GDPR

Die GDPR ersetzte die Datenschutzrichtlinie von 1995 und gilt für jede Organisation, die personenbezogene Daten von Personen in der Europäischen Union und im Europäischen Wirtschaftsraum verarbeitet, unabhängig davon, wo die Organisation selbst ansässig ist. Diese extraterritoriale Reichweite bedeutet, dass ein Unternehmen an jedem Ort der Welt unter die Verordnung fallen kann, wenn es sich an Einwohner der EU richtet oder deren Verhalten überwacht.

Im Kern verlangt die Verordnung, dass sich jede Verarbeitung personenbezogener Daten auf eine von sechs Rechtsgrundlagen stützt: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigte Interessen. Sie verankert außerdem Grundsätze wie Zweckbindung, Datenminimierung, Speicherbegrenzung, Richtigkeit und Rechenschaftspflicht und gewährt Personen Rechte wie Auskunft, Berichtigung, Löschung, Datenübertragbarkeit und Widerspruch.

Die Durchsetzung obliegt den nationalen Aufsichtsbehörden (Datenschutzbehörden), koordiniert durch den Europäischen Datenschutzausschuss. Sanktionen für schwere Verstöße können bis zu 20 Millionen Euro oder 4 Prozent des gesamten weltweiten Jahresumsatzes eines Unternehmens erreichen, je nachdem, welcher Betrag höher ist – weshalb die Einhaltung für global tätige Unternehmen zu einem Anliegen auf Vorstandsebene geworden ist.

Für Techniken wie Device-Fingerprinting und Analytics greift die GDPR mit der ePrivacy-Richtlinie (dem sogenannten „Cookie-Gesetz“) ineinander. Das Lesen oder Schreiben von Informationen auf dem Gerät eines Nutzers erfordert in der Regel eine Einwilligung, sofern es nicht für einen vom Nutzer angeforderten Dienst unbedingt erforderlich ist, während die nachgelagerte Verarbeitung der daraus resultierenden personenbezogenen Daten weiterhin die Anforderungen der GDPR an Rechtsgrundlage und Transparenz erfüllen muss.