DSGVO steht für Datenschutz-Grundverordnung. Es handelt sich um ein EU-Gesetz („Verordnung“) zum Datenschutz und zur Privatsphäre für alle Personen in der Europäischen Union und im Europäischen Wirtschaftsraum. Hauptziel ist es, den Einzelpersonen mehr Kontrolle über ihre persönlichen Daten zu geben und das regulatorische Umfeld für Unternehmen zu harmonisieren.

Ein Datenschutzbeauftragter (DSB) muss ernannt werden, wenn: die Verarbeitung von einer öffentlichen Stelle oder Einrichtung durchgeführt wird; die Kerntätigkeit des Verantwortlichen oder des Verarbeiters Verarbeitungsvorgänge umfassen, die eine regelmäßige und systematische Überwachung der betroffenen Personen in großem Umfang erfordern; oder wenn die Kerntätigkeit eine Verarbeitung besonderer Kategorien von Daten (z. B. Gesundheitsdaten, rassische oder ethnische Herkunft usw.) oder Daten über strafrechtliche Verurteilungen und Straftaten in großem Umfang beinhalten. Ergänzend zu den Vorgaben der DSGVO ist nach dem deutschen BDSG ein DSB ebenfalls zu benennen, soweit ein Unternehmen in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt. Zudem ist die Bestellung eines DSB verpflichtend, sofern Verarbeitungsvorgänge vorliegen, die eine Datenschutz-Folgenabschätzung erfordern, also solche mit einem hohen Risiko für die Betroffenen.

Der Datenschutzbeauftragte (DSB) hat eine Kontrollfunktion und unterstützt Mitarbeiter sowie Kunden bei allen Fragen zur DSGVO. Er überwacht die Datenschutzstrategie und deren Umsetzung, um die Einhaltung zu gewährleisten. Der DSB ist Ihr Hauptkontakt für alle Fragen des Datenschutzes.

Die DSGVO gilt für Organisationen innerhalb der EU und Organisationen außerhalb der EU, die Waren oder Dienstleistungen anbieten oder das Verhalten von EU-Betroffenen überwachen. Sie gilt für alle Unternehmen, die die persönlichen Daten von in der Europäischen Union ansässigen Datensubjekten verarbeiten und halten.

Die DSGVO hat eine extraterritoriale Reichweite. Sie gilt für jede Organisation mit Sitz innerhalb der EU, unabhängig davon, ob die verarbeiteten Daten EU- oder Nicht-EU-Personen, wie z.B. aus den USA oder Australien, betreffen. Selbst wenn unser Unternehmen in der EU ansässig ist und Daten von Bürgern oder Einzelpersonen aus Nicht-EU-Ländern verarbeitet, unterliegt die Datenverarbeitung dennoch den DSGVO-Regeln.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Beispiele sind Name, E-Mail, Adresse, Telefonnummer, IP-Adresse und Standortdaten. Eine gehashte oder verschlüsselte E-Mail-Adresse, die bei Facebook Custom Audience hochgeladen wird, könnte für Facebook als personenbezogene Daten gelten, da sie sie mit der E-Mail-Adresse eines bestehenden Nutzers abgleichen können.

Unter der DSGVO müssen Organisationen eine klare und eindeutige Zustimmung von Einzelpersonen einholen, bevor sie deren Daten zu Marketing- oder Trackingzwecken verarbeiten. Das bedeutet, dass vorausgefüllte Kästchen oder Inaktivität nicht als Zustimmung gelten können.

Die Nichtbefolgung kann zu schweren Strafen führen, einschließlich Geldstrafen von bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes des Unternehmens (je nachdem, welcher Betrag höher ist). Neben finanziellen Strafen kann die Nichteinhaltung auch den Ruf einer Organisation schädigen. Viele bekannte Datenpannen bei Technologieunternehmen sprechen für sich selbst.