Definition
Die Datenschutz-Grundverordnung (DSGVO) ist eine Verordnung der Europäischen Union, die den Schutz personenbezogener Daten regelt. Sie trat im Mai 2016 in Kraft, gilt seit dem 25. Mai 2018 und wirkt unmittelbar in allen Mitgliedstaaten der EU. Ziel der DSGVO ist es, ein einheitliches Datenschutzniveau innerhalb der EU zu gewährleisten und den freien Datenverkehr zu sichern.
Personenbezogene Daten umfassen alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Die DSGVO definiert Rechte für Betroffene sowie Pflichten für Verantwortliche und Auftragsverarbeiter im Umgang mit solchen Daten.
Verabschiedet wurde die Verordnung im April 2016, nach einer Übergangsfrist ist sie seit Mai 2018 verbindlich anzuwenden. Zum EU-Datenschutz gehören neben der DSGVO weitere Regelungen, etwa die ePrivacy-Richtlinie zu Cookies und elektronischer Kommunikation, die in Deutschland im TDDDG umgesetzt ist, sowie nationale Ergänzungen wie das Bundesdatenschutzgesetz.
Was bedeutet das für Ihr Unternehmen?
Die DSGVO betrifft jedes Unternehmen, das Kundendaten, Bewerbungen oder Kontaktanfragen verarbeitet, unabhängig von der Größe. Im Alltag zeigt sie sich an konkreten Stellen: Datenschutzerklärung und Cookie-Banner der Website, Verträge zur Auftragsverarbeitung mit Hosting- und Softwareanbietern, Löschfristen und die Fähigkeit, eine Auskunftsanfrage innerhalb eines Monats zu beantworten. Wer neue Software einführt, sollte vorab festhalten, welche personenbezogenen Daten sie speichert, wo die Server stehen und wer darauf zugreifen kann.
Hintergrund und Standardisierung
Die DSGVO wurde als Reaktion auf die zunehmende Digitalisierung und die damit verbundenen Herausforderungen im Datenschutz entwickelt. Sie ersetzt die Datenschutzrichtlinie 95/46/EG, die zuvor in den Mitgliedstaaten unterschiedlich umgesetzt wurde. Die Verordnung wurde vom Europäischen Parlament, dem Rat der Europäischen Union und der Europäischen Kommission gemeinsam verabschiedet.
Die Harmonisierung durch die DSGVO soll insbesondere Unternehmen den grenzüberschreitenden Datenverkehr erleichtern und gleichzeitig den Schutz der Privatsphäre stärken. Die Verordnung ist seit ihrem Inkrafttreten unmittelbar anwendbar und benötigt keine nationale Umsetzung durch die Mitgliedstaaten.
Inhalte und Regelungen
Die DSGVO legt umfangreiche Anforderungen an die Verarbeitung personenbezogener Daten fest. Dazu zählen Grundsätze wie Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung und Speicherbegrenzung. Verantwortliche müssen geeignete technische und organisatorische Maßnahmen zum Schutz der Daten ergreifen.
Betroffene Personen erhalten durch die DSGVO verschiedene Rechte, darunter das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Zudem schreibt die Verordnung vor, dass bei Datenschutzverletzungen unter bestimmten Voraussetzungen eine Meldung an die Aufsichtsbehörde erfolgen muss.
Anwendung in der Praxis
Die DSGVO gilt für alle Unternehmen und Organisationen, die personenbezogene Daten von Personen in der EU verarbeiten, wenn sie in der EU niedergelassen sind oder diesen Personen Waren und Dienstleistungen anbieten oder ihr Verhalten beobachten, unabhängig davon, ob der Sitz des Unternehmens in der EU liegt. Dies betrifft sowohl private als auch öffentliche Stellen. Die Verordnung hat somit eine extraterritoriale Wirkung.
Zur Durchsetzung der DSGVO sind in den Mitgliedstaaten Datenschutzaufsichtsbehörden eingerichtet, die Befugnisse zur Kontrolle und Sanktionierung haben. Verstöße gegen die Verordnung können mit Bußgeldern von bis zu 20 Millionen Euro oder bis zu vier Prozent des weltweiten Jahresumsatzes geahndet werden.
Abgrenzung zu verwandten Begriffen
Die DSGVO ist Teil des europäischen Datenschutzrechts und ergänzt nationale Datenschutzgesetze, die einzelne Aspekte konkretisieren dürfen, solange sie nicht den Vorgaben der Verordnung widersprechen. In Deutschland ist dies insbesondere das Bundesdatenschutzgesetz (BDSG).
Im Vergleich zu anderen Datenschutzstandards wie dem US-amerikanischen California Consumer Privacy Act (CCPA) ist die DSGVO umfassender und strenger in Bezug auf Betroffenenrechte und Pflichten der Datenverarbeiter. Während die DSGVO EU-weit gilt, beschränken sich andere Regelungen oft auf einzelne Staaten oder Branchen.