Datenschutz-Grundverordnung (DSGVO) und Datenschutzgesetz (DPA) 2018

Das Vereinigte Königreich verfügt über einen eigenen Datenschutzrahmen, der regelt, wie Organisationen personenbezogene Daten erheben, nutzen und verwalten. Dieser Rahmen basiert auf zwei zentralen Gesetzen: der britischen Datenschutzgrundverordnung (DSGVO) und dem Datenschutzgesetz (Data Protection Act, DPA) 2018.

Die britische DSGVO trat nach dem Brexit in Kraft und ersetzte die EU-DSGVO innerhalb des Vereinigten Königreichs. Obwohl die britische Version in vielen Bereichen der EU-Regulierung entspricht, bietet sie der Regierung die Flexibilität, Änderungen vorzunehmen, die auf die nationalen Prioritäten zugeschnitten sind.

Der DPA 2018 ergänzt die britische DSGVO als nationales Datenschutzgesetz des Vereinigten Königreichs. Er deckt spezifische Bereiche ab, die von der britischen DSGVO nicht erfasst werden, wie beispielsweise Ausnahmen für Strafverfolgungsbehörden, die öffentliche Sicherheit und die nationale Sicherheit.

Die britische DSGVO und der DPA 2018 schaffen ein umfassendes System zum Schutz personenbezogener Daten in verschiedenen Situationen, und die Einhaltung beider Vorschriften ist für Organisationen, die in Großbritannien mit personenbezogenen Daten umgehen, verpflichtend.

Was ist die britische DSGVO?

Die britische Datenschutz-Grundverordnung (DSGVO) ist das wichtigste Gesetz, das die Verarbeitung personenbezogener Daten im Vereinigten Königreich regelt. Sie gilt für alle Organisationen, unabhängig davon, ob sie ihren Sitz im Vereinigten Königreich oder im Ausland haben und personenbezogene Daten von Einwohnern des Vereinigten Königreichs erheben, speichern oder verarbeiten. Dies umfasst sowohl digitale Systeme als auch manuelle Aufzeichnungen.

Mit Wirkung vom 1. Januar 2021, nach dem Austritt des Vereinigten Königreichs aus der EU, wurde die britische Datenschutz-Grundverordnung (DSGVO) durch die Verordnung über den Datenschutz, die Privatsphäre und die elektronische Kommunikation (Änderungen usw.) (EU-Austritt) 2019 eingeführt. Sie behält die Kernideen der EU-DSGVO bei, die 2018 europaweit in Kraft trat, und konzentriert sich auf die rechtmäßige, faire und transparente Verarbeitung von Daten.

Die britische Datenschutz-Grundverordnung (DSGVO) schützt die Rechte des Einzelnen durch klare Regeln für den verantwortungsvollen Umgang mit Daten – von Kundendaten bis hin zu Mitarbeiterakten. Sie orientiert sich zwar an der EU-DSGVO, lässt aber zukünftige Anpassungen an die Bedürfnisse Großbritanniens zu. Unternehmen müssen daher Aktualisierungen im Auge behalten, um die Konformität zu gewährleisten.

Dieses Gesetz fördert das Vertrauen, indem es Organisationen dazu verpflichtet, personenbezogene Daten sorgfältig zu behandeln und dabei Rechenschaftspflicht mit praktischer Datennutzung in Einklang zu bringen.

Was ist das Datenschutzgesetz (DPA) 2018?

Der DPA 2018 ergänzt die britische DSGVO und bildet so einen umfassenden Datenschutzrahmen für Großbritannien. Er fügt spezifische, auf die rechtlichen und politischen Bedürfnisse Großbritanniens zugeschnittene Regeln hinzu und deckt Bereiche ab, in denen die britische DSGVO allein nicht ausreicht.

Das Datenschutzgesetz 2018 (DPA 2018) regelt besondere Situationen, wie zum Beispiel:

• Datenverarbeitung für StrafverfolgungsbehördenEs legt separate Regeln für den Umgang von Polizei und Strafverfolgungsbehörden mit personenbezogenen Daten fest. Dadurch wird ein Gleichgewicht zwischen Datenschutzrechten und öffentlicher Sicherheit geschaffen.
• Einwanderungskontrolle: Es enthält spezifische Ausnahmen in Bezug auf Einwanderungsfragen.
• Nationale Sicherheit: Es sieht bestimmte Ausnahmen vor, wenn die Datenverarbeitung mit Sicherheits- oder Nachrichtendiensten in Zusammenhang steht.

Darüber hinaus definiert der DPA 2018 die Aufgaben und Befugnisse des Information Commissioner's Office (ICO), der unabhängigen Datenschutzbehörde Großbritanniens, die für die Durchsetzung der Datenschutzgesetze, die Untersuchung von Verstößen und die Beratung von Organisationen zuständig ist.

Das Datenschutzgesetz 2018 (DPA 2018) präzisiert zudem die Regeln für die Verarbeitung sensibler Daten, wie beispielsweise Kinderdaten, und legt Rechtsgrundlagen für die Datennutzung in bestimmten Fällen fest. Zusammen mit der britischen Datenschutz-Grundverordnung (DSGVO) bildet es ein klares System, an das sich Organisationen halten müssen, um rechtmäßig zu handeln.

DSGVO vs. DPA 2018 (UK): Was ist der Unterschied?

Die britische Datenschutz-Grundverordnung (DSGVO) und der britische Datenschutzgesetz (DPA 2018) überschneiden sich in einigen Bereichen. Dennoch erfüllt jedes Gesetz eine andere Funktion innerhalb des umfassenderen Datenschutzrahmens.

Die britische Datenschutz-Grundverordnung (DSGVO) legt die wichtigsten Grundsätze, Rechte und Pflichten für die Verarbeitung personenbezogener Daten fest. Sie orientiert sich an der Struktur der ursprünglichen EU-DSGVO und legt den Fokus auf eine faire, rechtmäßige und transparente Datennutzung. Sie schützt die Rechte des Einzelnen und fördert die Rechenschaftspflicht von Organisationen.

Das britische Datenschutzgesetz (DPA 2018) ergänzt die britische Datenschutz-Grundverordnung (DSGVO) durch Bestimmungen, die speziell auf die rechtlichen und politischen Rahmenbedingungen des Vereinigten Königreichs zugeschnitten sind. Es präzisiert die Anwendung der britischen DSGVO in bestimmten Kontexten und führt bei Bedarf zusätzliche Regeln ein.

‍Hauptunterschiede

Die wichtigsten Unterschiede zwischen der britischen DSGVO und dem DPA 2018 sind folgende:

• Datenverarbeitung im Bereich Strafverfolgung und Strafjustiz: Das Datenschutzgesetz 2018 (DPA 2018) enthält einen eigenen Abschnitt zur Verarbeitung personenbezogener Daten für Zwecke der Strafverfolgung. Diese Regelungen zielen darauf ab, ein Gleichgewicht zwischen öffentlicher Sicherheit und Datenschutz herzustellen.
• Ausnahmen aus Gründen der nationalen SicherheitDas Datenschutzgesetz 2018 enthält spezifische Ausnahmen für die Verarbeitung personenbezogener Daten im Zusammenhang mit der nationalen Sicherheit, Nachrichtendiensten und damit verbundenen Aktivitäten.
• Umgang mit besonderen Kategorien von Daten: Beide Gesetze stellen strenge Anforderungen an die Verarbeitung sensibler Daten wie Gesundheitsinformationen, Angaben zur ethnischen Herkunft und politischen Meinungen. Das britische Datenschutzgesetz (DPA 2018) enthält jedoch detailliertere Informationen zur Anwendung dieser Regeln im Vereinigten Königreich.
• Verhaltenskodizes der ICODas DPA 2018 gibt dem ICO die Befugnis, Verhaltenskodizes und Leitlinien herauszugeben, die Organisationen bei der praktischen Anwendung des Gesetzes unterstützen.

‍

Organisationen müssen beide Gesetze gemeinsam befolgen, da die Einhaltung nur eines Gesetzes Lücken entstehen lässt und das Risiko von Strafen und Vertrauensverlust birgt.

Wer muss die britische DSGVO und das britische Datenschutzgesetz 2018 einhalten?

Die britische Datenschutz-Grundverordnung (DSGVO) und der britische Datenschutzgesetz (DPA 2018) gelten für eine Vielzahl von Organisationen, die personenbezogene Daten verarbeiten. Diese Gesetze dienen dem Schutz der Datenschutzrechte von Einzelpersonen und legen klare Regeln für die Erhebung, Speicherung und Nutzung personenbezogener Daten fest.

Die beiden Gesetze gelten für:

• in Großbritannien ansässige OrganisationenJede in Großbritannien ansässige Organisation, die personenbezogene Daten verarbeitet, muss diese Bestimmungen einhalten. Dies gilt für Unternehmen, Behörden, Wohltätigkeitsorganisationen und andere Organisationen, unabhängig von ihrer Größe oder Branche.
• Nicht-britische OrganisationenDie Regeln gelten auch für Organisationen mit Sitz außerhalb Großbritanniens, wenn sie Waren oder Dienstleistungen für Personen in Großbritannien anbieten (auch kostenlos) oder das Verhalten von Personen in Großbritannien überwachen.

Folgende Datentypen werden abgedeckt:

• Automatisierte Datenverarbeitung (z. B. Kundendatenbanken und CRM-Systeme).
• Strukturierte Daten (z. B. organisierte Dateien oder Tabellenkalkulationen).
• Einige unstrukturierte Daten, insbesondere wenn sie von öffentlichen Stellen verwaltet werden.

Kurz gesagt, können sowohl private als auch öffentliche Organisationen, unabhängig von ihrem Standort, diesen Gesetzen unterliegen, wenn sie personenbezogene Daten von Einwohnern des Vereinigten Königreichs verarbeiten.

Was gilt gemäß der britischen DSGVO und dem britischen Datenschutzgesetz als personenbezogene Daten?

Die britische Datenschutz-Grundverordnung (DSGVO) und das britische Datenschutzgesetz (DPA 2018) definieren personenbezogene Daten als alle Informationen, die sich auf eine identifizierbare Person beziehen. Dies umfasst Informationen, die jemanden direkt identifizieren können, wie beispielsweise ihren Namen, oder indirekt, wenn sie mit anderen Angaben kombiniert werden.

Beispiele für personenbezogene Daten sind:

• Name und Kontaktdaten.
• Identifikationsnummern (z. B. Sozialversicherungsnummer oder Reisepassnummer).
• Standortdaten und Online-Kennungen (z. B. IP-Adressen).
• Biometrische und genetische Daten werden zur Identifizierung von Personen verwendet.

Wenn Informationen allein oder in Verbindung mit anderen Daten dazu verwendet werden können, eine Person zu identifizieren, gelten sie nach britischem Recht als personenbezogene Daten.

Bestimmte Arten personenbezogener Daten gelten als besonders sensibel und erfordern zusätzlichen Schutz. Diese werden als besondere Kategorien personenbezogener Daten bezeichnet und umfassen:

• Rassen- oder ethnische Herkunft.
• Religiöse oder philosophische Überzeugungen.
• Politische Meinungen.
• Gewerkschaftszugehörigkeit.
• Gesundheitsinformationen.
• Genetische und biometrische Daten, die zur Identifizierung verwendet werden.
• Details über das Sexualleben oder die sexuelle Orientierung einer Person.

‍

Organisationen benötigen eine stärkere Rechtsgrundlage für die Verarbeitung von Daten besonderer Kategorien, und es gelten häufig zusätzliche Schutzmaßnahmen.

Es ist außerdem wichtig zu beachten, was nach der britischen DSGVO und dem BDSG 2018 tatsächlich unter „Verarbeitung“ zu verstehen ist. Im Wesentlichen bezieht sich der Begriff auf jede Operation, die mit personenbezogenen Daten durchgeführt wird, wie zum Beispiel:

• Sammeln
• Speicherung
• Organisieren
• Verwendung
• Teilen
• Löschen oder Zerstören

Die Gesetze gelten sowohl für die automatisierte Verarbeitung (z. B. digitale Datensätze) als auch für manuelle Ablagesysteme, sofern personenbezogene Daten strukturiert organisiert sind.

Was sind die 7 Grundsätze des Datenschutzes?

Die britische Datenschutz-Grundverordnung (DSGVO) legt sieben Kernprinzipien fest, die Organisationen bei der Verarbeitung personenbezogener Daten regeln. Diese Prinzipien bilden das Fundament des britischen Datenschutzsystems und gelten für jede Art der Datenverarbeitung.

Die 7 Grundsätze des Datenschutzes

1. Rechtmäßigkeit, Fairness und Transparenz

Die Datenverarbeitung muss rechtmäßig und fair erfolgen, wobei den Betroffenen klare Informationen über die Datenverwendung zur Verfügung gestellt werden müssen, beispielsweise durch Datenschutzhinweise.

2. Zweckbeschränkung

Daten sollten nur für spezifische, klare Zwecke erhoben werden und dürfen nicht für Zwecke verwendet werden, die mit diesen Zwecken unvereinbar sind, es sei denn, die betroffene Person stimmt dem zu.

3. Datenminimierung

Datenminimierung erhebt nur die personenbezogenen Daten, die Organisationen für ihre angegebenen Zwecke tatsächlich benötigen. Beispielsweise werden Name und Adresse eines Kunden abgefragt, um ein Produkt zuzustellen, ohne unnötige Details zu erfragen.

4. Genauigkeit

Es müssen angemessene Maßnahmen ergriffen werden, um die Richtigkeit und Aktualität personenbezogener Daten zu gewährleisten. Dazu gehört beispielsweise, Möglichkeiten für Einzelpersonen bereitzustellen, fehlerhafte Kontaktdaten zu korrigieren.

5. Speicherbegrenzung

Personenbezogene Daten sollten nicht länger aufbewahrt werden, als es für die Zwecke, für die sie erhoben wurden, erforderlich ist. Beispielsweise sollten Unternehmen alte Kundendatensätze löschen, die aus geschäftlichen oder rechtlichen Gründen nicht mehr benötigt werden.

6. Integrität und Vertraulichkeit (Sicherheit)

Es müssen geeignete Sicherheitsmaßnahmen getroffen werden, um personenbezogene Daten vor unbefugtem Zugriff, Verlust oder Beschädigung zu schützen. Dazu gehört die Verschlüsselung sensibler Informationen, die auf den Systemen des Unternehmens gespeichert sind.

7. Rechenschaftspflicht

Organisationen müssen die Einhaltung der Vorschriften nachweisen, indem sie Aufzeichnungen über Datenaktivitäten führen und ihre Mitarbeiter schulen.

Diese sieben Grundsätze gelten für alle Organisationen, die personenbezogene Daten verarbeiten, und bilden die Grundlage für einen rechtmäßigen und transparenten Datenschutzansatz.

Rechte betroffener Personen gemäß der britischen DSGVO und dem britischen Datenschutzgesetz 2018

Die britische DSGVO und das britische Datenschutzgesetz 2018 geben Einzelpersonen klare Rechte in Bezug auf ihre personenbezogenen Daten und mehr Kontrolle darüber, wie die Informationen gesammelt, verwendet und weitergegeben werden.

Organisationen müssen diese Rechte verstehen und respektieren. Sie müssen außerdem innerhalb festgelegter Fristen auf Anfragen von Einzelpersonen reagieren.

Hier sind die wichtigsten Rechte betroffener Personen, die Organisationen und Einzelpersonen kennen sollten:

‍

• Recht auf InformationEinzelpersonen haben das Recht zu erfahren, wie ihre personenbezogenen Daten verwendet werden. Organisationen müssen klare Informationen bereitstellen, häufig in Form von Datenschutzerklärungen.
• ZugangsrechtPersonen können Auskunft über die von einer Organisation gespeicherten personenbezogenen Daten verlangen. Dies wird häufig als Auskunftsersuchen (Subject Access Request, SAR) bezeichnet. Die Organisation muss die Informationen in der Regel innerhalb eines Monats bereitstellen.
• Recht auf Berichtigung: Sind personenbezogene Daten unrichtig oder unvollständig, können Betroffene deren Berichtigung verlangen.
• Recht auf Löschung (Recht auf Vergessenwerden): In bestimmten Situationen können Einzelpersonen die Löschung ihrer personenbezogenen Daten verlangen. Dieses Recht besteht beispielsweise dann, wenn die Daten für ihren ursprünglichen Zweck nicht mehr benötigt werden oder die Einwilligung widerrufen wurde.
• Recht auf Einschränkung der VerarbeitungEinzelpersonen können unter bestimmten Umständen, beispielsweise wenn die Richtigkeit der Daten bestritten wird, verlangen, dass ihre Daten nur gespeichert und nicht für andere Zwecke verwendet werden.
• Recht auf DatenübertragbarkeitPersonen können verlangen, ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Sie können auch verlangen, dass die Daten an eine andere Organisation übertragen werden.
• WiderspruchsrechtEinzelpersonen können der Verwendung ihrer personenbezogenen Daten für bestimmte Zwecke, einschließlich Direktmarketing, widersprechen.
• Rechte im Zusammenhang mit automatisierter Entscheidungsfindung und Profilerstellung: Personen genießen Schutz, wenn Entscheidungen ausschließlich durch automatisierte Prozesse getroffen werden, insbesondere wenn die Entscheidung erhebliche Auswirkungen hat (z. B. Kreditwürdigkeit oder Beschäftigungsberechtigung).

Das Datenschutzgesetz 2018 (DPA 2018) sieht Ausnahmen von einigen Rechten in bestimmten Situationen vor, darunter:

• Daten, die zu Zwecken der Strafverfolgung verarbeitet werden
• Datenverarbeitung zur Einwanderungskontrolle
• Verarbeitung im Zusammenhang mit der nationalen Sicherheit

In diesen Fällen können bestimmte Rechte eingeschränkt werden, um ein Gleichgewicht zwischen individueller Privatsphäre und öffentlichen Interessen oder Sicherheitserfordernissen herzustellen.

Wichtige Geschäftspflichten gemäß der britischen DSGVO und dem britischen Datenschutzgesetz 2018

Organisationen, öffentliche Einrichtungen, Wohltätigkeitsorganisationen und andere Gruppen und Unternehmen, die in Großbritannien personenbezogene Daten verarbeiten, müssen bestimmte Pflichten gemäß der britischen DSGVO und dem britischen Datenschutzgesetz 2018 erfüllen.

Eine rechtmäßige Grundlage für die Verarbeitung schaffen

Organisationen benötigen einen triftigen Grund für die Erhebung und Nutzung personenbezogener Daten. Zu den Rechtsgrundlagen gemäß der britischen DSGVO gehören:

• Einwilligung der betroffenen Person
• Einen Vertrag erfüllen
• Schutz lebenswichtiger Interessen (z. B. Rettung eines Menschenlebens)
• Erfüllung einer rechtlichen Verpflichtung
• Ausführung einer Aufgabe im öffentlichen Interesse
• Berechtigte Interessen der Organisation oder eines Dritten (sofern nicht individuelle Rechte überwiegen)

Implementieren Sie Datensicherheitsmaßnahmen

Es müssen geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten getroffen werden. Dazu gehören die Verschlüsselung, die Kontrolle des Systemzugriffs und der Schutz der Daten vor Verlust oder unbefugter Nutzung.

Bei Bedarf einen Datenschutzbeauftragten (DSB) ernennen.

Manche Organisationen müssen einen Datenschutzbeauftragten ernennen, insbesondere wenn sie:

• Sind eine öffentliche Behörde
• Führen Sie eine groß angelegte Überwachung von Einzelpersonen durch
• Verarbeitung großer Mengen spezieller Datenkategorien

Führen von Aufzeichnungen über Verarbeitungstätigkeiten (ROPA)

Die meisten Organisationen müssen intern Aufzeichnungen darüber führen, welche personenbezogenen Daten sie verarbeiten, wie diese verwendet werden und auf welcher Rechtsgrundlage die Verarbeitung erfolgt. Dies trägt zur Rechenschaftspflicht bei.

Führen Sie Datenschutz-Folgenabschätzungen (DSFA) für risikoreiche Verarbeitungsvorgänge durch.

Wenn eine Organisation Datenverarbeitungen durchführt, die voraussichtlich ein hohes Risiko für die Rechte einer Person bergen, muss sie vor Beginn der Tätigkeit eine Datenschutz-Folgenabschätzung (DSFA) durchführen. Eine DSFA ist beispielsweise erforderlich, wenn ein Unternehmen sensible Daten in großem Umfang nutzt oder Profiling betreibt.

Auf Anfragen von Betroffenen bezüglich Auskunft und Datenschutzrechten reagieren

Organisationen müssen Anfragen von Personen, die ihre Rechte nach dem Datenschutzrecht ausüben, wie beispielsweise Auskunfts- oder Berichtigungsanfragen, beantworten. In den meisten Fällen muss die Antwort innerhalb eines Monats erfolgen.

Wenn eine Organisation diesen Verpflichtungen nicht nachkommt, kann dies zu behördlichen Maßnahmen, Reputationsschäden und erheblichen Strafen führen.

Umgang mit Datenschutzverletzungen gemäß der britischen DSGVO

Ein Datenschutzverstoß liegt vor, wenn Informationen verloren gehen, unbefugt abgerufen, verändert oder zerstört werden. Gemäß der britischen Datenschutz-Grundverordnung (DSGVO) müssen Organisationen klare Maßnahmen ergreifen, um auf solche Vorfälle zu reagieren.

Im Falle einer Datenschutzverletzung müssen Organisationen folgende Schritte befolgen:

• Benachrichtigen Sie das ICO innerhalb von 72 Stunden: Wenn durch einen Verstoß ein Risiko für die Rechte oder Freiheiten von Einzelpersonen entsteht, muss die Organisation dies dem ICO innerhalb von 72 Stunden nach Kenntniserlangung melden.
• Informieren Betroffene Personen: Wenn die Sicherheitslücke voraussichtlich ein hohes Risiko für Einzelpersonen darstellt, muss die Organisation die Betroffenen unverzüglich informieren.
• Dokumentieren Sie den Verstoß.Auch wenn ein Verstoß nicht meldepflichtig ist, müssen Organisationen intern Aufzeichnungen darüber führen, was passiert ist, wie damit umgegangen wurde und welche Korrekturmaßnahmen ergriffen wurden.
• Rollen und Verantwortlichkeiten verstehen: Sowohl Verantwortliche als auch Auftragsverarbeiter tragen im Falle einer Datenschutzverletzung Verantwortung. Auftragsverarbeiter müssen den Verantwortlichen unverzüglich benachrichtigen, und die Verantwortlichen sind für die Bewertung der Auswirkungen und die Festlegung der nächsten Schritte zuständig.

‍

Die Vorbereitung auf Datenschutzverletzungen sollte ein zentraler Bestandteil der Strategie jeder Organisation sein. Bereitschaft zur Einhaltung der VorschriftenDies bedeutet, dass klare Verfahren, Reaktionspläne und Mitarbeiterschulungen vorhanden sein müssen, um Vorfälle effektiv zu bewältigen und potenziellen Schaden zu minimieren.

Internationale Datenübermittlungen nach britischem Recht

Die britische Datenschutz-Grundverordnung (DSGVO) schränkt die Übermittlung personenbezogener Daten in Länder außerhalb Großbritanniens ein. Diese Regeln sollen sicherstellen, dass die Daten von Einzelpersonen auch außerhalb des britischen Rechtsrahmens geschützt bleiben.

Organisationen müssen geeignete Schutzmaßnahmen ergreifen, es sei denn, das Zielland wurde von der britischen Regierung als angemessen genehmigt.

Dies sind die rechtlichen Mechanismen für internationale Geldtransfers:

• AngemessenheitsentscheidungenDie britische Regierung kann entscheiden, dass ein Land, ein Gebiet oder eine internationale Organisation ein mit den britischen Standards vergleichbares Datenschutzniveau bietet. Datenübermittlungen an diese Orte sind ohne weitere Maßnahmen zulässig.
• Standardvertragsklauseln (SCCs)Standardvertragsklauseln (SCCs) sind von der britischen Regierung genehmigte Rechtsvereinbarungen. Sie legen vertragliche Verpflichtungen zum Schutz personenbezogener Daten bei deren Übermittlung in Länder ohne Angemessenheitsbeschluss fest.
• Internationale Datentransferabkommen (IDTAs): IDTAs sind speziell auf britische Organisationen zugeschnitten, die Daten international übermitteln. Sie bieten eine Alternative zu SCCs und legen einen standardisierten Satz von Bedingungen zum Schutz personenbezogener Daten fest.
• Verbindliche Unternehmensregeln (BCRs): BCRs ermöglichen multinationalen Organisationen den Datentransfer innerhalb ihrer Unternehmensgruppe. Dies ist jedoch nur möglich, wenn sie über genehmigte und durchsetzbare Richtlinien verfügen, die den Anforderungen der britischen DSGVO entsprechen.

In einigen Ausnahmefällen können Organisationen personenbezogene Daten auch ohne diese Mechanismen übermitteln. Zum Beispiel:

• Die betroffene Person erteilt ihre ausdrückliche Einwilligung, nachdem sie über die potenziellen Risiken aufgeklärt wurde.
• Die Überweisung ist für die Erfüllung eines Vertrags erforderlich.
• Es gibt wichtige Gründe von öffentlichem Interesse.

‍

Internationale Geldtransfers bergen rechtliche und Reputationsrisiken. Daher müssen Organisationen die Umstände sorgfältig prüfen und geeignete Schutzmaßnahmen ergreifen.

Durchsetzung und Strafen

Das ICO ist für die Durchsetzung der britischen Datenschutzgrundverordnung (DSGVO) und des britischen Datenschutzgesetzes (DPA 2018) zuständig. Das ICO ist befugt, Organisationen zu untersuchen, Leitlinien herauszugeben und bei Gesetzesverstößen Maßnahmen zu ergreifen. Zu seinen Befugnissen gehören insbesondere:

• Untersuchung von Beschwerden oder Verdachtsfällen von Nichteinhaltung.
• Durchführung von Audits und Inspektionen.
• Erteilen von Warnungen oder Rügen.
• Verhängung von Geldstrafen bei Verstößen gegen das Datenschutzrecht.

Die ICO kann je nach Schwere des Verstoßes erhebliche Geldstrafen verhängen:

• Bis zu 8,7 Millionen Pfund oder 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) für weniger schwerwiegende Verstöße.
• Bei schwerwiegenderen Verstößen drohen Geldstrafen von bis zu 17,5 Millionen Pfund oder 4 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist). Dies umfasst beispielsweise die unrechtmäßige Datenverarbeitung oder die Nichteinhaltung von Rechten Dritter.

Organisationen werden häufig für Folgendes bestraft:

• Erhebung oder Verwendung personenbezogener Daten ohne entsprechende Einwilligung.
• Das Versäumnis, angemessene Sicherheitsmaßnahmen zum Schutz von Daten umzusetzen.
• Ignorieren von Auskunftsersuchen betroffener Personen (DSARs) oder Versäumnis, innerhalb der vorgeschriebenen Frist zu antworten.

Die Aufsichtsbehörden erwarten von Unternehmen, dass sie den Datenschutz ernst nehmen. Die Nichteinhaltung gesetzlicher Verpflichtungen kann zu Geldstrafen, Reputationsschäden und rechtlichen Schritten führen.

Wie man ein konformes Datenschutzprogramm aufbaut

Der Aufbau eines effektiven Datenschutzprogramms hilft Organisationen dabei, ihren Verpflichtungen gemäß der britischen DSGVO und dem DPA 2018 nachzukommen.

Hier die wichtigsten Schritte zur Unterstützung der Einhaltung der Vorschriften:

• Erstellen Sie eine klare und prägnante Datenschutzerklärung: Ihre Datenschutzerklärung sollte erläutern, welche personenbezogenen Daten Sie erheben, wie Sie diese verwenden, auf welcher Rechtsgrundlage die Verarbeitung erfolgt und wie Einzelpersonen ihre Rechte ausüben können.
• Schulen Sie die Mitarbeiter hinsichtlich ihrer Verantwortlichkeiten und des Umgangs mit Daten: Alle an der Verarbeitung personenbezogener Daten Beteiligten sollten ihre Rolle kennen. Dazu gehört auch, potenzielle Risiken oder Datenschutzverletzungen zu erkennen und zu melden.
• Lieferantenmanagementprozesse implementieren: Organisationen müssen die Risiken im Zusammenhang mit Drittanbietern, die personenbezogene Daten verarbeiten, bewerten und managen. Dazu gehört das Vorhandensein klarer Verträge und Datenschutzbestimmungen.
• Führen Sie Datenrisikobewertungen durch.Ein regelmäßiger Datenrisikobewertung Unterstützt Organisationen dabei, Schwachstellen zu identifizieren, die Wahrscheinlichkeit von Vorfällen einzuschätzen und geeignete Kontrollmaßnahmen zum Schutz personenbezogener Daten anzuwenden.
• Aufzeichnungen und Prüfprotokolle verwaltenDie genaue Dokumentation von Datenverarbeitungsaktivitäten belegt die Verantwortlichkeit. Dazu gehört die Dokumentation der rechtlichen Grundlagen für die Verarbeitung, der Datenflüsse und der Sicherheitsmaßnahmen.
• Achten Sie auf Aktualisierungen der Leitlinien zur britischen DSGVO und zum DPA 2018.Das Datenschutzrecht entwickelt sich ständig weiter. Organisationen sollten regelmäßig die Aktualisierungen der Datenschutzbehörde (ICO) prüfen und ihre internen Prozesse an die geänderten rechtlichen Anforderungen anpassen.

Durch die Anwendung dieser Praktiken können Organisationen gesetzliche Standards erfüllen, personenbezogene Daten schützen und Vertrauen bei ihren Nutzern, Klienten und Kunden aufbauen.