Was ist die DSGVO und was bedeutet sie für Ihr Unternehmen?
Die DSGVO regelt, wie Unternehmen personenbezogene Daten erheben, speichern und nutzen. Erfahren Sie mehr über Ihre wichtigsten Pflichten und die praktischen Schritte zur Einhaltung.
Key Takeaways
- UK GDPR gilt für jedes Unternehmen, das personenbezogene Daten von Personen im Vereinigten Königreich verarbeitet
- Sie benötigen eine Rechtsgrundlage für die Verarbeitung — berechtigtes Interesse, Einwilligung oder Vertrag sind am häufigsten
- Betroffene haben Rechte, darunter Auskunft, Löschung und Widerspruch gegen die Verarbeitung
- Die ICO kann Unternehmen bei schweren Verstößen mit bis zu 17,5 Millionen £ oder 4 % des weltweiten Jahresumsatzes belegen
Was UK GDPR ist
Die UK General Data Protection Regulation gilt für jede Organisation, die personenbezogene Daten von Personen im Vereinigten Königreich verarbeitet. Nahezu jedes Unternehmen verarbeitet in irgendeiner Form personenbezogene Daten — Namen und E-Mail-Adressen von Kunden, Mitarbeiterdaten, Lieferantenkontakte —, weshalb UK GDPR praktisch für alle britischen Unternehmen unabhängig von ihrer Größe relevant ist.
Die sechs Rechtsgrundlagen der Verarbeitung
Sie benötigen eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Die sechs Grundlagen sind: Einwilligung (klare, informierte Zustimmung), Vertrag (notwendig zur Erfüllung eines Vertrags mit der betroffenen Person), rechtliche Verpflichtung (gesetzlich vorgeschrieben), lebenswichtige Interessen (Schutz von Leben), öffentliche Aufgabe (Aufgabe im öffentlichen Interesse) und berechtigte Interessen (Ihre berechtigten Interessen, sofern sie nicht durch die Rechte der betroffenen Person überwogen werden). Berechtigtes Interesse ist die flexibelste Grundlage und wird für die meisten geschäftlichen Verarbeitungen genutzt — erfordert jedoch eine dokumentierte Interessenabwägung.
Rechte der betroffenen Personen
UK GDPR gewährt betroffenen Personen Rechte über ihre Daten: Auskunft (Subject Access Requests — innerhalb von 30 Tagen kostenlos zu erfüllen), Löschung (Recht auf Vergessenwerden, mit Ausnahmen), Berichtigung (Korrektur unrichtiger Daten), Einschränkung der Verarbeitung, Datenübertragbarkeit (maschinenlesbares Format) und das Widerspruchsrecht. Bauen Sie Prozesse zur Bearbeitung dieser Anfragen auf, bevor Sie sie erhalten — reaktiv unter Zeitdruck zu reagieren ist stressig.
Die Datenschutzerklärung
Jedes Unternehmen, das personenbezogene Daten verarbeitet, muss eine Datenschutzerklärung bereitstellen, die erklärt: welche Daten Sie erheben, warum, wie lange Sie sie speichern, mit wem Sie sie teilen und welche Rechte betroffene Personen haben. Sie muss in klarer, einfacher Sprache verfasst und leicht zugänglich sein — üblicherweise als eigene Seite auf Ihrer Website. Erheben Sie Daten, die in der Erklärung nicht genannt sind, oder teilen Sie diese mit nicht aufgeführten Dritten, sind Sie nicht compliant.
Datenpannen und die ICO
Kommt es zu einer Datenpanne — unbefugter Zugriff auf, Verlust von oder Zerstörung personenbezogener Daten — prüfen Sie, ob wahrscheinlich ein Risiko für die betroffenen Personen besteht. Ist dies der Fall, melden Sie den Vorfall innerhalb von 72 Stunden dem Information Commissioner's Office (ICO). Hochrisiko-Pannen erfordern eine direkte Benachrichtigung der betroffenen Personen. Die ICO kann Unternehmen bei schweren Verstößen mit bis zu 17,5 Millionen £ oder 4 % des weltweiten Jahresumsatzes belegen — in der Praxis konzentrieren sich Bußgelder jedoch auf große Organisationen mit systematischen Mängeln.