EU-VerordnungEU und EWR, extraterritorial
DSGVO
Datenschutz-Grundverordnung (EU) 2016/679
Die DSGVO regelt die Verarbeitung personenbezogener Daten von Menschen in der EU. Sie gilt für Organisationen mit Sitz in der EU und für solche außerhalb, die Menschen in der EU Waren oder Dienstleistungen anbieten oder ihr Verhalten beobachten. Sie gilt seit dem 25. Mai 2018.
Wen es erreicht
- Jede Organisation, die personenbezogene Daten von Menschen in der EU verarbeitet: Kunden, Beschäftigte, Nutzer, Kontakte.
- Auftragsverarbeiter, die für Verantwortliche tätig sind und eigene Pflichten aus Artikel 28 tragen.
- Unternehmen außerhalb der EU mit Kunden oder Nutzern in der EU, die in den meisten Fällen auch einen EU-Vertreter benennen müssen.
Was das Audit prüft
- 01Ein allgemein gebräuchliches DSGVO-Zertifikat gibt es nicht; Audits sind Bewertungen gegen die Artikel oder gegen ein Schema wie ISO 27701 oder einen Verhaltenskodex.
- 02Ein Audit prüft das Verzeichnis der Verarbeitungstätigkeiten, Rechtsgrundlagen, Datenschutzhinweise, den Umgang mit Betroffenenrechten, DSFAs, Auftragsverarbeitungsverträge, Übermittlungen und den Umgang mit Datenpannen.
- 03Artikel 28 gibt Verantwortlichen ein Prüfrecht gegenüber ihren Auftragsverarbeitern, der häufigste kommerzielle Auslöser.
Ein typischer Auftrag
Die Dauern sind Spannen aus der Praxis für eine mittelgroße Organisation mit einer funktionierenden Sicherheitsfunktion; ein erstes Programm dauert länger, ein reifes kürzer.
| Phase | Wochen |
|---|---|
| Datenlandkarte und Verzeichnis der Verarbeitungstätigkeiten | 2 bis 6 |
| Lückenanalyse gegen die Artikel | 2 bis 4 |
| Behebung: Hinweise, Verträge, Rechte, DSFAs | 6 bis 16 |
| Bewertungs- oder Zertifizierungsaudit | 1 bis 4 |
Nachweise, die bereitliegen sollten
- Verzeichnis der Verarbeitungstätigkeiten (Artikel 30)
- Analyse der Rechtsgrundlage je Zweck
- Datenschutzhinweise und Einwilligungsaufzeichnungen
- Protokoll der Betroffenenanfragen und Antwortzeiten
- Datenschutz-Folgenabschätzungen
- Auftragsverarbeitungsverträge und Listen der Unterauftragsverarbeiter
- Übermittlungsmechanismus für Drittländer und Transfer-Folgenabschätzungen
- Register der Datenpannen und Meldungen an die Aufsichtsbehörde
- Benennung des Datenschutzbeauftragten und Aufzeichnungen seiner Beratung
- Löschkonzept und Löschnachweise
Häufige Fragen
- Gibt es eine DSGVO-Zertifizierung?
- Artikel 42 sieht Zertifizierungsverfahren vor, und einige nationale Verfahren existieren, aber ein einheitliches EU-weites DSGVO-Zertifikat gibt es nicht. ISO 27701, die Datenschutzerweiterung zu ISO 27001, ist der gebräuchlichste zertifizierbare Ersatz.
- Wann ist eine DSFA Pflicht?
- Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene mit sich bringt: systematisches Profiling mit erheblicher Wirkung, umfangreiche Verarbeitung besonderer Datenkategorien, umfangreiche Überwachung öffentlicher Bereiche und Verarbeitungen, die zwei oder mehr der EDSA-Kriterien erfüllen.
- Wie hoch sind die Bußgelder?
- Bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes in der unteren Stufe und bis zu 20 Millionen Euro oder 4 Prozent in der oberen Stufe, je nachdem, welcher Betrag höher ist.