Die Gesetzgebung bringt einige spezifische Änderungen für Unternehmen mit sich, von denen die wichtigsten die finanziellen Auswirkungen bei Nichteinhaltung sind.
Einführung erheblicher Geldbußen
Erste Stufe: bis zu 10 Millionen Euro oder bis zu 2 % des weltweiten Jahresumsatzes der Muttergesellschaft, je nachdem, welcher Betrag höher ist
Zweite Stufe: Bis zu 20 Mio. € oder bis zu 4 % des weltweiten Jahresumsatzes der Muttergesellschaft, je nachdem, welcher Betrag höher ist
Das Recht auf Löschung
Wünscht eine Person nicht mehr, dass ihre Daten verarbeitet werden, und gibt es keine rechtmäßigen Gründe für ihre Aufbewahrung, müssen die Daten gelöscht werden. Die für die Datenverarbeitung Verantwortlichen müssen nachweisen, dass sie die Daten aufbewahren müssen, nicht die betroffene Person.
Obligatorische Benachrichtigung bei Datenschutzverletzungen
Organisationen sind nun verpflichtet, dem Datenschutzbeauftragten eine Datenschutzverletzung innerhalb von 72 Stunden nach Bekanntwerden der Verletzung zu melden.
Übertragbarkeit von Daten
Die Verordnungen sehen das Recht vor, dass betroffene Personen ihre personenbezogenen Daten in einem gängigen elektronischen Format von einem für die Datenverarbeitung Verantwortlichen zu einem anderen übertragen können, ohne dass der ursprünglich für die Datenverarbeitung Verantwortliche sie daran hindert.
Datenschutz durch Technik
Dies ist einer der Grundgedanken der neuen Verordnung, der darauf abzielt, die allgemeine Einstellung und Planung von Organisationen zum Datenschutz zu ändern. Artikel 23 legt fest, dass der Datenschutz bei der Entwicklung von Geschäftsprozessen berücksichtigt werden sollte, so dass der Datenschutz bereits zu Beginn eines Projekts berücksichtigt wird.
Ernennung eines Datenschutzbeauftragten (DSB)
Bestimmte Tätigkeiten, wie die groß angelegte Überwachung von Personen oder die Verarbeitung von Daten besonderer Kategorien, machen es erforderlich, dass eine Organisation einen Datenschutzbeauftragten bestellt. Auch wenn dies nicht erforderlich ist, empfiehlt es sich, einen behördlichen Datenschutzbeauftragten zu ernennen, der über Kenntnisse der Informationssicherheit und des Datenschutzrechts verfügt.
