Was ist die DSGVO?
Die DSGVO (Datenschutz-Grundverordnung), auf Englisch GDPR (General Data Protection Regulation), ist die europäische Verordnung, die festlegt, wie Organisationen personenbezogene Daten von EU-Bürgern erheben, verarbeiten, speichern und schützen müssen. Sie trat am 25. Mai 2018 in Kraft und gilt für jede Organisation, die Daten von EU-Einwohnern verarbeitet, unabhängig davon, wo das Unternehmen ansässig ist.
Die DSGVO basiert auf sieben Grundsätzen: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz; Zweckbindung; Datenminimierung; Richtigkeit; Speicherbegrenzung; Integrität und Vertraulichkeit; sowie Rechenschaftspflicht. Diese Grundsätze sind nicht nur deklarativ: Organisationen müssen aktiv nachweisen, dass sie ihnen nachkommen.
Zu den Rechten, die die DSGVO Bürgern gewährt, gehören: Auskunftsrecht (wissen, welche Daten ein Unternehmen über sie hat), Berichtigungsrecht (fehlerhafte Daten korrigieren), Recht auf Löschung (Recht auf Vergessenwerden), Recht auf Datenübertragbarkeit (Daten in maschinenlesbarem Format erhalten) und Widerspruchsrecht (Widerspruch gegen bestimmte Verarbeitungen wie Direktmarketing).
Warum ist das wichtig?
Die Sanktionen bei DSGVO-Verstößen sind erheblich: bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (je nachdem, was höher ist). Im Jahr 2023 verhängten EU-Datenschutzbehörden Bußgelder von insgesamt mehr als 2 Milliarden Euro. Amazon erhielt die bisher höchste Geldstrafe: 746 Millionen Euro von der luxemburgischen Datenschutzbehörde.
Die DSGVO ist jedoch nicht nur ein Bußgeldrisiko. Datenpannen und Nichteinhaltung führen zu Vertrauensverlust bei Kunden, negativer Medienberichterstattung und operativen Kosten bei der Untersuchung und Schadensbehebung. Die korrekte Umsetzung der DSGVO ist nicht nur Compliance: Es ist ein Wettbewerbsvorteil in Märkten, in denen Datenschutz ein Differenzierungsmerkmal ist.
Wie funktioniert das in der Praxis?
DSGVO-Compliance erfordert organisatorische und technische Maßnahmen. Organisatorisch: Bestellung eines Datenschutzbeauftragten (DSB), sofern erforderlich, Führung eines Verzeichnisses von Verarbeitungstätigkeiten (VVT), Durchführung von Datenschutz-Folgenabschätzungen (DSFA) für risikoreiche Verarbeitungen und Einrichtung von Verfahren zur Verwaltung der Betroffenenrechte.
Technisch: Implementierung von Datenverschlüsselung im Ruhezustand und bei der Übertragung, granulare Zugriffskontrollen, Anonymisierung oder Pseudonymisierung wo möglich, Erkennung und Meldung von Datenpannen (72 Stunden zur Meldung an die Behörde) sowie vollständige Nachverfolgbarkeit, wo personenbezogene Daten gespeichert und verarbeitet werden. Hier wird Data Governance zum zentralen Element der Compliance.
DSGVO in Linedat
Linedat erleichtert die DSGVO-Compliance durch automatische PII-Erkennung, Nachverfolgbarkeit des Flusses personenbezogener Daten mittels Lineage, Sensibilitätsklassifizierung auf Spaltenebene, konfigurierbare Aufbewahrungsrichtlinien und Audit-Logs, die dokumentieren, wer wann auf welche Daten zugegriffen hat, und damit die grundlegenden technischen Anforderungen der Verordnung abdecken.
Verwandte Begriffe
PII sind Daten, die eine Person identifizieren: Name, E-Mail, Ausweisnummer, IP-Adresse. Erfahre, wie du sie erkennst und für DSGVO-Compliance verwaltest.
Was ist DORA und wie erfüllt man die Anforderungen?DORA ist die europäische Verordnung zur digitalen Resilienz im Finanzsektor. Erfahre die Anforderungen und wie Data Governance hilft.
Was ist Data Governance?Data Governance ist das Rahmenwerk aus Richtlinien, Prozessen und Rollen, das Datenqualität, Sicherheit und korrekte Nutzung in einer Organisation gewährleistet.
Was ist Datenqualität (Data Quality)?Datenqualität misst, ob Daten präzise, vollständig, konsistent und aktuell sind. Erfahre, wie du effektive Qualitätsregeln implementierst.