EU-Datenschutz-Grundverordnung: Fünf Änderungen, über die Unternehmer jetzt Bescheid wissen müssen

1. Erhöhte Bußgelder für juristische Personen
Alles dreht sich in der EU-DSGVO um personenbezogene Daten, zum Beispiel Kundeninformationen und wie diese zukünftig geschützt sein müssen. Erhält eine Datenschutzbehörde Kenntnis über einen Verstoß, so muss das Unternehmen laut Art. 83 EU-DSGVO Bußgelder von bis zu 20 Millionen Euro respektive 4 Prozent des weltweiten Firmenjahresumsatzes zahlen. Diese Summen werden dann aufgerufen, wenn beispielsweise ein Unternehmen das Recht auf Vergessenwerden verletzt. 2 Prozent des weltweiten Firmenjahresumsatzes oder eine Summe von bis zu 10 Millionen Euro werden fällig, wenn beispielsweise die Meldepflicht verletzt wird.

2. Natürliche Personen können haftbar gemacht werden
Zukünftig wird bei einer Datenschutzverletzung nicht nur die juristische Person, also das Unternehmen, zur Rechenschaft gezogen. Auch Sanktionsmöglichkeiten gegenüber Datenschutzbeauftragte, Mitarbeiter oder Geschäftsführern, also natürlichen Personen, ist vorgesehen. Laut § 42 DSAnpUG ist mit einer Freiheitsstrafe von bis zu drei Jahren zu rechnen.

3. Umfassendes Auskunftsrecht für Betroffene
Laut Art. 15 EU-DSGVO gilt ab sofort ein umfassendes Auskunftsrecht für Personen, deren Daten weiterverarbeitet werden. Dieses Vorgehen ist nicht neu und ist bereits in vergleichbarer Form in § 34 BDSG zu finden. Die Änderung: Betroffene dürfen zukünftig in elektronischer Form über die Daten Auskunft erhalten und diese übermittelt bekommen. Ferner darf eine Kopie der Daten verlangt werden. Unternehmer müssen also sicherstellen, dass sie jederzeit beantworten können, woher die Daten stammen, an wen sie übermittelt wurden und zu welchem Zweck die Daten der Betroffenen verarbeitet werden.

4. Datenpannen müssen gemeldet werden
Unternehmen müssen laut den Vorgaben des Art. 33 EU-DSGVO Datenpannen, bei der der Schutz von personenbezogenen Daten verletzt wurde, binnen 72 Stunden nach Bekanntwerden der Verletzung der Aufsichtsbehörde melden. Hierbei muss beispielsweise die Anzahl der Betroffenen, Name und Kontaktdaten des Datenschutzbeauftragen und die Folgen der Datenschutzverletzung genannt werden.

5. Datenschutzfolgenabschätzung
Sofern ein Datenverarbeitungsverfahren ein hohes Risiko für die Rechte der Betroffenen birgt, greift diese gänzlich neue Gesetzesregelung. Laut Art. 35 EU-DSGVO muss eine Datenschutzfolgenabschätzung erfolgen, die sich in drei Eskalationsstufen aufgliedert. Der erste Schritt ist die Überprüfung des Risikos für die Rechte und Freiheiten der Betroffenen. Ist ein Risiko vorhanden, so muss im zweiten Schritt eruiert werden, ob die geplanten Sicherheitsvorkehrungen zum Schutz der Daten ausreichen, sodass die EU-DSGVO eingehalten werden kann. Wenn dies nicht möglich sein sollte, so muss im letzten und dritten Schritt die Aufsichtsbehörde informiert werden, die eine Empfehlung ausspricht.

G DATA Managed Endpoint Security unterstützt bei der Einhaltung der EU-DSGVO
Um die Anforderungen der EU-DSGVO erfüllen zu können, gibt es eine Vielzahl von Fallstricke, die beachtet werden müssen – neben den oben genannten auch Aspekte der IT-Security. Schutzkomponenten für die IT-Infrastruktur müssen optimal aufeinander abgestimmt werden, damit ein einheitliches Konzept für die Überwachung der Netzwerkinfrastruktur gewährleistet wird. Hierbei kann G DATA mit der Managed Endpoint Security punkten und einen Layered Security-Ansatz bieten, der einen ausgefeilten proaktiven Schutz und regelmäßiges Reporting für Administratoren gewährleistet.

Was Unternehmer weiterhin in Erfahrung durch Änderungen wissen müssen und welche konkreten Handlungsmaßnahmen sich daraus ableiten, ist im G DATA Whitepaper „Die neue EU-Datenschutz-Grundverordnung – Was Unternehmen unbedingt wissen müssen“ nachzulesen.