Datenschutz-Grundverordnung (DSGVO)

Die Datenschutz-Grundverordnung (DSGVO) ist das umfassende Datenschutz- und Datensicherheitsgesetz der EU, das regelt, wie Organisationen personenbezogene Daten erheben, verarbeiten, speichern und schützen. Seit dem 25. Mai 2018 gilt die DSGVO für jede Organisation weltweit, die personenbezogene Daten von EU-Bürgern verarbeitet, und legt strenge Anforderungen sowie erhebliche Strafen bei Nichteinhaltung fest.

ISMS Copilot verfügt über spezifisches Wissen zu den DSGVO-Anforderungen. Sie können frameworkspezifische Fragen stellen, Richtlinien gemäß den DSGVO-Prinzipien generieren und die Compliance der Datenverarbeitung mit dem KI-Assistenten bewerten.

Wer benötigt DSGVO-Compliance?

Die DSGVO gilt für:

In der EU ansässige Organisationen, die personenbezogene Daten verarbeiten, unabhängig davon, wo die Verarbeitung stattfindet
Organisationen außerhalb der EU, die Waren oder Dienstleistungen für EU-Bürger anbieten oder deren Verhalten überwachen
Verantwortliche: Stellen, die Zweck und Mittel der Verarbeitung personenbezogener Daten festlegen
Auftragsverarbeiter: Stellen, die personenbezogene Daten im Auftrag der Verantwortlichen verarbeiten (Dienstleister, Anbieter)

Personenbezogene Daten umfassen alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen (Namen, E-Mail-Adressen, IP-Adressen, Standortdaten, Online-Kennungen, Gesundheitsdaten usw.).

Die DSGVO hat extraterritoriale Wirkung. Selbst wenn Ihre Organisation außerhalb der EU ansässig ist, müssen Sie die Vorschriften einhalten, wenn Sie Daten von EU-Bürgern verarbeiten.

Sieben Grundprinzipien

Die DSGVO legt sieben grundlegende Datenschutzprinzipien fest:

Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz: Daten rechtmäßig, fair und transparent für die betroffene Person verarbeiten
Zweckbindung: Daten nur für festgelegte, eindeutige und legitime Zwecke erheben
Datenminimierung: Nur Daten erheben, die angemessen, relevant und auf das notwendige Maß beschränkt sind
Richtigkeit: Sicherstellen, dass personenbezogene Daten korrekt und auf dem neuesten Stand sind
Speicherbegrenzung: Daten nur so lange in identifizierbarer Form speichern, wie es notwendig ist
Integrität und Vertraulichkeit: Daten vor unbefugter Verarbeitung, Verlust oder Beschädigung schützen
Rechenschaftspflicht: Die Einhaltung der DSGVO-Prinzipien nachweisen

Wichtige Anforderungen

Organisationen müssen mehrere verbindliche Maßnahmen umsetzen:

Rechtliche Grundlage für die Verarbeitung: Legale Gründe festlegen (Einwilligung, Vertrag, rechtliche Verpflichtung, berechtigtes Interesse, lebenswichtiges Interesse, öffentliche Aufgabe)
Datenschutzhinweise: Klare und zugängliche Informationen über Datenverarbeitungsaktivitäten bereitstellen
Erfüllung der Betroffenenrechte: Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch ermöglichen
Einwilligungsmanagement: Freiwillige, spezifische, informierte und eindeutige Einwilligungen einholen und dokumentieren, wenn erforderlich
Datenschutz-Folgenabschätzungen (DSFA): Bewertungen für risikoreiche Verarbeitungsaktivitäten durchführen
Meldung von Datenschutzverletzungen: Verstöße innerhalb von 72 Stunden an die Aufsichtsbehörden melden und betroffene Personen informieren, wenn erforderlich
Verzeichnis von Verarbeitungstätigkeiten: Umfassende Dokumentation aller Datenverarbeitungsvorgänge führen
Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen: Datenschutzmaßnahmen von Anfang an implementieren
Dienstleistermanagement: Datenverarbeitungsvereinbarungen mit Auftragsverarbeitern abschließen und Due-Diligence-Prüfungen durchführen

Betroffenenrechte

Die DSGVO gewährt Einzelpersonen umfangreiche Rechte in Bezug auf ihre personenbezogenen Daten:

Recht auf Information: Klare Informationen über die Datenverarbeitung
Recht auf Auskunft: Bestätigung und Kopien der eigenen Daten erhalten
Recht auf Berichtigung: Unrichtige oder unvollständige Daten korrigieren lassen
Recht auf Löschung („Recht auf Vergessenwerden“): Löschung unter bestimmten Umständen beantragen
Recht auf Einschränkung der Verarbeitung: Einschränkung der Nutzung der Daten verlangen
Recht auf Datenübertragbarkeit: Daten in einem strukturierten, gängigen Format erhalten
Recht auf Widerspruch: Widerspruch gegen die Verarbeitung aufgrund berechtigter Interessen oder für Direktmarketing einlegen
Rechte in Bezug auf automatisierte Entscheidungsfindung: Ausschließlich automatisierte Entscheidungen mit rechtlicher oder erheblicher Wirkung anfechten

Organisationen müssen auf Anträge von Betroffenen innerhalb eines Monats reagieren.

Besondere Kategorien und internationale Datenübermittlungen

Besondere Kategorien von Daten (sensible Daten wie Gesundheitsdaten, ethnische Herkunft, Religion, biometrische Daten) erfordern zusätzliche Schutzmaßnahmen und eine ausdrückliche Einwilligung oder eine andere spezifische rechtliche Grundlage.

Internationale Datenübermittlungen außerhalb der EU/EWR erfordern:

Einen Angemessenheitsbeschluss der Europäischen Kommission, ODER
Geeignete Garantien (Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften), ODER
Spezifische Ausnahmen für besondere Situationen

Datenschutzbeauftragte (DSB)

Organisationen müssen einen Datenschutzbeauftragten benennen, wenn sie:

Eine öffentliche Stelle sind
Eine umfangreiche systematische Überwachung durchführen
Besondere Kategorien von Daten in großem Umfang verarbeiten

Der Datenschutzbeauftragte berät zur Compliance, überwacht Datenschutzaktivitäten und dient als Ansprechpartner für Aufsichtsbehörden.

Strafen

Die DSGVO sieht gestaffelte Bußgelder vor:

Unterer Bereich (bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes): Verstöße gegen Pflichten von Auftragsverarbeitern, Anforderungen an den Datenschutzbeauftragten oder Zertifizierungsstellen
Oberer Bereich (bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes): Verstöße gegen Grundprinzipien, Betroffenenrechte, Regeln zur internationalen Datenübermittlung oder Nichtbefolgung von Anordnungen der Aufsichtsbehörde

Die Höhe der Bußgelder wird anhand der Schwere, Dauer, Absicht, getroffenen Abhilfemaßnahmen und der Zusammenarbeit mit den Behörden bestimmt.

Wie ISMS Copilot hilft

ISMS Copilot bietet umfassende Unterstützung für die DSGVO-Compliance:

Framework-spezifische Anleitung: Stellen Sie Fragen zu bestimmten DSGVO-Artikeln, Prinzipien oder Betroffenenrechten
Richtlinienerstellung: Erstellen Sie prüffähige Datenschutzrichtlinien, Datenaufbewahrungsrichtlinien und Verfahren für Betroffenenrechte
Lückenanalyse: Laden Sie bestehende Datenschutzdokumentationen hoch, um Lücken gegenüber den DSGVO-Anforderungen zu identifizieren
DSFA-Vorlagen: Erstellen Sie Rahmenwerke für Datenschutz-Folgenabschätzungen bei risikoreichen Verarbeitungen
Verzeichnis der Verarbeitungstätigkeiten: Erstellen Sie Artikel-30-Verzeichnisse der Verarbeitungstätigkeiten (VVT)
Dienstleistervereinbarungen: Entwickeln Sie DSGVO-konforme Datenverarbeitungsvereinbarungen
Planung für Datenschutzverletzungen: Erstellen Sie Incident-Response-Pläne mit DSGVO-Meldefristen
Arbeitsbereichsorganisation: Verwalten Sie DSGVO-Projekte separat von anderen Compliance-Initiativen

Die KI verfügt über direktes Wissen zur Struktur und den Anforderungen der DSGVO, sodass Sie in Ihren Anfragen auf bestimmte Artikel oder Rechte verweisen können.

Probieren Sie es aus: "Erstellen Sie ein Verfahren zur Beantwortung von Anträgen auf Datenauskunft (DSAR)" oder "Erstellen Sie eine DSGVO-konforme Datenschutzerklärung für eine SaaS-Anwendung"

Erste Schritte

Um mit der DSGVO-Compliance in ISMS Copilot zu beginnen:

Erstellen Sie einen dedizierten Arbeitsbereich für die DSGVO-Compliance
Bitten Sie die KI, Ihnen bei der Identifizierung Ihrer rechtlichen Grundlage für Verarbeitungstätigkeiten zu helfen
Generieren Sie grundlegende Richtlinien (Datenschutzerklärung, Datenaufbewahrung, Betroffenenrechte)
Erstellen Sie Artikel-30-Verzeichnisse der Verarbeitungstätigkeiten für Ihre Organisation
Laden Sie bestehende Datenschutzdokumentationen zur Lückenanalyse hoch
Entwickeln Sie ein DSFA-Rahmenwerk für risikoreiche Verarbeitungsaktivitäten
Erstellen Sie DSGVO-konforme Datenverarbeitungsvereinbarungen mit Dienstleistern gemäß Artikel 28-29