Brauche ich für jede Verarbeitung eine Einwilligung?

Nein. Die Einwilligung ist nur eine von sechs Rechtsgrundlagen (Art. 6 Abs. 1). In Beschäftigungsverhältnissen ist § 26 BDSG die Hauptgrundlage, im Vertragsverhältnis Art. 6 Abs. 1 b. Berechtigtes Interesse (lit. f) erfordert eine dokumentierte Abwägung. Eine Einwilligung muss freiwillig, informiert, eindeutig und jederzeit widerruflich sein.

Was passiert bei einer Datenschutzpanne?

Verantwortliche müssen Verletzungen des Schutzes personenbezogener Daten binnen 72 Stunden an die Aufsichtsbehörde melden (Art. 33), soweit ein Risiko für Rechte und Freiheiten besteht. Bei hohem Risiko sind zusätzlich die Betroffenen zu informieren (Art. 34). Eine Dokumentationspflicht besteht intern unabhängig davon.

Wie hoch sind die Bußgelder in der Praxis?

Die theoretische Obergrenze ist 20 Mio. € oder 4 % Konzernumsatz. In der Praxis hängt die Höhe von Verstoß, Datenvolumen, Verschulden und Kooperation ab. Aufsichtsbehörden veröffentlichen ihre Bußgeldkataloge, der Europäische Datenschutzausschuss hat Leitlinien zur Bemessung erlassen (EDPB Guidelines 04/2022).

DSGVO (Datenschutz-Grundverordnung)

Seit 25.05.2018 geltende EU-Verordnung zum Datenschutz. Vereinheitlicht Rechtsgrundlagen, Betroffenenrechte und Bußgelder bis 4 Prozent des Konzernumsatzes.

Anwendungsbereich

Die Datenschutz-Grundverordnung (Verordnung EU 2016/679) gilt seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten. Sie regelt die Verarbeitung personenbezogener Daten durch Verantwortliche und Auftragsverarbeiter. Das Marktortprinzip (Art. 3) erstreckt den Anwendungsbereich auf Nicht-EU-Unternehmen, die Waren oder Dienstleistungen in der EU anbieten oder das Verhalten von Personen in der EU beobachten.

Grundsätze (Art. 5)

Art. 5 DSGVO fasst die sechs Grundsätze zusammen: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz; Zweckbindung; Datenminimierung; Richtigkeit; Speicherbegrenzung; Integrität und Vertraulichkeit. Hinzu kommt die Rechenschaftspflicht (Art. 5 Abs. 2): Der Verantwortliche muss die Einhaltung der Grundsätze nachweisen können.

Rechtsgrundlagen (Art. 6)

Personenbezogene Daten dürfen nur verarbeitet werden, wenn eine Rechtsgrundlage besteht (Art. 6 Abs. 1): Einwilligung (a), Vertragserfüllung (b), rechtliche Verpflichtung (c), lebenswichtige Interessen (d), öffentliches Interesse (e), berechtigtes Interesse (f). Bei besonderen Kategorien personenbezogener Daten (Gesundheit, Religion, Gewerkschaftsmitgliedschaft) ist zusätzlich Art. 9 zu beachten.

Betroffenenrechte und Bußgelder

Betroffene haben Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) und gegen automatisierte Einzelentscheidungen (Art. 22). Bußgelder können nach Art. 83 bis zu 20 Mio. € oder bis zu 4 % des weltweiten Jahresumsatzes des Konzerns betragen, der höhere Wert greift.

Wie evaluateMe das Auskunfts- und Datenübertragbarkeitsrecht nach Art. 15/20 DSGVO unterstützt: Jeder Nutzer exportiert seine eigenen Daten selbst als JSON-Datei.

Auch bekannt als

GDPR
Datenschutz-Grundverordnung
EU-Datenschutz

Häufige Fragen zu diesem Begriff

Quellen

Häufige Fragen

Brauche ich für jede Verarbeitung eine Einwilligung?: Nein. Die Einwilligung ist nur eine von sechs Rechtsgrundlagen (Art. 6 Abs. 1). In Beschäftigungsverhältnissen ist § 26 BDSG die Hauptgrundlage, im Vertragsverhältnis Art. 6 Abs. 1 b. Berechtigtes Interesse (lit. f) erfordert eine dokumentierte Abwägung. Eine Einwilligung muss freiwillig, informiert, eindeutig und jederzeit widerruflich sein.
Was passiert bei einer Datenschutzpanne?: Verantwortliche müssen Verletzungen des Schutzes personenbezogener Daten binnen 72 Stunden an die Aufsichtsbehörde melden (Art. 33), soweit ein Risiko für Rechte und Freiheiten besteht. Bei hohem Risiko sind zusätzlich die Betroffenen zu informieren (Art. 34). Eine Dokumentationspflicht besteht intern unabhängig davon.
Wie hoch sind die Bußgelder in der Praxis?: Die theoretische Obergrenze ist 20 Mio. € oder 4 % Konzernumsatz. In der Praxis hängt die Höhe von Verstoß, Datenvolumen, Verschulden und Kooperation ab. Aufsichtsbehörden veröffentlichen ihre Bußgeldkataloge, der Europäische Datenschutzausschuss hat Leitlinien zur Bemessung erlassen (EDPB Guidelines 04/2022).