unternehmen, die personenbezogene Daten von Personen mit Wohnsitz in der EU erheben, speichern, verarbeiten oder übermitteln, müssen nach der Datenschutz-Grundverordnung strenge Anforderungen an die Verarbeitung dieser Daten erfüllen. Darüber hinaus müssen sie eine klare, verständliche und zugängliche Datenschutzerklärung zur Verfügung stellen, aus der hervorgeht, welche Daten erhoben werden, für welche Zwecke und aus welchen Gründen sie verarbeitet werden und wie lange sie gespeichert werden.
Die Datenschutz-Grundverordnung verpflichtet Unternehmen außerdem, die ausdrückliche Zustimmung der Nutzer zur Verarbeitung ihrer personenbezogenen Daten einzuholen. Die DSGVO legt zudem die Rechte der Nutzer auf Auskunft, Berichtigung und Löschung ihrer personenbezogenen Daten fest. Die Nutzer haben das Recht, ihre Einwilligung jederzeit zu widerrufen, und die Unternehmen müssen in diesem Fall alle Daten löschen. Unternehmen müssen außerdem die Sicherheit personenbezogener Daten gewährleisten und Verstöße innerhalb von 72 Stunden nach deren Feststellung melden.
Von der Datenschutz-Grundverordnung betroffene Personen und Unternehmen
Beim Datenschutz im Rahmen der Datenschutz-Grundverordnung kann zwischen zwei Arten von Akteuren unterschieden werden: der kontrollierenden und der verarbeitenden Gruppe. Die kontrollierende Gruppe sind die Organisationen, die Nutzerdaten sammeln und verarbeiten, während die verarbeitende Gruppe die IT-Unternehmen umfasst, die die technischen Ressourcen und die Infrastruktur für die Verarbeitung dieser Daten bereitstellen.
Die Datenschutz-Grundverordnung betrifft alle Parteien, die personenbezogene Daten von EU-Bürgern verarbeiten, unabhängig davon, wo sie sich befinden. Daher betrifft dieses Gesetz auch Online-Unternehmen und Plattformen, die internationale Kunden oder Mitglieder akzeptieren.
Seit der Einführung der Datenschutz-Grundverordnung sind die Verantwortlichen verpflichtet, die Daten von EU-Bürgern auf transparente Weise zu verarbeiten. Sobald der Zweck erfüllt ist und kein legitimer Bedarf mehr an den Daten eines bestimmten Nutzers besteht, müssen diese gelöscht werden, damit personenbezogene Daten nicht unbegrenzt auf Servern gespeichert werden, die jederzeit gehackt werden können.
Personenbezogene Daten unter der DSGVO
Der Begriff der personenbezogenen Daten wurde in der Europäischen Union mit der Verabschiedung der Datenschutz-Grundverordnung erweitert. Seitdem gelten auch Informationen über den Computer und den Standort des Nutzers, wie z. B. die IP-Adresse, als personenbezogene Daten. Finanzielle, psychologische oder ethnische Daten sowie alle Informationen, die zur Identifizierung einer Person verwendet werden können, fallen ebenfalls in diese Kategorie. Anonyme Daten oder Pseudonyme, die leicht mit einer bestimmten Person in Verbindung gebracht werden können, gelten auch als personenbezogene Daten. Darüber hinaus zählen alle Informationen, die bereits unter das Datenschutzgesetz fallen, auch nach der Datenschutz-Grundverordnung dazu.
Gemäß der Datenschutz-Grundverordnung haben Personen das Recht auf Zugang zu ihren personenbezogenen Daten. Die für die Verarbeitung Verantwortlichen müssen Anfragen von Nutzern innerhalb von 30 Tagen beantworten. Die beteiligten Parteien müssen für Klarheit darüber sorgen, wie die Daten erhoben, verwendet und verarbeitet werden. Die Sprache der Dokumente, die diese Prozesse erklären, sollte einfach und verständlich sein.
Die DSGVO und Unternehmen
Am 25. Mai 2018 traten in der Europäischen Union Änderungen bei den Regeln für die Datenverarbeitung in Kraft. Viele Unternehmen mussten die Art und Weise überprüfen, wie sie Informationen über ihre Kunden und Nutzer sammeln, verwenden und speichern.
Die Aktualisierung der Systemprozesse zur Einhaltung der Datenschutzgrundverordnung kann für manche Unternehmen schwierig sein. Oft ist schlicht die Infrastruktur nicht ausreichend, um alle Anforderungen zu erfüllen. In diesem Fall ist es am besten, sich an ein Beratungs- oder Sicherheitsunternehmen zu wenden, das den gesamten Prozess unterstützt.
Die Hauptfolgen für Unternehmen, die die Vorschriften nicht einhalten, sind hohe Geldstrafen. Eine Datenschutzverletzung kann von einem externen Hacker, einem Insider oder einer unbekannten Quelle verursacht worden sein - dies spielt im Rahmen der DSGVO keine Rolle. Die Verantwortung wird vollständig auf die Organisation selbst übertragen.
