Security & Compliance

DSGVO (Datenschutz-Grundverordnung)

Overview

Die Datenschutz-Grundverordnung (DSGVO, englisch GDPR, Verordnung (EU) 2016/679) gilt seit 25. Mai 2018 unmittelbar in allen EU-Staaten und regelt die Verarbeitung personenbezogener Daten. Sie gilt für Unternehmen aller Größen, in Deutschland ergänzt durch das Bundesdatenschutzgesetz (BDSG).

Zentrale Grundsätze nach Art. 5 sind Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Die DSGVO schreibt keine Produkte vor, sondern verlangt nach Art. 32 angemessene technische und organisatorische Maßnahmen (TOM). Damit überschneidet sie sich stark mit NIS2 und ISO 27001, schützt aber Personen und nicht den Betrieb.

Bußgelder nach Art. 83 sind zweistufig: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Vorjahresumsatzes, etwa bei fehlendem Verarbeitungsverzeichnis oder unterlassener Pannenmeldung, und bis zu 20 Millionen Euro oder 4 Prozent bei Verstößen gegen Grundsätze, Betroffenenrechte oder Drittlandregeln. Maßgeblich ist jeweils der höhere Wert.

How it works

Die wichtigsten Pflichten für Unternehmen:

  1. Verzeichnis der Verarbeitungstätigkeiten (Art. 30) führen.
  2. Informationspflichten erfüllen (Art. 13 und 14) und Rechtsgrundlagen dokumentieren.
  3. Auftragsverarbeitungsverträge mit Dienstleistern schließen (Art. 28), auch mit Cloud-Anbietern wie Microsoft.
  4. Betroffenenrechte bedienen: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch.
  5. Datenschutz-Folgenabschätzung bei hohem Risiko durchführen (Art. 35).
  6. Datenpannen innerhalb von 72 Stunden an die Aufsichtsbehörde melden (Art. 33), bei hohem Risiko auch Betroffene informieren.
  7. Drittlandübermittlungen absichern, etwa über Angemessenheitsbeschluss oder Standardvertragsklauseln.

In Microsoft 365 unterstützen Purview mit DLP, Aufbewahrung, eDiscovery, Audit und Vertraulichkeitsbezeichnungen sowie der Compliance Manager die technische Umsetzung.

Benefits

  • Einheitliche Regeln in der EU erleichtern grenzüberschreitende Geschäfte
  • Vertrauen von Kunden und Mitarbeitenden durch transparenten Umgang mit Daten
  • Geringeres Risiko von Bußgeldern, Schadensersatz und Reputationsschäden
  • Datenschutzmaßnahmen wie Löschkonzepte und Zugriffskontrolle verbessern zugleich die IT-Sicherheit

Practical example

Ein Online-Händler mit 60 Mitarbeitenden aktualisiert sein Verarbeitungsverzeichnis und prüft die Auftragsverarbeitungsverträge mit Versanddienstleister, Shop-Hoster und Microsoft. Er führt Löschfristen für Kundendaten ein und setzt sie in Microsoft 365 mit Aufbewahrungsrichtlinien um. DLP warnt bei Mails mit Zahlungsdaten an externe Empfänger. In einer Übung spielt das Team eine Datenpanne mit Meldung innerhalb von 72 Stunden durch.

Things to keep in mind

  • Verarbeitungsverzeichnis und Auftragsverarbeitungsverträge aktuell halten, besonders bei neuen Cloud- und KI-Diensten
  • Löschkonzepte umsetzen und mit Backups und Aufbewahrungspflichten abstimmen
  • Drittlandübermittlungen prüfen, etwa bei Diensten mit Sitz oder Support außerhalb der EU
  • Den Ablauf für Datenpannen mit der 72-Stunden-Frist üben und mit der NIS2-Meldung an das BSI abstimmen
  • Rechtliche Einzelfragen mit Datenschutzbeauftragten oder Fachanwälten klären

Conclusion

Die DSGVO verlangt Prozesse und Dokumentation, nicht ein bestimmtes Produkt. Beginne mit Verarbeitungsverzeichnis, Auftragsverarbeitungsverträgen und Löschkonzept und nutze Werkzeuge wie Purview für die technische Umsetzung.

Further reading

Related articles