RGPD (DSGVO) Compliance-Leitfaden für Unternehmen in Frankreich

Die Datenschutz-Grundverordnung (DSGVO), in Frankreich als RGPD bekannt, gilt seit 2018 — doch viele Unternehmen sind immer noch nicht vollständig konform. Bei Bußgeldern von bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes und einer CNIL, die die Durchsetzung verschärft, ist Compliance keine Option mehr.

Dieser praktische Leitfaden behandelt die wesentlichen Pflichten und aktuelle Änderungen, einschließlich der KI-Transparenzanforderungen 2025.

Warum die Risiken ernst zu nehmen sind

Verstoßart	Maximales Bußgeld
Technische Verstöße	10 Mio. EUR oder 2% des Umsatzes
Rechtsverstöße	20 Mio. EUR oder 4% des Umsatzes

Die CNIL hat seit Inkrafttreten der DSGVO über 400 Millionen Euro an Bußgeldern verhängt. KMU sind nicht ausgenommen — Strafen von 50.000 bis 500.000 EUR treffen regelmäßig Organisationen jeder Größe.

Die 7 Kernpflichten

1. Informierte Einwilligung

Die Einwilligung muss sein:

• Freiwillig — keine vorangekreuzten Kästchen
• Spezifisch — eine Einwilligung pro Zweck
• Informiert — klare Erklärung der Datennutzung
• Eindeutig — aktive Handlung des Nutzers erforderlich

2. Verarbeitungsverzeichnis

Pflicht für Organisationen mit über 250 Mitarbeitern, aber für alle empfohlen. Muss Zwecke, Datenkategorien, Empfänger, Aufbewahrungsfristen und Sicherheitsmaßnahmen enthalten.

3. Datenschutzbeauftragter (DPO)

Pflicht für öffentliche Stellen, Organisationen mit umfangreicher Datenverarbeitung und solche, die sensible Daten verarbeiten. Auch ohne Pflicht ist die Benennung eines DPO Best Practice.

4. Datenschutz-Folgenabschätzung (DPIA)

Erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte der Betroffenen darstellt. Beispiele: Videoüberwachung, Profiling, Verarbeitung von Gesundheitsdaten.

5. Meldung von Datenpannen

Bei einer Datenpanne:

• 72 Stunden zur Meldung an die CNIL
• Benachrichtigung der Betroffenen bei hohem Risiko
• Dokumentation jeder Panne, auch geringfügiger

6. Informationsrecht

Jede Person muss wissen, welche Daten erhoben werden, warum, wie lange sie gespeichert werden, wer Zugang hat und wie sie ihre Rechte ausüben kann (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit).

7. KI-Transparenz (Neu 2025)

Seit 2025 müssen Organisationen, die KI für automatisierte Entscheidungen nutzen, die Betroffenen informieren, die verwendete Logik erklären und Einsprüche ermöglichen.

Compliance-Dokumente sicher teilen

RGPD-Compliance-Dokumente enthalten sensible Informationen: Verarbeitungsverzeichnisse, Folgenabschätzungen, Prüfberichte, Korrespondenz mit Aufsichtsbehörden.

Das Versenden per normaler E-Mail schafft zusätzliche Risiken. LOCK.PUB ermöglicht die Erstellung passwortgeschützter Links mit automatischem Ablauf, um Dokumente sicher mit DPO, Anwalt oder CNIL zu teilen. Einfach den Link per WhatsApp senden — praktisch und sicher.

Kostenlose CNIL-Tools

Die CNIL bietet mehrere kostenlose Tools:

• PIA: Open-Source-Software zur Folgenabschätzung
• Verarbeitungsverzeichnis-Vorlage (auf cnil.fr downloadbar)
• Auftragsverarbeiter-Leitfaden (Pflichten der Dienstleister)
• Branchenspezifische Rahmenwerke (Gesundheit, HR, Kunden)

RGPD-Compliance-Checkliste

• Aktuelles Verarbeitungsverzeichnis
• Veröffentlichte Datenschutzerklärung
• Konformes Cookie-Banner
• Dokumentierte Einwilligungsprozesse
• DPO bestellt (falls erforderlich)
• Verfahren zur Meldung von Datenpannen
• Verträge mit Auftragsverarbeitern mit DSGVO-Klauseln
• Mitarbeiterschulung
• DPIA für risikoreiche Verarbeitungen
• Prozess zur Beantwortung von Betroffenenrechten

Häufige Fehler

1. Einwilligung und berechtigtes Interesse verwechseln — das sind zwei verschiedene Rechtsgrundlagen
2. Daten zu lange aufbewahren — Daten „für alle Fälle" zu speichern ist rechtswidrig
3. Auftragsverarbeiter vergessen — Sie sind für Ihre Dienstleister verantwortlich
4. Sicherheit vernachlässigen — die DSGVO verlangt angemessene technische Maßnahmen
5. Betroffenenrechte ignorieren — Sie haben 1 Monat zur Antwort

Fazit

RGPD-Compliance ist ein kontinuierlicher Prozess, kein einmaliges Projekt. Die Regeln entwickeln sich weiter, die CNIL verschärft die Durchsetzung, und die Datenschutzerwartungen der Bürger steigen.

Beginnen Sie mit den Grundlagen — Verzeichnis, Transparenz, Sicherheit — und bauen Sie darauf auf. Wenn Sie sensible Compliance-Dokumente teilen müssen, nutzen Sie LOCK.PUB für einen sicheren Austausch.

---

Datenschutz ist nicht nur eine gesetzliche Pflicht. Es ist ein Versprechen an Ihre Kunden und Mitarbeiter.