Die DSGVO regelt, wann Unternehmen personenbezogene Daten verarbeiten dürfen und welche Rechte betroffene Personen haben. Personenbezogen sind alle Daten, die sich einer Person zuordnen lassen, etwa Namen, E-Mail-Adressen oder Chatnachrichten.
Für die Nutzung von Software sind drei Regeln besonders wichtig:
Art. 28 verlangt einen Auftragsverarbeitungsvertrag, wenn ein Dienstleister Daten in Ihrem Auftrag verarbeitet.
Art. 32 verlangt angemessene technische und organisatorische Sicherheitsmaßnahmen.
Art. 44 ff. regeln Übermittlungen in Drittländer wie die USA, etwa über das EU-US Data Privacy Framework.
In Deutschland ergänzt das Bundesdatenschutzgesetz die Verordnung. Die Aufsicht liegt bei den Datenschutzbehörden der Länder und des Bundes, die sich in der Datenschutzkonferenz abstimmen.
Verstöße können Bußgelder nach sich ziehen. Bei Verstößen gegen die Pflichten aus Art. 28 reicht der Rahmen laut Datenschutzkonferenz bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.