DSGVO-Anforderungen: So bleiben Sie den Datenschutzgesetzen treu

Die DSGVO ist der Torwächter zu einem der größten Märkte der Welt. Wer in Europa Geschäfte machen oder mit europäischen Kunden und deren Daten arbeiten möchte, kommt an der DSGVO nicht vorbei. Sie ist die Eintrittskarte. 

Und das Ausmaß der Auswirkungen ist unübersehbar. Seit Inkrafttreten der DSGVO haben über eine halbe Million Organisationen in Europa Datenschutzbeauftragte formell ernannt. Diese Zahl verdeutlicht, wie tiefgreifend die Verordnung den Arbeitsalltag verändert hat.

Viele Gründer stehen am Anfang wie Idan Deshe, Mitgründer von Noosa. Er sagte einmal: „Wir haben einen externen Berater engagiert, der uns einen Überblick über die Umsetzung verschaffte, aber das war sehr, sehr abstrakt.“ Die Gesetze sind streng, die Erwartungen hoch und die Richtlinien wirken oft unverständlich.

In diesem Blogbeitrag möchten wir die Anforderungen der DSGVO näher beleuchten und sie in einfacher, leicht verständlicher Sprache erläutern.

Was ist die DSGVO und wann gilt sie?

Die Datenschutz-Grundverordnung (DSGVO) ist das Datenschutzgesetz der Europäischen Union, das regelt, wie Organisationen personenbezogene Daten von Personen in der EU und im EWR erheben, verwenden, speichern, weitergeben und schützen.

Die DSGVO entstand, weil die EU einen wachsenden Bedarf an stärkerem Datenschutz und Datensicherheit erkannte. Bis 2016 hatte sich die digitale Landschaft so rasant entwickelt, dass die EU die Notwendigkeit eines klaren Standards für den Umgang mit den Daten ihrer Bürgerinnen und Bürger erkannte.

Die DSGVO-Anforderungen legen daher eine Reihe von Grundsätzen und bewährten Verfahren fest, wie Organisationen personenbezogene Daten erfassen, verwenden und schützen sollten.

Globaler Geltungsbereich

Einer der wichtigsten Aspekte der DSGVO ist ihr extraterritorialer Geltungsbereich. Die DSGVO gilt:

• An in der EU ansässige Organisationen, unabhängig davon, wo die Verarbeitung stattfindet
• An Organisationen außerhalb der EU, wenn diese:
  • Waren oder Dienstleistungen an Einzelpersonen in der EU anbieten, oder
  • Das Verhalten von Einzelpersonen in der EU überwachen

Anders ausgedrückt: Es genügt nicht zu sagen: „Wir haben unseren Sitz nicht in Europa.“ Wenn Sie personenbezogene Daten von EU-Bürgern in einer Weise verarbeiten, die unter die DSGVO fällt , gelten deren Bestimmungen.

Wann die DSGVO für US-Unternehmen (und andere Nicht-EU-Organisationen) gilt

Die DSGVO gilt für US-Unternehmen und andere Organisationen außerhalb der EU, wenn diese:

• Haben Sie EU-Kunden oder kostenlose Nutzer?
• Betreiben Sie Websites oder Apps, die auf EU-Märkte abzielen (Währungen, Sprachen, lokalisierte Angebote).
• EU-Besucher für Analyse-, Profiling- oder Werbezwecke verfolgen
• Dienstleistungen für EU-Unternehmen erbringen, die die Verarbeitung personenbezogener Daten von EU-Bürgern beinhalten

Beispiele für häufige Anwendungsfälle

Hier einige typische Anwendungsfälle der DSGVO:

• Eine in den USA ansässige SaaS-Plattform, die Nutzern in Deutschland und Frankreich ein Freemium-Modell anbietet.
• Ein britischer oder US-amerikanischer Online-Shop, der Produkte an EU-Adressen versendet
• Ein B2B-Softwareanbieter, der EU-Kundendaten im Auftrag von EU-Kunden verarbeitet
• Eine australische Marketingagentur, die Retargeting-Kampagnen für Besucher aus der EU durchführt

Wer muss die DSGVO-Vorgaben einhalten?

Die Anforderungen der DSGVO gelten für alle Unternehmen und Organisationen, deren Kerntätigkeit die Erhebung oder Verarbeitung personenbezogener Daten von EU-Bürgern umfasst. Unabhängig vom Standort eines Unternehmens gilt: Wer Daten von Personen in der EU verarbeitet, muss die DSGVO einhalten. 

Dadurch ist die Verordnung für nahezu jedes moderne Unternehmen relevant, das mit europäischen Nutzern interagiert. Die DSGVO teilt Organisationen in Hauptkategorien ein:

• Verantwortliche, die den Zweck der Datenerhebung festlegen und Entscheidungen über die Mittel der Datenerhebung treffen.
• Datenverarbeiter, die personenbezogene Daten von Einzelpersonen verarbeiten.

Zwar müssen alle Unternehmen die DSGVO einhalten, doch kleinere Unternehmen mit weniger als 250 Mitarbeitern genießen etwas mehr Flexibilität. Sie müssen keine detaillierten Aufzeichnungen führen oder einen Datenschutzbeauftragten benennen, müssen aber dennoch die Grundprinzipien der Verordnung befolgen.

Andererseits können Verstöße gegen die DSGVO-Vorgaben zu hohen Strafen führen. Das folgende Video erklärt dies genauer:

Die wichtigsten DSGVO-Prinzipien 

Bevor Sie sich mit den betrieblichen Anforderungen befassen, ist es hilfreich, alles auf den sieben Kernprinzipien der DSGVO zu gründen. Diese bestimmen, wie jede andere Verpflichtung auszulegen ist:

1. Rechtmäßigkeit, Fairness, Transparenz

Die Verarbeitung muss auf einer gültigen Rechtsgrundlage beruhen, gegenüber den Betroffenen fair sein und klar kommuniziert werden. Eine gut formulierte Datenschutzerklärung gemäß DSGVO erfüllt die Anforderung der klaren Kommunikation, indem sie Rechtsgrundlage, Verarbeitungszwecke, Rechte der betroffenen Personen und Aufbewahrungsfristen in verständlicher Sprache darstellt, sodass Betroffene sie lesen und entsprechend handeln können.

2. Zweckbindung

Personenbezogene Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer Weise verwendet werden, die mit diesen Zwecken unvereinbar ist.

3. Datenminimierung

Es dürfen nur die Daten erhoben und verarbeitet werden, die für den angegebenen Zweck notwendig sind.

4. Genauigkeit

Persönliche Daten müssen korrekt und aktuell sein. Unrichtige Daten müssen berichtigt oder gelöscht werden.

5. Speicherbeschränkung

Daten sollten nicht länger aufbewahrt werden als für die Zwecke, für die sie erhoben wurden, erforderlich.

6. Integrität und Vertraulichkeit

Personenbezogene Daten müssen vor unbefugter oder unrechtmäßiger Verarbeitung, versehentlichem Verlust, Zerstörung oder Beschädigung geschützt werden.

7. Verantwortlichkeit

Organisationen sind verpflichtet, die DSGVO einzuhalten und müssen ihre Einhaltung nachweisen können.

Wichtige DSGVO-Anforderungen

Die Pflichten gemäß der DSGVO sind auf zahlreiche Artikel und Erwägungsgründe verteilt. Ihre strukturierte Gruppierung (wie wir sie vorgenommen haben) bietet jedoch einen praktischen Rahmen für die Umsetzung. Diese zehn Bereiche spiegeln die zentralen Verantwortlichkeiten wider, denen sich Organisationen stellen müssen, um die Grundsätze in die tägliche Praxis umzusetzen. 

Falls Sie sich bereits auf ein Audit vorbereiten, finden Sie hier eine einfache Checkliste für DSGVO-Audits, die hilfreich sein kann:

1. Rechtmäßige, faire und transparente Verarbeitung

Organisationen benötigen eine dokumentierte Rechtsgrundlage für die Erhebung personenbezogener Daten. Diese Rechtsgrundlage muss den betroffenen Personen klar und verständlich, ohne juristische Fachsprache, mitgeteilt werden. Zuvor müssen Organisationen jedoch zunächst klären, für wen die DSGVO in ihrem Kontext gilt, da die Pflicht zur Angabe der Rechtsgrundlage erst dann greift, wenn festgestellt wurde, dass die Verordnung die spezifischen Verarbeitungstätigkeiten der Organisation abdeckt.

Die Rechtsgrundlage kann eine ausdrückliche Einwilligung, eine vertragliche Notwendigkeit oder ein anderer anerkannter Rechtsgrund sein. Unabhängig von der Methode müssen die betroffenen Personen klar verstehen, welche Informationen erhoben werden, warum diese benötigt werden und wie sie verwendet werden. Im Falle von Cookies entspricht diese Verständnisanforderung der DSGVO-Cookie-Einwilligung : Im Banner müssen Zweck und Kategorie der Cookies angegeben werden, und der Nutzer muss die Möglichkeit haben, Cookies zu akzeptieren, abzulehnen oder seine Auswahl ohne vorausgewählte Optionen anzupassen.

2. Zweck, Daten und Speicherbegrenzung

Die DSGVO beschränkt die Datenerhebung auf das für einen ausdrücklich festgelegten Zweck notwendige Maß. Daher dürfen Daten, die für einen bestimmten Zweck erhoben wurden, nicht ohne neue Rechtsgrundlage für einen anderen Zweck verwendet werden.

Darüber hinaus sollten Daten nicht unbegrenzt in Systemen verbleiben. Organisationen müssen daher regelmäßig gespeicherte Datensätze überprüfen und veraltete Informationen entfernen oder anonymisieren, um ein ordnungsgemäßes Datenlebenszyklusmanagement zu gewährleisten.

3. Datengenauigkeit und -sicherheit

Organisationen, die personenbezogene Daten von EU-Bürgern speichern, tragen eine doppelte Verantwortung. Erstens müssen sie die Richtigkeit und Vollständigkeit der Daten gewährleisten. Zweitens müssen sie Schutzmaßnahmen implementieren, um unbefugten Zugriff oder Datenschutzverletzungen zu verhindern.

Dies erfordert die Einrichtung von Mechanismen zur Korrektur ungenauer oder veralteter Datensätze. Darüber hinaus ist aber auch eine robuste Sicherheitsinfrastruktur, einschließlich Zugriffskontrollen und Verschlüsselung, notwendig, um Daten vor Missbrauch zu schützen.

4. Datenschutz-Folgenabschätzungen (DSFA)

Bei der Verarbeitung sensibler Daten oder der Überwachung von Personen in großem Umfang schreibt die DSGVO eine Datenschutz-Folgenabschätzung (DSFA) vor. Diese Bewertung zwingt die Teams, potenzielle Risiken zu beurteilen, festzustellen, ob die Verarbeitung trotz dieser Risiken tatsächlich notwendig ist, und Schutzmaßnahmen zur Schadensminderung zu identifizieren.

Daher müssen Datenschutz-Folgenabschätzungen (DSFA) mit klaren Auslösern in die frühzeitige Planung integriert werden und dürfen nicht erst nach Abschluss der Entwicklung als reine Checklistenübung behandelt werden.

5. Datenschutz durch Technikgestaltung und standardmäßige Datenschutzeinstellungen

Datenschutzorientiertes Entwickeln von Systemen von Grund auf gilt heute weithin als Best Practice. Die DSGVO unterstreicht dies durch die Verpflichtung zu „Datenschutz durch Technikgestaltung“. Das bedeutet, dass Datenschutzmaßnahmen von Beginn an in Systeme integriert werden müssen.

Dieses Prinzip bedeutet, dass Standardeinstellungen so wenige Daten wie möglich erfassen sollten und Nutzer nur dann weitere Daten freigeben sollten, wenn sie dies wünschen. Die Sicherheit sollte unter diesem Gesichtspunkt entwickelt werden, indem Designprüfungen und Technologien eingesetzt werden, die die Datenerfassung von Natur aus einschränken.

6. Verträge zwischen Verantwortlichem und Auftragsverarbeiter (Artikel 28)

Wenn Drittanbieter im Auftrag eines Unternehmens Kundendaten verarbeiten, muss vor jeder Datenübertragung eine formelle Vereinbarung zur Datenverarbeitung (DSV) abgeschlossen werden. Diese DSV sollte festlegen, welche Verarbeitungsvorgänge der Anbieter durchführen darf, welche Sicherheitsstandards er einhalten muss und wie die Haftung verteilt ist.

Organisationen müssen daher ein Verzeichnis aller Datenverarbeiter führen – also aller externen Stellen, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten. Sie sollten vor der Zugriffsgewährung prüfen, ob Datenschutzvereinbarungen (DSGVO) bestehen, und regelmäßig überprüfen, ob jeder Datenverarbeiter die erforderlichen Sicherheitsstandards gemäß DSGVO weiterhin erfüllt, da der Verantwortliche gemäß Artikel 24 DSGVO für das Verhalten des Verarbeiters verantwortlich bleibt.

7. Gewährleistung der Rechte betroffener Personen

Eine der Kernprinzipien der DSGVO ist es, Einzelpersonen die volle Kontrolle über ihre personenbezogenen Daten zu geben. Das bedeutet, dass sie einsehen können, welche Informationen erfasst werden, Fehler korrigieren, die Daten auf Wunsch löschen oder deren Verwendung einschränken und ihr widersprechen können. Diese Rechte sind jedoch nur dann wertvoll, wenn Unternehmen ihre Ausübung in der Praxis vereinfachen.

Organisationen müssen Arbeitsabläufe einrichten, die Anfragen effizient und innerhalb strikter gesetzlicher Fristen bearbeiten. Sie müssen außerdem die Identität der Zugriffsberechtigten überprüfen, bevor sie Daten offenlegen, Anfragen nachverfolgen, um die Einhaltung von Fristen sicherzustellen, und Aufzeichnungen führen, die dokumentieren, wie jede Anfrage bearbeitet wurde.

8. Bestellung eines Datenschutzbeauftragten (falls erforderlich)

Organisationen, die Personen in großem Umfang überwachen oder sensible personenbezogene Daten als Kerngeschäftstätigkeit verarbeiten, müssen einen Datenschutzbeauftragten (DSB) ernennen. 

Der Datenschutzbeauftragte (DSB) berät zu Compliance-Fragen, überwacht die Einhaltung der Datenschutzbestimmungen und ist die zentrale Anlaufstelle für regulatorische Angelegenheiten. Damit diese Funktion effektiv erfüllt werden kann, müssen die Aufgaben des DSB klar definiert sein. Der DSB muss unabhängig agieren und direkten Zugang zur Geschäftsleitung haben, um Bedenken ungehindert äußern zu können.

9. Schutzmaßnahmen für den grenzüberschreitenden Datentransfer

Die Übermittlung personenbezogener Daten außerhalb der EU/des EWR erfordert zusätzliche Schutzmaßnahmen, da nicht alle Rechtsordnungen einen gleichwertigen Rechtsschutz bieten. Organisationen stützen sich in der Regel auf Standardvertragsklauseln (SCCs), verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, BCRs) oder Angemessenheitsbeschlüsse, um rechtliche Rahmenbedingungen zu schaffen.

Rechtliche Vereinbarungen allein genügen jedoch nicht. Unternehmen müssen auch prüfen, ob die Gesetze des Ziellandes Risiken bergen, die den geschäftlichen Nutzen überwiegen. Dies erfordert die Erstellung einer umfassenden Transferdokumentation, die korrekte Anwendung von Standardvertragsklauseln (SCCs), die Durchführung von Folgenabschätzungen für den Datentransfer, um das rechtliche Umfeld zu verstehen, und den Einsatz technischer Sicherheitsvorkehrungen wie Verschlüsselung, um das Risiko bei der Übermittlung von Daten in unsichere Rechtsordnungen zu minimieren.

10. Erkennung und Meldung von Sicherheitsverletzungen (72-Stunden-Regel)

Die DSGVO verpflichtet Organisationen zu strengen Melde- und Offenlegungspflichten. Gemäß diesen Regeln müssen Organisationen Datenschutzverletzungen schnell erkennen, deren Auswirkungen bewerten und die Aufsichtsbehörden gegebenenfalls innerhalb von 72 Stunden benachrichtigen. Dieses kurze Zeitfenster spiegelt einen zentralen Grundsatz wider: Sowohl Betroffene als auch Aufsichtsbehörden haben das Recht zu erfahren, wenn private Nutzerdaten verletzt wurden.

Daher können sich Organisationen einen reaktiven Ansatz bei der Reaktion auf Sicherheitsvorfälle nicht leisten. Überwachungssysteme müssen Sicherheitslücken bereits bei den ersten Anzeichen einer Kompromittierung erkennen, und Eskalationswege müssen potenzielle Vorfälle unverzüglich an die zuständigen Teams weiterleiten. Es ist außerdem unerlässlich, eine detaillierte Dokumentation zu führen, die sowohl die Umstände der Sicherheitslücke als auch die Maßnahmen zu deren Behebung festhält. 

DSGVO-Einwilligungserfordernisse

Gemäß der DSGVO ist eine Einwilligung nur dann gültig, wenn sie freiwillig, spezifisch, informiert und unmissverständlich erteilt wird. Vereinfacht gesagt: Betroffene müssen verstehen, wozu sie zustimmen, und dürfen sich nicht unter Druck gesetzt fühlen, zuzustimmen. Die Anfrage selbst muss eindeutig formuliert sein, damit Betroffene genau erkennen können, welcher Art von Datennutzung sie zustimmen.

Die Einwilligung muss zudem detailliert sein. Anstatt also pauschal „alles akzeptieren“ zu lassen, sollten Nutzer auswählen können, welche Arten der Datenverarbeitung sie erlauben, beispielsweise Analyse-Cookies aktivieren, Marketing-Cookies aber deaktivieren. Dies gibt den Nutzern die volle Kontrolle, anstatt sie zu einer einzigen Entscheidung zu zwingen.

Nutzer müssen ihre Einwilligung jederzeit unkompliziert widerrufen können. Nach dem Widerruf muss die entsprechende Datenverarbeitung sofort eingestellt werden. Der Widerruf sollte genauso einfach sein wie die ursprüngliche Einwilligung und nicht durch lange Menüs oder komplizierte Schritte verdeckt werden.

Bei der Verarbeitung von Kinderdaten bietet die DSGVO zusätzlichen Schutz. Viele EU-Länder verlangen die Einwilligung der Eltern für Nutzer unter 16 Jahren, wobei das genaue Alter variieren kann. Daher müssen Organisationen Einwilligungsprozesse entwickeln, die erkennen, wenn ein Kind betroffen ist, und sicherstellen, dass die Einwilligung von einem Elternteil oder Erziehungsberechtigten erteilt wird.

Sicherheitsanforderungen der DSGVO (Artikel 32)

Artikel 32 verfolgt einen risikobasierten Ansatz für die Datensicherheit. Anstatt alle Organisationen zur Anwendung derselben Kontrollmechanismen zu verpflichten, verlangt die DSGVO, dass Sie Schutzmaßnahmen auswählen, die auf die Art der verarbeiteten Daten und die damit verbundenen Risiken zugeschnitten sind.

Organisationen müssen die Vertraulichkeit, Integrität und Verfügbarkeit personenbezogener Daten schützen. Dies bedeutet, Informationen vor unbefugtem Zugriff zu bewahren, sicherzustellen, dass sie nicht verändert oder beschädigt werden, und sie bei Bedarf zur Verfügung zu stellen.

Die DSGVO fördert zudem Verschlüsselung und Pseudonymisierung, sofern diese zur Risikominderung beitragen. Verschlüsselung schützt Daten, falls jemand unbefugt darauf zugreift, sei es versehentlich oder durch einen Angriff. Pseudonymisierung trennt identifizierende Details von den Daten und erschwert so die Zuordnung zu einer Person.

Eine effektive Reaktion auf Sicherheitsvorfälle wird ebenfalls erwartet. Organisationen sollten daher über Tools verfügen, die verdächtige Aktivitäten erkennen, nützliche Protokolle für Untersuchungen führen und im Falle eines Vorfalls einen klaren Reaktionsplan umsetzen. Speziell entwickelte Software zur Einhaltung der DSGVO bündelt diese Funktionen zur Reaktion auf Sicherheitsvorfälle typischerweise mit den umfassenderen Anforderungen an die Aufzeichnungspflichten gemäß Artikel 30, den Arbeitsabläufen zur Datenschutz-Folgenabschätzung (DSFA) und den Fristen für die Meldung von Datenschutzverletzungen, die DSGVO-Programme gegenüber Aufsichtsbehörden nachweisen müssen.

Diese Kontrollmechanismen dürfen nicht statisch bleiben. Die DSGVO erfordert regelmäßige Tests und Evaluierungen, um sicherzustellen, dass sich die Sicherheitsmaßnahmen mit dem Wachstum des Unternehmens oder dem Auftreten neuer Bedrohungen weiterentwickeln. Dies trägt dazu bei, dass die Schutzmaßnahmen wirksam bleiben und nicht veralten.

Sie müssen die DSGVO-Vorgaben erfüllen? Unsere „DSGVO-Auftragsverarbeitungsvereinbarung“ hilft Ihnen dabei. Laden Sie dieses wichtige Dokument herunter, um sicherzustellen, dass Ihre Datenverarbeitung den Vorschriften entspricht.

Automatisieren Sie die DSGVO-Konformität mit Sprinto

Die DSGVO ist eine komplexe Verordnung. Mit über 90 Artikeln, zahlreichen Unterbestimmungen und sich ständig weiterentwickelnden Best Practices kann die Einhaltung der Vorschriften mühsam und herausfordernd sein. Genau hier kann Sprinto helfen.

Sprinto für DSGVO-Konformität 

• KI-gestützte Steuerungszuordnung: Die DSGVO-Artikel werden automatisch den erforderlichen Kontrollen zugeordnet, wodurch die Einrichtung vereinfacht und der manuelle Aufwand reduziert wird.
• Automatisierte Beweissammlung: Sammelt und aktualisiert fortlaufend Nachweise, um Sie bei Systemänderungen jederzeit auf Audits vorzubereiten.
• Lieferanten- und Risikomanagement: Überwacht Lieferanten, unterstützt Datenschutz-Folgenabschätzungen bei auftretenden Risiken und ermöglicht schnelles Handeln.
• Datenermittlung und Nachverfolgung der Rechtsgrundlage: Durchsucht Systeme nach sensiblen Daten und dokumentiert die rechtmäßigen Grundlagen der Verarbeitung, um die Einhaltung der DSGVO zu gewährleisten.
• Zentralisierte Compliance- und Berichtspflichten: Konsolidiert alle Compliance-Aktivitäten und macht Berichterstattung und Audits schneller und einfacher zu verwalten.

Häufig gestellte Fragen