Was ist DSGVO-Compliance? Wie man konform bleibt

Da der Datenschutz zu einem vorrangigen Anliegen geworden ist, wurde die Datenschutz-Grundverordnung, besser bekannt als DSGVO, als entscheidender Meilenstein für den Schutz personenbezogener Daten eingeführt. Da sich Unternehmen auf der ganzen Welt mit den tiefgreifenden Auswirkungen dieser Verordnung auseinandersetzen, war das Verständnis der DSGVO-Compliance noch nie so wichtig wie heute. 

In diesem Artikel begeben wir uns auf eine umfassende Reise durch die komplizierte Welt von DSGVO und EU-Datenschutz. Wir werden die grundlegenden Prinzipien entmystifizieren, die Rechte erforschen, die sie dem Einzelnen zugestehen, und uns mit den strengen Pflichten befassen, die sie Unternehmen auferlegen. Darüber hinaus geben wir Ihnen praktische Einblicke und Strategien an die Hand, mit denen Sie sicherstellen können, dass Ihr Unternehmen die DSGVO einhält und den Datenschutz als Eckpfeiler des Vertrauens und der Verantwortlichkeit in unserer datenreichen Welt begreift. 

In diesem Artikel werden folgende Themen angesprochen:

• Was ist die DSGVO-Compliance?
• Was ist der Zweck der DSGVO?
• Wer ist von der DSGVO-Verordnung betroffen?
• Die wichtigsten DSGVO-Anforderungen
• Sicherstellung der Einhaltung der Datenschutz-Grundverordnung: Checkliste und praktische Schritte
• Risiken der Nichteinhaltung

Was ist DSGVO-Compliance?

Die Einhaltung der DSGVO bezieht sich auf die Einhaltung der Regeln und Anforderungen, die in der Datenschutz-Grundverordnung (DSGVO), einer umfassenden Datenschutzverordnung, die von der Europäischen Union (EU) im Mai 2018 eingeführt wurde. Sie soll dem Einzelnen mehr Kontrolle über seine persönlichen Daten geben und einheitliche Datenschutzregeln und -praktiken in den EU-Mitgliedstaaten schaffen.

Was ist der Zweck der DSGVO?

Der Hauptzweck der allgemeinen Datenschutzverordnung (DSGVO) ist der Schutz der Privatsphäre und der personenbezogenen Daten von Einzelpersonen. Zu diesem Zweck wird ein umfassendes Framework dafür geschaffen, wie Unternehmen mit personenbezogenen Daten umgehen sollten, und dem Einzelnen eine größere Kontrolle über seine eigenen Daten gewährt. Im Folgenden werden einige der wichtigsten Zwecke und Ziele der Datenschutz-Grundverordnung aufgeführt:

• Schutz der Privatsphäre des Einzelnen: Die DSGVO zielt darauf ab, die Privatsphäre und die Grundrechte des Einzelnen zu schützen, indem sie festlegt, dass personenbezogene Daten transparent, fair und rechtmäßig verarbeitet werden müssen.
• Datenrechte: Sie räumt dem Einzelnen mehrere Rechte ein, darunter das Recht auf Zugang zu seinen Daten, das Recht auf Löschung seiner Daten (das „Recht auf Vergessenwerden“), das Recht auf Datenübertragbarkeit und das Recht zu erfahren, wie seine Daten verwendet werden.
• Zustimmung: Die Datenschutz-Grundverordnung verlangt von Unternehmen, dass sie vor der Erhebung und Verarbeitung ihrer Daten die eindeutige und informierte Zustimmung von Einzelpersonen einholen, um sicherzustellen, dass diese ein Mitspracherecht haben, wie ihre Daten verwendet werden.
• Sicherheit der Daten: Sie schreibt vor, dass Unternehmen angemessene Sicherheitsmaßnahmen ergreifen müssen, um personenbezogene Daten vor Verstößen zu schützen, und legt strenge Berichterstattungsanforderungen für den Fall von Datenschutzverletzungen.
• Rechenschaftspflicht und Governance: Unternehmen sind verpflichtet, Datenschutzrichtlinien zu erstellen und durchzusetzen, Datenschutzbeauftragte (DPO) zu ernennen und Datenschutz-Folgenabschätzungen (DPIA) durchzuführen, um die Einhaltung der Datenschutzbestimmungen zu gewährleisten.
• Globale Auswirkungen: DSGVO betrifft Unternehmen weltweit, die Daten von Personen innerhalb der Europäischen Union verarbeiten, was die Verordnung zu einem globalen Standard für Datenschutz und Privatsphäre macht.
• Sanktionen und Durchsetzung: Die EU-DSGVO sieht strenge Strafen für die Nichteinhaltung vor, darunter auch hohe Geldstrafen.

Im Großen und Ganzen zielt die Datenschutz-Grundverordnung darauf ab, ein transparenteres und verantwortungsvolleres Umfeld für die Verarbeitung personenbezogener Daten zu schaffen, das Vertrauen zwischen Einzelpersonen und den Unternehmen, die ihre Daten verarbeiten, zu fördern und Einzelpersonen mehr Kontrolle über ihre personenbezogenen Daten zu geben.

Was sind personenbezogene Daten im Sinne der DSGVO?

Gemäß Artikel 4 der Datenschutz-Grundverordnung sind personenbezogene Daten definiert als „alle Informationen über eine bestimmte oder bestimmbare natürliche Person“, die von Unternehmen entweder mit automatisierten oder manuellen Mitteln verarbeitet werden.

Um Verwirrung und Fehlinterpretationen zu vermeiden, werden hier einige Besonderheiten der gegebenen Definition erläutert.

• Individuelle Daten vs. Unternehmensdaten: Da sich personenbezogene Daten auf eine Einzelperson beziehen, gelten Daten von Unternehmen und Organisationen, die gewöhnlich als „juristische Personen“ bezeichnet werden, nicht als personenbezogene Daten. Außerdem gelten Informationen über eine verstorbene Person gemäß der Definition von „natürlicher Person“ nicht als personenbezogene Daten.
• Jede Information: Dieser Teil impliziert, dass personenbezogene Daten alles umfassen können, von objektiven, quantifizierbaren Merkmalen (zum Beispiel Gewicht, Größe) bis zu subjektiven Eigenschaften (zum Beispiel Testamente, Bewertungen).
• Falsche, überholte oder unrichtige Informationen: Daten können, unabhängig von ihrer Genauigkeit, immer noch als personenbezogene Daten gelten, solange sie sich auf eine bestimmte Person beziehen. Nur wenn die Informationen so falsch sind, dass die Person nicht identifiziert werden kann, zählen sie nicht.

Wer ist von den DSGVO-Vorschriften betroffen?

Die Datenschutz-Grundverordnung (DSGVO) betrifft eine Vielzahl von Personen und Unternehmen. Ihre Reichweite ist nicht auf die Europäische Union (EU) beschränkt, da sie einen extraterritorialen Geltungsbereich hat. Hier sind einige der wichtigsten Einrichtungen, die von der Datenschutz-Grundverordnung betroffen sind:

Betroffene Personen der EU

Die DSGVO wirkt sich unmittelbar auf Personen aus, die Bürger:innen oder Einwohner:innen der Europäischen Union sind. Sie gewährt ihnen mehr Rechte und Schutz in Bezug auf ihre personenbezogenen Daten.

Datenverantwortliche

Jedes Unternehmen, unabhängig von ihrem Standort, die die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt, gilt als Datenverantwortlicher. Dazu gehören Unternehmen, gemeinnützige Organisationen, Regierungsbehörden und alle anderen Einrichtungen, die die Kriterien erfüllen.

Datenverarbeiter

Unternehmen oder Einrichtungen, die personenbezogene Daten im Auftrag der Datenverantwortlichen verarbeiten, werden als Datenverarbeiter bezeichnet. Dazu gehören unter anderem IT-Dienstleister (MSPs), Cloud-Dienste und Marketingagenturen.

Datenschutzbeauftragte

Bestimmte Unternehmen, insbesondere solche, die umfangreiche Daten verarbeiten oder mit sensiblen Daten umgehen, sind verpflichtet, einen Datenschutzbeauftragten zu ernennen, um die DSGVO-Compliance zu gewährleisten.

Datenschutzbehörden der EU-Mitgliedstaaten

Jeder EU-Mitgliedstaat hat seine eigene Datenschutzbehörde, die für die Durchsetzung der DSGVO in diesem Mitgliedstaat zuständig ist.

Internationale Unternehmen

Die Datenschutz-Grundverordnung gilt für Unternehmen außerhalb der EU, die Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten überwachen. Das bedeutet, dass Unternehmen und Webseiten in der ganzen Welt die Vorschriften einhalten müssen, wenn sie mit Bürger:innen der Europäischen Union zu tun haben.

Vertreter der betroffenen Personen

Unternehmen, die nicht in der EU ansässig sind, aber der DSGVO unterliegen, müssen möglicherweise einen Vertreter in der EU benennen, der als Ansprechpartner für Datenschutzfragen fungiert.

Gesetzliche Vertreter der betroffenen Personen

In bestimmten Fällen, wenn die betroffenen Personen minderjährig, entmündigt oder verstorben sind, erkennt die DSGVO ihre gesetzlichen Vertreter an, die in ihrem Namen Datenschutzrechte ausüben können.

Drittanbieter

Unternehmen müssen möglicherweise sicherstellen, dass Drittanbieter und Dienstleister die DSGVO ebenfalls einhalten, wenn sie in ihrem Namen personenbezogene Daten verarbeiten.

Die wichtigsten DSGVO-Anforderungen

Für Unternehmen, die personenbezogene Daten verarbeiten, ist es wichtig, die wichtigsten Anforderungen der Datenschutz-Grundverordnung (DSGVO) zu verstehen. Hier sind einige der wichtigsten DSGVO-Anforderungen, die zu beachten sind:

• Rechtmäßige Grundlage für die Datenverarbeitung: Die Datenverarbeitung muss auf einer rechtmäßigen Grundlage beruhen, zu der die Einwilligung, die vertragliche Notwendigkeit, die Erfüllung einer rechtlichen Verpflichtung, der Schutz lebenswichtiger Interessen, die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, oder die berechtigten Interessen des Datenverantwortlichen oder eines Drittanbieters gehören können.
• Grundsätze der Datenverarbeitung: Die DSGVO legt die wichtigsten Grundsätze für die Verarbeitung personenbezogener Daten fest, darunter Rechtmäßigkeit, Fairness, Transparenz, Zweckbindung, Datenminimierung, Genauigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit.
• Transparenz und Zustimmung: Unternehmen müssen den betroffenen Personen klare und leicht verständliche Informationen darüber geben, wie ihre Daten verwendet werden. Die Zustimmung zur Datenverarbeitung muss frei, spezifisch, in Kenntnis der Sachlage und unmissverständlich erteilt werden. Die betroffenen Personen haben das Recht, ihre Einwilligung jederzeit zu widerrufen.
• Rechte der betroffenen Person: Eine Datenschutzrichtlinie nach der DSGVO räumt dem Einzelnen mehrere Rechte ein, darunter das Recht auf Zugang zu seinen Daten, das Recht auf Löschung seiner Daten (das „Recht auf Vergessenwerden“), das Recht auf Datenübertragbarkeit und das Recht auf Widerspruch gegen bestimmte Arten der Datenverarbeitung.
• Datenschutz-Folgenabschätzungen (DPIAs): Unternehmen müssen Datenschutzfolgenabschätzungen durchführen, wenn die Verarbeitung von Daten wahrscheinlich hohe Risiken für die Rechte und Freiheiten der betroffenen Personen mit sich bringt, zum Beispiel bei der Verarbeitung sensibler Daten oder beim Einsatz neuer Technologien.
• Datenschutz durch Design und Voreinstellungen: Der Datenschutz sollte in das Design und die Standardeinstellungen von Systemen, Produkten und Dienstleistungen integriert werden. Das bedeutet, dass Überlegungen zum Datenschutz Teil des Entwicklungsprozesses sein sollten.
• Benachrichtigung über Datenschutzverletzungen: Unternehmen müssen die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden einer Datenschutzverletzung benachrichtigen, und in bestimmten Fällen müssen sie auch die betroffenen Personen informieren.
• Datenschutzbeauftragte (DSB): Einige Unternehmen sind verpflichtet, einen Datenschutzbeauftragten zu ernennen, der die Datenschutzangelegenheiten überwacht. Die behördlichen Datenschutzbeauftragten sollten Expert:innen auf dem Gebiet des Datenschutzes sein und in ihrer Funktion unabhängig.
• Internationale Datenübermittlung: Bei der Übermittlung personenbezogener Daten in Länder außerhalb der EU/des EWR müssen Unternehmen ein angemessenes Schutzniveau gewährleisten. Dies könnte die Verwendung von Standardvertragsklauseln oder anderen zugelassenen Mechanismen beinhalten.
• Rechenschaftspflicht und Dokumentation: Unternehmen sind verpflichtet, Aufzeichnungen über Datenverarbeitungsaktivitäten zu führen, Richtlinien und Verfahren für den Datenschutz einzuführen und regelmäßige Bewertungen der Compliance durchzuführen.
• Datenschutz-Folgenabschätzungen: Die Durchführung von Bewertungen, um die Auswirkungen der Datenverarbeitung auf die Rechte des Einzelnen auf den Schutz seiner Privatsphäre zu beurteilen, ist eine wichtige Voraussetzung, insbesondere bei der Einführung neuer Technologien oder Verfahren.
• Bußgelder und Strafen: Die Datenschutz-Grundverordnung ermöglicht es den Aufsichtsbehörden, bei Nichteinhaltung der Vorschriften Geldbußen zu verhängen, die je nach Schwere des Verstoßes recht hoch sein können.
• Einverständniserklärung für Kinder: Für die Verarbeitung personenbezogener Daten von Kindern gelten besondere Regeln. Für Kinder unter 16 Jahren ist in der Regel die Zustimmung der Eltern erforderlich (wobei diese Altersgrenze je nach EU-Mitgliedstaat variieren kann).

Dies sind einige der grundlegenden Anforderungen der DSGVO, aber die Verordnung ist umfassend, und Unternehmen sollten eine gründliche Analyse durchführen, um die Einhaltung der Vorschriften sicherzustellen. 

Sicherstellung der DSGVO-Compliance: Checkliste und praktische Schritte

Unsere praktische Checkliste zur Einhaltung der DSGVO kann Unternehmen dabei helfen, systematisch auf die Einhaltung der Vorschriften hinzuarbeiten und diese einzuhalten. Im Folgenden finden Sie eine vereinfachte Checkliste der Schritte, die für die Einhaltung der EU-DSGVO zu beachten sind:

1. Mapping und Erfassung von Daten:
   • Ermitteln Sie, welche personenbezogenen Daten Ihr Unternehmen sammelt, verarbeitet, speichert und weitergibt.
   • Dokumentieren Sie die Zwecke der Datenverarbeitung und die Rechtsgrundlage für die Verarbeitung.
2. Datenschutzrichtlinien und -hinweise:
   • Überprüfen und aktualisieren Sie Datenschutzrichtlinien und -hinweise, um sicherzustellen, dass sie klar und transparent sind.
   • Fügen Sie Informationen zu den Rechten der betroffenen Personen, zur Kontaktaufnahme mit dem Datenschutzbeauftragten (falls zutreffend) und zur Rechtsgrundlage für die Verarbeitung bei.
3. Zustimmungs- und Opt-in-Mechanismen:
   • Stellen Sie sicher, dass die Zustimmungsmechanismen explizit und unmissverständlich sind und von den Betroffenen leicht widerrufen werden können.
   • Überprüfen und aktualisieren Sie gegebenenfalls regelmäßig die Zustimmung.
4. Rechte der betroffenen Person:
   • Legen Sie Verfahren für die Bearbeitung von Anträgen der betroffenen Personen fest (zum Beispiel auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit).
   • Schulen Sie das Personal zur Erkennung und Beantwortung von Anfragen zu den Rechten der Betroffenen.
5. Datenschutz-Folgenabschätzungen (DPIAs):
   • Identifizieren und bewerten Sie risikoreiche Datenverarbeitungstätigkeiten.
   • Dokumentieren Sie die Bewertungen und ergreifen Sie Maßnahmen zur Risikominimierung.
6. Sicherheit der Daten:
   • Setzen Sie geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten durch.
   • Überprüfen und aktualisieren Sie regelmäßig die Sicherheitsmaßnahmen, einschließlich Verschlüsselung, Zugangskontrollen und Mitarbeiterschulung.
7. Reaktion auf Datenschutzverletzungen:
   • Entwickeln Sie einen Plan zur Reaktion auf Datenschutzverletzungen, einschließlich Verfahren zur Meldung und Benachrichtigung von Behörden und betroffenen Personen.
   • Testen Sie den Plan durch Simulationen.
8. Dokumentation zur Datenverarbeitung:
   • Dokumentieren Sie die Datenverarbeitungsaktivitäten.
   • Nehmen Sie Informationen über Datenübertragungen und Datenschutz-Folgenabschätzungen auf.
9. Datenschutzbeauftragter (DSB):
   • Ernennen Sie einen Datenschutzbeauftragten, wenn dies in der Datenschutz-Grundverordnung vorgeschrieben ist oder als Best Practice.
   • Vergewissern Sie sich, dass der DSB angemessen ausgebildet und unabhängig ist.
10. Anbieter-Management:
    • Überprüfen und aktualisieren Sie Verträge mit externen Datenverarbeitern, um die Einhaltung der DSGVO zu gewährleisten.
    • Stellen Sie sicher, dass die Anbieter dieselben Datenschutzstandards einhalten.
11. Internationale Datenübermittlung:
    • Setzen Sie geeignete Schutzmaßnahmen für internationale Datenübermittlungen durch, wie Standardvertragsklauseln (SCC) oder verbindliche Unternehmensregeln (BCR).
12. Schulung und Sensibilisierung:
    • Bieten Sie Ihren Mitarbeiter:innen DSGVO-Schulungen, um sicherzustellen, dass sie ihre Verantwortung verstehen.
    • Fördern Sie eine Kultur des Datenschutzes und des Bewusstseins für den Schutz der Privatsphäre.
13. Aufbewahrung und Löschung von Aufzeichnungen:
    • Legen Sie Richtlinien zur Datenaufbewahrung und -löschung fest, um dafür zu sorgen, dass die Daten nicht länger als nötig aufbewahrt werden.
    • Dokumentieren Sie Löschanträge und ergriffene Maßnahmen.
14. Regelmäßige Compliance-Audits:
    • Führen Sie regelmäßige interne Audits und Bewertungen durch, um die Einhaltung der Vorschriften zu überprüfen.
    • Identifizieren und korrigieren Sie Bereiche, in denen die Vorschriften nicht eingehalten werden.
15. Berichterstattung an die Aufsichtsbehörden:
    • Bereiten Sie sich darauf vor, der zuständigen Aufsichtsbehörde alle Datenschutzverletzungen innerhalb des vorgeschriebenen Zeitrahmens zu melden.
16. DSGVO-Dokumentation:
    • Führen Sie ein Repository der DSGVO-bezogenen Dokumentation, einschließlich Richtlinien, Verfahren und Aufzeichnungen.
17. Regelmäßige Überprüfung und Aktualisierung:
    • Überwachen Sie laufend die Änderungen der DSGVO-Vorschriften und aktualisieren Sie Ihre Maßnahmen um die Einhaltung der Vorschriften entsprechend.
18. Auswirkungen der neuen Technologien:
    • Halten Sie sich über die Auswirkungen neuer Technologien auf den Datenschutz auf dem Laufenden und passen Sie Ihre Richtlinien und Verfahren bei Bedarf an.

Diese Checkliste bietet einen vereinfachten Überblick darüber, wie Sie die DSGVO einhalten können. Um eine umfassende Compliance zu gewährleisten, ist es ratsam, sich von Rechts- und Datenschutzexpert:innen beraten zu lassen.

Risiken der Nichteinhaltung

Die Nichteinhaltung der Datenschutz-Grundverordnung (DSGVO) birgt erhebliche Risiken, einschließlich Geldbußen, die sich auf Millionen Euro oder 4 % des weltweiten Jahresumsatzes eines Unternehmens belaufen können, je nachdem, welcher Betrag höher ist. 

Abgesehen von den finanziellen Strafen kann die Nichteinhaltung der Vorschriften zu einer Schädigung des Rufs, einem Vertrauensverlust bei den Kunden und möglichen Klagen der betroffenen Personen führen. Organisationen, die die Anforderungen der DSGVO nicht erfüllen, müssen möglicherweise mit Einschränkungen bei der Datenverarbeitung oder bei der Ausübung bestimmter Geschäftstätigkeiten rechnen.

Die jüngsten Ereignisse haben die strenge und kostspielige Umsetzung der Datenschutz-Grundverordnung verdeutlicht.

• Im Oktober 2020 verhängte das Information Commissioner’s Office eine Geldstrafe in Höhe von 20 Millionen Pfund gegen British Airways wegen der Verletzung des Datenschutzes von über 400.000 Kunden.
• Im Juli 2021 verhängte die luxemburgische Datenschutzbehörde gegen Amazon eine Geldstrafe von über 746 Millionen Euro wegen Nichteinhaltung der Vorschriften.

Die Komplexität der DSGVO-Compliance und die potenziellen Folgen unterstreichen, wie wichtig es ist, die Datenschutzbestimmungen ernst zu nehmen, sowohl innerhalb der Europäischen Union als auch für Unternehmen weltweit, die mit den personenbezogenen Daten von EU-Bürger:innen umgehen.

Beherrschen Sie alles um IT und Compliance mit NinjaOne

Wie Sie bemerken, unterstreicht die DSGVO, wie wichtig es ist, den Datenschutz und die Vorschriften zum Schutz der Privatsphäre ernst zu nehmen. Diese einzelne Verordnung ist zwar umfassend, stellt aber nur einen Tropfen auf den heißen Stein des Datenschutzes dar. IT-Expert:innen müssen damit rechnen, dass die Erwartungen ihrer Stakeholder:innen, Kunden und Regierungsbehörden in Bezug auf Datenschutz und Sicherheit steigen, da weltweit neue Vorschriften eingeführt werden.

NinjaOne, eine umfassende IT-Verwaltungs- und Überwachungsplattform, kann mit einer Reihe von Tools und Funktionen bei der Einhaltung der DSGVO helfen. Es unterstützt Unternehmen bei der Datenzuordnung und -inventarisierung, bei Sicherheitsmaßnahmen und bei der Reaktion auf Datenverletzungen. Darüber hinaus können die Audit- und Berichtsfunktionen von NinjaOne die DSGVO-Dokumentation und Compliance-Audits rationalisieren, was es zu einer wertvollen Ressource für Unternehmen macht, die die Komplexität der DSGVO bewältigen und personenbezogene Daten effektiv schützen wollen.

Wenn Sie bereit sind, NinjaOne selbst auszuprobieren, vereinbaren Sie eine Demo oder starten Sie Ihre kostenlose 14-tägige Testversion und sehen Sie, warum so viele Unternehmen und MSPs NinjaOne als ihren RMM-Partner wählen!

Sie sind auf der Suche nach weiteren tollen Tipps und umfassenden Anleitungen? Besuchen Sie unseren Blog und melden Sie sich für MSP Bento an, um tolle Informationen, Interviews und Inspirationen direkt in Ihren Posteingang zu erhalten!