GDPR-Compliance,
verständlich erklärt

Die Datenschutz-Grundverordnung, die Verordnung (EU) 2016/679 und fast immer einfach «die GDPR», ist das Recht der Europäischen Union, das regelt, wie Organisationen die Personendaten von Menschen in Europa erheben, nutzen, speichern und weitergeben. Sie gilt seit dem 25. Mai 2018 unmittelbar in der gesamten EU und im EWR und hat einen Flickenteppich älterer nationaler Datenschutzgesetze durch ein einziges, gemeinsames Regelwerk ersetzt.

Zuerst gilt es klarzustellen: Die GDPR ist ein Gesetz, kein Standard, gegen den man sich zertifizieren lässt. Es gibt kein allgemeines Siegel «GDPR-zertifiziert», das Sie auf Ihre Website setzen können. Die Verordnung lässt zwar anerkannte Zertifizierungsmechanismen in bestimmten Bereichen zu, doch ein universelles Zertifikat, das einer Organisation bescheinigt, sie sei «GDPR-konform», existiert nicht. Compliance weist man stattdessen laufend über die Rechenschaftspflicht nach: Sie können jederzeit zeigen, dass Sie Personendaten so handhaben, wie es das Gesetz verlangt.

Personendaten sind weit gefasst: jede Information, die sich auf eine identifizierte oder identifizierbare Person bezieht, etwa ein Name, eine E-Mail-Adresse, eine IP-Adresse, eine Kunden-ID oder ein Standort. Sobald Ihre Systeme Informationen über reale Menschen in Europa berühren, hat die GDPR mit grosser Sicherheit etwas dazu zu sagen, wie Sie das tun.

Am häufigsten missverstanden wird die Reichweite der GDPR. Sie gilt nicht nur für Unternehmen mit Sitz in der EU, sondern für jede Organisation weltweit, die Personendaten von Menschen verarbeitet, die sich in der EU oder im EWR befinden, sei es, um ihnen Waren oder Dienstleistungen anzubieten, sei es, um ihr Verhalten zu beobachten. Juristen nennen das den extraterritorialen Anwendungsbereich, und genau deshalb fallen so viele Schweizer, britische und US-Unternehmen darunter, ohne ein einziges Büro im EU-Raum zu haben.

Für ein Schweizer Unternehmen ist das der Regelfall. Wenn Sie an Kunden in Deutschland verkaufen, eine Website betreiben, auf der sich Nutzerinnen in Frankreich anmelden, oder Daten im Auftrag eines EU-Kunden verarbeiten, fallen Sie sehr wahrscheinlich in den Anwendungsbereich. Die Schweizer Grenze stellt Sie nicht ausserhalb der Verordnung. Massgeblich ist, wessen Daten Sie handhaben und wen Sie erreichen, nicht, wo Ihre Server oder Ihr Hauptsitz stehen.

Wenn Sie abwägen, ob die GDPR für Sie gilt, ist die praktische Frage einfach: Handhaben Sie Personendaten von Menschen, die sich in der EU oder im EWR befinden? Lautet die Antwort ja, sollten Sie davon ausgehen, dass Sie im Anwendungsbereich sind, und von dort aus arbeiten, statt zu hoffen, dass eine geografische Spitzfindigkeit Sie befreit.

Vor den detaillierten Pflichten stellt die GDPR eine Handvoll Grundsätze auf, aus denen alles andere folgt. Personendaten sind rechtmässig, nach Treu und Glauben und transparent zu verarbeiten. Sie dürfen nur für festgelegte, eindeutige Zwecke erhoben und nicht stillschweigend später zweckentfremdet werden. Erheben Sie nur, was Sie tatsächlich brauchen, halten Sie es richtig und bewahren Sie es nicht länger auf als nötig. Und schützen Sie es vor Verlust, unbefugtem Zugriff und Missbrauch.

Der letzte Grundsatz verleiht der Verordnung ihre Durchschlagskraft: die Rechenschaftspflicht. Es genügt nicht, die übrigen Grundsätze zu befolgen. Sie müssen auch nachweisen können, dass Sie das tun. Dieses eine Wort ist der Grund, warum GDPR-Compliance in der Praxis vor allem eine Frage von Dokumentation und Nachweis ist: Die Aufzeichnungen, die Sie führen, sind der Beleg dafür, dass die Grundsätze eingehalten werden.

Unter der GDPR dürfen Sie Personendaten nicht einfach nutzen, weil es praktisch wäre. Jede einzelne Nutzung von Personendaten braucht eine Rechtsgrundlage, und es gibt genau sechs zur Auswahl: Einwilligung, Erfüllung eines Vertrags, Erfüllung einer rechtlichen Verpflichtung, Schutz lebenswichtiger Interessen einer Person, eine im öffentlichen Interesse liegende Aufgabe und berechtigte Interessen.

Die richtige Rechtsgrundlage zu wählen ist wichtig, weil sie bestimmt, was Sie sonst noch tun müssen. Stützen Sie sich auf die Einwilligung, muss diese freiwillig, spezifisch und so leicht zu widerrufen sein, wie sie erteilt wurde, und Menschen können sie widerrufen. Stützen Sie sich auf berechtigte Interessen, müssen Sie zeigen können, dass Sie Ihr Interesse gegen die Rechte der betroffenen Personen abgewogen haben und auf der richtigen Seite dieser Abwägung gelandet sind. Die falsche Grundlage, oder eine erst im Nachhinein gewählte, ist ein häufiger Befund, wenn etwas schiefgeht.

Die Disziplin, die das Gesetz erwartet, lautet: die Rechtsgrundlage festlegen, bevor Sie mit der Verarbeitung beginnen, sie festhalten und sie konsequent anwenden. In der Praxis heisst das, dass jede Verarbeitungstätigkeit in Ihren Aufzeichnungen eine genannte Rechtsgrundlage trägt, also genau das, was Ihr Verzeichnis von Verarbeitungstätigkeiten festhalten soll.

Die GDPR gibt Menschen eine Reihe von Rechten an ihren eigenen Personendaten, und die Pflicht, diese zu wahren, liegt bei Ihnen. Menschen können Auskunft über die Daten verlangen, die Sie über sie führen, unrichtige Daten berichtigen lassen und in vielen Fällen ihre Daten löschen lassen, das sogenannte Recht auf Vergessenwerden. Sie können verlangen, die Nutzung ihrer Daten einzuschränken, sie in einer übertragbaren Form bereitzustellen, die sie anderswohin mitnehmen können, und bestimmten Nutzungen wie Direktmarketing zu widersprechen.

Es gibt auch Rechte rund um Entscheidungen, die allein durch automatisierte Mittel über Menschen getroffen werden. Hat ein rein automatisierter Prozess erhebliche Auswirkungen auf eine Person, so hat sie ein Recht, ihn zu verstehen, und in vielen Fällen, ein menschliches Eingreifen zu verlangen.

Operativ bedeutet das: Sie brauchen einen verlässlichen Weg, solche Anfragen entgegenzunehmen, alle relevanten Daten über Ihre Systeme hinweg zu finden und zu antworten, in der Regel innert eines Monats. Teams ohne Karte, wo Personendaten liegen, stellen bei der ersten echten Anfrage fest, dass schon das Auffinden aller Daten zu einer Person der schwierige Teil ist. Ein aktuelles Verzeichnis dessen, was Sie wo führen, macht aus einem stressigen Kraftakt eine Routineaufgabe.

Die GDPR teilt die Organisationen, die mit Personendaten umgehen, in zwei Rollen, und Ihre Pflichten hängen davon ab, welche Sie sind. Ein Verantwortlicher entscheidet, warum und wie Personendaten verarbeitet werden: Es sind Ihre Daten, Ihr Zweck. Ein Auftragsverarbeiter handhabt Personendaten im Auftrag und nach Weisung eines Verantwortlichen, etwa ein SaaS-Anbieter, der einen Dienst für seine Kunden betreibt. Viele Unternehmen sind beides zugleich: Verantwortlicher für ihre eigenen Mitarbeiter- und Kundendaten und Auftragsverarbeiter für die Daten, die ihre Kunden in ihr Produkt eingeben.

Setzt ein Verantwortlicher einen Auftragsverarbeiter ein, verlangt die GDPR einen schriftlichen Vertrag zwischen ihnen, einen Auftragsverarbeitungsvertrag (DPA) nach Artikel 28. Der DPA legt fest, was der Auftragsverarbeiter mit den Daten tun darf und was nicht, welche Sicherheit er aufrechterhalten muss, wie er mit Unterauftragsverarbeitern umgeht und was beim Ende der Beziehung geschieht. Wenn Sie Software an EU-Kunden verkaufen, werden Ihre Kunden Sie als Auftragsverarbeiter zur Unterzeichnung auffordern; wenn Sie Anbieter einsetzen, die Ihre Personendaten berühren, sollten Sie als Verantwortlicher mit jedem von ihnen einen abschliessen.

Die Rolle richtig zu bestimmen ist grundlegend, denn sie entscheidet, wer für was verantwortlich ist, einschliesslich, wer einer Aufsichtsbehörde Rede und Antwort stehen muss und wer welchen Teil der Meldepflicht bei Datenpannen trägt.

Weil die Rechenschaftspflicht das ganze Spiel ist, nennt die GDPR bestimmte Aufzeichnungen, die Sie führen sollen. Die erste ist Ihr Verzeichnis von Verarbeitungstätigkeiten, das RoPA nach Artikel 30. Es ist ein strukturiertes Inventar dessen, welche Personendaten Sie verarbeiten, warum, auf welcher Rechtsgrundlage, mit wem Sie sie teilen, wohin sie gehen und wie lange Sie sie aufbewahren. Es ist in der Praxis die Hauptkarte Ihrer Datenverarbeitung und meist das Erste, was eine Aufsichtsbehörde sehen will.

Die zweite ist die Datenschutz-Folgenabschätzung, die DPIA nach Artikel 35. Wenn eine bestimmte Art der Verarbeitung voraussichtlich ein hohes Risiko für Menschen mit sich bringt (umfangreiches Profiling, systematische Überwachung, sensible Daten in grossem Umfang), müssen Sie dieses Risiko vor dem Beginn beurteilen, dokumentieren, wie Sie es mindern, und in einigen Fällen Ihre Aufsichtsbehörde konsultieren. Eine DPIA ist kein Papierkram um seiner selbst willen; sie ist der strukturierte Schritt des Nachdenkens vor dem Bauen, den das Gesetz für die riskantesten Dinge erwartet, die Sie tun.

Beide Aufzeichnungen teilen dieselbe Schwachstelle: Sie veralten. Ein RoPA, das einmal geschrieben und nie wieder angefasst wurde, deckt sich nicht mehr mit der Realität, sobald Sie ein neues Tool oder einen neuen Datenfluss hinzufügen, und eine abgelegte und vergessene DPIA schützt Sie nicht, wenn sich die abgedeckte Verarbeitung inzwischen geändert hat. Sie aktuell zu halten und mit den tatsächlichen Systemen und Entscheidungen zu verknüpfen, die sie beschreiben, ist der grösste Teil dessen, was gelebte Rechenschaftspflicht wirklich bedeutet.

Wenn eine Verletzung des Schutzes von Personendaten geschieht (Daten gehen verloren, werden gestohlen, offengelegt oder von den falschen Personen abgerufen), setzt die GDPR Sie unter Zeitdruck. Ist die Verletzung voraussichtlich mit einem Risiko für die Rechte und Freiheiten von Menschen verbunden, müssen Sie Ihre Aufsichtsbehörde unverzüglich und wenn möglich innert 72 Stunden, nachdem sie Ihnen bekannt wurde, benachrichtigen. Ist das Risiko für die betroffenen Personen hoch, müssen Sie diese zudem direkt und in klarer Sprache informieren.

Zweiundsiebzig Stunden sind kurz, und die Uhr läuft ab dem Moment, in dem Sie Kenntnis erlangen, nicht erst, wenn Sie die Untersuchung abgeschlossen haben. Genau deshalb funktioniert eine Reaktion auf Datenpannen weit besser, wenn sie im Voraus vorbereitet ist, statt unter Druck improvisiert zu werden: zu wissen, wer entscheidet, was beurteilt wird und wo Kontaktdaten und Vorlagen liegen, macht den Unterschied zwischen einer kontrollierten Meldung und einer verpassten Frist. Bemerkenswerterweise muss nicht jede Verletzung gemeldet werden, da die Pflicht am Risiko für Menschen hängt, doch Sie sollen diese Einschätzung in jedem Fall vornehmen und festhalten, selbst bei Verletzungen, die Sie nicht melden.

Weil es kein GDPR-Zertifikat zum Vorzeigen gibt, lautet die Frage, die Kunden und Behörden tatsächlich stellen, «zeigen Sie es mir». Zeigen heisst, Nachweise vorzulegen: Ihr RoPA, Ihre Entscheide zur Rechtsgrundlage, Ihre Auftragsverarbeitungsverträge, Ihre DPIAs für Verarbeitung mit hohem Risiko, Ihr Pannenprotokoll, Ihre Datenschutzerklärungen und die Aufzeichnungen, die belegen, dass Sie Betroffenenanfragen fristgerecht bearbeiten. Rechenschaftspflicht ist keine Haltung, sondern ein Ordner aktueller, stimmiger Dokumente, den Sie auf Verlangen öffnen können.

Hier kämpfen viele Teams im Stillen. Die Pflichten verteilen sich auf Recht, Produkt, Sicherheit und Betrieb, und die Nachweise landen verstreut über Laufwerke, Postfächer und Tabellen, die mit der Zeit auseinanderdriften. Wenn der Due-Diligence-Fragebogen eines Kunden oder eine Anfrage der Aufsicht eintrifft, ist das Teure das Zusammensetzen eines stimmigen Bildes aus diesen Fragmenten, nicht die zugrunde liegenden Praktiken, die oft in Ordnung sind.

Die Aufzeichnungen der Rechenschaftspflicht an einem Ort zu halten, aktuell und verknüpft mit den Systemen und Richtlinien, die sie beschreiben, macht aus «zeigen Sie mir Ihre GDPR-Compliance» statt eines Feueralarms einen Routine-Export. Es ist dieselbe Disziplin, die den Rest der Verordnung handhabbar macht: weniger ein Projekt, das Sie abschliessen, als ein System, das Sie am Laufen halten.

Für Schweizer Unternehmen kommt die GDPR selten allein. Die Schweiz hat ihr eigenes modernisiertes Datenschutzrecht (das neue Datenschutzgesetz, die Schweizer nFADP, in Kraft seit September 2023), und die beiden wurden bewusst eng aneinander herangeführt. Die nFADP hob die Schweizer Regeln auf ein Niveau, das den europäischen Erwartungen weitgehend entspricht, was mit ein Grund ist, weshalb die Schweiz weiterhin als Land mit einem angemessenen Schutzniveau für Daten aus der EU anerkannt ist.

Die beiden sind nicht identisch, deshalb können Sie die eine nicht einfach als Kopie der anderen behandeln. Doch sie überschneiden sich stark: Beide drehen sich um rechtmässige Verarbeitung, Transparenz, Betroffenenrechte, das Verzeichnis von Verarbeitungstätigkeiten und den Umgang mit Datenpannen. In der Praxis muss ein Schweizer Unternehmen, das EU-Kunden bedient, beide zugleich erfüllen. Und weil so viel der zugrunde liegenden Arbeit geteilt wird, ist der sinnvolle Weg, sie einmal zu pflegen und auf jedes Gesetz abzubilden, statt zwei voneinander getrennte Konformitätsbemühungen nebeneinander zu betreiben.

Die GDPR ist mit Bussen unterlegt, die gross genug sind, um Verhalten zu ändern. Für die schwersten Verstösse können Aufsichtsbehörden Bussen von bis zu 20 Millionen Euro verhängen, oder 4 % des gesamten weltweiten Jahresumsatzes einer Organisation, je nachdem, welcher Betrag höher ist. Eine zweite, niedrigere Stufe deckt weniger schwere Verstösse ab. Die Höchstzahl ist bewusst an den weltweiten Umsatz gekoppelt, damit sie grosse Organisationen ebenso hart trifft wie kleine.

Bussen sind allerdings meist nicht die erste Kostenfolge, die Teams spüren. Verlorene oder ins Stocken geratene Abschlüsse sind es. Käufer aus Grossunternehmen und der öffentlichen Hand verlangen zunehmend Nachweise der GDPR-Compliance, bevor sie unterschreiben, und eine vage oder fehlende Antwort verzögert den Verkauf lange, bevor überhaupt eine Behörde ins Spiel kommt. Reputationsschaden aus einer schlecht gehandhabten Datenpanne kann jede Busse überdauern. Das Beruhigende daran: Die Arbeit, die Sie vor allen drei schützt (klare Aufzeichnungen, gewahrte Rechte, eine vorbereitete Reaktion auf Datenpannen), ist dieselbe Arbeit, einmal getan und aktuell gehalten.