Die DSGVO ist nur bei der Verarbeitung von personenbezogenen Daten anzuwenden. Gemäß Art. 4 Nr. 1 DS-DVO sind "personenbezogene Daten" alle jene Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Identifizierbar ist, wer direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung (Name, Kennnummer, Standortdaten etc.), identifiziert werden kann. Der Anwendungsbereich stützt sich dabei auf Art. 2 Abs. 1 DSGVO: Der Bezug liegt auf der ganz oder teilweise automatisierten Verarbeitung personenbezogener Daten sowie auf der nichtautomatisierten Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

Hier ist es ausreichend, dass jegliche Verarbeitungstätigkeiten zu einer Tätigkeit in einer EU- Niederlassung des Verantwortlichen gehören. Das Verarbeiten selbst muss dabei nicht in der EU stattfinden. Es gilt jedoch: Wer die europäische Union als Markt benutzt, muss sich auch an die europaweiten Datenschutzregelungen halten.

Es wird durch die Verordnung sichergestellt, dass in allen Mitgliedsstaaten nicht mehr unterschiedliche Vorgaben gelten. So war der Umgang mit Cookies bisher innerhalb Europas sehr unterschiedlich geregelt. Wie auch die DSGVO und das BDSG-neu, sieht die EPVO Neuregelungen zum Schutz der Verbraucher und ihrer Daten im Netz vor.

Die Regeln mit Cookies werden vereinfacht und die Datensicherheit für Kommunikationsdienste werden ausgeweitet. Das Vertrauen in elektronische Kommunikationsmittel sollen verbessert und weiterhin sichergestellt werden. Des Weiteren soll der Umgang mit personenbezogenen Daten im Online-Bereich geregelt werden.

Im Vergleich zu der DSGVO müssen die von der EPVO erfassten und ausgetauschten Daten keinen Personenbezug haben. Der EU-Gesetzgebung geht es dabei vor allem um die Online-Briefgeheimnisse für WhatsApp und andere Messenger-Dienste. Wenn eine elektronische Kommunikation im Netz personenbezogene Daten enthält, dann steht die EPVO sogar noch über der neuen DSGVO.

Die neue Verordnung setzt dabei noch viel stärker auf die Einwilligung des Nutzers als die DSGVO. Dies soll besonders die Rechte der User stärken, stößt aber auch auf rechtliche und wirtschaftliche Unsicherheiten.

Das Unternehmen oder der Verein muss einen Datenschutzbeauftragten vereinbaren. Dieser kann intern oder extern erfolgen. Die Aufgabe des Datenschutzbeauftragten ist dabei, die Unternehmensleitung oder den Vereinsvorstand bei Fragen des Datenschutzes fachlich zu unterstützen. Die Verantwortung dafür, dass der Datenschutz eingehalten wird, bleibt jedoch beim Verantwortlichen selbst.

Die einschlägigen gesetzlichen Regelungen sind dabei Art. 37 Abs. 1 DS-GVO und §38 BDSG-neu. Dieser beschäftigt sich mit der Frage, ob im konkreten Fall ein Datenschutzbeauftragter bestellt werden muss. Hilfreich kann hier eine für Ihr Unternehmen erarbeitete Checkliste sein, welche Schritt für Schritt prüft, ob ein Datenschutzbeauftragter hinzugezogen werden soll.

Eine Auftragsverarbeitung liegt dann vor, wenn eine natürliche oder juristische Person (dies kann z.B. eine GmbH, KG oder AG sein) Behörde, Einrichtung oder andere Stelle, personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Dies bedeutet also, dass der Verantwortliche personenbezogene Daten an jemanden außerhalb des Unternehmens weitergibt oder einen Einblick auf die eigene Datenhaltung ermöglicht.

Dabei sind Rahmenbedingungen, wie eine klare Abgrenzung der Auftragsverarbeitung, eine Auswahl des Auftrag-Verarbeiters, vertragliche Regelungen, Kontrollrechte und das Ende des Auftragsverarbeitungsverhältnisses zu beachten.