Das digitale Zeitalter, in dem wir leben, hat die Art und Weise, wie Einzelpersonen und Organisationen kommunizieren und Daten austauschen, grundlegend verändert. Über das Internet lassen sich immer mehr Dienstleistungen abwickeln – gleichzeitig erfordern Online-Services zunehmend die Eingabe personenbezogener Daten. Einzelpersonen machen ihre privaten Informationen immer häufiger öffentlich und global zugänglich.
Doch wie steht es um die Sicherheit? Wird diese dadurch infrage gestellt? Wie lässt sich ein reibungsloser Informationsfluss bei gleichzeitig hohem Schutzniveau für personenbezogene Daten gewährleisten?
Dies sind nur einige der zentralen Fragen, die wir in diesem Beitrag beantworten.
Legen wir los!
Was ist die DSGVO (GDPR)?
Im wettbewerbsintensiven Marktumfeld gilt: Je mehr Daten zur Verfügung stehen, desto präziser lassen sich Markttrends prognostizieren, strategische Entscheidungen treffen und Wettbewerbsvorteile sichern. Durch die zunehmende Datenexposition in diesem Umfeld entstand jedoch die dringende Notwendigkeit einer rechtlichen Regulierung zum Schutz des Einzelnen.
Aus diesem Grund hat die Europäische Union (EU) die Datenschutz-Grundverordnung (General Data Protection Regulation – DSGVO / GDPR) verabschiedet. Die Verordnung wurde 2016 beschlossen und trat nach einer zweijährigen Übergangsfrist am 25. Mai 2018 verbindlich in Kraft – dieses Datum markierte zugleich die Frist zur vollständigen Anpassung aller Prozesse und IT-Systeme. Ziel der Verordnung ist es, zur Schaffung eines Raums der Freiheit, der Sicherheit und des Rechts sowie einer Wirtschaftsunion beizutragen, den wirtschaftlichen und sozialen Fortschritt zu fördern, das Zusammenwachsen der Volkswirtschaften im Binnenmarkt zu stärken und das Wohlergehen der Bürger zu gewährleisten.
Zahlreiche Unternehmen und Organisationen haben personenbezogene Kundendaten in der Vergangenheit oft als kostenlose Ressource betrachtet, sie ungefragt genutzt und ohne ausreichende Beschränkungen oder Schutzmaßnahmen erhoben.
Die DSGVO stellt einen modernen Rechtsrahmen für den Schutz personenbezogener Daten von EU-Bürgern dar. Die rechtliche Grundlage der DSGVO bilden der Vertrag über die Arbeitsweise der Europäischen Union sowie die EU-Grundrechtecharta. Beide Dokumente verankern ausdrücklich das Recht jeder Person auf den Schutz ihrer personenbezogenen Daten – ein Recht, das die EU mit dieser Verordnung konsequent schützt. Die DSGVO fungiert somit als wirksames Instrument, das Unternehmen dazu verpflichtet, die Erhebung, Analyse und Speicherung von Daten grundlegend zu überdenken und gesetzeskonform zu strukturieren.
Anwendungsbereich
Die DSGVO gilt für jede Organisation, die personenbezogene Daten von EU-Bürgern innerhalb der EU speichert oder verarbeitet. Dies umfasst Kleinst-, kleine und mittlere Unternehmen ebenso wie öffentliche Institutionen, Behörden und Agenturen, die personenbezogene Daten erfassen – unabhängig davon, ob die Organisation ihren Sitz innerhalb oder außerhalb der EU hat, und unabhängig von ihrer Größe, Rechtsform oder Branche. Alle juristischen Personen sind verpflichtet, die festgelegten Vorschriften einzuhalten, was nicht nur das reine Online-Geschäft betrifft, sondern jeden Akteur, der Zugriff auf personenbezogene Daten hat.
Dabei reicht es keineswegs aus, lediglich einzelne Teilbereiche des Unternehmens abzusichern; vielmehr muss die gesamte Kette der Erhebung, Verarbeitung und Nutzung personenbezogener Daten lückenlos den gesetzlichen Anforderungen entsprechen.
Personenbezogene Daten
Ein personenbezogenes Datum ist jede Information oder Kombination von Daten, anhand derer eine Person direkt oder indirekt identifiziert werden kann. Dies beschränkt sich keineswegs nur auf Vor- und Nachnamen.
Was bringt die DSGVO dem Einzelnen?
Um personenbezogene Daten eines Nutzers speichern zu dürfen, muss zuvor eine ausdrückliche Einwilligung (Zustimmung, Erlaubnis) eingeholt werden. Liegt eine Einwilligung zur Verarbeitung vor, dürfen die Daten ausschließlich für diejenigen Zwecke genutzt werden, für die die Erlaubnis erteilt wurde. Eine zusätzliche Stärkung der Betroffenenrechte wird durch Datenschutz-Folgenabschätzungen gewährleistet, die prüfen, welche Auswirkungen die Erhebung und Verarbeitung auf die Rechte und Freiheiten der Person hat. Zudem besteht eine Meldepflicht gegenüber den Aufsichtsbehörden und den betroffenen Personen im Falle einer Datenpanne oder unrechtmäßigen Verwendung (innerhalb von 72 Stunden).
Eine der wesentlichen Neuerungen der DSGVO betrifft die Art und Weise der Einwilligungserteilung: Die Bedingungen müssen in einfacher, leicht verständlicher Sprache verfasst sein und eine klare Begründung enthalten, zu welchem Zweck die Daten erhoben werden.
Personenbezogene Daten dürfen nur so lange in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen ermöglicht, wie es für die festgelegten Zwecke erforderlich ist. Eine Ausnahme bilden Daten, die ausschließlich für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke sowie für statistische Auswertungen verarbeitet werden – diese müssen gemäß den DSGVO-Standards adäquat geschützt werden.
Um die Einhaltung sämtlicher Bestimmungen zu gewährleisten, hat der Gesetzgeber in jedem EU-Mitgliedstaat eine unabhängige nationale Aufsichtsbehörde eingerichtet, die Meldungen und Beschwerden in diesem Bereich prüft und deren Arbeit auf europäischer Ebene koordiniert wird.
Was bringt die DSGVO für Unternehmen?
Besonders beachtenswert ist, dass die DSGVO nicht nur für Unternehmen mit Sitz in der Europäischen Union gilt, sondern für alle Marktteilnehmer weltweit, die personenbezogene Daten von Personen mit Aufenthalt im EU-Raum verarbeiten – unabhängig von Standort und Unternehmensgröße. Jede Organisation, Institution oder sonstige juristische Person, die Mitarbeitende, Kunden oder Dienstleistungsempfänger mit EU-Bürgerschaft bzw. -Pass beschäftigt oder bedient, ist zur Einhaltung der DSGVO-Schutzstandards verpflichtet.
Die Verordnung fordert von allen datenverarbeitenden Stellen eine vollständige Bestandsaufnahme, Kategorisierung und Kodierung sämtlicher Nutzerdaten, die als personenbezogen gelten. Eine erteilte Einwilligung muss auf einer eindeutigen, freiwilligen und unmissverständlichen Willensbekundung basieren. Dadurch wird ein einheitlicher europäischer Datenschutzstandard etabliert: Einerseits schafft dies rechtliche Klarheit, andererseits stellt es Organisationen vor strenge operative Anforderungen, die mit drastischen Sanktionen abgesichert sind. Verstöße gegen die Vorgaben können mit Bußgeldern von bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Vorjahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Für die behördliche Überwachung und Durchsetzung sind die jeweils zuständigen Datenschutzbehörden (wie etwa die AZOP) verantwortlich.
Um die Rechtskonformität im Unternehmen sicherzustellen, ist fundiertes Fachwissen unerlässlich. In bestimmten Fällen schreibt die Verordnung zudem die Benennung eines qualifizierten Datenschutzbeauftragten vor. Diese Aufgaben können auch an externe Spezialisten über Dienstleistungs- oder Werkverträge übertragen werden. Zu den zentralen Rollen gehören:
- Verantwortlicher (Data Controller): Bestimmt über Zwecke und Mittel der Datenverarbeitung.
- Auftragsverarbeiter (Data Processor): Verarbeitet personenbezogene Daten im Auftrag und auf Weisung des Verantwortlichen.
- Datenschutzbeauftragter (Data Protection Officer – DPO): Berät, überwacht und schult die Organisation bezüglich der Einhaltung der Datenschutzgesetze.
Organisationen müssen verbindliche Datenschutzkonzepte, standardisierte Risikoanalysen sowie zielgerichtete Maßnahmen zur Risikominimierung etablieren. Der konkrete Schutzplan richtet sich nach Parametern wie Sensibilität, Datenvolumen und IT-Infrastruktur. Als Mindeststandard sollten Unternehmen folgende Schritte umsetzen:
Technische Schutzmaßnahmen wie Ende-zu-Ende-Verschlüsselung und Pseudonymisierung implementieren
Datenbestände vollständig erfassen und Speicherorte kartieren
Risikoanalysen durchführen, um potenzielle Schwachstellen für Datenlecks und unbefugte Zugriffe zu identifizieren
Zugriffsberechtigungen rollenbasiert einschränken (Need-to-know-Prinzip)
Wie lässt sich die DSGVO (GDPR) in Bosnien und Herzegowina anwenden?
Die umfassendste Reform der europäischen Datenschutzpolitik betrifft auch Bosnien und Herzegowina, obwohl das Land kein EU-Mitgliedstaat ist. Durch die Unterzeichnung des Stabilisierungs- und Assoziierungsabkommens mit der EU hat sich Bosnien und Herzegowina verpflichtet, seine nationale Gesetzgebung an das EU-Recht anzupassen. Dennoch müssen Unternehmen und Institutionen in BiH bereits seit dem Inkrafttreten der DSGVO personenbezogene Daten von EU-Bürgern – sowohl innerhalb als auch außerhalb der Landesgrenzen – lückenlos schützen.
Für Unternehmen in Bosnien und Herzegowina, die Daten von Privatpersonen verarbeiten, ist eine zeitnahe Anpassung an die DSGVO-Vorgaben unerlässlich. Die Einhaltung der Verordnung ist für BiH zunächst zum Schutz von EU-Bürgern relevant und bildet zugleich einen wesentlichen Baustein für die künftige EU-Integration.
Der grundlegende erste Schritt für jede Organisation in BiH besteht darin, eine umfassende Konformitätsbewertung (Gap-Analyse) durchzuführen, um den aktuellen Stand des Datenschutzes sowohl mit dem bestehenden Datenschutzgesetz in Bosnien und Herzegowina als auch mit den Anforderungen der DSGVO abzugleichen.
Bis zum Inkrafttreten eines vollständig an die EU-Verordnung angeglichenen neuen nationalen Gesetzes gelten in BiH weiterhin die Strafbestimmungen des bestehenden Datenschutzgesetzes. Bosnien und Herzegowina nimmt hierbei eine Sonderstellung ein, da ein erheblicher Teil der Bevölkerung zugleich die Staatsbürgerschaft eines EU-Mitgliedstaates besitzt.
Titel / Überschrift Wie kann ED Vision Sie bei der DSGVO-Konformität unterstützen?
Setzen Sie diese Verordnung in Ihrer Organisation um und zeigen Sie Ihren Kunden, dass Sie ihnen die volle Kontrolle über ihre personenbezogenen Daten garantieren!
Ein besonders kritischer Bereich bei der Erfassung personenbezogener Daten ist Ihre Website. Wenn Sie eine Website betreiben, Nutzerdaten verarbeiten, regelmäßige Newsletter versenden, Gehälter auszahlen, einen Online-Shop führen und täglich zahlreiche Bestellungen abwickeln – und sich in Ihrer Datenbank Personen (ob Kunden oder Mitarbeiter) befinden, die EU-Bürger sind –, unterstützen wir Sie dabei, Ihre Geschäftsprozesse vollständig an die Bestimmungen der DSGVO anzupassen.
Obwohl die DSGVO den Schutz personenbezogener Daten präzise vorgibt, definiert sie keine spezifischen Technologien oder technischen Prozesse, die Unternehmen dafür einsetzen müssen. Vielen Unternehmensinhabern und Führungskräften sind die operativen Hürden bei der Umsetzung oft nicht vollständig bewusst. Die Anpassung ist ein komplexer Prozess, der spürbare Veränderungen interner Abläufe erfordert: Je früher Sie mit der Umsetzung beginnen, desto reibungsloser gelingt der Übergang. Wir stehen Ihnen dabei verlässlich zur Seite.
Was bedeutet die DSGVO konkret für Ihre Website? Seit dem Inkrafttreten der Verordnung ist das Erfassen von Nutzerdaten über Webseiten deutlich anspruchsvoller geworden. Wir unterstützen Sie dabei, Ihren Besuchern die volle Kontrolle über ihre Daten zu geben und transparente, unmissverständliche Richtlinien für das Erteilen sowie den Widerruf von Einwilligungen bereitzustellen.
Im Folgenden zeigen wir Ihnen die wichtigsten DSGVO-konformen Anpassungen für Ihre Website, die Sie zeitnah umsetzen sollten.
Datenschutzerklärung
Datenschutzerklärung für Ihre Website
Sollten Sie noch keine Datenschutzerklärung auf Ihrer Website eingebunden haben, erstellen und integrieren wir diese für Sie. Die Datenschutzerklärung ist ein zentrales Dokument bzw. eine unverzichtbare Unterseite auf Ihrer Domain, über die jede Website verfügen muss. Sie ist ein Kernbestandteil der DSGVO-Konformität, mit dem Sie dem gesetzlichen Grundsatz der Transparenz nachkommen.
Wir sorgen dafür, dass Ihre Datenschutzerklärung juristisch präzise und vollständig formuliert ist, sodass alle eingeholten Einwilligungen zur Datennutzung rechtsgültig sind. Wir informieren Ihre Website-Besucher in klarer und leicht verständlicher Sprache, damit sie transparent nachvollziehen können:
- welche Rechte ihnen zustehen,
- auf welche Weise ihre Daten verarbeitet werden,
- wie sie Änderungen an ihren Daten vornehmen oder deren Löschung verlangen können und
- welche Sicherheitsstandards in Ihren Systemen implementiert sind.
Wir unterstützen Sie mit konkreten Leitlinien bei der Erstellung oder Überarbeitung einer Datenschutzerklärung, die sämtliche Anforderungen der DSGVO lückenlos erfüllt. So erfassen Sie Nutzerdaten stets rechtssicher, kommunizieren transparent und führen Ihr digitales Geschäft in voller Übereinstimmung mit dem europäischen Datenschutzrecht.
Cookies
Ein Cookie ist eine kleine Textdatei, die beim Besuch einer Website vom Browser auf dem Endgerät des Nutzers gespeichert wird. Cookies speichern in der Regel individuelle Präferenzen wie die bevorzugte Sprache, Formulardaten oder Adressangaben. Bei einem erneuten Besuch ermöglichen sie es der Website, Inhalte personalisiert und nutzerfreundlich auszuspielen.
Die DSGVO bringt grundlegende Änderungen für den Umgang mit Cookies mit sich: Ein einfacher Hinweis wie „Diese Website verwendet Cookies“ ist rechtlich nicht mehr zulässig. Vor dem Setzen von technisch nicht zwingend notwendigen Cookies im Browser des Besuchers muss zwingend eine aktive, informierte und freiwillige Einwilligung (Opt-in) eingeholt werden. Davon ausgenommen sind lediglich technisch essenzielle Cookies, die für den reinen Betrieb der Website unerlässlich sind.
Wir implementieren für Sie eine rechtssichere Consent-Management-Lösung (Cookie-Banner), mit der Besucher die Datenspeicherung granular steuern können:
Widerrufsrecht: Eine DSGVO-konforme Möglichkeit für Nutzer, ihre erteilte Einwilligung jederzeit unkompliziert mit nur wenigen Klicks einzusehen und zu widerrufen.
Freie Wahl: Vollständiges Akzeptieren, Ablehnen oder gezieltes Auswählen bestimmter Cookie-Kategorien (z. B. Statistik-, Marketing- oder funktionale Cookies).
Kontakt- und Webformulare
Nach den Vorgaben der DSGVO dürfen personenbezogene Daten, die ein Nutzer Ihnen überlässt, ausschließlich für den konkreten Zweck verwendet werden, für den eine ausdrückliche Einwilligung vorliegt. Erhalten Sie beispielsweise im Rahmen eines Online-Kaufs eine E-Mail-Adresse, darf diese ohne gesonderte Erlaubnis nur zur Abwicklung der Bestellung genutzt werden – nicht jedoch für Werbezwecke. Soll die E-Mail-Adresse auch für Newsletter oder Werbekampagnen verwendet werden, muss unter dem Formular eine separate, nicht vorausgewählte Checkbox mit einem klaren Text wie „Ich stimme dem Erhalt von Werbeangeboten zu“ platziert werden.
Wir analysieren Ihre Webformulare und integrieren in enger Abstimmung mit Ihnen alle erforderlichen Pflichtangaben, Hinweise und leeren Auswahlkästchen (Opt-in), um vollständige DSGVO-Konformität zu gewährleisten.
- Rechtskonforme Checkboxen: Vor dem Klick auf Absende- oder Registrierungs-Buttons werden freiwillige Einwilligungen über unangekreuzte Kästchen eingeholt.
- Rechtssichere Protokollierung: Jede erteilte Einwilligung wird digital und nachweisbar protokolliert, sodass Sie bei behördlichen Prüfungen oder rechtlichen Anfragen einen lückenlosen Nachweis über die Verarbeitungsbefugnis erbringen können.
Die DSGVO regelt dabei ausschließlich personenbezogene Daten; vollständig anonymisierte Daten, die keinerlei Rückschluss auf eine natürliche Person zulassen, fallen nicht unter diese Verordnung und unterliegen den jeweiligen nationalen Bestimmungen.
Newsletter
Vor der Einführung der DSGVO wurden E-Mail-Listen auf unterschiedlichste Weise aufgebaut. Werden gekaufte oder gemietete E-Mail-Listen genutzt, muss dies umgehend gestoppt werden, da hierfür erhebliche Bußgelder drohen.
Früher war es gängige Praxis, E-Mail-Adressen über Formulare zu sammeln, indem ein kostenloses E-Book oder ein Rabattcode versprochen wurde, um die Adresse im Anschluss für reguläre Newsletter zu nutzen. Die DSGVO untersagt diese Vorgehensweise strikt: Ein Newsletter darf nur noch an Personen versendet werden, die zuvor ihre ausdrückliche Einwilligung speziell für diesen Zweck erteilt haben (Koppelungsverbot). Das bedeutet: Wenn ein Nutzer seine E-Mail-Adresse lediglich eingibt, um einen Rabattcode zu erhalten, darf diese Adresse ausschließlich für den Versand dieses Codes verwendet werden und für nichts anderes.
Wir implementieren für Sie rechtssichere Lösungen für Ihr E-Mail-Marketing:
- Aktive Einwilligung (Opt-in): Wir integrieren nicht-vorausgewählte Checkboxen in Ihre Formulare, über die Nutzer dem Erhalt des Newsletters aktiv zustimmen können.
- Double Opt-in-Verfahren: Um die Identität und Einwilligung zweifelsfrei zu dokumentieren, richten wir ein System ein, bei dem neue Abonnenten nach der Anmeldung eine Bestätigungs-E-Mail erhalten. Erst wenn sie den darin enthaltenen Bestätigungslink anklicken und über die Nutzungszwecke informiert wurden, ist die Anmeldung gültig.
Bereinigung bestehender Verteilerlisten: Haben Sie in der Vergangenheit E-Mail-Adressen gesammelt, ohne die Abonnenten klar über die Nutzung als Newsletter-Empfänger aufzuklären, müssen Sie umgehend handeln. Sie benötigen eine Re-Permission-Kampagne: Versenden Sie einen Newsletter, in dem Sie die Nutzer aktiv um ihre erneute, DSGVO-konforme Erlaubnis für zukünftige Mailings bitten. Nur jene Empfänger, die dieser Bitte zustimmen, verbleiben in Ihrem Verteiler – alle anderen müssen gelöscht werden.
Recht auf Auskunft und Datenüberprüfung
Wenn Nutzer ihre personenbezogenen Daten auf Ihrer Website hinterlassen haben, können wir für Sie eine zentrale Benutzerprofil-Funktion einrichten. Dadurch erhalten Kunden an einem Ort schnell und unkompliziert einen vollständigen Überblick über sämtliche Daten, die sie Ihnen übermittelt haben, und können diese bei Bedarf selbstständig bearbeiten oder löschen. Dies reduziert den manuellen Aufwand und die Anzahl an individuellen Support-Anfragen per E-Mail erheblich.
In jedem Benutzerprofil (beispielsweise in einem Online-Shop) muss für den Kunden eine intuitive Möglichkeit integriert sein, das gesamte Profil eigenständig aufzulösen:
Widerruf von Berechtigungen: Erteilte Einwilligungen und Freigaben lassen sich jederzeit transparent einsehen und mit wenigen Klicks zurückziehen.
Vollständige Selbstlöschung: Kunden können ihr Profil mitsamt aller hinterlegten Daten (persönliche Daten, Bestellhistorie etc.) direkt entfernen.
Weitere verpflichtende Angaben
Weitere Pflichtangaben und rechtlicher Hinweis
Sollten die behördlichen Kontrollen von Websites im Zuge der DSGVO intensiviert werden, wird mit Sicherheit auch geprüft, ob alle weiteren gesetzlich vorgeschriebenen Pflichtangaben vollständig vorliegen. Wir analysieren Ihren Webauftritt sorgfältig auf alle erforderlichen Angaben und weisen Sie gezielt auf eventuelle Lücken hin.
Alle in diesem Beitrag enthaltenen Informationen sind allgemeiner Natur und spiegeln unsere praktische Interpretation der DSGVO wider. Wir bieten Ihnen die gleichen Lösungen und Standards an, die wir auch für unsere eigenen Webseiten entwickelt und implementiert haben, um diese DSGVO-konform zu betreiben. Wir übernehmen jedoch keine juristische Gewähr oder Haftung für eine vollständige Rechtskonformität. Für eine rechtsverbindliche Beratung und detaillierte Einzelfallprüfung empfehlen wir Ihnen, einen spezialisierten Rechtsanwalt zu konsultieren.
Möchten Sie Ihren Online-Auftritt und Ihr digitales Geschäft jetzt an die Vorgaben der DSGVO anpassen? Kontaktieren Sie uns gern für eine persönliche Beratung.