DSGVO

DSGVO: Was regelt die EU-weit gültige Verordnung? 

Die Datenschutz-Grundverordnung, kurz DSGVO, regelt für alle Mitgliedstaaten der EU einen weitgehend einheitlichen Umgang mit persönlichen Daten natürlicher Personen. Sie ist eine Verordnung der Europäischen Union, die dadurch unmittelbare Rechtswirkung für alle betroffenen Staaten entfaltet. Personen können sich daher direkt auf die Vorschriften der DSGVO berufen und müssen nicht darauf warten, dass die jeweiligen Gesetzgeber die DSGVO in nationales Recht umsetzen. 

Aufbau und Geltungsbereich der DSGVO 

Die DSGVO ist wie andere EU-Verordnungen auch thematisch und nach Kapiteln unterteilt aufgebaut. Konkret beinhaltet sie die folgenden Kapitel mit jeweils nachfolgendem Inhalt: 

• Kapitel 1 (Artikel 1 bis 4): Das erste Kapitel der DSGVO regelt einerseits den Anwendungsbereich, beinhaltet aber andererseits auch allgemeine Begriffsbestimmungen sowie Ziele der Verordnung 
• Kapitel 2 (Artikel 5 bis 11): Im zweiten Kapitel ist die Rechtmäßigkeit der Datenverarbeitung geregelt. Relevant ist dabei insbesondere Artikel 6 DSGVO, denn dieser normiert, unter welchen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen. Außerdem ist der Begriff der „personenbezogenen Daten“ hier definiert 
• Kapitel 3 (Artikel 12 bis 23): Dieses Kapitel enthält ausführliche Regelungen zu den Rechten der betroffenen Person und dadurch auch die Pflichten von Datenverarbeitern. Eines der bekanntesten Rechte ist der „Anspruch auf Vergessenwerden“, der die vollständige Löschung aller gespeicherten Daten zur Folge hat 
• Kapitel 4 (Artikel 24 bis 43): Im vierten Kapitel regelt die DSGVO die Verantwortlichkeit für die Datenverarbeitung sowie die im Einzelfall bestehende Notwendigkeit einer Datenschutz-Folgeabschätzung 
• Kapitel 5 (Artikel 44 bis 50): Hier werden die Zulässigkeit einer Übermittlung von Daten in Drittländer sowie bestehende Sicherheitspflichten im Einzelfall geregelt 
• Kapitel 6 (Artikel 51 bis 59): Kapitel 6 der DSGVO verpflichtet die Mitgliedsstaaten, unabhängige Aufsichtsbehörden für Verfolgung und Ahndung von Datenschutzverstößen einzurichten sowie entsprechend zu besetzen 
• Kapitel 7 (Artikel 60 bis 76): Hier sind die Zusammenarbeit einzelner Stellen sowie der EU-Datenschutzausschuss geregelt 
• Kapitel 8 (Artikel 77 bis 84): Kapitel 8 regelt die „scharfen Schwerter“ der Datenschutzbehörden und betroffener Personen. Denn hier sind neben Haftung auch Rechtsbehelfe und Sanktionen normiert 
• Kapitel 9 (Artikel 85 bis 91): Kapitel 9 enthält Vorschriften für besondere Verarbeitungslagen, zum Beispiel am Arbeitsplatz oder zu wissenschaftlichen Zwecken 

Insgesamt enthält die DSGVO inklusive der Kapitel 10 und 11 damit 99 Artikel. Ihnen vorangestellt sind sogenannte Erwägungsgründe, insgesamt 173 an der Zahl. Sie erleichtern die Auslegung der folgenden Vorschriften, indem sie unter anderem begründen, aus welchem Anlass die einzelne Norm erlassen wurde und auf welche Fälle sie anzuwenden sein soll. 

Die DSGVO gilt in der gesamten EU. Ausgenommen sind Staaten wie die Schweiz, die zwar räumlich innerhalb der EU liegen, allerdings keine Mitglieder der Union sind. Diese Staaten regeln den Danteschutz auf ihrem Hoheitsgebiet selbst. 

Grundsätze der DSGVO zur Verarbeitung personenbezogener Daten 

Die Verarbeitung personenbezogener Daten, definiert in Artikel 4 der DSGVO, wird durch Artikel 5 DSGVO abschließend legitimiert. Eine Datenverarbeitung ist also nur zulässig, wenn alle Voraussetzungen gegeben sind: 

• Rechtmäßigkeit: Eine Norm der DSGVO erlaubt die Verarbeitung der personenbezogenen Daten oder es liegt eine konkludente Einwilligung vor; die Datenverarbeitung ist außerdem transparent 
• Zweckbindung: Der Zweck der Verarbeitung steht fest und wird dem Betroffenen mitgeteilt. Eine Erhebung personenbezogener Daten nach der DSGVO ist unzulässig, wenn der Zweck der Erhebung gegen gesetzliche (Straf-) Vorschriften verstößt 
• Datenminimierung: Die Verarbeitung der personenbezogenen Daten darf das notwendige Maß nicht überschreiten
• Richtigkeit: Die Daten sind so zu speichern, dass sie bei Fehlern oder Unvollständigkeit entweder geändert oder gelöscht werden können 
• Speicherbegrenzung: Personenbezogene Daten müssen nach der DSGVO gelöscht werden, wenn der Zweck ihrer Verarbeitung erfüllt ist
• Vertraulichkeit: Personenbezogene Daten sind nach den Grundsätzen der DSGVO so zu speichern, dass fremde und insbesondere unberechtigte Dritte keinen Zugriff auf die Informationen haben

Die tatsächliche Legitimation für die Verarbeitung personenbezogener Daten ergibt sich allerdings nicht aus Artikel 5 der DSGVO. Für sie sind entsprechend andere Normen, insbesondere Artikel 6 DSGVO, heranzuziehen. 

Umsetzung der DSGVO in Deutschland 

Nach Einführung der DSGVO wurde unter anderem das Bundesdatenschutzgesetz (BDSG) neu gefasst und an vielen Stellen erweitert. Änderungen betrafen neben den materiellen Regelungen der DSGVO auch die Anzahl der Datenschutzbeauftragten in einem Unternehmen.

Außerdem hat Deutschland neue Datenschutzbehörden auf Ebene von Bund und Ländern aufgebaut. Dazu gehören beispielsweise der Bundesbeauftragte für den Datenschutz, aber auch das Bayerische Landesamt für Datenschutzaufsicht. 

Schadensersatz bei Verstößen gegen die DSGVO 

Für die effektive Durchsetzung des Datenschutzrechts sind seit Einführung der DSGVO weitaus höhere Bußgelder und Strafen als bislang möglich. Außerdem können die für den Datenschutz zuständigen Behörden Bußgelder nicht mehr nur gegen Privatpersonen und private Unternehmen, sondern auch gegen Behörden festsetzen. 

Nach Artikel 83 Absatz 5 der DSGVO kann das Bußgeld dabei bis zu 20 Millionen Euro betragen. Alternativ darf die zuständige Behörde bei weltweit tätigen Unternehmen und Konzernen ein Bußgeld in Höhe von bis zu 4 Prozent des weltweiten Jahresumsatzes festsetzen. Die Strafen können also gravierend sein – zum Vergleich: Das Bundesdatenschutzgesetz sah vor Einführung der DSGVO eine maximale Strafzahlung von 300.000 Euro vor. 

Einer der Erwägungsgründe (149) der DSGVO sieht außerdem einen erweiterten Spielraum für Sanktionen bei den Ländern vor. Sie können beispielsweise festlegen, dass Gewinne, die nur aufgrund eines Verstoßes gegen die DSGVO generiert wurden, eingezogen werden können.