DSGVO

Was verlangt die DSGVO von Unternehmen?

Im Kern: Personenbezogene Daten dürfen nur mit Rechtsgrundlage verarbeitet werden (etwa Vertrag, Einwilligung oder berechtigtes Interesse), Betroffene haben Rechte (Auskunft, Löschung, Datenübertragbarkeit), und die Verarbeitung muss dokumentiert und abgesichert sein. Zu den praktischen Pflichten gehören das Verzeichnis von Verarbeitungstätigkeiten, Auftragsverarbeitungsverträge mit Dienstleistern, technische und organisatorische Maßnahmen (TOMs) nach Stand der Technik sowie die Meldung von Datenpannen an die Aufsichtsbehörde binnen 72 Stunden.

Ein Datenschutzbeauftragter ist unter anderem dann Pflicht, wenn ein Unternehmen kernmäßig umfangreich personenbezogene Daten verarbeitet oder in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt sind.

Wo stolpern kleine Unternehmen am häufigsten?

Typische Schwachstellen sind veraltete oder kopierte Datenschutzerklärungen, fehlende Auftragsverarbeitungsverträge mit Cloud- und IT-Dienstleistern, unklare Löschkonzepte und nicht dokumentierte Verarbeitungen. Die häufigsten Fehler samt Abhilfe versammelt der DSGVO-Checkup für kleine Unternehmen.

Wie hängen DSGVO und IT-Sicherheit zusammen?

Eng: Artikel 32 DSGVO fordert die Sicherheit der Verarbeitung nach Stand der Technik - Verschlüsselung, Zugriffskontrolle, Wiederherstellbarkeit. Wer für NIS2 oder ein ISMS Sicherheitsmaßnahmen aufbaut, erfüllt damit zugleich zentrale DSGVO-Anforderungen; die Investition zahlt doppelt ein.