Am 25. Mai 2018 tritt die neue EU-Datenschutzgrundverordnung (EU-DSGVO) nach einer Übergangszeit von zwei Jahren in Kraft. Sie vereinheitlicht das Datenschutzrecht innerhalb der EU und ersetzt ab diesem Zeitpunkt das Bundesdatenschutzgesetz und die EU Datenschutzrichtlinie (Richtlinie 95/46/EG).
In drei Fällen ist dies Pflicht:
z.B. das „Verzeichnis von Verarbeitungstätigkeiten“ aller personenbezogener Daten mit Dokumentation und Übersicht über alle eingesetzten Verfahren, Zweck der Verarbeitung, Fristen zur Löschung etc. Je nach Art der Daten müssen „geeignete technische und organisatorische Maßnahmen“ ergriffen werden, um nachweisen zu können, dass die personenbezogene Datenverarbeitung den EU-Regelungen entspricht.
Informationen zu Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten sollen für die Betroffenen einfacher zugänglich gemacht werden. Neu ist das Recht auf „Vergessen werden“, welches die Löschung von veröffentlichten personenbezogenen Daten einfacher macht.
Bereits bei der Entwicklung von IT-Produkten, -Dienstleistungen und -Anwendungen muss das Datenschutzrecht beachtet werden - v.a. durch die Ausrichtung am Gebot der Datenminimierung (Datenerhebung nur in dem Umfang, wie zum Zweck der Erfüllung erforderlich ist).
Innerhalb von 72 Stunden nach Bekanntwerden an die Behörde bzw. an die betroffenen Personen, wenn "voraussichtlich ein hohes Risiko für ihre persönlichen Rechte und Freiheiten" daraus resultiert.
Vor risikobehafteten Datenverarbeitungen, insbesondere bei der Verwendung neuer Technologien und besonders sensiblen Daten sind Unternehmen dazu verpflichtet, die Risiken für die Privatsphäre der betroffenen Personen zu analysieren.
