Wofür steht GDPR?
GDPR ist die englische Bezeichnung für die Datenschutz-Grundverordnung, im deutschsprachigen Raum als DSGVO bekannt. Die Verordnung der Europäischen Union ist seit Mai 2018 unmittelbar in allen Mitgliedstaaten anwendbar und bildet das gemeinsame rechtliche Fundament für den Umgang mit personenbezogenen Daten. Sie regelt, unter welchen Bedingungen Daten erhoben, verarbeitet und gespeichert werden dürfen, welche Rechte den betroffenen Personen zustehen und welche Pflichten Verantwortliche und Auftragsverarbeiter zu erfüllen haben. Da viele Anbieter weltweit Daten europäischer Nutzer verarbeiten, hat sich die Verordnung in der internationalen Diskussion unter dem Begriff GDPR etabliert.
Die Grundprinzipien des GDPR
Die Verordnung ruht auf einigen Leitgedanken, die für die Praxis besonders prägend sind. Daten dürfen nur auf einer ausdrücklichen Rechtsgrundlage verarbeitet werden, etwa aufgrund einer Einwilligung, eines Vertrags oder einer rechtlichen Verpflichtung. Die Erhebung soll auf das beschränkt sein, was für den jeweiligen Zweck wirklich notwendig ist, und Daten dürfen nicht beliebig für neue Zwecke weiterverwendet werden. Verarbeitungen sind transparent zu gestalten, sodass betroffene Personen verstehen können, was mit ihren Daten geschieht. Hinzu kommen Anforderungen an Sicherheit, Vertraulichkeit und Integrität der Verarbeitung sowie die Pflicht, die Einhaltung dieser Grundsätze auch nachweisen zu können.
Rechte der betroffenen Personen
Die Verordnung stärkt die Position der Personen, deren Daten verarbeitet werden. Sie haben das Recht, Auskunft über die zu ihrer Person gespeicherten Daten zu erhalten, die Berichtigung unrichtiger Angaben zu verlangen und unter bestimmten Voraussetzungen die Löschung zu fordern. Ergänzend bestehen Rechte auf Einschränkung der Verarbeitung, auf Datenübertragbarkeit und auf Widerspruch gegen bestimmte Verarbeitungsformen, insbesondere im Bereich der Direktwerbung. Bei Verarbeitungen auf Grundlage einer Einwilligung kann diese jederzeit für die Zukunft widerrufen werden, ohne dass daraus Nachteile entstehen dürfen.
Pflichten der Verantwortlichen
Verantwortliche im Sinne der Verordnung sind alle Stellen, die über Zwecke und Mittel der Verarbeitung entscheiden. Sie müssen sicherstellen, dass jede Verarbeitung dokumentiert ist, dass technische und organisatorische Maßnahmen den Schutz der Daten gewährleisten und dass im Fall einer Datenpanne die zuständigen Aufsichtsbehörden sowie gegebenenfalls die betroffenen Personen informiert werden. Bei risikobehafteten Verarbeitungen ist eine Datenschutz-Folgenabschätzung durchzuführen. Zentrale Pflichten umfassen unter anderem:
- Führen eines Verzeichnisses der Verarbeitungstätigkeiten
- Umsetzung von Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen
- Abschluss von Auftragsverarbeitungsverträgen mit eingesetzten Dienstleistern
Bei internationalen Datenflüssen kommen zusätzliche Anforderungen hinzu, etwa Standardvertragsklauseln und ergänzende Schutzmaßnahmen für Übermittlungen in Drittländer.
Bedeutung für Web-Projekte
Im Kontext von Web-Projekten ist die Verordnung im Tagesgeschäft allgegenwärtig. Cookie- und Consent-Banner regeln die Einwilligung in Tracking und Analyse, Datenschutzerklärungen informieren transparent über die eingesetzten Werkzeuge, und Formulare werden so gestaltet, dass nur die wirklich nötigen Daten erhoben werden. Tracking-Werkzeuge, Marketing-Automation und CRM-Integrationen müssen sorgfältig daraufhin geprüft werden, auf welcher Rechtsgrundlage sie arbeiten und welche Daten an welche Empfänger fließen. Server-seitiges Tracking, datenschutzfreundliche Analyse-Werkzeuge und der bewusste Verzicht auf nicht erforderliche Drittanbieter haben sich als praktikable Wege etabliert, um die Anforderungen der Verordnung mit funktionierender Webanalyse und Personalisierung zu verbinden. Für die laufende Pflege einer Website gilt damit: Datenschutz ist keine einmalige Aufgabe, sondern ein dauerhafter Bestandteil der redaktionellen und technischen Arbeit.
