Welche Grundsätze gelten bei der Verarbeitung personenbezogener Daten immer?

In diesem Beitrag werfen wir einen Blick auf die Grundsätze der DSGVO. Die Grundsätze spielen eine wichtige Rolle im Datenschutz. Eine Verletzung der Datenschutzgrundsätze kann mit der Höchststrafe geahndet werden. Insgesamt gibt es 7 dieser Grundsätze:

Treu und Glauben, Rechtmäßigkeit und Transparenz

Treu und Glauben, damit ist das ehrliche Verhalten gemeint. Konkret bedeutet das, dass die personenbezogenen Daten nur so verarbeitet werden, wie es bei der Erhebung angegeben wurde. Zudem muss die Verarbeitung in einer für den Betroffenen nachvollziehbaren Weise erfolgen. Es sind keine verdeckte oder geheime Verarbeitung erlaubt. Die betroffene Person sollte wissen, wer der Verantwortliche für die Verarbeitung ist.

Zweckbindung

Personenbezogene Daten dürfen nur für den Zweck verarbeitet werden, für den sie erhoben wurden. Ein Kunde widerruft seine Einwilligung zum Erhalt von Newslettern. Ab diesem Zeitpunkt ist der Zweck der Datenverarbeitung nicht mehr gegeben. Somit darf das Unternehmen die Daten der betroffenen Person nicht mehr verarbeiten.

Datenminimierung

Unternehmen dürfen nur so viele Daten erheben und verarbeiten, wie sie tatsächlich benötigt. Die Daten müssen für den Zweck erheblich und relevant sein. Beispiel: Für den Abschluss eines Kaufvertrages darf die Religionszugehörigkeit oder der Familienstand nicht zusätzlich erhoben werden. Denn diese spielen für den Kauf keine wesentliche Rolle.

Richtigkeit

Daten müssen inhaltlich und sachlich richtig und aktuell gehalten werden.

Speicherbegrenzung

Bezieht sich auf die Dauer der Speicherung. Daten dürfen nicht für die Ewigkeit gespeichert werden. Ist der Zweck nicht mehr gegeben, müssen die Daten gelöscht werden.

Integrität und Vertraulichkeit

Die Daten müssen vor unrechtmäßiger Verarbeitung durch Unbefugte geschützt werden. Ebenso müssen die Daten vor versehentlicher Beschädigung oder Verlust geschützt werden.

Rechenschaftspflicht

In der DSGVO gilt die Rechenschaftspflicht, d.h. die verantwortliche Stelle ist für die Einhaltung der oben genannten Grundsätze verantwortlich. Auf Verlangen muss sie die Einhaltung gegenüber den Betroffenen und den Behörden nachweisen können.

Auftragsbearbeiter DSGVO

Damit beginnt der enorme Aufwand auf Seiten des Unternehmens. Denn vorher musste der Betroffene erst nachweisen, dass die verantwortliche Stelle sich nicht an die datenschutzkonforme Verarbeitung gehalten hat. Mit der DSGVO kann der Betroffene eine Aufsichtsbehörde kontaktieren und über die Nichteinhaltung des Datenschutzes durch die verantwortliche Stelle eine Beschwerde einreichen. Als Reaktion darauf kann die Aufsichtsbehörde von Martin die Einreichung von Unterlagen zur Rechenschaftslegung verlangen.

Inhaltsübersicht

Was is die Datenschutz-Grundverordnung (DSGVO)?
Wichtige Fragen zur DSGVO
Wichtige Details zur DSGVO:

Grundsatz 1: Treu und Glauben, Rechtmäßigkeit und Transparenz
Grundsatz 2: Zweckbindung
Grundsatz 3: Datenminimierung
Grundsatz 4: Richtigkeit
Grundsatz 5: Speicherbegrenzung
Grundsatz 6: Integrität und Vertraulichkeit
Grundsatz 7: Rechenschaftspflicht

Bestehen Ihre Dateiübertragungssysteme den DSGVO-Test bestehen? Lesen Sie dieses kostenlose E-Book

Was is die Datenschutz-Grundverordnung (DSGVO)?

Die Datenschutz-Grundverordnung (DSGVO) ist ein neues Datenschutzrecht für alle 28 Mitgliedstaaten der Europäischen Union.

Die DSGVO setzt einen hohen Standard für den Datenschutz und gilt für jede Organisation, die personenbezogene Daten von betroffenen Personen in der EU verarbeitet, unabhängig davon, ob diese Organisation selbst in der EU ansässig ist oder nicht. Dies ist wichtig, da die von der DSGVO festgelegten Standards viel strenger sind als die der aktuellen US-Datenschutzgesetze. Und die Strafen bei Nichteinhaltung sind hart. Bis zu 24 Mio. USD oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Die DSGVO soll das Sammelsurium von Datenschutzvorschriften und -behörden, das derzeit in den 28 EU-Mitgliedstaaten gilt, ablösen und eine homogene Regelung schaffen, die in der gesamten EU gilt.

Die Reform modernisiert die Grundsätze der EU-Datenschutzrichtlinie von 1995 und gilt für personenbezogene Daten betroffener Personen in der EU, die von den in der Verordnung so genannten Datenverantwortlichen und Datenverarbeitern verarbeitet werden (dazu später mehr).

Wichtige Fragen zur DSGVO

Wann trat die DSGVO in Kraft?

Die DSGVO wurde im April 2016 in Kraft gesetzt und trat am 25. Mai 2018 in Kraft. Danach muss jede Organisation, die personenbezogene Daten von betroffenen Personen in der EU erhebt, speichert oder verarbeitet, die Datenschutz-Grundverordnung einhalten.

Was sind personenbezogene Daten?

In der EU sind personenbezogene Daten alle Daten, die allein oder in Kombination mit anderen Daten, auf die der Inhaber wahrscheinlich zugreifen kann, zur Identifizierung einer Person verwendet werden können. Für einen Cyberkriminellen macht die Erfassung, Verarbeitung und Übertragung personenbezogener Daten Unternehmen in einer Vielzahl von Branchen zu lukrativen Zielen für Phishing, Denial-of-Service, Ransomware und Advanced Persistent Threat Attacks.

Wer ist eine betroffene Person?

Nach EU-Recht ist eine betroffene Person jede Person innerhalb der EU-Grenzen, deren personenbezogene Daten (sei es EU-Bürger, Einwohner oder durchreisende Touristen) erhoben wurden, um ihnen Waren und Dienstleistungen innerhalb der EU anzubieten. EU-Bürger gelten auch dann als betroffene Personen, wenn sie im Ausland sind oder Geschäfte mit einem im Ausland ansässigen Unternehmen tätigen, wenn dieses Unternehmen Waren und Dienstleistungen innerhalb der EU-Grenzen anbieten möchte.

Beispiel: Wenn ein Deutscher über AirBnB (einen in den USA ansässigen Dienst) einen Urlaubsaufenthalt in Spanien bucht, gilt die DSGVO, da das angebotene Zimmer in Spanien innerhalb der EU liegt. Wenn dieselbe Person ein Zimmer in Japan bucht, gilt die DSGVO nicht, da die angebotene Dienstleistung nicht innerhalb der EU liegt.

Lange Rede, kurzer Sinn, die DSGVO schützt die Daten von Personen, definiert ihre Reichweite jedoch durch die gekauften und in die EU verkauften Dinge.

Was sind Datenverantwortliche und Datenverarbeiter?

Verantwortliche und Auftragsverarbeiter sind zwei verschiedene Arten von Organisationen, für die die DSGVO gilt, nämlich solche, die personenbezogene Daten „kontrollieren“ und solche, die sie „verarbeiten“. Ein Datenverarbeiter im Sinne der DSGVO ist jede Organisation, die personenbezogene Daten von betroffenen Personen in der EU erhebt, verarbeitet, speichert oder übermittelt. Ein Datenverantwortlicher ist die Organisation, die die Aktivitäten des Auftragsverarbeiters leitet.

Das bedeutet, dass der Datenverantwortliche das Wie und Warum der Verarbeitung personenbezogener Daten definiert und der Datenverarbeiter im Auftrag des Datenverantwortlichen handelt. Beispielsweise ist eine Bank, die Scheck-Imaging-Prozesse auslagert, der Datenverantwortliche, während der Outsourcer der Prozessor ist.

Gemäß der DSGVO müssen Datenverarbeiter einen Audit-Trail aller Verarbeitungsaktivitäten führen, aber es liegt in der Verantwortung des Datenverantwortlichen, sicherzustellen, dass alle ihre Auftragsverarbeiter die Vorschriften einhalten. Verantwortliche werden nicht von ihren Datenschutzpflichten entbunden, wenn eine Verletzung in einem Auftragsverarbeiter-Netzwerk auftritt.

Die Übertragung personenbezogener Daten zwischen Verantwortlichen und Auftragsverarbeitern muss sicher sein und die Daten müssen während der Verarbeitung geschützt werden. In bestimmten Fällen kann die DSGVO auch verlangen, dass der Datenverarbeiter personenbezogene Daten löscht, die nach der Verarbeitung nicht mehr benötigt werden.

Wer muss die DSGVO einhalten?

Die Regeln der DSGVO gelten für jede Organisation, die personenbezogene Daten von betroffenen Personen in der EU erhebt, speichert oder verarbeitet. Dabei spielt es keine Rolle, wo Ihr Unternehmen seinen Hauptsitz hat. Auch Unternehmen, die keine physische Präsenz in der EU haben, müssen die DSGVO einhalten.

Wir sind bereits HIPAA-konform – werden wir die DSGVO konform sein?

Nicht ganz. Es gibt einige Überschneidungen, aber die DSGVO ist ein viel umfangreicherer und weitreichenderer Rechtsakt. In diesem Blogbeitrag können Sie mehr über die Unterschiede zwischen den beiden lesen.

Welche Strafen drohen bei Nichteinhaltung?

Die Folgen bei Nichteinhaltung der DSGVO sind schwerwiegend, bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Würde der Brexit Großbritannien von der DSGVO ausschließen?

Nein. Auch beim Brexit müssen britische Unternehmen die DSGVO einhalten. Das Datum für den Austritt aus der EU liegt nach dem Datum des Inkrafttretens der DSGVO im Mai 2018. Somit unterliegen britische Unternehmen der Gerichtsbarkeit der EU und unterliegen der DSGVO. Auch nach dem Brexit müssen britische Unternehmen die Vorschriften erfüllen, wenn sie personenbezogene Daten von betroffenen Personen in der EU erheben, speichern oder verarbeiten.

Sie haben noch Fragen?

In unserem E-Book zur Vorbereitung auf die DSGVO finden Sie eine detailliertere Aufschlüsselung der DSGVO und ihrer Auswirkungen.

Wichtige Details zur DSGVO

Die DSGVO basiert auf sieben Datenschutzgrundsätzen, die zusammen sicherstellen, dass die Rechte des Einzelnen bei der Erhebung und Verarbeitung personenbezogener Daten von betroffenen Personen in der EU im Mittelpunkt stehen.

Die neuen Bestimmungen stärken die Kontrolle der Benutzer über die Verarbeitung und Speicherung personenbezogener Daten und gewähren wichtige Rechte und Freiheiten wie das Recht auf Einwilligung, das Recht auf Information, das Recht auf Datenübertragbarkeit und das Recht auf Löschung personenbezogener Daten (d.h. das "Recht auf Vergessenwerden".)

Grundsatz 1: Treu und Glauben, Rechtmäßigkeit und Transparenz

Der erste Grundsatz des Datenschutzgesetzes der DSGVO ist das Erfordernis einer "fairen, rechtmäßigen und transparenten Verarbeitung von Daten". Was bedeutet das?

Nach dieser Regel schreibt die DSGVO vor, dass ein Verantwortlicher in der Lage sein muss, einer betroffenen Person (d.h. dem Benutzer) detaillierte Informationen über ihre Verarbeitung personenbezogener Daten zu geben.

Um konform zu sein, müssen diese Daten leicht zugänglich und in klarer, prägnanter und transparenter Sprache dargestellt werden. Verabschieden Sie sich also von der 100-seitigen Nutzungsvereinbarung.

Um die EU-Anforderungen an die Transparenz zu erfüllen, müssen die für die Verarbeitung Verantwortlichen Personen informieren:

1. Bevor personenbezogene Daten erhoben werden
2. Wann immer Änderungen in den Datenerfassungsprozessen vorgenommen werden
3. Schließlich muss die betroffene Person der Datenverarbeitung zustimmen.

Diese Einwilligung kann verschiedene Formen annehmen, muss jedoch aus freiem Willen der betroffenen Person erfolgen, und die Einwilligung muss durch positive Maßnahmen (z. B. Anklicken eines Kontrollkästchens) signalisiert werden. Das bedeutet, dass die stillschweigende Einwilligung gemäß der DSGVO ein großes No-Go ist.

Das Gesetz besagt auch, dass personenbezogene Daten, die für die Verarbeitung erhoben und verwendet werden, "angemessen, relevant und auf das für die Zwecke, für die sie verarbeitet werden, erforderliche Maß beschränkt" sein müssen und die Dauer der Speicherung dieser Daten auf ein "strenges Minimum" beschränkt wird ."

Wie lauten die Grundsätze für die Verarbeitung personenbezogener Daten?

Was gehört zu den Grundsätzen der Datenverarbeitung?

Was sind valide Rechtsgrundlagen für die Verarbeitung personenbezogener Daten?