DSGVO für Dummies: der vereinfachte Leitfaden 2023 für Einsteiger

Die DSGVO, kurz für Datenschutz-Grundverordnung (englisch General Data Protection Regulation), ist ein Regelwerk zum Schutz personenbezogener Daten in der heutigen digitalen Welt. Dieser Leitfaden für Einsteiger erklärt die DSGVO klar und einfach. Ob Sie Privatperson sind oder ein kleines Unternehmen führen: Der Leitfaden hilft Ihnen, die Grundlagen der DSGVO und ihre Bedeutung zu verstehen.

Was ist die DSGVO?

Die DSGVO, ausgeschrieben Datenschutz-Grundverordnung, ist ein Regelwerk, das die Privatsphäre und die Datenrechte von Einzelpersonen im digitalen Zeitalter schützen soll. Sie wurde eingeführt, um den wachsenden Bedenken gegenüber dem Missbrauch personenbezogener Daten zu begegnen und einen einheitlichen Rahmen für den Datenschutz zu schaffen.
Um die DSGVO zu verstehen, sollte man ihre wichtigsten Grundsätze und Ziele kennen:

• Datenschutz: Die DSGVO legt neu fest, wie personenbezogene Daten behandelt und geschützt werden müssen. Sie gilt nicht nur für Unternehmen in der Europäischen Union (EU), sondern auch für Unternehmen außerhalb der EU, die Daten von Personen aus der EU verarbeiten.
• Stärkung der Betroffenenrechte: Sie gibt Einzelpersonen mehr Kontrolle über ihre personenbezogenen Daten. Sie haben das Recht zu erfahren, welche Daten erhoben werden, warum sie erhoben werden und wie sie verwendet werden.
• Fokus auf Transparenz: Die DSGVO legt Wert auf Transparenz und verpflichtet Organisationen, ihre Datenverarbeitungsaktivitäten klar und verständlich zu erklären.
• Strengere Einwilligungsregeln: Sie führt strengere Regeln für die Einholung der Einwilligung zur Verarbeitung personenbezogener Daten ein. Die Einwilligung muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erfolgen.
• Meldung von Datenschutzverletzungen: Die DSGVO schreibt vor, dass Organisationen Datenschutzverletzungen innerhalb von 72 Stunden, nachdem sie davon Kenntnis erlangt haben, der zuständigen Behörde melden. So wird rechtzeitig gehandelt, um die Daten der Betroffenen zu schützen.
• Durchgesetzte Rechenschaftspflicht: Organisationen sind nun dafür verantwortlich, die Einhaltung der DSGVO sicherzustellen. Das heißt, sie müssen Maßnahmen ergreifen und Unterlagen führen, um nachzuweisen, dass sie die Verordnung einhalten.

Für wen gilt die DSGVO?

Die DSGVO ist ein umfassendes Regelwerk, das für eine Vielzahl von Stellen und Personen gilt, die an der Verarbeitung personenbezogener Daten beteiligt sind. Sehen wir uns einige davon an.

1. Verantwortliche (Data Controller)

Das sind die Organisationen oder Personen, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheiden. Verantwortliche tragen die Hauptverantwortung dafür, dass die Datenverarbeitung der DSGVO entspricht. Dazu zählen Unternehmen, Behörden, Non-Profit-Organisationen und jede Stelle, die personenbezogene Daten erhebt und nutzt.

2. Auftragsverarbeiter (Data Processor)

Auftragsverarbeiter sind Stellen oder Personen, die personenbezogene Daten im Auftrag von Verantwortlichen verarbeiten. Sie führen die Datenverarbeitung nach den Weisungen des Verantwortlichen durch. Beispiele für Auftragsverarbeiter sind Anbieter von Cloud-Diensten, CRM-Anbieter (Customer Relationship Management) und Dienstleister für die Lohnabrechnung.

3. Betroffene Personen (Data Subjects)

Im Kern geht es der DSGVO darum, die Rechte und die Privatsphäre von Einzelpersonen zu schützen, den sogenannten betroffenen Personen. Betroffene Personen sind die Menschen, deren personenbezogene Daten erhoben und verarbeitet werden. Dazu können Kunden, Beschäftigte, Website-Besucher und alle gehören, deren Daten von Verantwortlichen und Auftragsverarbeitern verwaltet werden.

Verantwortliche und Auftragsverarbeiter: Was ist der Unterschied?

Nach der DSGVO ist es wichtig, zwischen Verantwortlichen und Auftragsverarbeitern zu unterscheiden, denn sie haben unterschiedliche Rollen und Pflichten:

Diese Unterschiede zu verstehen ist wichtig, denn sowohl Verantwortliche als auch Auftragsverarbeiter haben Pflichten nach der DSGVO, damit personenbezogene Daten angemessen geschützt und behandelt werden. Die Einhaltung der DSGVO ist eine gemeinsame Verantwortung: Verantwortliche müssen über Verträge und Kontrolle sicherstellen, dass Auftragsverarbeiter die DSGVO-Anforderungen erfüllen. Das stärkt letztlich den Datenschutz und sichert die Einhaltung der Verordnung.

Was sind Betroffenenrechte? Datenschutzrecht verstehen

Nach der Datenschutz-Grundverordnung (DSGVO) haben Einzelpersonen bestimmte Rechte, mit denen sie mehr Kontrolle über ihre personenbezogenen Daten erhalten. Man bezeichnet sie als Betroffenenrechte. Diese Rechte sind grundlegend für das Ziel der DSGVO, die Privatsphäre und die Datensicherheit von Einzelpersonen zu schützen. Hier sind diese Rechte erklärt, jeweils mit praktischen Beispielen, die zeigen, wie sie in der Praxis funktionieren:

1. Auskunftsrecht (Artikel 15):

Einzelpersonen haben das Recht, von Verantwortlichen eine Bestätigung zu erhalten, ob ihre personenbezogenen Daten verarbeitet werden, und Zugang zu diesen Daten zu bekommen. So können sie sich über die Datenverarbeitung informieren und deren Rechtmäßigkeit überprüfen.

2. Recht auf Berichtigung (Artikel 16):

Einzelpersonen haben das Recht, unrichtige personenbezogene Daten vom Verantwortlichen berichtigen und unvollständige Daten vervollständigen zu lassen. So ist sichergestellt, dass die über sie gespeicherten Daten richtig und aktuell sind.

3. Recht auf Löschung („Recht auf Vergessenwerden“) (Artikel 17):

Einzelpersonen haben das Recht, ihre personenbezogenen Daten löschen zu lassen, wenn bestimmte Voraussetzungen erfüllt sind. Mit diesem Recht können sie die Entfernung ihrer Daten verlangen, wenn diese für den Zweck, zu dem sie erhoben wurden, nicht mehr notwendig sind oder wenn sie ihre Einwilligung widerrufen.

4. Recht auf Einschränkung der Verarbeitung (Artikel 18):

Einzelpersonen haben das Recht, in bestimmten Situationen die Einschränkung der Verarbeitung ihrer personenbezogenen Daten zu verlangen. Das bedeutet: Solange die Daten eingeschränkt sind, dürfen sie gespeichert, aber nicht weiterverarbeitet werden.

5. Recht auf Datenübertragbarkeit (Artikel 20):

Einzelpersonen haben das Recht, ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Sie können außerdem verlangen, dass diese Daten an einen anderen Verantwortlichen übermittelt werden.

6. Widerspruchsrecht (Artikel 21):

Einzelpersonen haben das Recht, der Verarbeitung ihrer personenbezogenen Daten zu widersprechen, auch wenn sie zu Zwecken der Direktwerbung erfolgt. Verantwortliche müssen die Verarbeitung der Daten einstellen, es sei denn, sie können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der Person überwiegen.

7. Rechte im Zusammenhang mit automatisierten Entscheidungen einschließlich Profiling (Artikel 22):

Einzelpersonen haben das Recht, keiner Entscheidung unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung einschließlich Profiling beruht und sie erheblich beeinträchtigt. Es gelten Ausnahmen, etwa wenn die Entscheidung für den Abschluss oder die Erfüllung eines Vertrags erforderlich ist.

8. Widerspruchsrecht gegen Direktwerbung (Artikel 21):

Einzelpersonen haben das Recht, der Verarbeitung ihrer personenbezogenen Daten zu Zwecken der Direktwerbung zu widersprechen, einschließlich des Profilings, soweit es mit solcher Werbung in Verbindung steht.

9. Recht auf Beschwerde bei einer Aufsichtsbehörde (Artikel 77):

Einzelpersonen haben das Recht, bei einer Aufsichtsbehörde Beschwerde einzulegen, wenn sie der Ansicht sind, dass ihre Datenschutzrechte nach der DSGVO verletzt wurden.

So halten Sie die DSGVO ein: Schritte zur Compliance für Einsteiger

Die DSGVO-Compliance zu erreichen kann entmutigend wirken, ist aber wichtig, um personenbezogene Daten zu schützen und mögliche Strafen zu vermeiden. Diese Schritt-für-Schritt-Anleitung für Einsteiger vereinfacht den Prozess:

1. DSGVO-Grundlagen verstehen
   Machen Sie sich klar, was Datenschutzgesetze regeln und warum diese Datenschutzvorschriften wichtig sind. Dazu eignet sich die DSGVO-Website.
2. Dateninventar
   Erfassen Sie alle personenbezogenen Daten, die Ihre Organisation innerhalb der EU erhebt, verarbeitet und speichert. Dazu gehören Kundeninformationen, Personalakten und alle anderen Daten, mit denen Sie umgehen. So beugen Sie Verstößen gegen die DSGVO vor.
3. Datenfluss-Mapping
   Erstellen Sie eine Übersicht, die nachverfolgt, wie personenbezogene Daten in Ihrer Organisation fließen, von der Erhebung über die Speicherung bis zur Verarbeitung.
4. Einwilligungsmanagement
   Sorgen Sie für klare Opt-in-Prozesse zur Einwilligung in die Datenerhebung. Passen Sie Ihre Website-Formulare und Datenschutzerklärungen an die Anforderungen der DSGVO an.
5. Maßnahmen zur Datensicherheit
   Setzen Sie Maßnahmen zur Datensicherheit wie Verschlüsselung, Zugriffskontrollen und regelmäßige Sicherheitsaudits um, um Daten vor Verletzungen zu schützen.
6. Betroffenenrechte
   Legen Sie Verfahren für den Umgang mit Anfragen betroffener Personen fest, etwa Auskunfts- oder Löschanfragen. Schulen Sie Ihr Team, damit es zügig reagiert.
7. Notfallplan für Datenschutzverletzungen
   Entwickeln Sie einen Plan für den Umgang mit Datenschutzverletzungen, der festlegt, wie Sie im Ernstfall Behörden und betroffene Personen benachrichtigen.
8. Privacy by Design
   Berücksichtigen Sie den Datenschutz von Anfang an in Ihren Geschäftsprozessen und in der Produktentwicklung.
9. Datenschutzbeauftragter (falls erforderlich)
   Wenn Ihre Organisation die Kriterien erfüllt, benennen Sie einen Datenschutzbeauftragten.
10. Schulung und Sensibilisierung
    Schulen Sie Ihre Beschäftigten zur DSGVO-Compliance und zu bewährten Verfahren des Datenschutzes.
11. Compliance dokumentieren
    Führen Sie Aufzeichnungen über Ihre Bemühungen zur DSGVO-Compliance, darunter Richtlinien, Verfahren und Auditergebnisse.
12. Regelmäßige Audits und Aktualisierungen
    Prüfen und aktualisieren Sie Ihre Datenschutzpraktiken regelmäßig, damit Sie auch bei sich wandelnden Vorschriften die Anforderungen erfüllen.

Strafen bei Datenschutzverletzungen und Verstößen

Verstöße gegen die DSGVO können schwerwiegende Folgen haben, darunter:

1. Bußgelder: Die DSGVO sieht Bußgelder von bis zu 20 Millionen Euro oder 4% Ihres weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist.
2. Reputationsschaden: Verstöße können Ihrem Ruf schaden und zu einem Verlust an Kundenvertrauen und Geschäft führen.
3. Klagen: Einzelpersonen können rechtlich gegen Sie vorgehen, wenn Sie ihre Daten unsachgemäß behandeln.
4. Betriebsunterbrechungen: Behördliche Untersuchungen und Strafen können Ihren Betrieb stören und zu erheblichen finanziellen Verlusten führen.
5. Verletzung von Betroffenenrechten: Wer Betroffenenrechte nicht beachtet, muss mit Beschwerden und Untersuchungen rechnen.

Compliance ist entscheidend, um personenbezogene Daten zu schützen, das Vertrauen der Kunden zu erhalten und kostspielige Strafen zu vermeiden. Machen Sie die DSGVO-Compliance zur Priorität, um Ihr Unternehmen und die Daten Ihrer Kunden zu schützen.

DSGVO für Dummies: Das Wichtigste in Kürze