Die Bußgelder sind real — und nicht nur für große Techkonzerne
Die Behauptung, dass die DSGVO nur für Technologieriesen gilt, ist falsch. Betrachten Sie die tatsächlichen Durchsetzungsmaßnahmen:
- Portugiesische Arztpraxis: 150.000 Euro dafür, dass unbefugtes Personal Patientenakten einsehen konnte
- Dänisches Taxiunternehmen: 160.000 Euro dafür, dass Fahrgastdaten länger als erlaubt gespeichert wurden
- Rumänischer Betreiber: 130.000 Euro für unzureichende technische Sicherheitsmaßnahmen auf einer Website
- Bulgarische Kreditauskunftei: 500.000 Euro für eine Datenpanne, die Millionen betraf
Das Muster ist klar. Aufsichtsbehörden in der gesamten EU setzen die Vorschriften gegen Unternehmen jeder Größe durch. Unkenntnis der Verordnung ist kein Milderungsgrund.
Was die DSGVO eigentlich ist
DSGVO steht für Datenschutz-Grundverordnung (EU-Verordnung 2016/679). Sie trat am 25. Mai 2018 in Kraft und ersetzte die frühere Datenschutzrichtlinie von 1995.
Zwei Dinge machen die DSGVO ungewöhnlich im Vergleich zu den meisten EU-Verordnungen:
- Sie gilt unabhängig davon, wo Ihr Unternehmen ansässig ist. Wenn Sie personenbezogene Daten von EU-Bürgern verarbeiten, gilt die DSGVO — ob Sie in Berlin, Dublin oder New York sind.
- Sie auferlegt Unternehmen direkt Pflichten, nicht nur EU-Mitgliedstaaten.
Was „Verarbeitung" bedeutet
Die Verarbeitung umfasst im Wesentlichen jede Handlung, die Sie mit Daten vornehmen: Erfassen, Speichern, Lesen, Analysieren, Weitergeben an Dritte und Löschen. Wenn Ihre Website ein Kontaktformular hat, verarbeiten Sie Daten. Wenn Sie eine E-Mail-Liste haben, verarbeiten Sie Daten. Wenn Sie Google Analytics verwenden, verarbeiten Sie Daten (speziell indem Sie IP-Adressen an Google übermitteln).
Was „Personenbezogene Daten" umfasst
| Datentyp | Beispiele |
|---|---|
| Direkte Identifikatoren | Name, E-Mail-Adresse, Telefonnummer, nationale ID-Nummer |
| Online-Identifikatoren | IP-Adresse, Cookie-ID, Geräte-Fingerabdruck, Benutzerkonto-ID |
| Standortdaten | GPS-Koordinaten, Lieferadressen, Check-in-Daten |
| Berufliche Daten | Berufsbezeichnung + Arbeitgebername (wenn es eine bestimmte Person identifiziert) |
| Besondere Kategorien | Gesundheitsdaten, biometrische Daten, politische Meinungen, religiöse Überzeugungen |
Die 6 Rechtsgrundlagen für die Verarbeitung
Sie müssen für jede Verarbeitungstätigkeit eine gültige Rechtsgrundlage haben:
| Rechtsgrundlage | Wann sie gilt |
|---|---|
| Einwilligung | Die Person hat eine klare, spezifische, informierte und freiwillig erteilte Einwilligung gegeben |
| Vertrag | Die Verarbeitung ist zur Erfüllung eines Vertrags mit der Person erforderlich |
| Rechtliche Verpflichtung | Die Verarbeitung ist durch EU- oder nationales Recht vorgeschrieben |
| Lebenswichtige Interessen | Die Verarbeitung ist notwendig, um das Leben einer Person zu schützen |
| Öffentliche Aufgabe | Die Verarbeitung erfolgt im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt |
| Berechtigte Interessen | Ihre Interessen (oder die Dritter) überwiegen die Datenschutzinteressen der Person |
Die 5 Dinge, die jedes Kleinunternehmen haben muss
1. Eine Datenschutzerklärung auf Ihrer Website
Eine öffentlich zugängliche Datenschutzerklärung ist obligatorisch, wenn Sie personenbezogene Daten erheben. Sie muss erklären, welche Daten Sie erfassen, warum, auf welche Rechtsgrundlage Sie sich stützen, wie lange Sie sie aufbewahren, mit wem Sie sie teilen und welche Rechte die Person hat.
2. Ein Cookie-Einwilligungsmechanismus
Wenn Ihre Website nicht notwendige Cookies verwendet — Google Analytics, Meta Pixel, Hotjar, eingebettete YouTube-Videos — benötigen Sie ein Cookie-Banner, das eine Opt-in-Einwilligung einholt, bevor diese Cookies gesetzt werden. Vorangekreuzte Kästchen und „Durch das Weitersurfen stimmen Sie zu"-Formulierungen sind nach der DSGVO keine gültige Einwilligung.
3. Ein Prozess für die Bearbeitung von Betroffenenanfragen
Personen haben das Recht, Auskunft über ihre Daten zu erhalten, fehlerhafte Daten zu berichtigen, ihre Daten löschen zu lassen und ihre Daten zu portieren. Sie müssen innerhalb von 30 Tagen auf diese Anfragen antworten können.
4. Ein Datenpannen-Reaktionsplan
Bei einer Datenpanne haben Sie 72 Stunden Zeit, Ihre nationale Aufsichtsbehörde zu benachrichtigen, wenn die Panne ein Risiko für Personen darstellt.
5. Ein Verzeichnis von Verarbeitungstätigkeiten (Artikel 30)
Artikel 30 verlangt, dass Organisationen ein Verzeichnis ihrer Verarbeitungstätigkeiten führen. Eine Tabellenkalkulation, die jede Verarbeitungstätigkeit mit den Datenkategorien, der Rechtsgrundlage, der Aufbewahrungsfrist und etwaigen Auftragsverarbeitern auflistet, erfüllt diese Anforderung.
Die Bußgeldstruktur
| Verstoßstufe | Beispiele | Maximales Bußgeld |
|---|---|---|
| Verwaltungsverstöße | Versäumnis, Artikel-30-Aufzeichnungen zu führen, keinen Datenschutzbeauftragten zu ernennen wenn erforderlich | 10 Mio. € oder 2 % des weltweiten Umsatzes |
| Schwerwiegende Verstöße | Unzulässige Verarbeitung, Verletzung von Betroffenenrechten, unzulässige Datenübermittlung | 20 Mio. € oder 4 % des weltweiten Umsatzes |
Beginnen Sie mit einer rechtskonformen Datenschutzerklärung
Der einzige wichtigste Schritt, den die meisten Kleinunternehmen tun können, ist die Veröffentlichung einer DSGVO-konformen Datenschutzerklärung. Nutzen Sie den kostenlosen Datenschutzerklärungsgenerator auf dieser Website, um in weniger als fünf Minuten eine auf Ihr Unternehmen zugeschnittene Datenschutzerklärung zu erstellen.
Quellen: EU-Verordnung 2016/679 (DSGVO); EDPB-Durchsetzungs-Tracker; nationale Bußgeldregister der Aufsichtsbehörden (CNPD Portugal, Datatilsynet Dänemark).