Pflichten sind unter anderem ein Verzeichnis der Verarbeitungen, technische Schutzmassnahmen und das Wahren von Betroffenenrechten.
Wie funktioniert die DSGVO in der Praxis?
Die DSGVO verlangt von jedem Unternehmen, das personenbezogene Daten verarbeitet, eine Rechtsgrundlage für jede Verarbeitung, technische und organisatorische Massnahmen zum Schutz dieser Daten, und die Fähigkeit, Betroffenenrechte wie Auskunft oder Löschung fristgerecht zu erfüllen.
Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, muss der Verantwortliche laut Artikel 33 DSGVO die zuständige Aufsichtsbehörde grundsätzlich binnen 72 Stunden nach Kenntnisnahme informieren, sofern ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht. Bei einem hohen Risiko müssen zusätzlich die betroffenen Personen selbst informiert werden.
Wen betrifft die DSGVO, und wie steht das Schweizer nDSG dazu?
Die DSGVO betrifft jedes Unternehmen, das personenbezogene Daten von Personen in der EU verarbeitet, unabhängig vom eigenen Sitz und von der Unternehmensgrösse. Schweizer Unternehmen ohne EU-Bezug unterliegen stattdessen dem revidierten Datenschutzgesetz (nDSG), das seit dem 1. September 2023 gilt und in weiten Teilen an die DSGVO angelehnt ist, in Details aber abweicht.
So verlangt das nDSG von Unternehmen unter 250 Mitarbeitenden mit risikoarmer Verarbeitung kein Verzeichnis der Bearbeitungstätigkeiten, während die DSGVO hier strenger ist. Wer sowohl in der EU als auch in der Schweiz tätig ist, muss praktisch beide Regime gleichzeitig erfüllen.
Was müssen Sie konkret umsetzen?
Der Ausgangspunkt ist immer eine Bestandsaufnahme: Welche personenbezogenen Daten verarbeiten Sie, zu welchem Zweck und auf welcher Rechtsgrundlage. Daraus entsteht das Verzeichnis der Verarbeitungstätigkeiten, die Landkarte des Datenschutzes im Unternehmen. Darauf aufbauend werden technische und organisatorische Massnahmen, Prozesse für Betroffenenrechte und ein Meldeprozess für Datenschutzverletzungen entwickelt, der im Ernstfall die 72-Stunden-Frist einhalten kann.
- Verzeichnis der Verarbeitungstätigkeiten mit Rechtsgrundlagen
- Technische und organisatorische Massnahmen (TOM)
- Prozess für Betroffenenrechte: Auskunft, Löschung, Berichtigung
- Meldeprozess für Datenschutzverletzungen innerhalb von 72 Stunden
- Auftragsverarbeitungsverträge und Prüfung von Drittlandtransfers
Welche Fehler passieren bei der DSGVO-Umsetzung am häufigsten?
Der häufigste Fehler ist eine Datenschutzerklärung nach Muster, die nicht zu den tatsächlichen Verarbeitungen des Unternehmens passt. Fast ebenso häufig fehlt ein eingeübter Meldeprozess für Datenschutzverletzungen, sodass im Ernstfall die 72-Stunden-Frist aus Artikel 33 DSGVO nicht eingehalten werden kann.
Ein dritter Fehler ist die Annahme, ein Cloud-Anbieter übernehme automatisch alle Pflichten: Verantwortlich bleibt in aller Regel das Unternehmen selbst, auch wenn ein Dienstleister die Verarbeitung technisch durchführt.
Aufwand und Kostentreiber bei der DSGVO-Umsetzung
Der Aufwand hängt von der Anzahl und Sensibilität der verarbeiteten Datenkategorien ab, von der Anzahl der beteiligten Systeme und externen Dienstleister, die vertraglich erfasst werden müssen, und davon, ob bereits Prozesse für Betroffenenrechte und Meldungen existieren oder neu aufgebaut werden müssen. Unternehmen mit vielen historisch gewachsenen, ungeklärten Datenflüssen brauchen für die Bestandsaufnahme deutlich mehr Zeit als solche mit wenigen, klar dokumentierten Systemen.
Zusammenhang mit anderen Normen
Ein gelebtes ISMS nach ISO 27001 deckt einen grossen Teil der technischen und organisatorischen Massnahmen ab, die die DSGVO fordert. Ein Sicherheitsvorfall, der personenbezogene Daten betrifft, kann gleichzeitig eine Meldung nach DSGVO, nach NIS2 und, im Finanzsektor, nach DORA erforderlich machen, da sich die Meldefristen der drei Regime unterscheiden und parallel geprüft werden müssen.
Häufige Fragen
Wie hoch können Bussgelder nach der DSGVO ausfallen?
Artikel 83 DSGVO sieht zwei Stufen vor: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für leichtere Verstösse, bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes für schwerere Verstösse, je nachdem, welcher Betrag höher ist.
Wie viel Zeit habe ich, eine Datenpanne zu melden?
Nach Artikel 33 DSGVO grundsätzlich 72 Stunden nach Kenntnisnahme, sofern ein Risiko für die Rechte und Freiheiten der Betroffenen besteht. Ohne eingeübten Prozess ist diese Frist kaum einzuhalten.
Gilt für die Schweiz auch die DSGVO?
Nur, wenn ein Bezug zur EU besteht, etwa wenn Daten von Personen in der EU verarbeitet werden. Sonst gilt das revidierte Schweizer Datenschutzgesetz (nDSG), das seit dem 1. September 2023 in Kraft ist.
Brauchen wir einen Datenschutzbeauftragten?
Das hängt von Tätigkeit, Datenmenge und Grösse ab. Es gibt Fälle mit gesetzlicher Benennungspflicht und Fälle, in denen die Funktion freiwillig, aber sinnvoll ist.
Was ist ein Verzeichnis der Verarbeitungstätigkeiten?
Das nach DSGVO und, mit Ausnahmen für kleinere, risikoarme Verarbeitungen, nach nDSG geführte Verzeichnis aller Prozesse, in denen personenbezogene Daten verarbeitet werden, der Ausgangspunkt jeder weiteren Massnahme.
Quellen
- Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Artikel 33 und 83, Amt für Veröffentlichungen der Europäischen Union / EUR-Lex, 2016
- Das neue Datenschutzgesetz aus Sicht des EDÖB, Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), 2023