FAQs
Was ist die Datenschutz-Grundverordnung?
Die Datenschutz-Grundverordnung (EU) 2016/679, abgekürzt DSGVO, trat am 25. Mai 2016 in Kraft und gilt seit dem 25. Mai 2018 nach einer Übergangsfrist von zwei Jahren. Die DSGVO hat das Datenschutzrecht in der Europäischen Union (EU) vereinheitlicht und verschärft. Sie gilt auch für viele Unternehmen und Organisationen in der Schweiz und anderen Ländern außerhalb der EU, insbesondere wenn diese Waren oder Dienstleistungen an EU-Bürger anbieten.
Was geschieht, wenn man die DSGVO nicht einhält?
Wer das neue EU-Datenschutzrecht verletzt, kann mit Geldbußen von bis zu 20 Millionen Euro oder von bis zu 4 Prozent des weltweiten Umsatzes bestraft werden. Es handelt sich dabei um die Höchststrafen, insbesondere auch mit Blick auf große Tech-Unternehmen wie Google oder Facebook.
Unabhängig von einer allfälligen Bestrafung können bereits die Kosten, die ein Verfahren aufgrund einer mutmaßlichen Verletzung der DSGVO verursacht, schmerzhaft sein.
Datenschutzverstöße sind zudem häufig Gegenstand von Abmahnungen durch andere Unternehmen, Verbraucherschutzverbände oder betroffene Personen selbst. Hierdurch können nicht nur erhebliche Kosten entstehen, sondern auch die Handlungsfähigkeit eines Unternehmens empfindlich eingeschränkt werden.
Wieso gilt das neue EU-Datenschutzrecht auch für viele Unternehmen in der Schweiz?
Mit der DSGVO führt die EU im Datenschutzrecht das Marktortprinzip ein:
Die DSGVO gilt für die Verarbeitung von Personendaten aller Menschen, die sich in der EU befinden. Die DSGVO gilt auch, wenn solche Daten in der Schweiz und in anderen Ländern außerhalb der EU – in sogenannten Drittländern – verarbeitet werden.
Unter welchen Voraussetzungen gilt das Marktortprinzip für Unternehmen in der Schweiz?
Unternehmen in der Schweiz, deren Angebot sich an Personen in der EU richten, müssen die DSGVO einhalten. Auch kostenlose Angebote wie beispielsweise E-Books und Newsletter für Personen in der EU sind davon ausdrücklich betroffen.
Außerdem gilt die DSGVO für Unternehmen in der Schweiz, die das Verhalten von Personen in der EU beobachten, zum Beispiel durch die Analyse der Aktivitäten von Besucherinnen und Besuchern in einer App oder auf einer Website (Profiling und Tracking).
Gibt es Ausnahmen?
Schweizer Unternehmen, welche die DSGVO einhalten müssen, benötigen unter den folgenden drei Voraussetzungen ausnahmsweise keinen Datenschutz-Vertreter in der EU:
- Die Datenverarbeitung erfolgt nur gelegentlich, und
- es findet keine umfangreiche Verarbeitung von besonders schützenswerten Daten statt, und
- die Datenverarbeitung führt unter Berücksichtigung der Art, der Umstände, des Umfangs und der Zwecke der Verarbeitung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.
Die Ausnahme gilt nur, wenn alle drei Voraussetzungen erfüllt sind. Wir raten davon ab, sich auf diese Ausnahme zu berufen.
Wer überwacht die Einhaltung der DSGVO?
Innerhalb eines Unternehmens ist gemäß Art. 39 Abs. 1 lit. b DSGVO der Datenschutzbeauftragte des Unternehmens zuständig für die Überwachung der Einhaltung der datenschutzrechtlichen Vorschriften.
Darüber hinaus werden Unternehmen gemäß § 40 BDSG von der zuständigen Aufsichtsbehörde überwacht. In Deutschland sind dies die Datenschutz-Aufsichtsbehörden der Länder, etwa das Bayerische Landesamt für Datenschutzaufsicht.
Was bedeutet eigentlich "Datenschutz"?
In § 1 Abs. 1 BDSG heißt es: „Zweck dieses Gesetzes ist es, den Einzelnen davor zu schützen, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird.“ Das Datenschutzrecht schützt also nicht Daten als solche, sondern die Persönlichkeit jedes Einzelnen vor Beeinträchtigungen durch die Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten.
Welchen Inhalt muss meine Datenschutzerklärung haben?
Der Inhalt der Datenschutzerklärung hängt davon ab, welche Daten in welcher Form auf der Website konkret erhoben und verwendet werden. Der Benutzer ist hierüber vollständig und wahrheitsgemäß zu unterrichten. Die konkreten Anforderungen ergeben sich aus den Art. 12 und 13 DSGVO. Es ist insbesondere über sämtliche Verarbeitungsvorgänge, die jeweiligen Verarbeitungszwecke und Rechtsgrundlagen sowie Empfänger von Daten zu unterrichten. Weiter müssen die Website-Besucher über ihre Betroffenenrechte informiert werden, beispielsweise über das Auskunfts- oder das Löschungsrecht.
Für viele, einfachere Websites dürfte dafür ein standardmäßiges Muster ausreichen, wie Sie es im Internet finden. Für alles, was darüber hinaus geht, bedarf es jedoch einer individuell formulierten Erklärung, welche ein spezialisierter Rechtsanwalt nach eingehender Beratung ausarbeiten kann. Besonderheiten ergeben sich insbesondere bei der Verwendung von Social Media Plugins, Analysetools oder sonstiger Applikationen, die Daten erheben und nutzen.
Wie muss eine Datenschutzerklärung eingebunden werden?
Die Datenschutzerklärung sollte, genau wie das Impressum, einfach und mit einem Klick erreichbar sein. Es empfiehlt sich deshalb, diese auf einer eigenen Seite unterzubringen und einen mit „Datenschutz“ oder „Datenschutzerklärung“ bezeichneten Link neben den Link zum Impressum, z.B. in den Footer der Website einzubauen.
Was passiert, wenn ich keine oder eine falsche Datenschutzerklärung habe?
Aus wettbewerbsrechtlicher Sicht sind die Folgen einer fehlenden oder fehlerhaften Datenschutzerklärung umstritten. Nach einigen Entscheidungen, beispielsweise des OLG Karlsruhe und des OLG Hamburg, stellt die Verpflichtung des Betreibers einer Website, Nutzer auf die Erhebung und Verwendung personenbezogener Daten hinzuweisen, eine Marktverhaltensregel dar. Folglich können bei fehlenden Datenschutzerklärungen wettbewerbsrechtliche Abmahnungen ausgesprochen werden.
Derzeit häufiger Gegenstand von Abmahnungen ist der Einsatz von Tracking-Diensten wie Google Analytics oder sonstigen Drittanbietertools wie Webfonts ohne die Einhaltung der rechtlichen Vorgaben, insbesondere ohne wirksame Einwilligung mittels eines sog. Cookie Consent Tools. Auch unrechtmäßige Datenübermittlungen an Dienstleister in den USA sind derzeit ein heißes Thema.
Was ist ein EU Datenschutz-Vertreter und welche Voraussetzungen muss er erfüllen?
Ein Datenschutz-Vertreter in der EU ist eine juristische oder natürliche Person, die in einem EU-Mitgliedstaat niedergelassen ist. Die Niederlassung muss sich in einem der EU-Mitgliedstaaten befinden, in denen sich die betroffenen Personen in der EU befinden. Die Bestellung beziehungsweise Ernennung muss schriftlich erfolgen.
Wie wähle ich den besten EU-Vertreter aus?
Es ist in jedem Fall zu empfehlen, einen EU-Vertreter auszuwählen, der über ein tiefgreifendes Verständnis der juristischen, organisatorischen und technischen Aspekte des Datenschutzes verfügt, um auf Anfragen der Aufsichtsbehörden qualifiziert reagieren zu können.
Was sind die Aufgaben eines Datenschutz-Vertreters in der EU?
Der EU Datenschutz-Vertreter ist Ansprechpartner für Aufsichtsbehörden und betroffene Personen bei sämtlichen Anfragen im Zusammenhang mit der Gewährleistung der Einhaltung der DSGVO.
Wer kann das "Datenschutz-Vertreter"-Angebot nutzen?
Unser Angebot richtet sich an juristische und natürliche Personen mit Sitz außerhalb der EU, die Daten von Personen verarbeiten, die sich in Deutschland und in anderen Staaten der EU befinden. Insbesondere Unternehmen in der Schweiz, UK, USA etc. Viele solche Unternehmen und Organisationen, aber auch einzelne Selbständige, benötigen gemäß Art. 27 DSGVO einen Datenschutz-Vertreter in der EU.
Was macht FX Data?
FX Data ist ein Datenschutzunternehmen mit Fokus auf sämtliche Dienstleistungen hinsichtlich der Umsetzung des Datenschutzes für Unternehmen. Wir beraten kleine und mittlere Unternehmen, schulen Mitarbeiter und stellen den externen Datenschutzbeauftragten sowie den EU-Datenschutzvertreter.
Die Beratung von FX DATA zeichnet sich durch ein hohes Verständnis der besonderen technischen und wirtschaftlichen Anforderungen aus. Dabei werden vertiefte technische Kenntnisse mit vollwertigen juristischen Kenntnissen vereint.
FX DATA behandelt spezialisiert jegliche Fragen und Anforderungen, die in Verbindung mit Datenschutz und Datensicherheit aufkommen und aufkommen können. Durch die jahrelange Betreuung von Online-Shops und anderen Mandanten im B2C-Bereich verfügt FX DATA über fundierte Erfahrung im Umgang mit Verbrauchern und deren Anliegen.