Wann gilt die DSGVO?
Die DSGVO erfasst insbesondere automatisierte Verarbeitungen und bestimmte geordnete Sammlungen auf Papier. Namen, Kundennummern, identifizierbare Fotos und Gesundheitsangaben können darunter fallen. Auch mittelbare Erkennbarkeit reicht aus. Angaben über ausschließlich juristische Personen sind hiervon zu unterscheiden; die geschäftliche E-Mail-Adresse einer bestimmten Mitarbeiterin kann dagegen personenbezogen sein. Für ausschließlich persönliche oder familiäre Tätigkeiten besteht eine Ausnahme, deren Grenzen gerade bei Veröffentlichungen im Internet sorgfältig zu prüfen sind. Eine kleine Betriebsgröße befreit Unternehmen nicht allgemein vom Datenschutzrecht.
Welche Grundsätze müssen eingehalten werden?
Artikel 5 DSGVO verlangt unter anderem Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung und angemessene Sicherheit. Daten dürfen deshalb nicht ohne Weiteres für jeden später nützlich erscheinenden Zweck gesammelt werden. Verantwortliche müssen ihre Entscheidungen nachvollziehbar belegen können. Dazu gehört ein Löschkonzept, das gesetzliche Aufbewahrungsfristen berücksichtigt. Unrichtige Daten müssen erforderlichenfalls berichtigt werden. Sicherheit betrifft nicht nur Passwörter und Verschlüsselung, sondern auch Zugriffsrechte, Mitarbeiterschulung und den Umgang mit verlorenen Geräten oder fehlgeleiteten Nachrichten.
Braucht jede Verarbeitung eine Einwilligung?
Nein. Artikel 6 DSGVO kennt mehrere Rechtsgrundlagen. In Betracht kommen beispielsweise eine erforderliche Vertragsabwicklung, gesetzliche Pflichten oder nach Abwägung berechtigte Interessen. Eine Einwilligung ist nur eine Möglichkeit und muss freiwillig, informiert und ausreichend bestimmt sein. Gesundheitsdaten und andere besonders geschützte Kategorien unterliegen zusätzlichen Voraussetzungen nach Artikel 9. Eine pauschale Zustimmung zu einer Datenschutzerklärung ersetzt die Prüfung der tatsächlichen Verarbeitung nicht. Zweck, Datenumfang und passende Rechtsgrundlage sollten vor dem Start eines neuen Verfahrens feststehen.
Welche Rechte haben betroffene Personen?
Je nach Voraussetzungen bestehen insbesondere Auskunfts-, Berichtigungs-, Löschungs- und Widerspruchsrechte. Löschung ist allerdings nicht ausnahmslos sofort geschuldet, etwa wenn eine gesetzliche Aufbewahrungspflicht entgegensteht. Anfragen sind grundsätzlich innerhalb eines Monats zu beantworten; eine begründete Verlängerung kann möglich sein. Betroffene können sich zudem an eine Datenschutzaufsichtsbehörde wenden. Ob zusätzlich ein Zahlungsanspruch besteht, ist eine eigenständige Frage. Unternehmen sollten deshalb eingehende Anfragen zuverlässig erkennen, intern weiterleiten und ihren Eingang dokumentieren.
EuGH-Urteil zu Datenschutz und Schadensersatz
Der Europäische Gerichtshof entschied am 4. Mai 2023, C‑300/21, dass ein Verstoß gegen die DSGVO allein noch keinen Schadensersatz begründet. Hinzukommen müssen ein materieller oder immaterieller Schaden und dessen ursächlicher Zusammenhang mit dem Verstoß. Für immaterielle Schäden darf allerdings keine zusätzliche Erheblichkeitsschwelle verlangt werden. Das Urteil trennt somit die Feststellung eines Datenschutzfehlers von der Prüfung eines konkreten Ausgleichsanspruchs. Es legt keinen festen Geldbetrag für jede rechtswidrige Datenverarbeitung fest.
Was bedeutet das für die praktische Umsetzung?
Am Anfang steht eine Bestandsaufnahme: Welche Daten werden für welchen Zweck verarbeitet, wer erhält Zugriff und wann werden sie gelöscht? Anschließend sind Informationspflichten, Verträge mit Dienstleistern und Sicherheitsmaßnahmen aufeinander abzustimmen. Bei einer Datenpanne können kurze Meldefristen laufen; nicht jeder Vorfall löst jedoch dieselben Pflichten aus. Betroffene sollten konkrete Vorgänge, Zeitpunkte und erhaltene Antworten sichern. Unternehmen benötigen klare Zuständigkeiten, damit Datenschutz im Alltag funktioniert und nicht allein aus einem veröffentlichten Hinweistext besteht. Bei neuen Projekten sollten zunächst nur die für den festgelegten Zweck erforderlichen Angaben abgefragt werden. Pflichtfelder benötigen eine sachliche Begründung. Eine dokumentierte Prüfung vor dem Start kann verhindern, dass später ganze Verfahren und bereits gefüllte Datenbestände aufwendig korrigiert werden müssen.