DSGVO – Datenschutz-Grundverordnung

💡 Die DSGVO trat am 24. Mai 2016 in Kraft und ist seit dem 25. Mai 2018 unmittelbar anwendbar.

💡 Die DSGVO regelt die Verarbeitung personenbezogener Daten durch private und öffentliche Stellen – sowohl automatisiert als auch in Akten nicht-automatisiert.

💡 Verantwortlich ist, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet.

💡 Art. 6 nennt sechs Rechtsgrundlagen: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse und berechtigtes Interesse. Eine bloße wirtschaftliche Bequemlichkeit reicht nicht aus.

💡 Eine wirksame Einwilligung muss freiwillig, informiert, spezifisch und unmissverständlich durch eine bestätigende Handlung erfolgen und ist jederzeit widerrufbar (Art. 7).

💡 Art. 9 schützt besondere Kategorien wie Gesundheitsdaten, ethnische Herkunft, politische/religiöse Überzeugung und biometrische Daten zur Identifizierung. Eine einfache E-Mail-Adresse gehört nicht dazu.

💡 Der Verantwortliche muss in der Regel innerhalb eines Monats antworten; bei Komplexität um maximal zwei weitere Monate verlängerbar (Art. 12).

💡 Art. 17 regelt das Recht auf Löschung – auch „Recht auf Vergessenwerden” genannt. Auskunft ist Art. 15, Datenübertragbarkeit Art. 20.

💡 Privacy by Design (Art. 25) verlangt, dass Datenschutz schon bei der Gestaltung von Systemen berücksichtigt wird – Datenminimierung und datenschutzfreundliche Voreinstellungen inklusive.

💡 Eine DSFA (Art. 35) ist bei Verarbeitung mit voraussichtlich hohem Risiko verpflichtend – z. B. umfangreiches Profiling, großflächige Überwachung oder Verarbeitung sensibler Daten.

💡 Ein AVV (Art. 28) regelt die Beauftragung eines Dienstleisters, der personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet – er sichert die datenschutzkonforme Bearbeitung ab.

💡 Eine meldepflichtige Datenschutzverletzung ist unverzüglich, spätestens 72 Stunden nach Bekanntwerden, der Aufsichtsbehörde zu melden (Art. 33).

💡 Ein DSB ist erforderlich, wenn die Kerntätigkeit extensive Verarbeitung erfordert (Art. 37) oder Sonderkategorien im großen Stil verarbeitet werden. In Deutschland besteht zudem die BDSG-Schwellenregelung (≥ 20 Personen ständig mit Verarbeitung beschäftigt).

💡 Bei schweren Verstößen drohen bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist (Art. 83).

💡 Das VVT dokumentiert Zwecke, Datenkategorien, Empfänger, Übermittlungen in Drittländer und Löschfristen. Passwörter gehören keinesfalls hinein.

💡 Eine IP-Adresse kann einer natürlichen Person zugeordnet werden und ist somit personenbezogen.

💡 Betroffene haben Auskunfts-, Löschungs- und Übertragbarkeitsrechte. Ein Vergütungsanspruch besteht nicht.

💡 Ein berechtigtes Interesse liegt vor, wenn die Interessen des Verantwortlichen nicht die Rechte der betroffenen Person überwiegen.

💡 Eine DSFA ist bei Verarbeitung mit voraussichtlich hohem Risiko erforderlich (Art. 35 DSGVO).

💡 Das Prinzip der Datenminimierung verlangt, Daten nur so lange zu speichern, wie der Zweck es erfordert (Art. 5).

💡 Datenminimierung bedeutet, nur die für den Zweck wirklich notwendigen Daten zu verarbeiten.

💡 Für besondere Datenkategorien wie Gesundheitsdaten ist eine ausdrückliche Einwilligung nötig, sofern keine Ausnahme greift.

💡 Art. 9 schützt sensible Daten wie Gesundheit, politische Meinung und Gewerkschaftszugehörigkeit. Name/Anschrift fallen nicht darunter.

💡 Der DSB berät und überwacht die Einhaltung datenschutzrechtlicher Vorgaben, entscheidet aber nicht über die Verarbeitungszwecke.

💡 Benennungspflicht besteht u.a. bei besonderen Datenkategorien und bei umfangreicher systematischer Überwachung (Art. 37).

💡 Nach Art. 33 muss eine Datenpanne unverzüglich und innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet werden.

💡 Eine Benachrichtigung der Betroffenen ist nur bei hohem Risiko für ihre Rechte erforderlich (Art. 34).

💡 Der Privacy Shield wurde durch das EU-US Data Privacy Framework abgelöst, das den Datentransfer regelt.

💡 Einwilligungen müssen freiwillig, informiert und unmissverständlich sein. Eine rein schriftliche Form reicht als alleiniges Kriterium nicht.

💡 Der Verantwortliche bestimmt Zwecke und Mittel; der Auftragsverarbeiter verarbeitet nur im fremden Auftrag (Art. 4).

💡 Die höchste Sanktion beträgt 4 % des weltweiten Jahresumsatzes oder 20 Mio. Euro, je nachdem, welcher Betrag höher ist.

💡 Bei der Pseudonymisierung werden Bezugsmerkmale getrennt, sodass ohne Zusatzwissen keine Zuordnung möglich ist.

💡 Pseudonymisierte Daten bleiben personenbezogen, da eine Zuordnung mit Zusatzwissen möglich ist. Anonymisierte Daten sind nicht mehr zuordenbar.

💡 Art. 20 regelt das Recht, seine Daten in einem strukturierten Format zu erhalten und zu übertragen.

💡 Art. 6 nennt mehrere Rechtsgrundlagen ohne Einwilligung: rechtliche Pflicht, lebenswichtige Interessen, Vertrag.

💡 Die AVV regelt die Beziehung und Pflichten zwischen Verantwortlichem und Auftragsverarbeiter nach Art. 28.

💡 Verarbeitung umfasst jeden Vorgang wie Sammeln, Speichern, Übermitteln und Löschen, nicht nur automatisierte Vorgänge.

💡 Art. 9 Abs. 2 lit. f erlaubt die Verarbeitung für Rechtsansprüche unter strengen Bedingungen.

💡 Privacy by Design verlangt, dass Datenschutz durch Technikgestaltung und datenschutzfreundliche Standardeinstellungen integriert wird.

💡 Die Rechenschaftspflicht (Art. 5 Abs. 2) verlangt, dass der Verantwortliche die Einhaltung der Grundsätze nachweisen kann.