Im Zeitalter der rasanten Digitalisierung und Globalisierung ist der Schutz der Privatsphäre und personenbezogener Daten zu einer der zentralen Herausforderungen der modernen Welt geworden. Als Reaktion auf die wachsenden Bedrohungen durch unberechtigten Zugriff und Datenverarbeitung hat die Europäische Union die Datenschutz-Grundverordnung (DSGVO) eingeführt.

Was ist die DSGVO?

Die Datenschutz-Grundverordnung (DSGVO) ist ein EU-Gesetz zum Schutz der Privatsphäre und der personenbezogenen Daten von EU-Bürgern und damit zur Erhöhung ihrer Sicherheit. Die neuen Bestimmungen traten am 25. Mai 2018 in Kraft und sind für Unternehmen und Organisationen, die personenbezogene Daten verarbeiten, einschließlich des IT-Sektors, von entscheidender Bedeutung.

Was fällt unter den Anwendungsbereich der DSGVO?

• Einrichtungen: Dies gilt für alle Organisationen, die personenbezogene Daten von Personen mit Wohnsitz in der Europäischen Union verarbeiten. Dazu gehören Unternehmen, Regierungsbehörden und gemeinnützige Einrichtungen, unabhängig davon, ob sie ihren Sitz in der EU oder außerhalb der EU haben, sofern sie Waren oder Dienstleistungen für Personen in der EU anbieten oder deren Verhalten überwachen.
• Personenbezogene Daten: Hierzu zählen alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, wie Name, Adresse, Telefonnummer, E-Mail-Adresse, Online-Kennungen, Standortdaten, biometrische Daten, genetische Daten, Gesundheitsdaten und alle anderen Informationen, die eine Person identifizieren können.
• Verarbeitungstätigkeiten: Darunter versteht man alle Vorgänge der Verarbeitung personenbezogener Daten, wie das Erheben, Speichern, Verwenden, Ändern, Weitergeben, Löschen und Vernichten von Daten, unabhängig von den verwendeten Methoden und Technologien.

Es liegt in der Verantwortung jedes Arbeitgebers, die DSGVO-Verfahren so anzupassen, dass sie den Anforderungen der Europäischen Union entsprechen!

DSGVO-Verpflichtungen:

• Dokumentation und Aufzeichnungen der Verarbeitungstätigkeiten – Organisationen müssen eine detaillierte Dokumentation der Datenverarbeitung führen, einschließlich Informationen wie dem Zweck der Verarbeitung, den Datenkategorien, den Datenempfängern und den zum Schutz der Daten eingesetzten Sicherheitsmaßnahmen.
• Datenschutz-Folgenabschätzung (DSFA) – Durchführung von Datenschutz-Folgenabschätzungen: Wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt, müssen Organisationen eine Datenschutz-Folgenabschätzung durchführen.
• Sicherheitsmaßnahmen – Umsetzung geeigneter technischer und organisatorischer Maßnahmen: Organisationen müssen sicherstellen, dass personenbezogene Daten sicher verarbeitet werden, indem sie geeignete technische (z. B. Verschlüsselung) und organisatorische (z. B. Sicherheitsrichtlinien) Maßnahmen anwenden.
• Meldepflicht bei Datenschutzverletzungen – Meldung von Verstößen an die Aufsichtsbehörde: Organisationen sind verpflichtet, Verstöße gegen den Schutz personenbezogener Daten innerhalb von 72 Stunden nach deren Feststellung der zuständigen Aufsichtsbehörde zu melden, es sei denn, der Verstoß stellt kein Risiko für die Rechte und Freiheiten von Einzelpersonen dar. Information der Betroffenen: Wenn der Verstoß voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Einzelpersonen darstellt, müssen Organisationen diese unverzüglich informieren.
• Bestellung eines Datenschutzbeauftragten (DSB) – Organisationen, die Daten in großem Umfang verarbeiten, Personen in großem Umfang überwachen oder besondere Kategorien von Daten verarbeiten, müssen einen Datenschutzbeauftragten (DSB) bestellen, der für die Überwachung der Einhaltung der DSGVO verantwortlich ist.
• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen: Organisationen müssen bereits in der Entwurfsphase neuer Prozesse, Systeme und Dienstleistungen Datenschutzmaßnahmen implementieren (Datenschutz durch Technikgestaltung) und einen standardmäßigen Datenschutz gewährleisten, sodass Daten auf höchstem Niveau geschützt sind, ohne dass seitens der betroffenen Person zusätzliche Maßnahmen erforderlich sind (Datenschutz durch Voreinstellungen).
• Schulung und Sensibilisierung – Mitarbeiterschulung: Organisationen müssen ihren Mitarbeitern regelmäßig Schulungen anbieten, um deren Bewusstsein für den Schutz personenbezogener Daten und die Grundsätze der DSGVO zu stärken.
• Datenverarbeitungsvereinbarungen – Abschluss von Verträgen mit Datenverarbeitern: Organisationen müssen Datenverarbeitungsvereinbarungen mit Datenverarbeitern in ihrem Namen abschließen, um sicherzustellen, dass die Verarbeitung in Übereinstimmung mit der DSGVO erfolgt.
• Reaktion auf Anfragen betroffener Personen – Ausübung der Rechte betroffener Personen: Organisationen müssen darauf vorbereitet sein, auf Anfragen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen die Verarbeitung zu reagieren.
• Prüfung und Überwachung der Einhaltung – Regelmäßige Compliance-Audits: Organisationen sollten regelmäßig prüfen und überwachen, ob ihre Datenverarbeitungsprozesse mit der DSGVO konform sind, um mögliche Verstöße zu erkennen und zu beheben.

Zusammenfassung

Der Schutz personenbezogener Daten umfasst Grundsätze und Verfahren, die die Vertraulichkeit und Sicherheit von Informationen über Einzelpersonen gewährleisten sollen. Er schützt alle Daten, die eine Person identifizieren können, wie Name, Adresse, Telefonnummer, E-Mail-Adresse, Sozialversicherungsnummer (PESEL) sowie biometrische und genetische Daten.

Der wichtigste Rechtsakt zur Regelung des Schutzes personenbezogener Daten in der Europäischen Union ist die DSGVO (Datenschutz-Grundverordnung), die am 25. Mai 2018 in Kraft trat. Die DSGVO verpflichtet Organisationen hinsichtlich der Speicherung, Verarbeitung und Übermittlung personenbezogener Daten und gewährt Einzelpersonen eine Reihe von Rechten, darunter das Recht auf Auskunft, Berichtigung und Löschung ihrer Daten.

Der Zweck des Schutzes personenbezogener Daten besteht darin, Missbrauch und Verletzungen der Privatsphäre zu verhindern und sicherzustellen, dass die Daten rechtmäßig, fair und transparent für die betroffene Person verarbeitet werden.