Die technologischen Ver\u00e4nderungen der letzten Jahre haben es erforderlich gemacht, dass das Europ\u00e4ische Parlament und der Rat die europ\u00e4ischen Datenschutzvorschriften angesichts des h\u00f6heren Risikos\u00a0angepasst\u00a0werden m\u00fcssen. Dies f\u00fchrt\u00a0zur neuen Allgemeinen Datenschutzverordnung (im Folgenden die\u00a0„Verordnung“).<\/p>\n
Die Verordnung gilt automatisch ab dem 25. Mai 2018 in allen Mitgliedstaaten, d.h. ohne Umsetzungsbedarf. In diesem Sinne mussten die Unternehmen bereits die notwendigen Ma\u00dfnahmen ergreifen.<\/p>\n
Die gr\u00f6\u00dfte Neuerung der Verordnung ist in zwei Punkten unterteilt:<\/p>\n
1) Das Prinzip der proaktiven Verantwortung:<\/strong><\/p>\n Der f\u00fcr die Verarbeitung Verantwortliche muss geeignete technische und organisatorische Ma\u00dfnahmen ergreifen, um die \u00dcbereinstimmung der Verarbeitung mit der Verordnung zu gew\u00e4hrleisten und nachweisen zu k\u00f6nnen. Nach diesem Prinzip m\u00fcssen Unternehmen analysieren, welche Daten sie f\u00fcr welche Zwecke verarbeiten und welche Art von Verarbeitungen sie durchf\u00fchren.<\/p>\n 2) Der Risikoansatz:<\/strong><\/p>\n Die Unternehmen m\u00fcssen Art, Umfang, Kontext und Zweck der Daten\u00a0analysieren,\u00a0sowie das Risiko f\u00fcr die Rechte und Freiheiten des Einzelnen definieren.<\/p>\n Dadurch gibt es Ma\u00dfnahmen f\u00fcr Daten, die ein\u00a0hohes Risiko f\u00fcr Rechte und Freiheiten darstellen\u00a0und andere, die an Ausma\u00df und Art des Risikos angepasst sind.<\/p>\n WEITERENTWICKLUNG DER BISHERIGEN GRUNDS\u00c4TZE:<\/strong><\/p>\n Im Allgemeinen f\u00fchrt die Verordnung keine neuen Grunds\u00e4tze ein, sondern adaptiert\u00a0die bereits bestehenden\u00a0Grunds\u00e4tze wiefolgt:<\/p>\n 1) Verbot ausser mit\u00a0Genehmigung<\/span>: Jede Verarbeitung personenbezogener Daten ist untersagt, es sei denn, sie ist ausdr\u00fccklich erlaubt. Mit der Verordnung gilt dieser Grundsatz des Verbots unterschiedslos f\u00fcr alle Arten von personenbezogenen Daten.<\/p>\n 2) Eingrenzung der Verarbeitung<\/span>: Unternehmen d\u00fcrfen Daten nur f\u00fcr bestimmte Zwecke erheben und bearbeiten. Daf\u00fcr\u00a0sollten die Ziele formuliert und ihre k\u00fcnftige Verwendung dokumentiert werden.<\/p>\n 3) Datenminimierung<\/span>: Es k\u00f6nnen nicht mehr Daten erhoben werden, als zur Erreichung des Zwecks erforderlich sind. Dadurch wird eine \u00fcberm\u00e4\u00dfige Datenerfassung vermieden.<\/strong><\/p>\n 4) Transparenz<\/span>: Die Informationen f\u00fcr die Betroffenen sollten pr\u00e4zise, transparent, verst\u00e4ndlich und leicht zug\u00e4nglich sein, in klarer und einfacher Sprache. Bisher war es nur pr\u00e4zise und transparent.<\/p>\n 5) Vertraulichkeit<\/span>: Unternehmen sind verpflichtet, die pers\u00f6nlichen Daten ihrer Kunden in technischer und organisatorischer Hinsicht vor Diebstahl zu sch\u00fctzen, was neue\u00a0ist. Bei Informationsdiebstahl ist es wichtig, dass die technischen und organisatorischen Schutzma\u00dfnahmen dem Risiko und der Art der gespeicherten Daten angemessen sind.<\/p>\n UNTERNEHMENSDELEGIERTE:<\/strong><\/p>\n Die Richtlinie 95\/46 bezieht sich auf die T\u00e4tigkeit der Datenschutzbeauftragten. Die Verordnung enth\u00e4lt jedoch Verpflichtungen f\u00fcr sie, wie die F\u00fchrung eines Registers der Verarbeitungst\u00e4tigkeiten und die Festlegung der Sicherheitsma\u00dfnahmen f\u00fcr die von ihnen durchgef\u00fchrten Verarbeitungen.<\/p>\n In Bezug auf Unternehmen sieht die Verordnung die Verpflichtung vor, auch wenn die Hauptt\u00e4tigkeit nicht mit der Datenverarbeitung zusammenh\u00e4ngt, einen Datenschutzbeauftragten zu benennen, wenn mindestens zehn Personen an der automatisierten Verarbeitung personenbezogener Daten beteiligt sind. Dies betrifft viele mittelst\u00e4ndische Unternehmen.<\/p>\n Dar\u00fcber hinaus sieht die Verordnung vor, dass die f\u00fcr die Verarbeitung verantwortliche Firma\/Institution einen Vertrag mit den Delegierten abschlie\u00dfen muss. In dieser\u00a0Verordnung wird auch der\u00a0Mindestinhalt dieser Vertr\u00e4ge festlegt.<\/p>\n Die Institutionen und Firmen\u00a0m\u00fcssen auch eine Risikobewertung der von ihnen durchgef\u00fchrten Verarbeitungen vornehmen, um feststellen zu k\u00f6nnen, welche Ma\u00dfnahmen sie anwenden m\u00fcssen. Die Art der Analyse h\u00e4ngt von den zu verarbeitenden Daten ab, aber gro\u00dfe Organisationen m\u00fcssen solche Analysen mit einer der bestehenden Risikoanalysemethoden durchf\u00fchren.<\/p>\n