Die europäische Datenschutz-Grundverordnung erweitert die bisherigen Datenschutzprinzipien und ist EU-weit gültig. Alle Unternehmen, die personenbezogene Daten von EU-Bürgern verarbeiten, müssen seit dem 25. Mai 2018 die neuen Vorgaben erfüllen. Durch die Verschärfung der Datenschutz-Vorgaben stieg auch die Brisanz bei der Verarbeitung und Nutzung personenbezogener Daten auf Papier. 

Darunter fallen alle Angaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren Person, z. B. Name, Anschrift, Familienstand, Renten-/Krankenversichertennummer, berufliche Qualifikation, Gehaltsinformationen, Steuerklasse, Zeugnisse, Gutachten, Aktennotizen, Diagnosen, u.v.m.

Das verantwortliche Projektteam hat die Aufgabe, ineffiziente Prozesse zu analysieren. Dies ist wichtig, um die bisherigen Arbeitsabläufe in den Abteilungen zu optimieren. Unproduktive Abläufe haben Auswirkungen auf die Leistungsfähigkeit und halten Mitarbeitende von wichtigeren Tätigkeiten ab. Hier ist eine schrittweise Identifikation und Analyse der Geschäftsprozesse sinnvoll. Als Startpunkt bietet sich die Überprüfung eines bestimmten Geschäftsbereichs an, zum Beispiel die Personalabteilung.

Generell gilt die Vorgabe, dass personenbezogene Daten sparsam erhoben werden müssen. Sie dürfen nur verarbeitet werden, wenn sie

• für den Zweck angemessen sind und
• für den Zweck erheblich und relevant sind.

Generell gilt: Datenerhebung auf Vorrat ist verboten. 

Die personenbezogenen Daten müssen so erhoben und verarbeitet werden, dass sie für den angegebenen Zweck passen, aber nicht darüber hinaus.

Der Verantwortliche muss sich bei der Erhebung personenbezogener Daten auf die Informationen beschränken, die für den Zweck notwendig sind.

Ganz generell muss für die Nutzung und Verarbeitung personenbezogener Daten ein legitimer Grund vorliegen. Wenn personenbezogene Daten erhoben werden, muss der Verantwortliche eine lückenlose Dokumentation hinsichtlich Zweck, Dauer, Speicherung und Löschung darlegen und gewährleisten.

Der Betroffene kann verlangen, dass seine personenbezogenen Daten gelöscht werden. Damit steht der Verantwortliche in der Pflicht, alle erhobenen Daten umgehend und vollständig zu löschen. Zudem muss gewährleistet werden, dass eventuelle Links auf die personenbezogenen Daten oder Kopien unwiderruflich vernichtet werden. Ausnahmen sind in Absatz 3 definiert.

Der Betroffene kann verlangen, dass ihm seine personenbezogenen Daten in einem strukturierten, allgemein gängigen und maschinenlesbaren Format übertragen werden. 

Der Betroffene hat das Recht, gegen die Verarbeitung ihn betreffender personenbezogener Daten Widerspruch einzulegen. 

Der Verantwortliche und der Auftragsverarbeiter hat geeignete technische und organisatorische Maßnahmen zu treffen, um natürliche Personen zu schützen.

Eine regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen hat zu erfolgen.

Es besteht eine europaweite Verpflichtung zur Bereitstellung eines betrieblichen Datenschutzbeauftragten.

Laut Bundesdatenschutzgesetz ist derjenige, der eine Information erfasst, während des gesamten Lebenszyklus der Daten für deren Schutz verantwortlich. Der Verantwortliche und der Auftragsverarbeiter haften damit für materielle und immaterielle Schäden, die dem Betroffenen entstehen. Diese Verantwortung für diese Daten lässt sich nicht an andere übertragen. Dies gilt unter anderem auch bei der Vergabe von Vernichtungsaufträgen an externe Dienstleister. (Kapitel 8, Artikel 82 DSGVO)

Im Falle einer Verletzung des Schutzes personenbezogener Daten steht der Verantwortliche in der Pflicht, den Vorfall unverzüglich und möglichst binnen 72 Stunden an die zuständige Aufsichtsbehörde (Kapitel 6, Artikel 51) zu melden. 

Die allgemeinen Sanktionen bei Verstößen gegen die Bestimmungen wurden erheblich verschärft. So kann eine Geldbuße von bis zu 20 Mio. Euro oder bis zu 4 % des weltweiten Vorjahresumsatzes von der zuständigen Aufsichtsbehörde verhängt werden.