DSGVO für Dummies: Einfacher DSGVO-Leitfaden für Anfänger

Sein oder Nichtsein . In diesem Zusammenhang ist die größte Herausforderung, zu verstehen, ob Ihr Unternehmen die DSGVO (Datenschutz-Grundverordnung) einhalten muss oder nicht. Für Unternehmer, die viel Zeit in Produktentwicklung und Geschäftsausweitung investieren, liegt die Herausforderung im nötigen Know-how für die Einhaltung der Vorschriften.

GDPR für Dummies hat zum Ziel, die Datenschutzverordnung – das DSGVO-Compliance-Gesetz und alle seine wesentlichen Aspekte – Gründern (CXOs) und Technologen (CTOs, VP-Engineering) zu erklären, die nach einem Leitfaden für dieses komplexe Verfahren suchen.

DSGVO verstehen für Dummies

Vor der DSGVO war Datenschutz ein Witz; niemand wusste, wohin Nutzerdaten im Internet übertragen wurden und wer Zugriff darauf hatte. Die Europäische Union (EU) veröffentlichte im Mai 2018 die erste Fassung der DSGVO, die den Schutz der Privatsphäre und Integrität personenbezogener Daten der europäischen Bürger zum Ziel hatte.

Unternehmen, die unter dieses Gesetz fallen, haben zwei Jahre Zeit, die notwendigen Änderungen vorzunehmen, um die Vorschriften einzuhalten.

Es war eine große Sache!

Die DSGVO konzentrierte sich auf die Bereitstellung eines Regelleitfadens für Unternehmen, die mit Nutzerdaten arbeiten, um festzulegen, wie Nutzerdaten verarbeitet werden sollen. 

Dies versetzte den Nutzer (Einzelperson) in die Lage, seine Rechte an seinen Daten zu kontrollieren und gab ihm die Macht zu entscheiden, was mit seinen Daten geschieht und wann.

Die Regelrichtlinie ist allgemein als die Grundsätze der DSGVO bekannt.

Warum brauchen wir die DSGVO?

Die DSGVO wurde eingeführt, um die Interessen des Einzelnen vor den Interessen der Unternehmen zu schützen. Klingt hart.

In diesem leicht verständlichen Leitfaden zur DSGVO erklären wir Ihnen, was es damit auf sich hat . Der Handel mit personenbezogenen Daten ist ein 3 Billionen Dollar schwerer Markt. Zum Vergleich: Der weltweite Jahresumsatz mit Medikamenten wird auf rund 400 Milliarden Dollar geschätzt.

Unternehmen wie Facebook und Google verdienen viel Geld damit, persönliche Daten an Werbetreibende zu verkaufen. 

Aber würden Sie den Werbetreibenden, die diese Nutzerdaten nach Zahlung einer hohen Summe erworben haben, vertrauen, dass sie Ihre Interessen im Sinn haben? Wahrscheinlich nicht. 

Daraus ergibt sich die Notwendigkeit einer Regelung, die sicherstellt, dass die Vertraulichkeit und Integrität der Benutzerdaten nicht beeinträchtigt werden.

Als Unternehmer, der die DSGVO-Konformität anstrebt , sollten Sie wissen, warum ein einwandfreier Nachweis der Einhaltung der Vorschriften so wichtig ist. Zunächst einmal schafft er Vertrauen. Der zweite, entscheidende Aspekt ist, dass er zeigt, dass Ihr Unternehmen die Kompetenz besitzt, personenbezogene Daten auf international anerkannte Weise zu verarbeiten. Dies umfasst auch den wichtigen Aspekt, dass Sicherheitsmaßnahmen zum Schutz Ihrer Daten vor böswilligen Angriffen implementiert sind.

Der dritte Punkt sind die empfindlichen Verwaltungsstrafen, die bei Nichteinhaltung fällig werden. 

Was ist eine Zusammenfassung der DSGVO für Dummies zum Thema personenbezogene Daten?

Personenbezogene Daten sind alle Informationen, die eine bestimmte Person anhand verschiedener Merkmale identifizieren können.

Ein einzelnes Attribut personenbezogener Daten reicht nicht aus, um den Prozess zurückzuverfolgen und die Quelle bzw. die Person zu ermitteln. Personenbezogene Daten sind wie ein Puzzle; das Gesamtbild ergibt sich erst, wenn genügend Teile zusammenpassen.

Als Unternehmen, das personenbezogene Daten verarbeitet, dürfen Sie diese nicht unbegrenzt in Ihren Systemen speichern. Sie müssen die betroffene Person über den Zweck der Datenerhebung , die beabsichtigte Datenverarbeitung, die Dauer der Verarbeitung und die anschließende Datenlöschung informieren.

Lesenswert: DSGVO-Bußgelder verstehen und vermeiden

Wer fällt unter die DSGVO?

Diese drei verschiedenen Institutionen werden von der DSGVO auf unterschiedliche Weise abgedeckt; wir werden sie im Folgenden in unserem DSGVO-Leitfaden für Dummies vorstellen.

Datenverantwortliche:

Datenverantwortliche (öffentlich oder privat) sind die Organisationen, die den Datenerfassungsprozess von Einzelpersonen initiieren. Sie sind für die von ihnen erhobenen Daten verantwortlich und müssen eine Reihe von Regeln und Vorschriften für die Verarbeitung von Nutzerdaten einhalten, um sicherzustellen, dass Datenschutz und Datenintegrität nicht beeinträchtigt werden.

Datenprozessoren:

Datenverantwortliche beauftragen in der Regel Datenverarbeiter mit der Datenverarbeitung. Diese Datenverarbeiter haben ihren Sitz meist innerhalb der EU, mitunter aber auch außerhalb. Die DSGVO verpflichtet Datenverarbeiter zur Einhaltung der gesetzlichen Bestimmungen bei der Datenverarbeitung. Lagern Datenverarbeiter ihre Verarbeitungstätigkeiten an andere Organisationen aus, sind sie dafür verantwortlich, dass diese Organisationen die DSGVO einhalten.

Betroffene Personen:

Betroffene Personen sind natürliche Personen, deren Daten von Verantwortlichen und Auftragsverarbeitern erhoben und verarbeitet werden . Die DSGVO räumt betroffenen Personen das Recht ein , über die Verarbeitung ihrer Daten durch Organisationen zu entscheiden.

Ein Leitfaden für Dummies zur DSGVO-Datenverarbeitung?

Datenverarbeitung im Sinne der DSGVO liegt vor, wenn Benutzerdaten auf folgende Weise behandelt werden.

• Gelagert
• Behandelt
• Gebrauchte
• Kaputt gemacht

Sie verarbeiten Daten, wenn Ihr Unternehmen eine oder mehrere der oben genannten Methoden anwendet. Daher sind Sie für die Gewährleistung der Vertraulichkeit und Integrität der Daten im jeweiligen Kontext verantwortlich.

Als Datenverarbeiter ist es wichtig zu wissen, dass Betroffene in bestimmten Fällen der Verarbeitung ihrer Daten widersprechen können. In diesen Fällen haben Sie 30 Tage Zeit, den Antrag zu bestätigen. Bevor Auftragsverarbeiter und Verantwortliche auf diese Anträge reagieren können, müssen sie zunächst prüfen, ob der Antrag unter die DSGVO fällt . Unser Leitfaden zum räumlichen und sachlichen Anwendungsbereich erläutert die zweistufige Prüfung, die feststellt, ob eine bestimmte Verarbeitungstätigkeit von der Verordnung geregelt ist.

Hier sind drei Situationen, in denen eine betroffene Person die Verarbeitung ihrer Daten widerrufen kann:

• Datenverarbeitung für wissenschaftliche/historische Forschung
• Datenverarbeitung für Direktmarketing
• Verarbeitung, die auf Profiling basiert

Gibt es Ausnahmen von der DSGVO?

Selbstverständlich gibt es Ausnahmen von der DSGVO. Beispielsweise müssen nicht alle Unternehmen, die innerhalb der geografischen Grenzen der Europäischen Union tätig sind, die DSGVO einhalten. Artikel 85 und Artikel 91 erläutern diese Ausnahmen und wie Unternehmen diese beantragen können.

Allerdings gibt es andere im DSGVO-Gesetz genannte Bedingungen, die eine Ausnahme rechtfertigen. Eine solche Ausnahme besteht beispielsweise, wenn eine Person die Rechte und Freiheiten anderer bedroht; in diesem Fall fällt sie nicht mehr unter die DSGVO.

Weitere Fälle, in denen die DSGVO nicht anwendbar ist, sind:

• Verteidigungsbedenken
• Kriminalprävention
• Finanzielle Sicherheit
• Strafverfolgung
• Verdacht auf Steuerhinterziehung
• Bedenken hinsichtlich der öffentlichen Gesundheit
• Informationsfreiheit

Wo findet die DSGVO Anwendung?

In diesem Leitfaden zur DSGVO für Dummies erfahren Sie, dass die DSGVO für Sie als Unternehmen gilt, solange Sie Daten von Einwohnern der Europäischen Union verarbeiten.

Wenn Sie beispielsweise ein Unternehmen mit Sitz auf den Philippinen sind und Nutzerdaten von Einwohnern der EU verarbeiten, müssen Sie die entsprechenden Vorschriften einhalten.

Man könnte argumentieren, dass sie die von ihren lokalen Regierungsbehörden festgelegten Datenschutzgesetze einhalten, aber irgendwie bevorzugt die Welt heutzutage die Einhaltung der DSGVO als Standardnorm, um seine Kompetenz im Schutz der Privatsphäre und Integrität von Benutzerdaten unter Beweis zu stellen.

DSGVO für Einsteiger: Was ist eine Datenschutzverletzung? Warum ist sie gefährlich?

Ein Datenleck liegt vor, wenn Angreifer oder Hacker unbefugt Zugriff auf Ihre Datenbank erlangen. Es handelt sich um einen Worst-Case-Fall, in dem ein Unternehmen Tausende von Euro und Hunderte von Arbeitsstunden in die Entwicklung von Sicherheitsmaßnahmen und die Implementierung bewährter Verfahren investieren muss.

Selbst die größten und finanzstärksten Unternehmen weltweit werden Opfer von Datenlecks. Ein Beispiel dafür ist der Angriff auf Facebook, bei dem Angreifer Zugriff auf die Daten von 500 Millionen Nutzern erlangten.

Ein Datenleck birgt Risiken, denn unbefugte Nutzer erhalten Zugriff auf sensible Daten , und die Folgen der Verwendung dieser personenbezogenen Daten sind erschreckend.

Als Unternehmen, das die DSGVO-Konformität anstrebt und sich die Zeit nimmt, den DSGVO-Leitfaden zu lesen , müssen Sie sicherstellen, dass Sie in Ihren Geschäftsumgebungen so wenige Nutzerdaten wie möglich speichern. Denn je weniger Daten Sie speichern, desto weniger Daten gehen natürlich verloren.

Darüber hinaus muss Ihre Organisation ein „Datenschutz-durch-Standard“-Modell verfolgen, um sicherzustellen, dass alle Ihre Systeme so sicher wie möglich aufgebaut sind. 

Im Falle einer Datenschutzverletzung sind Sie als Auftragsverarbeiter verpflichtet, den Vorfall innerhalb von 72 Stunden den Aufsichtsbehörden gemäß DSGVO zu melden und ihnen zu erläutern, warum die Datenschutzverletzung aufgetreten ist, welche Auswirkungen sie hat und welche Maßnahmen Sie ergriffen haben, um sie zu beheben.

Siehe auch: DSGVO-Datenmapping: Wesentliche Praktiken und Compliance-Strategien

DSGVO-Konformität und die Vereinigten Staaten

Im Jahr 2016 vereinbarten die Europäische Union und die Vereinigten Staaten von Amerika, festzulegen, wie sie personenbezogene Daten schützen würden.

Es ist wichtig zu beachten, dass jede Organisation in den Vereinigten Staaten von Amerika eine DSGVO-Zertifizierung durch das US-Handelsministerium oder die EU-Aufsichtsbehörde benötigt . Grund dafür ist, dass die EU die US-amerikanischen Datenschutzgesetze als unzureichend bezeichnet hat. Um von diesen Stellen zertifiziert zu werden, müssen Organisationen daher zusätzliche Maßnahmen ergreifen, um ein angemessenes Datenschutzniveau zu gewährleisten.

Wenn Sie ein in den USA ansässiges Unternehmen sind, wird Ihnen die Data-Privacy-Shield-Zertifizierung allein nicht dabei helfen, DSGVO-konform zu werden, aber sie ist ein guter Anfang in die richtige Richtung.

Sie können sich von spezialisierten Compliance-Experten wie Sprinto helfen lassen, um Ihre Compliance-Reise zu beginnen.

Schritte zur Einhaltung der Vorschriften – Ein Leitfaden für Dummies

Die Einhaltung der DSGVO ist nicht ganz einfach. Aber sie ist auch nicht unmöglich – daher dieser DSGVO-Leitfaden für Einsteiger.

Viele US-amerikanische Nachrichtenseiten blockieren Nutzer aus der EU, da sie noch immer keine Lösung gefunden haben, um die DSGVO-Konformität zu erreichen. Sie müssen nicht dazugehören.

Hier sind die wichtigsten Punkte, auf die Sie sich im ersten Abschnitt Ihrer Bemühungen um die Einhaltung der DSGVO konzentrieren sollten.

Beachten Sie jedoch, dass dies kein umfassendes Handbuch zur DSGVO-Konformität ist . Es soll Ihnen lediglich den Einstieg erleichtern.

1.Website

Erfasst Ihr Unternehmen personenbezogene Daten von EU-Bürgern (Name, E-Mail-Adresse, Cookie-Einwilligung usw.)?

Falls ja, sind Sie verpflichtet, die Vorschriften einzuhalten.

2. Durchführung einer Datenschutz-Folgenabschätzung (DSFA)

Wenn Ihr Unternehmen personenbezogene Daten verarbeitet und diese Daten als risikoreich eingestuft werden, müssen Sie die erforderlichen Maßnahmen (in der Regel mehr als üblich) ergreifen, um diese risikoreichen Daten zu schützen.

Folgenabschätzungen ermöglichen es Ihnen, die Art des Risikos zu verstehen, dem Ihr Unternehmen bei der Verarbeitung risikoreicher Daten ausgesetzt ist.

 Hier einige Beispiele für risikoreiche Daten:

• Einsatz neuer Technologien
• Marketing oder Werbung, die sich an Kinder (unter 16 Jahren) richtet
• Standortverfolgung
• Verarbeitung genetischer Daten (DNA/RNA)

3. Maßnahmen zur Benachrichtigung bei Datenschutzverletzungen implementieren:

Sie sind verpflichtet, die Behörden innerhalb von 72 Stunden nach dem Vorfall über den Verstoß und dessen Einzelheiten zu informieren. 

Benennen Sie in Ihrem Unternehmen eine/n Mitarbeiter/in, der/die speziell für diese Aufgabe zuständig ist. Stellen Sie sicher, dass die notwendigen Schulungen durchgeführt werden, um Sicherheitslücken zu erkennen und die erforderlichen Folgemaßnahmen einzuleiten.

4. Nehmen Sie sich Zeit für die Ausarbeitung Ihrer Datenschutzrichtlinien:

Als Geschäftsinhaber sollten Sie sich Rechtsberatung einholen und Zeit in die Ausarbeitung einer maßgeschneiderten Datenschutzerklärung für Ihr Unternehmen investieren.

Eine gute Datenschutzerklärung sollte Folgendes beinhalten:

• Bitte geben Sie die Kontaktdaten des Unternehmens und seiner Vertreter an.
• Beschreiben Sie, warum das Unternehmen die Daten erhebt.
• Geben Sie an, wie lange die Informationen aufbewahrt werden.
• Erläutern Sie die Rechte der Nutzer
• In einfacher Sprache verfasst sein
• Nennen Sie die Empfänger der personenbezogenen Daten (falls das Unternehmen Daten mit einer anderen Organisation teilt).
• Bitte geben Sie die Kontaktdaten eines EU-Vertreters und des Datenschutzbeauftragten (falls erforderlich) an.

5. Einverständniserklärung

Fügen Sie beim Erfassen von Nutzerdaten ein Formular zur Cookie-Einwilligung hinzu und integrieren Sie Abschnitte, in denen Nutzer auswählen können, welchen Datenverarbeitungsaktivitäten sie zustimmen. Anders ausgedrückt: Gestalten Sie Ihre Methoden zur Einholung der Einwilligung so transparent wie möglich.

Wie hilft Sprinto?

Die Umsetzung der DSGVO ist ein langer, aufwendiger und kostspieliger Prozess, wenn man ihn selbst in Angriff nimmt oder einen externen Spezialisten hinzuzieht. Mit unserem Artikel „DSGVO für Einsteiger“ haben wir versucht, diesen Prozess etwas zu vereinfachen. Wir verstehen jedoch, dass ein einzelner Artikel nicht alle notwendigen Kenntnisse und praktischen Fähigkeiten vermitteln kann. Deshalb helfen wir Ihnen gerne weiter, falls Sie Unterstützung benötigen.

Sprinto hat bereits Hunderten von Unternehmen geholfen, die DSGVO-Konformität zu erreichen. Wir setzen auf eine optimale Kombination aus Automatisierung und menschlicher Expertise, um einen reibungslosen Ablauf Ihres DSGVO-Konformitätsprozesses zu gewährleisten. Mit uns verstehen Sie genau, welche Schritte auf Sie zukommen, welche Aufgaben automatisiert werden können und welche menschliche Unterstützung erfordern.

Dies hilft Ihnen, die Kosten niedrig zu halten und Ihre Aktivitäten zu priorisieren, ohne Ihre Geschäftsentwicklung zu beeinträchtigen.