EU-Datenschutz-Grundverordnung: Fünf Änderungen, über die Unternehmer jetzt Bescheid wissen müssen

Alles dreht sich in der EU-DSGVO um personenbezogene Daten, zum Beispiel Kundeninformationen und wie diese zukünftig geschützt sein müssen. Erhält eine Datenschutzbehörde Kenntnis über einen Verstoß, so muss das Unternehmen laut Art. 83 EU-DSGVO Bußgelder von bis zu 20 Millionen Euro respektive 4 Prozent des weltweiten Firmenjahresumsatzes zahlen. Diese Summen werden dann aufgerufen, wenn beispielsweise ein Unternehmen das Recht auf Vergessenwerden verletzt. 2 Prozent des weltweiten Firmenjahresumsatzes oder eine Summe von bis zu 10 Millionen Euro werden fällig, wenn beispielsweise die Meldepflicht verletzt wird.

Zukünftig wird bei einer Datenschutzverletzung nicht nur die juristische Person, also das Unternehmen, zur Rechenschaft gezogen. Auch Sanktionsmöglichkeiten gegenüber Datenschutzbeauftragte, Mitarbeiter oder Geschäftsführern, also natürlichen Personen, ist vorgesehen. Laut § 42 DSAnpUG ist mit einer Freiheitsstrafe von bis zu drei Jahren zu rechnen.

Laut Art. 15 EU-DSGVO gilt ab sofort ein umfassendes Auskunftsrecht für Personen, deren Daten weiterverarbeitet werden. Dieses Vorgehen ist nicht neu und ist bereits in vergleichbarer Form in § 34 BDSG zu finden. Die Änderung: Betroffene dürfen zukünftig in elektronischer Form über die Daten Auskunft erhalten und diese übermittelt bekommen. Ferner darf eine Kopie der Daten verlangt werden. Unternehmer müssen also sicherstellen, dass sie jederzeit beantworten können, woher die Daten stammen, an wen sie übermittelt wurden und zu welchem Zweck die Daten der Betroffenen verarbeitet werden.

Unternehmen müssen laut den Vorgaben des Art. 33 EU-DSGVO Datenpannen, bei der der Schutz von personenbezogenen Daten verletzt wurde, binnen 72 Stunden nach Bekanntwerden der Verletzung der Aufsichtsbehörde melden. Hierbei muss beispielsweise die Anzahl der Betroffenen, Name und Kontaktdaten des Datenschutzbeauftragen und die Folgen der Datenschutzverletzung genannt werden.

Sofern ein Datenverarbeitungsverfahren ein hohes Risiko für die Rechte der Betroffenen birgt, greift diese gänzlich neue Gesetzesregelung. Laut Art. 35 EU-DSGVO muss eine Datenschutzfolgenabschätzung erfolgen, die sich in drei Eskalationsstufen aufgliedert. Der erste Schritt ist die Überprüfung des Risikos für die Rechte und Freiheiten der Betroffenen. Ist ein Risiko vorhanden, so muss im zweiten Schritt eruiert werden, ob die geplanten Sicherheitsvorkehrungen zum Schutz der Daten ausreichen, sodass die EU-DSGVO eingehalten werden kann. Wenn dies nicht möglich sein sollte, so muss im letzten und dritten Schritt die Aufsichtsbehörde informiert werden, die eine Empfehlung ausspricht.