Definition der DSGVO
Die DSGVO (Datenschutz-Grundverordnung) ist eine europäische Verordnung, die am 25. Mai 2018 in Kraft getreten ist. Ihr Hauptziel ist der Schutz personenbezogener Daten der Bürger der Europäischen Union und die Gewährleistung ihrer Vertraulichkeit.
Diese Verordnung schreibt strenge Vorschriften hinsichtlich der Erhebung, Verarbeitung, Speicherung und Sicherheit personenbezogener Daten vor. Sie sieht zudem Sanktionen für den Fall der Nichteinhaltung gesetzlicher Verpflichtungen vor.
Einer der Grundsätze der DSGVO ist die Compliance durch Unternehmen, Organisationen und Institutionen, die Personenbezogene Daten verarbeiten. Dazu gehört die Benennung eines Verantwortlichen, oft begleitet von einem Datenschutzbeauftragten (DSB), der dafür zuständig ist, sicherzustellen, dass die durchgeführte Datenverarbeitung rechtmäßig, sicher, dokumentiert und in einem Verzeichnis der Verarbeitung erfasst ist, wodurch ein optimaler DSGVO-Datenschutz gewährleistet wird.
Was sind personenbezogene Daten?
Personenbezogene Daten sind alle Informationen, die eine direkte oder indirekte Identifizierung einer Person ermöglichen, unabhängig davon, ob es sich um eine identifizierte oder identifizierbare natürliche Person handelt. Dies ist ein Kernbegriff im Datenschutz und in der DSGVO.
Beispiele für personenbezogene Daten:
- Direkte Identifizierung: Nachname, Vorname, E-Mail-Adresse, Telefonnummer.
- Indirekte Identifizierung: Kundennummer, Online-Kennung, IP-Adresse, biometrische Daten (Fingerabdrücke, Gesichtserkennung), persönliche, wirtschaftliche, soziale oder kulturelle Merkmale.
Bestimmte Informationen gelten als Sensible Daten und erfordern verstärkte Schutzmaßnahmen:
- Ethnische Herkunft
- Politische Meinungen
- Religiöse Überzeugungen
- Gesundheitsdaten
- Biometrische Daten
- Sexuelle Orientierung
Eine natürliche Person kann identifiziert werden anhand von:
- Einem einzelnen Datenelement (z. B. Sozialversicherungsnummer, DNA).
- Einem Abgleich mehrerer Datenelemente (z. B. einer Kombination aus Adresse, Geburtsdatum und Abonnements).
Konkretes Beispiel: Eine Marketingdatei, die Informationen über Kaufgewohnheiten oder den Standort enthält, stellt eine Verarbeitung personenbezogener Daten dar, auch wenn der Name nicht genannt wird.
Was ist die Verarbeitung personenbezogener Daten?
Die Verarbeitung personenbezogener Daten bezeichnet jede Handlung in Bezug auf Daten, die die Identifizierung einer Person ermöglichen (Name, Adresse, E-Mail-Adresse, Telefonnummer usw.). Dazu können die Erhebung, Speicherung, Änderung, Nutzung oder auch die Datenlöschung solcher Daten gehören.
Die Verarbeitung muss stets einen klaren und rechtmäßigen Zweck haben und vom Verantwortlichen dokumentiert werden. Personenbezogene Daten dürfen nicht „nur für den Fall“ erhoben werden. Es muss einen triftigen Grund geben, der in direktem Zusammenhang mit Ihrer beruflichen Tätigkeit steht.
Konkretes Beispiel: Sie erfassen die Daten Ihrer Kunden, um ein Produkt zu liefern, eine Rechnung zu versenden oder eine Kundenkarte zu erstellen. Diese Handlungen sind Teil der Datenverarbeitung, deren Verarbeitungszweck das Kundenmanagement ist.
Der Begriff der Verarbeitung ist sehr weit gefasst. Er umfasst:
- die Pflege einer Kundendatei,
- die Erfassung von Kontaktdaten über ein Formular,
- die Aktualisierung einer Lieferantendatenbank usw.
💡 Wichtig: Eine Datei, die ausschließlich Unternehmensdaten enthält (z. B. Firmenname,
Was ist der Zweck der DSGVO?
Der Zweck der DSGVO besteht darin, den europäischen Bürgern mehr Kontrolle über ihre personenbezogenen Daten zu geben. Außerdem stärkt sie das Vertrauen in die Art und Weise, wie Unternehmen ihre Daten verwenden. Im Mittelpunkt der DSGVO stehen zentrale Grundsätze, die auf den Schutz der Privatsphäre und der Rechte der Personen abzielen: den Personen mehr Kontrolle über ihre personenbezogenen Daten zu geben
- und mehr Vertrauen in die Art und Weise zu schaffen, wie Unternehmen und Institutionen diese Daten verarbeiten. Im Mittelpunkt der DSGVO stehen zentrale Grundsätze, die auf den Schutz der Privatsphäre und der Rechte der Personen abzielen.
3 Ziele:
- Die Rechte der Personen stärken
- Diejenigen, die Daten verarbeiten, zu mehr Engagement und Verantwortlichkeit anhalten.
- Die Legitimität der Regulierung durch eine engere Zusammenarbeit zwischen den Datenschutzbehörden stärken.
Die Idee ist, neue digitale Herausforderungen und das erhöhte Risiko von Datenschutzvorfällen anzugehen und einen vertrauenswürdigen Rahmen für die Beziehungen zwischen Nutzern und Unternehmen zu gewährleisten.
Wen betrifft die DSGVO?
Die DSGVO gilt für jede Organisation, unabhängig von ihrer Größe oder ihrem Standort:
- die im Gebiet der Europäischen Union ansässig ist, oder
- die Personenbezogene Daten von Personen verarbeitet, die sich im Europäischen Wirtschaftsraum (EU + Norwegen + Island + Liechtenstein) befinden, auch wenn das Unternehmen seinen Sitz außerhalb der EU hat.
Dazu gehören:
- Wirtschaftsunternehmen
- Vereinigungen und NGOs
- öffentliche Einrichtungen
- Auftragsverarbeiter und Dienstleister
- Online-Dienstleister
👉 Auch Organisationen, die im Auftrag eines Unternehmens handeln (z. B. Subunternehmer/Auftragsverarbeiter), unterliegen den Verpflichtungen der DSGVO.
Die DSGVO gilt auch für Datenübertragungen in Drittländer außerhalb der EU. In solchen Fällen müssen spezifische Schutzmaßnahmen zum Schutz der übermittelten personenbezogenen Daten getroffen werden (Standardvertragsklauseln, Angemessenheitsbeschlüsse usw.).
Was ist die Verarbeitung personenbezogener Daten?
Verarbeitung personenbezogener Daten bezeichnet jeden Vorgang, der an Informationen durchgeführt wird, die die direkte oder indirekte Identifizierung einer Natürlichen Person ermöglichen.
Dazu können beispielsweise Nachname, Vorname, E-Mail-Adresse, Telefonnummer oder eine Kunden-ID gehören.
Die Verarbeitung beschränkt sich nicht auf die Datenerhebung: Sie umfasst auch die Speicherung, Änderung, Abfrage, Übermittlung und Datenlöschung.
Zweck und Rechtmäßigkeit der Verarbeitung
Eine Verarbeitungstätigkeit muss stets einen spezifischen, legitimen und klar definierten Zweck haben. Sie darf nicht „nur für den Fall“ durchgeführt werden. Jede Maßnahme in Bezug auf Personenbezogene Daten muss einem konkreten Ziel dienen, das mit Ihrer beruflichen Tätigkeit in Zusammenhang steht.
Beispiel: Das Erheben von Kundendaten zur Sicherstellung der Lieferung, zur Rechnungsstellung oder zur Verwaltung einer Kundenkarte stellt eine Datenverarbeitung dar, deren Zweck das Kundenbeziehungsmanagement ist.
Diese Verarbeitung muss zudem vom Verantwortlichen dokumentiert und geregelt werden, d. h. von der Person (oder Entität), die die Zwecke und Mittel der Verarbeitung festlegt.
Ein weit gefasster Begriff, der über die digitale Nutzung hinausgeht
Die DSGVO definiert Verarbeitung sehr weit, unabhängig vom verwendeten Medium (digital oder Papier). Die Verarbeitung kann unter anderem Folgendes umfassen:
- Erhebung
- Verzeichnis
- Organisation
- Speicherung
- Anpassung oder Änderung
- Abruf
- Einsichtnahme
- Nutzung
- Offenlegung durch Übermittlung
- Verbreitung oder jede andere Form der Bereitstellung
- Abgleich oder Verknüpfung
- Löschung oder Vernichtung
Konkrete Beispiele für die Verarbeitung
- Führung einer Kundendatei
- Erhebung von Kontaktdaten über ein Online-Formular
- Aktualisierung einer Lieferantendatenbank
- Übermittlung einer Datei an einen Dienstleister (z. B. Versand an eine Marketingplattform)
📌 Wichtig: Eine Datei, die ausschließlich Unternehmensdaten enthält (z. B. Firmenname, Telefonnummer der Zentrale, allgemeine E-Mail-Adresse), gilt nicht als Datenverarbeitung personenbezogener Daten, da sie keine Identifizierung einer Natürlichen Person ermöglicht.
📎 Hinweis: Die DSGVO gilt auch für Papierakten, die Personenbezogene Daten enthalten. Diese müssen ebenso wie digitale Dateien durch geeignete technische und organisatorische Maßnahmen geschützt werden.
Rechtsgrundlagen einschließlich Einwilligung
Einer der wichtigsten Aspekte der DSGVO ist die Notwendigkeit einer Rechtsgrundlage für die Datenverarbeitung, einschließlich der Einwilligung. In einigen Fällen müssen Organisationen vor der Datenerhebung und Verarbeitung personenbezogener Daten eine klare und spezifische Einwilligung der betroffenen Personen einholen. Diese Einwilligung muss freiwillig erteilt werden, auf der Grundlage ausreichender Informationen beruhen und von der betroffenen Person jederzeit widerrufen werden können. Sechs Rechtsgrundlagen ermöglichen die Verarbeitung personenbezogener Daten:
In einigen Fällen müssen Organisationen eine klare und spezifische Einwilligung von den betroffenen Personen einholen. Diese Einwilligung muss vor der Erhebung und Verarbeitung ihrer Personenbezogenen Daten eingeholt werden. Diese Einwilligung muss freiwillig erteilt, auf der Grundlage ausreichender Informationen erfolgt und jederzeit von der betroffenen Person widerrufbar sein.
Sechs Rechtsgrundlagen erlauben die Verarbeitung von Personenbezogenen Daten:
- Einwilligung
- berechtigte Interessen
- Lebenswichtige Interessen
- öffentliches Interesse
- gesetzliche Verpflichtung
- Vertrag
Betroffenenrechte
Die DSGVO garantiert Einzelpersonen verschiedene Rechte:
- Recht auf Auskunft
- Recht auf Berichtigung
- Recht auf Löschung (oder Recht auf Vergessenwerden)
- Recht auf Datenübertragbarkeit
- Widerspruchsrecht
- Recht auf Einschränkung der Verarbeitung
Der Verantwortliche ist verpflichtet, die Ausübung dieser Rechte innerhalb angemessener Fristen zu ermöglichen.
Rechenschaftspflicht
Eine weitere wesentliche Bestimmung der DSGVO ist der Grundsatz der Rechenschaftspflicht und Transparenz von Organisationen. Unternehmen müssen ihre Compliance mit der DSGVO nachweisen können, indem sie Datenschutzmaßnahmen umsetzen und detaillierte Verarbeitungsverzeichnisse über ihre Datenverarbeitungsaktivitäten führen.
DSGVO-Sanktionen
Die DSGVO führt zudem strenge Sanktionen für den Fall der Nichteinhaltung ein. Datenschutzbehörden sind befugt, Geldbußen in Höhe von bis zu 4 % des weltweiten Jahresumsatzes eines Unternehmens oder 20 Millionen Euro zu verhängen, je nachdem, welcher Betrag höher ist.
Die DSGVO zielt darauf ab, ein Umfeld zu schaffen, in dem Personen die Kontrolle über ihre eigenen Daten haben und Organisationen diese Daten verantwortungsbewusst und ethisch verarbeiten.
Auch wenn die Umsetzung für viele Unternehmen eine Herausforderung darstellen mag, ist die DSGVO ein bedeutender Schritt hin zu einem besseren Schutz der Privatsphäre und der individuellen Rechte im digitalen Zeitalter.
Dastra-DSGVO-Software
Möchten Sie DSGVO-konform sein? Die Dastra-Software bietet viele Funktionen, die Ihnen helfen, Datenschutzstandards zu erfüllen.