Was die Datenschutz-Grundverordnung (DSGVO) für Ihr Unter...

Datenschutz ist heutzutage von zentraler Bedeutung, insbesondere seit der weltweiten massiven Digitalisierung. Die Art und Weise, wie mit unseren Daten umgegangen wird, muss überwacht und reguliert werden, um zu verhindern, dass bestimmte Personen sie missbrauchen oder gar stehlen. Wussten Sie, dass Datenschutz sogar ein Menschenrecht ist? Personenbezogene Daten sind extrem sensibel und anfällig für Missbrauch. Daher haben die meisten Länder Gesetze erlassen, die die Nutzung und Verarbeitung von (personenbezogenen) Daten streng regeln. Neben nationalen Gesetzen gibt es auch übergeordnete Regelungen, die die nationale Gesetzgebung beeinflussen. Die Europäische Union (EU) hat beispielsweise die Datenschutz-Grundverordnung (GDPR) eingeführt. Diese Verordnung trat im Mai 2018 in Kraft und gilt für jede Organisation, die Waren oder Dienstleistungen auf dem EU-Markt anbietet. Die GDPR gilt selbst dann, wenn Ihr Unternehmen nicht in der EU ansässig ist, aber gleichzeitig Kunden aus der EU hat. Bevor wir auf die Details der GDPR-Verordnung und ihre Anforderungen eingehen, möchten wir zunächst klären, was die GDPR erreichen will und warum sie für Sie als Unternehmer wichtig ist. In diesem Artikel erklären wir daher, was die GDPR ist, warum Sie geeignete Maßnahmen zur Einhaltung ergreifen sollten und wie Sie dies so effizient wie möglich tun können.

Was genau ist die GDPR?

Die GDPR ist eine EU-Verordnung, die den Schutz personenbezogener Daten natürlicher Personen regelt. Sie richtet sich daher ausschließlich an den Schutz personenbezogener Daten und nicht an berufliche Daten oder Daten von Unternehmen. Auf der offiziellen Website der EU wird sie wie folgt beschrieben:

„Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr. Der berichtigte Text dieser Verordnung wurde am 23. Mai 2018 im Amtsblatt der Europäischen Union veröffentlicht. Die GDPR stärkt die Grundrechte der Bürger im digitalen Zeitalter und fördert den Handel, indem sie die Regeln für Unternehmen im digitalen Binnenmarkt klarstellt. Dieser gemeinsame Regelsatz hat die durch unterschiedliche nationale Systeme verursachte Fragmentierung beseitigt und Bürokratie vermieden. Die Verordnung ist am 24. Mai 2016 in Kraft getreten und wird seit dem 25. Mai 2018 angewendet. Weitere Informationen für Unternehmen und Einzelpersonen. [1]“

Es handelt sich im Grunde um ein Mittel, um sicherzustellen, dass personenbezogene Daten von Unternehmen, die aufgrund der Art der von ihnen angebotenen Waren oder Dienstleistungen Daten verarbeiten müssen, sicher behandelt werden. Wenn Sie beispielsweise als EU-Bürger ein Produkt auf einer Website bestellen, sind Ihre Daten durch diese Verordnung geschützt, da Sie Ihren Sitz in der EU haben. Wie bereits kurz erläutert, muss das Unternehmen selbst nicht in einem EU-Land ansässig sein, um unter den Geltungsbereich dieser Verordnung zu fallen. Jedes Unternehmen, das mit Kunden aus der EU zu tun hat, muss die GDPR einhalten, um sicherzustellen, dass die personenbezogenen Daten aller EU-Bürger geschützt und sicher sind. Auf diese Weise können Sie sicher sein, dass kein Unternehmen Ihre Daten für andere als die spezifisch angegebenen und beschriebenen Zwecke verwendet.

Was ist der genaue Zweck der GDPR?

Der Hauptzweck der GDPR ist der Schutz personenbezogener Daten. Die GDPR-Verordnung möchte, dass alle Organisationen, ob groß oder klein, einschließlich Ihrer eigenen, über die von ihnen verwendeten personenbezogenen Daten nachdenken und sehr umsichtig und bedacht darüber nachdenken, warum und wie sie diese verwenden. Im Wesentlichen möchte die GDPR, dass Unternehmer sensibler werden, wenn es um die personenbezogenen Daten ihrer Kunden, Mitarbeiter, Lieferanten und anderer Geschäftspartner geht. Mit anderen Worten: Die GDPR-Verordnung möchte Organisationen einen Riegel vorschieben, die Daten über Einzelpersonen nur deshalb sammeln, weil sie es können, ohne dass ein ausreichender Grund vorliegt. Oder weil sie glauben, dass sie jetzt oder in Zukunft irgendwie davon profitieren können, ohne große Aufmerksamkeit und ohne Sie zu informieren. Wie Sie den folgenden Informationen entnehmen können, verbietet die GDPR eigentlich nicht wirklich viel. Sie können weiterhin E-Mail-Marketing betreiben, Sie können weiterhin werben und Sie können weiterhin personenbezogene Daten von Kunden verkaufen und nutzen, solange Sie Transparenz darüber schaffen, wie Sie die Privatsphäre von Einzelpersonen respektieren. In der Verordnung geht es eher darum, ausreichende Informationen über die Art und Weise der Datennutzung bereitzustellen, damit Ihre Kunden und andere Dritte über Ihre spezifischen Ziele und Maßnahmen informiert sind. Auf diese Weise kann Ihnen jede Einzelperson ihre Daten zumindest auf der Grundlage einer informierten Einwilligung zur Verfügung stellen. Es versteht sich von selbst, dass Sie sich an Ihre Angaben halten müssen und die Daten nicht für andere als die von Ihnen angegebenen Zwecke verwenden dürfen, da dies zu sehr hohen Bußgeldern und anderen Konsequenzen führen kann.

Unternehmer, für die die GDPR gilt

Sie fragen sich vielleicht: „Gilt die GDPR auch für mein Unternehmen?“ Die Antwort darauf ist recht einfach: Wenn Sie einen Kundenstamm oder eine Personalverwaltung mit Einzelpersonen aus der EU haben, verarbeiten Sie personenbezogene Daten. Und wenn Sie personenbezogene Daten verarbeiten, müssen Sie die Datenschutz-Grundverordnung (GDPR) einhalten. Das Gesetz bestimmt, was Sie mit personenbezogenen Daten tun dürfen und wie Sie diese schützen müssen. Es ist daher für Ihre Organisation immer wichtig, da die Einhaltung der GDPR-Verordnung für alle Unternehmen verpflichtend ist, die mit Einzelpersonen aus der EU zu tun haben. Alle unsere beruflichen und persönlichen Interaktionen finden zunehmend digital statt, daher ist die Berücksichtigung der Privatsphäre von Einzelpersonen schlichtweg der richtige Weg. Kunden erwarten von ihren bevorzugten Geschäften, dass sie mit den von ihnen bereitgestellten personenbezogenen Daten sorgfältig umgehen. Eigene interne Regelungen zur GDPR zu haben, ist also etwas, worauf Sie stolz sein können. Und als zusätzlicher Bonus wird es Ihren Kunden gefallen.

Wenn Sie personenbezogene Daten verarbeiten, verarbeiten Sie diese im Sinne der GDPR fast immer auch im rechtlichen Sinne. Denken Sie an das Erheben, Speichern, Verändern, Ergänzen oder Weiterleiten von Daten. Selbst wenn Sie Daten anonym erstellen oder löschen, verarbeiten Sie diese. Daten sind personenbezogene Daten, wenn sie sich auf Personen beziehen, die Sie von allen anderen Personen unterscheiden können. Das ist die Definition einer identifizierten Person, die wir später in diesem Artikel ausführlich besprechen werden. Sie haben beispielsweise eine Person identifiziert, wenn Sie deren Vor- und Nachnamen kennen und diese Daten auch mit den Daten auf deren offiziell ausgestelltem Identitätsnachweis übereinstimmen. Als von diesem Prozess betroffene Person haben Sie die Kontrolle über die personenbezogenen Daten, die Sie Organisationen zur Verfügung stellen. Erstmals gibt Ihnen die GDPR das Recht, darüber informiert zu werden, welche spezifischen personenbezogenen Daten Organisationen verwenden und warum. Gleichzeitig haben Sie das Recht zu erfahren, wie diese Organisationen Ihre Privatsphäre gewährleisten. Darüber hinaus können Sie der Nutzung Ihrer Daten widersprechen, die Löschung Ihrer Daten durch die Organisation verlangen oder sogar verlangen, dass Ihre Daten an einen konkurrierenden Dienst übertragen werden. [2] Im Grunde entscheidet also die Person, der die Daten gehören, was Sie mit den Daten tun. Aus diesem Grund müssen Sie als Organisation bei den Informationen, die Sie über die genaue Verwendung der erfassten personenbezogenen Daten bereitstellen, äußerst sorgfältig sein, da die betroffene Person über die Gründe informiert werden muss, warum ihre Daten überhaupt verarbeitet werden. Nur dann kann eine Einzelperson entscheiden, ob Sie die Daten korrekt verwenden.

Um welche Daten geht es genau?

Personenbezogene Daten spielen im Rahmen der GDPR die wichtigste Rolle. Der Schutz der Privatsphäre von Einzelpersonen ist der Ausgangspunkt. Wenn wir die GDPR-Richtlinien sorgfältig lesen, können wir Daten in drei Kategorien unterteilen. Die erste Kategorie betrifft spezifisch personenbezogene Daten. Dazu gehören alle Informationen über eine identifizierte oder identifizierbare natürliche Person. Zum Beispiel Name und Anschrift, E-Mail-Adresse, IP-Adresse, Geburtsdatum, aktueller Standort, aber auch Geräte-IDs. Diese personenbezogenen Daten sind alle Informationen, mit denen eine natürliche Person identifiziert werden kann. Beachten Sie, dass dieser Begriff sehr breit ausgelegt wird. Er ist keineswegs auf Nachnamen, Vornamen, Geburtsdatum oder Adresse beschränkt. Bestimmte Daten, die auf den ersten Blick nichts mit personenbezogenen Daten zu tun haben, können durch das Hinzufügen bestimmter Informationen dennoch unter die GDPR fallen. Es ist daher allgemein anerkannt, dass auch (dynamische) IP-Adressen, die eindeutigen Zahlenkombinationen, mit denen Computer im Internet miteinander kommunizieren, als personenbezogene Daten angesehen werden können. Dies muss natürlich für jeden spezifischen Fall individuell beurteilt werden, aber berücksichtigen Sie stets die Daten, die Sie verarbeiten.

Die zweite Kategorie betrifft sogenannte pseudonyme Daten: personenbezogene Daten, die so verarbeitet werden, dass die Daten ohne die Verwendung zusätzlicher Informationen nicht mehr zurückverfolgt werden können, eine Person aber dennoch einzigartig machen. Zum Beispiel eine verschlüsselte E-Mail-Adresse, eine Benutzer-ID oder eine Kundennummer, die nur über eine gut gesicherte interne Datenbank mit anderen Daten verknüpft ist. Auch dies fällt in den Anwendungsbereich der GDPR. Die dritte Kategorie besteht aus vollständig anonymen Daten: Daten, bei denen alle personenbezogenen Daten, die eine Rückverfolgung ermöglichen, gelöscht wurden. In der Praxis ist dies oft schwer nachzuweisen, es sei denn, die personenbezogenen Daten sind überhaupt nicht zurückverfolgbar. Dies liegt daher außerhalb des Anwendungsbereichs der GDPR.

Wer gilt als identifizierbare Person?

Es kann manchmal etwas schwierig sein zu definieren, wer unter den Begriff einer „identifizierbaren Person“ fällt. Vor allem, da es im Internet viele gefälschte Profile gibt, wie etwa Personen mit gefälschten Social-Media-Konten. Im Allgemeinen können Sie davon ausgehen, dass eine Person identifizierbar ist, wenn Sie ihre personenbezogenen Daten ohne allzu großen Aufwand zurückverfolgen können. Denken Sie beispielsweise an Kundennummern, die Sie mit Kontodaten verknüpfen können. Oder an eine Telefonnummer, die Sie leicht zurückverfolgen und so herausfinden können, wem sie gehört. Das sind alles personenbezogene Daten. Wenn Sie Probleme haben zu scheint, jemanden zu identifizieren, ist es notwendig, etwas mehr zu recherchieren. Sie können die Person um einen gültigen Identitätsnachweis bitten, nur um sicherzugehen, mit wem Sie es zu tun haben. Sie können auch in verifizierten Datenbanken nachsehen, um Informationen über die Identität von jemandem zu erhalten, wie etwa in einem digitalen Telefonbuch (das es tatsächlich immer noch gibt). Wenn Sie sich unsicher sind, ob ein Kunde oder ein anderer Dritter identifizierbar ist, versuchen Sie, diesen Kunden zu kontaktieren und nach personenbezogenen Daten zu fragen. Wenn die Person nicht auf Ihre Anfrage antwortet, ist es im Allgemeinen am besten, alle Daten zu löschen, die Sie haben, und die bereitgestellten Informationen zu verwerfen. Die Chancen stehen gut, dass jemand eine falsche Identität verwendet. Die GDPR zielt darauf ab, Einzelpersonen zu schützen, aber auch Sie als Unternehmen müssen angemessene Schritte unternehmen, um sich vor Betrug zu schützen. Leider sind Menschen in der Lage, falsche Identitäten zu verwenden, daher ist es wichtig, wachsam gegenüber den Informationen zu sein, die Personen bereitstellen. Wenn jemand die Identität eines anderen verwendet, kann dies schwerwiegende Folgen für Sie als Unternehmen haben. Sorgfaltspflicht ist jederzeit ratsam.

Legitime Gründe für die Nutzung von Daten Dritter

Ein Hauptbestandteil der GDPR ist die Regel, dass Sie Daten Dritter nur für festgelegte und legitime Zwecke verwenden dürfen. Aufbauend auf dem Gebot der Datenminimierung schreibt die GDPR vor, dass Sie personenbezogene Daten nur für einen angegebenen und dokumentierten Geschäftszweck verwenden dürfen, der durch eine der sechs verfügbaren GDPR-Rechtsgrundlagen gestützt wird. Mit anderen Worten: Ihre Nutzung personenbezogener Daten ist auf einen angegebenen Zweck und eine Rechtsgrundlage beschränkt. Jede von Ihnen durchgeführte Verarbeitung personenbezogener Daten muss in einem GDPR-Register zusammen mit ihrem Zweck und ihrer Rechtsgrundlage dokumentiert werden. Diese Dokumentation zwingt Sie dazu, über jeden Verarbeitungsschritt nachzudenken und den Zweck sowie die Rechtsgrundlage dafür sorgfältig abzuwägen. Die GDPR sieht sechs Rechtsgrundlagen vor, die wir im Folgenden skizzieren.

Vertragliche Verpflichtungen: Beim Abschluss eines Vertrags müssen personenbezogene Daten verarbeitet werden. Personenbezogene Daten können auch bei der Ausübung eines Vertrags verwendet werden.
Einwilligung: Der Nutzer erteilt die ausdrückliche Erlaubnis zur Nutzung seiner personenbezogenen Daten oder zum Setzen von Cookies.
BERECHTIGTES Interesse: Die Verarbeitung personenbezogener Daten ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich. In diesem Fall ist eine Abwägung wichtig; sie darf die persönlichen Freiheiten der betroffenen Person nicht verletzen.
Lebenswichtige Interessen: Daten dürfen verarbeitet werden, wenn Situationen über Leben und Tod entstehen.
Rechtliche Verpflichtungen: Personenbezogene Daten müssen im Einklang mit dem Gesetz verarbeitet werden.
Öffentliches Interesse: Dies betrifft hauptsächlich Regierungen und lokale Behörden, wie etwa Risiken hinsichtlich der öffentlichen Ordnung und Sicherheit sowie den Schutz der Öffentlichkeit im Allgemeinen.

Dies sind die Rechtsgrundlagen, die Ihnen die Speicherung und Verarbeitung personenbezogener Daten erlauben. Oftmals können sich einige dieser Gründe überschneiden. Das ist im Allgemeinen kein Problem, solange Sie erklären und nachweisen können, dass tatsächlich eine Rechtsgrundlage besteht. Wenn Ihnen eine Rechtsgrundlage für die Speicherung und Verarbeitung personenbezogener Daten fehlt, können Sie in Schwierigkeiten geraten. Denken Sie daran, dass die GDPR den Schutz der Privatsphäre von Einzelpersonen im Blick hat, weshalb es nur begrenzte Rechtsgrundlagen gibt. Wenn Sie diese kennen und anwenden, sollten Sie als Organisation oder Unternehmen auf der sicheren Seite sein.

Die Daten, für die die GDPR gilt

Die GDPR gilt in ihrem Kern für die Verarbeitung von Daten, die ganz oder zumindest teilweise automatisch erfolgt. Dies umfasst beispielsweise die Datenverarbeitung über eine Datenbank oder einen Computer. Sie gilt aber auch für personenbezogene Daten, die in einer physischen Akte enthalten sind, wie etwa in einem Archiv gespeicherte Akten. Diese Akten müssen jedoch in dem Sinne erheblich sein, dass die enthaltenen Daten mit einer gewissen Ordnung, Akte oder geschäftlichen Abwicklung verbunden sind. Wenn Sie eine handgeschriebene Notiz besitzen, auf der nur ein Name steht, gilt dies nicht als Daten im Sinne der GDPR. Diese handgeschriebene Notiz könnte schließlich von jemandem stammen, der an Ihnen interessiert ist, oder sonst wie persönlicher Natur sein. Einige gängige Wege, wie Daten von Unternehmen verarbeitet werden, umfassen die Auftragsverwaltung, eine Kundendatenbank, eine Lieferantendatenbank, die Personalverwaltung und natürlich Direktmarketing wie Newsletter und Direktmailings. Die Person, deren personenbezogene Daten Sie verarbeiten, wird als „betroffene Person“ bezeichnet. Dies kann ein Kunde, ein Newsletter-Abonnent, ein Mitarbeiter oder eine Kontaktperson sein. Daten über Unternehmen werden nicht als personenbezogene Daten angesehen, Daten über eine eenmanszaak oder Selbstständige hingegen schon. [3]

Regeln bezüglich Online-Marketing

Die GDPR hat erhebliche Auswirkungen auf das Online-Marketing. Es gibt einige Grundregeln, die Sie einhalten müssen, wie zum Beispiel das ständige Anbieten einer Opt-out-Option beim E-Mail-Marketing. Darüber hinaus muss ein Empfänger auch in der Lage sein, seine Präferenzen anzugeben und anzupassen. Das bedeutet, dass Sie Ihre E-Mails anpassen müssen, falls Sie diese Optionen derzeit nicht anbieten. Viele Organisationen nutzen auch Retargeting-Mechanismen. Dies kann beispielsweise über Facebook oder Google Ads erreicht werden, aber denken Sie daran, dass Sie dafür eine ausdrückliche Erlaubnis einholen müssen. Sie haben wahrscheinlich bereits eine Datenschutz- und Cookie-Richtlinie auf Ihrer Website. Mit diesen Regeln müssen also auch diese rechtlichen Teile überarbeitet werden. Die GDPR-Anforderungen besagen, dass diese Dokumente umfassender und transparenter sein müssen. Für diese Anpassungen können Sie oft Mustertexte verwenden, die im Internet frei verfügbar sind. Neben rechtlichen Anpassungen Ihrer Datenschutz- und Cookie-Richtlinien muss ein Datenschutzbeauftragter ernannt werden. Diese Person ist für die Verarbeitung von Daten verantwortlich und stellt sicher, dass die Organisation GDPR-konform ist und bleibt.

Tipps und Wege zur Einhaltung der GDPR

Das Wichtigste ist natürlich, dass Sie als Unternehmer die gesetzlichen Vorschriften und Regeln wie die GDPR einhalten. Glücklicherweise gibt es Möglichkeiten, die GDPR mit so wenig Aufwand wie möglich einzuhalten. Wie bereits besprochen, verbietet die GDPR an sich eigentlich nichts, setzt aber strenge Richtlinien für die Art und Weise, wie personenbezogene Daten verarbeitet werden können. Wenn Sie sich nicht an die spezifischen Richtlinien halten und die Daten aus Gründen verwenden, die nicht in der GDPR genannt sind oder außerhalb ihres Anwendungsbereichs liegen, riskieren Sie Bußgelder und noch schlimmere Konsequenzen. Denken Sie außerdem daran, dass alle Parteien, mit denen Sie zusammenarbeiten, Sie als Geschäftsinhaber respektieren werden, wenn Sie auch deren Daten und Privatsphäre respektieren. Dies verschafft Ihnen ein positives und vertrauenswürdiges Image, was dem Geschäft wirklich zugutekommt. Wir werden nun einige Tipps besprechen, die die Einhaltung der GDPR zu einem einfachen und effizienten Prozess machen.

1. Erfassen Sie zunächst, welche personenbezogenen Daten Sie überhaupt verarbeiten

Das Erste, was zu tun wäre, ist zu recherchieren, welche genauen Daten Sie benötigen und zu welchem Zweck. Welche Informationen werden Sie sammeln? Wie viele Daten benötigen Sie, um Ihre Ziele zu erreichen? Nur einen Namen und eine E-Mail-Adresse oder benötigen Sie auch zusätzliche Daten wie eine physische Adresse und Telefonnummer? Sie müssen auch ein Verarbeitungsverzeichnis erstellen, in dem Sie aufführen, welche Daten Sie aufbewahren, woher sie stammen und mit welchen Parteien Sie diese Informationen teilen. Berücksichtigen Sie auch die Aufbewahrungsfristen, da die GDPR vorschreibt, dass Sie diesbezüglich transparent sein müssen.

2. Machen Sie Datenschutz zu einer allgemeinen Priorität für Ihr Unternehmen

Datenschutz ist ein sehr wichtiges Thema, und das wird auch in der (un)vorhersehbaren Zukunft so bleiben, da Technologie und Digitalisierung immer weiter fortschreiten und zunehmen. Daher ist es sehr wichtig, dass Sie sich als Unternehmer über alle notwendigen Datenschutzbestimmungen informieren und dies bei der Geschäftstätigkeit priorisieren. Dies stellt nicht nur sicher, dass Sie alle geltenden Gesetze einhalten, sondern baut auch ein Vertrauensimage für Ihr Unternehmen auf. Vertiefen Sie sich als Unternehmer in die GDPR-Regeln oder lassen Sie sich von Rechtsexperten beraten, damit Sie sicher sein können, dass Sie in Bezug auf den Datenschutz legal handeln. Sie müssen herausfinden, welche genauen Regeln Ihr Unternehmen einhalten muss. Die niederländischen Behörden können Ihnen auch mit einer Vielzahl von Informationen, Tipps und Werkzeugen für den täglichen Gebrauch weiterhelfen.

3. Bestimmen Sie die richtige Rechtsgrundlage für die Verarbeitung personenbezogener Daten

Wie bereits besprochen, gibt es laut GDPR nur sechs offizielle Rechtsgrundlagen, die Ihnen die Verarbeitung und Speicherung personenbezogener Daten erlauben. Wenn Sie Daten verwenden wollen, ist es von entscheidender Bedeutung, dass Sie wissen, welche Rechtsgrundlage Ihrer Nutzung zugrunde liegt. Idealerweise sollten Sie die verschiedenen Arten der Datenverarbeitung, die Sie in Ihrem Unternehmen durchführen, dokumentieren, beispielsweise in Ihrer Datenschutzerklärung, damit Kunden und Dritte diese Informationen lesen und zur Kenntnis nehmen können. Bestimmen Sie dann für jede Handlung separat die richtige Rechtsgrundlage. Wenn Sie personenbezogene Daten für neue Motive oder Gründe verarbeiten müssen, fügen Sie diese Aktivität unbedingt hinzu, bevor Sie beginnen.

4. Versuchen Sie, Ihre Datennutzung so weit wie möglich zu minimieren

Sie als Organisation müssen sicherstellen, dass Sie nur das Minimum an Datenelementen erheben, um ein bestimmtes Ziel zu erreichen. Wenn Sie beispielsweise Waren oder Dienstleistungen online verkaufen, müssen Ihre Nutzer Ihnen in der Regel nur eine E-Mail-Adresse und ein Passwort angeben, damit der Registrierungsprozess reibungslos abläuft. Es besteht keine Notwendigkeit, Kunden im Rahmen des Registrierungsprozesses nach ihrem Geschlecht, Geburtsort oder gar ihrer Adresse zu fragen. Erst wenn Nutzer ein Produkt kaufen möchten und es an eine bestimmte Adresse geliefert haben wollen, wird es notwendig, nach weiteren Informationen zu fragen. Sie haben dann das Recht, die Adresse des Nutzers in diesem Stadium anzufordern, da dies wesentliche Informationen für jeden Versandprozess sind. Die Minimierung der Menge der erhobenen Daten minimiert die Auswirkungen potenzieller datenschutz- oder sicherheitsrelevanter Vorfälle. Datenminimierung ist eine Kernanforderung der GDPR und extrem effektiv beim Schutz der Privatsphäre Ihrer Nutzer, da Sie nur die Informationen verarbeiten, die Sie benötigen, und nicht mehr.

5. Kennen Sie die Rechte der Personen, deren Daten Sie verarbeiten

Ein wichtiger Teil des Wissensaufbaus über die GDPR besteht darin, sich über die Rechte Ihrer Kunden und anderer Dritter zu informieren, deren Daten Sie speichern und verarbeiten. Nur wenn Sie deren Rechte kennen, können Sie sich schützen und Bußgelder vermeiden. Es ist wahr, dass die GDPR eine Reihe wichtiger Rechte für Einzelpersonen eingeführt hat. Dazu gehören das Recht auf Einsicht in ihre personenbezogenen Daten, das Recht auf Berichtigung oder Löschung von Daten sowie das Recht auf Widerspruch gegen die Verarbeitung ihrer Daten. Wir werden diese Rechte im Folgenden kurz besprechen.

Das Recht auf Auskunft

Das Recht auf Auskunft bedeutet, dass Einzelpersonen das Recht haben, die über sie verarbeiteten personenbezogenen Daten einzusehen und zu konsultieren. Wenn ein Kunde danach fragt, sind Sie daher verpflichtet, ihm diese zur Verfügung zu stellen.

Das Recht auf Berichtigung

Berichtigung ist gleichbedeutend mit Korrektur. Das Recht auf Berichtigung gibt Einzelpersonen daher das Recht, Änderungen und Ergänzungen an den personenbezogenen Daten vorzunehmen, die eine Organisation über sie verarbeitet, um sicherzustellen, dass diese Daten korrekt verarbeitet werden.

Das Recht auf Vergessenwerden

Das Recht auf Vergessenwerden bedeutet genau das, was es sagt: das Recht, „vergessen“ zu werden, wenn ein Kunde dies ausdrücklich verlangt. Eine Organisation ist dann verpflichtet, seine personenbezogenen Daten zu löschen. Beachten Sie jedoch, dass sich eine Einzelperson nicht auf dieses Recht berufen kann, wenn rechtliche Verpflichtungen bestehen.

Das Recht auf Einschränkung der Verarbeitung

Dieses Recht gibt einer Einzelperson als betroffener Person die Möglichkeit, die Verarbeitung ihrer personenbezogenen Daten einzuschränken, was bedeutet, dass sie darum bitten kann, weniger Daten verarbeiten zu lassen. Zum Beispiel, wenn ein Unternehmen mehr Daten anfordert, als für den betreffenden Prozess absolut notwendig sind.

Das Recht auf Datenübertragbarkeit

Dieses Recht bedeutet, dass eine Einzelperson das Recht hat, ihre personenbezogenen Daten an eine andere Organisation zu übertragen. Zum Beispiel, wenn jemand zu einem Konkurrenten wechselt oder ein Mitarbeiter für ein anderes Unternehmen arbeiten geht und Sie Daten an dieses Unternehmen übertragen.

Das Recht auf Widerspruch

Das Recht auf Widerspruch bedeutet, dass eine Einzelperson das Recht hat, der Verarbeitung ihrer personenbezogenen Daten zu widersprechen, beispielsweise wenn die Daten für Marketingzwecke verwendet werden. Sie kann dieses Recht aus spezifischen persönlichen Gründen ausüben.

Das Recht, nicht einer automatisierten Entscheidungsfindung unterworfen zu werden

Einzelpersonen haben das Recht, nicht einer vollständig automatisierten Entscheidungsfindung unterworfen zu werden, die erhebliche Konsequenzen für sie haben oder rechtliche Folgen menschlichen Eingreifens nach sich ziehen kann. Ein Beispiel für eine automatisierte Verarbeitung ist ein Kreditbewertungssystem, das vollautomatisch entscheidet, ob Sie für einen Kredit infrage kommen.

Das Recht auf Information

Dies bedeutet, dass eine Organisation Einzelpersonen klare Informationen über die Erhebung und Verarbeitung ihrer personenbezogenen Daten bereitstellen muss, wenn eine Einzelperson danach fragt. Eine Organisation muss gemäß den GDPR-Grundsätzen angeben können, welche Daten sie verarbeitet und warum.

Indem Sie sich mit diesen Rechten vertraut machen, können Sie besser vorhersehen, wann Kunden und Dritte sich nach den von Ihnen verarbeiteten Daten erkundigen könnten. Es wird Ihnen dann viel leichter fallen, der Aufforderung nachzukommen und ihnen die angeforderten Informationen zu senden, weil Sie vorbereitet waren. Es kann Ihnen viel Zeit sparen, immer auf Anfragen vorbereitet zu sein und die Daten griffbereit zu haben, beispielsweise durch die Investition in ein gutes Kundenverwaltungssystem, mit dem Sie die erforderlichen Daten schnell und effizient abrufen können.

Was passiert, wenn Sie die Bestimmungen nicht einhalten?

Wir haben dieses Thema bereits kurz angeschnitten: Es gibt Konsequenzen, wenn Sie die GDPR nicht einhalten. Seien Sie sich nochmals darüber im Klaren, dass Sie kein Unternehmen mit Sitz in der EU haben müssen, um zur Einhaltung verpflichtet zu sein. Wenn Sie auch nur einen Kunden mit Sitz in der EU haben, dessen Daten Sie verarbeiten, fallen Sie unter den Geltungsbereich der GDPR. Es gibt zwei Stufen von Bußgeldern, die verhängt werden können. Die zuständige Datenschutzbehörde in jedem Land kann wirksame Bußgelder auf zwei Stufen verhängen. Diese Stufe wird auf der Grundlage des spezifischen Verstoßes bestimmt. Zu den Bußgeldern der Stufe eins gehören Verstöße wie die Verarbeitung personenbezogener Daten von Minderjährigen ohne elterliche Zustimmung, das Versäumnis, eine Datenschutzverletzung zu melden, und die Zusammenarbeit mit einem Auftragsverarbeiter, der keine ausreichenden Garantien hinsichtlich der erforderlichen Datensicherheit bietet. Diese Bußgelder können bis zu 10 Millionen Euro oder im Falle eines Unternehmens bis zu 2% Ihres gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres betragen.

Stufe zwei gilt, wenn Sie fundamentale Verstöße begehen. Zum Beispiel die Nichteinhaltung der Datenverarbeitungsgrundsätze oder wenn eine Organisation nicht nachweisen kann, dass die betroffene Person tatsächlich ihre Einwilligung zur Datenverarbeitung gegeben hat. Wenn Sie unter den Geltungsbereich von Bußgeldern der Stufe zwei fallen, riskieren Sie ein maximales Bußgeld von 20 Millionen Euro oder bis zu 4% des weltweiten Umsatzes Ihres Unternehmens. Beachten Sie, dass diese Beträge gedeckelt wurden und unter anderem von Ihrer persönlichen Situation und dem Jahresumsatz Ihres Unternehmens abhängen. Neben Bußgeldern kann die nationale Datenschutzbehörde auch andere Sanktionen verhängen. Dies kann von Warnungen und Verweisen bis hin zur vorübergehenden (und manchmal sogar dauerhaften) Einstellung der Datenverarbeitung reichen. In diesem Fall dürfen Sie vorübergehend oder dauerhaft keine personenbezogenen Daten mehr über Ihre Organisation verarbeiten. Zum Beispiel, weil Sie wiederholt Straftaten begangen haben. Dies wird es Ihnen im Wesentlichen unmöglich machen, Geschäfte zu tätigen. Eine weitere mögliche GDPR-Sanktion ist die Zahlung von Schadensersatz an Nutzer, die eine begründete Beschwerde einreichen. Kurz gesagt: Seien Sie wachsam bezüglich der Privatsphäre und der personenbezogenen Daten von Einzelpersonen, um solch schwere Konsequenzen zu vermeiden.

Möchten Sie wissen, ob Sie GDPR-konform sind?

Wenn Sie planen, ein Unternehmen in den Niederlanden zu gründen, müssen Sie die GDPR einhalten. Wenn Sie Geschäfte mit niederländischen Kunden oder Kunden in einem anderen EU-Land tätigen, müssen Sie sich ebenfalls an diese EU-Verordnung halten. Wenn Sie sich nicht sicher sind, ob Sie unter den Geltungsbereich der GDPR fallen, können Sie sich jederzeit an Intercompany Solutions wenden, um sich zu diesem Thema beraten zu lassen. Wir können Sie dabei unterstützen herauszufinden, ob Sie über entsprechende interne Regelungen und Prozesse verfügen und ob die Informationen, die Sie Dritten bereitstellen, ausreichen. Manchmal kann es sehr leicht passieren, wichtige Informationen zu übersehen, die Sie dennoch in Konflikt mit dem Gesetz bringen könnten. Denken Sie daran: Datenschutz ist ein extrem wichtiges Thema, daher ist es essenziell, dass Sie immer über die neuesten Bestimmungen und Neuigkeiten informiert sind. Wenn Sie Fragen zu diesem Thema haben oder weitere Informationen über Unternehmensgründungen in den Niederlanden wünschen, können Sie sich jederzeit an Intercompany Solutions wenden. Wir helfen Ihnen gerne bei Fragen weiter oder unterbreiten Ihnen ein klares Angebot.

Quellen:

https://gdpr-info.eu/

https://www.afm.nl/en/over-de-afm/organisatie/privacy

https://finance.ec.europa.eu/

[1] [https://commission.europa.eu/law/law-topic/data-protection\_en#:~:text=The%20general%20regulation%20dataprotection%20(GDPR)&text=The%20AVG%20(also%20known%20under,digital%20unified%20market%20te%20](https://commission.europa.eu/law/law-topic/data-protection_en#:~:text=The%20general%20regulation%20dataprotection%20(GDPR)&text=The%20AVG%20(also%20known%20under,digital%20unified%20market%20te%20).

[2] https://www.rijksoverheid.nl/onderwerpen/privacy-en-persoonsgegevens/documenten/brochures/2018/05/01/de-algemene-verordening-gegevensbescherming

[3] https://www.rijksoverheid.nl/onderwerpen/privacy-en-persoonsgegevens/documenten/brochures/2018/05/01/de-algemene-verordening-gegevensbescherming

Formation time	Dutch BV formation completed in 3 to 5 business days
Process	Fully remote setup with step-by-step guidance
Compliance	Expert support for registration, VAT and compliance
Aftercare	Accounting, tax and legal support included
One partner	All of the above through one trusted formation partner

Was die Datenschutz-Grundverordnung (DSGVO) für Ihr Unternehmen bedeutet