DSGVO

Wen betrifft die DSGVO?

Die DSGVO gilt für jede Organisation, die personenbezogene Daten von Personen in der EU verarbeitet — unabhängig von der eigenen Größe oder dem eigenen Sitz. Schon ein einzelnes Mitarbeiterverzeichnis, eine Kundendatenbank oder ein Newsletter-Verteiler fällt darunter.

Personenbezogene Daten sind alle Angaben, die sich einer identifizierbaren Person zuordnen lassen: Name, E-Mail, IP-Adresse oder Standortdaten. Auch ein Kleinbetrieb mit wenigen Beschäftigten ist verpflichtet. Maßgeblich ist nicht die Mitarbeiterzahl, sondern die Tatsache, dass überhaupt personenbezogene Daten verarbeitet werden.

Welche Pflichten ergeben sich aus der DSGVO?

Die DSGVO verlangt, dass Sie jede Datenverarbeitung auf eine Rechtsgrundlage stützen und sie nachvollziehbar dokumentieren. Daten dürfen nur für festgelegte Zwecke und nur so lange wie nötig gespeichert werden.

• Verzeichnis aller Verarbeitungstätigkeiten führen
• Betroffenenrechte erfüllen (Auskunft, Löschung, Berichtigung)
• Angemessene technische und organisatorische Maßnahmen umsetzen
• Datenpannen fristgerecht an die Aufsichtsbehörde melden
• Mit Dienstleistern einen Auftragsverarbeitungsvertrag schließen

Verstöße können empfindliche Bußgelder nach sich ziehen, deren Höhe sich am Umsatz orientiert.

DSGVO vs. ISO 27001 — wo liegt der Unterschied?

Die DSGVO ist ein Gesetz und für jede Organisation verbindlich. Sie schützt speziell personenbezogene Daten und die Rechte der Betroffenen.

ISO 27001 ist dagegen ein freiwilliger, zertifizierbarer Standard für Informationssicherheit insgesamt — er schützt alle schützenswerten Informationen, nicht nur personenbezogene. Ein nach ISO 27001 zertifiziertes Managementsystem erleichtert die DSGVO-Umsetzung erheblich, ersetzt sie aber nicht. Datenschutz und Informationssicherheit überschneiden sich, verfolgen jedoch unterschiedliche Schutzziele.