Pflichten DSGVO

✅ Rechtmäßige Verarbeitung

Personenbezogene Daten dürfen nur auf einer gültigen Rechtsgrundlage verarbeitet werden – etwa aufgrund einer Einwilligung, zur Vertragserfüllung oder aufgrund berechtigter Interessen. Jede Verarbeitung muss fair, transparent und zweckgebunden erfolgen.

📊 Datensparsamkeit

Arbeitgeber sollten nur die personenbezogenen Daten erheben, die für den jeweiligen Zweck wirklich erforderlich sind. Außerdem dürfen die Daten nur so lange gespeichert werden, wie es für die Erfüllung des Zwecks notwendig ist. Eine regelmäßige Löschung und Datenüberprüfung sind Pflicht.

ℹ️ Informationspflicht

Arbeitgeber müssen Betroffene (z. B. Mitarbeitende oder Kunden) umfassend informieren – über Zweck, Dauer und Art der Verarbeitung sowie über deren Rechte. Dies geschieht in der Regel über eine Datenschutzerklärung.

🔒 Datenschutz durch Technikgestaltung (Privacy by Design)

Datenschutz muss bereits bei der Entwicklung von IT-Systemen und Prozessen berücksichtigt werden. Standardmäßig sollen nur die nötigsten Daten erhoben und verarbeitet werden (Privacy by Default).

🧮 Datenschutz-Folgenabschätzung (DSFA)

Wenn Datenverarbeitungen ein hohes Risiko für die Rechte der Betroffenen darstellen (z. B. bei Videoüberwachung oder KI-Systemen), muss eine DSFA durchgeführt werden. Diese bewertet Risiken und beschreibt Maßnahmen zur Risikominimierung.

👨‍💼 Bestellung eines Datenschutzbeauftragten

Ab 20 Mitarbeitern oder bei umfangreicher Datenverarbeitung ist ein Datenschutzbeauftragter (DSB) zu benennen. Dieser überwacht die Einhaltung der DSGVO und fungiert als Ansprechpartner für Behörden und Betroffene.

🤝 Zusammenarbeit mit Datenschutzbehörden

Unternehmen müssen jederzeit mit Aufsichtsbehörden kooperieren, insbesondere bei Prüfungen, Datenschutzverletzungen oder Beschwerden. Transparenz und vollständige Auskunft sind hierbei entscheidend.

🚨 Meldepflicht bei Datenschutzverletzungen

Eine Datenpanne muss innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Behörde gemeldet werden. Betroffene Personen sind ebenfalls zu informieren, wenn ein hohes Risiko für ihre Rechte besteht.

📜 Einhaltung der Betroffenenrechte

Arbeitgeber müssen gewährleisten, dass alle Rechte der Betroffenen respektiert werden – darunter Auskunft, Löschung, Datenübertragbarkeit und Widerspruch. Diese Rechte müssen organisatorisch und technisch abgesichert sein.

📘 Gemäß Artikel 37 DSGVO

• Wenn die Verarbeitung personenbezogener Daten durch eine Behörde oder öffentliche Stelle erfolgt (ausgenommen Gerichte in justizieller Tätigkeit).
• Wenn die Kerntätigkeiten des Verantwortlichen oder Auftragsverarbeiters die regelmäßige und systematische Überwachung von betroffenen Personen in großem Umfang umfassen.
• Wenn die Kerntätigkeiten eine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Artikel 9 oder von Daten über strafrechtliche Verurteilungen und Straftaten (Artikel 10) beinhalten.

⚖️ Gemäß § 38 BDSG (Deutschland)

• Unternehmen müssen einen DSB bestellen, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
• Auch kleinere Unternehmen können verpflichtet sein, wenn sie besondere Datenkategorien verarbeiten oder regelmäßig umfangreiche Überwachungsprozesse durchführen.

💡 Empfehlung und Nutzen

Auch wenn die Pflicht zur Bestellung eines Datenschutzbeauftragten nicht in jedem Fall gesetzlich besteht, ist die freiwillige Benennung häufig sinnvoll. Ein interner oder externer DSB hilft, Datenschutzrisiken frühzeitig zu erkennen, gesetzliche Anforderungen zu erfüllen und das Vertrauen von Kunden und Partnern zu stärken.

Der Datenschutzbeauftragte übernimmt eine beratende und überwachende Rolle, sorgt für regelmäßige Schulungen und unterstützt bei der Umsetzung der DSGVO sowie nationaler Datenschutzvorschriften.