Der GDPR liegen drei Grundprinzipien zugrunde, nämlich Transparenz, Sicherheit und Verhältnismäßigkeit.
Transparenz
Personenbezogene Daten müssen rechtmäßig, ordnungsgemäß und transparent verarbeitet werden. Zu einer ordnungsgemäßen Verarbeitung gehört es, sich wie ein “guter Familienvater” zu verhalten. Jeder Eingriff in die persönliche Privatsphäre muss gesetzlich vorgesehen sein und einem legitimen Zweck entsprechen. Es ist wichtig, immer die gesetzlichen Anforderungen an die Verarbeitung von personenbezogenen Daten zu beachten.
Wer zur Verarbeitung übergeht, muss hier eine transparente Politik betreiben. Die betroffene Person muss alle Informationen und Mitteilungen in einer verständlichen Form erhalten. Es muss eine an die betroffene Person angepasste Sprache verwendet werden, damit die Kommunikation klar und verständlich ist. Der für die Datenverarbeitung Verantwortliche muss zu diesem Zweck “geeignete Maßnahmen” ergreifen.
In der Praxis sehen wir, dass die Betroffenen in vielen Fällen nicht oder nur unzureichend darüber informiert sind, wie ihre
personenbezogenen Daten verarbeitet werden. Auch sind sich Organisationen oft nicht bewusst, welche Zusammensetzung und Menge von Daten sie sammeln und verarbeiten. Um solche Situationen zu vermeiden, wurde die Transparenz als eines der Grundprinzipien der GDPR gewählt. Daher wird eine weite Auslegung des Begriffs der Transparenz bevorzugt, bei der man sich in erster Linie für einen transparenten Umgang mit den Betroffenen einsetzt. Es sollte den Betroffenen immer mitgeteilt werden, welche Daten verarbeitet werden, warum dies geschieht und was der Betroffene dagegen tun kann.
Außerdem muss sich jede Organisation darüber im Klaren sein, was mit den gesammelten Daten geschieht. Dazu muss sie abbilden, mit welchen anderen Organisationen personenbezogene Daten ausgetauscht werden, und sie muss die entsprechenden Vereinbarungen dazu abschließen. Darüber hinaus schreibt die GDPR vor, dass alle Verarbeitungen in Verzeichnissen festgehalten werden müssen, um einen transparenten Überblick über die verarbeiteten Daten zu schaffen.
Sicherheit
Neben der Transparenz über die personenbezogenen Daten
müssen die personenbezogenen Daten auch ausreichend gesichert sein. Das Internet bietet viele Möglichkeiten, aber es birgt auch viele Gefahren. Datenlecks sind allgegenwärtig, auch in großen Unternehmen (z.B. LinkedIn, Adobe, Dropbox, …). Die meisten dieser Datenlecks sind auf eine schwache Sicherung der persönlichen Daten zurückzuführen. Aus diesem Grund ist Sicherheit das zweite Grundprinzip der GDPR.
Nur die für die Verarbeitung verantwortliche Person oder die unter ihrer Aufsicht handelnde Person hat Zugang zu den Daten und trifft alle Vorkehrungen, um den Zugang zu sichern. Die Person, deren Daten verarbeitet werden, hat das Recht, diese Informationen direkt anzufordern. Dazu sollte eine Anfrage an den Datenverantwortlichen gestellt werden. Bei der Abwägung der Interessen der betroffenen Person muss der Verantwortliche eine Erforderlichkeitsprüfung durchführen und begründen, warum es notwendig ist, eine Anfrage abzulehnen.
Die Sicherheit wirkt sich auf verschiedenen Ebenen aus. Zunächst einmal sollte die IT-Infrastruktur Ihres Unternehmens ausreichend gesichert sein. Die Sicherheit Ihrer IT-Infrastruktur können Sie durch IT-Penetrationstests prüfen, die wir für Sie durchführen können. Nach solchen Tests wissen Sie, wo die
Schwachstellen in Ihrer IT-Infrastruktur liegen und können die notwendigen Maßnahmen ergreifen, um diese zu beseitigen.
Darüber hinaus gibt es auch eine physische Sicherheit. Der physische Zugriff auf personenbezogene Daten erweist sich in vielen Unternehmen als sehr einfach. Dateien sind oft frei zugänglich, was bedeutet, dass persönliche Daten von Unbefugten eingesehen werden können. Prüfen Sie daher am besten, wie einfach es für jemanden von außerhalb Ihrer Organisation ist, Zugang zu persönlichen Daten zu erhalten. Auf diese Weise können Sie die Schwachstellen finden und die notwendigen Maßnahmen ergreifen, um sie zu beseitigen.
Der Grundsatz der Verhältnismäßigkeit
Personenbezogene Daten müssen angemessen und relevant sein und sich auf das für die Zwecke erforderliche Minimum beschränken. Es ist nicht immer möglich, eine eingeschränkte Verarbeitung vorzunehmen. Die Daten müssen in einer Form aufbewahrt werden, die eine Identifizierung der betroffenen Person nicht länger ermöglicht, als es für die Zwecke erforderlich ist. Sie müssen genau sein und auf dem neuesten Stand gehalten werden, die sogenannte Genauigkeitsanforderung. Es müssen alle angemessenen Schritte unternommen werden, um sicherzustellen, dass unrichtige Daten unverzüglich gelöscht oder berichtigt werden.
