Was ist die Datenschutz-Grundverordnung (GDPR)?
Auch bekannt als: GDPR, EU GDPR, Datenschutz-Grundverordnung (EU)
Die GDPR gilt nicht nur für Organisationen, die in der Europäischen Union niedergelassen sind, sondern unter bestimmten Umständen auch für Organisationen außerhalb der EU - etwa wenn sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten.
Die GDPR stellt Anforderungen an rechtmäßige Verarbeitung, Transparenz, Einwilligung, Datenminimierung, Sicherheit, Betroffenenrechte, internationale Datenübermittlungen und Rechenschaftspflicht.
Für Websites ist die Einwilligung in Cookies und Tracker eine der sichtbarsten Anforderungen der GDPR. Wo die Einwilligung die passende Rechtsgrundlage ist, muss sie freiwillig, spezifisch, informiert und unmissverständlich erteilt werden, und Organisationen müssen nachweisen können, dass die Einwilligung eingeholt wurde.
Was bedeutet GDPR?
GDPR steht für Datenschutz-Grundverordnung.
Ihr offizieller Name lautet Regulation (EU) 2016/679. Sie wurde 2016 von der Europäischen Union verabschiedet und gilt seit dem 25. Mai 2018.
Die Verordnung ersetzte die EU-Datenschutzrichtlinie Directive 95/46/EC und schuf einen einheitlicheren Datenschutzrahmen im gesamten Europäischen Wirtschaftsraum.
Die GDPR soll die Grundrechte von Einzelpersonen in Bezug auf ihre personenbezogenen Daten schützen und zugleich einheitliche Pflichten für Organisationen schaffen, die diese Daten verarbeiten.
Für wen gilt die GDPR?
Die GDPR kann für Organisationen innerhalb und außerhalb der Europäischen Union gelten.
Sie gilt in der Regel, wenn:
- Eine Organisation in der EU niedergelassen ist und im Rahmen ihrer Tätigkeiten personenbezogene Daten verarbeitet.
- Eine Organisation außerhalb der EU Personen in der EU Waren oder Dienstleistungen anbietet.
- Eine Organisation außerhalb der EU das Verhalten von Personen in der EU beobachtet.
Ein Unternehmen braucht also nicht zwingend ein Büro in Europa, damit die GDPR relevant wird. Ein anderswo ansässiges Unternehmen kann je nach seinem Angebot und der Art seines Umgangs mit Personen in der EU dennoch in ihren Anwendungsbereich fallen.
Was sind personenbezogene Daten nach der GDPR?
Die GDPR definiert personenbezogene Daten weit.
Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Je nach den Umständen kann dazu gehören:
- Name
- E-Mail-Adresse
- Telefonnummer
- Postanschrift
- IP-Adresse
- Online-Kennungen
- Cookie-Kennungen
- Gerätekennungen
- Standortinformationen
- Kontoinformationen
- Werbekennungen
- Daten über das Verhalten oder die Präferenzen einer Person
Bestimmte Kategorien personenbezogener Daten genießen nach der GDPR zusätzlichen Schutz, darunter bestimmte Gesundheitsdaten, biometrische, genetische, rassische oder ethnische, religiöse und andere sensible Informationen.
Was ist Verarbeitung nach der GDPR?
Auch die Verarbeitung ist in der GDPR weit definiert.
Dazu können Vorgänge gehören wie:
- Personenbezogene Daten erheben
- Informationen erfassen
- Daten ordnen
- Daten speichern
- Auf Daten zugreifen
- Daten nutzen
- Daten weitergeben
- Daten auswerten
- Daten zusammenführen
- Daten löschen
GDPR-Compliance beschränkt sich daher nicht auf die Datenerhebung. Sie kann den gesamten Lebenszyklus personenbezogener Daten betreffen.
Was sind die zentralen Grundsätze der GDPR?
Die GDPR stellt mehrere Kerngrundsätze für die Verarbeitung personenbezogener Daten auf.
Dazu gehören:
Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
Organisationen müssen personenbezogene Daten rechtmäßig, nach Treu und Glauben und in transparenter Weise verarbeiten.
Zweckbindung
Personenbezogene Daten sollten für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer damit unvereinbaren Weise weiterverarbeitet werden.
Datenminimierung
Organisationen sollten nur personenbezogene Daten verarbeiten, die dem Zweck angemessen und für ihn erheblich sowie auf das notwendige Maß beschränkt sind.
Richtigkeit
Personenbezogene Daten sollten richtig und, wo erforderlich, auf dem neuesten Stand sein.
Speicherbegrenzung
Personenbezogene Daten sollten nicht länger aufbewahrt werden, als es für ihren Zweck erforderlich ist.
Integrität und Vertraulichkeit
Organisationen müssen angemessene Sicherheitsmaßnahmen einsetzen, um personenbezogene Daten zu schützen.
Rechenschaftspflicht
Organisationen müssen für die Einhaltung der GDPR verantwortlich sein und diese Einhaltung nachweisen können.
Diese Grundsätze wirken sich auf alles aus - von Datenschutzhinweisen und Aufbewahrungsfristen bis hin zu Einwilligungsmanagement und Sicherheitskontrollen.
Was sind die Rechtsgrundlagen nach der GDPR?
Die GDPR verlangt nicht für jede Art der Verarbeitung personenbezogener Daten eine Einwilligung.
Artikel 6 nennt mehrere Rechtsgrundlagen für die Verarbeitung personenbezogener Daten, darunter:
Die Einwilligung ist damit eine Rechtsgrundlage unter mehreren.
Eine Organisation sollte für jede Verarbeitungstätigkeit die passende Rechtsgrundlage bestimmen, statt automatisch jede Verarbeitung als einwilligungsbasiert zu behandeln.
Was ist eine Einwilligung nach der GDPR?
Wird die Einwilligung als Rechtsgrundlage für die Verarbeitung genutzt, muss die Einwilligung nach der GDPR bestimmte Anforderungen erfüllen.
Die Einwilligung muss sein:
Sie muss außerdem eine eindeutige bestätigende Handlung umfassen.
Schweigen, Untätigkeit und vorangekreuzte Kästchen stellen keine wirksame Einwilligung nach der GDPR dar.
Eine Einwilligungsanfrage sollte zudem klar von anderen Informationen unterscheidbar sein, verständliche Sprache verwenden und erklären, worin die Person einwilligt.
Was verlangt die GDPR für Einwilligungsnachweise?
Organisationen, die sich auf die Einwilligung stützen, müssen nachweisen können, dass die betreffende Person eingewilligt hat.
Damit werden Einwilligungsnachweise zu einem wichtigen Teil der GDPR-Compliance.
Ein brauchbarer Einwilligungsnachweis kann Informationen festhalten wie:
- Einwilligungsstatus
- Datum und Uhrzeit
- Zweck oder Zwecke
- Einwilligungsmechanismus
- Einschlägige Version des Hinweises oder der Datenschutzrichtlinie
- Kategorien der Verarbeitung
- Widerrufsstatus
- Einschlägige Kennung oder Consent Receipt
Welche Informationen eine Organisation genau aufbewahren sollte, hängt von ihren Verarbeitungstätigkeiten und Compliance-Anforderungen ab.
Wichtig ist der Grundsatz, dass eine Organisation zum Nachweis der Einwilligung nicht allein auf das Gedächtnis der Nutzerin oder des Nutzers oder auf einen nicht überprüfbaren Datenbankeintrag angewiesen sein sollte. Artikel 7 verlangt ausdrücklich, dass der Verantwortliche die Einwilligung nachweisen kann, wenn die Verarbeitung auf ihr beruht.
Kann eine Einwilligung nach der GDPR widerrufen werden?
Ja.
Beruht die Verarbeitung auf einer Einwilligung, haben Personen das Recht, ihre Einwilligung jederzeit zu widerrufen.
Die GDPR verlangt außerdem, dass der Widerruf der Einwilligung ebenso einfach sein muss wie ihre Erteilung. Der Widerruf macht eine frühere einwilligungsbasierte Verarbeitung nicht rückwirkend unrechtmäßig, doch die Organisation muss sich für die künftige Verarbeitung nicht länger auf die Einwilligung stützen, wenn keine andere Rechtsgrundlage greift.
Für Websites bedeutet das: Ein Einwilligungssystem sollte einen leicht zugänglichen Weg bieten, die Datenschutzpräferenzen erneut aufzurufen und zu ändern.
Was ist die Cookie-Einwilligung nach der GDPR?
Cookie-Einwilligung nach der GDPR bedeutet, eine wirksame Einwilligung einzuholen, wo Cookies oder ähnliche Technologien eine Verarbeitung umfassen, für die eine Einwilligung erforderlich ist.
Häufige Beispiele sind:
- Werbetracker
- Verhaltensbasierte Analyse
- Social-Media-Tracking
- Marketing-Pixel
- Manche eingebetteten Drittanbieter-Technologien
- Sonstige nicht notwendige Tracking-Technologien
Ein Cookie-Banner allein macht eine Website nicht automatisch GDPR-konform.
Eine konforme Einwilligungsumsetzung sollte sicherstellen, dass die betreffenden Technologien die einschlägige Verarbeitung nicht durchführen, bevor die erforderliche Einwilligung vorliegt.
Hier werden die vorherige Einwilligung und das Prior Blocking wichtig.
Was ist Prior Blocking nach der GDPR?
Prior Blocking bedeutet, nicht notwendige Cookies, Skripte und Tracker daran zu hindern, ausgeführt zu werden, bis die Besucherin oder der Besucher die erforderliche Einwilligungsentscheidung getroffen hat.
Das ist etwas anderes, als lediglich ein Einwilligungsbanner anzuzeigen.
Lädt beispielsweise ein Analyse- oder Werbeskript, bevor die Nutzerin oder der Nutzer eine Entscheidung getroffen hat, macht ein danach angezeigtes Banner das bereits Geschehene nicht rückgängig.
Ein technisch durchgesetztes Einwilligungssystem sollte daher die Entscheidung der Nutzerin oder des Nutzers mit den Technologien verbinden, die die Verarbeitung durchführen.
ConsentX bezeichnet diesen Ansatz als Prior-Script-Blocking: Nicht notwendige Tracker bleiben blockiert, bis die passende Entscheidung getroffen wurde.
Welche Rechte haben Personen nach der GDPR?
Die GDPR gewährt Personen eine Reihe von Rechten in Bezug auf ihre personenbezogenen Daten.
Je nach den Umständen gehören dazu:
- Recht auf Information
- Auskunftsrecht
- Recht auf Berichtigung
- Recht auf Löschung
- Recht auf Einschränkung der Verarbeitung
- Recht auf Datenübertragbarkeit
- Widerspruchsrecht
- Rechte im Zusammenhang mit automatisierter Entscheidungsfindung und Profiling
Diese Rechte sind ein wichtiger Teil der GDPR-Compliance und erfordern von Organisationen Prozesse, um Anfragen betroffener Personen entgegenzunehmen, zu authentifizieren, zu bewerten und zu beantworten.
Was ist ein Verantwortlicher nach der GDPR?
Ein Verantwortlicher ist die Organisation oder Person, die über Zweck und Mittel der Verarbeitung personenbezogener Daten entscheidet.
Der Verantwortliche muss sicherstellen, dass die Verarbeitung die geltenden Anforderungen der GDPR erfüllt.
Ein Unternehmen, das eine E-Commerce-Website betreibt, kann beispielsweise festlegen:
- Welche Kundeninformationen erhoben werden
- Warum sie erhoben werden
- Wie sie genutzt werden
- Wie lange sie aufbewahrt werden
- Welche Dienstleister sie erhalten
Dieses Unternehmen kann daher für diese Verarbeitungstätigkeiten als Verantwortlicher auftreten.
Was ist ein Auftragsverarbeiter nach der GDPR?
Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag eines Verantwortlichen.
Beispiele können bestimmte Anbieter und Systeme sein, darunter:
- Cloud-Dienstleister
- E-Mail-Plattformen
- Systeme für das Kundenbeziehungsmanagement
- Analyseanbieter
- Hosting-Anbieter
- Zahlungs- oder Fulfillment-Dienstleister
Der Verantwortliche bleibt dafür verantwortlich, geeignete Auftragsverarbeiter auszuwählen und seine Pflichten nach der GDPR zu erfüllen, während auch Auftragsverarbeiter eigene Pflichten aus der Verordnung haben.
Das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter sollte klar dokumentiert und durch die passenden vertraglichen Vereinbarungen geregelt sein.
Was ist GDPR-Compliance?
GDPR-Compliance bedeutet, die organisatorischen, rechtlichen und technischen Maßnahmen umzusetzen, die zur Erfüllung der geltenden Anforderungen der GDPR erforderlich sind.
Ein Programm für GDPR-Compliance kann umfassen:
- Die Verarbeitung personenbezogener Daten abbilden
- Rechtsgrundlagen bestimmen
- Datenschutzhinweise pflegen
- Die Cookie-Einwilligung verwalten
- Einwilligungen dokumentieren
- Prozesse für Anfragen betroffener Personen umsetzen
- Aufbewahrungsrichtlinien festlegen
- Auftragsverarbeiter steuern
- Sicherheitsmaßnahmen umsetzen
- Risikoreiche Verarbeitungen bewerten
- Internationale Datenübermittlungen steuern
- Compliance-Dokumentation pflegen
- Rechenschaftspflicht nachweisen
Compliance geht also über das Einbinden eines Cookie-Banners hinaus.
GDPR und Website-Compliance
Für Websites betrifft die GDPR-Compliance oft mehrere miteinander verbundene Systeme.
Eine Website muss möglicherweise:
- Cookies, Skripte und Drittanbieter-Technologien identifizieren.
- Bestimmen, welche Verarbeitungstätigkeiten eine Einwilligung erfordern.
- Vor dem Einholen der Einwilligung klare Informationen anzeigen.
- Echte Wahlmöglichkeiten bieten.
- Die betroffene nicht notwendige Verarbeitung vor der Einwilligung verhindern.
- Die Entscheidung der Nutzerin oder des Nutzers dokumentieren.
- Änderungen und Widerrufe beachten.
- Nachweise über die Einwilligungsentscheidung vorhalten.
- Änderungen an Skripten und Drittanbieterdiensten im Zeitverlauf überprüfen.
Deshalb können automatisiertes Scannen und kontinuierliche Überwachung neben einer Consent-Management-Plattform nützlich sein.
ConsentX bietet einen Scanner, der Cookies, Tracker, Skripte und Drittanbieter-Technologien identifizieren soll, die auf einer Website laden, bevor Besucherinnen und Besucher ihre Einwilligung erteilt haben.
GDPR und Privacy by Design
Die GDPR fördert außerdem einen proaktiven Umgang mit dem Datenschutz.
Organisationen sollten Datenschutzanforderungen bereits bei der Gestaltung von Produkten, Websites, Anwendungen und Verarbeitungssystemen berücksichtigen, statt Compliance als etwas zu behandeln, das nach dem Launch ergänzt wird.
Für das Einwilligungsmanagement bedeutet das: Datenschutzpräferenzen sollten sich im technischen Verhalten der Website widerspiegeln.
Ein Banner mit der Aufschrift „Do Not Track“, während Tracker weiterhin laden, bietet nicht dasselbe Maß an Kontrolle wie ein System, das die Entscheidung der Nutzerin oder des Nutzers tatsächlich durchsetzt.
GDPR-Bußgelder
Die GDPR sieht für bestimmte Verstöße erhebliche Geldbußen vor.
Je nach Art des Verstoßes können die Bußgelder erreichen:
Bis zu 10 Millionen € oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, für bestimmte Verstöße.
Bis zu 20 Millionen € oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, für schwerwiegendere Verstöße.
Der jeweils geltende Höchstbetrag hängt von der konkret betroffenen Bestimmung der GDPR ab.
Bußgelder sind nur ein Teil des Durchsetzungsrahmens. Organisationen sollten sich daher darauf konzentrieren, nachhaltige Compliance-Kontrollen aufzubauen, statt den höchstmöglichen Bußgeldbetrag als Definition von GDPR-Compliance zu betrachten.
Wie ConsentX beim Einwilligungsmanagement nach GDPR hilft
ConsentX ist eine Consent-Management-Plattform (CMP), die Organisationen dabei unterstützen soll, Datenschutz- und Einwilligungsanforderungen über Websites hinweg operativ umzusetzen.
Zu den Funktionen für das Einwilligungsmanagement gehören:
Website-Scanning
Einwilligungsbanner
Prior-Script-Blocking
Granulare Einwilligungsoptionen
Widerruf der Einwilligung
Manipulationssichere Consent Receipts
Geobasierte Datenschutzregeln
Audit-Exporte
Workflows für Anfragen betroffener Personen
ConsentX beschreibt seine Plattform als Hilfe für Unternehmen, nicht notwendige Tracker vor der Einwilligung zu blockieren und manipulationssichere Einwilligungsnachweise zu führen.
Die Technologie ersetzt weder die rechtliche Bewertung einer Organisation noch ihr umfassenderes Programm zur GDPR-Compliance. Sie kann jedoch die technische Ebene liefern, die nötig ist, damit Einwilligungsentscheidungen durchsetzbar und prüfbar werden.
Checkliste für die GDPR-Compliance
Eine praxistaugliche GDPR-Checkliste für Websites umfasst:
- Ermitteln Sie, welche personenbezogenen Daten Ihre Website verarbeitet.
- Erfassen Sie Cookies, Tracker und Drittanbieter-Technologien.
- Bestimmen Sie die Rechtsgrundlage für jede betroffene Verarbeitungstätigkeit.
- Stellen Sie klare Datenschutzinformationen bereit.
- Holen Sie eine wirksame Einwilligung ein, wo die Einwilligung die einschlägige Rechtsgrundlage ist.
- Verwenden Sie keine vorangekreuzten Einwilligungskästchen.
- Blockieren Sie die betroffenen nicht notwendigen Tracker vor der Einwilligung.
- Machen Sie Ablehnung und Widerruf leicht zugänglich.
- Dokumentieren und bewahren Sie die Nachweise der Einwilligung.
- Stellen Sie Mechanismen zur Ausübung der Betroffenenrechte bereit.
- Überprüfen Sie Auftragsverarbeiter und Verträge.
- Halten Sie angemessene Sicherheitskontrollen vor.
- Scannen Sie die Website regelmäßig auf Änderungen.
GDPR: Das Wichtigste in Kürze
Die Datenschutz-Grundverordnung (GDPR) ist eines der einflussreichsten Datenschutzgesetze der Welt.
Die wichtigsten Punkte sind:
- Die GDPR regelt die Verarbeitung personenbezogener Daten.
- Sie kann für Organisationen außerhalb der EU gelten.
- Die Einwilligung ist nur eine von mehreren Rechtsgrundlagen für die Verarbeitung.
- Eine Einwilligung nach der GDPR muss freiwillig, spezifisch, informiert und unmissverständlich sein.
- Vorangekreuzte Kästchen und Untätigkeit stellen keine wirksame Einwilligung dar.
- Organisationen, die sich auf die Einwilligung stützen, müssen sie nachweisen können.
- Personen können ihre Einwilligung jederzeit widerrufen.
- Der Widerruf sollte ebenso einfach sein wie die Erteilung der Einwilligung.
- Die GDPR gewährt weitreichende Betroffenenrechte.
- Website-Compliance erfordert mehr als das Anzeigen eines Cookie-Banners.
- Technische Durchsetzung und Einwilligungsnachweise sind wichtige Bestandteile eines prüfbaren Einwilligungssystems.
Machen Sie die Einwilligung nach der GDPR durchsetzbar und nachweisbar
Bei der GDPR-Compliance geht es nicht nur darum, Nutzern einen Datenschutzhinweis oder ein Cookie-Banner anzuzeigen. Die technische Umsetzung muss die Entscheidung der Nutzer respektieren, die betroffene Verarbeitung vor der Einwilligung verhindern, den Widerruf unterstützen und verlässliche Nachweise darüber führen, was geschehen ist. ConsentX unterstützt Organisationen dabei, Einwilligungen auf ihren Websites einzuholen, durchzusetzen und nachzuweisen. Bauen Sie mit ConsentX ein prüfungssicheres Einwilligungsmanagement auf.
Verwandte Begriffe
Die Erlaubnis für nicht notwendige Cookies und Tracker, wo eine Einwilligung erforderlich ist.
Die technische Praxis, das Auslösen betroffener nicht notwendiger Tracker zu verhindern, bevor die Nutzerin oder der Nutzer einwilligt.
Software, die die Einwilligung der Nutzer erfasst, verwaltet, durchsetzt und dokumentiert.
Ein strukturierter Nachweis darüber, worin eine Nutzerin oder ein Nutzer eingewilligt hat, einschließlich der einschlägigen Zwecke und Einwilligungsinformationen.
Die Organisation, die nach der GDPR über Zweck und Mittel der Verarbeitung personenbezogener Daten entscheidet.
Eine Organisation, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet.
Die Person, auf die sich die personenbezogenen Daten beziehen.
Das britische GDPR-Rahmenwerk nach dem Brexit.
Indiens Digital Personal Data Protection Act.