DSGVO

I. Einführung

Am 20. Juni 2018 verabschiedete Frankreich das Gesetz Nr. 2018-493 zum Schutz personenbezogener Daten, um die Datenschutz-Grundverordnung (DSGVO) umzusetzen. Dieses Gesetz überarbeitet und konsolidiert das Datenschutzgesetz von 1978.
Die Nationale Kommission für Informatik und Freiheiten (CNIL) ist als nationale Aufsichtsbehörde für die Überwachung, Orientierung und Anwendung der DSGVO und ihrer Durchführungsbestimmungen in Frankreich zuständig.
Somit hat Frankreich ein System zum Schutz personenbezogener Daten eingerichtet, das den Anforderungen der Europäischen Union entspricht.

II. Anwendungsbereich

Die in Frankreich geltenden Vorschriften zur Umsetzung der DSGVO gelten für:

jeden Verantwortlichen für die Verarbeitung oder Auftragsverarbeiter mit Sitz in Frankreich;

jede in Frankreich ansässige Organisation, die Waren oder Dienstleistungen an in Frankreich ansässige Personen anbietet oder deren Verhalten auf französischem Hoheitsgebiet überwacht.

Unabhängig vom Ort der Verarbeitung gilt das Gesetz, sobald es personenbezogene Daten von in Frankreich ansässigen Personen betrifft.
Es umfasst sowohl automatisierte als auch nicht automatisierte Verarbeitungen, die Teil eines Klassifizierungssystems sind.
Aktivitäten ausschließlich persönlicher oder privater Natur fallen nicht in seinen Anwendungsbereich.

III. Grundsätze der Datenverarbeitung

Rechtmäßigkeit, Treu und Glauben und Transparenz: Jede Verarbeitung muss auf einer klaren Rechtsgrundlage beruhen und transparent erfolgen.

Zweckbindung: Daten dürfen nur für festgelegte und rechtmäßige Zwecke verwendet werden.

Datenminimierung: Es dürfen nur die unbedingt erforderlichen Daten erhoben werden.

Richtigkeit: Die Daten müssen korrekt sein und regelmäßig aktualisiert werden.

Speicherbegrenzung: Daten dürfen nur für den unbedingt erforderlichen Zeitraum gespeichert und anschließend gelöscht oder anonymisiert werden.

Sicherheit und Vertraulichkeit: Es müssen geeignete technische und organisatorische Maßnahmen ergriffen werden, um Datenverletzungen, Datenänderungen oder Datenverluste zu verhindern.

IV. Rechte der betroffenen Personen

Gemäß der DSGVO und dem französischen Recht haben natürliche Personen folgende Rechte:

Recht auf Information und Auskunft;

Recht auf Berichtigung;

Recht auf Löschung (Recht auf Vergessenwerden);

Recht auf Einschränkung der Verarbeitung;

Recht auf Datenübertragbarkeit;

Widerspruchsrecht.

Bei Minderjährigen unter 15 Jahren erfordert die Verarbeitung ihrer Daten die Einwilligung eines Elternteils oder gesetzlichen Vormunds, und die Informationen müssen ihnen in einer klaren und verständlichen Sprache bereitgestellt werden.

V. Pflichten des Auftragsverarbeiters

Auftragsverarbeiter müssen:

die schriftlichen Anweisungen des Verantwortlichen für die Verarbeitung strikt befolgen;

angemessene Sicherheitsmaßnahmen umsetzen;

den Verantwortlichen für die Verarbeitung bei der Erfüllung seiner Pflichten unterstützen, insbesondere bei der Beantwortung von Anfragen betroffener Personen;

den Verantwortlichen für die Verarbeitung unverzüglich über eine Datenverletzung benachrichtigen, der wiederum die CNIL innerhalb von 72 Stunden informieren muss.

Verantwortliche für die Verarbeitung müssen ein Verzeichnis der Verarbeitungstätigkeiten führen und bei hohem Risiko eine Datenschutz-Folgenabschätzung (DSFA) durchführen.
Einige Organisationen müssen außerdem einen Datenschutzbeauftragten (DSB) benennen und sich bei der CNIL registrieren.

VI. Internationale Datenübermittlung

Wenn eine Übermittlung in ein Land außerhalb der EU vorgesehen ist, muss der Verantwortliche für die Verarbeitung ein angemessenes Schutzniveau gewährleisten. Dies kann erfolgen durch:

eine Angemessenheitsentscheidung der Europäischen Kommission;

oder die Unterzeichnung von Standardvertragsklauseln (SCC).

Seit der Nichtigerklärung des „Privacy Shield“ am 16. Juli 2020 müssen französische Unternehmen die am 4. Juni 2021 verabschiedeten neuen Standardvertragsklauseln oder einen anderen rechtmäßigen Mechanismus verwenden.

VII. Kontrolle und Durchsetzung

Die CNIL verfügt über weitreichende Befugnisse, insbesondere:

Abmahnungen oder Mahnungen auszusprechen;

bestimmte Verarbeitungsvorgänge zu begrenzen oder zu untersagen;

Geldbußen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes zu verhängen, wobei der höhere Betrag gilt.

Das französische Gesetz ermöglicht es Einzelpersonen außerdem, Anweisungen für die Verwendung ihrer Daten nach ihrem Tod zu erteilen. Andernfalls muss die Verarbeitung den geltenden Vorschriften entsprechen.
Der französische Rahmen zur Umsetzung der DSGVO zielt darauf ab, die Rechte des Einzelnen zu gewährleisten, die Compliance von Unternehmen zu stärken und das Vertrauen in die digitale Umgebung zu fördern.