GhanaDPA GH
Ghana – Data Protection Act 2012 (Act 843)
Der Data Protection Act, 2012 (Act 843) ist das zentrale Datenschutzgesetz Ghanas. Er regelt die Erhebung, Nutzung, Offenlegung, Speicherung, Sicherheit und Vernichtung personenbezogener Daten und errichtet die Datenschutzkommission (Data Protection Commission, DPC).
Das Gesetz ist seit dem 16. Oktober 2012 in Kraft und gilt für Verantwortliche und Auftragsverarbeiter innerhalb seines gesetzlichen Anwendungsbereichs.
Act 843 legt den rechtlichen Rahmen für den Umgang mit personenbezogenen Daten in Ghana fest. Zu seinen wichtigsten Bereichen gehören:
- Datenschutzgrundsätze
- Rechte der betroffenen Personen
- Registrierung der Verantwortlichen
- Sicherheitspflichten
- Schutz besonderer personenbezogener Daten
- Datenschutzaufseher (Data Protection Supervisor)
- Behördliche Durchsetzung
- Internationale Verarbeitung
Die Einwilligung ist wichtig, doch Ghanas DPA ist kein reines Einwilligungsgesetz. Abschnitt 20 sieht neben der Einwilligung weitere festgelegte Rechtfertigungen vor, sodass jede Verarbeitungstätigkeit auf der Rechtfertigung beruhen sollte, die tatsächlich auf sie zutrifft.
Ghanas DPA auf einen Blick
| Thema | Ghanas DPA |
|---|---|
| Land | Ghana |
| Gesetz | Data Protection Act, 2012 (Act 843) |
| Status | In Kraft |
| Inkrafttreten | 16. Oktober 2012 |
| Aufsichtsbehörde | Datenschutzkommission (DPC) |
| Hauptrollen | Verantwortliche und Auftragsverarbeiter |
| Registrierung | Verantwortliche müssen sich in der Regel vor der Verarbeitung personenbezogener Daten registrieren |
| Einwilligung | Eine wichtige Rechtfertigung, aber nicht die einzige Rechtsgrundlage |
| Besondere personenbezogene Daten | Erhöhter Schutz |
| Datenschutzaufseher (Data Protection Supervisor) | Eine zertifizierte und qualifizierte Person, die die Einhaltung überwacht |
| DSFA | Relevant bei erheblichen Datenschutzrisiken und für die Einhaltung der DPC-Anforderungen |
| Rechte der betroffenen Personen | Zugang, Widerspruch, Kontrolle über Direktmarketing, Berichtigung, Sperrung, Löschung und Vernichtung, soweit anwendbar |
| Internationale Übermittlungen | Prüfung und Garantien |
| Durchsetzung | Untersuchung, Inspektion, Anordnungen und Durchsetzung der Einhaltung |
| Sanktionen | Spezifische Strafen für bestimmte Straftaten; ein allgemeines Höchstmaß nach Abschnitt 95, wenn keine spezifische Strafe gilt |
Was ist Ghanas Data Protection Act?
Act 843 schafft den rechtlichen Rahmen für den Schutz personenbezogener Daten in Ghana. Er behandelt:
- Rechtmäßige Verarbeitung
- Datenminimierung
- Zweckbindung
- Transparenz
- Datenqualität
- Sicherheit
- Beteiligung der betroffenen Personen
- Registrierung
- Aufsicht über die Datenverarbeitung
- Internationale Verarbeitung
- Besondere personenbezogene Daten
- Behördliche Durchsetzung
Die Datenschutzkommission ist die durch das Gesetz errichtete Aufsichtsbehörde. Sie führt das Register der Verantwortlichen, überwacht die Einhaltung, untersucht Beschwerden, ergreift Durchsetzungsmaßnahmen und fördert das Bewusstsein für Datenschutz in Ghana.
Ghana
In Kraft
Gültig seit dem 16. Oktober 2012
Asien und Afrika
Wer muss Ghanas DPA einhalten?
Act 843 gilt für Verantwortliche und Auftragsverarbeiter, die personenbezogene Daten innerhalb seines gesetzlichen Anwendungsbereichs verarbeiten.
Verantwortliche
Ein Verantwortlicher legt fest, zu welchen Zwecken und auf welche Weise personenbezogene Daten verarbeitet werden. Verantwortliche tragen die Hauptverantwortung für die Einhaltung, einschließlich der Registrierung bei der DPC. Beispiele sind:
- E-Commerce-Unternehmen
- Banken und Finanzinstitute
- Versicherungsunternehmen
- Arbeitgeber
- Gesundheitsdienstleister
- Universitäten und Schulen
- Telekommunikationsunternehmen
- SaaS-Unternehmen
- Marketingunternehmen
- Staatliche Einrichtungen
- Online-Plattformen
Auftragsverarbeiter
Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag eines Verantwortlichen und nach dessen Weisungen. Beispiele sind:
- Cloud-Anbieter
- Anbieter von Lohnabrechnungen
- CRM-Plattformen
- Hosting-Anbieter
- Analyseanbieter
- Marketingplattformen
- Anbieter von Kundensupport
Räumlicher Anwendungsbereich
Act 843 gilt für in Ghana niedergelassene Verantwortliche, die personenbezogene Daten in Ghana verarbeiten. Er kann auch für nicht in Ghana niedergelassene Verantwortliche gelten, die zur Verarbeitung personenbezogener Daten Einrichtungen in Ghana oder einen in Ghana geschäftlich tätigen Auftragsverarbeiter nutzen, sofern dies nicht nur der Durchleitung durch Ghana dient.
Abschnitt 18 betrifft zudem ausländische betroffene Personen. Werden personenbezogene Daten aus einer ausländischen Rechtsordnung zur Verarbeitung nach Ghana gesendet, muss der Verantwortliche sicherstellen, dass die Daten gemäß den Datenschutzvorschriften dieser ausländischen Rechtsordnung verarbeitet werden.
Internationale Organisationen sollten die ghanaischen Anforderungen daher gemeinsam mit den übrigen Datenschutzgesetzen prüfen, die für ihre betroffenen Personen, Systeme und Dienstleister gelten.
Personenbezogene Daten
Nach Act 843 sind personenbezogene Daten Daten über eine Person, die anhand dieser Daten oder anhand dieser Daten zusammen mit anderen Informationen, über die der Verantwortliche verfügt oder voraussichtlich verfügen wird, identifiziert werden kann.
Beispiele sind:
- Namen
- E-Mail-Adressen
- Telefonnummern
- Identifikationsnummern
- Kontoinformationen
- Beschäftigungsinformationen
- Standortinformationen
- Online-Kennungen
- Finanzinformationen
- Gesundheitsinformationen
- Biometrische oder genetische Informationen
Ob eine technische Kennung, etwa eine Cookie-ID oder eine Gerätekennung, ein personenbezogenes Datum ist, hängt davon ab, ob sie im jeweiligen Kontext mit einer identifizierbaren Person verknüpft werden kann.
Datenschutzgrundsätze
Act 843 verlangt von jedem, der personenbezogene Daten verarbeitet, die Privatsphäre der betroffenen Person zu berücksichtigen, indem er die folgenden Grundsätze anwendet:
- Rechenschaftspflicht – der Verantwortliche ist dafür verantwortlich, dass die Grundsätze bei der von ihm durchgeführten oder veranlassten Verarbeitung angewendet werden.
- Rechtmäßigkeit – personenbezogene Daten werden rechtmäßig und angemessen verarbeitet, ohne die Privatsphäre der betroffenen Person zu verletzen.
- Zweckfestlegung – personenbezogene Daten werden für einen bestimmten, ausdrücklich festgelegten und rechtmäßigen Zweck erhoben, der mit den Funktionen oder Tätigkeiten des Verantwortlichen zusammenhängt.
- Vereinbarkeit der Weiterverarbeitung – die Weiterverarbeitung ist mit dem Zweck vereinbar, für den die Daten erhoben wurden.
- Informationsqualität – personenbezogene Daten werden im Hinblick auf den Zweck vollständig, richtig, aktuell und nicht irreführend gehalten.
- Offenheit – betroffene Personen werden über die Erhebung und Verarbeitung ihrer personenbezogenen Daten in Kenntnis gesetzt.
- Datensicherheitsmaßnahmen – geeignete technische und organisatorische Maßnahmen schützen die Integrität und Vertraulichkeit personenbezogener Daten.
- Beteiligung der betroffenen Personen – Personen können, soweit anwendbar, auf ihre personenbezogenen Daten zugreifen, sie berichtigen lassen und der Verarbeitung widersprechen.
In der Praxis sind Zweckbindung, Datenminimierung, Transparenz und Sicherheit zentrale Compliance-Aspekte. Organisationen sollten nur die personenbezogenen Daten erheben, die für einen festgelegten Zweck angemessen, erheblich und nicht übermäßig sind, diesen Zweck klar erläutern und die Daten während ihres gesamten Lebenszyklus schützen.
Rechtsgrundlagen der Verarbeitung
Abschnitt 20 sieht vor, dass personenbezogene Daten nicht ohne vorherige Einwilligung der betroffenen Person verarbeitet werden sollten, sofern keine andere festgelegte Rechtfertigung greift. Die Einwilligung ist nicht die einzige Rechtfertigung. Die Verarbeitung kann sich auch stützen auf:
- Vertragliche Erforderlichkeit – Verarbeitung, die für einen Vertrag erforderlich ist, dessen Partei die betroffene Person ist
- Gesetzliche Erlaubnis oder Verpflichtung – Verarbeitung, die gesetzlich erlaubt oder vorgeschrieben ist
- Schutz des berechtigten Interesses der betroffenen Person – Verarbeitung zum Schutz eines berechtigten Interesses der betroffenen Person
- Erfüllung einer gesetzlichen Pflicht – Verarbeitung, die für die ordnungsgemäße Erfüllung einer gesetzlichen Pflicht erforderlich ist
- Berechtigte Interessen – Verarbeitung, die zur Wahrung des berechtigten Interesses des Verantwortlichen oder eines Dritten, an den die Daten übermittelt werden, erforderlich ist
Organisationen sollten für jede Verarbeitungstätigkeit die herangezogene Rechtfertigung dokumentieren. Eine dokumentierte Rechtfertigung zeigt, warum die Verarbeitung zulässig ist, bestimmt, ob eine Einwilligung eingeholt und dokumentiert werden muss, und prägt den Umgang mit Widersprüchen und Betroffenenanfragen.
Einwilligungsverwaltung
Soweit die Einwilligung die maßgebliche Rechtfertigung ist, sollte sie sein:
- Informiert – auf Grundlage klarer Informationen darüber, worin die Person einwilligt
- Freiwillig – aus freien Stücken erteilt
- Frei von Zwang – nicht durch Druck oder Nachteile erlangt
- Bestimmt – an festgelegte Zwecke geknüpft
- Verständlich – in einfacher Sprache erläutert
- Eindeutig dokumentiert – zum Zeitpunkt der Erteilung erfasst
- Nachweisbar – durch Belege gestützt, die später vorgelegt werden können
Eine digitale Einwilligungsoberfläche sollte Folgendes vermitteln:
- Die Identität der Organisation
- Den Zweck der Erhebung
- Die betroffenen Kategorien personenbezogener Daten
- Eine etwaige Weitergabe an Dritte
- Marketing- und Tracking-Zwecke
- Wie Nutzer ihre Präferenzen verwalten können
Widerruf der Einwilligung und Widersprüche
Act 843 gibt betroffenen Personen, soweit anwendbar, das Recht, der Verarbeitung ihrer personenbezogenen Daten zu widersprechen, und die Verarbeitung sollte eingestellt werden, wenn ein Widerspruch berechtigt ist. Beruht die Verarbeitung auf einer Einwilligung, sollten Personen diese auch widerrufen können.
Diese Rechte funktionieren nur, wenn operative Abläufe sie unterstützen. Organisationen sollten Folgendes vorhalten:
- Einwilligungsnachweise
- Aufzeichnungen über Widersprüche
- Widerrufsmechanismen, soweit die Einwilligung die Grundlage ist
- Aktualisierung von Präferenzen
- Sperrlisten für Direktmarketing
- Weitergabe von Präferenzänderungen an alle Systeme, die die Daten nutzen
Besondere personenbezogene Daten
Act 843 gewährt besonderen personenbezogenen Daten einen erhöhten Schutz. Dazu gehören Informationen über:
- Rasse
- Hautfarbe
- Ethnische oder Stammeszugehörigkeit
- Politische Meinungen
- Religiöse oder ähnliche Überzeugungen
- Körperliche Gesundheit
- Medizinische Informationen
- Geistige Gesundheit oder psychischer Zustand
- DNA
- Sexuelle Orientierung
- Begehung oder mutmaßliche Begehung einer Straftat
- Verfahren im Zusammenhang mit einer Straftat
- Informationen über Strafverfahren oder Verurteilungen
Vor der Verarbeitung besonderer personenbezogener Daten sollten Organisationen Folgendes prüfen:
- Die rechtliche Rechtfertigung
- Einwilligungsanforderungen
- Sicherheit
- Zugriffsbeschränkungen
- Aufbewahrung
- Datenweitergabe
- Internationale Übermittlungen
- DSFA-Anforderungen
- Die möglichen Auswirkungen auf die betroffenen Personen
Datenschutzhinweise und Transparenz
Offenheit ist einer der Grundsätze des Gesetzes. Ein Datenschutzhinweis sollte Folgendes erläutern:
- Die Identität des Verantwortlichen
- Kontaktinformationen
- Den Zweck der Erhebung
- Die Kategorien der erhobenen personenbezogenen Daten
- Wie die Informationen verwendet werden
- Empfänger der Daten
- Rechte der betroffenen Personen
- Direktmarketing
- Internationale Übermittlungen
- Aufbewahrung
- Beschwerdemöglichkeiten, einschließlich des Rechts auf Beschwerde bei der DPC
Rechte der betroffenen Personen
Act 843 gewährt Personen Rechte an ihren personenbezogenen Daten. Jedes Recht gilt soweit anwendbar und vorbehaltlich der gesetzlichen Voraussetzungen.
Recht auf Information
Personen sollten über die Erhebung ihrer personenbezogenen Daten, den Zweck der Erhebung und weitere Umstände informiert werden, die die Verarbeitung transparent machen.
Auskunftsrecht
Personen können einen Verantwortlichen auffordern zu bestätigen, ob er personenbezogene Daten über sie verarbeitet, und eine Beschreibung dieser Daten bereitzustellen, vorbehaltlich einer Identitätsprüfung und der Voraussetzungen des Gesetzes.
Recht auf Berichtigung
Personen können die Berichtigung personenbezogener Daten verlangen, die unrichtig, nicht erheblich, übermäßig, veraltet, unvollständig oder irreführend sind.
Recht auf Sperrung, Löschung oder Vernichtung
Soweit anwendbar, können Personen die Sperrung, Löschung oder Vernichtung personenbezogener Daten verlangen, einschließlich Daten, die der Verantwortliche nicht mehr aufbewahren darf, oder unrichtiger Daten.
Widerspruchsrecht
Personen können der Verarbeitung ihrer personenbezogenen Daten sowie einer Verarbeitung, die ihnen voraussichtlich ungerechtfertigten Schaden oder Kummer zufügt, vorbehaltlich der gesetzlichen Voraussetzungen widersprechen.
Recht in Bezug auf Direktmarketing
Personen können von einem Verantwortlichen verlangen, die Verarbeitung ihrer personenbezogenen Daten für Direktmarketing einzustellen oder nicht aufzunehmen.
Recht auf Schadensersatz
Eine Person, die infolge eines Verstoßes gegen das Gesetz einen Schaden oder Kummer erleidet, kann vorbehaltlich der gesetzlichen Voraussetzungen Anspruch auf Schadensersatz haben.
Auskunftsersuchen betroffener Personen
Ein praxisnaher Ablauf für die Bearbeitung von Auskunfts- und anderen Betroffenenanfragen:
- Eingang der Anfrage – Anfragen über festgelegte Kanäle entgegennehmen und jede einzeln protokollieren.
- Identitätsprüfung – bestätigen, dass die anfragende Person die betroffene Person oder ein bevollmächtigter Vertreter ist.
- Einordnung der Anfrage – feststellen, welches Recht ausgeübt wird.
- Datenermittlung – die relevanten personenbezogenen Daten in allen Systemen und bei allen Dienstleistern auffinden.
- Prüfung von Ausnahmen und Informationen Dritter – gesetzliche Ausnahmen prüfen und die Daten anderer Personen schützen.
- Vorbereitung der Antwort – eine klare und zutreffende Antwort erstellen.
- Sichere Übermittlung – die Antwort über einen sicheren Kanal übermitteln.
- Dokumentation – die Anfrage, die Entscheidung und die Antwort dokumentieren.
ConsentX kann Workflows für Datenschutzanfragen unterstützen, indem es den Eingang organisiert, den Bearbeitungsstatus verfolgt und Aufzeichnungen führt. Die Software trifft keine rechtlichen Entscheidungen; Entscheidungen über Ausnahmen und Antworten verbleiben bei der Organisation.
Direktmarketing
Nach Act 843 können Personen von einem Verantwortlichen verlangen, die Verarbeitung ihrer personenbezogenen Daten für Direktmarketing einzustellen oder nicht aufzunehmen. Dies betrifft:
- E-Mail-Marketing
- SMS-Marketing
- Werbung
- Andere Marketingkanäle
- Marketingpräferenzen
- Nachweise über Einwilligungen und Opt-outs
- Sperrlisten für Direktmarketing
Die Präferenzverwaltung von ConsentX hilft Organisationen, Marketingentscheidungen zu erfassen, Einwilligungen und Opt-outs zu dokumentieren und aktualisierte Präferenzen an verbundene Systeme weiterzugeben, damit gesperrte Kontakte nicht angesprochen werden.
Automatisierte Entscheidungsfindung
Automatisierte Verarbeitung, einschließlich Profiling, wirft besondere datenschutzrechtliche Fragen auf:
- Transparenz
- Zweck
- Datenqualität
- Fairness
- Sicherheit
- Menschliche Beteiligung, soweit angemessen
- Mögliche Auswirkungen auf die betroffenen Personen
- Verarbeitung mit hohem Risiko
Profiling und automatisierte Entscheidungsfindung können je nach Verarbeitung und anwendbaren Anforderungen eine DSFA rechtfertigen.
Datenschutz-Folgenabschätzungen
Eine Datenschutz-Folgenabschätzung (DSFA) ist eine vorausschauende Bewertung von Datenschutzrisiken. Sie ermittelt, wie sich eine Verarbeitungstätigkeit auf Personen auswirken könnte und welche Maßnahmen diese Risiken verringern, bevor die Verarbeitung beginnt.
Eine DSFA kann relevant sein für:
- Neue Verarbeitungstätigkeiten
- Neue Technologien
- Wesentliche Änderungen bestehender Verarbeitungen
- Besondere personenbezogene Daten
- Profiling
- Automatisierte Entscheidungsfindung
- Verarbeitungen, die erhebliche Risiken für Personen bergen
Datenschutzaufseher (Data Protection Supervisor)
Abschnitt 58 sieht vor, dass ein Verantwortlicher eine zertifizierte und qualifizierte Person als Datenschutzaufseher (Data Protection Supervisor) bestellen kann, die die Einhaltung des Gesetzes durch den Verantwortlichen überwacht.
Ein wirksamer Datenschutzaufseher sollte über Folgendes verfügen:
- Zertifizierung und Qualifikation für die Rolle
- Verantwortung für die Überwachung der Einhaltung
- Angemessene Schulung
- Ausreichende Befugnisse innerhalb der Organisation
- Das für die Rolle erforderliche Wissen und die nötigen Ressourcen
Datensicherheit
Verantwortliche sollten geeignete und angemessene technische und organisatorische Maßnahmen ergreifen, um personenbezogene Daten zu schützen vor:
- Unbefugtem Zugriff
- Unbefugter Offenlegung
- Versehentlichem Verlust
- Vernichtung
- Veränderung
- Missbräuchlicher Nutzung
- Unrechtmäßiger Verarbeitung
Praktische Maßnahmen umfassen:
- Verschlüsselung
- Zugriffskontrollen
- Authentifizierung
- Multi-Faktor-Authentifizierung
- Netzwerksicherheit
- Sichere Backups
- Protokollierung und Überwachung
- Data Loss Prevention
- Mitarbeiterschulungen
- Kontrollen für Dienstleister
- Reaktion auf Sicherheitsvorfälle
Management von Datenschutzverletzungen
Ein praxisnaher Prozess zur Reaktion auf Datenschutzverletzungen:
- Erkennung des Vorfalls
- Eindämmung
- Risikobewertung
- Ermittlung der betroffenen Daten
- Bewertung der betroffenen Personen
- Meldung an die Behörde, soweit erforderlich
- Benachrichtigung der betroffenen Personen, soweit erforderlich
- Behebung
- Dokumentation
- Nachbetrachtung des Vorfalls
Rechtliche Genauigkeit
Act 843 legt keine allgemeine 72-Stunden-Frist für die Meldung von Datenschutzverletzungen fest. Organisationen sollten prüfen, ob nach dem geltenden Gesetz eine Meldung an die DPC und an betroffene Personen erforderlich ist.
Etwaige Meldefristen im Entwurf der Data Protection Bill, 2025 sind lediglich Vorschläge. Sie sollten nicht als geltende Pflichten behandelt werden, solange ein Nachfolgegesetz nicht förmlich in Kraft getreten ist.
Registrierung bei der DPC
Verantwortliche müssen sich in der Regel vor der Verarbeitung personenbezogener Daten bei der Datenschutzkommission registrieren. Ein Registrierungsantrag kann Folgendes umfassen:
- Firmenname und Anschrift
- Angaben zum Vertreter
- Eine Beschreibung der verarbeiteten personenbezogenen Daten
- Kategorien von Personen
- Besondere personenbezogene Daten
- Verarbeitungszwecke
- Vorgesehene Empfänger
- Länder, in die Daten übermittelt werden können
- Kategorien von Personen, deren Daten gespeichert werden
- Eine allgemeine Beschreibung der Sicherheitsmaßnahmen
Nach Act 843 ist die Verarbeitung personenbezogener Daten ohne Registrierung als Verantwortlicher eine Straftat, die im summarischen Verfahren mit einer Geldstrafe, einer Freiheitsstrafe oder beidem geahndet wird, wie im Gesetz festgelegt. Organisationen sollten die anwendbare Strafe mit ihren Rechtsberatern klären.
Prüfungspflichtige Verarbeitung (Assessable Processing)
Act 843 enthält einen Rahmen für die prüfungspflichtige Verarbeitung (Assessable Processing). Eine Verarbeitung, die einer betroffenen Person erheblichen Schaden oder erheblichen Kummer zufügen oder ihre Datenschutzrechte erheblich beeinträchtigen kann, kann einer zusätzlichen Prüfung durch die DPC unterliegen.
Organisationen, die eine Verarbeitung mit hohem Risiko planen, sollten vor Beginn der Verarbeitung prüfen, ob dieser Rahmen anwendbar ist.
Internationale Datenübermittlungen
Vor der Übermittlung personenbezogener Daten aus Ghana heraus sollten Organisationen die anwendbaren Anforderungen prüfen, darunter:
- Zielländer
- Empfänger im Ausland
- Datenkategorien
- Übermittlungszwecke
- Sicherheitsgarantien
- Vertragliche Schutzmaßnahmen
- Anwendbare ausländische Datenschutzgesetze
Die Registrierungsangaben bei der DPC umfassen die Länder, in die ein Verantwortlicher personenbezogene Daten übermitteln will; Übermittlungsvereinbarungen und Registrierungsangaben sollten daher übereinstimmen.
Aufbewahrung und Löschung von Daten
Die Aufbewahrung sollte sich am Zweck, für den die personenbezogenen Daten erhoben wurden, und an etwaigen anwendbaren gesetzlichen Anforderungen orientieren. Ein Aufbewahrungsprogramm sollte Folgendes abdecken:
- Aufbewahrungsfristen
- Löschverfahren
- Archivierung
- Legal Holds
- Automatisierte Löschung, soweit angemessen
- Sichere Vernichtung
- Regelmäßige Überprüfung der Aufbewahrung
Auftragsverarbeiter und Dienstleister
Verantwortliche bleiben für personenbezogene Daten verantwortlich, die Dritte in ihrem Auftrag verarbeiten. Verträge mit Dienstleistern sollten Folgendes regeln:
- Verarbeitungsweisungen
- Zweckbindung
- Vertraulichkeit
- Sicherheit
- Unterauftragsverarbeiter
- Aufbewahrung
- Löschung
- Vorfallmanagement
- Anfragen betroffener Personen
- Internationale Übermittlungen
- Unterstützung bei der Einhaltung
Privacy by Design
Datenschutz lässt sich leichter erreichen, wenn er von Anfang an in Produkte und Prozesse integriert wird. Hilfreiche Praktiken sind:
- Datenminimierung
- Zweckbindung
- Datenschutzfreundliche Voreinstellungen
- Zugriffskontrollen
- Verschlüsselung
- Aufbewahrungsgrenzen
- Einwilligungskontrollen
- Audit-Logs
- Sichere Löschung
Cookies und Online-Tracking
Act 843 regelt die Verarbeitung personenbezogener Daten. Er schafft keine allgemeine, einheitliche Cookie-Regel. Websites und Apps verwenden häufig:
- Notwendige Cookies
- Analyse-Cookies
- Werbe-Cookies
- Social-Media-Pixel
- Retargeting-Technologien
- Personalisierung
- Gerätekennungen
- Skripte von Drittanbietern
Organisationen sollten feststellen, ob die einzelnen Tracking-Technologien personenbezogene Daten verarbeiten, und in diesem Fall die geeignete rechtliche Rechtfertigung nach dem Gesetz bestimmen.
Cookie-Einwilligung und Vorab-Blockierung von Skripten
Soweit die Einwilligung die maßgebliche Rechtsgrundlage für das Tracking ist, tragen folgende Kontrollen dazu bei, dass diese Einwilligung aussagekräftig ist:
- Klare Einwilligungshinweise
- Zweckbezogene Auswahlmöglichkeiten
- Optionale Kategorien, die nicht vorausgewählt sind
- Vorab-Blockierung der betreffenden Tracker
- Widerruf der Einwilligung
- Präferenzverwaltung
- Einwilligungsnachweise
- Nachverfolgung von Richtlinienversionen
ConsentX unterstützt die technische Durchsetzung dieser Entscheidungen. Die Vorab-Blockierung von Skripten verhindert, dass betreffende Tracker ausgeführt werden, bevor der Besucher eingewilligt hat, und die Präferenzverwaltung ermöglicht es Besuchern, ihre Entscheidungen jederzeit zu ändern.
Compliance-Überwachung und Audits
Organisationen sollten Nachweise über die Einhaltung vorlegen können, darunter:
- DPC-Registrierung
- Datenschutzhinweise
- Einwilligungsnachweise
- Datenlandkarten
- Verarbeitungsverzeichnisse
- DSFAs
- Sicherheitsbewertungen
- Verträge mit Dienstleistern
- Aufzeichnungen über Datenschutzverletzungen
- Anfragen betroffener Personen
- Marketingpräferenzen
- Aufbewahrungspläne
- Schulungsnachweise
- Unterlagen zum Datenschutzaufseher
Durchsetzung durch die DPC
Die Datenschutzkommission Ghanas ist zuständig für:
- Behördliche Aufsicht
- Registrierung der Verantwortlichen
- Untersuchungen
- Beschwerden
- Überwachung der Einhaltung
- Durchsetzung
- Leitlinien
- Schulungen
- Sensibilisierung
Die Kommission kann Beschwerden untersuchen, Inspektionen durchführen und Anordnungen erlassen, mit denen Organisationen verpflichtet werden, Maßnahmen zur Einhaltung des Gesetzes zu ergreifen.
Sanktionen
Act 843 enthält spezifische Straftatbestände mit jeweils eigenen Strafen. Es gibt kein einheitliches Höchstmaß für alle Straftaten. Das Gesetz unterscheidet zwischen:
- Unterlassene Registrierung – für die Verarbeitung personenbezogener Daten ohne Registrierung als Verantwortlicher sieht das Gesetz eine eigene Strafe vor
- Nichtbefolgung bestimmter Anordnungen – für die Nichtbefolgung bestimmter von der Kommission erlassener Anordnungen gilt eine eigene Strafe
- Sonstige gesetzliche Straftaten – für weitere im Gesetz festgelegte Straftaten gelten die jeweils dafür vorgesehenen Strafen
- Allgemeine Strafe nach Abschnitt 95 – ist keine spezifische Strafe vorgesehen, drohen einer Person, die eine Straftat begeht, im summarischen Verfahren eine Geldstrafe von höchstens fünftausend Strafeinheiten (Penalty Units), eine Freiheitsstrafe von höchstens zehn Jahren oder beides
Organisationen sollten die Strafe prüfen, die an die jeweilige spezifische Bestimmung geknüpft ist, statt anzunehmen, dass das Höchstmaß nach Abschnitt 95 gilt.
Ghanas Data Protection Bill 2025
Die Data Protection Bill, 2025 ist ein Entwurf für ein Nachfolgegesetz zu Act 843.
- Der Gesetzentwurf ist ein Vorschlag und darf nicht als derzeit geltendes Recht behandelt werden.
- Act 843 bleibt der geltende Datenschutzrahmen in Ghana.
- Organisationen sollten die Gesetzgebung verfolgen.
- Compliance-Prüfungen sollten aktualisiert werden, falls ein Nachfolgegesetz förmlich in Kraft tritt.
Wie ConsentX bei der Einhaltung von Ghanas DPA hilft
ConsentX bietet technische Werkzeuge, die Datenschutz- und Einwilligungsprozesse unterstützen. Es hilft, Kontrollen umzusetzen und Nachweise darüber zu führen, garantiert jedoch für sich genommen keine Rechtskonformität.
Einwilligungsverwaltung
Besuchern in Ghana klare, zweckbezogene Einwilligungsoptionen anbieten, soweit die Einwilligung die maßgebliche Rechtfertigung ist.
Cookie- und Tracker-Verwaltung
Die auf Ihrer Website laufenden Cookies, Skripte und Tracker erkennen und kategorisieren.
Vorab-Blockierung von Skripten
Betreffende nicht notwendige Skripte zurückhalten, bis der Besucher eingewilligt hat.
Einwilligungsnachweise
Prüffähige Einwilligungsnachweise führen, die Folgendes erfassen:
- Zeitstempel
- Einwilligungskategorie
- Zweck
- Richtlinienversion
- Entscheidung des Nutzers
- Einwilligungsbeleg
Regionale Datenschutzkontrollen
Ein für Besucher in Ghana konfiguriertes Einwilligungserlebnis neben Regeln für andere Regionen anwenden.
DSAR- und Präferenz-Workflows
Anfragen betroffener Personen organisieren und Personen ermöglichen, ihre Präferenzen zu aktualisieren oder zu widerrufen.
Compliance-Überwachung
Ihre Website erneut scannen, um neue Technologien zu erkennen und Konfiguration sowie Nachweise aktuell zu halten.
So erfüllen Sie Ghanas DPA mit ConsentX
- 1
Website scannen
Führen Sie einen ConsentX-Scan durch, um die auf Ihrer Website laufenden Cookies, Skripte, Pixel und anderen Technologien zu finden und festzustellen, wohin sie Daten senden.
- 2
Technologien kategorisieren
Ordnen Sie jede Technologie nach Zweck ein, etwa notwendig, Analyse, funktional, Werbung und Personalisierung, damit jede Kategorie einheitlich gesteuert werden kann.
- 3
Geeignete Rechtsgrundlage bestimmen
Legen Sie für jede Kategorie fest, ob die Einwilligung oder eine andere Rechtfertigung nach Abschnitt 20 greift, und dokumentieren Sie die Entscheidung. ConsentX setzt Ihre Konfiguration um; die rechtliche Bewertung bleibt Ihre Aufgabe.
- 4
Einwilligungserlebnis für Ghana konfigurieren
Richten Sie für Besucher in Ghana einen Einwilligungshinweis ein, der Ihre Organisation nennt, Zwecke und Datenkategorien erläutert, die Weitergabe an Dritte offenlegt und optionale Kategorien nicht vorauswählt.
- 5
Betreffende Tracker blockieren
Aktivieren Sie die Vorab-Blockierung von Skripten, damit einwilligungsabhängige Tracker erst ausgeführt werden, wenn der Besucher eingewilligt hat.
- 6
Einwilligung dokumentieren
Speichern Sie für jede Entscheidung einen Einwilligungsnachweis mit Zeitstempel, Kategorien, Zwecken, Richtlinienversion und der Wahl des Nutzers, und stellen Sie einen Einwilligungsbeleg aus.
- 7
Widerruf von Präferenzen ermöglichen
Bieten Sie Besuchern eine dauerhaft verfügbare Möglichkeit, ihre Entscheidungen zu überprüfen, zu ändern oder zu widerrufen, und stellen Sie sicher, dass ein Widerruf die zugehörige Verarbeitung beendet.
- 8
Anfragen betroffener Personen verwalten
Leiten Sie Anfragen zu Auskunft, Berichtigung, Widerspruch und Löschung in einen nachverfolgbaren Workflow mit Identitätsprüfung und Dokumentation.
- 9
Nachweise pflegen
Bewahren Sie Einwilligungsprotokolle, Scanberichte, Hinweisversionen und Anfrageaufzeichnungen zusammen auf, damit Sie zeigen können, wie Entscheidungen erfasst und durchgesetzt wurden.
- 10
Regulatorische Entwicklungen verfolgen
Verfolgen Sie die Leitlinien der DPC und den Fortgang des Entwurfs der Data Protection Bill, 2025, und passen Sie Ihre Konfiguration an, falls ein Nachfolgegesetz förmlich in Kraft tritt.
Checkliste zur Einhaltung von Ghanas DPA
Nutzen Sie diese Checkliste als Ausgangspunkt für Ihr Compliance-Programm:
- Feststellen, ob Act 843 anwendbar ist
- Rollen als Verantwortlicher und Auftragsverarbeiter bestimmen
- Verarbeitung personenbezogener Daten erfassen
- Rechtliche Rechtfertigungen bestimmen
- Einwilligungsmechanismen überprüfen
- Datenschutzhinweise bereitstellen
- Besondere personenbezogene Daten identifizieren
- Verarbeitung von Kinderdaten bewerten
- Sich als Verantwortlicher registrieren, soweit erforderlich
- Anforderungen an den Datenschutzaufseher prüfen
- Sicherheitsmaßnahmen umsetzen
- Reaktion auf Sicherheitsvorfälle etablieren
- DSFA-Anforderungen prüfen
- Internationale Übermittlungen bewerten
- Regeln für Aufbewahrung und Löschung festlegen
- Verfahren für Anfragen betroffener Personen umsetzen
- Direktmarketing-Präferenzen pflegen
- Automatisierte Entscheidungsfindung überprüfen
- Verträge mit Dienstleistern pflegen
- Compliance-Nachweise pflegen
- Den Gesetzentwurf von 2025 verfolgen
Häufig gestellte Fragen
Übersicht der Regelungen in Ghana
| Punkt | Details |
|---|---|
| Land | Ghana |
| Hauptgesetz | Data Protection Act, 2012 (Act 843) |
| Aufsichtsbehörde | Datenschutzkommission (DPC) |
| Status | In Kraft |
| Gültig seit | 16. Oktober 2012 |
| Aktueller Nachfolgevorschlag | Entwurf der Data Protection Bill, 2025 |
GhanaWeitere Datenschutzvorschriften
Organisationen, die in mehreren Märkten tätig sind, müssen möglicherweise auch diese Regelwerke prüfen. Welche davon anwendbar sind, hängt davon ab, wo die Organisation tätig ist, wo sich ihre betroffenen Personen befinden, welche Dienste sie anbietet und wohin personenbezogene Daten übermittelt werden.
GDPR
UK GDPR
CCPA / CPRA
LGPD
POPIA
NDPA
DPA KE
DPDPA
PDPA
PDPA TH
PDPL UAE
PDPPLWarum Einwilligungsverwaltung für Ghana wichtig ist
Die Einwilligungsverwaltung ist ein Bestandteil des umfassenderen Datenschutzrahmens Ghanas, neben Registrierung, Sicherheit, Rechten der betroffenen Personen und Governance. Soweit sie sich auf eine Einwilligung stützen, sollten Organisationen Folgendes nachweisen können:
- Was dem Nutzer mitgeteilt wurde
- In welchen Zweck der Nutzer eingewilligt hat
- Wann die Einwilligung erteilt wurde
- Welche Kategorien ausgewählt wurden
- Welcher Datenschutzhinweis angezeigt wurde
- Ob die Einwilligung später widerrufen wurde
- Wie die Präferenzen durchgesetzt wurden
ConsentX verknüpft diese Fragen mit technischen Kontrollen: Die Vorab-Blockierung von Skripten setzt Entscheidungen durch, Einwilligungsnachweise und -belege sichern die Beweise, und die Nachverfolgung von Richtlinienversionen verknüpft jede Entscheidung mit dem Hinweis, den der Nutzer gesehen hat.
Mit ConsentX bereit für Ghanas DPA
Schaffen Sie ein transparentes und prüffähiges Datenschutzerlebnis für Nutzer in Ghana.
ConsentX kann bei der Verwaltung folgender Bereiche helfen:
- Cookie-Einwilligung
- Tracking-Technologien
- Einwilligungspräferenzen
- Vorab-Blockierung von Skripten
- Einwilligungsbelege
- Datenschutzanfragen
- Regionale Datenschutzregeln
- Prüfnachweise
Scannen Sie Ihre Website, konfigurieren Sie Ihr Datenschutzerlebnis für Ghana, setzen Sie Nutzerentscheidungen durch und führen Sie mit ConsentX Nachweise über Einwilligungen.
Diese Seite bietet allgemeine Informationen über Ghanas Data Protection Act, 2012 (Act 843) und stellt keine Rechtsberatung dar. ConsentX ist eine Technologieplattform, die Datenschutz- und Einwilligungsprozesse unterstützt; sie garantiert keine Rechtskonformität. Wenden Sie sich zu Ihren konkreten Pflichten an qualifizierte Rechtsberater.