Was ist die DSGVO?
Was ist die DSGVO und was verlangt sie wirklich von Unternehmen?
Dieser Artikel erläutert die Grundprinzipien der Verordnung, einschließlich Privacy by Design, Privacy by Default und die Rolle der Datenschutz-Folgenabschätzung (DSFA) bei der Bewertung von Hochrisiko-Verarbeitungen. Ein praktischer Überblick über die wichtigsten Schritte zum Aufbau einer nachhaltigen DSGVO-Compliance.
Was ist die DSGVO?
DSGVO: Eine europäische Verordnung
Die Datenschutz-Grundverordnung, oder DSGVO, ist der maßgebliche europäische Rechtsrahmen für den Schutz personenbezogener Daten. Sie gilt seit dem 25. Mai 2018 in der gesamten Europäischen Union.
Der durch die DSGVO geschaffene Rechtsrahmen soll Transparenz gewährleisten, die Rechte der betroffenen Personen schützen, Unternehmen für die Verarbeitung personenbezogener Daten in die Verantwortung nehmen und die nationalen Aufsichtsbehörden stärken.
Die DSGVO gilt grundsätzlich für jede öffentliche oder private Organisation (Unternehmen, gemeinnützige Organisation, öffentliche Verwaltung usw.) mit Sitz in der Europäischen Union. Unter bestimmten Voraussetzungen findet sie auch Anwendung auf Unternehmen, die außerhalb der EU ansässig sind.
Privacy by Design / Privacy by Default
Privacy by Design
Massive Datenlecks machen zunehmend Schlagzeilen. Vor diesem Hintergrund setzte sich das Konzept des Privacy by Design rasch als bewährte Praxis für die Verarbeitung und Speicherung personenbezogener Daten durch.
Was ist Privacy by Design?
Das in Artikel 25 der Datenschutz-Grundverordnung verankerte Prinzip verpflichtet Organisationen, Datenschutzmaßnahmen bereits bei der Planung von Verarbeitungstätigkeiten zu berücksichtigen. Dabei sind sowohl die Art der verarbeiteten Daten als auch die an der Verarbeitung beteiligten Akteure (Auftragsverarbeiter, Datenschutzbeauftragte, Projektverantwortliche usw.) einzubeziehen.
Diese technischen und organisatorischen Maßnahmen unterstützen die Einhaltung der DSGVO und tragen dazu bei, die Privatsphäre der betroffenen Personen wirksam zu schützen.
Organisationen setzen auf einen präventiven Ansatz, um datenschutzwidrige Verarbeitungstätigkeiten zu vermeiden.
Nutzen Sie die Projektmanagement-Tools der EQS Privacy Cockpit Software, um Ihre Projekte Privacy-by-Design-konform zu gestalten!
Privacy by Default
Der Privacy-by-Design-Ansatz allein reicht jedoch nicht aus, um ein angemessenes Datenschutzniveau sicherzustellen.
Sobald ein Produkt oder eine Dienstleistung auf den Markt kommt, rückt ein weiterer Ansatz in den Fokus: Privacy by Default.
Privacy by Default besagt, dass ein Produkt oder eine Dienstleistung bereits in den Standardeinstellungen den Datenschutzanforderungen entsprechen muss, sodass Nutzer keine zusätzlichen Einstellungen vornehmen müssen, um ihre personenbezogenen Daten zu schützen.
So sollten Nutzer bei einer Software keine Einstellungen anpassen müssen, um ihre personenbezogenen Daten besser zu schützen. Alle Datenschutzvorgaben sollten bereits standardmäßig konfiguriert sein.
Privacy by Design in der Praxis: So gelingt die Umsetzung
Privacy by Design basiert auf 7 Prinzipien:
- Ergreifen Sie proaktiv präventive Maßnahmen, um Verletzungen des Schutzes personenbezogener Daten zu vermeiden: Antizipieren und verhindern Sie Datenschutzverletzungen, bevor sie eintreten.
- Stellen Sie sicher, dass Datenschutz standardmäßig gewährleistet ist – durch automatisierte und integrierte Datenschutzmechanismen. Dieser Schutz muss automatisch greifen: Betroffene Personen sollten ihn weder ausdrücklich anfordern noch selbst aktivieren müssen.
- Privacy by Design bei Systemen und Geschäftsprozessen: Datenschutz muss bereits bei der Entwicklung von Informationssystemen berücksichtigt und fest in den zugrunde liegenden Prozessen verankert werden.
- Gewährleisten Sie den Schutz personenbezogener Daten während des gesamten Aufbewahrungszeitraums: Es müssen alle erforderlichen Maßnahmen umgesetzt werden, um die Daten zu schützen und nach Ablauf der vorgeschriebenen Frist sicher zu löschen
- Gewährleisten Sie einen integrierten Schutz der Privatsphäre: Der Schutz personenbezogener Daten muss sichergestellt werden, wobei gleichzeitig die berechtigten Interessen und Ziele der Organisation berücksichtigt werden
- Respektieren Sie die Privatsphäre der Nutzer: Die Interessen betroffener Personen haben Vorrang und müssen von Organisationen bereits bei der Konzeption von Projekten im Einklang mit den Datenschutzvorschriften berücksichtigt werden
- Gewährleisten Sie Sichtbarkeit und Transparenz der organisatorischen Praktiken: Jeder Aspekt der Systeme zum Schutz personenbezogener Daten muss im Falle eines Audits transparent und nachvollziehbar sein. Auf diese Weise wird Vertrauen geschaffen.
Die Grundsätze des Privacy by Design sollten bei jeder organisatorischen Veränderung berücksichtigt werden, etwa bei der Einführung neuer Technologien zur Verarbeitung personenbezogener Daten.
DSFA: Risikoanalyse und Prävention
Was versteht man unter einer DSFA gemäß DSGVO?
Eine Datenschutz-Folgenabschätzung (DSFA) ist ein Instrument, das Organisationen dabei unterstützt, ihrer Rechenschaftspflicht bei der Verarbeitung personenbezogener Daten nachzukommen. Genauer gesagt handelt es sich um eine Risikobewertung, die sich auf personenbezogene Daten konzentriert, die bei ihrer Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen darstellen.
Welche Verarbeitungsaktivitäten erfordern eine DSFA gemäß DSGVO?
Eine Datenschutz-Folgenabschätzung (DSFA) ist ein Instrument, das Organisationen dabei unterstützt, ihrer Rechenschaftspflicht bei der Verarbeitung personenbezogener Daten nachzukommen. Genauer gesagt handelt es sich um eine Risikobewertung, die sich auf personenbezogene Daten konzentriert, die bei ihrer Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen darstellen.
Welche Verarbeitungsaktivitäten erfordern eine DSFA gemäß DSGVO?
Artikel 35 DSGVO enthält eine nicht abschließende Liste von Verarbeitungstätigkeiten, für die eine DSFA verpflichtend ist:
- Umfangreiche Datenverarbeitung
- Systematische Überwachung
- Automatisierte Entscheidungen mit rechtlichen Auswirkungen
- Verarbeitung sensibler personenbezogener Daten
- Bewertung oder Einstufung auf der Grundlage personenbezogener Daten, einschließlich Profiling und Prognosen
- Verarbeitung biometrischer Daten sowie von Daten zu Straftaten und Verurteilungen
- Verarbeitung im Zusammenhang mit neuen/innovativen Technologien
- Zusammenführung und Verknüpfung von Datenbeständen
Nach den Leitlinien der Datenschutzaufsichtsbehörden ist eine DSFA in der Regel erforderlich, wenn mindestens zwei der oben genannten Kriterien erfüllt sind.
Die lokalen Aufsichtsbehörden behalten sich das Recht vor, die Liste der Verarbeitungsaktivitäten, die eine Folgenabschätzung erfordern, zu erweitern.
Anwendungsfälle
Ein Unternehmen plant die Einführung eines Systems zur Überprüfung ausgehender E-Mails, um mögliche Verstöße gegen die Vertraulichkeit von Informationen zu erkennen. Der Datenschutzbeauftragte (DSB) empfiehlt die Durchführung einer DSFA, da ein solches System mindestens zwei der genannten Kriterien erfüllt – systematische Überwachung und den Einsatz innovativer Technologien.
Wie führen Sie eine DSFA gemäß DSGVO durch?
Der Verantwortliche (engl. Data Controller) ist für die Durchführung der DSFA zuständig. Diese muss vor der Umsetzung der Verarbeitungstätigkeit durchgeführt werden.
Es gibt verschiedene Möglichkeiten, eine DSFA durchzuführen.
Kurz gesagt erfasst eine DSFA die vollständige rechtliche Grundlage einer Verarbeitungstätigkeit sowie alle potenziellen negativen Folgen für die betroffenen Personen. Sind die Risiken für die betroffenen Personen zu hoch, müssen Maßnahmen zur Risikominderung ergriffen und dokumentiert werden. Sind die Risiken gering, kann die Verarbeitungstätigkeit umgesetzt werden.
Vereinfachen Sie Ihre DSGVO-Compliance mit unserem kostenlosen Whitepaper und unserer Checkliste zur Datenschutz-Folgenabschätzung (DSFA).
Erfahren Sie, wann eine DSFA erforderlich ist, wie Sie Verarbeitungsvorgänge mit hohem Risiko – etwa beim Einsatz von KI oder bei der Verarbeitung sensibler Daten – bewerten und wirksame Maßnahmen zur Risikominderung umsetzen.
Ein praxisorientierter Leitfaden für Datenschutzbeauftragte, Compliance-Verantwortliche und Rechtsteams, um die Rechenschaftspflicht sicherzustellen und aufsichtsrechtliche Maßnahmen zu vermeiden.
Fazit
Die Datenschutz-Grundverordnung (DSGVO) ist der wichtigste europäische Rechtsrahmen für den Schutz personenbezogener Daten. Sie ist seit dem 25. Mai 2018 in Kraft und gilt für jede Organisation, die personenbezogene Daten von Personen innerhalb der Europäischen Union verarbeitet. Sie stärkt die Transparenz, räumt betroffenen Personen umfassendere Rechte ein und stellt deutlich höhere Anforderungen an die Rechenschaftspflicht privater wie öffentlicher Organisationen bei der Verarbeitung personenbezogener Daten. Verstöße können mit erheblichen Sanktionen geahndet werden.
