DSGVO – Datenschutzgrundverordnung
Seit 25. Mai 2018 ist jeder, der im Geschäftsalltag mit personenbezogenen Daten zu tun hat, angehalten, sich bei der Datenverarbeitung an die Datenschutzgrundverordnung (DSGVO) zu halten. Die Vorgaben zur Verarbeitung personenbezogener Daten werden auf EU-einheitliches Niveau gebracht. Doch was bedeutet das im Einzelnen für den Unternehmer, Praxisinhaber, Anwalt, Shopbetreiber, also jeden, der persönliche Daten erheben, verarbeiten und aufbewahren muss?
Wir klären, was personenbezogene Daten sind, wer von der Verordnung betroffen ist, was es zu beachten gibt und wie die Regeln konkret im Geschäftsalltag umgesetzt werden.
Was sind personenbezogene Daten?
Alle Informationen, die sich auf eine natürliche Person beziehen oder verfügbar (personenbeziehbar) sind und Rückschlüsse auf die individuelle Person zulassen, sind nach europäischem Recht und gemäß Bundesdatenschutzgesetzes (BSDG) personenbezogene Daten. Besonders schützenswert sind Daten, die Aufschluss über Ethnik und Kultur sowie über religiöse und politische Ansichten, Gewerkschaftszugehörigkeit, Gesundheit, sexuelle Ausrichtung geben. Auch die Verarbeitung biometrischer und genetischer Daten ist untersagt. Sie fallen unter die besonderen personenbezogenen Daten. Es gilt das Recht auf informationelle Selbstbestimmung: Das Erheben, Speichern und Verarbeiten personenbezogener Daten ist entsprechend nur mit Zustimmung des Betroffenen zulässig.
Wen betrifft die neue Datenschutzverordnung – DSGVO?
Die EU-Datenschutzgrundverordnung betrifft jeden, der personenbezogene Daten speichert oder in irgendeiner Form verarbeitet. Unter anderem auch Unternehmen an ihren Schnittstellen mit Kunden, Mandanten, Patienten, Gästen, Abonnenten, Mitgliedern, Nutzern sowie Lieferanten und Dienstleistern.
Beispiel: Umgang einer Praxis mit den Daten ihres Patienten. Die Praxis erhebt persönliche Daten wie Name, Geburtsdatum und Krankenhistorie. Die Praxis muss nun der neuen Regelung Sorge dafür tragen, dass sie laut Artikel 25 der neuen DSGVO “unter Berücksichtigung des Stands der Technik” “geeignete technische und organisatorische Massnahmen” trifft, um die Datenschutzgrundsätze wirksam umzusetzen und den Anforderungen der EU-Datenschutzgrundverordnung zu genügen.
Und was bedeutet das im Schluss für mein Unternehmen?
Die neue DSGVO regelt ab 28. Mai 2018 den Datenschutz aller Unternehmen, unabhängig von Größe, Mitarbeitern oder Branche. Wo auch immer personenbezogene Daten von EU-Bürgern verarbeitet werden, treten die neuen, strengeren Regelungen in Kraft. Verstöße werden mit bis zu 20 Mio oder 4% des Jahresumsatzes geahndet (DSGVO Art 83.5.).
Vorhandensein technischer und organisatorischer Voraussetzungen, um die Datenverarbeitung gemäß der Regelung der DSGVO zu gewährleisten.
Möchte eine betroffene Person Auskunft über verarbeitete Daten, Verwendung und Handling erhalten, geschieht dies innerhalb eines Monats (DSGVO Art 13). Sie haben auch das Recht, Daten berichtigen oder löschen zu lassen und darüber informiert zu werden, wo und wie lange ihre Daten gespeichert werden.
Daten dürfen nicht mehr unbegrenzt gespeichert werden. Daten werden gespeichert, solange sie gebraucht werden. Für die betroffene Person muss der Verwendungszweck nachvollziehbar sein (DSGVO Art 5.1). Ein Beispiel aus der Praxis ist der Kunde, der einen Newsletter abonniert hat. Das Unternehmen darf dem Kunden keinen Katalog zusenden, da diese Art der Kontaktaufnahme vom Kunden nicht ausdrücklich gewählt wurde.