DSGVO-Bußgelder erreichen 4 % des weltweiten Umsatzes.

Die Datenschutz-Grundverordnung (DSGVO, Verordnung 2016/679) ist das EU-Datenschutzrecht, das regelt, wie Organisationen personenbezogene Daten von Personen im Europäischen Wirtschaftsraum (EWR) erheben, verarbeiten, speichern und übermitteln. Sie gilt für jede Organisation, die personenbezogene Daten von EU-Ansässigen verarbeitet, unabhängig vom Sitz der Organisation. Dazu zählen Unternehmen mit Sitz in der EU, Unternehmen außerhalb der EU, die EU-Ansässigen Waren oder Dienstleistungen anbieten, und Organisationen, die das Verhalten von EU-Ansässigen beobachten. Die DSGVO begründet Rechte für betroffene Personen, Pflichten für Verantwortliche und Auftragsverarbeiter sowie Durchsetzungsmechanismen mit Bußgeldern von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes.

DSGVO Article 30 verpflichtet Verantwortliche und Auftragsverarbeiter, ein schriftliches Verzeichnis von Verarbeitungstätigkeiten (VVT) zu führen. Für Verantwortliche muss es Namen und Kontaktdaten des Verantwortlichen, die Zwecke der Verarbeitung, Kategorien betroffener Personen und personenbezogener Daten, Kategorien von Empfängern, Übermittlungen in Drittländer samt Garantien, Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen enthalten. Für Auftragsverarbeiter muss das Verzeichnis den Namen jedes Verantwortlichen enthalten, in dessen Auftrag verarbeitet wird, sowie Kategorien der Verarbeitung, Drittlandübermittlungen und Sicherheitsmaßnahmen. Venvera führt Ihr Verzeichnis automatisch mit, während Sie Verarbeitungstätigkeiten dokumentieren, und exportiert es für Anfragen der Aufsichtsbehörde.

Eine Datenschutz-Folgenabschätzung (DSFA) nach DSGVO Article 35 ist ein Verfahren, um Datenschutzrisiken eines Vorhabens oder einer Verarbeitungstätigkeit zu erkennen und zu verringern. Eine DSFA ist verpflichtend, wenn die Verarbeitung voraussichtlich ein hohes Risiko für Personen mit sich bringt, etwa bei systematischem und umfassendem Profiling mit erheblichen Auswirkungen, bei umfangreicher Verarbeitung besonderer Datenkategorien und bei systematischer Überwachung öffentlich zugänglicher Bereiche. Eine DSFA muss die Verarbeitungsvorgänge beschreiben, Notwendigkeit und Verhältnismäßigkeit bewerten, Risiken für betroffene Personen einschätzen und Abhilfemaßnahmen benennen. Bleibt laut DSFA ein hohes Restrisiko, muss der Verantwortliche nach Article 36 die Aufsichtsbehörde konsultieren. Venvera stellt strukturierte DSFA-Vorlagen mit Risikobewertung und Maßnahmenverfolgung bereit.

DSGVO Article 33 verpflichtet Verantwortliche, eine Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden nach Bekanntwerden ihrer Aufsichtsbehörde zu melden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Die Meldung muss Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, Namen und Kontaktdaten des Datenschutzbeauftragten, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen enthalten. Ist eine Meldung binnen 72 Stunden nicht möglich, sind die Gründe für die Verzögerung anzugeben. Bringt die Verletzung voraussichtlich ein hohes Risiko für Personen mit sich, muss der Verantwortliche sie nach Article 34 zusätzlich unverzüglich den betroffenen Personen mitteilen.

Die DSGVO beschränkt Übermittlungen personenbezogener Daten in Länder außerhalb des EWR, sofern kein angemessenes Schutzniveau gewährleistet ist. Zu den Übermittlungsinstrumenten zählen Angemessenheitsbeschlüsse der Europäischen Kommission (wenn ein Drittland als angemessen geschützt gilt), von der Kommission erlassene Standardvertragsklauseln (SCC), von Aufsichtsbehörden genehmigte verbindliche interne Datenschutzvorschriften (BCR) sowie Ausnahmen für bestimmte Fälle nach Article 49. Seit dem Schrems-II-Urteil müssen Organisationen zusätzlich Transfer Impact Assessments (TIA) durchführen, um zu prüfen, ob das Recht des Empfängerlands ein im Wesentlichen gleichwertiges Schutzniveau bietet. Venvera erfasst alle Drittlandübermittlungen, dokumentiert für jede die Rechtsgrundlage und markiert Übermittlungen in Länder ohne Angemessenheitsbeschluss zur Durchführung eines TIA.

Die DSGVO gewährt betroffenen Personen acht zentrale Rechte: das Recht auf Information (Articles 13-14) über die Verarbeitung ihrer Daten, das Auskunftsrecht (Article 15) auf eine Kopie ihrer personenbezogenen Daten, das Recht auf Berichtigung unrichtiger Daten (Article 16), das Recht auf Löschung oder "Recht auf Vergessenwerden" (Article 17), das Recht auf Einschränkung der Verarbeitung (Article 18), das Recht auf Datenübertragbarkeit in einem maschinenlesbaren Format (Article 20), das Widerspruchsrecht gegen eine Verarbeitung auf Grundlage berechtigter Interessen oder für Direktwerbung (Article 21) und das Recht, keiner automatisierten Entscheidung einschließlich Profiling unterworfen zu werden (Article 22). Verantwortliche müssen Anfragen betroffener Personen binnen eines Monats beantworten, bei komplexen Anfragen verlängerbar um zwei Monate. Venvera hilft Ihnen, Betroffenenanfragen samt Fristen zu verfolgen und zu bearbeiten.

Die DSGVO sieht ein zweistufiges Sanktionssystem vor. Die untere Stufe (Article 83(4)) betrifft Verstöße gegen Pflichten von Verantwortlichen, Auftragsverarbeitern, Zertifizierungsstellen und Überwachungsstellen, mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Die obere Stufe (Article 83(5)) betrifft Verstöße gegen Verarbeitungsgrundsätze, Bedingungen der Einwilligung, Betroffenenrechte und Vorschriften zu Drittlandübermittlungen, mit Bußgeldern von bis zu 20 Millionen Euro oder 4 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Aufsichtsbehörden berücksichtigen dabei Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, Maßnahmen zur Schadensminderung, frühere Verstöße und den Grad der Zusammenarbeit mit der Behörde.

Ja. Venvera ist DSGVO-Compliance-Software und deckt Ihr Verzeichnis von Verarbeitungstätigkeiten, DSFA, Meldung von Datenschutzverletzungen und die Bearbeitung von Betroffenenanfragen ab. Sie erhalten einen zugeschnittenen Kontrollsatz, eine Gap-Analyse, die Ihre Bereitschaft an der Verordnung misst, und hinter jedem Article einen Arbeitsbereich für Nachweise. Weil Kontrollen über Rahmenwerke hinweg zugeordnet werden, füllen bereits vorhandene ISO-27001-Nachweise einen großen Teil Ihrer DSGVO-Ausgangslage vor. Beginnen Sie mit einem kostenlosen Compliance-Check, bevor Sie sich festlegen.