leser.ch

Die GDPR ist eine neue Verordnung, die von der Europäischen Union geschaffen wurde. Sie wurde vier Jahre lang ausgearbeitet und schließlich am 14. April 2016 verabschiedet. Sie wird ihren Vorgänger, die Datenschutzrichtlinie 95/46/EG, die 1995 verabschiedet wurde, ersetzen.

Die GDPR soll die Verarbeitung personenbezogener Daten von Personen regeln, die im Europäischen Wirtschaftsraum (EWR), d. h. den EU-Mitgliedstaaten sowie Island, Liechtenstein und Norwegen, ansässig sind und im Folgenden als "EU-Bürger" bezeichnet werden. Die GDPR ist auf einen größeren Geltungsbereich ausgelegt und umfasst weitere wichtige Änderungen, die der aktuellen Cybersicherheitslandschaft Rechnung tragen.

Kurz gesagt: Die GDPR baut auf der vorherigen Richtlinie auf. Einige der wichtigsten Änderungen sind folgende:

• Ein erweiterter territorialer Anwendungsbereich: Die GDPR gilt für alle Unternehmen, die personenbezogene Daten von betroffenen Personen mit Wohnsitz in der EU/dem EWR verarbeiten, unabhängig vom Standort des Unternehmens. Um dies auszuarbeiten, gilt die GDPR für die Verarbeitung personenbezogener Daten durch Controller (Unternehmen) und Prozessoren (Stellen, die die Daten für Unternehmen verarbeiten) in der EU/dem EWR, unabhängig davon, ob die Verarbeitung selbst in der EU/dem EWR stattfindet oder nicht. Unternehmen mit Sitz außerhalb der EU/des EWR, die Daten von EU-Bürgern verarbeiten, müssen ebenfalls einen Vertreter in der EU/im EWR ernennen. Die GDPR wird auch für die Verarbeitung personenbezogener Daten von betroffenen Personen in der EU/dem EWR durch einen für die Verarbeitung Verantwortlichen oder einen Auftragsverarbeiter gelten, der nicht in der EU/dem EWR niedergelassen ist. Im Wesentlichen sind alle Unternehmen und Organisationen auf der ganzen Welt betroffen, sobald sie personenbezogene Daten von EU-Bürgern verarbeiten.
• Umfassende Sanktionen bei Verstößen gegen die Verordnung : Organisationen und Unternehmen, bei denen ein Verstoß gegen die GDPR festgestellt wird, werden je nach Umfang und Art des Verstoßes mit Geldstrafen belegt. Eine Aufsichtsbehörde wird den Verstoß (z. B. eine Nichteinhaltung, eine Datenverletzung) bewerten, um die Art der Strafe zu bestimmen, die verhängt wird. Sie verfolgt bei den Geldstrafen einen stufenweisen Ansatz.
• Klarere und prägnantere Einwilligungserklärung: Organisationen und Unternehmen dürfen nicht länger lange und unleserliche Geschäftsbedingungen und komplizierte Formulare verwenden, um die Einwilligung der Kunden einzuholen. Diese Formulare müssen in einem verständlichen und leicht zugänglichen Format abgegeben werden, in dem eine klare und einfache Sprache verwendet wird. Die Einwilligung muss ausdrücklich erteilt werden, und die Kunden müssen auch in der Lage sein, die Einwilligung leicht zu widerrufen.
• Meldungen von Verstößen: Organisationen und Unternehmen müssen die Aufsichtsbehörden und ihre Kunden über Datenverstöße, die die Rechte und Freiheiten von Personen gefährden könnten, benachrichtigen. Diese Benachrichtigung, die innerhalb von 72 Stunden nach Entdeckung einer Verletzung erfolgen muss, wird verpflichtend sein. Dies gilt auch für datenverarbeitende Unternehmen, die ihre Kunden benachrichtigen müssen.
• Auskunftsrechte: Betroffene Personen können von Unternehmen eine Bestätigung darüber erhalten, ob, wo und zu welchem Zweck ihre persönlichen Daten verarbeitet werden. Das Unternehmen muss außerdem auf Anfrage kostenlos eine Kopie der persönlichen Daten des Kunden zur Verfügung stellen.
• Recht auf Löschung : Das "Recht auf Vergessenwerden" ermöglicht es der betroffenen Person, vom Unternehmen die Löschung ihrer personenbezogenen Daten zu verlangen. Dieses Recht auf Löschung der Daten ist nicht absolut und kann unter bestimmten Bedingungen geltend gemacht werden: Widerruf der Einwilligung; die Daten sind für die ursprünglichen Zwecke der Verarbeitung nicht mehr relevant. Dieses Recht unterliegt Bedenken des öffentlichen Interesses oder der nationalen Sicherheit.
• Datenübertragbarkeit : Die betroffene Person kann künftig alle zuvor erhaltenen personenbezogenen Daten (die sie betreffen) in einem gängigen, maschinenlesbaren Format empfangen und an ein anderes Unternehmen weiterleiten.
• Privacy by Design und Standard : Privacy by Design ist ein gängiger informeller Ansatz - Er bedeutet, dass bei jeder neuen Dienstleistung oder jedem neuen Geschäftsprozess, bei dem personenbezogene Daten verwendet werden, der Schutz dieser Daten berücksichtigt werden muss. Privacy by Default bedeutet einfach, dass die strengsten Datenschutzeinstellungen automatisch gelten, wenn ein Kunde ein neues Produkt oder eine neue Dienstleistung erwirbt. Das bedeutet, dass keine manuelle Änderung der Datenschutzeinstellungen durch den Nutzer erforderlich ist, um die strengste Einstellung zu wählen. Die GDPR macht "Privacy by Design" zu einer wichtigen Bestimmung, und daher wird die Einbeziehung des Datenschutzes als Schlüsselelement des Designs zu einem integralen Ziel jedes Systemdesigns, und zwar von Anfang an.
• Datenschutzbeauftragte : Der Datenschutzbeauftragte (DSB) wird ein wichtiger Eckpfeiler der GDPR sein. Neben der Unterstützung der Einhaltung der GDPR durch eine Organisation wird der DSB die wichtige Rolle haben, als Vermittler zwischen der Organisation und den Aufsichtsbehörden, betroffenen Personen usw. zu fungieren. Nicht alle Organisationen/Unternehmen werden einen DSB benötigen; es gibt bestimmte Kriterien, die bestimmen, ob ein DSB erforderlich ist oder nicht.