Die Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018 in allen EU-Mitgliedsstaaten als einheitliches Datenschutzrecht. Weltweit gilt die DSGVO als Goldstandard, weil sie den Schutz personenbezogener Daten stärkt und Bürger:innen umfassende Rechte einräumt. Sie wird in Deutschland durch das Bundesdatenschutzgesetz (BDSG) ergänzt.
Ein Datenschutzverstoß liegt gemäß der DSGVO vor, wenn personenbezogene Daten rechtswidrig verarbeitet, offengelegt, verändert oder gelöscht werden. Technische Pannen (z.B. Datenverlust) und menschliche Fehler (z.B. falsche Empfängeradressen bei E-Mails) sind darin eingeschlossen.
Während die DSGVO den Schutz personenbezogener Daten im engeren Sinne regelt, weitet das BDSG den Geltungsbereich deutlich aus, beispielsweise auf Überwachungskameras im öffentlichen Raum, auf den Beschäftigtendatenschutz und Bonitätsauskünfte.
Unternehmen müssen nicht nur genau wissen, welche ihrer Daten geschützt sind, sondern auch, wie hoch das damit verbundene Risiko ist und wie sie sich bei einem Datenschutzvorfall rechtssicher verhalten.
In der Regel müssen Datenschutzverletzungen innerhalb einer Frist von 72 Stunden bei der zuständigen Aufsichtsbehörde gemeldet werden. Auch betroffene Personen müssen unverzüglich benachrichtigt werden – sofern der Vorfall ein hohes Risiko für ihre Rechte darstellt.
Unternehmen sollten daher neben einheitlichen Regeln für den internen Datenschutz und die Datensicherheit auch klare Prozesse für den Umgang mit Datenschutzvorfällen haben. Diese müssen allen Mitarbeitenden bekannt sein, denn verspätete Meldungen können zusätzliche Bußgelder nach sich ziehen. Wichtig: Nicht jeder Verstoß ist automatisch eine meldepflichtige Datenschutzverletzung. Erst wenn ein Sicherheitsvorfall ein hohes Risiko für die Rechte der Betroffenen darstellt, gilt die 72-Stunden-Regel.
Ein Beispiel zur DSGVO: Sie versenden eine E-Mail an viele Empfänger:innen und nutzen „CC“ (Carbon Copy) statt „BCC“ (Blind Carbon Copy). Alle Personen im Verteiler können dadurch die E-Mail-Adressen der anderen einsehen. Dies stellt entsprechend der DSGVO eine Datenschutzverletzung dar, denn E-Mail-Adressen sind personenbezogene Daten. Ob Sie den Vorfall melden müssen, hängt vom eingeschätzten Risiko ab. Bei einem kleinen Verteiler, dessen Mitglieder sich ohnehin kennen, ist das Risiko eher gering.
Ein Beispiel zum BDSG: Sie möchten im Eingangsbereich des Firmensitzes eine Videoüberwachung installieren. Das ist in Deutschland nur erlaubt, wenn die Überwachung zur Wahrnehmung des Hausrechts erforderlich ist und die überwiegenden Interessen von gefilmten Personen dem nicht entgegenstehen. Das müssen Sie für Ihr Unternehmen abwägen und sicherstellen, dass die Überwachung den gesetzlichen Anforderungen entspricht.
