Die DSGVO in einem Absatz
Die Datenschutz-Grundverordnung (DSGVO, englisch GDPR, Verordnung (EU) 2016/679) ist das Datenschutzgesetz der EU. Sie gilt für jede Organisation, weltweit, die personenbezogene Daten von Menschen in der EU verarbeitet. Sie legt sechs Rechtsgrundlagen für die Verarbeitung fest, acht Betroffenenrechte, Transparenzpflichten, Sicherheitspflichten und einen Bußgeldrahmen von bis zu 4 % des weltweiten Jahresumsatzes. Sie gilt seit dem 25. Mai 2018 und ist bis heute der weltweite Maßstab im Datenschutzrecht.
Wer sie einhalten muss
Nach Artikel 3 gilt die DSGVO für (a) jeden Verantwortlichen oder Auftragsverarbeiter mit Niederlassung in der EU, unabhängig davon, wo die Daten verarbeitet werden, und (b) jeden Verantwortlichen oder Auftragsverarbeiter außerhalb der EU, der Menschen in der EU Waren oder Dienstleistungen anbietet oder ihr Verhalten beobachtet. Zur „Beobachtung“ zählen Analyse-Cookies, Werbepixel und verhaltensbasierte Empfehlungssysteme.
Die sechs Rechtsgrundlagen (Artikel 6)
- Einwilligung – aktiv erteilt, freiwillig, für den bestimmten Fall, informiert und unmissverständlich
- Vertrag – erforderlich zur Erfüllung eines Vertrags mit der Nutzerin oder dem Nutzer
- Rechtliche Verpflichtung – vorgeschrieben durch EU-Recht oder das Recht eines Mitgliedstaats
- Lebenswichtige Interessen – Schutz des Lebens
- Öffentliche Aufgabe – Ausübung öffentlicher Gewalt durch eine Behörde
- Berechtigte Interessen – Ihr Interesse, abgewogen gegen die Rechte der Nutzer
Wählen Sie für jeden Verarbeitungszweck die passende Grundlage. Marketing-E-Mails → Einwilligung. Konto-Login → Vertrag. Server-Logs → berechtigte Interessen. Steuerunterlagen → rechtliche Verpflichtung. Die Datenschutzerklärung muss die Rechtsgrundlage neben dem jeweiligen Zweck nennen.
Die acht Betroffenenrechte
- Auskunftsrecht (Artikel 15)
- Recht auf Berichtigung (Artikel 16)
- Recht auf Löschung / „Recht auf Vergessenwerden“ (Artikel 17)
- Recht auf Einschränkung der Verarbeitung (Artikel 18)
- Recht auf Datenübertragbarkeit (Artikel 20)
- Widerspruchsrecht (Artikel 21)
- Rechte im Zusammenhang mit automatisierten Entscheidungen (Artikel 22)
- Recht auf Widerruf der Einwilligung (Artikel 7 Abs. 3)
Ihre Datenschutzerklärung muss jedes dieser Rechte aufführen und einen Kontaktweg nennen. Die Antwortfrist beträgt einen Monat (Artikel 12 Abs. 3) und kann bei komplexen Anfragen auf drei Monate verlängert werden.
Internationale Datenübermittlungen nach Schrems II
Der Gerichtshof der Europäischen Union hat 2020 den EU-US Privacy Shield für ungültig erklärt. Der Nachfolger, das EU-US Data Privacy Framework, wurde im Juli 2023 von der Europäischen Kommission angenommen und ist derzeit die sicherste Grundlage für Übermittlungen in die USA. Für Übermittlungen ohne DPF verwenden Sie die Standardvertragsklauseln von 2021 zusammen mit einem Transfer Impact Assessment.
Bußgelder und Durchsetzung
Artikel 83 kennt zwei Stufen. Stufe 1 (bis zu 10 Mio. € oder 2 % des Umsatzes) betrifft Dokumentation, Sicherheit und Pflichten rund um den Datenschutzbeauftragten. Stufe 2 (bis zu 20 Mio. € oder 4 % des Umsatzes) betrifft Einwilligung, Rechtsgrundlage, Übermittlungen und Betroffenenrechte. Bekannte Bußgelder: Meta 1,2 Mrd. € (2023), Amazon 746 Mio. € (2021), TikTok 345 Mio. € (2023). Bei kleinen Anbietern beginnt die Durchsetzung mit Anordnungen zur Abhilfe, nicht mit Bußgeldern.