Die DSGVO definiert die Rechtmäßigkeit der Datenverarbeitung in Artikel 6. Daten dürfen nur verarbeitet werden, wenn mindestens eine der folgenden Rechtsgrundlagen vorliegt:
- Einwilligung (Art. 6 Abs. 1 lit. a):
- Die betroffene Person hat ihre Zustimmung zur Verarbeitung für einen bestimmten Zweck gegeben.
- Vertragserfüllung (Art. 6 Abs. 1 lit. b):
- Die Verarbeitung ist notwendig, um einen Vertrag zu erfüllen (z. B. Kaufvertrag).
- Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c):
- Die Verarbeitung ist erforderlich, um einer gesetzlichen Verpflichtung nachzukommen (z. B. Steuerrecht).
- Schutz lebenswichtiger Interessen (Art. 6 Abs. 1 lit. d):
- Die Verarbeitung ist notwendig, um lebenswichtige Interessen zu schützen.
- Berechtigtes Interesse (Art. 6 Abs. 1 lit. f):
- Die Verarbeitung dient berechtigten Interessen des Verantwortlichen, sofern keine überwiegenden Interessen der betroffenen Person entgegenstehen.
Arten personenbezogener Daten
- Allgemeine personenbezogene Daten:
- Name, Adresse, Telefonnummer, E-Mail-Adresse, Geburtsdatum.
- Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO):
- Gesundheitsdaten, ethnische Herkunft, religiöse oder politische Überzeugungen, genetische Daten.
- Anonyme Daten:
- Daten, die keinen Rückschluss auf eine Person zulassen. Diese unterliegen nicht der DSGVO.
Pflichten bei der Datenverarbeitung
- Transparenz:
- Personen müssen darüber informiert werden, welche Daten erhoben werden und zu welchem Zweck (z. B. in der Datenschutzerklärung).
- Rechtmäßigkeit:
- Die Verarbeitung muss auf einer der gesetzlichen Grundlagen basieren.
- Zweckbindung:
- Daten dürfen nur für den vorher definierten Zweck verwendet werden.
- Datenminimierung:
- Es dürfen nur die Daten erhoben werden, die für den Zweck notwendig sind.
- Speicherbegrenzung:
- Daten dürfen nur so lange gespeichert werden, wie es für den Zweck erforderlich ist.
- Integrität und Vertraulichkeit:
- Daten müssen durch technische und organisatorische Maßnahmen geschützt werden.
- Rechenschaftspflicht:
- Unternehmen müssen nachweisen können, dass sie die Vorschriften der DSGVO einhalten.
Rechte der betroffenen Personen
- Recht auf Auskunft (Art. 15 DSGVO):
- Personen können erfahren, welche Daten über sie gespeichert sind und wie sie verarbeitet werden.
- Recht auf Berichtigung (Art. 16 DSGVO):
- Personen können die Korrektur unrichtiger Daten verlangen.
- Recht auf Löschung („Recht auf Vergessenwerden“, Art. 17 DSGVO):
- Personen können die Löschung ihrer Daten fordern, wenn diese nicht mehr benötigt werden.
- Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO):
- Die Verarbeitung kann eingeschränkt werden, wenn z. B. die Richtigkeit der Daten bestritten wird.
- Recht auf Datenübertragbarkeit (Art. 20 DSGVO):
- Personen können ihre Daten in einem maschinenlesbaren Format anfordern.
- Widerspruchsrecht (Art. 21 DSGVO):
- Personen können der Verarbeitung ihrer Daten widersprechen, insbesondere bei Direktwerbung.
Beispiele für Datenverarbeitung
- Im Marketing:
- Nutzung von E-Mail-Adressen für den Versand von Newslettern.
- Analyse des Nutzerverhaltens auf Websites (z. B. durch Google Analytics).
- Im Gesundheitswesen:
- Speicherung von Patientenakten in einer digitalen Datenbank.
- In E-Commerce:
- Verarbeitung von Bestell- und Zahlungsdaten zur Abwicklung von Online-Bestellungen.
- In Unternehmen:
- Speicherung von Mitarbeiterdaten (z. B. für Gehaltsabrechnungen oder Arbeitszeitnachweise).
Auftragsverarbeitung (Art. 28 DSGVO)
Wenn ein Unternehmen einen Dienstleister beauftragt, Daten in seinem Namen zu verarbeiten (z. B. Cloud-Dienste, Marketingtools), handelt es sich um eine Auftragsverarbeitung. In diesem Fall müssen folgende Anforderungen erfüllt sein:
- Vertrag zur Auftragsverarbeitung:
- Ein schriftlicher Vertrag, der die Pflichten und Verantwortlichkeiten des Dienstleisters regelt.
- Überwachung der Einhaltung:
- Das beauftragende Unternehmen muss sicherstellen, dass der Dienstleister die DSGVO einhält.
- Verantwortung bleibt beim Auftraggeber:
- Das Unternehmen bleibt für die Daten verantwortlich, auch wenn die Verarbeitung ausgelagert wird.
Datenverarbeitung und Datenschutzverletzungen
Bei einer Datenschutzverletzung (z. B. Datenleak) müssen folgende Schritte unternommen werden:
- Meldung an die Aufsichtsbehörde:
- Innerhalb von 72 Stunden nach Entdeckung der Verletzung.
- Benachrichtigung der betroffenen Personen:
- Falls die Verletzung ein hohes Risiko für die Rechte und Freiheiten der Betroffenen darstellt.
- Dokumentation:
- Alle Vorfälle müssen dokumentiert und Maßnahmen zur Verhinderung zukünftiger Verletzungen ergriffen werden.
