Die Datenschutz-Grundverordnung (EU 2016/679) trat am 25. Mai 2018 in Kraft und fügte dem bestehenden Datenschutzregime neue Elemente und wesentliche Verbesserungen hinzu.
Mit dem Data Protection Act (DPA) 2018, der am 23. Mai 2018 in Kraft trat, wurde die DSGVO umgesetzt. Gleichzeitig wurden Bestimmungen hinzugefügt, um das britische Recht so auszudehnen, dass die DSGVO auch Bereiche wie die Sicherheitsdienste und Regierungsbehörden umfasst, die unter der DSGVO allein nicht abgedeckt waren.
Nach dem Brexit (nach dem Ende der Brexit-Übergangsphase ab dem 1. Januar 2021) ist die britische DSGVO die beibehaltene Fassung der EU-Verordnung aufgrund von Abschnitt 3 der European Union (Withdrawal) Action 2018 und in der durch die Data Protection, Privacy and Electronic Communications (Amendment Etc) (EU Exit) Regulations 2020 geänderten Fassung.
Die britische Datenschutz-Grundverordnung (DSGVO) schützt die Rechte britischer Bürger in Bezug auf ihre Daten, die EU-DSGVO schützt die Rechte von EU-Bürgern. Für Organisationen, die Daten von britischen und EU-Bürgern verarbeiten, gelten beide DSGVOs.
Die Grundsätze und Anforderungen der EU-DSGVO gelten auch im Vereinigten Königreich in ihrer Fassung nach dem Brexit. Hier betrachten wir die wichtigsten Anwendungsbereiche und einige Definitionen.
Controller und Prozessoren
Die DSGVO gilt sowohl für Verantwortliche als auch für Auftragsverarbeiter. Verantwortliche legen fest, wie und warum personenbezogene Daten verarbeitet werden. Auftragsverarbeiter verarbeiten die Daten im Auftrag des Verantwortlichen. Ihre Organisation kann ein Auftragsverarbeiter, ein Verantwortlicher oder beides sein.
Sowohl für Verantwortliche als auch für Auftragsverarbeiter gelten spezifische rechtliche Verpflichtungen:
- Die Verantwortlichen müssen insbesondere sicherstellen, dass die Verträge mit den Auftragsverarbeitern der DSGVO entsprechen; und
- Für Verantwortliche und Auftragsverarbeiter gelten jeweils separate, aber eindeutige Anforderungen zur Führung von Aufzeichnungen über personenbezogene Daten und Verarbeitungstätigkeiten.
- Prozessoren sind auch rechtlich verantwortlich und haftbar für jegliche Sicherheitsverstöße.
Weitere Informationen zu den Dokumentationsanforderungen finden Sie in unserem zugehörigen Merkblatt „Datensicherheit – Datenschutz-Grundverordnung – Sicherstellung der Einhaltung“.
Grundsätze des Datenschutzes
Personenbezogene Daten sind:
- rechtmäßig, fair und transparent verarbeitet
- erhoben für festgelegte, ausdrückliche und legitime Zwecke
- angemessen, relevant und auf das für den Zweck Notwendige beschränkt.
- Die Daten müssen korrekt und aktuell sein. Fehlerhafte Daten sollten gelöscht oder korrigiert werden.
- in einem identifizierbaren Format nur so lange aufbewahrt, wie es unbedingt erforderlich ist
- Die Daten werden sicher verarbeitet und vor unbefugter oder unrechtmäßiger Verarbeitung, versehentlichem Verlust, Zerstörung oder Beschädigung geschützt.
DSGVO-Rechte für Einzelpersonen
Das Recht auf Information
Einzelpersonen haben das Recht zu erfahren, wie ihre personenbezogenen Daten verarbeitet werden. Die DSGVO fördert Transparenz bei der Datenverarbeitung durch eine Datenschutzerklärung, die unter anderem Angaben zum Verantwortlichen, zur Datenquelle, zu den Datenempfängern, zu Datenübermittlungen außerhalb der EU und zur Speicherdauer der Daten enthält.
Das Auskunftsrecht (Auskunftsersuchen der betroffenen Person)
Einzelpersonen haben das Recht, eine Bestätigung darüber zu erhalten, ob ihre Daten verarbeitet werden, Zugang zu ihren personenbezogenen Daten und weitere Informationen, wie sie beispielsweise in einer Datenschutzerklärung enthalten sind.
Die maximale Bearbeitungszeit für einen Antrag auf Auskunft über personenbezogene Daten beträgt 30 Tage. Das Recht, eine Gebühr für die Auskunftserteilung zu erheben, wurde abgeschafft, es sei denn, der Antrag ist unbegründet, übertrieben oder wiederholt.
Das Recht auf Berichtigung
Einzelpersonen haben das Recht, unrichtige oder unvollständige personenbezogene Daten berichtigen zu lassen. Dies gilt auch für personenbezogene Daten, die an Dritte weitergegeben oder übermittelt werden.
Das Recht auf Löschung
Einzelpersonen haben das Recht, die Löschung ihrer personenbezogenen Daten zu verlangen, wenn kein zwingender Grund für deren weitere Verarbeitung vorliegt. Dies gilt auch für personenbezogene Daten, die an Dritte weitergegeben oder übermittelt werden.
Es ist wichtig zu beachten, dass zusätzliche Anforderungen gelten, wenn sich der Antrag auf ein Kind bezieht.
Es gibt einige Ausnahmen vom Recht auf Löschung, beispielsweise wenn die Daten zur Erfüllung einer rechtlichen Verpflichtung aufbewahrt werden.
Das Recht auf Einschränkung der Verarbeitung
Einzelpersonen haben das Recht, die Verarbeitung ihrer personenbezogenen Daten einzuschränken. In diesem Fall dürfen die personenbezogenen Daten zwar gespeichert, aber nicht verarbeitet werden.
Das Recht auf Datenübertragbarkeit
Personen haben das Recht, ihre personenbezogenen Daten über verschiedene Dienste hinweg zu erhalten und wiederzuverwenden. Dies ermöglicht es ihnen, personenbezogene Daten zu verschieben, zu kopieren oder zu übertragen. Personenbezogene Daten müssen in einem strukturierten, maschinenlesbaren Format (z. B. .csv) bereitgestellt werden.
Das Widerspruchsrecht
Jede Person hat das Recht, der Verarbeitung ihrer personenbezogenen Daten zu widersprechen. Die Verarbeitung muss unverzüglich eingestellt werden, es sei denn, es liegen zwingende berechtigte Gründe für die Verarbeitung vor oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Rechte im Zusammenhang mit automatisierter Entscheidungsfindung und Profilerstellung
Einzelpersonen haben das Recht, sicherzustellen, dass Schutzmaßnahmen getroffen werden, um das Risiko schädlicher Entscheidungen ohne menschliches Eingreifen zu verhindern. Dies erstreckt sich auch auf den Schutz personenbezogener Daten, die zu Profiling-Zwecken verwendet werden.
Rechenschaftspflicht und Unternehmensführung
Das Prinzip der Rechenschaftspflicht erfordert, dass geeignete Governance-Maßnahmen vorhanden sind, um die Einhaltung der Vorschriften zu dokumentieren. Organisationen müssen daher:
- Maßnahmen umsetzen, die den Grundsätzen des Datenschutzes entsprechen
- Richtlinien und Verfahren in Bezug auf die Speicherung und Verarbeitung personenbezogener Daten dokumentieren
- Technische und organisatorische Maßnahmen umsetzen, um die Einhaltung der Vorschriften sicherzustellen und nachzuweisen.
- Bei Bedarf einen Datenschutzbeauftragten ernennen.
Weitere Informationen finden Sie in unserem zugehörigen Merkblatt „Datensicherheit – Gewährleistung der Einhaltung des Datenschutzes“.
Rechtmäßigkeit der Verarbeitung
Es ist wichtig, die rechtliche Grundlage Ihrer Datenverarbeitung zu verstehen und zu dokumentieren. Es gibt sechs:
- Zustimmung
- Vertragliche Verpflichtung
- Rechtliche Verpflichtung
- Lebenswichtige Interessen
- Öffentliches Interesse
- Berechtigte Interessen.
Was die Einwilligung betrifft, muss diese spezifisch, eindeutig und freiwillig erfolgen. Eine positive Einwilligung kann nicht aus Untätigkeit, wie dem Nichtanklicken eines Online-Abmeldeformulars oder der Verwendung vorausgewählter Kontrollkästchen, abgeleitet werden. Unternehmen müssen sicherstellen, dass sie Datum, Uhrzeit, Methode und den genauen Wortlaut der Einwilligungserklärung erfassen. Daher ist es wichtig, dass Ihr Unternehmen über die notwendigen Mittel zur Aufzeichnung und Dokumentation dieser Informationen verfügt.
Berechtigte Interessen erlauben Ihnen die Verarbeitung der Daten der betroffenen Personen, jedoch nur in dem Umfang, den diese erwarten würden. Wenn Sie sich auf berechtigte Interessen berufen, tragen Sie die Verantwortung dafür, dass Folgendes gewährleistet ist:
- Es besteht eine Grundlage für die Geltendmachung berechtigter Interessen
- Die Verarbeitung der Daten ist auf dieses Interesse beschränkt und kann nachgewiesen werden
- Die Rechte des Einzelnen wurden in einem Abwägungsprozess berücksichtigt.
- Der betroffene Mensch wird über die berechtigten Interessen in Ihren Datenschutzrichtlinien informiert.
Leitlinien der ICO zu berechtigten Interessen
Meldung von Verstößen
Eine Verletzung des Schutzes personenbezogener Daten ist die versehentliche oder unrechtmäßige Zerstörung, der Verlust, die Veränderung, die unbefugte Offenlegung oder der unbefugte Zugriff auf personenbezogene Daten.
Die britische Aufsichtsbehörde ICO bietet ein Online-Selbstbewertungstool an, mit dem sich der Schweregrad eines Verstoßes ermitteln und feststellen lässt, ob eine Meldung erforderlich ist. Einige Verstöße müssen innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde gemeldet werden. Es ist daher unerlässlich, die Bewertung unverzüglich nach Entdeckung des Verstoßes durchzuführen.
Leitfaden des ICO zur Bewertung von Datenschutzverletzungen
Datenübertragung
Am 28. Juni 2021 verabschiedete die EU-Kommission einen Angemessenheitsbeschluss für das Vereinigte Königreich, was bedeutet, dass die meisten Daten weiterhin ohne zusätzliche Schutzmaßnahmen zwischen dem Vereinigten Königreich und dem EWR der EU ausgetauscht werden können. (Ausgenommen sind Daten für Zwecke der Einwanderungskontrolle.)
Bei der Übermittlung von Daten in ein Drittland können zusätzliche Schutzmaßnahmen wie Standardvertragsklauseln oder verbindliche Unternehmensregeln Anwendung finden. Der erste Link unten führt zur britischen Aufsichtsbehörde, dem ICO. Der zweite Link führt zur Europäischen Kommission.
Leitfaden der ICO zu Datenübertragungsvereinbarungen
EU-Regeln für Transfers außerhalb der EU
Quellen und Links
ICO- Homepage für Organisationen
EU-DSGVO-Portal – www.gdpreu.org
