Data Protection Glossary

Ein zentraler Grundsatz der DSGVO, der sicherstellen soll, dass die für die Verarbeitung Verantwortlichen dafür zuständig sind, die Einhaltung der Datenschutzgrundsätze in der Praxis nachzuweisen. Die Rechenschaftspflicht verlangt von Organisationen, interne Mechanismen und Kontrollsysteme einzurichten, die die Einhaltung der Vorschriften gewährleisten, sowie Nachweise wie Prüfberichte, Unterlagen und Aufzeichnungen bereitzustellen, um den Aufsichtsbehörden und den betroffenen Personen die Einhaltung der Vorschriften nachzuweisen.

Eine Angemessenheitsentscheidung ist eine Feststellung der Europäischen Kommission, dass ein Nicht-EU-Land oder eine internationale Organisation ein Datenschutzniveau gewährleistet, das dem der EU im Wesentlichen gleichwertig ist. Angemessenheitsentscheidungen ermöglichen den Transfer personenbezogener Daten in dieses Land ohne zusätzliche Schutzmaßnahmen wie Standardvertragsklauseln. Die Europäische Kommission überprüft diese Entscheidungen regelmäßig und kann sie widerrufen, falls der Schutzstandard nachlässt.

Das KI-Büro ist die Stelle der Europäischen Kommission, die für die Überwachung und Durchsetzung des EU-KI-Gesetzes zuständig ist, insbesondere im Hinblick auf KI-Modelle für allgemeine Zwecke und die grenzüberschreitende Koordinierung. Das KI-Büro unterstützt nationale Behörden, gibt Leitlinien heraus, untersucht Verstöße und kann Sanktionen gegen Anbieter von KI-Modellen für allgemeine Zwecke verhängen, die ihren Verpflichtungen nicht nachkommen. Dabei arbeitet es mit dem EU-KI-Beauftragten zusammen, der als Ansprechpartner für Anbieter aus Nicht-EU-Ländern fungiert.

Die irreversible Löschung oder Umwandlung personenbezogener Daten, sodass betroffene Personen weder direkt noch indirekt identifiziert werden können. Eine echte Anonymisierung unterbricht dauerhaft die Verbindung zwischen Daten und Identität, wodurch die Daten aus dem Geltungsbereich der Datenschutzvorschriften herausfallen. Die Erreichung einer echten Anonymisierung ist technisch anspruchsvoll und erfordert die Berücksichtigung aller vernünftigerweise verfügbaren Methoden zur Reidentifizierung.

Unter einer automatisierten Entscheidungsfindung versteht man eine Entscheidung über eine betroffene Person, die ausschließlich durch automatisierte Verfahren ohne nennenswerte menschliche Beteiligung getroffen wird und rechtliche oder ähnlich schwerwiegende Auswirkungen hat. Gemäß Artikel 22 der DSGVO haben betroffene Personen in den meisten Fällen das Recht, nicht rein automatisierten Entscheidungen unterworfen zu werden, und Organisationen, die sich auf begrenzte Ausnahmen wie die Einwilligung stützen, müssen dennoch die Möglichkeit bieten, eine Überprüfung durch einen Menschen zu erwirken und das Ergebnis anzufechten, insbesondere wenn die Entscheidung mit Profiling verbunden ist.

Interne Datenschutzrichtlinien, die von internationalen Organisationen oder multinationalen Konzernen verabschiedet wurden und die eine rechtmäßige Übermittlung personenbezogener Daten zwischen verschiedenen Unternehmenseinheiten innerhalb desselben Konzerns ermöglichen. Verbindliche Unternehmensregeln bieten einen rechtsverbindlichen Rahmen, der einheitliche Datenschutzstandards in allen Konzernunternehmen gewährleistet, und bedürfen der Genehmigung durch die Datenschutzbehörden.

Personenbezogene Daten, die sich aus der gezielten technischen Verarbeitung physischer, physiologischer oder verhaltensbezogener Merkmale einer Person ergeben, wie beispielsweise Fingerabdrücke, Iris-Scans, Gesichtserkennungsdaten, Stimmmuster und DNA. Biometrische Daten werden in der Regel als besondere Datenkategorie behandelt, die einen verstärkten Schutz sowie eine spezifische rechtliche Begründung für ihre Verarbeitung erfordert.

Im Jahr 2018 wurde in Kalifornien ein US-amerikanisches Datenschutzgesetz verabschiedet, das den Einwohnern Kaliforniens Rechte in Bezug auf ihre personenbezogenen Daten einräumt, darunter das Recht auf Auskunft darüber, welche Daten erhoben werden, das Recht auf Löschung von Daten, das Recht auf Widerspruch gegen den Verkauf von Daten sowie das Recht auf Nichtdiskriminierung. Der CCPA gilt für gewinnorientierte Unternehmen, die personenbezogene Daten von Einwohnern Kaliforniens erheben und bestimmte Schwellenwerte hinsichtlich Umsatz oder Datenvolumen erreichen.

Durch die Änderung und Erweiterung des CCPA, das 2020 in Kalifornien verabschiedet wurde, wurden Verbraucherrechte eingeführt, darunter das Recht auf Berichtigung personenbezogener Daten, das Recht auf Einschränkung der Verwendung sensibler personenbezogener Daten sowie Rechte im Zusammenhang mit automatisierten Entscheidungen. Mit dem CPRA wurde die California Privacy Protection Agency eingerichtet, um das Datenschutzrecht durchzusetzen und bei Verstößen Sanktionen zu verhängen.

Eine formelle Beschwerde einer Person bei einer Datenschutzbehörde oder Aufsichtsbehörde, in der behauptet wird, dass eine Organisation ihre Datenschutzrechte verletzt habe. Datenschutzbehörden sind befugt, Beschwerden zu untersuchen und die Einhaltung der Vorschriften durch Ermittlungen, Anordnungen und Sanktionen durchzusetzen.

Ein Grundsatz der DSGVO, der vorschreibt, dass personenbezogene Daten vor unbefugtem oder versehentlichem Zugriff, vor Offenlegung oder vor Missbrauch geschützt werden müssen. Die Vertraulichkeit stellt sicher, dass nur befugte Personen auf personenbezogene Daten zugreifen können, weshalb Organisationen verpflichtet sind, während des gesamten Datenlebenszyklus technische und organisatorische Schutzmaßnahmen zu ergreifen.

Eine Konformitätsbewertung ist das Verfahren, mit dem überprüft wird, ob ein KI-System mit hohem Risiko die Anforderungen des EU-KI-Gesetzes erfüllt, bevor es in Verkehr gebracht wird. Konformitätsbewertungen können je nach Kategorie des KI-Systems intern durch den Anbieter oder extern durch eine benannte Stelle durchgeführt werden und führen zur Vergabe einer CE-Kennzeichnung sowie zur Ausstellung einer EU-Konformitätserklärung.

Eine frei erteilte, konkrete, in voller Kenntnis der Sachlage erteilte und eindeutige Einwilligung in die Verarbeitung personenbezogener Daten für festgelegte Zwecke. Dies setzt voraus, dass die betroffenen Personen verstehen, womit sie einverstanden sind und wie ihre Daten verwendet werden, und dass sie ihre Einwilligung jederzeit widerrufen können. Die Einwilligung muss wirklich freiwillig sein und darf nicht als Bedingung für Dienstleistungen dienen, die in keinem Zusammenhang mit der betreffenden Verarbeitung stehen.

Die Organisation oder Person, die die Zwecke, Mittel und Methoden der Verarbeitung personenbezogener Daten festlegt. Die für die Verarbeitung Verantwortlichen tragen die Hauptverantwortung für die Einhaltung der Vorschriften und müssen sicherstellen, dass alle Datenschutzgrundsätze eingehalten werden, darunter Rechtmäßigkeit, Transparenz, Sicherheit und die Rechte der betroffenen Personen.

Ein Vorfall, bei dem personenbezogene Daten unbefugt abgerufen, verwendet oder weitergegeben werden oder versehentlich oder rechtswidrig vernichtet, verloren oder verändert werden. Organisationen müssen Datenschutzverletzungen bewerten und die betroffenen Parteien benachrichtigen. Wenn eine Datenschutzverletzung voraussichtlich ein Risiko für die Rechte des Einzelnen darstellt, müssen die Behörden und die betroffenen Personen benachrichtigt werden.

Dieser Grundsatz besagt, dass nur personenbezogene Daten erhoben und verarbeitet werden dürfen, die für bestimmte Zwecke angemessen, relevant und erforderlich sind. Die Datenminimierung verhindert eine übermäßige Datenerhebung und verringert Datenschutzrisiken, indem sie den Umfang der von einer Organisation gespeicherten personenbezogenen Daten begrenzt.

Ein schriftlicher Vertrag zwischen einem Verantwortlichen und einem Auftragsverarbeiter, in dem Art, Umfang und Zweck der Verarbeitung, Sicherheitsverpflichtungen, Rechte der betroffenen Personen sowie Vertraulichkeitsanforderungen festgelegt sind. Datenverarbeitungsverträge sind gesetzlich vorgeschrieben, wenn ein Verantwortlicher einen Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten in seinem Auftrag beauftragt.

Eine unabhängige öffentliche Stelle (auch als Aufsichtsbehörde bezeichnet), die für die Überwachung der Einhaltung des Datenschutzrechts, die Untersuchung von Beschwerden und den Schutz der Rechte des Einzelnen zuständig ist. Datenschutzbehörden verfügen über Ermittlungs- und Durchsetzungsbefugnisse, darunter die Erteilung von Leitlinien, die Durchführung von Prüfungen und die Verhängung von Sanktionen.

„Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“ ist eine Verpflichtung gemäß der DSGVO, die Organisationen dazu verpflichtet, Datenschutzvorkehrungen von Anfang an in Systeme zu integrieren und sicherzustellen, dass standardmäßig nur die für einen bestimmten Zweck erforderlichen personenbezogenen Daten verarbeitet werden. Artikel 25 DSGVO wendet dies sowohl auf die technische Systemgestaltung als auch auf die Standard-Benutzereinstellungen an und bildet zusammen mit „Privacy by Design“ und der „Datenminimierung“ die Kernprinzipien der Rechenschaftspflicht.

Eine strukturierte Analyse ist erforderlich, wenn eine Organisation Verarbeitungsvorgänge plant, die ein hohes Risiko für die Rechte und Freiheiten des Einzelnen darstellen. Datenschutz-Folgenabschätzungen dienen dazu, potenzielle Risiken zu identifizieren, deren Eintrittswahrscheinlichkeit und Schweregrad zu bewerten und die zu ihrer Minderung ergriffenen Maßnahmen zu dokumentieren. Sie dienen als Nachweis der Rechenschaftspflicht und helfen Organisationen dabei, bereits von Projektbeginn an Datenschutzmaßnahmen zu integrieren.

Ein unabhängiger Experte, der von Organisationen ernannt wird, um die Einhaltung der Datenschutzvorschriften zu überwachen und als Ansprechpartner gegenüber den Datenschutzbehörden zu fungieren. Datenschutzbeauftragte überwachen die Einhaltung der Vorschriften, führen Verarbeitungsprotokolle, bearbeiten individuelle Anfragen und beraten hinsichtlich der Datenschutzverpflichtungen. In vielen Rechtsordnungen sind Behörden und Organisationen, die große Datenmengen verarbeiten, verpflichtet, einen Datenschutzbeauftragten zu ernennen .

Der Zeitraum, während dessen Organisationen personenbezogene Daten aufbewahren dürfen. Datenschutzvorschriften schreiben vor, dass personenbezogene Daten nur so lange aufbewahrt werden dürfen, wie es für die Zwecke, für die sie erhoben wurden, erforderlich ist. Organisationen müssen Aufbewahrungsfristen festlegen und dokumentieren und die Daten nach Ablauf der Aufbewahrungsfrist sicher löschen oder anonymisieren.

Eine Vereinbarung über den Datenaustausch ist ein Vertrag zwischen zwei oder mehr Verantwortlichen, in dem der Zweck, der Umfang und die Bedingungen festgelegt sind, unter denen personenbezogene Daten zwischen ihnen ausgetauscht werden. Im Gegensatz zu einer Datenverarbeitungsvereinbarung regelt eine Vereinbarung über den Datenaustausch den Austausch zwischen unabhängigen Verantwortlichen, einschließlich gemeinsam Verantwortlicher, und umfasst in der Regel die Sicherheit, die Aufbewahrung sowie die Art und Weise, wie Anfragen betroffener Personen von jeder Partei bearbeitet werden.

Jede identifizierte oder identifizierbare natürliche Person, auf die sich personenbezogene Daten beziehen. Betroffene Personen haben gemäß den Datenschutzgesetzen bestimmte Rechte, darunter das Recht auf Auskunft über ihre Daten, auf Berichtigung unrichtiger Angaben, auf Widerspruch gegen die Verarbeitung sowie auf Löschung. Organisationen müssen die Rechte der betroffenen Personen im Rahmen ihrer gesamten Datenverarbeitungsprozesse anerkennen und achten.

Ein formeller Antrag einer Person an eine Organisation bezüglich ihrer personenbezogenen Daten. Zu den Anträgen betroffener Personen zählen Anträge auf Auskunft, Berichtigung, Löschung, Widerspruch und Datenübertragbarkeit. Organisationen müssen über Verfahren verfügen, um Anträge betroffener Personen innerhalb der gesetzlich festgelegten Fristen entgegenzunehmen, zu prüfen und zu beantworten.

Der grenzüberschreitende Transfer personenbezogener Daten, insbesondere außerhalb des Rechtsraums, in dem sie erhoben wurden. Datenübermittlungen in Länder ohne angemessene Datenschutzregelungen erfordern rechtliche Mechanismen wie Standardvertragsklauseln, verbindliche Unternehmensregeln oder Angemessenheitsbeschlüsse, um sicherzustellen, dass die Daten weiterhin angemessen geschützt sind.

Das Gesetz über digitale Dienste (Digital Services Act, DSA) ist eine EU-Verordnung (2022/2065), die Vorschriften für Online-Plattformen, Marktplätze und Vermittlungsdienste in Bezug auf Inhaltsmoderation, Transparenz und Nutzersicherheit festlegt. Das DSA überschneidet sich mit dem Datenschutzrecht in den Bereichen gezielte Werbung und Profiling durch Empfehlungssysteme, wobei für sehr große Online-Plattformen und Suchmaschinen strengere Verpflichtungen gelten. 

Direktmarketing ist die Übermittlung von Werbematerial an bestimmte Personen per Post, Telefon, E-Mail oder auf anderem elektronischen Wege. Es unterliegt sowohl den Anforderungen der DSGVO hinsichtlich der Rechtsgrundlage als auch spezifischen E-Privacy-Vorschriften wie den PECR, die im Allgemeinen eine vorherige Einwilligung für elektronisches Marketing vorschreiben und stets ein wirksames Widerspruchsrecht vorsehen. 

Das EU-Recht (2009/136/EG) ergänzt die Datenschutzvorschriften, indem es die Vertraulichkeit der elektronischen Kommunikation regelt und die Verwendung von Cookies regelt. Die ePrivacy-Richtlinie schreibt vor, dass vor der Speicherung von Informationen auf den Geräten der Nutzer eine Einwilligung eingeholt werden muss, und schränkt die Verwendung personenbezogener Daten für elektronische Werbung ein.

Der Europäische Datenschutzausschuss (EDPB) vertritt die Datenschutzbehörden aller EU-Mitgliedstaaten und ist dafür zuständig, eine einheitliche Anwendung des Datenschutzrechts in der gesamten EU sicherzustellen. Der EDPB gibt Leitlinien und Stellungnahmen heraus, die eine verbindliche Auslegung der Datenschutzanforderungen enthalten. Der Europäische Datenschutzbeauftragte (EDPS) überwacht die Einhaltung der Datenschutzvorschriften innerhalb der EU-Organe.

Das Recht von Personen, von Organisationen die Löschung ihrer personenbezogenen Daten zu verlangen. Dieses Recht, das auch als„Recht auf Vergessenwerden“ bezeichnet wird, gilt, wenn die Daten für den ursprünglichen Zweck nicht mehr erforderlich sind, wenn die betroffene Person ihre Einwilligung widerruft, wenn sie der Verarbeitung widerspricht oder wenn die Daten rechtswidrig verarbeitet wurden. Ausnahmen gelten bei gesetzlichen Verpflichtungen und anderen berechtigten Zwecken.

EU-Verordnung (2024/1689) zur Schaffung eines umfassenden Rechtsrahmens für in der EU genutzte KI-Systeme. Der KI-Gesetzestext stuft KI-Systeme nach ihrem Risikograd ein und legt Anforderungen für KI-Systeme mit hohem Risiko fest, darunter Dokumentation, Transparenz, menschliche Aufsicht und Folgenabschätzungen. Die Verordnung befasst sich mit KI-spezifischen Risiken für Grundrechte und -freiheiten, einschließlich des Datenschutzes. Verbotene KI-Praktiken traten am 2. Februar 2025 in Kraft, während die umfassenderen Anforderungen für Systeme mit hohem Risiko ab August 2026 gelten.

Ein EU-KI-Beauftragter ist eine lokale Kontaktstelle in der EU, die von Anbietern risikoreicher KI-Systeme benannt wird, die keine Niederlassung in der EU haben. Diese Funktion, die gemäß Artikel 54 des EU-KI-Gesetzes vorgeschrieben ist, entspricht der Anforderung an einen EU-Beauftragten gemäß Artikel 27 der DSGVO: Sie übernimmt die Kommunikation mit dem KI-Büro und den nationalen Marktüberwachungsbehörden und hält die erforderlichen technischen Unterlagen zur Einsichtnahme bereit. 

Ein EU-Vertreter ist ein lokaler Ansprechpartner in der Europäischen Union, der von einem Verantwortlichen oder Auftragsverarbeiter ohne Niederlassung in der EU benannt wird, der personenbezogene Daten von Personen in der EU verarbeitet. Der gemäß Artikel 27 DSGVO vorgeschriebene EU-Vertreter wickelt den Schriftverkehr mit den Datenschutzbehörden und den betroffenen Personen ab und verwahrt eine Kopie des Verzeichnisses der Verarbeitungstätigkeiten der Organisation, wobei die Benennung eines EU-Vertreters die eigene rechtliche Haftung des Verantwortlichen nicht mindert.

Eine Grundrechtsfolgenabschätzung ist eine obligatorische Bewertung, die bestimmte Betreiber von KI-Systemen mit hohem Risiko gemäß dem EU-KI-Gesetz durchführen müssen, um Risiken zu ermitteln, die das System für die Grundrechte von Personen darstellt. Eine Grundrechtsfolgenabschätzung befasst sich damit, wie das System genutzt wird, wer voraussichtlich davon betroffen ist und welche Schutzvorkehrungen und Maßnahmen zur menschlichen Aufsicht vorhanden sind. Sie spielt eine ähnliche Rolle wie eine Datenschutz-Folgenabschätzung, konzentriert sich jedoch auf das KI-Gesetz und nicht auf die DSGVO.

Die seit 2018 geltende Datenschutz-Grundverordnung der Europäischen Union regelt die Verarbeitung personenbezogener Daten und schützt die Rechte der betroffenen Personen in der EU. Die DSGVO gilt für Organisationen, die personenbezogene Daten von in der EU ansässigen Personen verarbeiten, unabhängig davon, wo sich der Sitz der Organisation befindet, und legt Anforderungen hinsichtlich Rechtmäßigkeit, Transparenz, Sicherheit, individueller Rechte und Rechenschaftspflicht fest.

Ein Allzweck-KI-Modell ist ein KI-Modell, das anhand umfangreicher Daten in großem Maßstab trainiert wurde und eine breite Palette von Aufgaben ausführen sowie in viele verschiedene nachgelagerte Anwendungen integriert werden kann. Gemäß dem EU-KI-Gesetz unterliegen Anbieter von Allzweck-KI-Modellen Transparenzpflichten, und Modelle, die als „systemisches Risiko“ eingestuft werden, unterliegen zusätzlichen Anforderungen hinsichtlich Bewertung, Prüfung und Meldung von Vorfällen, die vom KI-Büro überwacht werden. 

Das US-Bundesrecht schützt die Privatsphäre und die Sicherheit von Gesundheitsdaten im Gesundheitswesen. Das HIPAA gilt für betroffene Einrichtungen (Gesundheitsdienstleister, Krankenkassen, Clearingstellen im Gesundheitswesen) und deren Geschäftspartner. Es schreibt Schutzmaßnahmen für geschützte Gesundheitsdaten, das Recht des Einzelnen auf Zugang zu und Berichtigung von Gesundheitsdaten sowie Meldepflichten bei Datenschutzverletzungen vor.

Ein KI-System mit hohem Risiko ist ein KI-System, das gemäß dem EU-KI-Gesetz als ein System eingestuft wird, das ein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte darstellt, wie beispielsweise Systeme, die in den Bereichen Personalbeschaffung, Bonitätsprüfung, Strafverfolgung oder kritische Infrastruktur zum Einsatz kommen. KI-Systeme mit hohem Risiko müssen vor ihrem Inverkehrbringen eine Konformitätsbewertung und eine Folgenabschätzung hinsichtlich der Grundrechte durchlaufen; darüber hinaus gelten Anforderungen hinsichtlich Risikomanagement, Datenverwaltung, technischer Dokumentation und menschlicher Aufsicht.

Internationale Norm für Managementsysteme zur Informationssicherheit. ISO/IEC 27001 legt Anforderungen für die Einrichtung, Umsetzung, Aufrechterhaltung und Verbesserung eines Managementsystems zur Informationssicherheit fest. Organisationen können eine Zertifizierung erlangen, indem sie nachweisen, dass sie die in der Norm festgelegten Sicherheitsmaßnahmen und Managementanforderungen erfüllen, die die Einhaltung der Datenschutzvorschriften unterstützen.

Eine internationale Norm, die Leitlinien und Empfehlungen für Kontrollmaßnahmen im Bereich des Informationssicherheitsmanagements enthält. ISO/IEC 27002 bietet detaillierte Anleitungen zur Umsetzung der in ISO/IEC 27001 geforderten Kontrollmaßnahmen, einschließlich spezifischer Maßnahmen für den Datenschutz, die Zugriffskontrolle, die Verschlüsselung, das Vorfallmanagement und die Sensibilisierung für Sicherheitsfragen.

Eine internationale Norm, die die Normen ISO/IEC 27001 und 27002 speziell im Hinblick auf das Datenschutzmanagement erweitert. ISO/IEC 27701 enthält Anforderungen und Leitlinien für den Umgang mit personenbezogenen Daten mithilfe von Datenschutzmanagementsystemen (PIMS) und unterstützt die Einhaltung von Datenschutzvorschriften wie der DSGVO, dem CCPA, der LGPD und ähnlichen Rahmenwerken. Sie hilft Organisationen dabei, Datenschutzaspekte in ihre übergeordneten Informationssicherheitsprogramme zu integrieren, und ist die erste internationale Norm, die sich speziell mit dem Datenschutzmanagement befasst.

Gemeinsam für die Verarbeitung Verantwortliche sind zwei oder mehr Verantwortliche, die gemeinsam über die Zwecke und Mittel der Verarbeitung derselben personenbezogenen Daten entscheiden. Gemäß Artikel 26 DSGVO müssen gemeinsam für die Verarbeitung Verantwortliche ihre jeweiligen Verantwortlichkeiten hinsichtlich der Einhaltung der Vorschriften in einer transparenten Vereinbarung festlegen, die häufig durch eine Vereinbarung über den Datenaustausch formalisiert wird, und betroffene Personen können ihre Rechte gegenüber jeder der Parteien unabhängig von der internen Vereinbarung geltend machen. 

Die DSGVO basiert auf zentralen Grundsätzen wie Rechtmäßigkeit, Fairness, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität, Vertraulichkeit und Rechenschaftspflicht.

Vor jeder Verarbeitung personenbezogener Daten ist eine rechtliche Grundlage erforderlich. Datenschutzvorschriften legen in der Regel mehrere Rechtsgrundlagen fest, wie beispielsweise Einwilligung, vertragliche Notwendigkeit, gesetzliche Verpflichtung, Schutz lebenswichtiger Interessen, Erfüllung öffentlicher Aufgaben und berechtigte Interessen . Jeder Fall der Verarbeitung personenbezogener Daten muss unter mindestens eine dieser Rechtsgrundlagen fallen .

Eine von mehreren Rechtsgrundlagen für die Verarbeitung personenbezogener Daten, wenn die Organisation oder ein Dritter berechtigte geschäftliche Interessen verfolgt, die die Rechte und Freiheiten des Einzelnen nicht überwiegen. Die Verarbeitung auf der Grundlage berechtigter Interessen erfordert eine Abwägung zwischen den Interessen der Organisation und den Erwartungen des Einzelnen hinsichtlich des Datenschutzes und muss notwendig und verhältnismäßig sein.

Eine Bewertung der berechtigten Interessen ist eine dokumentierte Prüfung, die Organisationen durchführen, bevor sie sich auf berechtigte Interessen als Rechtsgrundlage für die Verarbeitung personenbezogener Daten stützen. Eine solche Bewertung umfasst eine Zweckprüfung, eine Notwendigkeitsprüfung und eine Abwägung gegen die Rechte der betroffenen Person. Die Aufzeichnung der Bewertung dient der Einhaltung des Grundsatzes der Rechenschaftspflicht, falls die Rechtsgrundlage später angefochten wird.

Das seit 2020 geltende brasilianische Datenschutzgesetz ( LGPD ) schützt die Rechte brasilianischer betroffener Personen und gilt für Organisationen, die personenbezogene Daten von in Brasilien ansässigen Personen verarbeiten. Das LGPD folgt einer ähnlichen Struktur wie die DSGVO und schreibt Rechtsgrundlagen für die Verarbeitung, Rechte der betroffenen Personen, Sicherheitsmaßnahmen sowie Rechenschaftspflicht vor. Es gilt für die Verarbeitung personenbezogener Daten von Personen, die sich in Brasilien befinden, oder für die Verarbeitung, die in Brasilien erfolgt.

Eine natürliche Person ist ein lebender Mensch, im Gegensatz zu einer juristischen Person wie beispielsweise einem Unternehmen oder einer Organisation. Das Datenschutzrecht schützt speziell die personenbezogenen Daten natürlicher Personen; verstorbene Personen und rein unternehmensbezogene Informationen fallen im Allgemeinen nicht in seinen Geltungsbereich.

Die NIS2-Richtlinie ist ein EU-Rechtsakt (2022/2555), der die Anforderungen an die Cybersicherheit für Organisationen in kritischen und wichtigen Sektoren verschärft und die ursprüngliche NIS-Richtlinie ersetzt. NIS2 schreibt Maßnahmen zum Risikomanagement und die Meldung von Vorfällen vor und überschneidet sich zunehmend mit den Verpflichtungen zur Vertraulichkeit und zur Meldung von Datenschutzverletzungen gemäß der DSGVO für Organisationen, die beiden Regelungen unterliegen; sie wird häufig im Zusammenhang mit der Zertifizierung nach ISO/IEC 27001 bewertet. 

Das Widerspruchsrecht ermöglicht es betroffenen Personen, der Verarbeitung ihrer personenbezogenen Daten zu Zwecken des Direktmarketings, aufgrund berechtigter Interessen oder zur Erfüllung öffentlicher Aufgaben zu widersprechen. Widerspricht eine betroffene Person dem Direktmarketing, muss die Verarbeitung unverzüglich und ausnahmslos eingestellt werden; bei anderen Rechtsgrundlagen muss der Verantwortliche die Verarbeitung einstellen, es sei denn, er kann zwingende berechtigte Gründe nachweisen, die die Interessen der betroffenen Person überwiegen. 

Die PECR ist die britische Verordnung zur Umsetzung der E-Privacy-Richtlinie, die das elektronische Marketing, Cookies und ähnliche Tracking-Technologien regelt. Die PECR gilt ergänzend zum britischen Datenschutzgesetz von 2018 und schreibt grundsätzlich die Einwilligung vor, bevor Informationen auf dem Gerät eines Nutzers gespeichert oder elektronische Werbemitteilungen versendet werden dürfen.

Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Die Definition ist weit gefasst und umfasst Namen, Identifikationsnummern, Standortdaten, Online-Kennungen, E-Mail-Adressen, IP-Adressen sowie alle anderen Informationen, die eine Person direkt oder indirekt identifizieren oder in Verbindung mit anderen Daten zu ihrer Identifizierung führen könnten.

Das kanadische Bundesdatenschutzgesetz regelt, wie Organisationen des privaten Sektors personenbezogene Daten erheben, verwenden und weitergeben. Das PIPEDA gilt für gewinnorientierte Unternehmen, die kommerzielle Tätigkeiten ausüben, und legt die Rechte des Einzelnen fest, darunter das Recht auf Auskunft, Richtigkeit, Einwilligung sowie Beschwerdemechanismen. Die kanadischen Provinzen haben ähnliche Datenschutzgesetze mit im Wesentlichen gleichwertigen Schutzbestimmungen erlassen.

Das Recht auf Datenübertragbarkeit ermöglicht es betroffenen Personen, personenbezogene Daten, die sie einem Verantwortlichen zur Verfügung gestellt haben, in einem strukturierten, maschinenlesbaren Format zu erhalten und diese, soweit möglich, direkt an einen anderen Verantwortlichen übermitteln zu lassen. Es gilt nur, wenn die Verarbeitung auf einer Einwilligung oder einem Vertrag beruht und automatisiert erfolgt – im Gegensatz zum Auskunftsrecht, das unabhängig von der Rechtsgrundlage gilt.

Ein Grundsatz, der vorsieht, dass Organisationen Datenschutzaspekte bereits in den frühesten Entwicklungsphasen in Technologien, Systeme und Geschäftsprozesse integrieren. „Privacy by Design“ verankert Datenschutzmaßnahmen bereits in den Grundlagen eines Projekts, anstatt die Einhaltung der Vorschriften erst nach der Umsetzung nachzurüsten.

Eine Organisation oder eine natürliche Person, die personenbezogene Daten im Auftrag eines für die Verarbeitung Verantwortlichen verarbeitet. Auftragsverarbeiter müssen die Anweisungen des für die Verarbeitung Verantwortlichen befolgen und angemessene Sicherheitsmaßnahmen ergreifen. Auftragsverarbeiter handeln im Rahmen schriftlicher Verträge, in denen der Umfang der Verarbeitung und die Sicherheitsverpflichtungen festgelegt sind.

Unter „Profiling“ versteht man die automatisierte Verarbeitung personenbezogener Daten, die dazu dient, persönliche Aspekte einer Person zu bewerten, beispielsweise durch Vorhersagen zu ihrem Verhalten, ihren Vorlieben, ihrer Gesundheit oder ihrer wirtschaftlichen Situation. Das Profiling unterliegt strengeren Vorschriften, wenn es Teil einer automatisierten Entscheidungsfindung ist, die rechtliche oder ähnlich weitreichende Auswirkungen hat.

Eine verbotene KI-Praxis ist eine Nutzung von KI, die das EU-KI-Gesetz gänzlich verbietet, da das Risiko für Einzelpersonen als inakzeptabel angesehen wird, wie beispielsweise das Social Scoring durch Behörden und KI, die Verhalten manipuliert, um Schaden anzurichten. Die verbotenen Praktiken sind seit dem 2. Februar 2025 durchsetzbar, also deutlich vor den Fristen für die Einhaltung der Vorschriften für risikoreiche KI-Systeme im Allgemeinen.

Die Verarbeitung personenbezogener Daten in einer Weise, die eine direkte Identifizierung verhindert, ohne dass zusätzliche Informationen herangezogen werden müssen, die separat gespeichert und gesichert sind. Im Gegensatz zur Anonymisierung ist die Pseudonymisierung reversibel; mit Zugriff auf Verknüpfungsinformationen können Personen wieder identifiziert werden. Pseudonymisierte Daten bleiben personenbezogene Daten, bergen jedoch geringere Risiken für die Privatsphäre.

Ein Empfänger ist jede natürliche oder juristische Person, Behörde oder sonstige Stelle, an die personenbezogene Daten weitergegeben werden, unabhängig davon, ob es sich um einen Dritten handelt. Die Definition des Begriffs „Empfänger“ im Sinne der DSGVO ist weit gefasst und umfasst auch andere Verantwortliche und Auftragsverarbeiter, wodurch sie sich vom enger gefassten Begriff des „Dritten“ unterscheidet.

Von den für die Datenverarbeitung Verantwortlichen und den Auftragsverarbeitern geführte Aufzeichnungen, in denen alle Aktivitäten zur Verarbeitung personenbezogener Daten detailliert aufgeführt sind. Das ROPA muss Angaben zu den Verarbeitungszwecken, den Kategorien der verarbeiteten personenbezogenen Daten, den Empfängern der Daten, den Aufbewahrungsfristen sowie zu den technischen und organisatorischen Sicherheitsmaßnahmen enthalten. Das ROPA dient als Nachweis für die Rechenschaftspflicht und die Einhaltung der Datenschutzverpflichtungen.

Das Recht auf Einschränkung der Verarbeitung ermöglicht es den betroffenen Personen, die Verwendung ihrer personenbezogenen Daten in bestimmten Situationen einzuschränken, beispielsweise wenn deren Richtigkeit bestritten wird oder wenn ein Widerspruch geprüft wird. Bei einer Einschränkung der Verarbeitung dürfen die Daten zwar weiterhin gespeichert, jedoch ohne Einwilligung nicht weiterverarbeitet werden, außer zur Geltendmachung von Rechtsansprüchen.

Das Recht von Personen, eine Kopie ihrer bei einer Organisation gespeicherten personenbezogenen Daten sowie Informationen darüber, wie diese verarbeitet werden, anzufordern und zu erhalten. Organisationen müssen auf Auskunftsersuchen innerhalb festgelegter Fristen reagieren und die Daten in der Regel in einem gängigen elektronischen Format bereitstellen.

Das Recht von Personen, die Berichtigung unrichtiger personenbezogener Daten zu verlangen. Organisationen müssen unrichtige Angaben unverzüglich berichtigen und, soweit dies möglich ist, Dritte, die die unrichtigen Daten erhalten haben, über die Berichtigung informieren.

Als umfassendere Kategorie als„Daten besonderer Art“umfassen sensible personenbezogene Daten solche Daten,die im Rahmen der Datenschutzvorschriften einen verstärkten Schutz erfordern. Beispiele hierfür sind Gesundheitsdaten, Finanzdaten, biometrische Daten, Verhaltensdaten, genetische Informationen und Sozialversicherungsnummern. Die Verarbeitung sensibler personenbezogener Daten erfordert in der Regel eine ausdrückliche Einwilligung oder andere spezifische rechtliche Begründungen.

Zu den Daten besonderer Kategorien zählen personenbezogene Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, biometrische Daten, die zur Identifizierung verwendet werden, Gesundheitsdaten sowie Daten über das Sexualleben oder die sexuelle Orientierung. Die Verarbeitung von Daten besonderer Kategorien ist grundsätzlich untersagt und erfordert sowohl eine allgemeine Rechtsgrundlage als auch eine spezifische Voraussetzung gemäß Artikel 9, wie beispielsweise eine ausdrückliche Einwilligung – eine enger gefasste Kategorie als die der sensiblen personenbezogenen Daten. 

Vorab genehmigte Vertragsklauseln, die die Übermittlung personenbezogener Daten von einem Rechtsraum in einen anderen gestatten, in dem möglicherweise andere Datenschutzgesetze gelten. Standardvertragsklauseln bilden eine Rechtsgrundlage für internationale Datenübermittlungen, wenn keine Angemessenheitsentscheidung vorliegt; allerdings müssen Organisationen Folgenabschätzungen durchführen, um länderspezifische Risiken zu ermitteln und zu mindern.

Ein Unterauftragsverarbeiter ist ein Dritter, der von einem Auftragsverarbeiter beauftragt wird, Verarbeitungsvorgänge im Auftrag des Verantwortlichen durchzuführen. Gemäß Artikel 28 DSGVO muss ein Auftragsverarbeiter vor der Beauftragung eines Unterauftragsverarbeiters die vorherige schriftliche Zustimmung des Verantwortlichen einholen und haftet gegenüber dem Verantwortlichen in vollem Umfang für die Einhaltung der Datenschutzverpflichtungen durch den Unterauftragsverarbeiter. 

Ein formeller Antrag einer Person auf Auskunft über ihre personenbezogenen Daten und darüber, wie die Organisation diese verarbeitet. Organisationen müssen innerhalb festgelegter Fristen antworten und dabei alle über die Person gespeicherten personenbezogenen Daten sowie Einzelheiten zur Verarbeitung bereitstellen.

Ein Schweizer Vertreter ist eine lokale Kontaktstelle in der Schweiz, die von einem für die Datenverarbeitung Verantwortlichen ohne Niederlassung in der Schweiz benannt wird, der personenbezogene Daten von Personen in der Schweiz verarbeitet. Diese Funktion, die gemäß Artikel 14 des Schweizer DSG vorgeschrieben ist, entspricht funktional den Anforderungen an einen EU-Vertreter und einen britischen Vertreter, unterliegt jedoch dem Schweizer Recht und nicht dem EU-Recht.

Jedes Land außerhalb des Geltungsbereichs eines Datenschutzrahmens (beispielsweise außerhalb der EU/des EWR im Sinne der DSGVO). Datenübermittlungen in Drittländer erfordern rechtliche Mechanismen wie Angemessenheitsbeschlüsse, Standardvertragsklauseln oder verbindliche Unternehmensregeln, um einen angemessenen Datenschutz zu gewährleisten.

Jede natürliche oder juristische Person, die nicht die betroffene Person, der für die Verarbeitung Verantwortliche, der Auftragsverarbeiter oder die unter der Aufsicht des für die Verarbeitung Verantwortlichen zur Datenverarbeitung befugten Mitarbeiter ist. Dritte können externe Empfänger von Daten oder unabhängige für die Verarbeitung Verantwortliche sein, die ihre eigenen Entscheidungen hinsichtlich der Datenverarbeitung treffen.

Dieser Grundsatz verlangt, dass Organisationen den betroffenen Personen klare und leicht zugängliche Informationen darüber bereitstellen, wie ihre personenbezogenen Daten erhoben, genutzt und geschützt werden. Zur Transparenz gehören in der Regel Datenschutzerklärungen und andere Offenlegungen, die den betroffenen Personen helfen, die Praktiken im Umgang mit Daten nachzuvollziehen.

Britische Rechtsvorschriften zur Umsetzung und Ergänzung der Anforderungen der DSGVO im Vereinigten Königreich. Der Data Protection Act 2018 legt britienspezifische Vorschriften für die Datenverarbeitung fest, definiert die Rolle des Information Commissioner’s Office (ICO) und erweitert den Datenschutz auf Bereiche, die nicht unter die DSGVO fallen, darunter die Datenverarbeitung im Rahmen der Strafverfolgung und der nationalen Sicherheit. Er gilt für Organisationen, die personenbezogene Daten von Personen mit Wohnsitz im Vereinigten Königreich verarbeiten.

Ein Vertreter im Vereinigten Königreich ist eine lokale Kontaktstelle im Vereinigten Königreich, die von einem Verantwortlichen oder Auftragsverarbeiter ohne Niederlassung im Vereinigten Königreich benannt wird, der personenbezogene Daten von Personen im Vereinigten Königreich verarbeitet. Diese Anforderung, die gemäß der entsprechenden Bestimmung der britischen DSGVO zu Artikel 27 gilt, trat am 1. Januar 2021 in Kraft, als das Vereinigte Königreich aus Sicht der EU zum Drittland wurde. Das bedeutet, dass die meisten Nicht-EU-Unternehmen nun separate Vertreter für die EU und das Vereinigte Königreich benennen müssen, anstatt eine kombinierte Ernennung vorzunehmen.

Systeme, die Bilder oder Videoaufnahmen erfassen und speichern, die personenbezogene Daten enthalten. Die Videoüberwachung muss rechtmäßig, erforderlich und verhältnismäßig sein und durch deutliche Beschilderung darauf hinweisen, dass Personen überwacht werden. Der Zugriff muss auf befugtes Personal beschränkt sein, und die Speicherdauer muss auf das erforderliche Maß begrenzt werden.