DSGVO GDPR

Die DSGVO ist ein europäisches Gesetz über persönliche Daten, und persönliche Daten sind alles, was auf einen lebenden Menschen zeigt. Dazu gehören ein Name, eine E-Mail-Adresse, eine Telefonnummer, ein Foto und sogar eine Liste früherer Bestellungen. Weil das Netz so weit ist, verlangt das Gesetz nur drei einfache Dinge von Ihnen. Sie bewahren die Daten nur aus einem klaren Grund auf, Sie schützen sie, und Sie geben oder löschen sie, wenn die Person es verlangt.

Woran sich alle erinnern, sind die 72 Stunden. Gehen persönliche Daten verloren oder werden sie gestohlen und kann das jemandem schaden, haben Sie drei Tage Zeit, die Datenschutzbehörde zu informieren. Die Frist beginnt in dem Moment, in dem Sie es bemerken, und nicht erst, wenn Sie alles verstanden haben. Ist das Risiko für die Menschen hoch, sagen Sie es ihnen ebenfalls, und die Frist ist mit Absicht kurz. Deshalb zählt die heutige Festlegung, wer diese Meldung macht, mehr als jedes Regelwerk im Schrank.

Sie müssen nicht in Europa sitzen, denn das Gesetz folgt der Person und nicht der Firma. Ein Laden in Kairo, der nach Deutschland verschickt, fällt darunter, und eine Klinik in Dubai mit britischen Patienten ebenso. Dasselbe gilt für eine Schule, die Kurse an Familien in Frankreich verkauft. Bedienen Sie dagegen nur Kunden im eigenen Land und richten sich nie an Europa, sind Sie außen vor. Und eine Website, die ein Europäer zufällig besuchen kann, ändert daran allein nichts.

Ihr eigenes Land hat inzwischen vermutlich ein eigenes Gesetz, und die ähneln sich alle. Das ägyptische Gesetz 151 von 2020 verlangt Einwilligung, Sorgfalt und eine namentlich verantwortliche Person. Saudi-Arabien und die Emirate haben ihre Fassung, die Türkei seit 2016. Der Wortlaut unterscheidet sich, doch die verlangten Gewohnheiten bleiben dieselben. Weniger sammeln, kürzer aufbewahren, richtig wegschließen und sagen können, wer hineinsehen darf.

In der Praxis ist das eher eine Bau- als eine Rechtsfrage. Wenn Linkysoft eine Webanwendung beginnt, fragen wir, welche Felder der Betrieb wirklich braucht, denn ein Feld, das Sie nie erheben, kann auch nie nach außen gelangen. Der Teil, der später weh tut, ist das vollständige Löschen eines Kunden aus jeder Tabelle, jedem Bericht und jeder Sicherung. Linkysoft nimmt das und die 72-Stunden-Regel deshalb in den Plan für IT-Sicherheit auf und nicht in den Papierkram am Ende.