Worum geht es bei der DSGVO?

User sollen nach Auffassung des Gesetzgebers die Kontrolle darüber behalten, wie ihre Daten verwendet werden. Dies soll den Schutz ihrer garantierten Grundrechte sichern. Die Folge sind strenge Anforderungen an Datenverarbeitungsverfahren, Transparenz, Dokumentation und Nutzer-Zustimmung.

• Als Unternehmen sind Sie zur Einhaltung der DSGVO verpflichtet. Ansonsten drohen Strafen.
• Sie müssen Ihre Aktivitäten zur Verarbeitung personenbezogener Daten aufzeichnen und diese Aufzeichnungen regelmäßig kontrollieren.
• Dazu gehören einerseits persönliche Daten von Nutzern, die von Ihnen verwendet werden. Aber auch die Daten von Dritten, so genannten Datenverarbeitern, müssen Sie einbeziehen.

Dritte Datenverarbeiter können zum Beispiel Software-as-a-Service-Anbieter sein. Auch eingebettete Webseitenfunktionen gehören dazu, die Besucher auf Ihrer Website tracken und dazu Profile erstellen. Sie müssen jederzeit Rechenschaft darüber ablegen können, welche Art von Daten verarbeitet werden, zu welchem Zweck die Verarbeitung erfolgt und an welche Länder und Dritte die Daten übermittelt werden.

In vielen Fällen werden personenbezogene Daten an Organisationen oder Rechtsgebiete übermittelt, die außerhalb des Geltungsbereichs der DSGVO liegen oder von der DSGVO als unangemessen betrachtet werden. In dem Fall müssen Sie die User gezielt darüber informieren. Das betrifft auch die damit verbundenen Risiken.

Eine gültige Zustimmung ist nach den Richtlinien der DSGVO eine frei gegebene, spezifische, informierte und unmissverständliche Angabe der Wünsche des Nutzers. Sie muss in Form einer eindeutigen bestätigenden Handlung erfolgen. Als Beweis dafür, dass die Zustimmung tatsächlich erteilt wurde, müssen Sie solche Einverständniserklärungen aufbewahren. Regelungen dazu hat der Europäische Datenschutzausschuss (European Data Protection Board, EDPB) am 4. Mai 2020 verabschiedet. Das EDPB ist für die Anwendung der DSGVO in der gesamten EU zuständig und bildet die höchste Aufsichtsbehörde.

• Laut den EDPB-Guidelines drückt das Scrollen oder fortgesetzte Browsen auf einer Website noch keine gültige Zustimmung aus.
• Cookie-Banner dürfen keine vorangekreuzten Kontrollkästchen haben.
• So genannte Cookie-Walls (erzwungene Zustimmung) gelten als nicht datenschutzkonform.

Einzelpersonen haben dank DSGVO das „Recht auf Datenübertragbarkeit“, das „Recht auf Datenzugriff“ und das „Recht, vergessen zu werden“. Sie können eine früher erfolgte Zustimmung zur Speicherung ihrer Daten jederzeit zurückziehen.

• Auf Wunsch eines Nutzers muss der für die Datenverarbeitung Verantwortliche die persönlichen Daten der Person löschen. Voraussetzung dafür ist, dass die Daten für den Zweck, für den sie gesammelt wurden, nicht mehr erforderlich sind. 
• Kommt es in Ihrem Unternehmen zu Datenschutzverletzungen, müssen Sie die Datenschutzbehörden und die mit den Daten verknüpften Personen innerhalb von 72 Stunden darüber benachrichtigen.
• Sie sind verpflichtet, einen Datenschutzbeauftragten (DSB) einzusetzen. Er muss die Verarbeitung sensibler Daten überwachen und die Einhaltung der DSGVO in der gesamten Organisation sicherstellen.

• Wenn Ihre Website Besucher aus der EU hat, müssen Sie von jedem Nutzer das Einverständnis für die Nutzung personengebundener Daten einholen.
• Das betrifft auch Dienste Dritter wie Google oder Facebook, die auf Ihrer Seite integriert sind.

DSGVO-konform geht das nur so: Sie müssen dem Besucher vor der Verarbeitung personenbezogener Daten den Umfang und den Zweck Ihrer Datenverarbeitung in klarer Sprache beschreiben. Anschließend müssen Sie eine eindeutige Zustimmung des Nutzers einholen.

Informationen dieser Art müssen für die Besucher Ihrer Website jederzeit sichtbar bleiben. Sie können zum Beispiel Bestandteil Ihrer Datenschutzrichtlinien sein. Sie sind außerdem verpflichtet, Ihren Website-Besuchern auf benutzerfreundliche Weise die Änderung oder den Widerruf ihres Einverständnisses zu ermöglichen.

Sämtliche Einverständniserklärungen müssen protokolliert werden. Jegliche Nachverfolgung personengebundener Daten muss außerdem dokumentiert sein. Das gilt auch für die integrierten Dienste Dritter. Staaten, in die die Daten eventuell übermittelt werden, müssen angegeben werden.

Eine nützliche Hilfe kann die Cookiebot Consent Management-Plattform (CMP) sein. Sie können damit überprüfen, ob Ihre Website mit den Vorgaben der DSGVO bezüglich Tracking und Nutzer-Zustimmung konform ist.

• Cookiebot CMP ermöglicht Ihnen, sämtliches Tracking auf Ihrer Website zu überwachen und zu dokumentieren.
• Es zeigt Ihren Website-Besuchern außerdem alle DSGVO-relevanten Informationen an.
• Sämtliche Einverständniserklärungen der User werden automatisch eingeholt und protokolliert.

1. Bereiten Sie Ihr Unternehmen vor

Informieren Sie alle relevanten Personen in Ihrem Unternehmen über die Anforderungen der DSGVO. Führen Sie Mitarbeiterschulungen zu den Grundsätzen der Cybersicherheit, des Datenschutzes nach Plan und des Datenschutzes nach Vorgabe durch. Falls Sie mehr als 250 Mitarbeiter beschäftigen, müssen Sie einen Datenschutzbeauftragten (DSB) benennen.

2. Prüfen Sie Ihre Daten

Stellen Sie sicher, dass Sie wissen, wo sich alle Ihre Daten befinden, wer darauf Zugriff hat und über welche Geräte dies geschieht. Stellen Sie fest, wo personenbezogene Daten verarbeitet werden. Das schließt auch Drittverarbeiter ein. Dokumentieren Sie die Gründe für die rechtmäßige Verarbeitung und aktualisieren Sie die aktuellen Datenschutzrichtlinien.

3. Überprüfen Sie Ihre Service-Partner

Stellen Sie sicher, dass Servicepartner ebenfalls DSGVO-konform arbeiten oder einer gesetzlich zugelassenen Datengesetzgebung unterliegen. Das betrifft auf Ihre Website eingebettete Dienste oder Software-as-a-Service-Anbieter. Überprüfen Sie ihre internationalen Datenflüsse und dokumentieren Sie diese.

4. Holen Sie Einverständniserklärungen ein

Implementieren Sie Methoden zur Einholung, Erlangung und Aufzeichnung von Zustimmungen. Nur so befinden Sie sich in Übereinstimmung mit der DSGVO. Halten Sie klar fest, wozu jeder einzelne Nutzer seine Einwilligung gegeben hat. Geben Sie dem Nutzer die Möglichkeit, seine Einwilligung zu widerrufen oder zu ändern.

5. Beachten Sie die Datenrechte

Verwenden Sie Verfahren, die es Ihrem Unternehmen ermöglichen, die Rechte der betroffenen Nutzer umzusetzen. Sie müssen also Möglichkeiten zum Zugriff auf die persönlichen Daten, zu ihrer Berichtigung oder ihrer Löschung schaffen. Dokumentieren Sie, wie die Verfahren sowohl durch Kunden wie auch durch Mitarbeiter umgesetzt werden.

6. Bereiten Sie sich auf Datenschutzverletzungen vor

Stellen Sie sicher, dass Verfahren zur Aufdeckung, Untersuchung und Meldung von Datenschutzverletzungen vorhanden sind. Sie müssen in der Lage sein, die 72-Stunden-Frist der DSGVO für die Benachrichtigung einzuhalten.