DSGVO: Was müssen Sie wissen?

Organisationen müssen die Anforderungen der DSGVO erfüllen, um Nutzerdaten zu schützen, Missbrauch zu verhindern, die informierte Einwilligung der Nutzer einzuholen und bei Nichteinhaltung mit empfindlichen Geldstrafen zu rechnen. In diesem Beitrag finden Sie wichtige Informationen.

Seit dem Inkrafttreten der EU-Datenschutz-Grundverordnung (DSGVO) am 25. Mai 2018 wurden bereits empfindliche Strafen verhängt. Doch was genau ist die DSGVO, für wen gilt sie und welche Konsequenzen hat ein Verstoß gegen ihre Bestimmungen?

Sie können die offiziellen Vorschriften lesen und versuchen zu verstehen, was sie bedeuten, aber es ist rau. Es ist voll von kleinen Edelsteinen wie diesem:

„Eine Unternehmensgruppe sollte ein beherrschendes Unternehmen und die von ihm beherrschten Unternehmen umfassen, wobei das beherrschende Unternehmen dasjenige Unternehmen sein sollte, das einen beherrschenden Einfluss auf die anderen Unternehmen ausüben kann.“ – Erwägungsgrund 37 der DSGVO

… Du kannst dir das nicht ausdenken!

Daher dachte ich, es wäre hilfreich, es zumindest aus Software-Perspektive aufzuschlüsseln und herauszufinden, welche Schlüsselthemen Sie verstehen sollten. Wenn Sie erkennen, dass es Auswirkungen auf Sie hat, möchten Sie auf jeden Fall tiefer eintauchen. Die DSGVO wird letztendlich viele Bereiche Ihres Unternehmens betreffen, und Sie möchten es richtig machen.

Nach der DSGVO müssen Unternehmen sicherstellen, dass Benutzerdaten gut geschützt und nicht missbraucht werden, dass Benutzer eine Einverständniserklärung erhalten und dass die Nichteinhaltung durch hohe finanzielle Sanktionen geahndet wird. Weitere Informationen finden Sie weiter.

Was ist DSGVO?

Die DSGVO dient dem Schutz der Daten von EU-Bürgern. Das bedeutet, den Zugriff auf Daten zu schützen, unnötige Daten nicht zu speichern, personenbezogene Daten zu verschlüsseln und Daten nach Möglichkeit zu anonymisieren.

Mit anderen Worten: alle Maßnahmen, die Sie ergreifen können, um das Risiko eines Datenlecks und dessen Folgen zu minimieren. Datenschutz umfasst darüber hinaus auch die unbefugte Nutzung von Daten, wie beispielsweise das Tracking von Nutzern ohne deren Einwilligung und jede andere Verwendung von Daten ohne ausdrückliche Zustimmung.

Die DSGVO wurde entwickelt, um die Datenschutzgesetze in ganz Europa zu harmonisieren, die Menschen in der EU in Bezug auf ihre Datenschutzrechte zu schützen und zu stärken und die Art und Weise, wie Organisationen in der Region mit dem Thema Datenschutz umgehen, neu zu gestalten.

Die DSGVO berücksichtigt das allgemeine EU-Recht auf Vergessenwerden. Das bedeutet in diesem Zusammenhang, dass Sie einen Monat Zeit haben, um zu handeln, wenn jemand die Löschung seiner Daten aus Ihrem System wünscht. Bei komplexen Anfragen kann diese Frist um zwei weitere Monate verlängert werden, sofern Sie die betroffene Person innerhalb des ersten Monats informieren.

Darüber hinaus gelten strenge Meldepflichten. Ein Datenleck kann nicht vertuscht werden, wie es in letzter Zeit in den USA mehrfach vorgekommen ist.

Welche Strafen drohen bei Nichteinhaltung der DSGVO?

Bußgelder. Bußgelder sind unvermeidlich. Die Höhe des Bußgeldes kann sich nach dem Umsatz der Muttergesellschaft richten und daher höher ausfallen als erwartet. Die Bußgelder variieren je nach den verletzten Bestimmungen und sind in zwei Stufen unterteilt. Die Höchststrafe beträgt 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes bzw. 20 Millionen Euro oder 4 %, je nachdem, welcher Betrag höher ist (mehr dazu weiter unten). Stellen Sie sicher, dass Sie die Einhaltung der Vorschriften nachweisen können.

„Um die Einhaltung dieser Verordnung nachzuweisen, sollte der Verantwortliche oder Auftragsverarbeiter Aufzeichnungen über die in seiner Verantwortung liegenden Verarbeitungstätigkeiten führen.“ – Erwägungsgrund 82 der DSGVO (die verbindliche Anforderung ist Artikel 30)

CCPA vs. DSGVO

Der California Consumer Privacy Act (CCPA) verfolgt ähnliche Ziele wie die DSGVO, unterscheidet sich aber hauptsächlich im Anwendungsbereich, da der CCPA spezifisch für Kalifornien und die DSGVO für die EU gilt. Kalifornien ist zudem nicht mehr der einzige US-Bundesstaat mit einem solchen Gesetz. Ab 2026 verfügen zwanzig Bundesstaaten über umfassende Verbraucherschutzgesetze, während es weiterhin kein umfassendes Bundesdatenschutzgesetz gibt. Zusammenfassend lassen sich die wichtigsten Unterschiede zwischen CCPA und DSGVO wie folgt darstellen:

• Zuständigkeit. Beide Gesetze befassen sich mit dem Datenschutz, aber die DSGVO gilt für Personen in der EU und im EWR, während der CCPA für Einwohner Kaliforniens gilt.
• Umfang. Die DSGVO gilt ausschließlich für Einzelpersonen, wohingegen der CCPA zwischen Verbrauchern und Haushalten unterscheidet.
• Anwendung. Die DSGVO hat einen wesentlich umfassenderen Anwendungsbereich und erstreckt sich auf alle Stellen, die personenbezogene Daten verwenden. Der CCPA hingegen gilt nur für gewinnorientierte Unternehmen, die personenbezogene Daten von kalifornischen Verbrauchern und Haushalten verarbeiten und bestimmte Schwellenwerte überschreiten, wie beispielsweise einen jährlichen Bruttoumsatz von über 26,625,000 US-Dollar (der aktuelle inflationsbereinigte Wert) oder den Kauf, Verkauf oder die Weitergabe personenbezogener Daten von 100,000 oder mehr kalifornischen Verbrauchern oder Haushalten.
• Einzelheiten der Einwilligung. Der CCPA enthielt ursprünglich nur wenige Details zu Themen wie Cookies und Einwilligung. Diese Lücke hat sich verringert, da die kalifornischen Vorschriften nun gültige Einwilligungen definieren, Dark Patterns verbieten und Unternehmen verpflichten, das Opt-out-Signal von Global Privacy Control zu berücksichtigen. Der CCPA enthält jedoch weiterhin keine vergleichbaren Regelungen wie die DSGVO für internationale Datentransfers.
• Opt-in vs. Opt-out. Ein Grundprinzip der DSGVO ist, dass Einzelpersonen die Möglichkeit haben, der Nutzung ihrer Daten zuzustimmen (Opt-out). Datenschutz ist somit immer die Standardeinstellung. Das CCPA hingegen setzt auf das Opt-out-Prinzip für Verbraucher. Hier dürfen ihre Daten standardmäßig verwendet werden, bis sie selbst widersprechen. Wenn Sie zustimmen (Opt-out), entsprechen Ihre Daten beiden Regelungen.
• Umfang der Durchsetzungsstrafen. Die Strafen nach dem CCPA sind im Vergleich zu den Fällen, die wegen Verstößen gegen die DSGVO verhängt wurden, relativ gering. Die bisher höchste DSGVO-Strafe, verhängt gegen Meta, betrug 1.2 Milliarden Euro.

Kalifornien hat seit der Erstveröffentlichung dieses Artikels zusätzliche Verpflichtungen eingeführt. Vorschriften, die im Januar 2026 in Kraft traten, verpflichten Unternehmen, die automatisierte Entscheidungstechnologien für wichtige Entscheidungen wie Kreditvergabe, Wohnungswesen, Bildung, Beschäftigung und Gesundheitsversorgung einsetzen, Verbrauchern vorab eine Benachrichtigung, ein Widerspruchsrecht und Zugang zu diesen Technologien zu gewähren. Die Einhaltung dieser Vorschriften muss bis Januar 2027 gewährleistet sein.

Die gleichen Vorschriften verlangen Risikobewertungen für die Verarbeitung von Hochrisikoprozessen, wobei die ersten Berichte im April 2028 beim Staat einzureichen sind, sowie jährliche unabhängige Cybersicherheitsprüfungen, die ab April 2028 umsatzabhängig schrittweise eingeführt werden.

Beispiele für die Durchsetzung des CCPA

Das kalifornische Justizministerium veröffentlicht Fallbeispiele zur Durchsetzung des CCPA (California Consumer Privacy Act). Sowohl der Generalstaatsanwalt als auch die kalifornische Datenschutzbehörde geben Durchsetzungsmaßnahmen nun namentlich bekannt. Die Strafen werden höher, und viele Verstöße betreffen Bereiche, die von Entwicklungsteams verantwortet werden. Jüngste Beispiele hierfür sind:

• General Motors stimmte im Jahr 2026 zu, 12.75 Millionen Dollar zu zahlen – die bisher höchste Strafe nach dem CCPA – wegen des Verkaufs von Standort- und Fahrverhaltensdaten von Fahrern, die über OnStar gesammelt wurden.
• Disney hat sich im Jahr 2026 bereit erklärt, 2.75 Millionen Dollar für Opt-out-Anfragen, einschließlich Global Privacy Control-Signale, zu zahlen, die nicht bei allen Disney-Diensten eines Verbrauchers berücksichtigt wurden.
• Tractor Supply zahlte im Jahr 2025 1.35 Millionen US-Dollar, damals ein Rekordbetrag für die California Privacy Protection Agency, unter anderem weil das Unternehmen es versäumt hatte, Widersprüche von Verbrauchern zu bearbeiten.
• Honda zahlte im Jahr 2025 632,500 US-Dollar an die California Privacy Protection Agency, weil das Unternehmen mehr personenbezogene Daten verlangte als für die Bearbeitung von Datenschutzanfragen notwendig waren und ein Cookie-Tool einsetzte, das das Abmelden schwieriger machte als das Anmelden.

Der CCPA sieht derzeit Strafen von bis zu 2,663 US-Dollar für jeden Verstoß und 7,988 US-Dollar für jeden vorsätzlichen Verstoß oder Verstoß im Zusammenhang mit den personenbezogenen Daten eines Verbrauchers unter 16 Jahren vor. Die Gefahr von Verbraucherklagen stellt jedoch ein größeres Risiko dar.

Beispiele für die Durchsetzung der DSGVO

Die Durchsetzung der DSGVO ist in der Regel wesentlich umfassender als die des CCPA, und die Beispiele verdeutlichen den großen Unterschied im Umfang und Anwendungsbereich der beiden Verordnungen:

• Meta wurde im Jahr 2023 mit einer Geldstrafe von 1.2 Milliarden Euro (1.3 Milliarden US-Dollar) belegt, weil das Unternehmen Daten, die von Facebook-Nutzern in der EU gesammelt wurden, in die USA übermittelt und damit gegen die DSGVO-Richtlinien für internationale Datenübermittlungen verstoßen hatte.
• Amazon wurde 2021 wegen Verstoßes gegen die Werberichtlinien mit einer Geldstrafe von 746 Millionen Euro belegt. Das luxemburgische Verwaltungsgericht hob diese Strafe jedoch im März 2026 aus formalen Gründen auf und verwies den Fall an die Regulierungsbehörde zurück. Die Feststellung des Verstoßes bleibt bestehen, die Strafe selbst jedoch nicht.
• WhatsApp verhängte im Jahr 225 eine Geldstrafe in Höhe von 247 Millionen Euro (2021 Millionen US-Dollar) wegen unklarer Datenschutzrichtlinien und mangelnder Transparenz bei der Verwendung von Benutzerdaten.

Die Nichteinhaltung der DSGVO kann zu schwerwiegenden und empfindlichen Strafen führen, und das System ist zweistufig.

Artikel 83(4) sieht eine Höchstgrenze von 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Er umfasst die Pflichten des Verantwortlichen und des Auftragsverarbeiters, einschließlich des Datenschutzes durch Technikgestaltung, der Aufzeichnung von Verarbeitungsvorgängen und der Meldung von Datenschutzverletzungen.

Artikel 83(5) sieht eine Obergrenze von 20 Millionen Euro bzw. 4 % vor und behandelt die Grundprinzipien, die Rechtsgrundlagen für die Verarbeitung, die Einwilligung, die Rechte der betroffenen Personen und internationale Datenübermittlungen.

Wer muss die DSGVO-Vorschriften befolgen?

Natürlich müssen Unternehmen in der EU die DSGVO befolgen, aber es stellt sich heraus, dass auch Sie, selbst wenn Sie woanders ansässig sind und Kunden in der EU haben, der DSGVO unterliegen.

Wenn Sie keine personenbezogenen Daten speichern, ist dies einfach, aber jeder mit personenbezogenen Daten aus der EU muss die Richtlinien befolgen. Gleiches gilt, wenn Sie Mitarbeiter in der EU haben.

Es wird manchmal etwas schwierig, wenn Sie Benutzerdaten freigeben oder Benutzerdaten von einem anderen Ort abrufen. Wenn jemand das Recht ausübt, vergessen zu werden, müssen Sie alle diese Freigaben jagen und die Daten überall löschen. Selbst wenn Sie Daten von einer anderen Person erhalten, die personenbezogene Daten aus der EU weitergibt, können Sie den Richtlinien unterliegen.

Überblick über die DSGVO-Bestimmungen

Mit dem Ziel, die Kontrolle und Rechte des Einzelnen über seine personenbezogenen Daten zu verbessern, gilt die Verordnung für alle folgenden Personen mit Sitz in der EU und im EWR (Europäischer Wirtschaftsraum, zu dem Island, Liechtenstein und Norwegen gehören):

• Jede Organisation
• Der Datenverantwortliche, der Daten von Einzelpersonen sammelt
• Der Auftragsverarbeiter ist eine Organisation, die Daten im Auftrag eines Datenverantwortlichen verarbeitet
• Die betroffene Person, also eine Person

Ein zentraler Aspekt der DSGVO ist, dass sie auch für Organisationen mit Sitz außerhalb der EU gilt, wenn diese personenbezogene Daten von Personen in der EU/im EWR erheben oder verarbeiten, unabhängig davon, ob es sich um Staatsbürger handelt oder nicht.

Wie wir gesehen haben, sind die Strafen hoch und werden häufig gegen Technologieunternehmen außerhalb der EU verhängt. Leider ist der Anwendungsbereich der DSGVO sehr weit gefasst und wird von Datenschutzexperten als zu unpräzise kritisiert. Die Einhaltung der Vorschriften stellt insbesondere für kleine und mittlere Unternehmen eine große Herausforderung dar.

Schlüsselkonzepte und Definitionen

Die wichtigsten Definitionen der DSGVO beziehen sich auf Einzelpersonen und Organisationen, die ihre personenbezogenen Daten erheben, verarbeiten, speichern und übertragen.

• Persönliche Daten. Als personenbezogene Daten gelten alle Informationen, die sich direkt oder indirekt auf eine bestimmte Person beziehen. Beispielsweise sind E-Mail-Adressen und Namen ebenso personenbezogen wie geografische Koordinaten, Geschlecht, ethnische Zugehörigkeit, biometrische Informationen, politische Meinungen, Web-Cookies und religiöse Überzeugungen. Die Definition kann auch für anonymisierte Daten gelten, wenn sich daraus einigermaßen leicht eine Person identifizieren lässt.
• Datenverarbeitung. Als Datenverarbeitung wird jede Aktion bezeichnet, die mit Daten durchgeführt wird, ob automatisiert oder manuell. Dazu gehören Tätigkeiten zum Sammeln, Protokollieren, Organisieren, Strukturieren, Speichern, Verwenden und Löschen von Daten.
• Betroffene Person. Die Person, deren Daten verarbeitet werden, ist die betroffene Person. In den meisten Fällen handelt es sich dabei um Nutzer Ihres Produkts oder Besucher Ihrer Website.
• Datenprozessor. Jede Organisation oder Einrichtung, die Daten im Auftrag des Datenverantwortlichen verarbeitet.

Umfang und Anwendung der DSGVO

Die DSGVO dient dem Schutz der Daten von Personen in der EU und im EWR. Sie gilt für alle Organisationen, die solche Daten verarbeiten, unabhängig davon, ob sie ihren Sitz in der EU haben oder nicht. Dies wird als „extraterritoriale Wirkung“ bezeichnet.

Gemäß Erwägungsgrund 3 der DSGVO:

• Die Verordnung gilt für die Verarbeitung personenbezogener Daten durch eine Niederlassung in der EU, unabhängig davon, wo die Verarbeitung erfolgt.
• Sie gilt auch für die Verarbeitung personenbezogener Daten betroffener Personen in der EU durch einen nicht in der EU ansässigen Verantwortlichen oder Auftragsverarbeiter, wenn die Verarbeitungstätigkeiten im Zusammenhang mit dem Anbieten von Waren oder Dienstleistungen für solche betroffenen Personen in der EU oder der Überwachung ihres Verhaltens innerhalb der EU stehen EU.
• Die Verordnung gilt für die Verarbeitung personenbezogener Daten durch einen Verantwortlichen, der nicht in der EU, sondern an einem Ort ansässig ist, an dem aufgrund des Völkerrechts das Recht eines Mitgliedstaats gilt.

Die DSGVO gilt für Nicht-EU-Organisationen, die Waren oder Dienstleistungen für Menschen in der EU anbieten oder deren Online-Verhalten überwachen. Die Regulierungsbehörden suchen nach Hinweisen, um festzustellen, ob es sich die Organisation zum Ziel gesetzt hat, Menschen in der EU Waren und Dienstleistungen anzubieten.

Wenn eine Organisation beispielsweise Webtools verwendet, um Cookies oder IP-Adressen von Personen zu verfolgen, die ihre Website aus EU-Ländern besuchen, fällt sie in den Geltungsbereich der DSGVO.

Es gibt wenige Ausnahmen, insbesondere für „rein private oder häusliche Aktivitäten“. Ein Punkt, der oft missverstanden wird und daher einer Klarstellung bedarf: Organisationen mit weniger als 250 Beschäftigten sind gemäß Artikel 30 Absatz 5 nur eingeschränkt von den Aufzeichnungspflichten befreit. Diese Befreiung entfällt jedoch, wenn die Verarbeitung die Rechte von Personen gefährdet, nicht nur gelegentlich erfolgt, besondere Kategorien personenbezogener Daten oder Daten über strafrechtliche Verurteilungen betrifft. Für die meisten Softwareunternehmen trifft mindestens einer dieser Punkte zu. Es handelt sich nicht um eine allgemeine Befreiung. Auch kleine Unternehmen sind davon betroffen.

Einwilligung gemäß DSGVO

Einwilligung und Transparenz

Die DSGVO schreibt vor, dass Nutzer der Erhebung ihrer Daten zustimmen müssen und dass diese Zustimmung auf einer eindeutigen, bestätigenden Handlung beruht. Eindeutig und bestätigend bedeutet, dass der Nutzer eine Aktion ausführen muss, um sich anzumelden, und nicht die übliche Vorgehensweise: „Sie sind dabei, es sei denn, Sie widersprechen.“

„Damit eine Einwilligung als informiert gilt, muss die betroffene Person zumindest über die Identität des Verantwortlichen und die Zwecke der Verarbeitung ihrer personenbezogenen Daten informiert sein.“ – Erwägungsgrund 42 der DSGVO

Ein gutes Beispiel im Web ist ein Anmeldeformular mit dem Hinweis, dass Daten erfasst werden, welche Daten es sind, wie sie verwendet werden, wie Sie sich später abmelden (oder vergessen werden) und dann Der Benutzer muss etwas tun, um zuzustimmen, z. B. ein Kontrollkästchen anklicken. Die Tage der vorab angekreuzten Kästchen gelten nicht mehr - die DSGVO verbietet ausdrücklich solche derzeit typischen Methoden:

„Schweigen, vorausgewählte Kontrollkästchen oder Untätigkeit sollten daher nicht als Zustimmung gelten.“ – Erwägungsgrund 32 der DSGVO

Die Verwendung der Daten muss einen Zweck haben, der damit zusammenhängt, warum die Daten gesammelt werden, und muss dem Benutzer erklärt werden:

„Es muss für natürliche Personen transparent sein, dass sie betreffende personenbezogene Daten erhoben, verwendet, eingesehen oder auf sonstige Weise verarbeitet werden und in welchem ​​Umfang diese personenbezogenen Daten verarbeitet werden oder werden.“ – Erwägungsgrund 39 der DSGVO

Kontrolle personenbezogener Daten

Den Bürgern der EU wird weitreichende Kontrolle über ihre personenbezogenen Daten gewährt, einschließlich des Rechts auf Zugriff, Übermittlung, Berichtigung und des Rechts auf Vergessenwerden, einschließlich:

„Mechanismen zur kostenlosen Beantragung und, soweit anwendbar, zum kostenlosen Erhalt insbesondere des Zugangs zu personenbezogenen Daten sowie deren Berichtigung oder Löschung und zur Ausübung des Widerspruchsrechts.“ – Erwägungsgrund 59 der DSGVO

Das Recht auf Auskunft über die eigenen Daten basiert auf Erwägungsgrund 63 der DSGVO (das verbindliche Recht ist Artikel 15):

„Eine betroffene Person sollte das Recht auf Zugang zu personenbezogenen Daten haben“

Das Recht auf Berichtigung der Daten ist in Erwägungsgrund 65 der DSGVO geregelt (das verbindliche Recht findet sich in Artikel 16):

„Eine betroffene Person sollte das Recht haben, die sie betreffenden personenbezogenen Daten berichtigen zu lassen.“

Denken Sie darüber nach, wenn Sie das nächste Mal mit einer Kreditauskunftei streiten, und Sie werden sich wünschen, dass es auf Ihre eigenen Daten angewendet wird.

GDPR stellt ferner sicher, dass keine Benutzer-Sperren für Benutzerdaten vorhanden sind. Das Recht zur Datenübertragung ist ebenfalls aufgeführt:

„Die betroffene Person sollte ferner das Recht haben, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, in einem strukturierten, gängigen, maschinenlesbaren und interoperablen Format zu erhalten und diese an einen anderen Verantwortlichen zu übermitteln.“ – Erwägungsgrund 68 der DSGVO

Dies bedeutet, dass Sie Ihre Daten in einer angemessenen digitalen Form von einem Anbieter beziehen können, um sie an einen anderen Anbieter zu übertragen.

Das Recht, vergessen zu werden, erstreckt sich auf Organisationen, mit denen Daten geteilt wurden:

„Das Recht auf Löschung sollte auch dahingehend erweitert werden, dass ein Verantwortlicher, der personenbezogene Daten öffentlich gemacht hat, verpflichtet ist, die Verantwortlichen, die diese personenbezogenen Daten verarbeiten, aufzufordern, alle Links zu diesen personenbezogenen Daten sowie alle Kopien oder Replikationen dieser Daten zu löschen.“ – Erwägungsgrund 66 der DSGVO

Mit anderen Worten, die Löschung muss kaskadieren.

Wenn Sie personenbezogene Daten von einer anderen Organisation erhalten und diese nutzen und/oder speichern möchten, müssen Sie die betroffene Person darüber informieren, damit diese ihre informierte Einwilligung erteilen kann (siehe Erwägungsgründe 60 und 61 der DSGVO). Dies gilt auch, wenn Sie die Daten auf eine Weise verwenden, die nicht Gegenstand der ursprünglichen Einwilligung war.

„Sollte der Verantwortliche die personenbezogenen Daten zu einem anderen Zweck als dem, zu dem sie erhoben wurden, verarbeiten wollen, so hat er die betroffene Person vor dieser Weiterverarbeitung über diesen anderen Zweck und alle weiteren erforderlichen Informationen zu unterrichten.“ – Erwägungsgrund 61 der DSGVO

Und achten Sie auf vollautomatische Algorithmen wie Kreditanträge:

„Die betroffene Person hat das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die sie betreffende persönliche Aspekte bewertet und die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wie etwa die automatische Ablehnung eines Online-Kreditantrags oder von E-Recruiting-Verfahren ohne menschliches Eingreifen.“ – Erwägungsgrund 71 der DSGVO

Wenn Sie vollautomatische Algorithmen verwenden, um Entscheidungen zu treffen, kann dieser Sie stolpern.

Datenschutz – verwalten und verteidigen

Der Schlüsselbegriff ist hier „personenbezogene Daten“, der weiter gefasst ist als der US-amerikanische Begriff der „personenbezogenen Daten“. Er umfasst alles, was eine Person direkt oder indirekt identifiziert, einschließlich Cookie-IDs und IP-Adressen. Wenn Sie Webanalysen durchführen, verarbeiten Sie personenbezogene Daten und müssen sicherstellen, dass Ihre Vorgehensweise der DSGVO entspricht.

Einer der wichtigsten Aspekte beim Umgang mit personenbezogenen Daten gemäß DSGVO ist der Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen, der gemäß Artikel 25 eine verbindliche Verpflichtung darstellt. Die Verordnung besagt:

„Der Verantwortliche sollte interne Richtlinien erlassen und Maßnahmen ergreifen, die insbesondere den Grundsätzen des Datenschutzes durch Technikgestaltung und des Datenschutzes durch datenschutzfreundliche Voreinstellungen entsprechen.“ – Erwägungsgrund 78 der DSGVO

Die „Datenschutz durch Design“-Methodik besagt, dass Sicherheit und Datenschutz nicht einfach in eine Anwendung hineingetestet werden können. Anstatt Code zu schreiben und ihn dann per Red-Team-Test zu prüfen, muss die Anwendung von vornherein sicher konzipiert sein. Das bedeutet, dass Funktionen wie Verschlüsselung standardmäßig aktiviert sind und nur in genehmigten Ausnahmefällen deaktiviert werden.

„Secure by design“ bedeutet auch, die statische Codeanalyse ernst zu nehmen, mit einem starken Fokus auf Softwareentwicklungsstandards und „präventiven“ Regeln für die statische Analyse.

Und wenn Sie gesundheitsbezogene Daten erheben, gehen Sie besonders vorsichtig vor. Gesundheitsdaten fallen unter Artikel 9 und sind daher besondere Kategorien personenbezogener Daten. Ihre Verarbeitung ist verboten, es sei denn, Sie verfügen über eine Rechtsgrundlage gemäß Artikel 6 und eine gesonderte Bedingung gemäß Artikel 9 Absatz 2, wie beispielsweise eine ausdrückliche Einwilligung.

Erwägungsgrund 53 legt die gesundheitsbezogenen Zwecke dar, die eine Verarbeitung rechtfertigen können, darunter wissenschaftliche Forschung auf Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats. Artikel 89 regelt die Schutzmaßnahmen. Erwägungsgrund 54 behandelt die Verarbeitung aus Gründen des öffentlichen Gesundheitswesens ohne Einwilligung und schließt mit einer wichtigen Aussage: Daten, die aus Gründen des öffentlichen Gesundheitswesens verarbeitet wurden, dürfen nicht von Dritten wie Arbeitgebern, Versicherern oder Banken für andere Zwecke verarbeitet werden.

Die Datenaufbewahrung ist ein weiterer wichtiger Aspekt bei der Erhebung und Speicherung personenbezogener Daten. Der Hauptgrundsatz lautet hierbei, Daten nicht länger als nötig aufzubewahren:

„…das Recht, die Löschung seiner personenbezogenen Daten zu verlangen und deren Verarbeitung einzustellen, wenn diese personenbezogenen Daten nicht mehr erforderlich sind“ – Erwägungsgrund 65 der DSGVO

Mit anderen Worten: Daten, die Sie nur für vorübergehende Zwecke benötigen, beispielsweise für den Abschluss einer Transaktion, sollten nur für die erforderliche Zeitspanne vorhanden sein. Danach sollten Sie die Daten löschen, anstatt sie zur Vereinfachung oder für zukünftige Analysen zu speichern.

Es ist wichtig zu zeigen, dass Sie die erfassten Daten auch benötigen:

„Die betroffene Person kann zum Zeitpunkt und im Zusammenhang mit der Erhebung der personenbezogenen Daten vernünftigerweise erwarten, dass eine Verarbeitung zu diesem Zweck erfolgt“ – Erwägungsgrund 47 der DSGVO

Und später können Sie die Daten nicht einfach für etwas anderes verwenden, es sei denn, dass etwas anderes mit der ursprünglichen Verwendung der Daten und / oder der Verarbeitung (Analyse) der Daten zusammenhängt.

„Die Verarbeitung personenbezogener Daten zu anderen Zwecken als denen, zu denen sie ursprünglich erhoben wurden, sollte nur dann zulässig sein, wenn die Verarbeitung mit den ursprünglichen Erhebungszwecken vereinbar ist.“ – Erwägungsgrund 50 der DSGVO

Die DSGVO-Grundsätze

Nachfolgend sind die wichtigsten Datenschutzgrundsätze der DSGVO aufgeführt.

Rechtmäßigkeit, Fairness und Transparenz

Die Verarbeitung muss rechtmäßig, fair und für die betroffene Person transparent sein.

Zweckbindung

Sie müssen die Daten für die legitimen Zwecke verarbeiten, die der betroffenen Person bei der Erhebung ausdrücklich mitgeteilt wurden.

Datenminimierung

Sie sollten nur so viele Daten erheben und verarbeiten, wie für die genannten Zwecke unbedingt erforderlich sind.

Genauigkeit

Sie müssen dafür sorgen, dass Ihre personenbezogenen Daten korrekt und aktuell sind.

Speicherbeschränkung

Sie dürfen personenbezogene Daten nur so lange speichern, wie es für den angegebenen Zweck erforderlich ist.

Integrität und Vertraulichkeit

Die Verarbeitung muss so erfolgen, dass angemessene Sicherheit, Integrität und Vertraulichkeit gewährleistet sind (z. B. durch den Einsatz von Verschlüsselung).

Verantwortlichkeit

Der Datenverantwortliche ist dafür verantwortlich, die DSGVO-Konformität mit all diesen Grundsätzen nachweisen zu können.

Wichtige Rechte gemäß DSGVO

Ein wichtiger Aspekt der DSGVO ist die Festlegung und Durchsetzung der Rechte des Einzelnen in Bezug auf die Nutzung von Websites, Software und Produkten, die möglicherweise personenbezogene Daten erfassen.

Das Recht auf Information

Organisationen müssen klar darüber informieren und dokumentieren, wie und welche personenbezogenen Daten verwendet werden.

Das Recht auf Berichtigung

Einzelpersonen haben das Recht, unrichtige personenbezogene Daten zu korrigieren.

Das Auskunftsrecht

Alle personenbezogenen Daten sind für den Einzelnen zugänglich und können kostenlos abgefragt werden.

Das Recht auf Vergessenwerden (Löschung)

Einzelpersonen können die Löschung ihrer Daten verlangen, wenn einer der in Artikel 17 genannten Gründe zutrifft, beispielsweise wenn die Daten für den Zweck, für den sie erhoben wurden, nicht mehr benötigt werden oder die Einwilligung ohne andere Rechtsgrundlage widerrufen wurde. Dies ist jedoch nicht absolut. Artikel 17 Absatz 3 erlaubt es Ihnen, Daten zu speichern, die Sie zur Erfüllung einer rechtlichen Verpflichtung, zur Geltendmachung oder Verteidigung von Rechtsansprüchen oder für Archivierungs- und Forschungszwecke im öffentlichen Interesse benötigen. Wenn eine Löschung erforderlich ist, betrifft dies alle Personen, denen Sie die Daten mitgeteilt haben.

Das Recht, die Verarbeitung Ihrer Daten einzuschränken

Einzelpersonen können eine Einschränkung der Verarbeitung ihrer Daten oder die Löschung ihrer Daten verlangen.

Das Recht auf Datenübertragbarkeit

Personen können die von ihnen bereitgestellten Daten, sofern diese automatisiert auf Grundlage einer Einwilligung oder eines Vertrags verarbeitet werden, in einem strukturierten, gängigen und maschinenlesbaren Format erhalten und an einen anderen Anbieter übermitteln lassen. Dies umfasst jedoch nicht alle Ihre gespeicherten Daten, insbesondere nicht die von Ihnen selbst erstellten Profile oder Bewertungen.

Das Widerspruchsrecht

Einzelpersonen können der Verarbeitung ihrer Daten aufgrund berechtigter Interessen oder einer öffentlichen Aufgabe widersprechen. In diesem Fall müssen Sie die Verarbeitung einstellen, es sei denn, Sie können zwingende berechtigte Gründe nachweisen, die die Interessen der Betroffenen überwiegen. Für Direktmarketing gilt ein absolutes Widerspruchsrecht: Einmal Widerspruch genügt, und Sie müssen die Verarbeitung einstellen.

Rechte in Bezug auf automatisiertes Profiling und Entscheidungsfindung

Dies schränkt ein, wie weit die Daten einer Person von automatisierten Prozessen, einschließlich KI, genutzt werden können.

Datenschutzverletzungen und DSGVO

Was stellt eine Datenschutzverletzung dar?

Die DSGVO definiert eine Datenschutzverletzung als „eine Sicherheitsverletzung, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf übermittelte, gespeicherte oder anderweitig verarbeitete personenbezogene Daten führt“. Diese Definition gilt sowohl für unbeabsichtigte als auch für vorsätzliche Ursachen.

Vereinfacht ausgedrückt liegt eine Datenschutzverletzung im Sinne der DSGVO vor, wenn ein Sicherheitsvorfall vorliegt, der die Integrität oder Vertraulichkeit personenbezogener Daten gefährdet. Dies kann auf versehentliche oder rechtswidrige Handlungen zurückzuführen sein, die zur Zerstörung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf personenbezogene Daten führen.

Verfahrenstechnische Reaktion auf eine Datenschutzverletzung

Die DSGVO enthält spezifische Richtlinien in Bezug auf Datenschutzverletzungen. Gemäß Erwägungsgrund 33 und 34 der DSGVO:

Eine Organisation muss eine Datenschutzverletzung einer Datenschutzbehörde (Data Protection Authority, DPA), auch bekannt als Aufsichtsbehörde (Supervisory Authority, SA), melden, wenn ein Vorfall vorliegt, der zu einer versehentlichen oder unrechtmäßigen Zerstörung, einem Verlust, einer Veränderung, einer unbefugten Offenlegung oder einem unbefugten Zugriff darauf führt , personenbezogene Daten, die ein potenzielles Risiko für die Rechte und Freiheiten der Menschen darstellen.

Wenn der Verstoß zum Verlust der Kontrolle über Ihre personenbezogenen Daten, zu Diskriminierung, Identitätsdiebstahl oder -betrug, finanziellen Verlusten, unbefugter Aufhebung der Pseudonymisierung, Rufschädigung, Verlust der Vertraulichkeit personenbezogener Daten, die durch das Berufsgeheimnis geschützt sind, oder zu anderen erheblichen wirtschaftlichen oder sonstigen Folgen führen könnte Kommt es zu einer sozialen Benachteiligung der betroffenen natürlichen Person, ist das Unternehmen verpflichtet, den Vorfall zu melden.

Obligatorische Meldung von Verstößen

Die Meldepflichten bei Datenschutzverletzungen sind gemäß DSGVO verpflichtend und zeitkritisch. Organisationen müssen Datenschutzverletzungen, die die Rechte von Personen gefährden, innerhalb von 72 Stunden nach Kenntniserlangung der zuständigen Aufsichtsbehörde melden.

Artikel 33 Absatz 4 erlaubt die schrittweise Informationsübermittlung, solange das Gesamtbild noch unvollständig ist. Wenn die Datenschutzverletzung ein hohes Risiko für die Betroffenen darstellt, müssen diese ebenfalls informiert werden.

Die Nichtmeldung einer Datenschutzverletzung an eine Datenschutzbehörde kann eine Geldbuße von bis zu 10 Millionen Euro (11.3 Millionen US-Dollar) oder 2 Prozent des weltweiten Umsatzes eines Unternehmens nach sich ziehen, je nachdem, welcher Betrag höher ist.

GDPR-Konformität

Die Einhaltung der DSGVO bedeutet, dass eine Organisation die im Gesetz festgelegten Anforderungen für den ordnungsgemäßen Umgang mit personenbezogenen Daten erfüllt.

Aufgrund des rechtlichen Status und der drohenden schweren Strafen bedarf die Einhaltung der Vorschriften besonderer Aufmerksamkeit von Organisationen, die personenbezogene Daten sammeln, verarbeiten und speichern. Dies betrifft die meisten kommerziellen Websites, aber auch Anwendungen und physische Produkte.

Schritte zur Einhaltung der DSGVO

Zu den wichtigsten Aspekten, die Organisationen berücksichtigen müssen, gehören die folgenden:

• Wenn Sie auf Einwilligung angewiesen sind, gilt das Opt-in-Prinzip, nicht das Opt-out-Prinzip. Die Einwilligung ist nur eine der sechs Rechtsgrundlagen gemäß Artikel 6. Wählen Sie daher für jede Verarbeitungstätigkeit zunächst die passende Grundlage und entwickeln Sie anschließend die entsprechenden Mechanismen. Datenschutz ist standardmäßig gewährleistet – jedes Mal.
• Stellen Sie stets sicher, dass Website-Besucher, Anwendungen und Produktbenutzer über die erfassten Daten informiert werden.
• Einholung der ausdrücklichen Zustimmung der Benutzer für diese Informationserhebung.
• Sie müssen Ihre Aufsichtsbehörde innerhalb von 72 Stunden benachrichtigen, wenn eine Verletzung die Rechte von Personen gefährdet, und die betroffenen Personen benachrichtigen, wenn das Risiko für sie hoch ist.
• Die Durchführung einer Datenschutz-Folgenabschätzung (Artikel 35), wenn die Verarbeitung voraussichtlich ein hohes Risiko birgt, einschließlich ihrer Datensicherheit.
• Bestellung eines Datenschutzbeauftragten, sofern dies nach Artikel 37 erforderlich ist.
• Sie können nachweisen, dass Richtlinien und Verfahren vorhanden sind.
• Regelmäßige Überprüfungen der Einhaltung von Richtlinien und Verfahren gewährleisten die Konformität.

Wichtige Tipps zur Einhaltung der DSGVO

Die DSGVO hat einen großen Anwendungsbereich. Es gibt einige Schlüsselprinzipien, die Softwareentwickler heute befolgen können, um den für die Compliance erforderlichen Aufwand und Arbeitsaufwand zu reduzieren.

Hier sind einige erste Schritte, die Softwareentwickler unternehmen können, um die Einhaltung der DSGVO sicherzustellen.

• Ausbildung. Es ist wichtig, dass jeder in einer Organisation versteht, was personenbezogene Daten sind. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare lebende natürliche Person beziehen. Verstehen Sie die wichtigsten Grundsätze der DSGVO und deren Anwendung auf Ihre Anwendung oder Ihr Produkt.
• Datenschutz standardmäßig. Der Benutzer sollte über Einstellungen mit maximalem Datenschutz verfügen, wenn er mit der Arbeit mit Ihrer Software beginnt. Die Schutzstufe sollte unverändert bleiben, wenn der Benutzer keine Änderungen an den Einstellungen vornimmt.
• Privatsphäre integriert. Integrieren Sie Datenschutz von Anfang an in Ihre Software, noch bevor die ersten persönlichen Informationen in das System gelangen.
• Private Daten rationalisieren. Der beste Weg für eine datenschutzbewusste Zukunft besteht darin, nur das Nötigste an personenbezogenen Daten zu sammeln. Wenn Sie es nicht brauchen, sammeln Sie es nicht ein.
• Verschlüsseln Sie alle persönlichen Daten. Durch die Verschlüsselung wird die Möglichkeit verringert, dass private Daten bei der Übertragung oder Speicherung preisgegeben werden. Nutzen Sie nach Möglichkeit eine Ende-zu-Ende-Verschlüsselung, um den Schaden einer möglichen Datenschutzverletzung zu mindern.
• Pseudonymisierung. Bewahren Sie die Informationen, die eine Identifizierung der Person ermöglichen, und die Daten über diese Person getrennt auf. Persönliche Daten so weit verschleiern, dass ihre Identität nicht rekonstruiert werden kann.
• Benutzerrechte verstehen und planen. Beachten Sie die neuen Rechte betroffener Personen, wie etwa das Recht auf Vergessenwerden und das Recht auf Datenübertragbarkeit.
• Verstöße während der Arbeitszeit melden. Sie haben 72 Stunden Zeit, Ihre Aufsichtsbehörde über jeden Verstoß zu informieren, der die Rechte von Personen gefährdet, sobald Sie davon Kenntnis erlangen. Diese 72 Stunden gelten nicht ab dem Zeitpunkt der Feststellung, dass der Verstoß schwerwiegend ist, und auch nicht ab dem Zeitpunkt des Abschlusses der Untersuchung. Sollten Sie noch nicht alle Informationen haben, melden Sie bitte, was Sie bereits wissen, da Artikel 33 Absatz 4 es Ihnen erlaubt, die restlichen Informationen schrittweise nachzureichen. Benachrichtigen Sie außerdem die betroffenen Personen, wenn für sie ein hohes Risiko besteht. Die Strafen für die Nichtbeachtung dieser Pflicht sind sehr hoch.
• Informieren Sie sich, ob Sie einen Datenschutzbeauftragten benötigen. Artikel 37 schreibt eine Registrierung vor, wenn Sie eine öffentliche Behörde sind, deren Kerntätigkeiten eine regelmäßige und systematische Überwachung in großem Umfang umfassen oder die die Verarbeitung von Daten besonderer Kategorien oder strafrechtlicher Verurteilungen in großem Umfang beinhalten. Die Größe allein löst die Registrierungspflicht nicht aus.
• Klare und prägnante Compliance-Dokumentation. Dokumentieren Sie klar und deutlich, wie Benutzerdaten erfasst werden und wofür sie verwendet werden. Teilen Sie dem Nutzer mit, wie die Daten gespeichert werden und wer Zugriff darauf hat, auch Dritte. Dokumentieren Sie Compliance-Audits und -Überprüfungen.

Also, was machen Sie als nächstes?

Ich würde Ihnen gerne sagen, dass es eine Patentlösung gibt, mit der Sie die DSGVO ganz einfach einhalten können, aber so ist es leider nicht. Parasoft kann Ihnen jedoch sehr weiterhelfen.

Zunächst können Sie unsere statischen Codeanalyse- Engines für Java , C/C++ und .NET mit guten Sicherheits- und Datenschutzeinstellungen nutzen, um Ihren Code bestmöglich abzusichern. Sie können diese sogar so konfigurieren, dass strenge Codierungsrichtlinien, wie beispielsweise standardmäßige Verschlüsselung, durchgesetzt werden.

Zweitens ermöglicht die Servicevirtualisierung umfassende End-to-End-Tests, sogar schon in einer frühen Phase auf dem Entwickler-Desktop. Da sich die Auswirkungen auf die Daten vollständig testen lassen, ohne teure Testlabore vorhalten zu müssen, wird die Einhaltung von Vorschriften deutlich vereinfacht. Indem Entwickler zudem tiefergehende Tests durchführen können, lassen sich Probleme frühzeitig erkennen und beheben – und zwar dann, wenn sie einfacher und kostengünstiger zu beheben sind.

Zusammenfassung

Es ist schon etwas beunruhigend, und angesichts der möglichen finanziellen Strafen ist das auch verständlich. Insgesamt ist es aber nicht so schlimm, es sei denn, Ihr Geschäftsmodell basiert darauf, Nutzer zu verfolgen und deren Daten zu verkaufen.

Wenn Sie ein typisches Geschäftsmodell haben und über Kundendaten und Umsätze verfügen, werden Sie feststellen, dass die Einhaltung der Vorschriften kein großes Problem darstellt und zudem den Vorteil bietet, Ihr Gesamtsystem in einer Welt zunehmender Datenpannen sicherer zu machen.

Legen Sie die richtigen Richtlinien fest, führen Sie gründliche und umfassende Tests durch und gewährleisten Sie den Datenschutz durch eine starke statische Codeanalyse.