Was ist die GDPR?
Die General Data Protection Regulation (Verordnung (EU) 2016/679) gilt seit dem 25. Mai 2018 und legt Regeln für die Verarbeitung personenbezogener Daten fest.
Die GDPR gilt in den 27 EU-Mitgliedstaaten und im EWR und kann auch auf Organisationen außerhalb der EU Anwendung finden, wenn die Voraussetzungen des räumlichen Anwendungsbereichs der Verordnung erfüllt sind.
Die Verordnung beruht unter anderem auf folgenden Grundsätzen:
Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
Zweckbindung
Datenminimierung
Richtigkeit
Speicherbegrenzung
Integrität und Vertraulichkeit
Organisationen müssen außerdem eine geeignete Rechtsgrundlage für die Verarbeitung personenbezogener Daten bestimmen und die geltenden Anforderungen an Transparenz, Rechenschaftspflicht, Sicherheit und Betroffenenrechte erfüllen.
Wer muss die GDPR einhalten?
GDPR-Compliance kann für Organisationen mit Sitz innerhalb oder außerhalb der EU relevant sein – abhängig von ihren Verarbeitungstätigkeiten und davon, ob der räumliche Anwendungsbereich der Verordnung eröffnet ist.
Dazu können gehören:
SaaS- & Technologieunternehmen außerhalb der EU
Organisationen außerhalb der EU, die Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten, können in den räumlichen Anwendungsbereich der GDPR fallen.
E-Commerce & digitale Plattformen
Online-Unternehmen mit Kunden in europäischen Märkten verarbeiten unter Umständen personenbezogene Daten, die den Anforderungen der GDPR unterliegen.
Marketing- & AdTech-Unternehmen
Organisationen, die Profiling, zielgerichtete Werbung, Analysen und Verhaltensbeobachtung betreiben, können erheblichen GDPR-Pflichten unterliegen.
HealthTech & Biotech
Für Organisationen, die besondere Kategorien personenbezogener Daten einschließlich Gesundheitsdaten verarbeiten, können nach der GDPR zusätzliche Anforderungen gelten.
KI-Unternehmen
Organisationen, die KI-Systeme entwickeln oder einsetzen, die personenbezogene Daten verarbeiten, müssen die GDPR gegebenenfalls neben weiteren einschlägigen Technologie-Regelwerken beachten.
Services für GDPR-Compliance
RegulatoryBridge verfolgt bei der GDPR-Compliance einen Sechs-Säulen-Ansatz, mit dem Organisationen ihre zentralen Pflichten über einen einzigen Compliance-Partner steuern können.
EU-Vertreter nach Artikel 27
01Organisationen mit Sitz außerhalb der EU, die in den räumlichen Anwendungsbereich der GDPR fallen, können verpflichtet sein, nach Artikel 27 einen EU-Vertreter zu benennen – vorbehaltlich der in der Verordnung geregelten Voraussetzungen und Ausnahmen.
RegulatoryBridge kann als EU-Vertreter auftreten und als Anlaufstelle für die zuständigen Aufsichtsbehörden und betroffene Personen dienen.
Unser EU-Vertreter-Service umfasst:
- Vertretung nach Artikel 27
- Kommunikation mit Aufsichtsbehörden und betroffenen Personen
- Behördenkontakt
- Mehrsprachige Unterstützung
- Dokumentation der Vertretung
- Verwaltung der behördlichen Korrespondenz
Externer Data Protection Officer
02Manche Organisationen sind nach Artikel 37 GDPR verpflichtet, einen Data Protection Officer (DPO) zu benennen.
RegulatoryBridge bietet externe DPO-Unterstützung für Organisationen, die dedizierte Datenschutzexpertise benötigen, ohne die gesamte Funktion intern vorzuhalten.
Unsere DPO-Unterstützung kann Folgendes umfassen:
- Beratung zur GDPR-Compliance
- Datenschutz-Governance
- ROPA-Unterstützung
- Begleitung von DPIAs
- Unterstützung bei Betroffenenrechten
- Sensibilisierung und Schulung der Mitarbeitenden
- Zusammenarbeit mit Aufsichtsbehörden
- Überprüfung des Datenschutzprogramms
Verzeichnis von Verarbeitungstätigkeiten (ROPA)
03Artikel 30 verpflichtet bestimmte Organisationen, ein Verzeichnis von Verarbeitungstätigkeiten zu führen.
Ein gut gepflegtes ROPA hilft Organisationen zu verstehen:
- Welche personenbezogenen Daten verarbeitet werden
- Warum sie verarbeitet werden
- Wer Zugriff darauf hat
- Wo die Daten gespeichert sind
- Wer die Daten erhält
- Geltende Aufbewahrungsfristen
- Sicherheitsmaßnahmen
- Internationale Übermittlungen
- Beteiligte Verantwortliche und Auftragsverarbeiter
RegulatoryBridge unterstützt Organisationen dabei, strukturierte Verarbeitungsverzeichnisse aufzubauen und zu pflegen, die Rechenschaftspflicht und regulatorische Bereitschaft stützen.
DPIA & Interessenabwägungen
04Verarbeitungstätigkeiten mit hohem Risiko können eine Data Protection Impact Assessment (DPIA) nach Artikel 35 GDPR erfordern.
Organisationen müssen gegebenenfalls auch dokumentieren und prüfen, inwieweit sie sich auf berechtigte Interessen als Rechtsgrundlage stützen können.
RegulatoryBridge unterstützt bei:
Data Protection Impact Assessments
Bewerten Sie Datenschutzrisiken, die mit risikoreichen Verarbeitungstätigkeiten, neuen Technologien, Produkten und Geschäftsprozessen verbunden sind.
Interessenabwägungen (Legitimate Interest Assessments)
Prüfen Sie, ob berechtigte Interessen eine geeignete Rechtsgrundlage für die Verarbeitung darstellen, und dokumentieren Sie die Abwägung.
Diese Assessments helfen Organisationen, Datenschutzrisiken zu erkennen, bevor neue Produkte, Verarbeitungstätigkeiten oder Technologien eingeführt werden.
Reaktion auf Datenschutzverletzungen nach der GDPR
05Artikel 33 GDPR sieht für bestimmte Verletzungen des Schutzes personenbezogener Daten eine Meldepflicht vor: Die zuständige Aufsichtsbehörde ist unverzüglich und, soweit anwendbar, binnen 72 Stunden nach Bekanntwerden der Verletzung zu benachrichtigen.
RegulatoryBridge bietet strukturierte Unterstützung bei Datenschutzverletzungen in folgenden Phasen:
Erkennung
- Vorfall identifizieren und priorisieren.
Eindämmung
- Geeignete Eindämmungsmaßnahmen koordinieren und die zuständigen Beteiligten aus Recht, Datenschutz und Sicherheit einbinden.
Bewertung
- Art und Umfang der Datenschutzverletzung bestimmen und die Risiken für die betroffenen Personen bewerten.
Dokumentation
- Die erforderliche Dokumentation der Datenschutzverletzung erstellen und angemessene Aufzeichnungen führen.
Meldung
- Die erforderlichen Meldungen an Aufsichtsbehörden und Benachrichtigungen betroffener Personen unterstützen.
Die konkreten Meldepflichten hängen von den Umständen des Vorfalls und vom anwendbaren Recht ab.
Internationale Datenübermittlungen
06Die Übermittlung personenbezogener Daten in Länder außerhalb des EWR kann zusätzliche GDPR-Anforderungen auslösen.
RegulatoryBridge unterstützt Organisationen dabei, internationale Datenübermittlungen zu bewerten und zu steuern – mithilfe von Mechanismen und Prüfungen wie:
- Standard Contractual Clauses (SCCs)
- Binding Corporate Rules (BCRs)
- Angemessenheitsbeschlüsse
- Transfer Impact Assessments
- Übermittlungsprüfungen im Zusammenhang mit Schrems II
- Zusätzliche Garantien, soweit erforderlich
Mit unserem Ansatz bewerten Organisationen internationale Übermittlungen im Rahmen ihres umfassenderen GDPR-Compliance-Programms.
Betroffenenrechte & DSAR-Management
Die GDPR räumt Personen verschiedene Rechte in Bezug auf ihre personenbezogenen Daten ein, darunter die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie Rechte im Zusammenhang mit bestimmten automatisierten Entscheidungen.
RegulatoryBridge kann Organisationen dabei unterstützen, strukturierte Prozesse für die Beantwortung von Anfragen betroffener Personen einzurichten.
Unser DSAR-Workflow kann Folgendes umfassen:
Ein strukturierter Workflow hilft Organisationen, Anfragen über Rechts-, Datenschutz-, IT-, Sicherheits- und Fachteams hinweg zu koordinieren.
GDPR-Compliance in Ihrer gesamten Organisation
GDPR-Compliance ist nicht allein Sache des Rechts- oder Datenschutzteams.
Ein wirksames Programm kann die Abstimmung zwischen folgenden Bereichen erfordern:
Recht
GDPR-Anforderungen, Verträge, behördliche Kommunikation und rechtliche Risiken auslegen und bewerten.
Datenschutz
Datenschutz-Governance, Betroffenenrechte, DPIAs, ROPA und Rechenschaftspflicht steuern.
Sicherheit
Geeignete technische und organisatorische Maßnahmen umsetzen und die Reaktion auf Datenschutzverletzungen unterstützen.
IT & Engineering
Datenflüsse, Systeme, Zugriffskontrollen, Aufbewahrungsmechanismen und technische Anforderungen ermitteln.
HR
Verarbeitung von Beschäftigtendaten und die damit verbundenen Datenschutzpflichten abdecken.
Marketing
Anforderungen an Einwilligung, Profiling, Analysen, Werbung und Transparenz steuern.
Warum RegulatoryBridge für Ihre GDPR-Compliance?
EU-Vertretung & Compliance-Expertise
Ein einziger Partner für die erforderliche Vertretung nach Artikel 27 und für umfassende Unterstützung bei der GDPR-Compliance.
Umfassende GDPR-Abdeckung
Decken Sie zentrale Bereiche ab, darunter DPO-Unterstützung, ROPA, DPIA, LIA, DSARs, Reaktion auf Datenschutzverletzungen und internationale Übermittlungen.
Regulatory Monitoring
Nach Angaben von RegulatoryBridge beobachtet die übergreifende Plattform Regulierungsstellen, Aufsichtsbehörden, Datenschutzquellen und Gerichtsentscheidungen in mehr als 45 Jurisdiktionen und weist auf relevante Entwicklungen hin.
Globale Compliance-Abdeckung
Die GDPR kann sich mit anderen Regelwerken zu Datenschutz, Cybersicherheit, KI und Digitalem überschneiden. Die übergreifende Plattform von RegulatoryBridge deckt mehrere Rahmenwerke und Jurisdiktionen ab.
Praxisnahe Compliance-Unterstützung
Gehen Sie über reine Dokumentation hinaus – mit strukturierten Workflows für wiederkehrende Compliance-Aufgaben und regulatorische Pflichten.
GDPR-Compliance für global tätige Unternehmen
Die GDPR steht selten für sich allein.
Ein international tätiges Unternehmen muss die GDPR gegebenenfalls neben Regelwerken wie diesen beachten:
- UK GDPR
- CCPA/CPRA
- DPDPA (Indien)
- LGPD (Brasilien)
- PDPA (Singapur)
- APPI (Japan)
- EU AI Act
- NIS2
- DORA
- Weitere einschlägige nationale und branchenspezifische Anforderungen
RegulatoryBridge bietet eine breite regulatorische Abdeckung in über 45 Jurisdiktionen, sodass Organisationen die GDPR mit anderen einschlägigen Regelwerken abstimmen können.
Ein praxisnaher Weg zur GDPR-Compliance
Bewerten
01Geltende GDPR-Pflichten, Verarbeitungstätigkeiten, bestehende Kontrollen und Compliance-Lücken ermitteln.
Erfassen
02Flüsse personenbezogener Daten, Verarbeitungstätigkeiten, Dienstleister, Übermittlungen und relevante Beteiligte dokumentieren.
Umsetzen
03Geeignete Richtlinien, Verträge, Assessments, Governance-Prozesse und technische Maßnahmen etablieren.
Vertreten
04Soweit erforderlich, einen EU-Vertreter nach Artikel 27 benennen.
Beobachten
05Regulatorische Entwicklungen, Leitlinien, Durchsetzungsmaßnahmen und für Ihre Organisation relevante Änderungen verfolgen.
Reagieren
06Prozesse für DSARs, Datenschutzverletzungen, behördliche Korrespondenz und weitere Kontakte mit betroffenen Personen oder Behörden vorhalten.
Verbessern
07Ihr GDPR-Programm fortlaufend überprüfen und aktualisieren, wenn sich Ihr Unternehmen, Ihre Technologie und das regulatorische Umfeld weiterentwickeln.
GDPR-ready bleiben, auch wenn sich die Regulierung weiterentwickelt
GDPR-Compliance ist eine fortlaufende Verantwortung und kein einmaliges Projekt.
Wenn Ihre Organisation neue Produkte einführt, neue Märkte erschließt, neue Technologien einsetzt, Dienstleister wechselt oder neue Verarbeitungstätigkeiten aufnimmt, können sich auch Ihre Datenschutzpflichten ändern.
RegulatoryBridge unterstützt Organisationen beim Aufbau eines GDPR-Programms, das Vertretung, Governance, Regulatory Monitoring, Assessments, Reaktionsprozesse und laufende Expertenunterstützung vereint.
Bauen Sie ein GDPR-Compliance-Programm auf, das mit Ihrem Unternehmen wächst.