Hilfe mit der DSGVO inkl. Checkliste

Was ist die DSGVO und welches Ziel verfolgt sie?

Aufgrund der Vereinheitlichung des Datenschutzes innerhalb der EU hat das Europäische Parlament Anfang 2016 die EU-Datenschutzgrundverordnung (EU-DSGVO) verabschiedet. Die DSGVO der EU trat am 25. Mai 2016 in Kraft und musste während der zweijährigen Übergangsfrist bis zum 25. Mai 2018 umgesetzt werden. Damit hat die Gesetzgebung unter anderem den Handel in die EU-Mitgliedstaaten vereinheitlicht. Ein weiterer Vorteil von Händlern, die internationalen Handel betreiben möchten, ist das "One-Stop-Service-Prinzip". Dies bedeutet, dass du aufgrund derselben Datenverarbeitung nicht parallel mit mehreren Datenschutzbehörden kommunizieren musst, sondern nur mit der Zentrale. Die DSGVO bringt natürlich auch einige Änderungen mit sich, zum Beispiel in Bereich des Newsletterversands, der Informationspflichten, der Auskunftspfilchten, der Auftragsverarbeitung und des Datenschutzes auf Websites.

Warum regelt die EU den Datenschutz?

Der Sinn der DSGVO ist es, den Datenschutz auf dem Gebiet der EU zu vereinheitlichen. Dies ist deshalb sinnvoll, da es, insbesondere im Internet, keine klaren Grenze zwischen den EU-Mitgliedsstaaten gibt. Ein deutscher Online-Händler kann seine Waren in anderen Mitgliedstaaten verkaufen. Ein solcher freier Handel ist nicht nur erlaubt, sondern von der EU ausdrücklich erwünscht. Wenn jedoch in jedem Mitgliedstaat andere Anforderungen an den Datenschutz gestellt werden, ist es kaum möglich alles Gesetze einzuhalten. Dies hemmt den Handel. Die DSGVO löst diese Probleme. Darüber hinaus können sich nun alle EU-Bürger auf ein festgelegtes Datenschutz-Niveau verlassen.

Wann ist die DSGVO in Kraft getreten?

In Kraft getreten ist die DSGVO bereits am 25. Mai 2016. Doch erst seit dem 25. Mai 2018 müssen Unternehmen, und damit auch Onlinehändler, die Vorschriften einhalten. Da es sich um eine Verordnung handelt, musste der deutsche Gesetzgeber nichts weiter tun, damit die DSGVO gilt.

Ersetzt die DSGVO das BDSG?

Das deutsche Bundesdatenschutzgesetz (BDSG) wurde nicht durch die DSGVO ersetzt. Es gibt noch immer das BDSG und seine Vorschriften gelten auch noch. Es wurde allerdings an die DSGVO angepasst und seine Relevanz ist, jedenfalls für Unternehmer, deutlich gesunken. Sollte eine Norm aus dem BDSG der DSGVO in einem bestimmten Fall widersprechen, gilt die DSGVO. EU-Recht geht dem Recht der Mitgliedstaaten immer vor, da ansonsten keine einheitliche Gesetzgebung möglich wäre. Mehr zu Datenschutzgesetzen.

Checkliste zur DSGVO

Stelle deinen Online-Shop auf die Probe!
Prüfe mit der Checkliste zur DSGVO, ob du alle wichtigen Änderungen der DSGVO berücksichtigst hast. Frage dich ganz kritisch, ob folgende Punkte auf dich zutreffen und beantworte diese mit Ja oder Nein. Am Ende kannst du dir eine kostenfreie Auswertung generieren lassen, die dir auch als PDF zur Verfügung gestellt wird.

Jetzt mit der DSGVO-Prüfung starten!

FAQ zur DSGVO

Auf wen findet die DSGVO Anwendung?

Da die DSGVO eine Verordnung der EU ist, wirkt sie in Deutschland wie ein deutsches Gesetz. Das heißt, sie gilt zunächst für jede natürliche und juristische Person. Artikel 2 DSGVO grenzt den sachlichen Anwendungsbereich auf jede nicht rein private Verarbeitung personenbezogener Daten. Wenn du als Online-Händler beispielsweise Kundenkonten anlegst, die Interessen der Besucher deiner Website mit Analyse-Tools wie Google Analytics speichern oder einen Newsletter verschicken, verarbeitest du personenbezogene Daten und musst dich an die Vorgaben der DSGVO halten.

Die DSGVO gilt für alle Unternehmen, die eine komplette oder teilweise automatisierte Verarbeitung personenbezogener Daten (z.B. Name, Anschrift, IP-Adresse, E-Mail-Adresse) vornehmen (z. B. Speicherung von Kundendaten in eine Computer-Datenbank).

Mit der interaktiven Checkliste des Händlerbundes findest du im Handumdrehen heraus, inwiefern du von der Datenschutzgrundverordnung betroffen bist: DSGVO-Checkliste.

Bin ich als kleiner Händler auch verpflichtet, die Vorgaben der DSGVO umzusetzen?

Ja, die generelle Anwendbarkeit ist nicht an die Unternehmensgröße oder Umsatzhöhe gekoppelt. Spezielle Hinweise erhalten Einzelunternehmer und kleine Händler in unserem Mini-Guide.

Was regelt die DSGVO?

Die DSGVO regelt unter welchen Voraussetzungen du Daten speichern und verarbeiten darfst. Darüber hinaus enthält sie Normen, die vorgeben, wann Daten gelöscht werden müssen.

Welche Daten werden geschützt?

Die DSGVO schützt nicht jede Art von Daten, sondern nur personenbezogene Daten. Der Begriff ist in Artikel 4 Nummer 1 legaldefiniert. Personenbezogene Daten sind alle Informationen, die sich auf eine bestimmbare natürliche Person beziehen. Dazu gehören beispielsweise Name, Alter, Adresse, aber auch Vorlieben und Klicks auf Internetseiten.

Welche Grundsätze gelten nach der DSGVO für die Datenverarbeitung?

In Artikel 5 DSGVO sind sechs Grundsätze normiert, die bei jeder Datenverarbeitung einzuhalten sind.

1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz
2. Zweckbindung
3. Datenminimierung
4. Richtigkeit
5. Speicherbegrenzung
6. Vertraulichkeit

Wann dürfen Daten gespeichert und verarbeitet werden?

Artikel 6 Absatz 1 DSGVO legt fest, unter welchen Voraussetzungen Daten verarbeitet werden dürfen. Es gibt sechs möglich Gründe. Für Webseitenbetreiber am wichtigsten sind die Varianten a und f. Hiernach brauchst du entweder die Einwilligung der betroffenen Person oder du musst ein berechtigtes Interesse haben. Für Online-Händler sind darüber hinaus die Varianten b und c relevant. Hiernach darfst du Daten auch dann verarbeiten, wenn dies notwendig ist, um einen Vertrag oder eine rechtliche Verpflichtung zu erfüllen.

Wie lange darf man Daten speichern?

Schon der Grundsatz "Datenminimierung" in Artikel 5 DSGVO enthält eine Löschpflicht. Generell darfst du Daten nur so lange speichern, wie dies notwendig ist. Dabei kommt es darauf an, warum du die Daten ursprünglich speichern wolltest und durftest. Darüber hinaus musst du Daten löschen, wenn die betroffene Person dies verlangt und die weiteren Voraussetzungen des Artikel 17 DSGVO erfüllt sind.

Was beinhaltet das Verzeichnis von Verarbeitungstätigkeiten?

Mit der Verordnung 2016/679, der sogenannten Datenschutz-Grundverordnung, wurde die Pflicht zum Erstellen eines "Verzeichnis von Verarbeitungstätigkeiten" eingeführt. Ein solches Verzeichnis ist eine durch das europäische Datenschutzrecht vorgeschriebene Auflistung aller Verarbeitungstätigkeiten personenbezogener Daten.

Das klingt erst einmal sehr abstrakt. Im Grunde ist man nun verpflichtet eine Dokumentation und Übersicht über alle Verfahren zu führen, bei denen personenbezogene Daten verarbeitet werden. Dazu müssen bestimmte Angaben vermerkt sein, wie:

1. Datenkategorie
2. der Kreis der betroffenen Personen
3. der Zweck der Verarbeitung
4. die Datenempfänger

Um unseren Mitgliedern und allen Interessierten das Leben ein wenig zu erleichtern haben wir eine Mustertabelle zusammengestellt. Sie beinhaltet eine ganze Reihe von Beispieleinträgen, welche für im eCommerce tätige Unternehmen typisch sind. Die kostengünstige Mustervorlage für ein Verzeichnis von Verarbeitungstätigkeiten gibt es zum Download im HB Marketplace.

Es handelt sich hierbei lediglich um ein Muster, das beispielhaft typische Verarbeitungsvorgänge im eCommerce darstellt. Es dient lediglich als Hilfe zur Erstellung des "Verzeichnis der Verarbeitungstätigkeiten" (VVT) nach Art. 30 I DSGVO. Das Muster kann nicht unmittelbar als VVT verwendet werden. Vielmehr ist es in jedem Fall individuell auf das jeweilige Unternehmen anzupassen.

Welche Rechte haben Betroffene?

Ein wichtiger Teil der DSGVO sind die Betroffenenrechte. So haben betroffene Personen selbst die Möglichkeit aktiv zu werden und müssen nicht auf das Eingreifen einer Datenschutzbehörde warten.

1. Artikel 15 DSGVO enthält ein Auskunftsrecht. Hiernach darf eine betroffene Person den Verantwortlichen Fragen, ob er sie betreffende Daten verarbeitet. Wenn ja darf sie weitere Auskünfte verlangen.
2. Nach Artikel 16 DSGVO gibt es ein Recht auf Berichtigung inkorrekter Daten.
3. Artikel 17 DSGVO gibt ein Recht auf Löschung.
4. Die Verarbeitung kann nach Artikel 18 DSGVO eingeschränkt werden.
5. Nach Artikel 20 DSGVO hat jeder Betroffene das Recht darauf, dass seine Daten auf Wunsch bereitgestellt und übertragen werden.

Was droht bei einem Verstoß gegen die DSGVO?

Die EU hat mit der DSGVO nicht nur neue Regeln für den Umgang mit personenbezogenen Daten geschaffen, sondern auch die möglichen Strafen und Bußgelder erhöht. Nun kann eine Datenschutzbehörde Bußgelder in Höhe von bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Vorjahresumsatzes verhängen. Auch große, weltweit agierende Unternehmen, können jetzt effektiv bestraft werden. Aufgrund der hohen Bußgelder solltest du Beschwerden von Nutzern und Hinweisen von Datenschutzbehörden immer nachgehen und deinen Umgang mit personenbezogenen Daten rechtskonform gestalten.

Wer darf Verstöße gegen die DSGVO abmahnen?

Eine Abmahnung ist ein Schreiben von einer anderen natürlichen oder juristischen Person, die verlangt, dass du dich von nun an die DSGVO halten. Du kannst beispielsweise abgemahnt werden, weil du auf deiner Website keine Datenschutzerklärung erstellt hast oder diese unvollständig ist. In der Regel sind mit einer Abmahnung Kosten verbunden. Die DSGVO selbst sagt nichts darüber, ob Abmahnungen möglich sind oder nicht. Allerdings haben mehrere Gerichtsurteile Abmahnungen auf Grundlage der DSGVO für rechtmäßig gehalten. Der Grund dafür ist, dass jeder Verstoß gegen die DSGVO einen Wettbewerbsvorteil gegen Konkurrenten darstellt, die sich an die DSGVO halten. Deswegen darf ein Konkurrent dich grundsätzlich abmahnen. Teilweise gibt es Unternehmen oder Anwälte, die sich auf Abmahnungen spezialisiert haben. Ab wann ein solches Geschäftsmodell missbräuchlich ist, ist unklar. Im Zweifel kostet selbst eine unberechtigte Abmahnung Nerven und Geld. Die beste Vorsorge ist ein korrekter Umgang mit personenbezogenen Daten.