Datenschutz wird im Alltag häufig mit Cookiebannern verbunden. Oder mit langen Datenschutzerklärungen, die kaum jemand liest. Tatsächlich beginnt Datenschutz viel früher und reicht wesentlich weiter.

Sobald eine Organisation Informationen über identifizierte oder identifizierbare Menschen verarbeitet, stellt sich die Frage, ob, warum, wie lange, durch wen und unter welchen Bedingungen diese Daten verwendet werden dürfen. Genau darum geht es im europäischen Datenschutzrecht. Die österreichische Datenschutzbehörde beschreibt Datenschutz als Schutz der Informationen über eine Person und damit ihrer personenbezogenen Daten. (Österreichische Datenschutzbehörde)

Ein einfaches Modell lautet:

Person
↓
personenbezogene Daten
↓
Organisation verarbeitet sie
↓
Regeln, Rechte und Schutzmaßnahmen

Datenschutz soll also nicht verhindern, dass Unternehmen überhaupt mit Daten arbeiten. Ohne personenbezogene Daten wären viele alltägliche Vorgänge unmöglich: Bestellungen könnten nicht zugestellt, Mitarbeiter nicht bezahlt und Kundenkonten nicht betrieben werden.

Die entscheidende Frage lautet vielmehr:

Ist die konkrete Verarbeitung für einen bestimmten Zweck rechtmäßig, transparent und angemessen?

Datenschutz ist nicht dasselbe wie IT-Sicherheit

Die Begriffe überschneiden sich, lösen aber unterschiedliche Probleme.

Datenschutz fragt beispielsweise:

Dürfen wir diese Daten überhaupt erheben?

Warum benötigen wir sie?

Wie lange dürfen wir sie behalten?

Wer darf sie bekommen?

Welche Rechte hat die betroffene Person?

IT-Sicherheit fragt eher:

Wie verhindern wir unbefugten Zugriff?

Wie schützen wir Daten vor Verlust?

Wie verhindern wir Manipulation?

Wie halten wir Systeme verfügbar?

Die DSGVO verbindet beide Welten: Zu ihren Grundprinzipien gehört auch die Integrität und Vertraulichkeit personenbezogener Daten. Verantwortliche müssen angemessene technische und organisatorische Maßnahmen für deren Sicherheit treffen. (European Commission)

Ein Unternehmen kann deshalb technisch hervorragend abgesichert sein und trotzdem gegen Datenschutzregeln verstoßen.

perfekt verschlüsselte Daten
+
keine zulässige Verarbeitung
=
weiterhin Datenschutzproblem

Umgekehrt reicht eine rechtmäßige Verarbeitung nicht, wenn die Daten anschließend ungeschützt öffentlich im Internet liegen.

Was sind personenbezogene Daten?

Die zentrale Definition ist überraschend weit.

Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dabei muss der Name nicht unmittelbar in einem Datensatz stehen. Auch verschiedene Informationen, die zusammengenommen eine Person identifizierbar machen, können personenbezogene Daten sein. (European Commission)

Offensichtliche Beispiele sind:

Name,

Wohnadresse,

persönliche E-Mail-Adresse,

Telefonnummer,

Ausweisnummer.

Doch auch technische Kennungen können personenbezogen sein. Die Europäische Kommission nennt ausdrücklich unter anderem IP-Adressen, Cookie-IDs und Werbe-IDs von Mobilgeräten als Beispiele personenbezogener Daten. Auch Fotos, Standortdaten und Browserinformationen können einen Personenbezug besitzen. (European Commission)

Damit kann eine Website bereits personenbezogene Daten verarbeiten, obwohl sie überhaupt kein Registrierungsformular besitzt.

Besucher
↓
Webserver
↓
IP-Adresse
Zeitpunkt
angeforderte URL
Browserinformationen

Ob und wie lange solche Informationen tatsächlich personenbezogen bleiben, hängt vom konkreten Datensatz und Identifizierbarkeit ab. Das Grundprinzip ist aber wichtig: „Ich kenne den Namen nicht“ bedeutet nicht automatisch „keine personenbezogenen Daten“. (European Commission)

Nur natürliche Personen sind unmittelbar geschützt

Die DSGVO schützt personenbezogene Daten lebender natürlicher Personen. Informationen, die sich ausschließlich auf eine juristische Person beziehen – etwa eine reine Firmenregistrierungsnummer – fallen nicht allein deshalb unter den Begriff personenbezogener Daten. Ebenso nennt die Europäische Kommission eine allgemeine Adresse wie info@unternehmen.example als Beispiel, das für sich genommen nicht notwendigerweise personenbezogen ist. (European Commission)

Anders kann es aussehen bei:

max.mustermann@unternehmen.example

Denn diese Adresse bezieht sich auf eine identifizierbare Person.

Geschäftliche Daten sind also nicht automatisch datenschutzfrei, nur weil sie im beruflichen Kontext entstehen.

Was bedeutet „identifizierbar“?

Eine Person muss nicht direkt mit:

Vorname + Nachname

beschriftet sein.

Ein Datensatz könnte beispielsweise enthalten:

Kundennummer 48371
↓
separate Kundendatenbank
↓
Maria Beispiel

Solange eine Zuordnung mit zusätzlichen Informationen möglich ist, besteht grundsätzlich weiterhin ein Personenbezug.

Genau das führt zur wichtigen Unterscheidung zwischen Pseudonymisierung und Anonymisierung. (Europäischer Datenschutzausschuss)

Was ist Pseudonymisierung?

Bei einer Pseudonymisierung werden direkte Identifikatoren durch andere Kennungen ersetzt.

Aus:

Maria Beispiel

wird beispielsweise:

Teilnehmer 8472

Die Zuordnung könnte getrennt gespeichert werden:

8472
↓
separate Zuordnungstabelle
↓
Maria Beispiel

Dadurch sinkt das Risiko, dass jeder, der den eigentlichen Forschungs- oder Arbeitsdatensatz sieht, sofort erkennt, um welche Person es sich handelt.

Aber:

Pseudonymisierte Daten bleiben personenbezogene Daten, solange eine erneute Zuordnung möglich ist. Der Europäische Datenschutzausschuss stellt diesen Unterschied ausdrücklich klar. (Europäischer Datenschutzausschuss)

Pseudonymisierung ist deshalb eine Schutzmaßnahme – kein Weg, die DSGVO einfach auszuschalten.

Was ist Anonymisierung?

Bei einer wirksamen Anonymisierung ist die Verbindung zu einer bestimmten Person so beseitigt, dass die Person nicht mehr identifizierbar ist. Tatsächlich anonymisierte Daten gelten nicht mehr als personenbezogene Daten und fallen damit insoweit nicht mehr unter die DSGVO. (Europäischer Datenschutzausschuss)

Das klingt einfach, ist praktisch aber anspruchsvoll.

Ein Datensatz kann beispielsweise keine Namen enthalten und trotzdem Kombinationen wie:

Alter: 52
Ort: kleine Gemeinde
Beruf: Bürgermeister
Geschlecht: männlich

enthalten.

Vielleicht gibt es dort nur eine einzige Person, auf die alles zutrifft.

Name entfernt
≠
automatisch anonym

Anonymisierung muss deshalb den gesamten Identifikationskontext berücksichtigen und nicht lediglich eine Spalte namens „Name“ löschen. (European Commission)

Was bedeutet Verarbeitung?

Auch dieser Begriff ist sehr weit.

„Verarbeitung“ bedeutet keineswegs nur:

Daten analysieren.

Die DSGVO erfasst beispielsweise:

Erheben,

Erfassen,

Ordnen,

Speichern,

Verändern,

Auslesen,

Abfragen,

Verwenden,

Übermitteln,

Verknüpfen,

Einschränken,

Löschen

und Vernichten personenbezogener Daten. (European Commission)

Damit ist bereits:

E-Mail-Adresse
in Kundendatenbank speichern

eine Verarbeitung.

Ebenso:

Foto einer Person
auf Website veröffentlichen

oder:

IP-Adresse
im Serverlog speichern

oder sogar:

Papierdokument
mit personenbezogenen Daten
vernichten

Die Europäische Kommission nennt all diese Arten von Vorgängen als Beispiele für Verarbeitung. (European Commission)

Die DSGVO ist technologieneutral

Es spielt grundsätzlich keine Rolle, ob personenbezogene Daten in:

einer Cloud-Datenbank,

einer Excel-Datei,

einem CRM-System,

einem Video,

einem Papierordner

liegen. Auch strukturierte manuelle Datenverarbeitung kann von der DSGVO erfasst sein. (European Commission)

Datenschutz ist deshalb nicht nur ein IT-Thema.

Die gedruckte Bewerbungsmappe im Aktenschrank kann ebenso relevant sein wie die Bewerberdatenbank auf einem Server.

Wann gilt die DSGVO?

Für Unternehmen und Organisationen mit Niederlassung in der EU gilt die DSGVO grundsätzlich für personenbezogene Datenverarbeitungen im Rahmen ihrer Tätigkeit – unabhängig davon, ob die eigentliche technische Verarbeitung innerhalb oder außerhalb der EU stattfindet. Sie kann außerdem Unternehmen außerhalb der EU erfassen, wenn diese Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten in der EU beobachten. (European Commission)

Auch kleine Unternehmen sind nicht allein aufgrund ihrer Größe von der DSGVO ausgenommen. Für bestimmte Einzelpflichten existieren allerdings Voraussetzungen und Ausnahmen; beispielsweise benötigt nicht jedes kleine Unternehmen automatisch einen Datenschutzbeauftragten. (European Commission)

Der private Haushalt ist grundsätzlich etwas anderes

Die Datenschutzregeln gelten nicht in gleicher Weise für rein persönliche oder familiäre Tätigkeiten ohne beruflichen oder kommerziellen Zusammenhang.

Die Europäische Kommission nennt als Beispiel ein privates Adressbuch, das jemand verwendet, um Freunde zu einer privaten Feier einzuladen. (European Commission)

private Kontaktliste
für private Feier
→ Haushaltsbereich

Anders sieht es aus, sobald personenbezogene Daten im Zusammenhang mit:

Unternehmen,

Verein,

kommerzieller Website,

beruflicher Tätigkeit

verarbeitet werden.

Wer ist der Verantwortliche?

Eine der wichtigsten Fragen im Datenschutz lautet:

Wer entscheidet, warum und wie personenbezogene Daten verarbeitet werden?

Diese Stelle ist grundsätzlich der Verantwortliche, englisch „controller“.

Die österreichische Datenschutzbehörde formuliert es praktisch: Verantwortlicher ist, wer über die Zwecke – also das gewünschte Ergebnis – und die Mittel der Verarbeitung entscheidet. (Österreichische Datenschutzbehörde)

Beispiel:

Ein Onlineshop entscheidet:

Wir brauchen Kundendaten
↓
um Bestellungen abzuwickeln

und legt fest:

welche Daten erhoben werden,

welches Shopsystem verwendet wird,

wie die Prozesse grundsätzlich aussehen.

Der Shopbetreiber ist damit regelmäßig Verantwortlicher für diese Verarbeitung.

Was ist ein Auftragsverarbeiter?

Ein Auftragsverarbeiter, englisch „processor“, verarbeitet personenbezogene Daten im Auftrag eines Verantwortlichen und entscheidet nicht selbst über den eigentlichen Verarbeitungszweck.

Die österreichische Datenschutzbehörde nennt beispielsweise einen externen Dienstleister, der Daten nach Vorgaben seines Auftraggebers verarbeitet. Für diese Beziehung sieht Art. 28 DSGVO eine vertragliche Regelung der Auftragsverarbeitung vor. (Österreichische Datenschutzbehörde)

Vereinfacht:

Unternehmen
↓
entscheidet Zweck
↓
Verantwortlicher

Dienstleister
↓
verarbeitet nach Weisung
↓
Auftragsverarbeiter

Typische Konstellationen können – abhängig von der konkreten Ausgestaltung – etwa bei Hosting, Newsletterdiensten, Cloudsoftware oder externen IT-Dienstleistungen entstehen.

Entscheidend ist nicht die Überschrift im Vertrag, sondern die tatsächliche Rolle. Der Europäische Datenschutzausschuss betont entsprechend, dass Verantwortlicher und Auftragsverarbeiter anhand ihrer realen Funktionen und Entscheidungen bestimmt werden. (Europäischer Datenschutzausschuss)

Nicht jeder externe Dienstleister ist automatisch Auftragsverarbeiter

Das ist ein häufiger Denkfehler.

Nur weil eine andere Firma personenbezogene Daten erhält, bedeutet das nicht zwangsläufig:

Dienstleister
=
Auftragsverarbeiter

Vielleicht entscheidet diese Organisation für ihre Verarbeitung selbst über Zweck und wesentliche Mittel und ist deshalb eigener Verantwortlicher. In anderen Konstellationen können mehrere Organisationen gemeinsam Zwecke und Mittel bestimmen. Die Rollen müssen anhand der tatsächlichen Verarbeitung beurteilt werden. (Europäischer Datenschutzausschuss)

Jede Verarbeitung benötigt eine Rechtsgrundlage

Einer der wichtigsten Sätze der DSGVO lautet praktisch:

Personenbezogene Daten dürfen nicht einfach verarbeitet werden, weil sie technisch verfügbar oder geschäftlich interessant sind.

Für eine Verarbeitung benötigt der Verantwortliche eine passende Rechtsgrundlage. Art. 6 DSGVO kennt sechs grundlegende Möglichkeiten: Einwilligung, Vertrag beziehungsweise vorvertragliche Maßnahmen, rechtliche Verpflichtung, lebenswichtige Interessen, eine Aufgabe im öffentlichen Interesse beziehungsweise Ausübung öffentlicher Gewalt und berechtigte Interessen unter den dafür geltenden Voraussetzungen. (Europäischer Datenschutzausschuss)

Vereinfacht:

personenbezogene Daten
↓
bestimmter Zweck
↓
passende Rechtsgrundlage
↓
Verarbeitung

Einwilligung ist nur eine von mehreren Rechtsgrundlagen

Der vielleicht häufigste DSGVO-Irrtum lautet:

Für jede Verarbeitung brauche ich eine Einwilligung.

Nein.

Ein Onlineshop benötigt beispielsweise die Lieferadresse des Kunden, um dessen Bestellung zu liefern. Diese Verarbeitung kann notwendig sein, um den Vertrag zu erfüllen. Dafür muss der Händler nicht so tun, als könne der Kunde freiwillig auswählen:

Darf der Shop
meine Lieferadresse verwenden?

Ja / Nein

Wenn ohne Adresse keine vereinbarte Lieferung möglich ist, wäre eine angeblich jederzeit frei widerrufliche Einwilligung möglicherweise gar nicht die passende Grundlage. Der Europäische Datenschutzausschuss stellt ausdrücklich klar, dass Einwilligung nur eine der sechs Rechtsgrundlagen ist und eine andere Grundlage gewählt werden muss, wenn eine echte freie Wahl nicht besteht. (Europäischer Datenschutzausschuss)

Vertrag bedeutet aber nicht „alles ist erlaubt“

Auch die Vertragsgrundlage besitzt Grenzen.

Die Verarbeitung muss für die Vertragserfüllung notwendig sein.

Lieferadresse
→ nötig für Lieferung

bedeutet nicht automatisch:

komplettes Surfverhalten
→ nötig für Lieferung

Der EDPB betont, dass ein Vertrag nicht künstlich verwendet werden darf, um zusätzliche Datenverarbeitungen zu legitimieren, die für die eigentliche Leistung nicht erforderlich sind. (Europäischer Datenschutzausschuss)

Rechtliche Verpflichtung

Unternehmen müssen bestimmte Daten möglicherweise verarbeiten beziehungsweise aufbewahren, weil andere Gesetze dies verlangen.

Beispiele können je nach nationalem Recht etwa in:

Steuerrecht,

Sozialversicherung,

Buchhaltung

liegen.

Die Rechtsgrundlage „rechtliche Verpflichtung“ setzt voraus, dass eine entsprechende Verpflichtung aus Unions- oder nationalem Recht besteht. (Europäischer Datenschutzausschuss)

Lebenswichtige Interessen

Diese Rechtsgrundlage spielt vor allem in besonderen Notfällen eine Rolle.

Ein Beispiel des EDPB: Eine bewusstlose Person benötigt dringend medizinische Hilfe und personenbezogene Informationen müssen übermittelt werden, um deren Leben zu schützen. (Europäischer Datenschutzausschuss)

Sie ist kein allgemeines Ausweichargument für normale Geschäftsprozesse.

Öffentliches Interesse

Öffentliche Stellen und andere Organisationen können Verarbeitungen durchführen, wenn sie für eine gesetzlich vorgesehene Aufgabe im öffentlichen Interesse beziehungsweise in Ausübung öffentlicher Gewalt erforderlich sind. Auch diese Grundlage benötigt eine entsprechende rechtliche Basis. (Europäischer Datenschutzausschuss)

Berechtigte Interessen

Für bestimmte Verarbeitungen kann außerdem ein berechtigtes Interesse des Verantwortlichen oder eines Dritten in Betracht kommen.

Aber:

Unternehmen hat Interesse
→ nicht automatisch ausreichend

Es muss geprüft werden, ob die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Personen entgegenstehen. Der EDPB beschreibt deshalb eine notwendige Abwägung und weist darauf hin, dass Erwartungen und Auswirkungen für die betroffene Person berücksichtigt werden müssen. (Europäischer Datenschutzausschuss)

„Berechtigtes Interesse“ bedeutet also nicht:

Wir hätten die Daten gerne.

Wann ist eine Einwilligung gültig?

Wenn tatsächlich auf Einwilligung gesetzt wird, muss diese unter anderem:

freiwillig,

spezifisch,

informiert

und eindeutig

erteilt werden. Eine klare bestätigende Handlung ist erforderlich; vorangekreuzte Felder erfüllen dieses Prinzip nicht. Ebenso muss die Einwilligung grundsätzlich wieder widerrufen werden können, ohne dass daraus unzulässige Nachteile entstehen. (European Commission)

Das Prinzip:

echte Wahl
+
verständliche Information
+
klarer Zweck
+
aktive Zustimmung
+
Widerruf möglich

Fehlt die reale Wahl, kann Einwilligung die falsche Rechtsgrundlage sein.

„Wenn Sie die Website weiter nutzen, stimmen Sie zu“ ist nicht automatisch eine Einwilligung

Eine gültige Einwilligung setzt eine eindeutige bestätigende Handlung voraus. Schweigen, Untätigkeit oder bereits aktivierte Auswahlmöglichkeiten reichen dafür nicht ohne Weiteres. (European Commission)

Das wird im nächsten Artikel über Cookies und Tracking besonders relevant.

Eine Einwilligung gilt nur für den erklärten Zweck

Ein Nutzer stimmt beispielsweise zu:

Newsletter erhalten

Das bedeutet nicht automatisch:

Daten an Werbepartner verkaufen

oder:

umfangreiches Profil
für völlig andere Zwecke erstellen

Der Zweck muss ausreichend spezifisch sein. Bei einer auf Einwilligung gestützten neuen Verarbeitung für einen zusätzlichen Zweck kann eine neue Einwilligung notwendig werden. (Europäischer Datenschutzausschuss)

Widerruf macht frühere Verarbeitung nicht rückwirkend illegal

Eine Person kann ihre Einwilligung widerrufen. Die bis zu diesem Zeitpunkt auf einer gültigen Einwilligung beruhende Verarbeitung wird dadurch nicht automatisch rückwirkend unrechtmäßig. Nach dem Widerruf darf die Verarbeitung auf dieser Einwilligungsgrundlage jedoch nicht einfach weiterlaufen; bestehen keine andere zulässige Grundlage oder Aufbewahrungspflichten, müssen die entsprechenden Daten gegebenenfalls gelöscht werden. (European Commission)

Besondere Kategorien personenbezogener Daten

Nicht alle personenbezogenen Daten werden unter der DSGVO gleich behandelt.

Art. 9 stellt bestimmte Kategorien unter zusätzlichen Schutz. Dazu gehören Daten über:

rassische oder ethnische Herkunft,

politische Meinungen,

religiöse oder weltanschauliche Überzeugungen,

Gewerkschaftszugehörigkeit,

genetische Daten,

biometrische Daten zur eindeutigen Identifizierung,

Gesundheitsdaten

sowie Daten zum Sexualleben oder zur sexuellen Orientierung. (European Commission)

Für diese Daten gilt grundsätzlich ein Verarbeitungsverbot mit ausdrücklich geregelten Ausnahmen.

normale personenbezogene Daten
→ Art. 6 Rechtsgrundlage erforderlich

Bei besonderen Kategorien reicht diese Betrachtung allein nicht; zusätzlich müssen die Anforderungen von Art. 9 erfüllt sein. (European Commission)

„Sensibel“ im Alltag und Art. 9 sind nicht identisch

Die Zugangsdaten zum Firmenserver sind offensichtlich sicherheitskritisch.

Eine private Anschrift kann sehr vertraulich sein.

Das bedeutet aber nicht automatisch, dass sie zu den gesetzlich definierten „besonderen Kategorien personenbezogener Daten“ des Art. 9 gehört.

Der rechtliche Begriff besitzt eine bestimmte Aufzählung. (European Commission)

Datenschutz beginnt mit dem Zweck

Bevor eine Organisation Daten erhebt, sollte sie beantworten können:

Warum benötigen wir diese Daten?

Das ist das Prinzip der Zweckbindung.

Die Europäische Kommission fasst es so zusammen: Personenbezogene Daten dürfen für festgelegte Zwecke erhoben werden, und betroffene Personen müssen über diese Zwecke informiert werden. Eine unbestimmte Sammlung „für spätere mögliche Nutzung“ widerspricht diesem Grundgedanken. (European Commission)

Ein schlechter Zweck wäre:

Wir sammeln möglichst viele Daten,
falls wir sie irgendwann brauchen.

Ein wesentlich klarerer Zweck:

Wir speichern Lieferadresse und Kontaktdaten,
um diese Bestellung abzuwickeln.

Zweckänderungen sind nicht beliebig

Daten, die für einen bestimmten Zweck erhoben wurden, können nicht automatisch für jede spätere Idee verwendet werden.

Je nach ursprünglicher Rechtsgrundlage und neuer Nutzung muss geprüft werden, ob der neue Zweck mit dem ursprünglichen vereinbar ist beziehungsweise ob eine neue Rechtsgrundlage erforderlich wird. Die DSGVO berücksichtigt dabei unter anderem Zusammenhang, Erhebungskontext, Datenart, Auswirkungen auf Betroffene und bestehende Schutzmaßnahmen. (European Commission)

Datenminimierung: weniger ist häufig besser

Ein weiteres zentrales Prinzip lautet:

Nur personenbezogene Daten verarbeiten, die für den vorgesehenen Zweck tatsächlich notwendig beziehungsweise angemessen sind.

Die Europäische Kommission beschreibt Datenminimierung als Beschränkung auf angemessene, relevante und für den Zweck notwendige Daten. Wo möglich, sollen Prozesse sogar ohne personenbezogene Daten beziehungsweise mit anonymen Daten umgesetzt werden. (European Commission)

Ein Newsletterformular benötigt möglicherweise:

E-Mail-Adresse

Vielleicht optional:

Name

Aber warum sollte ein einfacher Newsletter zwingend verlangen:

Geburtsdatum,

Postanschrift,

Telefonnummer,

Beruf,

Familienstand?

„könnte irgendwann interessant sein“
≠
notwendig

Datenminimierung verbessert gleichzeitig Sicherheit

Jede gespeicherte Information kann:

versehentlich veröffentlicht,

gestohlen,

falsch verwendet,

veraltet

werden.

Wird eine Information nie erhoben, kann sie aus diesem System auch nicht entwendet werden.

weniger personenbezogene Daten
↓
weniger potentielle Schadensmasse

Das ist einer der Bereiche, in denen Datenschutz und IT-Sicherheit dasselbe Ziel unterstützen.

Richtigkeit

Personenbezogene Daten sollen mit Blick auf den Verarbeitungszweck korrekt und erforderlichenfalls aktuell sein. Unrichtige Daten müssen entsprechend berichtigt oder gelöscht werden. (European Commission)

Das ist nicht nur Bürokratie.

Eine falsche Anschrift kann eine Rechnung an die falsche Person schicken.

Eine veraltete Bankverbindung kann Zahlungen fehlleiten.

Eine fehlerhafte Bonitätsinformation kann wirtschaftliche Folgen haben.

Datenqualität ist deshalb ebenfalls Datenschutz.

Speicherbegrenzung

Personenbezogene Daten sollen nicht unbegrenzt gespeichert werden, nur weil Speicherplatz billig ist.

Die Aufbewahrungsdauer muss sich am Zweck und gegebenenfalls an rechtlichen Aufbewahrungspflichten orientieren. Die Europäische Kommission empfiehlt deshalb festgelegte Lösch- beziehungsweise Überprüfungsfristen. (European Commission)

Daten werden benötigt
↓
speichern
↓
Zweck entfällt / Frist endet
↓
löschen oder anonymisieren,
sofern keine andere Grundlage besteht

„Für alle Fälle behalten“ ist keine Aufbewahrungsstrategie

Ein Datenschutzkonzept sollte nicht lauten:

Kundendaten
→ für immer

Besser:

Welche Daten?
↓
Welcher Zweck?
↓
Welche gesetzliche Frist?
↓
Wann prüfen?
↓
Wann löschen?

Aufbewahrungsfristen können je nach Datenart sehr unterschiedlich sein. Datenschutz verlangt deshalb keinen universellen Löschzeitpunkt für alles, sondern eine begründete Speicherlogik. (European Commission)

Integrität und Vertraulichkeit

Personenbezogene Daten müssen angemessen gegen:

unbefugte Verarbeitung,

Verlust,

Zerstörung,

Beschädigung

geschützt werden. Die DSGVO verbindet Datenschutz damit unmittelbar mit technischen und organisatorischen Sicherheitsmaßnahmen. (European Commission)

Das kann je nach Risiko beispielsweise betreffen:

Zugriffsrechte,

MFA,

Verschlüsselung,

Backups,

Patchmanagement,

Logging,

Mitarbeiterprozesse.

Die DSGVO gibt hier nicht für jede Situation dieselbe technische Einkaufsliste vor. Maßnahmen müssen zum konkreten Risiko und Verarbeitungskontext passen.

Datenschutz durch Technikgestaltung

Privacy by Design beziehungsweise Datenschutz durch Technikgestaltung bedeutet, Datenschutz nicht erst nach Fertigstellung eines Systems hinzuzufügen.

Produktidee
↓
Datenflüsse planen
↓
Datenschutz berücksichtigen
↓
System bauen

statt:

System fertig
↓
„Wir brauchen noch DSGVO.“

Die Europäische Kommission nennt beispielsweise Pseudonymisierung und Verschlüsselung als mögliche Maßnahmen, die bereits bei der Gestaltung berücksichtigt werden können. (European Commission)

Datenschutzfreundliche Voreinstellungen

Privacy by Default bedeutet, dass ein System standardmäßig nur die für den jeweiligen Zweck notwendigen personenbezogenen Daten verarbeitet und Zugriffe beziehungsweise Sichtbarkeit möglichst entsprechend begrenzt.

Ein von der Kommission genanntes Beispiel ist ein soziales Netzwerk, dessen Nutzerprofile standardmäßig nicht unbegrenzt öffentlich sichtbar sind. (European Commission)

Das Grundprinzip lässt sich übertragen:

Standard:
nur notwendig

statt:

Standard:
alles sammeln und alles freigeben

Rechenschaftspflicht

Die DSGVO verlangt nicht nur, die Regeln einzuhalten.

Verantwortliche müssen ihre Einhaltung auch nachweisen können. Die Europäische Kommission bezeichnet diese Rechenschaftspflicht als einen Eckpfeiler der DSGVO. (European Commission)

Das verändert Datenschutz von:

„Wir machen das schon richtig.“

zu:

„Wir können erklären und dokumentieren,
warum wir es so machen.“

Deshalb spielen dokumentierte Zwecke, Rechtsgrundlagen, Verträge, Löschregeln, Risikobewertungen und Prozesse eine wichtige Rolle.

Die Datenschutzerklärung ist nur die sichtbare Spitze

Viele Websitebetreiber erleben Datenschutz hauptsächlich über die Datenschutzerklärung.

Sie ist wichtig, weil Betroffene transparent informiert werden müssen. Dazu gehören je nach Situation unter anderem Informationen darüber:

wer verantwortlich ist,

für welche Zwecke Daten verarbeitet werden,

welche Rechtsgrundlage verwendet wird,

wie lange gespeichert wird,

wer Daten erhält,

ob Drittlandtransfers stattfinden

und welche Rechte die Betroffenen besitzen. (European Commission)

Aber eine korrekte Datenschutzerklärung macht eine rechtswidrige Verarbeitung nicht legal.

„Wir erklären transparent,
dass wir alles unerlaubt speichern.“

ist keine Lösung.

Transparenz ergänzt eine zulässige Verarbeitung. Sie ersetzt sie nicht.

Eine Datenschutzerklärung sollte verständlich sein

Informationen müssen in präziser, transparenter, verständlicher und leicht zugänglicher Form sowie in klarer Sprache bereitgestellt werden. Die Europäische Kommission betont diese Anforderungen ausdrücklich. (European Commission)

Das bedeutet:

verständlich erklären

statt:

möglichst kompliziert formulieren,
damit es juristisch aussieht

Betroffene Personen besitzen eigene Rechte

Datenschutzrecht behandelt Menschen nicht nur als passive Datensätze.

Sie besitzen unter anderem Rechte auf:

Information,

Auskunft,

Berichtigung,

Löschung unter bestimmten Voraussetzungen,

Einschränkung der Verarbeitung,

Datenübertragbarkeit in den dafür vorgesehenen Fällen

und Widerspruch gegen bestimmte Verarbeitungen. (European Commission)

Die konkrete Anwendbarkeit eines Rechts hängt dabei von Verarbeitung und Rechtsgrundlage ab.

„DSGVO-Recht“
≠
immer bedingungsloser Anspruch

Das Recht auf Auskunft

Eine betroffene Person kann grundsätzlich erfahren, ob und welche personenbezogenen Daten über sie verarbeitet werden und weitere Informationen über diese Verarbeitung erhalten. (European Commission)

Für Unternehmen bedeutet das praktisch:

Auskunftsanfrage
↓
Wo liegen Daten dieser Person?
↓
Welche Systeme?
Welche Empfänger?
Welche Zwecke?

Wer nicht weiß, wo seine personenbezogenen Daten gespeichert sind, hat bereits organisatorisch ein Problem.

Recht auf Berichtigung

Sind personenbezogene Daten falsch oder unvollständig, können Betroffene deren Berichtigung verlangen. (European Commission)

Das passt unmittelbar zum Grundprinzip der Datenrichtigkeit.

Recht auf Löschung

Das berühmte „Recht auf Vergessenwerden“ ist kein universeller Knopf, mit dem jede Information jederzeit entfernt werden muss.

Eine Löschung kann insbesondere verlangt werden, wenn Daten beispielsweise für ihren Zweck nicht mehr benötigt werden oder ihre Verarbeitung unrechtmäßig ist. Andere rechtliche Pflichten können einer sofortigen Löschung entgegenstehen. (European Commission)

Beispiel:

Kunde:
„Bitte löschen Sie alles.“

Vielleicht können Marketingprofile gelöscht werden.

Bestimmte Rechnungsdaten müssen möglicherweise aufgrund gesetzlicher Pflichten weiterhin aufbewahrt werden.

Datenschutz bedeutet auch hier:

Datenkategorien und Zwecke getrennt betrachten.

Datenübertragbarkeit

Unter bestimmten Voraussetzungen können Betroffene personenbezogene Daten, die sie einem Verantwortlichen bereitgestellt haben, in einem strukturierten maschinenlesbaren Format erhalten beziehungsweise übertragen lassen. Dieses Recht ist insbesondere an bestimmte automatisierte Verarbeitungen auf Basis von Einwilligung oder Vertrag geknüpft. (Europäischer Datenschutzausschuss)

Es bedeutet nicht automatisch:

komplette interne Datenbank
kopieren

Widerspruch

Betroffene können in bestimmten Situationen einer Verarbeitung widersprechen. Besonders klar ist dies bei Direktwerbung; andere Widerspruchsrechte hängen von der jeweiligen Rechtsgrundlage und persönlichen Situation ab. (European Commission)

Wie schnell muss auf Betroffenenanfragen reagiert werden?

Die Europäische Kommission nennt grundsätzlich eine Antwortfrist von einem Monat. In bestimmten komplexen Fällen können die DSGVO-Regeln eine Verlängerung ermöglichen, über die die betroffene Person entsprechend informiert werden muss. (European Commission)

Deshalb braucht ein Unternehmen einen Prozess, der verhindert:

Auskunftsmail
↓
bleibt sechs Wochen
im allgemeinen Postfach liegen

Identität muss dabei ebenfalls geschützt werden

Ein Unternehmen sollte nicht auf eine vermeintliche Auskunftsanfrage reagieren, indem es umfangreiche personenbezogene Daten an einen Angreifer sendet, der lediglich den Namen des Kunden kennt.

Die Identität kann daher in angemessener Weise überprüft werden, wenn Zweifel bestehen. Die Europäische Kommission nennt entsprechende Identitätsprüfungen ausdrücklich als möglichen Bestandteil der Bearbeitung von Betroffenenanfragen. (European Commission)

Datenschutzrecht erzeugt hier zwei gleichzeitig gültige Ziele:

Betroffener bekommt seine Daten
+
Fremder bekommt sie nicht

Datenschutzbeauftragter: nicht automatisch für jedes Unternehmen

Der Begriff „DSGVO“ wird häufig mit der Vorstellung verbunden, jedes Unternehmen müsse sofort einen Datenschutzbeauftragten benennen.

Das stimmt so nicht.

Die Verpflichtung hängt von bestimmten Kriterien und Tätigkeiten ab. Die Europäische Kommission weist ausdrücklich darauf hin, dass für kleinere Unternehmen einzelne DSGVO-Pflichten – darunter in bestimmten Fällen die Bestellung eines Datenschutzbeauftragten – nicht automatisch gelten. (European Commission)

Daneben können nationale Regelungen relevant sein.

Datenschutz-Folgenabschätzung

Eine Datenschutz-Folgenabschätzung, oft DSFA beziehungsweise englisch DPIA genannt, ist nicht für jede einfache Datenverarbeitung erforderlich.

Sie ist vorgesehen, wenn eine geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Menschen zur Folge hat. Die Europäische Kommission nennt unter anderem großangelegte Verarbeitung sensibler Daten, systematische umfangreiche Bewertung beziehungsweise Profiling und großangelegte systematische Überwachung öffentlich zugänglicher Bereiche als typische Fälle. (European Commission)

Das Grundprinzip lautet:

neue Verarbeitung
↓
hohes Datenschutzrisiko?
↓
ja
↓
Risiken systematisch analysieren
↓
Schutzmaßnahmen planen

Die DSFA soll vor Beginn der betreffenden Verarbeitung erfolgen und ist keine reine Dokumentation im Nachhinein. (European Commission)

Datenschutzverletzung ist mehr als Hackerangriff

Eine „Verletzung des Schutzes personenbezogener Daten“ entsteht, wenn ein Sicherheitsvorfall zu einer Beeinträchtigung von:

Vertraulichkeit,

Integrität

oder Verfügbarkeit

personenbezogener Daten führt. (European Commission)

Das kann ein Hackerangriff sein.

Aber ebenso:

Laptop mit Kundendaten verloren

E-Mail an falschen Empfänger gesendet

Datenbank versehentlich gelöscht

Ransomware macht Personaldaten unzugänglich

Der EDPB weist ausdrücklich darauf hin, dass auch Verschlüsselung durch Ransomware eine Datenschutzverletzung darstellen kann, wenn personenbezogene Daten dadurch nicht mehr verfügbar sind. (Europäischer Datenschutzausschuss)

Nicht jede Datenschutzverletzung muss automatisch gemeldet werden

Der Verantwortliche muss Datenschutzverletzungen dokumentieren und das Risiko beurteilen. Ist eine Verletzung voraussichtlich mit einem Risiko für Rechte und Freiheiten natürlicher Personen verbunden, muss sie grundsätzlich ohne unangemessene Verzögerung und spätestens binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde gemeldet werden. (European Commission)

Bei einem voraussichtlich hohen Risiko für die betroffenen Personen kann zusätzlich deren Benachrichtigung erforderlich sein. (European Commission)

Das Schema lautet:

Sicherheitsvorfall
↓
personenbezogene Daten betroffen?
↓
Datenschutzverletzung
↓
Risiko bewerten
├── Meldung an Behörde nötig?
└── Information der Betroffenen nötig?

Die 72-Stunden-Regel bedeutet also nicht:

jeder IT-Fehler
→ immer innerhalb 72 Stunden melden

sondern setzt eine rechtliche Risikobewertung der konkreten Datenschutzverletzung voraus. (Europäischer Datenschutzausschuss)

Ein Auftragsverarbeiter meldet an den Verantwortlichen

Wenn ein Auftragsverarbeiter eine Datenschutzverletzung feststellt, besteht seine zentrale Meldepflicht gegenüber dem Verantwortlichen. Der Verantwortliche wiederum muss beurteilen, ob eine Meldung an die Aufsichtsbehörde beziehungsweise Betroffene erforderlich ist. (European Commission)

Deshalb gehören Meldewege auch in die organisatorische Planung einer Auftragsverarbeitung.

Datenschutz und Backup gehören zusammen

Ein Datenverlust kann datenschutzrechtlich relevant sein, weil nicht nur Vertraulichkeit, sondern auch Verfügbarkeit geschützt werden muss.

Ein vernünftiges Backup kann deshalb auch Datenschutzmaßnahme sein.

Festplatte defekt
↓
personenbezogene Daten verloren

ist ein anderes Risiko als:

Festplatte defekt
↓
sauberes Backup
↓
Daten wiederhergestellt

Backups wiederum müssen selbst geschützt werden, weil sie häufig genauso viele personenbezogene Daten enthalten wie das Produktivsystem.

Mehr Kopien sind nicht automatisch besserer Datenschutz

Ein CRM liegt:

auf Server A,

im Backup,

auf Notebook,

in Excel-Export,

im Cloudordner,

auf USB-Stick.

Damit steigt möglicherweise die Wiederherstellbarkeit.

Gleichzeitig steigt aber auch die Zahl der Orte, an denen Daten:

verloren,

gestohlen,

vergessen

werden können.

Datenschutz verlangt deshalb eine bewusste Balance aus Verfügbarkeit, Datenminimierung, Berechtigungen und Aufbewahrung. Die DSGVO verlangt sowohl Speicherbegrenzung als auch angemessene Integrität und Vertraulichkeit. (European Commission)

Eine Website verarbeitet mehr Daten, als man auf den ersten Blick sieht

Betrachten wir eine normale Unternehmenswebsite.

Sie besitzt:

Kontaktformular,

Webserver,

Analysesystem,

Newsletter,

eingebettete Medien.

Nun entstehen verschiedene Datenflüsse.

Besucher
├── Serverlogs
├── Kontaktformular
├── Webanalyse
├── Newsletter
└── externe Dienste

Jeder dieser Vorgänge muss separat betrachtet werden.

Kontaktformular

Ein Besucher schreibt:

Name,

E-Mail-Adresse,

Nachricht.

Das sind personenbezogene Daten.

Die Verarbeitung kann je nach Inhalt und Situation beispielsweise für eine vorvertragliche Anfrage oder eine andere passende Rechtsgrundlage notwendig sein. Welche Rechtsgrundlage tatsächlich passt, hängt vom konkreten Zweck ab. (Europäischer Datenschutzausschuss)

Der Fehler wäre, einfach pauschal neben jedes Kontaktformular zu schreiben:

Mit Absenden stimmen Sie
jeder Datenverarbeitung zu.

obwohl die Verarbeitung ohnehin notwendig ist, um die Anfrage zu beantworten.

Webserverlogs

Auch Serverlogs können personenbezogene Daten enthalten. Die Europäische Kommission nennt die Speicherung von IP-Adressen ausdrücklich als Beispiel einer Verarbeitung personenbezogener Daten. (European Commission)

Deshalb lohnt die Frage:

Welche Logdaten benötigen wir?

Warum?

Wie lange?

Wer kann darauf zugreifen?

Logging
≠
automatisch verboten

aber:

Logging
→ ebenfalls Datenverarbeitung

Webanalyse

Ein System zur Webanalyse kann Informationen über Nutzung, Seitenaufrufe und technische Kennungen verarbeiten. Browsing-Historie, IP-Adressen und Cookie-IDs können personenbezogene Daten sein. (Europäischer Datenschutzausschuss)

Welche Rechtsregeln für eine konkrete Analyselösung gelten, hängt jedoch nicht nur von der DSGVO ab. Für Cookies und ähnliche Technologien ist zusätzlich das europäische ePrivacy-Recht beziehungsweise seine nationale Umsetzung relevant. Die Europäische Kommission weist ausdrücklich darauf hin, dass für Cookies spezielle sektorspezifische Regeln hinzukommen. (European Commission)

Genau deshalb bekommt dieses Thema den nächsten eigenen Artikel.

Datenschutz ist nicht gleich Cookiebanner

Eine Website ohne Cookies kann weiterhin personenbezogene Daten verarbeiten.

Beispielsweise durch:

Kontaktformulare,

IP-Logging,

Nutzerkonten,

Bestellungen,

E-Mails.

Umgekehrt kann ein Cookie unterschiedliche Funktionen erfüllen, von technisch notwendiger Sitzungssteuerung bis zu Tracking und Profilbildung.

Datenschutz
> Cookiebanner

Ein Cookiebanner ist lediglich ein sichtbarer Teil bestimmter Web-Datenverarbeitungen.

Cloudanbieter

Wer personenbezogene Daten in einer Cloud speichert, muss unter anderem klären:

Welche Rolle hat der Anbieter?

Wo werden Daten verarbeitet?

Welche Unterauftragnehmer existieren?

Welche Sicherheitsmaßnahmen gelten?

Wer hat Zugriff?

Sind Übermittlungen außerhalb des Europäischen Wirtschaftsraums betroffen?

Die Informationspflichten der DSGVO umfassen ausdrücklich auch Empfänger und gegebenenfalls Übermittlungen außerhalb der EU. (European Commission)

Die technische und organisatorische Seite behandeln wir später ausführlicher unter Cloud-Sicherheit.

Datenschutz ist kein Verbot internationaler Datenverarbeitung

Die DSGVO verbietet nicht pauschal, Daten außerhalb der EU beziehungsweise des EWR zu verarbeiten.

Sie stellt aber zusätzliche Anforderungen an internationale Übermittlungen. Die konkrete Bewertung hängt von Zielland, Empfänger und eingesetztem Transfermechanismus ab.

Für einen Grundlagenartikel reicht das mentale Modell:

Daten bleiben im EWR
→ normale DSGVO-Prüfung

Daten verlassen den EWR
→ zusätzliche Transferprüfung

Die Informationspflicht gegenüber Betroffenen umfasst ebenfalls Angaben zu entsprechenden Drittlandübermittlungen. (European Commission)

Datenschutz ist ein Prozess, kein Dokument

Ein Unternehmen kann eine perfekte Datenschutzerklärung besitzen.

Wenn intern trotzdem:

jeder Zugriff auf alle Kundendaten hat,

alte Bewerbungen niemals gelöscht werden,

Excel-Dateien beliebig herumgeschickt werden,

keine Auftragsverarbeitungsverträge existieren,

Backups ungeschützt herumliegen,

hilft der Text auf der Website wenig.

Ein wirklicher Datenschutzprozess sieht eher so aus:

Verarbeitungen kennen
↓
Zwecke festlegen
↓
Rechtsgrundlagen bestimmen
↓
Daten minimieren
↓
Rollen und Dienstleister klären
↓
Schutzmaßnahmen festlegen
↓
Betroffene informieren
↓
Löschfristen definieren
↓
Rechte ermöglichen
↓
Risiken regelmäßig prüfen

Das folgt unmittelbar aus Zweckbindung, Datenminimierung, Speicherbegrenzung, Sicherheit und Rechenschaftspflicht der DSGVO. (European Commission)

Ein praktischer Datenschutz-Start für kleine Websites

Man muss nicht mit einem hundertseitigen Handbuch beginnen.

Zunächst sollte man wissen:

Welche personenbezogenen Daten
verarbeiten wir überhaupt?

Dann:

Woher kommen sie?

Warum brauchen wir sie?

Auf welcher Grundlage?

Wo liegen sie?

Wer bekommt sie?

Wann löschen wir sie?

Wie schützen wir sie?

Wer diese Fragen für jede relevante Verarbeitung sauber beantworten kann, besitzt bereits das Gerüst eines brauchbaren Datenschutzkonzepts. Die DSGVO-Grundsätze verlangen genau diese Verbindung aus Zweck, Rechtmäßigkeit, Minimierung, Speicherbegrenzung, Sicherheit und Nachweisbarkeit. (European Commission)

Beispiel: Newsletter

Ein Newsletterprozess könnte beispielsweise so analysiert werden:

Zweck:
Newsletter versenden

Daten:
E-Mail-Adresse
gegebenenfalls Name

Rechtsgrundlage:
passend bestimmen

Dienstleister:
Newsletteranbieter prüfen

Speicherfrist:
bis Abmeldung / weiterer zulässiger Grund

Transparenz:
Datenschutzinformation

Sicherheit:
Zugangsschutz

Wird auf Einwilligung gestützt, muss sie freiwillig, spezifisch, informiert und eindeutig sein und widerrufen werden können. (European Commission)

Beispiel: Kundenkonto

Zweck:
Konto und Bestellungen verwalten

Daten:
Kontakt- und Bestelldaten

Rechtsgrundlage:
insbesondere Vertrag,
soweit für Leistung notwendig

weitere Zwecke:
separat beurteilen

Dass der Kunde für den Kauf bestimmte Daten angibt, bedeutet nicht automatisch, dass dieselben Daten anschließend beliebig für weitere Marketing- oder Profilingzwecke verwendet werden dürfen. (Europäischer Datenschutzausschuss)

Beispiel: Bewerbungen

Ein Unternehmen benötigt bestimmte Informationen, um Bewerber beurteilen zu können.

Das bedeutet jedoch nicht automatisch:

jede Bewerbung
für die nächsten 30 Jahre speichern

Aufbewahrungsfristen müssen am Zweck und anderen rechtlichen Anforderungen ausgerichtet werden. Die Kommission verwendet gerade Bewerberdaten als Beispiel dafür, dass eine unverhältnismäßig lange Speicherung gegen das Prinzip der Speicherbegrenzung sprechen kann. (European Commission)

Beispiel: Besucherstatistik

Eine Website möchte wissen:

Welche Artikel werden gelesen?

Das ist ein legitimes geschäftliches Bedürfnis.

Nun folgt aber nicht automatisch:

Also dürfen wir
jede Person auf allen Websites verfolgen.

Man muss konkret klären:

Welche Daten werden benötigt?

Kann stärker aggregiert oder anonymisiert werden?

Werden Cookies oder ähnliche Technologien eingesetzt?

Welche Rechtsgrundlage und zusätzlichen ePrivacy-Regeln gelten?

Datenminimierung verlangt ausdrücklich, nur das für den Zweck Notwendige zu verarbeiten. (European Commission)

Datenschutzfreundliche Technik kann Aufwand reduzieren

Ein Prozess, der von Beginn an wenige Daten verarbeitet, benötigt später weniger:

Löschlogik,

Auskunftsrecherche,

Zugriffsverwaltung,

Datenschutzfolgenabschätzung,

Incident Response.

Daten nicht erheben
↓
nicht speichern
↓
nicht sichern
↓
nicht löschen
↓
können dort nicht gestohlen werden

Privacy by Design und Datenminimierung sind deshalb nicht nur rechtliche Prinzipien. Sie können Architektur vereinfachen. (European Commission)

Häufige Irrtümer über Datenschutz

„Seit der DSGVO darf man keine personenbezogenen Daten mehr speichern“

Falsch. Die DSGVO regelt, unter welchen Bedingungen personenbezogene Daten verarbeitet werden dürfen. Art. 6 enthält mehrere Rechtsgrundlagen. (Europäischer Datenschutzausschuss)

„Für alles brauche ich eine Einwilligung“

Nein. Einwilligung ist nur eine von sechs Rechtsgrundlagen des Art. 6. Vertragserfüllung, gesetzliche Verpflichtung und andere Grundlagen können je nach Fall einschlägig sein. (Europäischer Datenschutzausschuss)

„Wenn ich die Namen entferne, sind die Daten anonym“

Nicht automatisch. Kann eine Person mit zusätzlichen Informationen wieder identifiziert werden, sind die Daten regelmäßig nur pseudonymisiert und bleiben personenbezogen. (Europäischer Datenschutzausschuss)

„Eine IP-Adresse ist kein personenbezogenes Datum“

So pauschal falsch. Die Europäische Kommission und der EDPB führen IP-Adressen ausdrücklich als Beispiele personenbezogener Daten auf. (European Commission)

„Datenschutz betrifft nur Datenbanken“

Nein. Die DSGVO ist technologieneutral und kann auch strukturierte Papierunterlagen, Fotos, Videos und andere Verarbeitungsformen betreffen. (European Commission)

„Was öffentlich im Internet steht, darf ich beliebig verwenden“

Auch öffentlich verfügbare personenbezogene Informationen verlieren nicht automatisch ihren Schutz. Für eine Verarbeitung braucht es weiterhin einen konkreten Zweck und eine passende Rechtsgrundlage; bei besonderen Kategorien gelten zusätzliche Anforderungen. (Europäischer Datenschutzausschuss)

„Berechtigtes Interesse bedeutet, dass ein Unternehmen alles tun darf, was wirtschaftlich interessant ist“

Nein. Berechtigte Interessen setzen unter anderem eine Abwägung mit Interessen und Grundrechten der betroffenen Personen voraus. (Europäischer Datenschutzausschuss)

„Wenn die Datenschutzerklärung alles erwähnt, ist die Verarbeitung erlaubt“

Nein. Transparenz ist nur ein Datenschutzprinzip unter mehreren. Eine Verarbeitung braucht außerdem beispielsweise eine Rechtsgrundlage und muss Zweckbindung, Minimierung, Speicherbegrenzung und Sicherheitsanforderungen erfüllen. (European Commission)

„Verschlüsselte Daten unterliegen nicht mehr der DSGVO“

Verschlüsselung schützt Daten, entfernt aber nicht automatisch deren Personenbezug. Pseudonymisierte beziehungsweise anderweitig geschützte Daten bleiben personenbezogen, solange eine Identifikation weiterhin möglich ist. (European Commission)

„Jedes Unternehmen braucht einen Datenschutzbeauftragten“

Nein. Die Verpflichtung hängt von bestimmten Voraussetzungen ab; Unternehmensgröße allein beantwortet die Frage nicht. (European Commission)

„Jede Datenpanne muss innerhalb von 72 Stunden gemeldet werden“

Nicht jede Sicherheitsstörung. Eine Datenschutzverletzung muss risikobasiert beurteilt werden. Eine Meldung an die Aufsichtsbehörde ist grundsätzlich erforderlich, wenn die Verletzung voraussichtlich ein Risiko für Rechte und Freiheiten natürlicher Personen darstellt. (Europäischer Datenschutzausschuss)

„Datenschutzverletzung bedeutet immer Datenklau“

Nein. Auch Verlust, Veränderung oder Nichtverfügbarkeit personenbezogener Daten können eine Datenschutzverletzung sein. (Europäischer Datenschutzausschuss)

„Mit einem Cookiebanner habe ich die DSGVO erledigt“

Nein. Datenschutz betrifft sämtliche relevanten personenbezogenen Datenverarbeitungen einer Organisation. Cookies sind lediglich ein Teilbereich und unterliegen zusätzlich speziellen ePrivacy-Regeln. (European Commission)

Ein sinnvolles Datenschutzmodell

Die gesamte Logik lässt sich auf wenige Schritte reduzieren.

1. Daten identifizieren
↓
2. Zweck bestimmen
↓
3. Rechtsgrundlage bestimmen
↓
4. notwendige Daten begrenzen
↓
5. Rollen und Empfänger klären
↓
6. transparent informieren
↓
7. Zugriff und Sicherheit organisieren
↓
8. Speicher- und Löschregeln festlegen
↓
9. Betroffenenrechte ermöglichen
↓
10. Risiken und Änderungen laufend prüfen

Datenschutz funktioniert damit ähnlich wie gute Systemarchitektur: Erst verstehen, was das System tut und warum, dann Werkzeuge und Texte darum bauen.

Was du dir über personenbezogene Daten merken solltest

Personenbezogene Daten sind wesentlich mehr als Name und Adresse.

direkte Identifikation:
Name
Adresse

aber auch:

indirekte Identifikation:
IP-Adresse
Cookie-ID
Standort
Gerätekennung
Kombination mehrerer Merkmale

kann einen Personenbezug herstellen. (European Commission)

Pseudonymisierung verringert den direkten Bezug:

Name
↓
Kennnummer

ändert aber grundsätzlich nichts daran, dass weiterhin personenbezogene Daten vorliegen, wenn eine Re-Identifizierung möglich bleibt. Erst wirksame Anonymisierung kann Daten aus dem Anwendungsbereich der DSGVO herausführen. (Europäischer Datenschutzausschuss)

Was du dir über Rechtsgrundlagen merken solltest

Die Frage lautet nicht:

Hat der Nutzer überall
ein Häkchen gesetzt?

Sondern:

Warum verarbeiten wir diese Daten
und welche Rechtsgrundlage
passt zu genau diesem Zweck?

Art. 6 kennt mehrere Rechtsgrundlagen. Einwilligung ist nur eine davon. (Europäischer Datenschutzausschuss)

Das führt zu einer wichtigen praktischen Konsequenz:

Eine Einwilligung sollte nicht aus Gewohnheit verlangt werden, wenn die Verarbeitung tatsächlich auf einer anderen Rechtsgrundlage beruht.

Was du dir über Einwilligung merken solltest

Wo Einwilligung tatsächlich die Grundlage ist, braucht die Person eine echte Entscheidungsmöglichkeit.

freiwillig
+
spezifisch
+
informiert
+
eindeutige Handlung
+
widerrufbar

Das sind keine dekorativen Eigenschaften, sondern Voraussetzungen für eine wirksame Einwilligung. (European Commission)

Was du dir über Datenminimierung merken solltest

Nicht fragen:

Welche Daten könnten
wir sammeln?

Sondern:

Welche Daten benötigen wir
für diesen Zweck wirklich?

Die DSGVO verlangt, personenbezogene Daten auf das notwendige Maß zu begrenzen. (European Commission)

Das ist gleichzeitig eine der praktischsten Sicherheitsmaßnahmen überhaupt.

Was du dir über Verantwortlichkeit merken solltest

Wer über Zweck und wesentliche Mittel der Verarbeitung entscheidet, trägt grundsätzlich die Rolle des Verantwortlichen. Ein Auftragsverarbeiter verarbeitet Daten dagegen im Auftrag und unterliegt dafür eigenen Pflichten sowie den Anforderungen der Vereinbarung nach Art. 28. (Österreichische Datenschutzbehörde)

Die Rollen sollten geklärt werden, bevor ein externer Dienst personenbezogene Daten erhält.

Was du dir über Datenschutz und Sicherheit merken solltest

Datenschutz beantwortet:

Dürfen und sollen
wir diese Daten verarbeiten?

Sicherheit beantwortet:

Wie schützen wir die Daten,
die wir rechtmäßig verarbeiten?

Beides gehört zusammen. Die DSGVO verlangt ausdrücklich Integrität, Vertraulichkeit und angemessene technische sowie organisatorische Schutzmaßnahmen. (European Commission)

Deshalb gehören Themen wie Passwörter, MFA, Malware-Schutz, Backups und später Cloud-Sicherheit unmittelbar zu einem funktionierenden Datenschutzsystem.

Was du dir über Betroffenenrechte merken solltest

Die Daten gehören nicht im eigentumsrechtlichen Sinn einfach „dem Unternehmen“, nur weil sie in dessen Datenbank liegen.

Betroffene besitzen konkrete Rechte gegenüber dem Verantwortlichen, darunter insbesondere Information, Auskunft, Berichtigung und – unter den jeweiligen Voraussetzungen – Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. (European Commission)

Ein Datenschutzsystem muss deshalb nicht nur Daten speichern, sondern sie auch:

finden
berichtigen
exportieren
einschränken
löschen

können, wenn die gesetzlichen Voraussetzungen vorliegen.

Der zentrale Gedanke der DSGVO

Viele Einzelregeln werden verständlicher, wenn man sie auf eine einzige Frage zurückführt:

Kann die Organisation nachvollziehbar erklären, warum sie genau diese personenbezogenen Daten für genau diesen Zweck in genau dieser Form verarbeitet und angemessen schützt?

Daraus folgen fast automatisch:

Zweckbindung
↓
Datenminimierung
↓
passende Rechtsgrundlage
↓
Transparenz
↓
begrenzte Speicherung
↓
Sicherheit
↓
Betroffenenrechte
↓
Nachweisbarkeit

Diese sieben Grundprinzipien – Rechtmäßigkeit, Fairness und Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie die Rechenschaftspflicht – bilden nach der Europäischen Kommission das Fundament der DSGVO. (European Commission)

Der zentrale Merksatz lautet:

Datenschutz bedeutet nicht, möglichst viele Einwilligungen und Cookiebanner zu produzieren. Datenschutz bedeutet, personenbezogene Daten nur für nachvollziehbare und rechtmäßige Zwecke zu verarbeiten, nicht mehr davon zu erheben als nötig, sie angemessen zu schützen, nicht unbegrenzt aufzubewahren und den betroffenen Menschen Transparenz und Kontrolle über die Verarbeitung zu ermöglichen.