DSGVO vs. DPA: 6 wichtige Unterschiede und bewährte Compliance-Praktiken

Was ist die DSGVO?

Die Datenschutz-Grundverordnung (DSGVO) ist ein im Mai 2018 von der Europäischen Union (EU) erlassenes Datenschutzgesetz. Ziel der DSGVO ist es, Einzelpersonen mehr Kontrolle über ihre personenbezogenen Daten zu geben und die Datenschutzbestimmungen in der gesamten EU zu harmonisieren.

Die Verordnung gilt für alle Organisationen, die personenbezogene Daten von EU-Bürgern verarbeiten, unabhängig vom Standort des Unternehmens. Sie stellt Anforderungen an die Datenverarbeitung, darunter die Einholung einer ausdrücklichen Einwilligung zur Datenverarbeitung, die Wahrung der Transparenz, die Gewährleistung der Datengenauigkeit und die Umsetzung geeigneter Sicherheitsmaßnahmen zum Schutz personenbezogener Daten.

Ein zentrales Element der DSGVO ist die Einführung erheblicher Bußgelder bei Verstößen. Diese können bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes eines Unternehmens betragen, je nachdem, welcher Betrag höher ist. Darüber hinaus etabliert die DSGVO das Konzept der „Betroffenenrechte“, wie beispielsweise das Recht auf Auskunft, Berichtigung, Löschung und Übertragung der eigenen Daten. Diese Bestimmungen eröffnen Einzelpersonen neue Rechte und erhöhen die Rechenschaftspflicht von Organisationen, die personenbezogene Daten verarbeiten.

---

Was ist das Datenschutzgesetz (DPA)?

Der Data Protection Act (DPA) ist ein Rechtsrahmen im Vereinigten Königreich, der die Verarbeitung personenbezogener Daten regelt. Die neueste Fassung, der Data Protection Act 2018, passt die britischen Datenschutzgesetze an die DSGVO an.

Das DPA legt die Pflichten für Verantwortliche und Auftragsverarbeiter fest und stellt sicher, dass personenbezogene Daten rechtmäßig, transparent und fair verwaltet werden. Es legt Grundsätze für die Datenverarbeitung fest, darunter Datenminimierung, Zweckbindung und Datengenauigkeit, um die Datenschutzrechte des Einzelnen zu schützen.

Das DPA enthält zudem spezifische Bestimmungen für Bereiche, die von der DSGVO nicht vollständig abgedeckt sind, wie etwa die Datenverarbeitung für Zwecke der nationalen Sicherheit und Strafverfolgung. Das Gesetz macht das Information Commissioner's Office (ICO) zur britischen Datenschutzbehörde. Das ICO ist für die Überwachung der Einhaltung der Vorschriften, die Untersuchung von Verstößen und die Durchsetzung des Gesetzes verantwortlich, einschließlich der Verhängung von Bußgeldern und der Ergreifung von Korrekturmaßnahmen.

---

Was ist die Datenschutz- und elektronische Kommunikationsverordnung (PECR) und in welcher Beziehung steht sie zur DSGVO und zum DPA?

Die Privacy and Electronic Communications Regulations (PECR) sind ein britisches Gesetz, das die Nutzung elektronischer Kommunikation regelt und sich auf den Schutz der Privatsphäre von Einzelpersonen in diesem Zusammenhang konzentriert. Die 2003 eingeführte PECR regelt Bereiche wie unerwünschte Marketingkommunikation, die Verwendung von Cookies und ähnlichen Technologien sowie die Sicherheit elektronischer Kommunikation.

Während sich die PECR in erster Linie auf den Datenschutz in der elektronischen Kommunikation konzentriert, ergänzt sie umfassendere Datenschutzgesetze wie die DSGVO und den Data Protection Act. PECR und DSGVO überschneiden sich in bestimmten Bereichen, insbesondere hinsichtlich der Einwilligungsanforderungen. Beispielsweise verlangen beide Verordnungen, dass Unternehmen vor dem Versand von Direktmarketing-E-Mails oder der Verwendung nicht unbedingt erforderlicher Cookies eine klare und informierte Einwilligung einholen.

Die strengeren Einwilligungsregeln der DSGVO haben die Durchsetzung der PECR beeinflusst und erfordern explizitere Einwilligungsmechanismen für die Verarbeitung personenbezogener Daten in der elektronischen Kommunikation. Daher müssen Unternehmen bei der Durchführung digitaler Marketingaktivitäten die Einhaltung beider Regelungen sicherstellen.

Obwohl die PECR ein von der DSGVO und dem DPA unabhängiges Gesetz ist, überwacht das Information Commissioner's Office (ICO) ihre Durchsetzung. Das ICO kann bei Verstößen gegen die PECR, wie bei der DSGVO und dem DPA, Bußgelder verhängen und Zwangsmaßnahmen ergreifen.

---

DSGVO vs. DPA: Die wichtigsten Unterschiede

1. Gerichtsstand

Die DSGVO gilt für alle Mitgliedstaaten der Europäischen Union sowie für alle Organisationen außerhalb der EU, die personenbezogene Daten von EU-Bürgern verarbeiten. Dieser extraterritoriale Geltungsbereich bedeutet, dass Unternehmen außerhalb der EU die DSGVO einhalten müssen, wenn sie Daten von EU-Bürgern verarbeiten. Im Gegensatz dazu regelt der Data Protection Act (DPA) in erster Linie die Datenverarbeitung innerhalb Großbritanniens. Obwohl der DPA den Grundsätzen der DSGVO entspricht, enthält er spezifische Bestimmungen, die auf den britischen Gesetzgebungskontext zugeschnitten sind, insbesondere in Bezug auf die nationale Sicherheit und die Strafverfolgung.

Während die DSGVO einheitliche Datenschutzbestimmungen in der gesamten EU anstrebt, konzentriert sich das DPA auf die Integration dieser Grundsätze in den britischen Rechtsrahmen. Nach dem Brexit wendet Großbritannien seine Version der DSGVO, bekannt als UK GDPR, parallel zum DPA 2018 an. Unternehmen, die sowohl in der EU als auch in Großbritannien tätig sind, müssen die Einhaltung der DSGVO- und DPA-Vorschriften unter Berücksichtigung ihrer spezifischen rechtlichen Anforderungen gewährleisten.

2. Umfang und Geltungsbereich

Während sowohl die DSGVO als auch das DPA auf den Schutz personenbezogener Daten abzielen, enthält das DPA zusätzliche Ebenen und Ausnahmen, die den rechtlichen und gesellschaftlichen Bedürfnissen des Vereinigten Königreichs Rechnung tragen.

Die DSGVO hat einen breiten Anwendungsbereich und gilt für alle Organisationen, die personenbezogene Daten von EU-Bürgern verarbeiten, unabhängig von ihrem Sitz. Dies schließt Datenverantwortliche und Datenverarbeiter ein, die Daten in verschiedenen Funktionen verarbeiten, von Marketing und Kundenbeziehungen bis hin zur Datenanalyse. Der Geltungsbereich der DSGVO stellt sicher, dass die Datenschutzrechte von Einzelpersonen in verschiedenen Kontexten und Branchen geschützt sind. Die Verordnung führt Konzepte wie „Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen“ ein und betont proaktive Maßnahmen zum Schutz personenbezogener Daten von Anfang an.

Der Geltungsbereich des DPA hingegen ist auf den britischen Kontext beschränkt und betrifft bestimmte Bereiche wie die nationale Sicherheit, Verteidigung und Strafverfolgung, in denen die Bestimmungen der DSGVO möglicherweise nicht vollständig gelten. Das DPA sieht auch Ausnahmen für bestimmte Arten der Datenverarbeitung vor, beispielsweise für Journalismus, Forschung und Archivierung, sofern diese bestimmte Kriterien erfüllen.

3. Aufsichtsbehörde

Gemäß der DSGVO verfügt jeder EU-Mitgliedsstaat über eine Datenschutzbehörde, die für die Einhaltung der DSGVO und die Behandlung von Datenschutzfragen in ihrem Zuständigkeitsbereich zuständig ist. Diese Behörden arbeiten im Europäischen Datenschutzausschuss (EDSA) zusammen, um eine einheitliche Anwendung der DSGVO in der gesamten EU sicherzustellen. Der EDSA gibt Leitlinien heraus, schlichtet Streitigkeiten und bietet einen einheitlichen Ansatz zur Durchsetzung des Datenschutzes.

In Großbritannien fungiert das Information Commissioner's Office (ICO) als Regulierungsbehörde für den Datenschutz und überwacht die Einhaltung des Data Protection Act (DPA) und der britischen DSGVO. Das ICO ist befugt, Datenschutzverletzungen zu untersuchen, Bußgelder zu verhängen und Leitlinien zum Datenschutz bereitzustellen. Das ICO klärt Organisationen und Einzelpersonen außerdem über ihre Rechte und Pflichten im Rahmen der Datenschutzgesetze auf. Nach dem Brexit arbeitet das ICO weiterhin mit den europäischen Datenschutzbehörden zusammen, um sicherzustellen, dass grenzüberschreitende Datenschutzprobleme gelöst werden.

4. Bußgelder und Strafen

Ein Aspekt der DSGVO sind Bußgelder und Strafen bei Nichteinhaltung. Unternehmen können mit Strafen von bis zu 20 Millionen Euro oder 4 % ihres weltweiten Jahresumsatzes rechnen, je nachdem, welcher Betrag höher ist. Diese Bußgelder sollen vor Datenschutzverletzungen und Verstößen abschrecken und Unternehmen zur Einführung von Datenschutzmaßnahmen zwingen.

Ähnlich verhängt der britische Data Protection Act (DPA) 2018 bei Nichteinhaltung Bußgelder von bis zu 17,5 Millionen Pfund oder 4 % des weltweiten Jahresumsatzes. Das ICO ist befugt, diese Bußgelder zu verhängen und Zwangsmaßnahmen gegen Organisationen einzuleiten, die ihren Datenschutzverpflichtungen nicht nachkommen. Wie die DSGVO sollen die Strafen des DPA Datenschutzmaßnahmen fördern und sicherstellen, dass die Datenschutzrechte des Einzelnen gewahrt werden.

5. Bedingungen Datenverarbeitung

Die DSGVO legt die Bedingungen fest, unter denen personenbezogene Daten rechtmäßig verarbeitet werden dürfen. Zu diesen Bedingungen gehören die Einholung der ausdrücklichen Einwilligung der betroffenen Person, die Verarbeitung zur Vertragserfüllung, die Erfüllung einer rechtlichen Verpflichtung, der Schutz lebenswichtiger Interessen, die Wahrnehmung einer Aufgabe im öffentlichen Interesse sowie berechtigte Interessen des Verantwortlichen. Die DSGVO führt zudem besondere Kategorien von Daten ein, wie z. B. Gesundheitsinformationen, deren Verarbeitung zusätzliche Schutzmaßnahmen und Begründungen erfordert.

Der Data Protection Act (DPA) orientiert sich an diesen Grundsätzen, enthält jedoch spezifische Bestimmungen für bestimmte Arten der Datenverarbeitung, die speziell im Vereinigten Königreich gelten. So behandelt der DPA beispielsweise die Datenverarbeitung zu Zwecken der nationalen Sicherheit, Verteidigung und Strafverfolgung und bietet Richtlinien und Ausnahmen. Der DPA legt außerdem die Bedingungen für die Verarbeitung besonderer Kategorien von Daten und Daten zu Straftaten fest und stellt sicher, dass diese Aktivitäten rechtmäßig und transparent durchgeführt werden.

6. Benachrichtigungen bei Datenschutzverletzungen

Die DSGVO schreibt vor, dass Organisationen Datenschutzverletzungen innerhalb von 72 Stunden nach Bekanntwerden des Vorfalls der zuständigen Aufsichtsbehörde melden müssen. Stellt die Verletzung ein hohes Risiko für die Rechte und Freiheiten von Personen dar, müssen Organisationen auch die betroffenen Personen unverzüglich benachrichtigen. Diese Anforderung soll schnelles Handeln gewährleisten und den potenziellen Schaden durch Datenschutzverletzungen minimieren.

Ähnlich verhält es sich mit dem britischen Datenschutzgesetz (Data Protection Act, DPA). Es verpflichtet Organisationen, Datenschutzverletzungen innerhalb von 72 Stunden dem Information Commissioner's Office (ICO) zu melden. Das DPA legt außerdem Kriterien für die Benachrichtigung betroffener Personen fest, um sicherzustellen, dass diese informiert sind und Maßnahmen zum Schutz ihrer Daten ergreifen können.

7. Rechtliche Zwecke und Ausnahmen

Sowohl die DSGVO als auch das Datenschutzgesetz (DSG) enthalten Bestimmungen zur Datenverarbeitung zu rechtlichen Zwecken und legen spezifische Ausnahmen fest. Die DSGVO erlaubt die Datenverarbeitung im Rahmen rechtlicher Verpflichtungen, Aufgaben im öffentlichen Interesse und berechtigter Interessen des Verantwortlichen, sofern diese Interessen die Rechte und Freiheiten des Einzelnen nicht überwiegen. Die DSGVO sieht auch Ausnahmen für bestimmte Szenarien wie Journalismus, Forschung und Archivierung vor, sofern entsprechende Schutzmaßnahmen vorhanden sind.

Das DPA enthält ähnliche Grundsätze, sieht aber zusätzliche Ausnahmen vor, die für den britischen Kontext relevant sind. Diese Ausnahmen betreffen Bereiche wie nationale Sicherheit, Einwanderung und Strafverfolgung, für die andere Regeln gelten können. Das DPA bietet Richtlinien für die Verarbeitung von Daten für besondere Zwecke, einschließlich akademischer Forschung und journalistischer Aktivitäten, und stellt sicher, dass diese Aktivitäten verantwortungsvoll und ethisch durchgeführt werden.

---

Best Practices zur Sicherstellung der Einhaltung beider Vorschriften

Hier sind einige Möglichkeiten, wie Unternehmen die Einhaltung sowohl der DSGVO als auch des DPA sicherstellen können.

Datenzuordnung und -inventar

Beim Datenmapping geht es darum, zu ermitteln, welche personenbezogenen Daten ein Unternehmen erhebt, wo sie gespeichert werden, wie sie verarbeitet werden und wer Zugriff darauf hat. Dieser Prozess hilft Unternehmen, ihre Datenflüsse klar zu verstehen, potenzielle Risiken einzuschätzen und sicherzustellen, dass die Datenverarbeitung den gesetzlichen Anforderungen entspricht.

Durch die Führung eines genauen Datenbestands können Unternehmen im Falle einer Prüfung oder Untersuchung durch Aufsichtsbehörden die Einhaltung der Vorschriften leichter nachweisen. Das Datenmapping unterstützt zudem die Festlegung von Richtlinien zur Datenaufbewahrung und hilft Unternehmen, personenbezogene Daten nicht länger als nötig aufzubewahren. Dies unterstützt die Einhaltung des Grundsatzes der Datenminimierung sowohl gemäß DSGVO als auch gemäß DPA.

Rechtsgrundlage der Verarbeitung

Sowohl die DSGVO als auch das DPA verlangen von Organisationen, eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten zu schaffen. Zu den sechs Rechtsgrundlagen der DSGVO gehören Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgaben und berechtigte Interessen. Organisationen müssen die Rechtsgrundlage, auf die sie sich stützen, klar dokumentieren und sicherstellen, dass sie auf ihren Datenverarbeitungskontext anwendbar ist.

Wenn Organisationen die Einwilligung als Rechtsgrundlage nutzen, müssen sie sicherstellen, dass diese freiwillig, spezifisch, informiert und eindeutig erteilt wird. Darüber hinaus muss die Einwilligung jederzeit problemlos widerrufen werden können. Bei anderen Rechtsgrundlagen, wie z. B. berechtigten Interessen, müssen Organisationen eine Interessenabwägung durchführen, um sicherzustellen, dass ihre Interessen nicht die Rechte und Freiheiten der betroffenen Personen überwiegen.

Datenminimierung

Sowohl die DSGVO als auch das Datenschutzgesetz schreiben vor, dass Organisationen nur die für einen bestimmten Zweck erforderlichen personenbezogenen Daten erheben dürfen. Das bedeutet, dass Organisationen die Menge und Art der erhobenen Daten bewerten und begrenzen sollten, um eine übermäßige Datenerfassung zu vermeiden.

Durch die Minimierung der Datenerfassung verringern Unternehmen das Risiko von Datenschutzverletzungen. Die Umsetzung der Datenminimierung erfordert regelmäßige Audits der Datenverarbeitungsaktivitäten, um festzustellen, ob die erfassten personenbezogenen Daten relevant und aktuell sind. Nicht verwendete oder veraltete Daten sollten sicher gelöscht oder anonymisiert werden.

Transparenz- und Datenschutzhinweise

Datenschutzhinweise tragen zur Erfüllung der Transparenzpflicht bei, indem sie die Zwecke der Datenverarbeitung, die Rechtsgrundlage für die Verarbeitung und die Rechte der betroffenen Personen in Bezug auf ihre Daten klar erläutern. Diese Hinweise müssen in klarer, einfacher Sprache verfasst und zum Zeitpunkt der Datenerhebung bereitgestellt werden.

Unternehmen sollten sicherstellen, dass Datenschutzhinweise leicht zugänglich sind und regelmäßig aktualisiert werden, um Änderungen in der Datenverarbeitung widerzuspiegeln. Dazu gehört auch, Einzelpersonen über Dritte zu informieren, an die Daten weitergegeben werden können, und zu erläutern, wie lange ihre Daten gespeichert werden. Transparenz schafft zudem Vertrauen bei Kunden, da sie zeigt, dass mit ihren Daten verantwortungsvoll umgegangen wird.

Verwaltung von Drittanbietern

Die Verwaltung von Drittanbietern ist entscheidend für die Einhaltung der DSGVO und des DPA, insbesondere wenn diese Anbieter im Auftrag eines Unternehmens personenbezogene Daten verarbeiten. Unternehmen müssen sicherstellen, dass Drittanbieter, die Daten verarbeiten, dieselben Datenschutzstandards einhalten wie sie.

Dazu gehört die sorgfältige Prüfung der Anbieter vor Vertragsabschluss und der Abschluss von Datenverarbeitungsverträgen, in denen die Verantwortlichkeiten der einzelnen Parteien, einschließlich Sicherheitsmaßnahmen und Compliance-Verpflichtungen, festgelegt sind. Um Risiken zu minimieren, sollten Unternehmen regelmäßige Überwachungen und Audits von Drittanbietern durchführen, um die fortlaufende Compliance sicherzustellen.

Schulung und Sensibilisierung der Mitarbeiter

Da Mitarbeiter beim Umgang mit personenbezogenen Daten eine Rolle spielen, müssen Unternehmen sicherstellen, dass sie mit den Anforderungen der DSGVO und des DPA vertraut sind. Regelmäßige Schulungsprogramme sollten durchgeführt werden, um die Mitarbeiter über Datenschutzgrundsätze wie Datenminimierung, rechtmäßige Verarbeitung und Sicherheitspraktiken zu informieren. Dies trägt dazu bei, die Wahrscheinlichkeit menschlicher Fehler zu verringern.

Die Schulungen sollten auf die verschiedenen Rollen im Unternehmen zugeschnitten sein und sicherstellen, dass die Mitarbeiter ihre Verantwortung im Hinblick auf den Datenschutz verstehen. Darüber hinaus kann die Sensibilisierung für die Vorgehensweise bei Datenschutzverletzungen und die Bedeutung einer zeitnahen Meldung von Vorfällen dazu beitragen, die Auswirkungen von Verstößen zu mildern.

---

DSGVO-Konformität mit Exabeam

Exabeam unterstützt Unternehmen dabei, sowohl die technologischen als auch die betrieblichen Anforderungen der DSGVO zu erfüllen, darunter:

• Reduzierung externer Bedrohungen: Exabeam arbeitet mit bestehenden Sicherheitslösungen zusammen und nutzt maschinelles Lernen und Verhaltensanalysen, um ungewöhnliche Aktivitäten zu identifizieren, die auf den Versuch eines Angreifers hindeuten könnten, Daten zu finden und darauf zuzugreifen. Die Bedrohungszeitleisten Exabeam kombinieren Ereignisse aus Anomalien und Korrelationsregeln, um Ereignisse nach Benutzer oder Gerät zu gruppieren.
• Reduzierung interner Bedrohungen: Exabeam arbeitet mit Identitäts- und Zugriffsverwaltungslösungen zusammen, um Sicherheitsvorfälle zu verhindern, die durch versehentlichen oder böswilligen Missbrauch zugewiesener Berechtigungen entstehen. Durch die Kennzeichnung von Aktivitäten, die für einen bestimmten Benutzer nicht der Norm entsprechen, hilft Exabeam potenzielle Vorfälle zu erkennen, die zu Datendiebstahl führen könnten. Ideale Protokollquellen, die Anwendungsfällen zugeordnet sind, und das MITRE ATT&CK ^Ⓡ-Framework zeigen, welche Tools im Sicherheitsarsenal kombiniert werden können, um ein klares Bild der Ereignisse zu zeichnen.

Visualisierung und Dashboards: Exabeam bietet klare, Compliance-basierte DSGVO-Dashboards zum einfachen Herunterladen, Exportieren oder regelmäßigen Versenden per E-Mail zur Unterstützung der DSGVO-Vorgaben und der Anforderungen des Datenschutzbeauftragten.