INFORMATIONEN

DSGVO-Implikationen für US-Unternehmen

Für Unternehmen in den USA und der EU ist der transatlantische Handel von unschätzbarem Wert. Durch die Einführung transparenter Praktiken für die Datensicherheit wird der Verkauf von Produkten und Dienstleistungen für beide Seiten vereinfacht. Mit der Umsetzung des California Consumer Privacy Act von 2018 bewegen sich die USA in mehrfacher Hinsicht bereits auf strengere Datenschutzvorschriften zu, gefolgt von neuen Forderungen des Facebook-CEO an die USA und Länder auf der ganzen Welt, DSGVO-konforme Datenschutzbestimmungen umzusetzen.

Welche Auswirkungen hat die DSGVO auf US-Unternehmen?

Wenn Ihr Unternehmen außerhalb der EU ansässig ist, aber personenbezogene Daten von in der EU ansässigen Personen erfasst, um Produkte oder Dienstleistungen zu verkaufen, unterliegt Ihr Unternehmen gemäß Artikel 3 der Datenschutz-Grundverordnung den Anforderungen der Datenschutz-Grundverordnung, unabhängig davon, ob die Person eine Zahlung benötigt (d. h. Marketing); oder (ii) verhaltensbezogene Informationen in dem Maße, wie ihre Tätigkeit innerhalb der EU stattfindet.

Unter Verwendung von Cookies kann eine solche Verhaltensanalyse das Internet-Tracking durch eine Website oder App umfassen, um die Präferenzen einer Person für gezielte Werbezwecke vorherzusagen. Auch wenn die Organisation keine physische Präsenz in der EU hat, kann sie daher der DSGVO unterliegen.

Umgekehrt würde sich die Datenschutz-Grundverordnung, da die Daten verarbeitet werden, nicht auf die Erhebung von Daten über Personen mit Wohnsitz außerhalb der EU erstrecken. Daher sollten sich US-Unternehmen mit einer Online-Präsenz der Datenschutz-Grundverordnung besonders bewusst sein.

Prüfung Ihrer Daten

Bevor eine neue Verarbeitung beginnt, müssen Unternehmen möglicherweise eine Datenschutz-Folgenabschätzung durchführen, was ein Risiko für die betroffenen Personen darstellt, um den Datenschutz standardmäßig und durch Design zu gewährleisten – ein Grundprinzip der DSGVO. Die meisten europäischen Datenschutzbeauftragten haben auf ihren Websites Hinweise zu Datenschutzfolgenabschätzungen und dazu, wann sie durchgeführt werden sollten.

Das Recht auf Vergessenwerden und Datenrechte

Wenn Ihr Unternehmen potenzielle Kunden sammelt, können die betroffenen Personen Mitarbeiter, Bewerber, Kunden oder potenzielle Kunden sein. Nach den neuen DSGVO-Vorschriften haben die betroffenen Personen das Recht auf:

  • Das Recht, informiert zu werden;
  • Das Recht auf Zugang;
  • Das Recht auf Berichtigung;
  • Das Recht auf Löschung (das Recht auf Vergessenwerden);
  • Das Recht auf Einschränkung der Verarbeitung;
  • Das Recht auf Datenübertragbarkeit;
  • Das Recht auf Widerspruch;
  • Rechte in Bezug auf automatisierte Entscheidungsfindung und Profiling.

    • Jeder kann sich erkundigen, ob Ihr Unternehmen im Rahmen der Datenschutzgesetze personenbezogene Daten über ihn speichert – Sie müssen diese Anfrage so schnell wie möglich und innerhalb eines Monats beantworten. In den meisten Fällen sollten Anfragen nach personenbezogenen Daten offen gestellt werden.

    Steuergeräte und Prozessoren

    Nach den geltenden Vorschriften der Datenschutz-Grundverordnung müssen Sie prüfen, ob Sie in die Kategorie der Datenverarbeiter oder der für die Verarbeitung Verantwortlichen fallen. Ein Datenverarbeiter ist ein Unternehmen, das im Auftrag eines für die Verarbeitung Verantwortlichen personenbezogene Daten verarbeitet. Ein für die Verarbeitung Verantwortlicher ist ein Unternehmen, das die Ziele und Mittel der Verarbeitung von Kundendaten festlegt. Sowohl für die Verarbeitung Verantwortliche als auch Auftragsverarbeiter haben zahlreiche Konsequenzen für US-Unternehmen, wenn es darum geht, wie sie die DSGVO einhalten, und Ihr Unternehmen könnte gleichzeitig ein für die Verarbeitung Verantwortlicher und ein Datenverarbeiter sein.

    Ein für die Datenverarbeitung Verantwortlicher kann mehrere Auftragsverarbeiter haben, was die Sache noch komplizierter macht, und der Auftragsverarbeiter kann wiederum verschiedene Unterauftragsverarbeiter haben. Nach dem neuen Gesetz ist der Eigentümer der Daten für das Verhalten der Datenverarbeiter verantwortlich, über die er auf dem Markt tätig ist. Es ist von entscheidender Bedeutung, dass US-Unternehmen ihre Datenverarbeiter sorgfältig auswählen, wenn Daten von betroffenen Personen in der EU verarbeitet werden, und mit ihnen Datenverarbeitungsverträge abschließen. Eine Datenverarbeitungsvereinbarung sollte die Beziehung zwischen einem für die Verarbeitung Verantwortlichen und einem Auftragsverarbeiter und wiederum den Unterauftragsverarbeitern regeln. Die Vereinbarung sollte alle Aspekte der Datenschutz-Governance abdecken, und in den Artikeln 28 und 82 der Datenschutz-Grundverordnung ist genau festgelegt, was diese Vereinbarungen oder Verträge abdecken sollten.

    Datenschutzbeauftragter

    Viele Organisationen, vor allem kleinere, stellen fest, dass die Aufgaben des DSB angesichts des breiten Spektrums an Wissen, das für die Datenverarbeitung und den Datenschutz erforderlich ist, eine Herausforderung darstellen. Die Datenschutz-Grundverordnung ermöglicht es Organisationen, die Funktion des DSB an einen externen Anbieter auszulagern.

    Benachrichtigung über Datenschutzverletzungen

    Tritt eine Datenschutzverletzung auf, muss das Unternehmen den Vorfall innerhalb von 72 Stunden, nachdem es davon Kenntnis erlangt hat, der zuständigen Datenschutzbehörde melden.

    Jedes EU-Land hat eine eigene Datenschutzbehörde, die die DSGVO-Gesetze durchsetzt. Wenn die Verletzung von Daten ein hohes Risiko für die Privatsphäre und damit für die Rechte und Freiheiten der betroffenen Personen (Ihrer Kunden) darstellt, müssen diese Kunden ebenfalls von Ihrem Unternehmen informiert werden.

    Auf Datenschutzverletzungen vorbereiten

    Die jüngsten Datenschutzverletzungen machen deutlich, wie wichtig es ist, auf einen Hack vorbereitet zu sein. Die Vorbereitung gewährleistet einen unkomplizierten Ansatz zum Schutz und zur Aufklärung der Kunden. Eine umfassende Strategie kann den Schaden für Ihren Ruf abmildern.

    Die Datenschutz-Grundverordnung schreibt allen für die Datenverarbeitung Verantwortlichen und Auftragsverarbeitern, die personenbezogene Daten verarbeiten, eine Regelung für Datenschutzverletzungen vor. Dies ermöglicht es Organisationen, Daten angemessen gegen Zerstörung, Diebstahl, unbefugten Zugriff usw. zu schützen. Datenverarbeiter sind verpflichtet, Verstöße gegen personenbezogene Daten an die für die Verarbeitung Verantwortlichen zu melden, und die für die Verarbeitung Verantwortlichen müssen darauf vorbereitet sein, die Meldevorschriften für Verstöße gegen personenbezogene Daten einzuhalten.

    Richtlinie zur Datenaufbewahrung

    Die DSGVO legt keine Aufbewahrungsfristen für personenbezogene Daten fest. Stattdessen heißt es, dass personenbezogene Daten nur so lange, wie es für die Zwecke, für die sie verarbeitet werden, angemessen ist, in einer Form gespeichert werden dürfen, die die Identifizierung der Person ermöglicht.

    Für personenbezogene Daten sind in der Datenschutz-Grundverordnung keine Aufbewahrungsfristen festgelegt. Stattdessen heißt es, dass personenbezogene Daten nur so lange, wie es für die Zwecke, für die sie verarbeitet werden, angemessen ist, in einer Form gespeichert werden dürfen, die die Identifizierung einer Person ermöglicht.