Die DSGVO ist eine von der Europäischen Union erlassene Verordnung, die Vorschriften zum Schutz personenbezogener Daten und zum freien Verkehr solcher Daten enthält, in allen ihren Teilen verbindlich ist und unmittelbar in jedem Mitgliedstaat gilt.
Auf einen Blick
Die Verordnung gilt ab dem 25. Mai 2018.
Eine Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche nach Art. 33 unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zuständigen Aufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.
Art. 83 Abs. 5 sieht bei Verstößen unter anderem gegen die Grundsätze für die Verarbeitung Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs vor, je nachdem, welcher der Beträge höher ist.
Was ist die DSGVO?
Die DSGVO soll nach Darstellung des BfDI sowohl ein hohes Datenschutzniveau als auch den freien Datenverkehr in Europa gewährleisten. Die Verordnung ist in allen ihren Teilen verbindlich und gilt ab dem 25. Mai 2018 unmittelbar in jedem Mitgliedstaat. Als personenbezogene Daten gelten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; zur Verarbeitung zählen etwa das Erheben, die Speicherung, die Verwendung und das Löschen. Die Verarbeitung ist nach Art. 6 nur rechtmäßig, wenn mindestens eine der dort genannten Bedingungen erfüllt ist.
Verarbeitet ein Versicherer personenbezogene Daten seiner Kunden, legt die DSGVO fest, unter welchen Voraussetzungen er diese Daten erheben, verarbeiten und speichern darf und wann sie gelöscht werden müssen. Die Verhaltensregeln des GDV nennen als Zwecke der Datenverwendung unter anderem, das zu versichernde Risiko einzuschätzen, die Leistungspflicht zu prüfen und Versicherungsmissbrauch zu verhindern. Nach Darstellung des BfDI ergänzt und präzisiert das Bundesdatenschutzgesetz die DSGVO an den Stellen, die den EU-Staaten durch Öffnungsklauseln ausdrücklich selbst überlassen wurden, und greift nur dann, wenn die DSGVO dies zulässt oder nicht angewendet werden kann. Nach den Verhaltensregeln des GDV gelten unbeschadet der in diesen Verhaltensregeln getroffenen Regelungen die Vorschriften der DSGVO und des Bundesdatenschutzgesetzes.
Was regelt die DSGVO?
Die DSGVO bindet die Verarbeitung personenbezogener Daten unter anderem an Rechtmäßigkeit, Zweckbindung und Speicherbegrenzung. Nach Art. 5 Abs. 1 werden Daten für festgelegte, eindeutige und legitime Zwecke erhoben und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden, wobei bestimmte Weiterverarbeitungen nicht als unvereinbar gelten. Betroffene Personen können die unverzügliche Löschung verlangen, sofern einer der in Art. 17 Abs. 1 genannten Gründe zutrifft; das gilt nach Art. 17 Abs. 3 nicht, soweit die Verarbeitung für dort genannte Zwecke erforderlich ist, etwa zur Erfüllung einer rechtlichen Verpflichtung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Art. 83 Abs. 5 sieht bei Verstößen unter anderem gegen die Grundsätze für die Verarbeitung Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs vor, je nachdem, welcher der Beträge höher ist; für Verstöße unter anderem gegen Pflichten der Verantwortlichen und Auftragsverarbeiter nennt Art. 83 Abs. 4 bis zu 10 000 000 EUR oder im Fall eines Unternehmens bis zu 2 % des weltweiten Jahresumsatzes, je nachdem, welcher der Beträge höher ist. Nach Auffassung der Datenschutzkonferenz ist eine Geldbuße weder zwingende Folge jedes festgestellten Verstoßes noch auf außergewöhnliche Fälle beschränkt.
Woran erkenne ich, ob die DSGVO gilt?
| Merkmal | Worauf es ankommt |
|---|---|
| Personenbezogene Daten | Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4). |
| Verarbeitung | Dazu zählen etwa das Erheben, die Speicherung, die Verwendung, die Offenlegung durch Übermittlung und das Löschen (Art. 4). |
| Geltung in der Union | Die Verordnung ist in allen ihren Teilen verbindlich, gilt unmittelbar in jedem Mitgliedstaat und ab dem 25. Mai 2018. |
| Räumlicher Anwendungsbereich (Art. 3) | Die Verordnung gilt für Verarbeitungen im Rahmen der Tätigkeiten einer Niederlassung in der Union, unabhängig davon, ob die Verarbeitung in der Union stattfindet, und auch für nicht in der Union niedergelassene Verantwortliche oder Auftragsverarbeiter, wenn sie Personen in der Union Waren oder Dienstleistungen anbieten oder ihr Verhalten beobachten, soweit es in der Union erfolgt. |
| Ausnahmen (Art. 2 Abs. 2) | Laut DSGVO findet sie unter anderem keine Anwendung auf die Verarbeitung durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten. |
Welche Pflichten folgen aus der DSGVO?
Vorbeugen
- Der Verantwortliche setzt geeignete technische und organisatorische Maßnahmen um und berücksichtigt dabei Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen.
- Verantwortlicher und Auftragsverarbeiter treffen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
- Daten werden nur für festgelegte, eindeutige und legitime Zwecke erhoben und nur so lange in identifizierbarer Form gespeichert, wie es für diese Zwecke erforderlich ist, soweit keine Ausnahme nach lit. e greift (Art. 5 Abs. 1).
Was tun im Ernstfall
- Der Verantwortliche meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der nach Art. 51 zuständigen Aufsichtsbehörde, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen (Art. 33).
- Erfolgt die Meldung nicht binnen 72 Stunden, ist ihr eine Begründung für die Verzögerung beizufügen.
- Betroffene Personen haben das Recht auf Beschwerde bei einer Aufsichtsbehörde, unter anderem in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.
- Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung; die Verordnung nennt Ausnahmen, darunter getroffene Sicherheitsvorkehrungen, die die Daten für nicht zugangsbefugte Personen unzugänglich machen, etwa durch Verschlüsselung.
Beispiele aus der Praxis
- Eine betroffene Person verlangt von einem Verantwortlichen eine Bestätigung darüber, ob er sie betreffende personenbezogene Daten verarbeitet; die Verordnung gibt ihr dieses Recht.
- Eine betroffene Person verlangt die unverzügliche Löschung ihrer Daten; der Verantwortliche ist dazu verpflichtet, sofern einer der in Art. 17 Abs. 1 genannten Gründe zutrifft und keine Ausnahme nach Art. 17 Abs. 3 greift.
- Wird dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er sie unverzüglich und möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.
- Erhebt ein Versicherer Kundendaten, um das zu versichernde Risiko einzuschätzen, ist die Verarbeitung nur rechtmäßig, wenn mindestens eine der Bedingungen des Art. 6 Abs. 1 erfüllt ist.
