Die Abkürzung GDPR, abgeleitet von der englischen Bezeichnung „General Data Protection Regulation“, steht für die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und den freien Datenverkehr sowie zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung). Die Verordnung ist in allen Mitgliedstaaten der Europäischen Union bzw. des Europäischen Wirtschaftsraums anwendbar.
Ihr Ziel ist es, die Pflichten von Verantwortlichen und Auftragsverarbeitern bei der Verarbeitung personenbezogener Daten zu präzisieren, die Rechte der betroffenen Personen zu klären und den Schutz personenbezogener Daten unionsweit zu gewährleisten.
Die Verordnung trat am 25. Mai 2018 in Kraft. Zusammen mit der Verordnung trat auch das Gesetz Nr. 18/2018 Z. z. über den Schutz personenbezogener Daten in Kraft, das einen umfassenden Rechtsrahmen für den Schutz personenbezogener Daten in der Slowakischen Republik bildet.
Die DSGVO gilt für jeden, der personenbezogene Daten verarbeitet. In der Praxis hören wir oft die Meinung: „Mein Unternehmen ist klein, die DSGVO betrifft es nicht.“ Die Größe des Unternehmens oder die Anzahl der Mitarbeiter spielen dabei keine Rolle. Die DSGVO gilt für jeden Verantwortlichen, der personenbezogene Daten von Mitarbeitern, Kunden, Geschäftspartnern und sogar von Newsletter-Abonnenten verarbeitet.
Die DSGVO gilt nicht für die Verarbeitung personenbezogener Daten im Rahmen privater oder häuslicher Tätigkeiten. Dabei handelt es sich um Daten, die eine natürliche Person für eigene Zwecke verarbeitet, beispielsweise das Führen eines persönlichen Adressbuchs, die Überwachung des eigenen Haushalts mittels eines Kamerasystems oder die Führung persönlicher Korrespondenz.
Als personenbezogene Daten geltenalle Arten von Informationen über eine Person, die sich auf deren Privat-, Berufs- oder öffentliches Leben beziehen.
Gemäß der DSGVO gelten als personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, wie beispielsweise Name, Identifikationsnummer, Standortdaten, Online-Kennungen oder Hinweise auf ein oder mehrere Merkmale, die für die physische, physiologische, genetische, psychische, wirtschaftliche, kulturelle oder soziale Identität dieser natürlichen Person charakteristisch sind.
Als personenbezogene Daten gelten auch Fotos oder Videoaufnahmen, sofern dadurch eine Person identifiziert werden kann. Was die Form der personenbezogenen Daten betrifft, so können diese in Papierform, elektronischer Form, numerischer Form, grafischer Form usw. vorliegen.
Zu den besonderen Kategorien personenbezogener Daten (sensible personenbezogene Daten) zählen Daten, die die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, die Mitgliedschaft in Gewerkschaften, genetische Daten, biometrische Daten, Daten über die Gesundheit oder Daten über das Sexualleben oder die sexuelle Orientierung einer natürlichen Person.
Die Verarbeitung besonderer Kategorien personenbezogener Daten ist verboten, sofern nicht mindestens eine der Ausnahmen gemäß § 16 Abs. 2 des Gesetzes Nr. 18/2018 Z. z. über den Schutz personenbezogener Daten zur Anwendung kommt.
Die Verarbeitung sensibler personenbezogener Daten könnte zu einer Gefährdung der Rechte der betroffenen Personen führen, weshalb die Verarbeitung solcher Daten ein höheres Maß an Schutz und Sicherheit erfordert.
Unter der Verarbeitung personenbezogener Daten versteht man jede Art von Vorgängen und Tätigkeiten im Zusammenhang mit personenbezogenen Daten. Zu den häufigsten Vorgängen zählen die Erhebung, Erfassung, Weitergabe, Speicherung, Organisation, Bearbeitung oder Änderung, Abfrage, Einsichtnahme, Umgruppierung, Kombinieren, Verschieben, Nutzen, Speichern, Sperren, Löschen, deren grenzüberschreitende Übermittlung, Weitergabe, Bereitstellung oder Veröffentlichung.
Verantwortlicher kann eine staatliche Behörde, eine Kommunalbehörde, eine andere Behörde der öffentlichen Hand oder jede andere juristische oder natürliche Person sein, die allein oder gemeinsam mit anderen den Zweck und die Bedingungen der Verarbeitung personenbezogener Daten festlegt und personenbezogene Daten natürlicher Personen in eigenem Namen verarbeitet.
Der Verantwortliche ist für die Einhaltung der Grundprinzipien der Verarbeitung personenbezogener Daten sowie für die Übereinstimmung der Verarbeitung personenbezogener Daten mit den Grundsätzen der Verarbeitung personenbezogener Daten verantwortlich und ist verpflichtet, diese Übereinstimmung mit den Grundsätzen der Verarbeitung personenbezogener Daten auf Verlangen der Behörde nachzuweisen.
Eine betroffene Person ist jede natürliche Person, auf die sich personenbezogene Daten beziehen. Eine betroffene Person kann nur eine natürliche Person – also eine Einzelperson – sein, keine juristische Person.
Die Rolle einer betroffenen Person kann ein Arbeitnehmer gegenüber seinem Arbeitgeber einnehmen, der personenbezogene Daten über ihn in den entsprechenden Verwaltungssystemen verarbeitet. Eine betroffene Person kann auch ein Kunde sein, dessen personenbezogene Daten beispielsweise zum Zweck des Verkaufs verarbeitet werden. Als betroffene Person gilt auch eine Einzelperson, die der Verarbeitung ihrer personenbezogenen Daten zu Marketingzwecken im Umfang von Vor- und Nachname sowie E-Mail-Adresse zugestimmt hat.
Die Höhe der Geldbuße kann bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes des betreffenden Unternehmens betragen, je nachdem, welcher Betrag höher ist.