DSGVO: Was Sie über den neuen Datenschutz wissen müssen

Die Europäischen Union regelt den Datenschutz nun einheitlich. Die neue Datenschutz-Grundver­ordnung gilt für alle Unternehmen und Selbst­ständigen, die personen­be­zogene Daten verarbeiten und die:

• eine Webseite betreiben, welche nicht rein privat ist,
• eine Datenschutzerklärung auf ihrer Webseite veröffentlicht haben,
• Newsletter verschicken,
• oder Google Analytics nutzen.

Selbst viele Blogger müssen darauf achten, dass sie ihre Seite DSGVO-konform gestalten. Website-Betreiber hingegen, die eine rein private Webseite unterhalten, auf der zum Beispiel Famili­enfotos zu sehen sind, müssen sich um die DSGVO keine Sorgen machen.

Was sind personen­be­zogene Daten?

Grundsätzlich sind damit alle Daten gemeint, die sich einer bestimmten Person zuordnen lassen. Dazu zählen Name, Anschrift und Telefon­nummer. Aber auch IP-Adresse, Standortdaten, Cookies oder auch Merkmale wie Körpergröße, Haarfarbe oder der akademische Titel.

Die neue Datenschutz-Grundver­ordnung erweitert diese Definition noch (Artikel 4 Ziffer 1 DSGVO): Personen­be­zogene Daten sind hiernach "Angaben, die bei Zuordnung zu einer natürlichen Person, Einblicke in deren physische, physio­lo­gische, genetische, psychische, wirtschaftliche, kulturelle oder soziale Identität ermöglichen."

Neben den bereits aufgezählten personen­be­zogenen Daten definiert das Bundes­da­ten­schutz­gesetz noch eine Anzahl besonderer personen­be­zogener Daten. In diese Gruppe fallen viele persönliche Daten. Ethnische Herkunft, politische Meinung, Mitglied­schaft in einer Gewerk­schaft und religiöse oder weltan­schauliche Überzeu­gungen gehören dazu. Darüber hinaus fallen Angaben zur persön­lichen Gesundheit sowie Angaben zur sexuellen Orientierung oder Sexualleben unter diese Definition personen­be­zogener Daten. Es geht also durchaus um das Erheben sensibler Daten.

Unter welchen Voraus­set­zungen ist die Verarbeitung personen­be­zogener Daten weiterhin erlaubt?

Nach der DSGVO gelten für Unternehmen und Betreiber von Webseiten in der Europäischen Union folgende Grundsätze:

• Sie dürfen personenbezogene Daten nur dann erheben, verarbeiten und speichern, wenn ausdrücklich eine Einwilligung erteilt ist. Dazu muss die betroffene Person eine Einwilligung erteilen, oder die Erlaubnis muss durch ein Gesetz gegeben sein – etwa das Telemediengesetz (TMG).
• Sie dürfen nur Daten speichern und verarbeiten, die sie tatsächlich brauchen. Daten, die nicht unmittelbar gebraucht werden, dürfen nur unter strengen Voraussetzungen erhoben werden. Welche genau das sind, legt die DSGVO fest.
• Die Daten dürfen nur für den Zweck genutzt werden, zudem sie erhoben wurden.
• Recht auf Vergessen: Die Person, über die Daten gespeichert sind, muss auf ihre Daten zugreifen können, wenn sie dies wünscht. Sie hat auch ein Recht darauf, dass ihre Daten auf ihren Wunsch hin umgehend gelöscht werden.
• Webseitenbetreiber und Unternehmen müssen personenbezogene Daten sicher aufbewahren und löschen, wenn sie sie nicht mehr benötigen.

Was passiert, wenn man die Regelungen missachtet?

Die Datenschutz­behörde der EU-Mitglieds­staaten kontrolliert ab Mai 2018, ob die EU-DSGVO eingehalten wird. Entspricht die Verarbeitung der Daten in den Unternehmen nicht der neuen E-Privacy-Verordnung, weil ein Unternehmen beispielsweise keine Einwil­ligung einholt, droht ein Bußgeld. Das kann teuer werden: Im schlimmsten Fall beträgt es 20 Millionen Euro oder vier Prozent des Jahres­um­satzes – je nachdem, was höher liegt.

Die Bußgelder der EU-Datenschutz­behörde sind das eine. Verstöße gegen die EU-DSGVO könnten jedoch noch weitere juristische Konsequenzen für Unternehmen haben. Gemäß Art. 82 Abs. 1 der neuen Datenschutz­ver­ordnung hat jede Person bei einem Verstoß gegen die DSGVO, durch die sie einen materiellen oder immate­riellen Schaden erleidet, einen Anspruch auf Schadens­ersatz. Und das gegen den Verant­wort­lichen des Verstoßes beziehungsweise des Auftrags­ver­ar­beiters.

Verstoß gegen DSGVO: Bußgeld und/oder Schadens­er­satz­klagen möglich

Damit dieser Anspruch auf Schadens­ersatz besteht, müssen folgende Voraus­set­zungen erfüllt sein:

• Es liegt ein Verstoß gegen die Datenschutz-Grundverordnung DSGVO vor,
• durch den Verstoß ist der Person ein materieller oder immaterieller Schaden entstanden,
• Das Verschulden liegt bei dem Verantwortlichen oder dem Auftragverarbeiter.

Nach Art. 82 Abs. 1 DSGVO können auch immate­rielle Schäden geltend gemacht werden, wenn zum Beispiel personen­be­zogene Daten Dritten zugänglich gemacht werden. Hierdurch muss kein direkter Vermögens­schaden, also materieller Schaden entstanden sein. Auch bei immate­riellem Schaden haben Geschädigte in der EU das Recht, Schmer­zensgeld zu verlangen.

Wichtig für Unternehmen, Betreiber von Online-Shops und Webseiten-Betreiber: Die Nachweis­pflicht liegt in diesem Fall bei den Verant­wort­lichen, nicht bei der klagenden Person. Unternehmen und ihre Datenschutz­be­auf­tragten müssen also im Zweifelsfall nachweisen, dass sie für den Umstand, durch den Schaden entstanden ist, nicht verant­wortlich sind.

Sie betreiben eine Website oder leiten ein Unternehmen und sind sich nicht sicher, ob Ihr Angebot dem neuen Datenschutzrecht vollständig entspricht? Speziell auf Datenschutzrecht geschulte Anwältinnen und Anwälte helfen Ihnen dabei, Ihr Angebot sicher und rechts­konform zu gestalten. Über die Anwaltssuche auf Anwalt­auskunft.de finden Sie schnell und einfach Experten im Datenschutz in Ihrer Nähe.