Datenschutz-Grundverordnung

Datenschutz-Grundverordnung
User:Verdy p, User:-xfi-, User:Paddu, User:Nightstallion, User:Funakoshi, User:J · Public domain · source
Name	Datenschutz-Grundverordnung
Other names	DSGVO
Enacted	2016
Commenced	25 May 2018
Jurisdiction	European Union
Official language	EU treaties languages
Status	in force

Datenschutz-Grundverordnung ist die Verordnung (EU) 2016/679, die den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten in der Europäische Union und dem Europäischen Wirtschaftsraum regelt. Sie wurde nach Verhandlungen zwischen dem Europäisches Parlament, dem Rat der Europäischen Union und der Europäischen Kommission beschlossen und trat parallel zu Regelungen wie dem Konventübereinkommen 108 in Kraft. Die Verordnung beeinflusst Gesetze in Mitgliedstaaten wie Deutschland, Frankreich, Italien und Institutionen wie der Europäische Zentralbank sowie Unternehmen wie Google, Facebook und Amazon.

Hintergrund und Zielsetzung

Die Verordnung wurde in Reaktion auf Entwicklungen in Technologien wie World Wide Web, Cloud Computing, Big Data und Ereignisse wie den Enthüllungen durch Edward Snowden geschaffen, um Grundrechte aus der Charta der Grundrechte der Europäischen Union und dem Vertrag über die Arbeitsweise der Europäischen Union zu stärken. Ziel war die Harmonisierung des Datenschutzrechts zwischen Staaten wie Deutschland, Irland, Niederlande und Schweden und die Schaffung eines modernen Rechtsrahmens analog zu internationalen Abkommen wie dem WTO-Abkommen in wirtschaftlichen Fragen. Sie verfolgt Transparenzprinzipien, Rechenschaftspflichtprinzipien und Prinzipien, die auch in Dokumenten der Organisation für wirtschaftliche Zusammenarbeit und Entwicklung verfolgt werden.

Geltungsbereich und Begriffsbestimmungen

Die Verordnung gilt für Verarbeiter und Verantwortliche mit Sitz in der Europäische Union sowie für Anbieter außerhalb der EU, die Waren oder Dienstleistungen für Personen in Staaten wie Spanien, Polen, Tschechien oder Ungarn bereitstellen. Wichtige Begriffe sind "personenbezogene Daten", "Verarbeitung", "Verantwortlicher" und "Auftragsverarbeiter", die in Zusammenhang mit Institutionen wie Europol, EuGH und Unternehmen wie Microsoft angewendet werden. Der Anwendungsbereich interagiert mit nationalen Gesetzen in Ländern wie Österreich und internationalen Rechtsakten wie dem Privacy Shield-Konzept sowie mit Standards von Organisationen wie der ISO/IEC.

Rechte der betroffenen Personen

Betroffene Personen erhalten Rechte, die mit historischen und rechtlichen Bezugspunkten wie der Allgemeine Erklärung der Menschenrechte und dem Europäische Menschenrechtskonvention zusammenhängen; hierzu zählen Auskunftsrechte, Berichtigungsrechte, Löschungsrechte ("Recht auf Vergessenwerden"), Einschränkungsrechte und Datenübertragbarkeitsrechte. Diese Rechte werden gegenüber Verantwortlichen wie Deutsche Telekom, Vodafone, SAP und Auftragsverarbeitern wie Accenture geltend gemacht. In Fällen von Verletzungen sind Meldepflichten gegenüber Behörden wie der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit oder nationalen Stellen in Irland und Frankreich vorgesehen.

Pflichten von Verantwortlichen und Auftragsverarbeitern

Verantwortliche und Auftragsverarbeiter müssen technische und organisatorische Maßnahmen umsetzen, etwa mittels Risikobewertungen, Datenschutz-Folgenabschätzungen, Verzeichnissen von Verarbeitungstätigkeiten und Verarbeitungsverträgen mit Dienstleistern wie AWS, IBM oder Oracle. Verpflichtungen ergeben sich aus Vorgaben vergleichbar mit Compliance-Anforderungen in Institutionen wie der Weltbank oder dem Internationaler Währungsfonds, inklusive Meldepflichten, Dokumentationspflichten und der Pflicht zur Bestellung von Datenschutzbeauftragten in bestimmten Fällen, ähnlich wie in Konzernen Siemens oder Bayer.

Aufsichtsbehörden und Durchsetzung

Die Durchsetzung erfolgt durch unabhängige Aufsichtsbehörden in Mitgliedstaaten wie die Commission nationale de l'informatique et des libertés in Frankreich, die Data Protection Commission in Irland und die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit in Deutschland, koordiniert über den European Data Protection Board und schließlich kontrolliert durch den Europäische Gerichtshof. Diese Behörden arbeiten mit Institutionen wie Interpol oder zivilgesellschaftlichen Organisationen wie European Digital Rights zusammen, wenn grenzüberschreitende Aktivitäten betroffen sind.

Sanktionen und Bußgelder

Die Verordnung sieht administrative Sanktionen vor, darunter Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes für Verstöße, die Unternehmen wie Facebook, Google oder Apple betreffen könnten. Sanktionen werden gemäß Verfahrensregeln angewandt, wie sie auch in internationalen Strafverfolgungszusammenhängen mit Institutionen wie dem Europol oder Handelsstreitfällen mit der World Trade Organization abgestimmt werden können. Nationale Gerichte in Ländern wie Deutschland, Irland und Frankreich können Entscheidungen der Aufsichtsbehörden überprüfen.

Auswirkungen und Kritik

Die Verordnung hat weitreichende Auswirkungen auf Branchen wie Technologie, Finanzen und Medien, betroffen sind Unternehmen wie PayPal, Mastercard, Netflix und Plattformen wie Twitter oder LinkedIn, sowie Forschungseinrichtungen wie die Max-Planck-Gesellschaft und Universitäten in Oxford oder Sorbonne. Kritik stammt von Akteuren wie nationalen Behörden, Unternehmensverbänden und NGOs, die Regelungen für zu komplex oder innovationshemmend halten, während Datenschützer wie Vertreter von Amnesty International oder Reporters Without Borders stärkere Schutzmechanismen fordern. Debatten bestehen über internationale Datenflüsse, Abkommen wie Privacy Shield, Interoperabilität mit Regelungen in Vereinigte Staaten oder China und die Balance zwischen Sicherheitsinteressen von Institutionen wie Europol und Privatsphärenrechten.

Category:Europäische Union Category:Datenschutz