Service und Beratung

Die europäische Datenschutzgrundverordnung

Seit dem 25. Mai 2018 gilt die Datenschutzgrundverordnung (DSGVO) in allen EU-Mitgliedstaaten. 
Auf dieser Seite finden Sie Informationen zu den wichtigsten Punkten.

Neu: Mehr Sicherheit für Datentransfers in die USA


Die EU-Kommission hat am 10. Juli 2023 den neuen Angemessenheitsbeschluss (das sog. EU-US Data Privacy Framework) angenommen. Dieser dient nunmehr als Grundlage für Datenübermittlungen von EU-Unternehmen in die USA unter folgenden Voraussetzungen: 
  • Mit dem Angemessenheitsbeschluss können ab sofort global hierauf gestützt personenbezogene Daten aus der EU in die USA übermittelt werden, ohne dass weitere Übermittlungsinstrumente oder zusätzliche Maßnahmen erforderlich sind.
  • Voraussetzung ist jedoch, dass die US-Datenimporteure, an die Daten übermittelt werden sollen, auch unter dem EU-US Data Privacy Framework zertifiziert sind. 
  • Im Gegensatz dazu sind Standardvertragsklauseln (sog. „SCC“) für jeden Einzelfall eines Datentransfers gesondert abzuschließen. 

Viele große US-Unternehmen haben angekündigt, sich freiwillig nach diesem neuen Angemessenheitsbeschluss zertifizieren zu lassen. Die Federal Trade Commission (FTC) wird diese Zertifizierungen ausstellen und eine Liste der zertifizierten US-Unternehmen im Internet veröffentlichen.
Derzeit ist im Internet nur die Liste der US-Unternehmen abrufbar, welche nach dem EU-US Privacy Shield zertifiziert waren. Dieses hatte der EuGH mit Urteil vom 16. Juli 2020 für unwirksam erklärt.

Allgemeine Regeln für Datentransfers in Drittstaaten

Für Datentransfers in Drittstaaten gelten weiterhin strenge Voraussetzungen. Werden personenbezogene Daten in Drittstaaten übermittelt, müssen die folgenden beiden Voraussetzungen gegeben sein:
  • Rechtsgrundlage für die Datenverarbeitung;
  • Angemessene Garantie für ein gleichwertiges Datenschutzniveau im Drittstaat, z. B. Angemessenheitsbeschluss, Standarddatenschutzklauseln (SCC), verbindliche interne Datenschutzvorschriften („Binding Corporate Rules“ - BCR), Ausnahmen nach Art. 49 Abs. 1 DSGVO.
Für Berliner Unternehmen, die sich noch in der Gründungsphase befinden, bietet die Berliner Beauftragte für Datenschutz und Informationsfreiheit zwei mal im Monat eine Start-Up Sprechstunde an. Alle Termine und weitere Informationen finden Sie hier.

Die Datenschutzgrundverordnung

  • Allgemeine Datenschutzgrundsätze (Nr. 3967796)
    Art. 5 DS-GVO beinhaltet die Datenschutzgrundsätze, die bei einer automatisierten Verarbeitung personenbezogener Daten zu beachten sind:
  • Datenschutzmanagement (Nr. 3808436)
    Die EU-Datenschutz-Grundverordnung (DS-GVO) verlangt von den Unternehmen die Erfüllung der Rechenschaftspflicht. Auch in kleineren und mittleren Unternehmen muss ein Mindestmaß an Dokumentation vorhanden sein, um die Einhaltung des Datenschutzes nachweisen zu können.
  • Wann darf man Daten verarbeiten (Nr. 3937916)
    Auch nach dem neuen Datenschutzrecht ist eine Datenverarbeitung nur bei Vorliegen bestimmter Erlaubnistatbestände zulässig.
  • Einwilligung (Nr. 4005120)
    Die Einwilligung bleibt ein bedeutsamer Erlaubnistatbestand für die Datenverarbeitung. Die DS-GVO stellt jedoch deutlich erhöhte Anforderungen an die Wirksamkeit der Einwilligung.
  • Bestellung eines betrieblichen Datenschutzbeauftragten (Nr. 3808486)
    Seit dem 25. Mai 2018 ist zwingend ein betrieblicher Datenschutzbeauftragter zu bestellen, wenn die Kerntätigkeit des Verantwortlichen in Verarbeitungsvorgängen besteht.
  • Datensicherheit nach der DSGVO (Nr. 3808462)
    Die DS-GVO verknüpft Datenschutz und Datensicherheit eng miteinander. Die DS-GVO verlangt Datensicherheitsmaßnahmen, die geeignet sind, das Schutzniveau zu gewährleisten.
  • Meldepflichten (Nr. 4005684)
    Art. 33 DS-GVO schreibt dem Verantwortlichen eine unverzügliche Benachrichtigung der zuständigen Aufsichtsbehörde bei Datenpannen vor.
  • Beschäftigtendatenschutz (Nr. 4005776)
  • Datenschutz für Existenzgründer (Nr. 4065190)
  • Datenschutz für kleine Unternehmen (Nr. 4007546)
    Die DSGVO erhöht zwar die Anforderungen an den Datenschutz, vieles ist aber bisher schon geltende Rechtslage in Deutschland nach dem Bundesdatenschutzgesetz. Nachfolgend soll an einem praktischen Beispiel dargestellt werden, welche Anforderungen sich (neu) aus der DSGVO ergeben.