Derzeit findet in Köln die führende europäische digitale Medienkonferenz Dmexco statt. Während sich globale Marken, Verlage und führende Werbetechniker treffen, um Chancen und Herausforderungen in den digitalen Medien zu diskutieren, sind die in der Europäischen Union vorgeschlagenen neuen Datenschutzgesetze schnell zum heißesten Diskussionsthema geworden.
Dies ist Ihr Leitfaden zum Verständnis der Datenschutz-Grundverordnung (DSGVO) und ihrer Bedeutung für Sie.
Was ist die DSGVO?
Die Datenschutz-Grundverordnung ist der neue Rechtsrahmen, der die Datenschutzrichtlinie von 1995 ersetzen wird . Diese Richtlinie existiert seit zwei Jahrzehnten und legt zusammen mit den nationalen Datenschutzgesetzen derzeit Bestimmungen dafür fest, wie Unternehmen und öffentliche Stellen personenbezogene Daten von Nutzern in der Europäischen Union erheben, speichern und verwenden.
In diesen zwei Jahrzehnten ist die internetbasierte Wirtschaft zum Mainstream geworden und hat die Art und Weise verändert, wie Benutzerdaten von Unternehmen erfasst und verwendet werden – sowohl in Bezug auf Größe als auch Umfang, wodurch die ältere Richtlinie weitgehend obsolet wurde.
Nach jahrelangen Diskussionen und Verhandlungen wurde die DSGVO im April 2008 vom Europäischen Parlament und vom Europäischen Rat verabschiedet. Die neue Verordnung und Richtlinie wurden kurz darauf veröffentlicht. Die Verordnung tritt voraussichtlich im Mai 2018 in Kraft, sodass die betroffenen Organisationen ausreichend Zeit zur Vorbereitung haben.
Die neue Verordnung wird den Benutzern neue Zugriffsrechte auf Informationen einräumen, die Unternehmen über sie haben, Richtlinien für eine bessere Datenverwaltung und Informationssicherheit sowie eine neue Reihe von Bußgeldern bei Nichteinhaltung.
Muss es wissen
Wer wird betroffen sein: Jede Organisation, die Informationen über EU-Bürger sammelt
Wann: 25th Mai, 2018
Durchsetzungsbehörde: Das Büro des Informationskommissars im Vereinigten Königreich (ICO)
Organisationen, die unter die Kategorie der Datenverantwortlichen oder Datenverarbeiter fallen , müssen die neue Verordnung einhalten. Dies betrifft Startups, gemeinnützige Organisationen, Unternehmen – im Grunde alle.
Wichtig ist hierbei, dass die DSGVO keine rein europäische Angelegenheit ist , sondern jede Organisation betrifft, die Waren oder Dienstleistungen für Nutzer in der EU anbietet oder das Verhalten von Personen mit Wohnsitz in Europa überwacht, unabhängig davon, wo sich ihre Büros oder Datenserver befinden.
Die DSGVO umfasst sowohl personenbezogene als auch sensible Nutzerdaten. Zu den personenbezogenen Daten gehören beispielsweise Name, E-Mail-Adresse, Anschrift, IP-Adresse usw. sowie weitere Angaben, die üblicherweise bei der Registrierung erfasst werden. Sensible Daten umfassen unter anderem genetische Informationen, biometrische Daten, politische oder religiöse Ansichten und die sexuelle Orientierung.
Eine wichtige Änderung der neuen Verordnung besteht darin, dass sie im Gegensatz zur früheren Richtlinie auch die unter einem Pseudonym gespeicherten Nutzerdaten erfasst, sofern über das Pseudonym eine persönliche Identifizierung möglich ist.
Neue Benutzerrechte
Nach der vorherigen Regelung mussten Nutzer eine Auskunftsanfrage (Subject Access Request, SAR) stellen und 10 £ bezahlen, um Zugang zu den von einem Unternehmen über sie gespeicherten Daten zu erhalten. Gemäß der DSGVO sind Anfragen zu personenbezogenen Daten nun kostenlos . Darüber hinaus müssen diese Daten dem Nutzer innerhalb von 30 Tagen nach Eingang der Anfrage zur Verfügung gestellt werden.
Die Verordnung gewährt den Nutzern auch das Recht auf Löschung ihrer Daten unter bestimmten Umständen, unter anderem wenn die Daten unrechtmäßig oder ohne berechtigtes Interesse erhoben werden, wenn die Einwilligung widerrufen wird und wenn die Daten für den Zweck, für den sie erhoben wurden, nicht mehr erforderlich sind.
Datensicherheit und Compliance
Neben Richtlinien zur Datenerfassung und Benutzerrechten enthält die DSGVO auch Richtlinien zur Einrichtung und Gewährleistung festgelegter Datensicherheitsstandards, einschließlich Datenprüfung und -bewertung, Schutzrichtlinien und Dokumentation.
Eine Möglichkeit für Unternehmen, diese Anforderungen zu erfüllen, besteht in der Implementierung einer Data Security Posture Management (DSPM) -Strategie, die die kontinuierliche Identifizierung, Überwachung und Sicherung sensibler Daten in Cloud- und On-Premise-Umgebungen umfasst.
In den letzten Jahren kam es zu mehreren groß angelegten Datenschutzverstößen, unter anderem gegen Benutzerkontoinformationen von Unternehmen wie Yahoo und LinkedIn. Nach der DSGVO sind Unternehmen nun für „Zerstörung, Verlust, Veränderung, unbefugte Offenlegung oder Zugriff auf“ Benutzerdaten verantwortlich.
Im Falle eines Datenverlusts oder einer Datenschutzverletzung müssen Organisationen die Regierung innerhalb von 72 Stunden, nachdem sie von dem Vorfall erfahren haben, informieren, in der darauffolgenden Zeit mit den Aufsichtsbehörden zusammenarbeiten und möglicherweise rechtliche Schritte einleiten.
Startups verzichten in der Regel auf die Sorgfaltspflicht bei der Datenerfassung und -sicherheit zugunsten von Geschwindigkeit und Skalierung. Dies wird nicht mehr ohne Bußgelder möglich sein.
Für Organisationen mit mehr als 250 Mitarbeitern ist eine Dokumentation darüber, warum Benutzerinformationen erfasst werden, wo und wie lange sie gespeichert werden, sowie technische Daten mit detaillierten Angaben zu den getroffenen Sicherheitsmaßnahmen obligatorisch. Große Organisationen müssen möglicherweise auch speziell einen „Datenschutzbeauftragten“ einstellen, der die Einhaltung der Richtlinien überwacht und sicherstellt.
Geldbußen
Einer der am meisten diskutierten Aspekte der DSGVO ist die damit verbundene neue Bußgeldregelung. Bußgelder können mittlerweile sowohl bei kleinen als auch bei großen Verstößen erhoben werden.
Haben Sie keinen Datenschutzbeauftragten eingestellt, als die DSGVO es verlangte? Ihnen kann eine Geldstrafe auferlegt werden. Gab es eine Sicherheitsverletzung? Dafür gibt es ein Bußgeld. Unvollständige Dokumentation? Geldstrafe verhängt. Du hast die Idee. Und anders als bei der früheren Richtlinie können die Geldstrafen erheblich sein.
Bei kleineren Verstößen drohen Unternehmen Bußgelder in Höhe von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Umsatzes der Organisation, je nachdem, welcher Betrag höher ist. Bei schwerwiegenderen Verstößen können Bußgelder bis zu fast dem Doppelten dieses Betrags verhängt werden. Dies ist ein großer Fortschritt gegenüber der Obergrenze von 500,000 £, die in der vorherigen Datenschutzrichtlinie galt.
Allerdings hat ICO klar zum Ausdruck gebracht, dass es „das Zuckerbrot der Peitsche vorzieht“ und seinen Teil dazu beigetragen, die Panik in der Branche zu beruhigen.
„Es ist Panikmache, zu behaupten, dass wir bei geringfügigen Verstößen frühzeitig an Organisationen statuieren oder dass Höchststrafen zur Norm werden“, schrieb Elizabeth Denham, die britische Informationskommissarin, kürzlich in einem Blogbeitrag.
Shubham ist ein digitaler Vermarkter mit umfangreicher Erfahrung in der Werbetechnologiebranche. Er verfügt über umfassende Erfahrung in der Programmbranche und leitet Geschäftsstrategien und Skalierungsfunktionen, einschließlich, aber nicht beschränkt auf, Wachstum und Marketing, Betrieb, Prozessoptimierung und Vertrieb.
