Datenschutz-Grundverordnung (DSGVO)
Die Datenschutz-Grundverordnung ist der europäische Rechtsrahmen für die Erhebung, Verarbeitung und Speicherung personenbezogener Daten. Seit dem 25. Mai 2018 in Kraft, gilt sie für jede Organisation, die Daten von EU-Bürgern verarbeitet, mit Bußgeldern von bis zu 4 % des weltweiten Jahresumsatzes.
Die DSGVO hat die Art und Weise, wie Unternehmen personenbezogene Daten in Europa und darüber hinaus verwalten, grundlegend verändert. Sie legt sechs Grundprinzipien fest: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz; Zweckbindung; Datenminimierung; Richtigkeit; Speicherbegrenzung; sowie Integrität und Vertraulichkeit. Jede Organisation muss ihre Compliance jederzeit nachweisen können.
Für KYC- und Compliance-Fachleute schafft die DSGVO ein heikles Gleichgewicht zwischen der Pflicht zur Identitätsprüfung von Kunden (vorgeschrieben durch Anti-Geldwäsche-Richtlinien) und dem Schutz personenbezogener Daten. Unternehmen müssen klare Rechtsgrundlagen für jede Verarbeitung definieren, verhältnismäßige Aufbewahrungsfristen umsetzen und die Rechte der Betroffenen gewährleisten.
Die Datenschutzbehörden (BfDI in Deutschland, CNIL in Frankreich, AP in den Niederlanden) überwachen die Anwendung der Verordnung und können erhebliche Sanktionen verhängen. 2023 erhielt Meta eine Rekordstrafe von 1,2 Milliarden Euro für illegale Datenübertragungen in die USA — ein Beweis für die extraterritoriale Reichweite der Verordnung.
Vorschriften
Praxisbeispiele
- 1.Eine Online-Bank muss die ausdrückliche Einwilligung ihrer Kunden einholen, bevor sie KYC-Daten an einen externen Identitätsprüfungsdienstleister weitergibt, und diese Rechtsgrundlage in ihrem Verarbeitungsverzeichnis dokumentieren.
- 2.Ein Versicherer erhält eine Auskunftsanfrage eines Kunden: Er muss innerhalb eines Monats eine vollständige Kopie aller gespeicherten Informationen bereitstellen, einschließlich der Ergebnisse der Identitätsprüfung.
- 3.Ein Fintech-Unternehmen entdeckt eine Datenpanne, die 5.000 Nutzer betrifft: Es hat 72 Stunden Zeit, die Aufsichtsbehörde zu benachrichtigen und muss die Betroffenen informieren, wenn ein hohes Risiko besteht.