Fokusthema · PRV
Datenschutzrisiken, gemessen an der tatsächlichen Durchsetzung
Datenschutzrecht ähnelt sich auf dem Papier in vielen Ländern und unterscheidet sich in der Praxis erheblich. Wir zeigen, welche Behörden durchsetzen, was sie sanktionieren und wo Ihre Datenflüsse auf die strengsten Regime treffen.
Gleiche Regeln, unterschiedliche Durchsetzung
Datenschutzrisiken werden von drei Faktoren bestimmt: dem Rechtsrahmen, der Durchsetzungsbereitschaft der Behörde und Ihrer Verarbeitung. Die DSGVO setzt einen einheitlichen Standard in der EU, doch Bußgeldhöhe und Schwerpunkte unterscheiden sich von Behörde zu Behörde stark. Außerhalb der EU reicht die Spanne von DSGVO-ähnlichen Gesetzen bis zu Lokalisierungspflichten und staatlichen Zugriffsrechten.
Dieses Fokusthema betrifft rechtliche und regulatorische Compliance-Risiken. Informationssicherheit und Cyberrisiken gehören nicht zu unserem Leistungsumfang.
Rechtsrahmen, die wir abbilden
Wir bilden die Regime ab, die für Ihre Präsenz gelten. Typische Bezugspunkte:
- DSGVO
- Verordnung (EU) 2016/679 mit Geldbußen bis zu 4 % des weltweiten Jahresumsatzes (Art. 83), durchgesetzt von den nationalen Aufsichtsbehörden und koordiniert durch den Europäischen Datenschutzausschuss.
- Deutschland: BDSG und Landesbehörden
- Das Bundesdatenschutzgesetz und die Aufsichtsbehörden der Länder, mit Beschäftigtendaten als wiederkehrendem Schwerpunkt.
- Internationale Datenübermittlungen
- Kapitel V DSGVO: Angemessenheitsbeschlüsse einschließlich des EU-US Data Privacy Framework, Standardvertragsklauseln und Transfer Impact Assessments.
- Nationale Datenschutzgesetze
- Zum Beispiel das brasilianische LGPD, das chinesische PIPL, der indische DPDP Act und US-Bundesstaatengesetze wie der CCPA – abgebildet für jedes Land im Scope.
- Datenlokalisierung und staatlicher Zugriff
- Pflichten zur lokalen Speicherung oder zur Gewährung behördlichen Zugriffs, die mit Pflichten aus der DSGVO kollidieren können.
Dies ist eine Risikoanalyse, keine Rechtsberatung. Wirft ein Befund eine Rechtsfrage auf, benennen wir sie, und Sie klären sie mit Ihrer Rechtsberatung.
Was wir betrachten
Externe Analyse
Ihre Exposition, wie sie von außen sichtbar ist.
- Durchsetzungspraxis und Bußgeldniveau der Datenschutzbehörde in jedem Land
- Datenschutzfälle in Ihrer Branche und bei Ihren direkten Wettbewerbern
- Übermittlungsregime und Angemessenheitsstatus je Land
- Lokalisierungspflichten und staatliche Zugriffsrechte
Interne Analyse (unter NDA)
Ihre Exposition, wie sie Ihre eigenen Daten zeigen.
- Kategorien personenbezogener Daten und Verarbeitungen je Land
- Grenzüberschreitende Datenflüsse und genutzte Übermittlungsinstrumente
- Interne Vorfälle, Beschwerden und Behördenanfragen
- Beschäftigtenüberwachung und die Nutzung personenbezogener Daten in Untersuchungen und Hinweisgebersystemen
Sieben Fokusthemen – abgeglichen mit jeder Quelle, die wir auswerten.
| Modul 1 · Externe Analyse | Modul 2 · Interne Analyse (NDA) | ||||||||
|---|---|---|---|---|---|---|---|---|---|
| Fokusthema | Recht & Regulierung | Enforcement-Praxis | Branchenfälle | Fälle bei Wettbewerbern | Indikatoren | Interne Fälle | Geschäftspartner | Sponsoring, Spenden, Mitgliedschaften | Geschenke & Bewirtung |
| ABCKorruption & Bestechung | Kernquelle | Kernquelle | Kernquelle | Kernquelle | Kernquelle | Kernquelle | Kernquelle | Kernquelle | Kernquelle |
| AMLGeldwäsche | Kernquelle | Kernquelle | Kernquelle | Kernquelle | Kernquelle | Kernquelle | Kernquelle | Wo relevant | Nicht genutzt |
| ATRKartellrecht & Wettbewerb | Kernquelle | Kernquelle | Kernquelle | Kernquelle | Wo relevant | Kernquelle | Wo relevant | Kernquelle | Wo relevant |
| FRDBetrug | Kernquelle | Kernquelle | Kernquelle | Kernquelle | Wo relevant | Kernquelle | Kernquelle | Wo relevant | Wo relevant |
| PRVDatenschutz | Kernquelle | Kernquelle | Kernquelle | Kernquelle | Wo relevant | Kernquelle | Wo relevant | Nicht genutzt | Nicht genutzt |
| EXCExportkontrolle & Sanktionen | Kernquelle | Kernquelle | Kernquelle | Kernquelle | Wo relevant | Kernquelle | Kernquelle | Nicht genutzt | Nicht genutzt |
| HRTMenschenrechte | Kernquelle | Kernquelle | Kernquelle | Kernquelle | Wo relevant | Kernquelle | Kernquelle | Wo relevant | Nicht genutzt |
Hervorgehobene Zeile: PRV · Datenschutz
Typische Warnsignale
- Übermittlungen in Länder ohne Angemessenheitsbeschluss und ohne dokumentierte Transferprüfung
- Beschäftigtenüberwachung oder Hintergrundprüfungen in Ländern mit strengem Beschäftigtendatenschutz
- Marketing auf Basis gekaufter oder angereicherter Kontaktdaten
- Gesundheits-, Finanz- oder Kinderdaten in Kernprozessen
- Behörden mit einer Bilanz hoher Bußgelder in Ihrer Branche
- Lokalisierungspflichten in Märkten, in denen Sie zentrale Systeme betreiben
Quellen
- Entscheidungen und Bußgelder der Datenschutzbehörden und des EDSA
- Urteile, einschließlich des Gerichtshofs der Europäischen Union
- Bußgeld-Tracker Dritter, gegen die Veröffentlichung der Behörde selbst geprüft
- Gesetzestexte und behördliche Leitlinien je Land
- Kein Einzelindex: Es gibt kein belastbares Sammelmaß für die Datenschutzdurchsetzung, deshalb werten wir die Verfahren direkt aus
Jeder Befund im Bericht ist mit Quelle und Datum belegt.
Typischerweise exponierte Branchen
Die Exposition ist tendenziell höher, wo die Verarbeitung sensibler oder umfangreicher personenbezogener Daten zum Kerngeschäft gehört: Gesundheitswesen, Finanzdienstleistungen und Versicherungen, Telekommunikation, Technologieplattformen, Handel und Medien.
Eine Tendenz, keine Bewertung. Ihre tatsächliche Exposition hängt von Geschäftsmodell, Kundenstruktur und Präsenz ab.
In Ihrem Ergebnis
- PDF: Kapitel Datenschutz mit Regimeübersicht, Durchsetzungsbild je Behörde, Branchen- und Wettbewerberfällen, Warnsignalen und empfohlenen Maßnahmen
- Heatmap-Zeile je Land × Branche mit Bewertung aus Wahrscheinlichkeit × Auswirkung
- XLSX: Fallregister (Behörde, Jahr, Unternehmen, Verstoß, Bußgeld, Quelle), Übersicht der Übermittlungsregime und Bewertungsblatt
- Mit dem internen Modul: Ihre Datenflüsse im Abgleich mit dem Durchsetzungsbild
Fragen zum Datenschutz
Bewerten Sie unsere IT-Sicherheit?
Nein. Cybersicherheit gehört nicht zu unserem Leistungsumfang. Wir betrachten die rechtliche und regulatorische Seite: welche Regeln gelten, wie sie durchgesetzt werden und wo Ihre Verarbeitung Exposition erzeugt.
Wie verhält sich die Analyse zur Arbeit unseres Datenschutzbeauftragten?
Sie ergänzt sie. Der oder die Datenschutzbeauftragte berät und überwacht; wir liefern eine externe, belegte Sicht auf das Durchsetzungsrisiko über Länder hinweg, die Datenschutz und Compliance gleichermaßen nutzen können.
Sehen Sie, wo Datenschutzbehörden Sie erreichen könnten.
Nennen Sie uns Länder, Branchen und Ihre wichtigsten Datenflüsse. Sie erhalten ein Scope-Angebot.