GDPR

I. Einleitung

Seit dem 25. Mai 2018 ist die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union in Deutschland sowie in allen anderen Mitgliedstaaten der EU in Kraft. Zur Umsetzung der DSGVO hat Deutschland das Bundesdatenschutzgesetz (BDSG) entsprechend angepasst.

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) sowie die Datenschutzbehörden der einzelnen Bundesländer sind für die Überwachung, Beratung und Durchsetzung der DSGVO und ihrer nationalen Umsetzungsregelungen in Deutschland zuständig.

Das deutsche Datenschutzsystem steht im vollständigen Einklang mit der DSGVO und berücksichtigt zugleich spezifische nationale rechtliche Anforderungen, um einen umfassenden Schutz personenbezogener Daten zu gewährleisten.

II. Anwendungsbereich

Die deutschen Durchführungsbestimmungen zur DSGVO gelten für:

Alle in Deutschland niedergelassenen Verantwortlichen (Verantwortlicher) oder Auftragsverarbeiter (Auftragsverarbeiter);

Organisationen außerhalb Deutschlands, die Waren oder Dienstleistungen an Personen in Deutschland anbieten oder deren Verhalten innerhalb Deutschlands beobachten.

Unabhängig davon, ob die Datenverarbeitung innerhalb oder außerhalb Deutschlands erfolgt, findet das Gesetz Anwendung, sofern personenbezogene Daten von Personen in Deutschland betroffen sind.

Der Anwendungsbereich umfasst sowohl die automatisierte Verarbeitung personenbezogener Daten als auch die nicht automatisierte Verarbeitung, sofern diese Teil eines Dateisystems ist. Rein persönliche oder familiäre Tätigkeiten fallen nicht in den Anwendungsbereich.

III. Grundsätze der Datenverarbeitung

Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz: Jede Datenverarbeitung bedarf einer klaren Rechtsgrundlage und muss gegenüber der betroffenen Person transparent hinsichtlich Zweck und Art der Verarbeitung erfolgen.

Zweckbindung: Personenbezogene Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke verarbeitet werden und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverwendet werden.

Datenminimierung: Es dürfen nur solche Daten erhoben werden, die für die Erreichung des jeweiligen Zwecks erforderlich sind.

Richtigkeit: Es ist sicherzustellen, dass die Daten sachlich richtig, vollständig und auf dem neuesten Stand sind.

Speicherbegrenzung: Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für die Erreichung des Verarbeitungszwecks erforderlich ist. Danach sind sie zu löschen oder zu anonymisieren.

Integrität und Vertraulichkeit: Verantwortliche und Auftragsverarbeiter müssen geeignete technische und organisatorische Maßnahmen ergreifen, um Daten vor unbefugtem Zugriff, Verlust oder Manipulation zu schützen.

IV. Rechte der betroffenen Personen

Nach der DSGVO und deutschem Recht stehen betroffenen Personen folgende Rechte zu:

Recht auf Information und Auskunft: Das Recht zu erfahren, welche personenbezogenen Daten erhoben werden und wie sie verarbeitet werden.

Recht auf Berichtigung: Das Recht, die Korrektur unrichtiger oder unvollständiger Daten zu verlangen.

Recht auf Löschung (Recht auf Vergessenwerden): Unter bestimmten gesetzlichen Voraussetzungen können betroffene Personen die Löschung ihrer personenbezogenen Daten verlangen.

Recht auf Einschränkung der Verarbeitung: In bestimmten Fällen kann die weitere Verarbeitung der Daten eingeschränkt werden.

Recht auf Datenübertragbarkeit: Das Recht, personenbezogene Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und an einen anderen Verantwortlichen zu übertragen.

Widerspruchsrecht: Das Recht, der Verarbeitung personenbezogener Daten zu widersprechen, insbesondere wenn diese auf berechtigten Interessen oder im öffentlichen Interesse beruht.

Rechte im Zusammenhang mit automatisierten Entscheidungen: Bei automatisierten Entscheidungen einschließlich Profiling haben betroffene Personen das Recht auf Information, Widerspruch und menschliches Eingreifen.

Für Minderjährige unter 16 Jahren (besondere deutsche Regelung im Rahmen der DSGVO) ist für die Verarbeitung personenbezogener Daten die Einwilligung der Eltern oder Erziehungsberechtigten erforderlich. Zudem müssen Informationen in verständlicher und altersgerechter Form bereitgestellt werden.

V. Pflichten der Auftragsverarbeiter

Auftragsverarbeiter dürfen personenbezogene Daten ausschließlich auf Grundlage dokumentierter Weisungen des Verantwortlichen verarbeiten.

Sie müssen geeignete technische und organisatorische Maßnahmen zum Schutz der Daten ergreifen.

Sie sind verpflichtet, den Verantwortlichen bei der Erfüllung seiner gesetzlichen Pflichten gemäß DSGVO zu unterstützen, insbesondere bei der Beantwortung von Anträgen betroffener Personen.

Im Falle einer Datenschutzverletzung muss der Auftragsverarbeiter den Verantwortlichen unverzüglich informieren, damit dieser innerhalb von 72 Stunden Meldung an den BfDI erstatten kann.

Der Verantwortliche muss ein Verzeichnis von Verarbeitungstätigkeiten führen und bei Verarbeitungsvorgängen mit hohem Risiko eine Datenschutz-Folgenabschätzung (DSFA/DPIA) durchführen.

Bestimmte Organisationen sind verpflichtet, einen Datenschutzbeauftragten (DSB/DPO) zu benennen und diesen bei der zuständigen Aufsichtsbehörde zu melden.

VI. Internationale Datenübermittlungen

Bei der Übermittlung personenbezogener Daten in Staaten außerhalb der Europäischen Union muss der Verantwortliche sicherstellen, dass im Empfängerland ein angemessenes Datenschutzniveau gewährleistet ist. Dies kann insbesondere erfolgen durch:

Einen Angemessenheitsbeschluss der Europäischen Kommission;

Den Abschluss von EU-Standardvertragsklauseln (SCCs);

Andere nach der DSGVO zulässige Übermittlungsmechanismen.

Seit der Ungültigerklärung des „Privacy Shield“ am 16. Juli 2020 müssen deutsche Unternehmen die aktualisierten EU-Standardvertragsklauseln (Fassung vom 4. Juni 2021) oder andere zulässige Instrumente für internationale Datenübermittlungen verwenden.

VII. Aufsicht und Durchsetzung

Die deutschen Datenschutzbehörden (BfDI sowie die Datenschutzbehörden der Bundesländer) verfügen über weitreichende Aufsichts- und Durchsetzungsbefugnisse:

Sie können Verwarnungen aussprechen oder Abhilfemaßnahmen anordnen;

Die Verarbeitung personenbezogener Daten einschränken oder untersagen;

Erhebliche Geldbußen verhängen, die bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen können, je nachdem, welcher Betrag höher ist.

Darüber hinaus erlaubt das deutsche Recht Einzelpersonen, verbindliche Anweisungen zur Verarbeitung ihrer Daten zu erteilen, auch im Hinblick auf die Verwendung ihrer Daten nach dem Tod. Liegen keine entsprechenden Anweisungen vor, muss die Verarbeitung im Einklang mit den gesetzlichen Vorgaben erfolgen.

Der deutsche Durchsetzungsrahmen der DSGVO dient dem Schutz der Rechte betroffener Personen, der Stärkung der unternehmerischen Compliance und der Förderung des Vertrauens in die digitale Wirtschaft.