Internationale Datenschutzgesetze: Ein Leitfaden

Der Vorstoß für Datenschutz hat in den letzten Jahren stark zugenommen, mit Vorschriften wie der Datenschutz-Grundverordnung (DSGVO) der EU und dem California Consumer Privacy Act (CCPA), die die Initiative ergreifen. Das bedeutet, dass Verbraucher weltweit Rechte erlangen, wie ihre Daten gesammelt, gespeichert, verarbeitet und verkauft werden, sowie mehr Möglichkeiten, Unternehmen zur Rechenschaft zu ziehen, wenn schlechte Datensicherheits-Praktiken zu Datenpannen führen, die persönlich identifizierbare Informationen (PII) betreffen.

With GDPR covering the EU and CCPA covering California, those who aren’t residents of those regions may wonder if any data privacy regulations protect them. The answer is, “It depends.” Not every U.S. state or country has data privacy regulations.

Es gibt jedoch viele Gründe, optimistisch zu sein. Gartner prognostiziert, dass bis 2024 moderne Datenschutzvorschriften die Mehrheit der Verbraucherdaten abdecken werden. Allerdings sagt der gleiche Bericht voraus, dass weniger als 10% der Unternehmen Datenschutz erfolgreich als Wettbewerbsvorteil nutzen werden. Entgegen der Annahme vieler Unternehmen sind neue Datenschutzregelungen Geschäftsförderer, keine Feinde. Denn sie können Ihnen helfen, Geschäftsprozesse zu optimieren, das Datenmanagement zu verbessern und Kosteneffizienz zu erreichen.

Da der Datenfluss zunehmend globalisiert wird, müssen Unternehmen ein starkes Verständnis des internationalen Datenschutzrechts erlangen. Andernfalls können sie mit hohen Bußgeldern und anderen Strafen belegt werden. Sie werden es auch versäumen, den Verbrauchern den verdienten Datenschutz zu bieten, was die Fähigkeit schädigt, Kunden zu gewinnen und zu halten.

Lesen Sie diesen Leitfaden, um mehr über Datenschutzgesetze weltweit zu erfahren — und wie Sie deren Anforderungen erfüllen, um die Konformität zu gewährleisten.

Datenschutzgesetze und -vorschriften

Jetzt, da Sie ein klares Verständnis davon haben, wie Datenschutzgesetze im Allgemeinen funktionieren, finden Sie hier Zusammenfassungen der wichtigsten Datenschutzgesetze weltweit.

Europäische Union (EU): Allgemeine Datenschutzverordnung (GDPR)

Die GDPR ist das strengste Sicherheitsgesetz der Welt. Es trat am 25. Mai 2018 in Kraft und verpflichtet alle Unternehmen weltweit, die Daten von EU-Bürgern sammeln oder verarbeiten.

Die Hauptprinzipien, Pflichten und Rechte unter der DSGVO sind wie folgt:

• Datenminimierung — Unternehmen sollten nicht mehr personenbezogene Daten von ihren Nutzern sammeln, als notwendig.
• Integrität und Vertraulichkeit (Sicherheit) — Unternehmen müssen personenbezogene Daten vor unrechtmäßiger oder unbefugter Verarbeitung sowie vor zufälliger Beschädigung, Verlust oder Zerstörung schützen.
• Rechenschaftspflicht — Unternehmen müssen dokumentieren, wie personenbezogene Daten verarbeitet werden, und den Datenzugriff auf Personen beschränken, die diese Informationen tatsächlich benötigen.
• Zugang zu Daten — Unternehmen müssen Anfragen von betroffenen Personen nach Kopien ihrer persönlichen Daten innerhalb eines Monats beantworten.
• Recht auf Berichtigung von Informationen — Betroffene Personen haben das Recht, von einem Unternehmen die Berichtigung ihrer personenbezogenen Daten zu verlangen, wenn diese unrichtig sind.
• Recht auf Löschung — Betroffene Personen haben ebenfalls das Recht, die Löschung ihrer personenbezogenen Daten zu verlangen.
• Einschränkungen bei der automatisierten Verarbeitung —Die DSGVO räumt betroffenen Personen das Recht ein, nicht automatischen Entscheidungen unterworfen zu sein, die eine erhebliche Auswirkung auf sie haben können.
• Datenportabilität — Betroffene Personen haben das Recht, problemlos zu anderen Dienstanbietern zu wechseln.

Die Strafen für die Verletzung der DSGVO sind sehr hoch. Weniger schwere Verstöße können zu einer Geldstrafe von bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes des Unternehmens aus dem vorangegangenen Geschäftsjahr führen, je nachdem, welcher Betrag höher ist. Schwerwiegendere Verstöße können zu einer Geldstrafe von bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes des Unternehmens aus dem vorangegangenen Geschäftsjahr führen, je nachdem, welcher Betrag höher ist.

Vereinigte Staaten: California Consumer Privacy Act (CCPA) und California Privacy Rights Act (CPRA)

Im Gegensatz zur EU verfügt die Vereinigten Staaten nicht über ein umfassendes Datenschutzgesetz wie die DSGVO. Allerdings haben verschiedene Bundesstaaten, darunter Kalifornien, Datenschutzgesetze und -verordnungen verabschiedet, um die persönlichen Informationen der Bürger zu schützen. Dazu gehören die CCPA und ihr Vorgänger, die CPRA.

Das CCPA wurde 2018 verabschiedet und gibt kalifornischen Verbrauchern mehr Kontrolle über die persönlichen Daten, die Unternehmen über sie sammeln. Seit dem 1. Januar 2023 wurde es durch das CPRA ergänzt.

Das CPRA gilt für Unternehmen, die folgende Anforderungen erfüllen:

• Einen Bruttojahresumsatz von über 25 Millionen Dollar haben
• Teilen, kaufen oder verkaufen Sie die persönlichen Daten von mindestens 100.000 kalifornischen Einwohnern
• Erzielen Sie 50% oder mehr ihres jährlichen Umsatzes durch den Verkauf oder die Weitergabe persönlicher Daten

Wie die DSGVO räumt auch die CPRA den Verbrauchern das Recht ein:

• Wissen Sie, wer ihre persönlichen Informationen sammelt, wie diese verwendet werden und an wen sie weitergegeben oder mit wem sie geteilt werden
• Beschränken Sie die Verwendung ihrer persönlichen Daten
• Löschen oder korrigieren Sie ihre persönlichen Daten

Ebenso erfordert es von Unternehmen, dass sie:

• Informieren Sie Verbraucher darüber, wie ihre persönlichen Daten gesammelt und verarbeitet werden
• Sammeln Sie personenbezogene Daten nur zu legitimen, offengelegten Zwecken und in einem relevanten Umfang
• Ermöglichen Sie Verbrauchern, ihre persönlichen Informationen zu löschen, zu erhalten, zu korrigieren und zu teilen

Unternehmen, die den Anforderungen des CPRA nicht nachkommen, können mit bis zu 7.500 Dollar pro vorsätzlichem Verstoß und 2.500 Dollar pro unbeabsichtigter Verletzung bestraft werden.

Kanada: Gesetz zum Schutz persönlicher Informationen und elektronischer Dokumente (PIPEDA)

Das kanadische Bundesdatenschutzgesetz, PIPEDA, wurde im Jahr 2000 erlassen. Es gilt für Organisationen des Privatsektors in Kanada, die persönliche Daten bei kommerziellen Aktivitäten verwenden, sammeln oder offenlegen.

• PIPEDA definiert eine kommerzielle Aktivität als jede Transaktion, jedes Verhalten oder jede Handlung kommerziellen Charakters, einschließlich Leasing, Tauschhandel oder Verkauf von Mitglieder-, Spender- oder Spendensammlungslisten.
• Unter PIPEDA umfasst persönliche Informationen jegliche subjektive oder faktische Information, aufgezeichnet oder nicht, über eine identifizierbare Person. Dazu gehören Alter, Einkommen, Name, Blutgruppe, Mitarbeiterakten, Meinungen und Disziplinarmaßnahmen.

Unternehmen müssen den 10 fair information principles folgen, um PIPEDA zu entsprechen:

• Verantwortlichkeit — Organisationen müssen alle 10 Grundsätze der fairen Informationspraxis einhalten, jemanden für die PIPEDA-Konformität Ihres Unternehmens ernennen und persönliche Informationspraktiken und -richtlinien entwickeln und umsetzen.
• Zweckbestimmung — Unternehmen müssen ihre Gründe für die Erhebung personenbezogener Daten identifizieren und dokumentieren und den Kunden mitteilen, warum sie ihre personenbezogenen Daten benötigen.
• Einwilligung — Unternehmen müssen die Zustimmung jeder Person einholen, bevor sie deren Informationen sammeln.
• Einschränkungen bei der Datenerfassung — Organisationen dürfen nur die Informationen sammeln, die sie zur Erfüllung eines legitimen, identifizierten Zwecks benötigen.
• Begrenzte Nutzung, Offenlegung und Aufbewahrung — Unternehmen dürfen personenbezogene Daten nur für die festgelegten Zwecke verwenden oder offenlegen, für die sie gesammelt wurden.
• Genauigkeit — Unternehmen müssen die Wahrscheinlichkeit der Verwendung falscher Daten bei Entscheidungen über Personen oder der Weitergabe von Informationen an Dritte minimieren.
• Sicherheitsmaßnahmen — Organisationen müssen personenbezogene Daten entsprechend ihrer Sensibilität schützen und alle personenbezogenen Daten vor Diebstahl, Verlust und unbefugtem Zugriff, Kopieren, Offenlegung, Änderung oder Nutzung schützen.
• Offenheit — Unternehmen müssen detaillierte Praktiken zum Management persönlicher Informationen haben, die klar, leicht verständlich und jederzeit verfügbar sind.
• Individueller Zugang — Personen haben das Recht, auf die persönlichen Daten zuzugreifen, die ein Unternehmen über sie gespeichert hat.
• Recht auf Überprüfung der Einhaltung — Personen haben das Recht, die Einhaltung der Grundsätze fairer Informationspraktiken durch ein Unternehmen anzufechten.

Organisationen können mit einer Geldstrafe von bis zu 100.000 kanadischen Dollar für jeden Verstoß belegt werden.

Brasilien: Allgemeines Datenschutzgesetz (LGPD)

Brasiliens LGPD orientiert sich stark an der DSGVO der EU und ist nach der DSGVO und CCPA die größte Datenschutzverordnung der Welt. Ihr Hauptziel ist es, 40 verschiedene, oft branchenspezifische Vorschriften zu vereinheitlichen und Konflikte zu lösen, die aufgrund der schieren Anzahl unterschiedlicher Datenschutzvorschriften im Land auftreten.

Die Verordnung gilt für Organisationen, die Daten in Brasilien verarbeiten, in Brasilien gesammelte personenbezogene Daten verarbeiten oder personenbezogene Daten bei der Bereitstellung von Waren oder Dienstleistungen in Brasilien verarbeiten. Ähnlich wie bei der GDPR und CCPA muss ein Unternehmen nicht in Brasilien ansässig sein, um von der LGPD betroffen zu sein.

Unter LGPD wird die Person, auf die sich personenbezogene Daten beziehen, als holder betrachtet, und Inhaber erhalten viele Rechte in Bezug auf ihre personenbezogenen Daten. Dies schließt ein, ist aber nicht beschränkt auf:

• Zugang zu den eigenen personenbezogenen Daten
• Korrektur veralteter oder anderweitig ungenauer personenbezogener Daten
• Löschung oder Anonymisierung von personenbezogenen Daten, die nicht im Einklang mit LGPD stehen oder ohne die Zustimmung des Betroffenen verarbeitet wurden
• Die Fähigkeit, eine frühere Zustimmung zu widerrufen
• Informationen darüber, wie die eigenen Daten verwendet werden und mit wem diese Daten geteilt werden

Artikel 18 des LGPD umfasst alle Rechte der Dateninhaber nach der Verordnung, und zusätzliche Artikel behandeln Bußgelder und andere Strafen für diejenigen, die nicht konform befunden werden.

Aufkommende Datenschutzgesetze und globale Auswirkungen

Neben den oben genannten Gesetzen sollten Sie auch die folgenden entstehenden Datenschutzgesetze im Auge behalten.

Indien: Gesetz zum Schutz personenbezogener Daten (PDPB)

Dieser Gesetzentwurf ist zwar noch in der Entwurfsphase, aber es lohnt sich, darüber zu diskutieren, da er auch nach dem Vorbild der DSGVO, dem aktuellen Goldstandard für Datenschutzregulierung, modelliert ist. Wenn er verabschiedet wird, wird das PDPB auf Organisationen anwendbar sein, die personenbezogene Daten sammeln, offenlegen oder verarbeiten, die in Indien erhoben, offengelegt oder verarbeitet wurden, und hat daher, wie die DSGVO, internationale Auswirkungen.

Was unter PDPB fällt, ähnelt auch der GDPR. Verbraucher erhalten das Recht auf Zugang, Berichtigung und Löschung ihrer Daten sowie das Recht auf Vergessenwerden und die Datenübertragbarkeit zwischen Organisationen.

Allerdings bedeutet die Vorbereitung einer Organisation auf die DSGVO nicht unbedingt, dass sie auch für das PDPB bereit ist. Die beiden Verordnungen weisen geringfügige Unterschiede im Geltungsbereich auf, und das PDPB ist noch nicht endgültig verabschiedet. Die Einzelheiten der Verordnung werden sich wahrscheinlich ändern, und alle Organisationen mit Verbindungen nach Indien sollten dies im Auge behalten.

Andere bemerkenswerte Datenschutzgesetze

Andere erwähnenswerte Datenschutzgesetze umfassen:

• Australiens Datenschutzgesetz 1988
• Chinas Gesetz zum Schutz persönlicher Informationen (PIPL)
• Südafrikas Protection of Personal Information Act (POPIA)
• Branchenspezifische Gesetze in den USA, wie zum Beispiel:
• Health Insurance Portability and Accountability Act (HIPAA)
• Gramm–Leach–Bliley Act (GLBA)
• Sarbanes–Oxley Act (SOX)
• Bundesgesetz zur Informationssicherheit von 2002 (FISMA)
• Children’s Online Privacy Protection Act (COPPA)

Frameworks

Es gibt auch Rahmenwerke, die Organisationen dabei unterstützen können, die Einhaltung von Datenschutzgesetzen zu erreichen, einschließlich:

• Das National Institute of Standards and Technology’s (NIST) Privacy Framework ist ein freiwilliges Werkzeug, um Unternehmen dabei zu unterstützen, Datenschutzrisiken zu erkennen und zu verwalten.
• Die Asia-Pacific Economic Cooperation (APEC) Cross-Border Privacy Rules (CBPR) schafft einen Rahmen für regionale Zusammenarbeit bei der Durchsetzung von Datenschutzgesetzen.
• ISO/IEC 27001 ist der weltweit bekannteste Standard für ein Informationssicherheits-Managementsystem (ISMS).

Wie Netwrix Ihnen helfen kann, Datenschutzgesetze einzuhalten

Die Einhaltung der geltenden globalen Datenschutzgesetze ist entscheidend, um teure Bußgelder, Rufschädigung, Klagen und andere Kosten zu vermeiden. Eine der kosteneffektivsten Methoden, um Compliance zu erreichen, aufrechtzuerhalten und nachzuweisen, ist die Einführung der Netwrix Compliance Audit Solution. Diese zuverlässige, leistungsstarke und intuitive Lösung minimiert den Stress und die Zeit der Auditvorbereitung und ermöglicht es Ihnen, Fragen während der Compliance-Audits schnell zu beantworten. Sie können:

• Finden Sie heraus, wo sich Ihre regulierten Daten befinden und schränken Sie den Zugriff darauf ein.
• Setzen Sie starke password policies durch.
• Bedrohungen in ihren frühen Stadien erkennen.
• Sichere Systemkonfigurationen einrichten und aufrechterhalten.
• Erstellen Sie leicht verständliche Nachweise für Auditoren.

Möchten Sie mehr darüber erfahren, wie die Compliance Audit Solution von Netwrix Ihrer Organisation helfen kann? Fordern Sie noch heute Ihre persönliche Demo an.

Häufig gestellte Fragen

Wie viele Länder haben Datenschutzgesetze?

Laut der United Nations Conference on Trade and Development (UNCTAD) haben 137 von 194 Ländern Datenschutzgesetze umgesetzt. Insgesamt verfügen 71% der Länder über Datenschutzvorschriften, 9% der Länder haben Gesetzesentwürfe und 15% der Länder haben keine Gesetzgebung.

Da die meisten Länder Datenschutzgesetze haben und der Informationsfluss zunehmend globalisiert wird, müssen Unternehmen Richtlinien einführen, um die Einhaltung dieser Gesetze zu gewährleisten. Andernfalls könnten sie mit hohen Geldstrafen belegt werden und einen Reputationsverlust erleiden.

Gibt es internationales Recht zum Datenschutz?

Ja. Die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union ist ein internationales Datenschutzgesetz, das jede Organisation betrifft, die Informationen von EU-Bürgern verarbeitet oder speichert.

Weitere staatliche, bundesstaatliche und regionale Datenschutzgesetze mit internationaler Anwendung sind der California Consumer Privacy Act (CPRA), Chinas Personal Information Protection Law (PIPL) und der Privacy Act 1988 von Australien.

Was sind die wichtigsten globalen Datenschutzgesetze?

Zu den wichtigsten weltweiten Datenschutzgesetzen gehören:

• Die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union
• Brasiliens allgemeines Datenschutzgesetz
• Chinas Gesetz zum Schutz persönlicher Informationen (PIPL)
• California Consumer Privacy Act (CPRA)
• Australiens Datenschutzgesetz 1988

Wie viele globale Datenschutzgesetze gibt es?

Mindestens 17 Länder und Regionen haben bestehende oder bevorstehende globale Datenschutzgesetze, die der DSGVO ähneln. Daher sollten Sie damit beginnen, Ihr Unternehmen auf die Einhaltung der DSGVO, PIPL und anderer globaler Datenschutzvorschriften vorzubereiten.

Was sind die Prinzipien der Datenschutzgesetze?

Trotz ihrer offensichtlichen Unterschiede basiert jedes Datenschutzgesetz auf denselben Prinzipien. Dazu gehören:

• Einwilligung — Unternehmen müssen eine informierte Einwilligung von Personen einholen, bevor sie deren Informationen speichern oder teilen. Die Einwilligung gibt Personen die Kontrolle über ihre persönlichen Daten.
• Zweckbindung — Organisationen müssen die Verwendung personenbezogener Daten auf spezifische, legitime Zwecke beschränken. Dies stellt sicher, dass das, was Sie mit den Daten der betroffenen Personen machen, dem entspricht, was Sie ihnen mitgeteilt haben.
• Datenminimierung — Unternehmen dürfen nur die notwendigen personenbezogenen Daten sammeln und speichern. Dies verringert die Auswirkungen eines Datenverstoßes.
• Individuelle Rechte — Organisationen müssen den betroffenen Personen Rechte über ihre persönlichen Daten einräumen, einschließlich des Rechts auf Zugang, Berichtigung und Löschung.