Die neue Datenschutzgrundverordnung – EU-DSGVO

In Europa soll es einheitliche Rahmenbedingungen und damit eine größere Rechtssicherheit beim Umgang mit personenbezogenen Daten geben.

Betroffen ist damit jedes Unternehmen aber auch jeder Websitebetreiber, sofern er kein Unternehmer ist. Sobald personenbezogenen Daten erhoben und verarbeitet werden, ist die DSGVO umzusetzen.

Abwägung gegenläufiger Interessen

Zum einen werden die Unternehmen durch die DSGVO mehr Pflichten haben. Bußgelder werden schon mal in entsprechender Höhe angedroht und sorgen mit knapper werdender Zeit für Panik. Anwälte auf beiden Seiten haben wieder ein lukratives Betätigungsfeld. Der beabsichtigte achtsamere Umgang mit personenbezogenen Daten wird die Einholung einer Einwilligung des Nutzers deutlich erschweren. Vor allem wird klargestellt, was personenbezogene Daten überhaupt sind und dass z.B. IP-Adressen und Cookies darunterfallen.

Auf der anderen Seite wird in Artikel 1 der freie Verkehr von Daten festgeschrieben und damit verbundenen wirtschaftliche Interessen festgeschrieben.

Berechtigte wirtschaftliche Interessen und der Schutz von Personendaten stehen oft im Widerspruch. Somit ist schon abzusehen, dass Gerichte noch vielfach zur zukünftigen gesetzlich erlaubten Datenverarbeitung Stellung nehmen werden.

Die Grundprinzipien des Datenschutzes

 „Jede Datenverarbeitung muss rechtmäßig erfolgen, anhand vorab festgelegter Zwecke, transparent, in möglichst geringem Umfang und soll die Daten vor unberechtigter Veränderung sowie Verlust schützen.“

Im Detail gehören zu den Grundsätzen für die Verarbeitung personenbezogener Daten laut Art. 5 DSGVO u.a.:

• Rechtmäßigkeit: Daten dürfen nur entsprechend dem Gesetz verarbeitet werden.
• Transparenz: Die Informationspflichten wurden mit Art. 13 und 14 DSGVO erhöht. Die Verarbeitung personenbezogener Daten muss nachvollziehbar sein.
  Erfordernis einer verständlichen und vollständigen Datenschutzerklärung

• Verbot mit Erlaubnisvorbehalt: Jede Verarbeitung personenbezogener Daten ist erstmal verboten , es sei denn, sie wurde per Gesetz erlaubt.
• Zweckbindung: Daten sollen nur für den vereinbarten Zweck verarbeitet werden. Unternehmen müssen also im Vorfeld definieren, wofür Sie Daten nutzen möchten und dies  dann dokumentieren. Nur wenn sie „mit dem ursprünglichen Zweck vereinbar ist“ (Art 6 Abs. 4 DSGVO) ist eine nachträgliche Zweckänderung möglich.
• Integrität und Vertraulichkeit: Unternehmen müssen technisch und organisatorisch sicherstellen, dass personenbezogene Daten vor unbefugter Verarbeitung, Zerstörung, Veränderung oder Verlust geschützt werden.
• Datenminimierung und Speicherbegrenzung: Vorratsdatenspeicherung ist verboten. Eine Identifizierung der Personen darf nur solange ermöglicht werden, wie es für den entsprechenden Zweck nötig ist. (Art. 5 Abs. 1 lit. c und e DSGVO). Unternehmen dürfen nur die Daten erheben, die sie für den jeweiligen Zweck brauchen.

Artikel 25 DSGVO

Privacy by Design und Privacy by Default

Was bedeutet das?

„Privacy by Design“ bedeutet, dass Datenschutzmaßnahmen bereits in der Entwicklungsstufe von Produkten und Verfahren einbezogen werden müssen.

„Privacy by Default“ betrifft z.B. auch die Website. Bedeutet, dass bereits bei Geräten oder bei Onlineplattformen standardmäßig die höchste Datenschutzstufe voreingestellt ist.

Umkehr der Beweislast

Die Umkehr der Beweislast ist eine der weitreichendsten Änderungen in der DSGVO. Sie müssen ab 25.5.2018 als Unternehmen belegen, dass Sie die Regeln einhalten. Es reicht also nicht, zu warten, dass Ihnen irgendjemand einen Verstoß nachweist. Bedeutet Aufzeichnungspflicht Ihrer Datenverarbeitungsprozesse.  Im Zweifel müssen Sie Zweck, Art und Umfang der Datenverarbeitung belegen können.