Einhaltung der Datenschutz-Grundverordnung (DSGVO)
Die Datenschutz-Grundverordnung (DSGVO) ist eine europäische Datenschutz- und Datensicherheitsverordnung, die auf Unternehmen mit Sitz in der EU oder im EWR sowie auf ausländische Unternehmen anwendbar ist, die personenbezogene Daten von EU-Bürgern verarbeiten.
Die Datenschutz-Grundverordnung (DSGVO), die am 25. Mai 2018 in Kraft trat, revolutionierte die Datenschutzgesetze in Europa und weltweit. Als umfassender Rechtsrahmen verstärkt sie die Rechte von Personen in Bezug auf ihre personenbezogenen Daten erheblich und erlegt Organisationen, die solche Daten erheben, verarbeiten oder speichern, strenge Verpflichtungen auf.
Die DSGVO ist mehr als nur ein Rechtsdokument – sie erfordert robuste technische und organisatorische Maßnahmen, um die Einhaltung zu gewährleisten. Dieser Artikel bietet eine technische Analyse der DSGVO und erläutert ihre wesentlichen Aspekte, Bedeutung, Geltungsbereich sowie praktische Strategien zur Einhaltung.
Übersicht über die Datenschutz-Grundverordnung (DSGVO)
Die DSGVO ist eine Verordnung im EU-Recht zum Datenschutz und zur Privatsphäre in der Europäischen Union und im Europäischen Wirtschaftsraum. Sie zielt darauf ab, Einzelpersonen die Kontrolle über ihre personenbezogenen Daten zu geben und den Datenschutz in der gesamten EU zu vereinheitlichen. Die in Artikel 5 dargelegten Grundprinzipien der DSGVO legen fest, wie personenbezogene Daten verarbeitet werden müssen:
Das Rundschreiben konzentriert sich auf mehrere Schlüsselbereiche:
- Rechtmäßigkeit, Fairness und Transparenz: Personenbezogene Daten müssen rechtmäßig, fair und transparent verarbeitet werden. Das bedeutet, dass eine Rechtsgrundlage für die Verarbeitung vorhanden sein muss und die betroffenen Personen klar darüber informiert werden müssen, wie ihre Daten verwendet werden.
- Zweckbindung: Daten sollten für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer mit diesen Zwecken unverträglichen Weise weiterverarbeitet werden.
- Datenminimierung: Es dürfen nur personenbezogene Daten erhoben werden, die angemessen, relevant und auf das für die jeweiligen Verarbeitungszwecke erforderliche Maß beschränkt sind.
- Richtigkeit: Personenbezogene Daten müssen richtig und, soweit erforderlich, aktuell gehalten werden.
- Speicherbegrenzung: Personenbezogene Daten sollten in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nicht länger als für die jeweiligen Verarbeitungszwecke erforderlich ist, ermöglicht.
- Integrität und Vertraulichkeit (Sicherheit): Personenbezogene Daten müssen so verarbeitet werden, dass eine angemessene Sicherheit der personenbezogenen Daten gewährleistet ist, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor versehentlichem Verlust, Zerstörung oder Beschädigung, durch geeignete technische oder organisatorische Maßnahmen.
- Rechenschaftspflicht: Der Datenverantwortliche ist für die Einhaltung der oben genannten Grundsätze verantwortlich und muss diese nachweisen können.
Zu den wichtigsten Definitionen der DSGVO gehören:
- Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen. Umfasst Namen, Identifikationsnummern, Standortdaten, Online-Kennungen (wie IP-Adressen, Cookie-Daten) und Faktoren, die spezifisch für die physische, physiologische, genetische, mentale, wirtschaftliche, kulturelle oder soziale Identität dieser natürlichen Person sind.
- Besondere Kategorien personenbezogener Daten (sensible Daten): Daten, die Rasse oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person offenbaren. Diese Daten erfordern einen strengeren Schutz und eine ausdrückliche Einwilligung.
- Datenverantwortlicher: Die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmt.
- Auftragsverarbeiter: Eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
Wichtige Aspekte der Einhaltung der Datenschutz-Grundverordnung (DSGVO)
Die Einhaltung der DSGVO erfordert ein tiefgreifendes Verständnis und die Umsetzung technischer und organisatorischer Maßnahmen in verschiedenen Betriebsbereichen:
- Rechtsgrundlage für die Verarbeitung (Artikel 6):
- Technische Details: Organisationen müssen für jede Verarbeitungstätigkeit eine gültige Rechtsgrundlage identifizieren und dokumentieren. Diese bestimmt, wie Daten erfasst und genutzt werden dürfen. Obwohl dies nicht streng technisch ist, muss die technische Umsetzung von Datenerfassungsformularen (z. B. Webseitenformulare, App-Registrierung) mit der gewählten Rechtsgrundlage übereinstimmen, insbesondere im Hinblick auf die Einwilligung.
- Einwilligung: Wenn die Einwilligung die Rechtsgrundlage ist, müssen technische Mechanismen sicherstellen, dass die Einwilligung freiwillig, spezifisch, informiert und eindeutig ist (z. B. nicht angekreuzte Kästchen, granulare Einwilligungsoptionen für verschiedene Verarbeitungszwecke). Technische Protokolle müssen den Nachweis der Einwilligung erfassen und speichern (z. B. Zeitstempel, Benutzer-ID, Version der Datenschutzrichtlinie, die akzeptiert wurde). Die betroffenen Personen müssen außerdem in der Lage sein, ihre Einwilligung einfach und technisch unterstützt zurückzuziehen.
- Rechte der betroffenen Personen (Kapitel 3): Organisationen müssen über technische Mechanismen verfügen, um die Rechte der betroffenen Personen zu erfüllen:
- Recht auf Auskunft (Artikel 15): Technische Systeme müssen in der Lage sein, alle personenbezogenen Daten, die sich auf eine bestimmte betroffene Person beziehen, in einem strukturierten, gängigen und maschinenlesbaren Format abzurufen.
- Recht auf Berichtigung (Artikel 16): Technische Verfahren, die es betroffenen Personen ermöglichen, ungenaue personenbezogene Daten ohne unangemessene Verzögerung zu berichtigen.
- Recht auf Löschung („Recht auf Vergessenwerden“) (Artikel 17): Technische Möglichkeiten, personenbezogene Daten auf Anfrage sicher zu löschen, sofern keine zwingenden rechtlichen Gründe für die Aufbewahrung vorliegen. Dies umfasst das Entfernen der Daten aus allen aktiven Systemen, Backups und Archiven sowie die Dokumentation der Löschung.
- Recht auf Einschränkung der Verarbeitung (Artikel 18): Technische Maßnahmen, um personenbezogene Daten vorübergehend einzuschränken oder zu markieren, um eine weitere Verarbeitung zu verhindern, unter Beibehaltung der Daten.
- Recht auf Datenübertragbarkeit (Artikel 20): Technische Möglichkeiten zur direkten Übertragung personenbezogener Daten von einem Verantwortlichen zu einem anderen, soweit technisch machbar, in einem strukturierten, gängigen und maschinenlesbaren Format.
- Widerspruchsrecht (Artikel 21): Technische Mechanismen, die es betroffenen Personen ermöglichen, bestimmten Verarbeitungsaktivitäten zu widersprechen, insbesondere bei Direktwerbung.
- Datenschutz durch Gestaltung und durch Voreinstellung (Artikel 25):
- Technische Details: Datenschutzaspekte müssen bereits in den frühesten Phasen in die Konzeption und Architektur aller Systeme, Dienste und Produkte, die personenbezogene Daten verarbeiten, integriert werden.
- By Design: Dazu gehören die Anwendung von Grundsätzen wie Datenminimierung (Erhebung nur notwendiger Daten), Pseudonymisierung/Anonymisierung, soweit möglich (z. B. Hashing, Tokenisierung), sichere Standardkonfigurationen, robuste Zugriffskontrollen sowie Verschlüsselung (bei Ruhe und während der Übertragung unter Verwendung starker Algorithmen wie AES-256 für symmetrische Daten und TLS 1.2+ für Netzwerkkommunikation).
- Standardmäßig: Systeme sollten standardmäßig nur die für den jeweiligen Zweck erforderliche Mindestmenge an personenbezogenen Daten erheben und verarbeiten und standardmäßig die höchsten Datenschutzeinstellungen bieten.
- Sicherheit der Verarbeitung (Artikel 32):
- Technische Details: Verantwortliche und Auftragsverarbeiter müssen „geeignete technische und organisatorische Maßnahmen“ treffen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten. Dies erfordert:
- Pseudonymisierung und Verschlüsselung: Verwendung von Techniken wie Hashing, Tokenisierung oder starker Verschlüsselung zum Schutz von Daten.
- Vertraulichkeit: Zugriffskontrollen (rollenbasierte Zugriffskontrolle, Prinzip der geringsten Privilegien), Netzwerksegmentierung, Firewalls und sichere Konfigurationen.
- Integrität: Datenintegritätsprüfungen, sicheres Änderungsmanagement und Schutz vor unbefugten Änderungen.
- Verfügbarkeit und Ausfallsicherheit: Robuste Backup- und Wiederherstellungsverfahren, Business-Continuity-Pläne, Disaster-Recovery-Pläne sowie Redundanz, um den Zugriff auf personenbezogene Daten und Systeme im Falle eines Vorfalls sicherzustellen.
- Regelmäßige Tests: Regelmäßige Sicherheitsaudits, Schwachstellenanalysen und Penetrationstests von Systemen, die personenbezogene Daten verarbeiten, durchführen, um Schwachstellen zu identifizieren und zu beheben.
- Technische Details: Verantwortliche und Auftragsverarbeiter müssen „geeignete technische und organisatorische Maßnahmen“ treffen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten. Dies erfordert:
- Datenschutz-Folgenabschätzungen (DPIAs) (Artikel 35):
- Technische Details: Erforderlich für Verarbeitungen, die wahrscheinlich ein hohes Risiko für die Rechte und Freiheiten von Personen darstellen. Die DPIA bewertet Art, Umfang, Kontext und Zweck der Verarbeitung, identifiziert und bewertet Risiken und schlägt technische und organisatorische Maßnahmen zu deren Minderung vor. Dies umfasst häufig eine detaillierte technische Dokumentation der Datenflüsse, Sicherheitskontrollen und Risikoanalysen.
- Aufzeichnungen über Verarbeitungsaktivitäten (Artikel 30):
- Technische Details: Organisationen müssen detaillierte Aufzeichnungen über alle Verarbeitungsaktivitäten führen, einschließlich der Kategorien personenbezogener Daten, der Verarbeitungszwecke, der Aufbewahrungsfristen und einer allgemeinen Beschreibung der eingesetzten technischen und organisatorischen Sicherheitsmaßnahmen. Dies erfordert robuste Tools zur Datenkartierung und -inventarisierung.
- Benachrichtigung bei Datenschutzverletzungen (Artikel 33 und 34):
- Technische Details: Verantwortliche müssen die Aufsichtsbehörde „ohne unangemessene Verzögerung und, soweit möglich, spätestens 72 Stunden nach Kenntnisnahme“ über einen Verstoß gegen den Schutz personenbezogener Daten informieren. Wenn der Verstoß wahrscheinlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt, müssen auch diese benachrichtigt werden.
- Dies erfordert robuste Fähigkeiten zur Erkennung und Reaktion auf Vorfälle, darunter Security Information and Event Management (SIEM)-Systeme, forensische Fähigkeiten zur Ursachenanalyse und klare Kommunikationsprotokolle für interne und externe Stakeholder.
Warum ist die Einhaltung der Datenschutz-Grundverordnung (DSGVO) wichtig?
Die Einhaltung der DSGVO ist aus mehreren zwingenden Gründen entscheidend:
- Gesetzliche Verpflichtung und strenge Strafen: Der unmittelbarste Grund ist die Vermeidung hoher Geldstrafen. Die DSGVO sieht bei Nichtbeachtung erhebliche Geldbußen vor, bei schweren Verstößen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes des Unternehmens, je nachdem, welcher Betrag höher ist. Auch bei weniger schwerwiegenden Verstößen können die Geldstrafen bis zu 10 Millionen Euro oder 2 % des jährlichen weltweiten Umsatzes betragen.
- Verbesserter Datenschutz: Die Einhaltung der Vorschriften stärkt die Datensicherheit und den Datenschutz und verringert das Risiko von Datenverletzungen, unbefugtem Zugriff und Missbrauch personenbezogener Daten. Dies schützt Einzelpersonen und die Organisation selbst vor den finanziellen und reputationsgefährdenden Folgen solcher Vorfälle.
- Schafft Vertrauen und Reputation: Die Demonstration eines Engagements für den Datenschutz fördert das Vertrauen von Kunden, Partnern und Mitarbeitern. In einer Zeit zunehmender Datenschutzbedenken erlangen Organisationen, die als verantwortungsbewusste Datenverarbeiter wahrgenommen werden, einen erheblichen Wettbewerbsvorteil und verbessern ihre Markenreputation.
- Betriebliche Effizienz: Die Implementierung von DSGVO-konformen Prozessen führt oft zu einer besseren Datenverwaltung, einer höheren Datenqualität und einem besser organisierten Datenmanagement, was die betriebliche Effizienz insgesamt steigern kann.
- Wettbewerbsvorteil: Unternehmen, die proaktiv ihre DSGVO-Konformität demonstrieren, können sich auf dem Markt differenzieren und Kunden sowie Partner gewinnen, denen Datenschutz wichtig ist.
- Vermeidung von rechtlichen Schritten: Über die behördlichen Geldbußen hinaus kann die Nichteinhaltung zu Zivilklagen der betroffenen Personen führen, was die finanziellen und rechtlichen Belastungen weiter erhöht.
Wer muss die Datenschutz-Grundverordnung (DSGVO) einhalten?
Der Geltungsbereich der DSGVO ist weitreichend und gilt für eine Vielzahl von Organisationen unabhängig von ihrem Standort:
- Jede Organisation, die personenbezogene Daten von Personen in der EU/im EWR verarbeitet: Dies ist das Kernprinzip. Wenn Ihre Organisation personenbezogene Daten von Personen, die sich in der Europäischen Union oder im Europäischen Wirtschaftsraum (EWR) befinden, erhebt, speichert, verwendet oder andersweitig verarbeitet, müssen Sie der DSGVO entsprechen. Dies gilt auch, wenn Ihre Organisation nicht in der EU ansässig ist.
- Datenverantwortliche: Wie oben definiert, Einrichtungen, die die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmen. Sie tragen die primäre Verantwortung für die Einhaltung der DSGVO.
- Datenverarbeiter: Einrichtungen, die personenbezogene Daten im Auftrag eines Datenverantwortlichen verarbeiten. Auch Datenverarbeiter haben direkte Verpflichtungen unter der DSGVO, insbesondere hinsichtlich Sicherheit und Vorfällenmeldung.
- Unternehmen, die Waren oder Dienstleistungen für Personen in der EU/im EWR anbieten: Unabhängig davon, ob eine Zahlung erfolgt, gilt die DSGVO, wenn Ihr Unternehmen Personen in diesen Regionen anspricht oder bedient.
- Organisationen, die das Verhalten von Personen in der EU/im EWR überwachen: Dazu gehören das Tracking von Website-Besuchern, die Analyse des Kundenverhaltens oder die Verwendung von Cookies zu Werbezwecken, auch wenn Sie nicht direkt Waren oder Dienstleistungen anbieten.
- Behörden und öffentliche Stellen: Diese Einrichtungen unterliegen ebenfalls der DSGVO.
Entscheidend ist, dass der extraterritoriale Geltungsbereich der DSGVO bedeutet, dass beispielsweise ein Unternehmen in den Vereinigten Staaten, das personenbezogene Daten von Kunden in Frankreich verarbeitet, der DSGVO nachkommen muss.
Vergleich zwischen DSGVO und UK GDPR
Die Beziehung zwischen der EU-DSGVO und der britischen DSGVO ist eine direkte Folge des Brexits. Obwohl sie weitgehend ähnlich sind, gibt es wichtige technische und rechtliche Nuancen:
| Feature | EU-DSGVO | UK-DSGVO |
|---|---|---|
| Rechtsgrundlage | Eine EU-Verordnung, die in allen EU-/EWR-Mitgliedstaaten unmittelbar gilt. | Die EU-DSGVO wurde durch das European Union (Withdrawal) Act 2018 in das briteische Recht übernommen, mit Änderungen, um sie im nationalen britischen Kontext anwendbar zu machen. Sie gilt neben dem Data Protection Act 2018 (DPA 2018). |
| Geltungsbereich | Gilt für Organisationen, die personenbezogene Daten von Personen in der EU/dem EWR verarbeiten, unabhängig vom Standort der Organisation. | Gilt für Organisationen, die personenbezogene Daten von Personen im Vereinigten Königreich verarbeiten, unabhängig vom Standort der Organisation. Britische Organisationen müssen möglicherweise weiterhin der EU-DSGVO nachkommen, wenn sie Daten von EU-/EWR-Bürgern verarbeiten. |
| Grundprinzipien und Rechte | Praktisch identisch: Rechtmäßigkeit, Fairness, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität, Vertraulichkeit und Rechenschaftspflicht. Die Rechte der betroffenen Personen (Auskunft, Berichtigung, Löschung, Übertragbarkeit usw.) sind dieselben. | Praktisch identisch mit der EU-DSGVO. Die zentralen Datenschutzgrundsätze und die Rechte der betroffenen Personen bleiben erhalten. |
| Aufsichtsbehörde | Jeder EU-/EWR-Mitgliedstaat hat seine eigene Datenschutzbehörde (DPA). Der Europäische Datenschutzausschuss (EDPB) sorgt für eine einheitliche Anwendung. | Das Information Commissioner’s Office (ICO) ist die Aufsichtsbehörde für das Vereinigte Königreich. Das britische ICO ist nicht an Entscheidungen des EDPB gebunden. |
| Internationale Datenübertragungen | Datenübermittlungen in „Drittländer“ (Länder außerhalb der EU/des EWR) erfordern eine „Angemessenheitsentscheidung“ der Europäischen Kommission oder geeignete Garantien (z. B. Standardvertragsklauseln – SCCs, verbindliche Unternehmensregeln – BCRs). | Datenübertragungen aus dem Vereinigten Königreich in Länder außerhalb des Vereinigten Königreichs erfordern eine „Angemessenheitsverordnung“ der britischen Regierung oder geeignete Schutzmaßnahmen. Die EU hat dem Vereinigten Königreich (zurzeit) eine Angemessenheitsentscheidung erteilt, die den freien Datenfluss von der EU in das Vereinigte Königreich ermöglicht. |
| SCCs/BCRs (technisch) | Organisationen, die Daten aus der EU/dem EWR übertragen, stützen sich auf von der EU genehmigte SCCs oder BCRs. Diese sind rechtliche Mechanismen, aber sie erfordern technische Maßnahmen, um einen gleichwertigen Schutz zu gewährleisten. | Unternehmen, die Daten aus dem Vereinigten Königreich übertragen, stützen sich auf vom Vereinigten Königreich genehmigte SCCs oder BCRs. Obwohl diese Klauseln weitgehend ähnlich sind, können nach dem Brexit rechtliche und technische Anpassungen erforderlich sein. |
| Geldbußen und Strafen | Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes bei schweren Verstößen. | Bis zu 17,5 Millionen Pfund oder 4 % des weltweiten Jahresumsatzes bei schweren Verstößen. |
| „One-Stop-Shop”-Mechanismus | Gilt innerhalb der EU/des EWR und ermöglicht eine einzige federführende Datenschutzbehörde für Organisationen mit Niederlassungen in mehreren Mitgliedstaaten. | Gilt nicht mehr für Einrichtungen im Vereinigten Königreich. Britische Organisationen, die Daten von EU-/EWR-Bürgern verarbeiten, müssen sich möglicherweise sowohl mit der ICO als auch mit den zuständigen EU-/EWR-Datenschutzbehörden (DPAs) auseinandersetzen. |
Im Wesentlichen entspricht die UK GDPR in den meisten grundlegenden Aspekten der EU GDPR, die wichtigsten Unterschiede liegen jedoch im Geltungsbereich, der Rolle der Aufsichtsbehörden und den Mechanismen für internationale Datenübermittlungen. Organisationen, die sowohl in der EU/EEA als auch im UK tätig sind, müssen die Einhaltung beider Rahmenwerke sicherstellen.
Wie kann die Einhaltung der Datenschutz-Grundverordnung (DSGVO) sichergestellt werden?
Die Gewährleistung der DSGVO-Konformität ist ein fortlaufender Prozess, der eine Kombination aus rechtlichen, technischen und organisatorischen Maßnahmen erfordert:
- Datenmapping und Dateninventar:
- Technischer Schritt: Führen Sie eine umfassende Datenprüfung durch, um alle erhobenen, gespeicherten, verarbeiteten und übermittelten personenbezogenen Daten zu identifizieren.
- Technische Details: Verwenden Sie Data Discovery-Tools, um personenbezogene Daten in allen Systemen (Datenbanken, Dateifreigaben, Cloud-Speicher, Anwendungen) zu lokalisieren. Karten Sie Datenflüsse ab und ermitteln Sie, woher die Daten stammen, wo sie gespeichert sind, wer Zugriff darauf hat und wie sie übertragen werden (intern/extern). Dokumentieren Sie Datentypen, Aufbewahrungsfristen und Rechtsgrundlagen. Dies ist die Grundlage für alle anderen Compliance-Bemühungen.
- Implementieren Sie Datenschutz durch Technikgestaltung und durch Voreinstellung:
- Technischer Schritt: Integrieren Sie Datenschutz- und Sicherheitskontrollen von Anfang an in die Konzeption aller neuen Systeme, Produkte und Dienstleistungen.
- Technische Details: Verwenden Sie sichere Codierungspraktiken (z. B. OWASP Top 10 Mitigation). Implementieren Sie eine starke Verschlüsselung für alle personenbezogenen Daten im Ruhezustand und während der Übertragung (z. B. TLS 1.2+ für Webkommunikation, AES-256 für Datenbankverschlüsselung). Setzen Sie strenge Zugriffskontrollmechanismen durch (z. B. Rollenbasierte Zugriffskontrolle, Multi-Faktor-Authentifizierung für kritische Systeme). Implementieren Sie Datenminimierung durch technische Mittel (z. B. Speicherung nur notwendiger Felder, Konfiguration von Systemen zur standardmäßigen Erfassung minimaler Daten).
- Stärkung der Informationssicherheitsmaßnahmen (Artikel 32):
- Technischer Schritt: Führen Sie ein robustes Informationssicherheits-Managementsystem (ISMS) auf Basis von Normen wie ISO/IEC 27001 ein.
- Technische Details: Implementieren Sie Firewalls, Intrusion Detection/Prevention Systems (IDS/IPS) sowie Security Information and Event Management (SIEM)-Systeme für die Protokollierung und Überwachung. Stellen Sie ein regelmäßiges Patch-Management für alle Betriebssysteme, Anwendungen und Netzwerkgeräte sicher. Führen Sie regelmäßige Penetrationstests, Schwachstellenanalysen und Sicherheitsaudits aller Systeme durch, die personenbezogene Daten verarbeiten, um Schwachstellen proaktiv zu identifizieren und zu beheben. Setzen Sie ein sicheres Konfigurationsmanagement ein.
- Entwickeln Sie Verfahren für die Vorfallreaktion und die Benachrichtigung bei Datenverletzungen:
- Technischer Schritt: Legen Sie klare technische und prozedurale Protokolle für die Erkennung, Reaktion und Meldung von Datenschutzverletzungen fest.
- Technische Details: Implementieren Sie Echtzeitüberwachung und Warnmeldungen für verdächtige Aktivitäten. Entwickeln Sie forensische Fähigkeiten, um Verstöße zu untersuchen, Ursachen zu identifizieren und Auswirkungen zu bewerten. Definieren Sie klare interne Kommunikationskanäle sowie externe Meldeprozesse an die Aufsichtsbehörde (innerhalb von 72 Stunden) und betroffene Personen (bei hohem Risiko). Führen Sie regelmäßig Übungen zur Inzidenzreaktion durch.
- Verwalten Sie Anfragen von betroffenen Personen:
- Technische Maßnahme: Erstellen Sie technische Mechanismen und Workflows, um Anfragen von betroffenen Personen, die ihre Rechte ausüben, effizient zu verarbeiten.
- Technische Details: Richten Sie Portale oder sichere Kommunikationskanäle zur Einreichung von Anfragen ein. Entwickeln Sie automatisierte Prozesse zur Lokalisierung, Abfrage, Berichtigung oder Löschung personenbezogener Daten in verschiedenen Systemen innerhalb der vorgeschriebenen Fristen. Stellen Sie eine klare Dokumentation aller Anfragen und ergriffenen Maßnahmen sicher.
- Einwilligungsmanagement-Plattformen implementieren:
- Technischer Schritt: Setzen Sie für die einwilligungsbasierte Verarbeitung eine Consent Management Platform (CMP) oder eine ähnliche technische Lösung ein.
- Technische Detail: Die CMP sollte granulare Einwilligungspräferenzen erfassen (z. B. für verschiedene Cookie-Typen, Marketingzwecke). Sie muss einen klaren Audit-Trail der Einwilligung bereitstellen (Zeitstempel, Version des Einwilligungstextes, Benutzer-ID). Außerdem sollte sie es den Benutzern ermöglichen, ihre Einwilligung jederzeit einfach zu widerrufen, und sicherstellen, dass ihre Präferenzen technisch in allen relevanten Systemen umgesetzt werden.
- Datenverarbeitungsvereinbarungen mit Dritten (Artikel 28):
- Technischer Schritt: Schließen Sie solide Verträge mit allen Datenverarbeitern ab.
- Technische Details: Obwohl dies eine gesetzliche Anforderung ist, impliziert sie technische Sorgfaltspflicht. Stellen Sie sicher, dass die Auftragsverarbeiter „angemessene technische und organisatorische Maßnahmen“ implementieren. Führen Sie Sicherheitsbewertungen durch oder fordern Sie Auditberichte von Drittanbietern an, um deren Sicherheitslage zu überprüfen. Stellen Sie sicher, dass die Datenverarbeitungsvereinbarungen Bestimmungen zur Meldung von Vorfällen, Auditrechten und klare Anweisungen zur Datenverarbeitung enthalten.
- Schulung und Sensibilisierung:
- Technischer Schritt: Schulen Sie alle Mitarbeiter in den Grundsätzen der DSGVO, ihren Verantwortlichkeiten und den vorhandenen technischen Schutzmaßnahmen.
- Technische Detail: Die Schulungen sollten Themen wie die Identifizierung personenbezogener Daten, den Umgang mit Anfragen betroffener Personen, das Erkennen von Phishing-Versuchen und die ordnungsgemäße Verwendung von Sicherheitstools umfassen.
Konsequenzen der Nichteinhaltung der Datenschutz-Grundverordnung (DSGVO)
Die Folgen einer Nichteinhaltung der DSGVO können schwerwiegend und weitreichend sein:
- Verwaltungsstrafen:
- Stufe 1 (niedriger): Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist, für Verstöße in Bezug auf Einwilligungen, Kinderdaten, Datenschutz durch Technikgestaltung und durch Voreinstellungen sowie Datenverarbeitungspflichten.
- Stufe 2 (höher): Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist, für Verstöße im Zusammenhang mit den Kerngrundsätzen des Datenschutzes (z. B. Rechtmäßigkeit, Fairness, Transparenz), den Rechten der betroffenen Personen sowie internationalen Datenübermittlungen.
- Reputationsschaden: Erhebliche negative Publicity, Verlust des Kundenvertrauens und erhebliche Schädigung des Markenimages, was auf lange Sicht weitaus kostspieliger sein kann als finanzielle Strafen.
- Rechtliche Schritte und Schadenersatzansprüche: Personen, die aufgrund eines Verstoßes gegen die DSGVO Schaden erlitten haben, haben Anspruch auf Schadenersatz. Dies kann zu Sammelklagen führen.
- Störung des Geschäftsbetriebs: Aufsichtsbehörden können Korrekturmaßnahmen verhängen, darunter vorübergehende oder endgültige Verbote der Datenverarbeitung, Löschungsanordnungen oder die Einstellung von Datenübertragungen.
- Verstärkte Kontrollen und Audits: Nicht konforme Organisationen werden einer verstärkten Kontrolle durch Datenschutzbehörden ausgesetzt sein, was zu häufigeren Audits und möglicherweise eingehenderen Untersuchungen führen wird.
- Verlust des Marktzugangs: Für Organisationen, die stark auf die Verarbeitung personenbezogener Daten aus der EU angewiesen sind, kann eine anhaltende Nichtkonformität zum Verlust des Marktzugangs in der EU führen.
Wie hilft ImmuniWeb bei der Einhaltung der Datenschutz-Grundverordnung (DSGVO)?
Die KI-gestützte Plattform von ImmuniWeb für Anwendungssicherheitstests (AST) und Angriffsflächenmanagement (ASM) bietet wichtige technische Funktionen, die Unternehmen direkt dabei unterstützen, mehrere wichtige technische und organisatorische Anforderungen der DSGVO zu erfüllen, insbesondere in Bezug auf Sicherheit der Verarbeitung, Datenschutz durch Technikgestaltung und proaktives Schwachstellenmanagement.
So unterstützt ImmuniWeb konkret die Einhaltung der DSGVO:
API-PenetrationstestsImmuniWeb führt tiefe API-Penetrationstests durch, deckt Schwachstellen wie unsichere Endpunkte, fehlerhafte Authentifizierung und Datenlecks auf und gewährleistet die Einhaltung der OWASP API Security Top 10.
API-SicherheitsscansAutomatisierte, KI-basierte Scans erkennen Fehlkonfigurationen, übermäßige Berechtigungen und schwache Verschlüsselung in REST-, SOAP- und GraphQL-APIs und liefern umsetzbare Behebungshinweise.
Application Penetration TestingImmuniWeb bietet Anwendungspenetrationstests mit unserem preisgekrönten Produkt ImmuniWeb® On-Demand an.
Anwendungssicherheitslage-ManagementDie preisgekrönte ImmuniWeb® AI-Plattform für Application Security Posture Management (ASPM) hilft dabei, den gesamten digitalen Fußabdruck einer Organisation, einschließlich versteckter, unbekannter und vergessener Webanwendungen, APIs und mobiler Anwendungen, aggressiv und kontinuierlich zu erkunden.
AngriffsflächenmanagementImmuniWeb entdeckt und überwacht kontinuierlich exponierte IT-Assets (Webanwendungen, APIs, Cloud-Dienste), reduziert blinde Flecken und verhindert Einbrüche durch Echtzeit-Risikobewertung.
Automatisierte PenetrationstestsImmuniWeb bietet automatisierte Penetrationstests mit unserem preisgekrönten Produkt ImmuniWeb® Continuous an.
Cloud-PenetrationstestsSimuliert fortgeschrittene Angriffe auf AWS-, Azure- und GCP-Umgebungen, um Fehlkonfigurationen, unsichere IAM-Rollen und exponierte Speicher zu identifizieren, gemäß den CIS-Benchmarks.
Cloud Security Posture Management (CSPM)Automatisiert die Erkennung von Cloud-Fehlkonfigurationen, Compliance-Lücken (z. B. PCI DSS, HIPAA) und Schatten-IT und bietet Behebungshinweise für eine resiliente Cloud-Infrastruktur.
Kontinuierliches automatisiertes Red TeamingKombiniert KI-basierte Angriffssimulationen mit menschlichem Fachwissen, um Abwehrmaßnahmen 24/7 zu testen und dabei reale Angreifer nachzuahmen, ohne den Betrieb zu stören.
Kontinuierliche Simulation von Sicherheitsverletzungen und Angriffen (BAS)Führt automatisierte Angriffsszenarien durch, um Sicherheitskontrollen zu validieren und Schwachstellen in Netzwerken, Anwendungen und Endpunkten aufzudecken, bevor Angreifer sie ausnutzen.
Kontinuierliche PenetrationstestsBietet kontinuierliche, KI-gestützte Penetrationstests, um neue Schwachstellen nach der Bereitstellung zu identifizieren und damit eine proaktive Risikominderung über einmalige Audits hinaus zu gewährleisten.
Continuous Threat Exposure Management (CTEM)Priorisiert und behebt Risiken in Echtzeit, indem Bedrohungsinformationen mit Schwachstellen in Assets korreliert werden, wodurch Exploit-Fenster minimiert werden.
Cyber Threat IntelligenceÜberwacht das Dark Web, Paste-Sites und Hacker-Foren auf gestohlene Anmeldedaten, leakte Daten und gezielte Bedrohungen, um proaktive Maßnahmen zu ermöglichen.
Data Security Posture ManagementDie preisgekrönte ImmuniWeb® AI-Plattform für Datensicherheitsmanagement hilft dabei, die internetexponierten digitalen Assets einer Organisation, einschließlich Webanwendungen, APIs, Cloud-Speicher und Netzwerkdienste, kontinuierlich zu identifizieren und zu überwachen.
Dark Web MonitoringDurchsucht Untergrundmärkte nach kompromittierten Mitarbeiter-/Kundendaten, geistigem Eigentum und Betrugsmaschen und warnt Unternehmen vor Datenpannen.
Mobile PenetrationstestsTestet iOS-/Android-Apps auf unsichere Datenspeicherung, Reverse Engineering-Risiken und API-Fehler gemäß den OWASP Mobile Top 10-Leitlinien.
Mobile Security ScanningAutomatisiert die statische (SAST) und dynamische (DAST) Analyse mobiler Apps, um Schwachstellen wie hartcodierte Geheimnisse oder schwache TLS-Konfigurationen zu erkennen.
Bewertung der NetzwerksicherheitIdentifiziert falsch konfigurierte Firewalls, offene Ports und schwache Protokolle in lokalen und hybriden Netzwerken und stärkt die Abwehr.
Penetrationstests als Dienstleistung (PTaaS)Bietet skalierbare, abonnementbasierte Penetrationstests mit detaillierten Berichten und Abhilfemaßnahmenverfolgung für agile Sicherheits-Workflows.
Phishing-Websites-AbnahmeErkennt und beschleunigt die Abnahme von Phishing-Websites, die sich als Ihre Marke ausgeben, und minimiert Reputationsschäden und Betrugsverluste.
Drittanbieter-RisikomanagementBewertet die Sicherheitslage von Anbietern (z. B. exponierte APIs, veraltete Software), um Angriffe auf die Lieferkette zu verhindern und die Einhaltung der Vorschriften sicherzustellen.
Threat-Led Penetration Testing (TLPT)Simuliert auf Ihre Branche zugeschnittene Advanced Persistent Threats (APTs) und testet die Erkennungs- und Reaktionsfähigkeiten gegen realistische Angriffsketten.
Web-PenetrationstestsManuelle und automatisierte Tests decken SQLi-, XSS- und Geschäftslogikfehler in Webanwendungen auf, im Einklang mit OWASP Top 10 und regulatorischen Anforderungen.
Web-SicherheitsscansFührt kontinuierliche DAST-Scans durch, um Schwachstellen in Echtzeit zu erkennen, und integriert in CI/CD-Pipelines für DevSecOps-Effizienz.
Zusammenfassend unterstützt ImmuniWeb Unternehmen dabei, ihre digitalen Assets, die personenbezogene Daten verarbeiten, zu sichern, indem es die technischen Erkenntnisse und Werkzeuge bereitstellt, die erforderlich sind, um Datenverletzungen zu verhindern, das Engagement für Sicherheit durch Design zu demonstrieren und letztendlich ihre allgemeinen Bemühungen zur Einhaltung der DSGVO zu unterstützen.
Liste maßgeblicher Ressourcen
Erfüllen Sie regulatorische Anforderungen mit der ImmuniWeb® AI-Plattform
ImmuniWeb kann auch bei der Einhaltung anderer Datenschutzgesetze und -vorschriften helfen:
Europa
EU GDPR- EU DORA
- EU NIS 2
- EU Cyber Resilience Act
- EU AI Act
- EU ePrivacy-Richtlinie
UK GDPR
Swiss FADP- Schweizer FINMA-Rundschreiben 2023/1
Nord- und Südamerika
Naher Osten & Afrika
Katar Gesetz zum Schutz personenbezogener Daten
Saudi-Arabien Gesetz zum Schutz personenbezogener Daten- Saudi Arabian Monetary Authority Cyber Security Framework (1.0)
Südafrika Gesetz zum Schutz personenbezogener Informationen
UAE Verordnung zur Informationssicherheit (1.1)- Gesetz zum Schutz personenbezogener Daten der Vereinigten Arabischen Emirate
Asia Pacific
Australia Privacy Act
Hongkonger Datenschutzverordnung
Indisches Gesetz zum Schutz personenbezogener Daten (DPDPA)
Japan Gesetz über den Schutz personenbezogener Daten 
Singapur Gesetz zum Schutz personenbezogener Daten
