Die Datenschutz-Grundverordnung (DSGVO) ist das EU-Gesetz, das regelt, wie Organisationen personenbezogene Daten von Menschen in der EU erheben, nutzen und schützen – mit Bußgeldern von bis zu 4 % des weltweiten Jahresumsatzes.
Wie die DSGVO funktioniert
Die DSGVO, offiziell Verordnung (EU) 2016/679 (englisch GDPR), wurde 2016 verabschiedet und gilt seit dem 25. Mai 2018. Sie erfasst jede Organisation, die personenbezogene Daten von Menschen in der EU verarbeitet, unabhängig vom Sitz der Organisation. Zu den zentralen Grundsätzen gehören Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie Rechenschaftspflicht. Betroffene erhalten Rechte auf Auskunft, Berichtigung, Löschung und Übertragbarkeit ihrer Daten sowie ein Widerspruchsrecht.
Warum die DSGVO für die Cybersicherheit wichtig ist
Die Verordnung macht Sicherheit zur rechtlichen Pflicht:
- Artikel 32 verlangt „geeignete technische und organisatorische Maßnahmen“ und nennt ausdrücklich Verschlüsselung und Pseudonymisierung.
- Artikel 33 schreibt vor, eine Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden nach Bekanntwerden der Aufsichtsbehörde zu melden; Artikel 34 verlangt bei hohem Risiko die Benachrichtigung der Betroffenen. Gute Pläne für die Incident Response enthalten daher einen rechtlichen Strang.
- Bußgelder erreichen bis zu 20 Millionen Euro oder 4 % des weltweiten Umsatzes, je nachdem, welcher Betrag höher ist.
Die Durchsetzung ist spürbar: 2023 verhängte die irische Datenschutzkommission gegen Meta ein Rekordbußgeld von 1,2 Milliarden Euro wegen der Übermittlung von Nutzerdaten in die USA, und Amazon erhielt 2021 in Luxemburg ein Bußgeld von 746 Millionen Euro. Auch Datenlecks infolge mangelhafter Sicherheit wurden geahndet, und die DSGVO diente weltweit als Vorbild, etwa für die UK GDPR und das brasilianische LGPD.
Wie Organisationen die DSGVO umsetzen
- Erfassen, wo personenbezogene Daten gespeichert sind und zu welchem Zweck sie verarbeitet werden.
- Datenschutz durch Technikgestaltung, Zugriffskontrolle, Verschlüsselung und Data Loss Prevention umsetzen.
- Wo vorgeschrieben einen Datenschutzbeauftragten benennen und Datenschutz-Folgenabschätzungen durchführen.
- Ein Meldeverfahren für Datenschutzverletzungen vorbereiten und testen.
