DSGVO - Relevante Artikel

Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom

1. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung). Die DSGVO ist seit dem
2. Mai 2018 unmittelbar geltendes Recht in allen Mitgliedstaaten.

Die nachfolgend wiedergegebenen Artikel sind für den Einsatz und die Pflege von Open-Source-Komponenten besonders relevant: die Grundsätze der Verarbeitung (insbesondere Integrität, Vertraulichkeit und Rechenschaftspflicht), die Anforderungen an Datenschutz durch Technikgestaltung, die technisch-organi­ satorischen Maßnahmen nach dem "Stand der Technik", die Meldepflichten bei Schutzverletzungen und die Bemessungsregeln für Bußgelder. Grundlage ist der amtliche deutsche Wortlaut der Verordnung.

Begriffsbestimmungen (Art. 4) #

Art. 4 Nr. 1 - personenbezogene Daten #

"personenbezogene Daten" alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden "betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

Art. 4 Nr. 7 - Verantwortlicher #

"Verantwortlicher" die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden.

Art. 4 Nr. 8 - Auftragsverarbeiter #

"Auftragsverarbeiter" eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Art. 4 Nr. 12 - Verletzung des Schutzes personenbezogener Daten #

"Verletzung des Schutzes personenbezogener Daten" eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.

Grundsätze für die Verarbeitung (Art. 5) #

Art. 5 nennt die Grundsätze, an denen jede Verarbeitung personenbezogener Daten gemessen wird. Für Open-Source-Governance besonders relevant sind Buchstabe f (Integrität und Vertraulichkeit) und Absatz 2 (Rechenschafts­ pflicht): Der Verantwortliche muss die Einhaltung aller Grundsätze nachweisen können - ohne Nachweis keine Verteidigung.

Art. 5 Abs. 1 lit. f #

Personenbezogene Daten müssen in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen ("Integrität und Vertraulichkeit").

Art. 5 Abs. 2 - Rechenschaftspflicht #

Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können ("Rechenschaftspflicht").

Datenschutz durch Technikgestaltung (Art. 25) #

Art. 25 verlangt, dass Datenschutzgrundsätze bereits bei der Auswahl und Ausgestaltung der technischen Mittel berücksichtigt werden - und zwar "unter Berücksichtigung des Stands der Technik".

Eine ungepflegte Open-Source-Komponente ist ein Risiko mit Ankündigung: Niemand kümmert sich mehr darum, dass sie dauerhaft funktioniert und sicher bleibt. Werden Sicherheitslücken entdeckt, fehlt jemand, der sie behebt und Sicherheitsupdates bereitstellt. Wenn Sie solche Komponenten einsetzen, müssen Sie die weitere Pflege sicherstellen – sonst bleibt dieses Risiko bei Ihrem Unternehmen.

Art. 25 Abs. 1 #

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen trifft der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen - wie z. B. Pseudonymisierung - die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen.

Auftragsverarbeiter (Art. 28) #

Wer personenbezogene Daten im Auftrag verarbeitet - MSPs, SaaS-Anbieter, Agenturen, Systemhäuser - darf dies nur mit "hinreichenden Garantien" für geeignete technische und organisatorische Maßnahmen. Die Pflicht greift unmittelbar gegenüber den Kunden: Fehlen die Garantien, ist die Beauftragung selbst rechtswidrig.

Art. 28 Abs. 1 #

Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.

Sicherheit der Verarbeitung (Art. 32) #

Art. 32 ist die zentrale Vorschrift für technisch-organisatorische Maßnahmen (TOM). Er verlangt ausdrücklich, dass Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme "auf Dauer" sichergestellt werden

• und dass die Wirksamkeit der getroffenen Maßnahmen regelmäßig überprüft wird. Verwaiste oder ungepflegte Open-Source-Komponenten setzen beides unter Druck: Ihre dauerhafte Belastbarkeit ist nicht mehr gesichert, und eine einmalige Komponentenauswahl genügt der regelmäßigen Überprüfungspflicht nicht.

Art. 32 Abs. 1 #

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen unter anderem Folgendes ein: a) die Pseudonymisierung und Verschlüsselung personenbezogener Daten; b) die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen; c) die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen; d) ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

Art. 32 Abs. 2 #

Bei der Beurteilung des angemessenen Schutzniveaus sind insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind, insbesondere durch - ob unbeabsichtigt oder unrechtmäßig - Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von beziehungsweise unbefugten Zugang zu personenbezogenen Daten, die übermittelt, gespeichert oder auf andere Weise verarbeitet wurden.

Meldung von Schutzverletzungen (Art. 33) #

Art. 33 setzt die berüchtigte 72-Stunden-Frist: Der Verantwortliche muss eine Schutzverletzung unverzüglich und möglichst binnen 72 Stunden nach Kenntnis an die Aufsichtsbehörde melden, außer wenn voraussichtlich kein Risiko für die Rechte und Freiheiten Betroffener besteht. Die Meldung muss Kategorien und ungefähre Zahl der betroffenen Datensätze, wahrscheinliche Folgen und ergriffene Gegenmaßnahmen enthalten - Informationen, die sich bei einem softwarebedingten Vorfall nur so schnell ermitteln lassen, wie der Verantwortliche seine eigenen Software-Bestandteile kennt. Noch fehlende Angaben dürfen nach Abs. 4 ohne unangemessene weitere Verzögerung nachgereicht werden.

Art. 33 Abs. 1 #

Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der gemäß Artikel 51 zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung an die Aufsichtsbehörde nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen.

Art. 33 Abs. 3 #

Die Meldung gemäß Absatz 1 enthält zumindest folgende Informationen: a) eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze; b) den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen; c) eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten; d) eine Beschreibung der von dem Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Art. 33 Abs. 5 - Dokumentationspflicht #

Der Verantwortliche dokumentiert Verletzungen des Schutzes personenbezogener Daten einschließlich aller im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten stehenden Fakten, von deren Auswirkungen und der ergriffenen Abhilfemaßnahmen. Diese Dokumentation muss der Aufsichtsbehörde die Überprüfung der Einhaltung der Bestimmungen dieses Artikels ermöglichen.

Benachrichtigung Betroffener (Art. 34) #

Art. 34 Abs. 1 #

Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung.

Geldbußen (Art. 83) #

Art. 83 regelt die Verhängung von Geldbußen. Für OTTRIA-Relevanz entscheidend sind Absatz 2 Buchstabe d (technische und organisatorische Maßnahmen nach Art. 25 und 32 werden ausdrücklich bei der Bußgeldbemessung berücksichtigt) sowie Absatz 4 (bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes bei Verstößen gegen Art. 25 bis 39) und Absatz 5 (bis 20 Mio. Euro oder 4 % bei Verstößen gegen die Grundsätze aus Art. 5).

Art. 83 Abs. 2 #

Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und i verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt: a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens; b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes; c) jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens; d) Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen; e) etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters; f) Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern; g) Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind; h) Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat; i) Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden; j) Einhaltung von genehmigten Verhaltensregeln nach Artikel 40 oder genehmigten Zertifizierungsverfahren nach Artikel 42 und k) jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.

Art. 83 Abs. 4 - Bußgeldrahmen bis 10 Mio. Euro / 2 % #

Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist: a) die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Artikeln 8, 11, 25 bis 39, 42 und 43; b) die Pflichten der Zertifizierungsstelle gemäß den Artikeln 42 und 43; c) die Pflichten der Überwachungsstelle gemäß Artikel 41 Absatz 4.

Art. 83 Abs. 5 - Bußgeldrahmen bis 20 Mio. Euro / 4 % #

Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist: a) die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Artikeln 5, 6, 7 und 9; b) die Rechte der betroffenen Person gemäß den Artikeln 12 bis 22; c) die Übermittlung personenbezogener Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation gemäß den Artikeln 44 bis 49; d) alle Pflichten gemäß den Rechtsvorschriften der Mitgliedstaaten, die im Rahmen des Kapitels IX erlassen wurden; e) Nichtbefolgung einer Anweisung oder einer vorübergehenden oder endgültigen Beschränkung oder Aussetzung der Datenübermittlung durch die Aufsichtsbehörde gemäß Artikel 58 Absatz 2 oder Nichtgewährung des Zugangs unter Verstoß gegen Artikel 58 Absatz 1.

Quelle #

Amtlicher deutscher Wortlaut: Verordnung (EU) 2016/679.