Definition
EU-Verordnung zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten. Gilt seit 2018 unmittelbar in allen Mitgliedstaaten. Betroffene Unternehmen müssen technische und organisatorische Maßnahmen (TOMs) dokumentieren, Verzeichnisse von Verarbeitungstätigkeiten führen und Datenschutzfolgenabschätzungen durchführen.
In der Praxis
Im Arbeitsalltag zeigt sich Datenschutz weniger in der Datenschutzerklärung auf der Website als in den Prozessen dahinter: Wer personenbezogene Daten erhebt, muss wissen, wo sie gespeichert sind, wer darauf zugreift und wann sie gelöscht werden. Das Verzeichnis der Verarbeitungstätigkeiten ist dabei kein einmaliges Dokument, sondern ein lebender Bestand, der bei jeder neuen Software, jedem neuen Dienstleister und jeder Prozessänderung mitwachsen muss. Der häufigste Praxisfehler: Auftragsverarbeitungsverträge fehlen oder sind veraltet, obwohl längst Cloud-Dienste und externe Dienstleister im Einsatz sind. Und bei einem Datenleck zählt die Uhr — die Meldung an die Aufsichtsbehörde muss binnen 72 Stunden erfolgen, was ohne vorbereitete Abläufe kaum zu schaffen ist.
Verwandte Begriffe
Häufige Fragen zu DSGVO
Ab wie vielen Mitarbeitern brauche ich einen Datenschutzbeauftragten?
In Deutschland grundsätzlich ab 20 Beschäftigten, die ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind. Unabhängig von der Mitarbeiterzahl kann eine Bestellungspflicht auch dann bestehen, wenn eine Datenschutz-Folgenabschätzung erforderlich ist oder Daten geschäftsmäßig übermittelt werden.
Welche Bußgelder drohen bei DSGVO-Verstößen?
Die DSGVO sieht je nach Verstoß Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor — bei schwereren Verstößen bis zu 20 Millionen Euro oder 4 Prozent, jeweils der höhere Wert. In der Praxis werden auch kleinere Verstöße wie fehlende Verträge oder verspätete Meldungen mit fünfstelligen Beträgen geahndet.
Was muss ich bei einem Datenleck tun?
Die Verletzung muss der zuständigen Aufsichtsbehörde binnen 72 Stunden gemeldet werden, sofern sie ein Risiko für die Betroffenen birgt. Bei hohem Risiko sind zusätzlich die betroffenen Personen zu benachrichtigen — hierfür gilt keine starre Frist, sondern die Benachrichtigung hat ohne unzulässige Verzögerung zu erfolgen. Intern sollte jeder Fall dokumentiert werden, auch wenn keine Meldepflicht besteht.