Compliance-Glossar

Die Regel im dänischen Arbeitszeitgesetz, wonach die durchschnittliche wöchentliche Arbeitszeit eines Beschäftigten einschließlich Überstunden 48 Stunden nicht überschreiten darf, gemessen über einen Bezugszeitraum von 4 Monaten. Die Regel stammt aus der EU-Arbeitszeitrichtlinie und gilt für nahezu alle Arbeitnehmer. Verstöße können einen Entschädigungsanspruch der Beschäftigten auslösen, und seit 2024 müssen Arbeitgeber die Einhaltung durch Arbeitszeiterfassung nachweisen können. Einzelne Tarifverträge erlauben unter besonderen Bedingungen eine höhere Grenze für ausgewählte Gruppen.

Die Frist in Artikel 33 der DSGVO zur Meldung einer Datenschutzverletzung an die Datenschutzbehörde: unverzüglich und möglichst binnen 72 Stunden, nachdem das Unternehmen von der Verletzung Kenntnis erlangt hat. Die Frist läuft auch an Wochenenden und Feiertagen weiter. Wird sie überschritten, muss die Verzögerung in der Meldung begründet werden. Liegen dem Unternehmen nicht alle Informationen innerhalb der Frist vor, kann die Meldung stufenweise erfolgen – entscheidend ist, das Bekannte fristgerecht zu melden.

Die mittlere Signaturstufe nach Artikel 26 der eIDAS-Verordnung. Eine fortgeschrittene elektronische Signatur muss eindeutig dem Unterzeichner zugeordnet sein, ihn identifizieren können, mit Mitteln erstellt worden sein, die der Unterzeichner unter seiner alleinigen Kontrolle hat, und so mit dem Dokument verbunden sein, dass jede nachträgliche Änderung erkennbar ist. In der Praxis werden die Anforderungen häufig erfüllt, indem eine Identifizierung (etwa mit MitID) mit einer kryptografischen Versiegelung des Dokuments kombiniert wird. Eine AES hat einen wesentlich höheren Beweiswert als eine einfache Signatur und ist die Standardwahl etwa für Arbeitsverträge und Auftragsverarbeitungsverträge.

Die formelle Zusammenarbeit zu Arbeitsschutzfragen zwischen Leitung und Beschäftigten, die in dänischen Unternehmen mit 10 oder mehr Mitarbeitenden gesetzlich vorgeschrieben ist. Die AMO besteht aus einer oder mehreren Arbeitsumweltgruppen mit einer gewählten Arbeitsumweltvertretung und einer benannten Führungskraft. Die Mitglieder müssen die verpflichtende dreitägige Arbeitsschutzschulung innerhalb von 3 Monaten nach ihrer Wahl absolvieren. In Unternehmen mit weniger als 10 Beschäftigten erfolgt die Arbeitsschutzarbeit stattdessen in direkter Zusammenarbeit zwischen Arbeitgeber und Belegschaft.

Ein plötzliches, mit der Arbeit verbundenes Ereignis, das zu einer Personenschädigung führt – zum Beispiel ein Sturz, eine Quetschverletzung oder eine akute Überlastung. Der Arbeitgeber muss den Unfall digital in EASY melden, wenn er über den Verletzungstag hinaus zu Abwesenheit führt, und die Meldung muss spätestens 14 Tage nach dem ersten Abwesenheitstag erfolgen. Unfälle, die einen Entschädigungsanspruch nach dem Arbeitsunfallgesetz begründen können, müssen ebenfalls gemeldet werden. Eine unterlassene Meldung kann mit einer Geldbuße geahndet werden, und Unfälle sollten stets mit vorbeugenden Maßnahmen in der Gefährdungsbeurteilung nachbereitet werden.

Seit dem 1. Juli 2024 müssen dänische Arbeitgeber über ein objektives, verlässliches und zugängliches System verfügen, das die tägliche Arbeitszeit jedes Beschäftigten erfasst. Die Pflicht folgt aus der Änderung des dänischen Arbeitszeitgesetzes zur Umsetzung der Rechtsprechung des Europäischen Gerichtshofs und soll die Kontrolle der 48-Stunden-Regel und der Ruhezeitregeln ermöglichen. Die Aufzeichnungen müssen 5 Jahre aufbewahrt werden, und die Beschäftigten müssen Zugang zu ihren eigenen Daten haben. Sogenannte Selbstorganisierende können ausgenommen werden, doch die Ausnahme ist eng gefasst und muss im Arbeitsvertrag angegeben sein.

Eine chronologische, unveränderliche Aufzeichnung von Ereignissen in einem System: wer was wann und von welcher Adresse aus getan hat. In einem Signaturprozess dokumentiert das Audit-Protokoll etwa, wann das Dokument versendet, geöffnet und unterzeichnet wurde und wie der Unterzeichner identifiziert wurde. Das Protokoll ist zentral für den Beweiswert elektronischer Signaturen und für den Nachweis der DSGVO-Einhaltung, etwa wer Zugang zu sensiblen Fällen hatte. Ein gutes Audit-Protokoll kann nachträglich nicht bearbeitet werden und wird getrennt von den Daten aufbewahrt, die es beschreibt.

Die Fristen, die ein Unternehmen dafür festlegt, wie lange verschiedene Arten personenbezogener Daten aufbewahrt werden, bevor sie gelöscht oder anonymisiert werden. Der Grundsatz der Speicherbegrenzung in der DSGVO verlangt, dass Daten nicht länger als für den Zweck erforderlich gespeichert werden. Die Fristen müssen dokumentiert werden – typischerweise im Verzeichnis nach Artikel 30 und einer Löschrichtlinie – und in der Praxis tatsächlich durchgesetzt werden. Manche Fristen ergeben sich aus anderen Gesetzen, etwa der Pflicht des dänischen Buchführungsgesetzes, Buchhaltungsunterlagen 5 Jahre aufzubewahren.

Ein Unternehmen oder eine Person, die personenbezogene Daten im Auftrag eines Verantwortlichen und nach dessen Weisung verarbeitet – etwa ein Cloud-Anbieter, ein Lohnbüro oder ein HR-System. Der Auftragsverarbeiter darf die Daten nicht für eigene Zwecke nutzen und muss die Anforderungen der DSGVO an Sicherheit und Vertraulichkeit erfüllen. Das Verhältnis muss in einem schriftlichen Auftragsverarbeitungsvertrag geregelt werden. Setzt der Auftragsverarbeiter selbst Subunternehmer (Unterauftragsverarbeiter) ein, bedarf dies der Zustimmung des Verantwortlichen.

Die schriftliche Vereinbarung, die Artikel 28 der DSGVO zwischen einem Verantwortlichen und einem Auftragsverarbeiter verlangt. Sie muss unter anderem Gegenstand und Dauer der Verarbeitung, die Art der Daten, die Pflichten des Auftragsverarbeiters, Sicherheitsanforderungen, Regeln für Unterauftragsverarbeiter sowie Unterstützung bei Datenschutzverletzungen und Auskunftsersuchen festlegen. Ohne gültigen AVV ist es rechtswidrig, einen Dienstleister personenbezogene Daten für das Unternehmen verarbeiten zu lassen. Die dänische Datenschutzbehörde hat eine Standardvorlage veröffentlicht, die viele KMU als Ausgangspunkt nutzen.

Eine Anfrage einer Person, zu erfahren, welche personenbezogenen Daten das Unternehmen über sie verarbeitet – ein Recht nach Artikel 15 der DSGVO. Das Unternehmen muss unter anderem Zwecke, Kategorien von Daten, Empfänger und Speicherdauer mitteilen und eine Kopie der Daten aushändigen. Die Antwort muss unverzüglich und spätestens einen Monat nach Eingang erfolgen; die Frist kann bei komplexen Anfragen um zwei Monate verlängert werden. Die Antwort ist für die betroffene Person grundsätzlich kostenlos.

Ein Ereignis, das zu einem Arbeitsunfall hätte führen können, bei dem aber niemand verletzt wurde – zum Beispiel ein Werkzeug, das neben einer Person zu Boden fällt, oder ein Ausrutscher, der gerade noch nicht zu einem Sturz führt. Beinaheunfälle müssen nicht bei den Behörden gemeldet werden, sind jedoch eines der wichtigsten Instrumente zur Prävention. Durch systematisches Erfassen und Auswerten kann ein Unternehmen Risiken beseitigen, bevor sie einen echten Unfall verursachen. Muster bei Beinaheunfällen sollten in die Gefährdungsbeurteilung einfließen.

Eine Rechtsgrundlage nach Artikel 6 Absatz 1 Buchstabe f der DSGVO, wonach ein Unternehmen gewöhnliche personenbezogene Daten verarbeiten darf, wenn seine berechtigten Interessen die Interessen und Rechte der betroffenen Person überwiegen. Die Grundlage erfordert eine dokumentierte Abwägung – eine sogenannte Interessenabwägungsprüfung – und dass die Verarbeitung für den Zweck erforderlich ist. Typische Beispiele sind Direktmarketing an Bestandskunden, IT-Sicherheit und interne Verwaltung. Die betroffene Person hat stets das Recht, der auf berechtigtem Interesse beruhenden Verarbeitung zu widersprechen.

Eine besondere Risikobewertung, die dänische Arbeitgeber erstellen müssen, wenn Beschäftigte mit gefährlichen chemischen Stoffen und Materialien arbeiten oder ihnen ausgesetzt sein können. Sie ersetzte 2019 die frühere Arbeitsplatz-Gebrauchsanweisung und muss unter anderem die Gefahren der Stoffe, die Exposition, vorbeugende Maßnahmen und Schulungsanforderungen beschreiben. Die Bewertung muss schriftlich vorliegen, aktuell gehalten werden, und die Beschäftigten müssen über die Ergebnisse unterrichtet werden. Die Sicherheitsdatenblätter der Lieferanten sind dabei eine wichtige Grundlage.

Ein Jahresplan, der die wiederkehrenden Compliance-Aufgaben eines Unternehmens über das Kalenderjahr verteilt, damit nichts vergessen wird oder sich häuft. Typische Punkte sind das jährliche Arbeitsumweltgespräch, die Nachverfolgung des Maßnahmenplans aus der Gefährdungsbeurteilung, die Überprüfung des Verzeichnisses nach Artikel 30 und der Aufbewahrungsfristen, das Testen der Reaktion auf Datenschutzverletzungen, die Überarbeitung von Auftragsverarbeitungsverträgen und die Aktualisierung des Personalhandbuchs. Der Jahresplan macht Compliance zu einer laufenden Routine mit klaren Verantwortlichen und Fristen statt zu einer jährlichen Feuerwehrübung. Er dient zudem als guter Nachweis gegenüber Aufsichtsbehörden, dass das Unternehmen systematisch arbeitet.

Die dänische Behörde, die überwacht, dass Unternehmen das Arbeitsumweltgesetz einhalten. Sie führt sowohl angekündigte als auch unangekündigte Kontrollbesuche durch und kann Anordnungen, Sofortanordnungen und Verbote erlassen sowie Geldbußen empfehlen. Bei Kontrollen fragt sie typischerweise nach der Gefährdungsbeurteilung, dem jährlichen Arbeitsumweltgespräch und der Dokumentation der Arbeitsumweltorganisation. Unternehmen mit geordneter schriftlicher Dokumentation kommen wesentlich leichter durch eine Kontrolle.

Die dänische Aufsichtsbehörde für den Datenschutz, die die Einhaltung der DSGVO und des dänischen Datenschutzgesetzes überwacht. Sie bearbeitet Beschwerden von Bürgerinnen und Bürgern, führt Kontrollen bei Unternehmen und Behörden durch, nimmt Meldungen von Datenschutzverletzungen entgegen und veröffentlicht Leitlinien und Vorlagen. Sie kann Kritik äußern, Anordnungen erlassen und Geldbußen empfehlen – in Dänemark werden DSGVO-Geldbußen grundsätzlich von den Gerichten nach einer Strafanzeige festgesetzt. Ihre Leitlinien sind ein guter Ausgangspunkt, wenn ein KMU seine DSGVO-Dokumentation aufbaut.

Das dänische Gesetz zur Umsetzung der EU-Whistleblower-Richtlinie (2019/1937), das seit Dezember 2021 in Kraft ist. Es verpflichtet private Unternehmen mit 50 oder mehr Beschäftigten sowie die meisten öffentlichen Arbeitgeber, ein internes Whistleblower-System einzurichten – die Pflicht gilt für Unternehmen mit 50–249 Beschäftigten seit dem 17. Dezember 2023. Das Gesetz schützt Hinweisgeber vor Repressalien und verlangt Vertraulichkeit, eine Empfangsbestätigung innerhalb von 7 Tagen und eine Rückmeldung innerhalb von 3 Monaten. Verstöße können Geldbußen und Schadensersatzpflicht nach sich ziehen.

Ein Sicherheitsvorfall, der zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zum unbefugten Zugang zu personenbezogenen Daten führt – etwa eine an den falschen Empfänger gesendete E-Mail, ein verlorener Laptop oder ein Hackerangriff. Eine Verletzung muss grundsätzlich innerhalb von 72 Stunden der Datenschutzbehörde gemeldet werden, es sei denn, sie birgt voraussichtlich kein Risiko für die betroffenen Personen. Bei hohem Risiko müssen auch die betroffenen Personen informiert werden. Jede Verletzung – auch nicht gemeldete – muss in einem internen Verzeichnis dokumentiert werden.

Eine Datenschutz-Folgenabschätzung, die Artikel 35 der DSGVO verlangt, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringt – etwa systematische Überwachung, umfangreiche Verarbeitung sensibler Daten oder neue Technologien wie Gesichtserkennung. Die Abschätzung muss die Verarbeitung beschreiben, Notwendigkeit und Verhältnismäßigkeit bewerten, Risiken erfassen und Abhilfemaßnahmen festlegen. Kann das Risiko nicht gesenkt werden, muss die Datenschutzbehörde vor Beginn der Verarbeitung konsultiert werden. Die dänische Datenschutzbehörde hat eine Liste von Verarbeitungen veröffentlicht, die stets eine DPIA erfordern.

Die Übermittlung personenbezogener Daten in Länder außerhalb der EU/des EWR – etwa wenn ein Unternehmen einen US-amerikanischen Cloud-Dienst nutzt. Die Übermittlung erfordert eine gültige Übermittlungsgrundlage nach Kapitel V der DSGVO: einen Angemessenheitsbeschluss der EU-Kommission (wie das EU-US Data Privacy Framework), Standardvertragsklauseln (SCC) oder verbindliche interne Datenschutzvorschriften. Nach dem Schrems-II-Urteil muss das Unternehmen zudem beurteilen, ob das Schutzniveau im Empfängerland tatsächlich ausreichend ist. Drittlandübermittlungen müssen im Verzeichnis nach Artikel 30 und in der Datenschutzerklärung angegeben werden.

Die EU-Verordnung zum Schutz personenbezogener Daten, die seit dem 25. Mai 2018 gilt und in Dänemark durch das dänische Datenschutzgesetz ergänzt wird. Die DSGVO stellt Anforderungen daran, wie Unternehmen personenbezogene Daten erheben, nutzen, speichern und löschen, und gibt den betroffenen Personen eine Reihe von Rechten. Unternehmen müssen ihre Einhaltung nachweisen können – das sogenannte Rechenschaftsprinzip. Verstöße können mit Geldbußen von bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden.

Das digitale System, über das dänische Arbeitgeber Arbeitsunfälle bei der Arbeitsschutzbehörde und der Arbeitsmarkt-Unfallversicherung melden müssen. EASY wird über Virk.dk mit dem MitID Erhverv des Unternehmens aufgerufen, und eine einzige Meldung wird automatisch an die zuständigen Behörden und gegebenenfalls den Versicherer weitergeleitet. Die Meldung über EASY ist verpflichtend – Papierformulare werden nicht akzeptiert. Es empfiehlt sich, die Fakten des Unfalls sofort intern zu erfassen, damit die EASY-Meldung fristgerecht korrekt ausgefüllt werden kann.

Die EU-Verordnung über elektronische Identifizierung und Vertrauensdienste (910/2014), die einheitliche Regeln für elektronische Signaturen, Siegel und Zeitstempel in der gesamten EU schafft. eIDAS definiert drei Stufen elektronischer Signaturen – einfach (SES), fortgeschritten (AES) und qualifiziert (QES) – und legt fest, dass einer Signatur die Rechtswirkung als Beweismittel nicht allein deshalb abgesprochen werden darf, weil sie elektronisch ist. Die Verordnung wurde durch eIDAS 2.0 aktualisiert, die unter anderem eine europäische digitale Identitäts-Wallet einführt. Für KMU bedeutet eIDAS, dass Dokumente wie Arbeitsverträge gültig digital unterzeichnet werden können.

Eine der sechs Rechtsgrundlagen der DSGVO für die Verarbeitung personenbezogener Daten. Eine gültige Einwilligung muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben werden – durch eine aktive Handlung, etwa das Ankreuzen eines nicht vorausgefüllten Kästchens. Die betroffene Person kann die Einwilligung jederzeit widerrufen, und dies muss ebenso leicht sein wie die Erteilung. Das Unternehmen muss nachweisen können, dass die Einwilligung ordnungsgemäß eingeholt wurde, und im Beschäftigungsverhältnis eignet sich Einwilligung selten, weil das Machtgefälle die Freiwilligkeit fraglich macht.

Eine gesetzlich vorgeschriebene Beurteilung des Arbeitsumfelds, die jeder dänische Arbeitgeber mit Beschäftigten mindestens alle 3 Jahre durchführen muss – und immer dann, wenn sich die Arbeit wesentlich ändert. Sie besteht aus vier Schritten: Kartierung des Arbeitsumfelds, Bewertung der Probleme, ein schriftlicher Maßnahmenplan und die Nachverfolgung. Die Pflicht ergibt sich aus §15a des dänischen Arbeitsumweltgesetzes, und die Arbeitsschutzbehörde kann sie bei Kontrollen einsehen wollen. Die Methode ist frei wählbar, doch das Ergebnis muss schriftlich vorliegen und den Beschäftigten zugänglich sein.

Der internationale Standard für Managementsysteme für Informationssicherheit (ISMS). Der Standard verlangt, dass eine Organisation ihre Informationssicherheitsrisiken systematisch identifiziert und durch Richtlinien, Kontrollen und kontinuierliche Verbesserung steuert; der Kontrollkatalog findet sich in Anhang A und wird in ISO 27002 vertieft. Die Zertifizierung erfolgt durch eine akkreditierte Zertifizierungsstelle und ist freiwillig, wird aber zunehmend von Kunden und in Ausschreibungen gefordert. Für KMU ist eine volle Zertifizierung nach ISO 27001 oft überdimensioniert, doch die Prinzipien – Risikobewertung, Zugriffskontrolle, Protokollierung und Notfallvorsorge – sind ein gutes Vorbild für die Sicherheitsarbeit.

Ein gesetzlich vorgeschriebenes Treffen, das jeder dänische Arbeitgeber mit Beschäftigten mindestens einmal im Jahr abhalten muss, bei dem Leitung und Beschäftigte den Stand des Arbeitsumfelds besprechen. Das Gespräch muss auf das vergangene Jahr zurückblicken, Ziele und Maßnahmen für das kommende Jahr festlegen und bewerten, ob die Zusammenarbeit beim Arbeitsschutz funktioniert. Unternehmen ohne formelle Arbeitsumweltorganisation müssen der Arbeitsschutzbehörde schriftlich dokumentieren können, dass das Gespräch stattgefunden hat. Es knüpft naturgemäß an die Nachverfolgung der Gefährdungsbeurteilung an.

Der schriftliche Plan innerhalb der Gefährdungsbeurteilung, der beschreibt, wie das Unternehmen die durch die Kartierung aufgedeckten Arbeitsschutzprobleme lösen wird. Für jedes Problem muss der Plan angeben, was zu tun ist, wer verantwortlich ist und bis wann es gelöst sein muss. Der Maßnahmenplan ist gesetzlich vorgeschrieben – eine Gefährdungsbeurteilung ohne Maßnahmenplan ist nicht vollständig. Zudem muss nachverfolgt werden, damit das Unternehmen dokumentieren kann, dass die Maßnahmen tatsächlich umgesetzt wurden und wirken.

Dänemarks nationale digitale Identität, die NemID abgelöst hat und für die Anmeldung bei Behörden, Banken und privaten Diensten genutzt wird. MitID ist nach eIDAS notifiziert und kann zur Identifizierung des Unterzeichners in einem elektronischen Signaturprozess verwendet werden, wodurch die Signatur auf das fortgeschrittene Niveau (AES) angehoben wird. Unternehmen nutzen MitID Erhverv, um im Namen des Unternehmens zu handeln, etwa in EASY und auf Virk.dk. Beim Unterzeichnen von Dokumenten dokumentiert eine MitID-Anmeldung mit hoher Sicherheit, wer tatsächlich unterschrieben hat.

Die EU-Richtlinie zur Cybersicherheit (2022/2555), die die Sicherheitsanforderungen an Netz- und Informationssysteme für wesentliche und wichtige Einrichtungen in einer Vielzahl von Sektoren verschärft – etwa Energie, Verkehr, Gesundheit, digitale Infrastruktur und Lebensmittel. Betroffene Unternehmen müssen Risikomanagement einführen, die Sicherheit der Lieferkette adressieren und erhebliche Vorfälle den Behörden melden; bei Nichteinhaltung drohen erhebliche Geldbußen, und die Geschäftsleitung kann persönlich haftbar gemacht werden. NIS2 gilt typischerweise für mittlere und große Unternehmen in den erfassten Sektoren, betrifft aber auch kleinere Zulieferer indirekt über die Anforderungen ihrer Kunden. In Dänemark wurde die Richtlinie mit Wirkung zum 1. Juli 2025 durch Gesetz umgesetzt.

Die Dokumente, die eine neue Mitarbeiterin oder ein neuer Mitarbeiter bei Beginn des Beschäftigungsverhältnisses erhalten und unterschreiben muss. Am wichtigsten ist der Arbeitsvertrag: Nach dem dänischen Nachweisgesetz von 2023 müssen die wesentlichen Bedingungen spätestens 7 Kalendertage nach dem ersten Arbeitstag schriftlich vorliegen, der Rest innerhalb eines Monats. Hinzu kommen typischerweise eine Verschwiegenheitserklärung, IT- und Datenschutzrichtlinie, Ausgabe von Arbeitsmitteln, Bestätigung des Personalhandbuchs sowie die DSGVO-Informationspflicht zur Verarbeitung von Beschäftigtendaten. Eine digitale Unterschrift mit Audit-Protokoll macht es leicht zu beweisen, dass alles fristgerecht ausgehändigt und akzeptiert wurde.

Die gesammelte Beschreibung eines Unternehmens zu Regeln, Richtlinien und praktischen Angelegenheiten für Beschäftigte – etwa Arbeitszeit, Krankmeldung, Urlaub, IT- und Datenschutzrichtlinie, Suchtmittelrichtlinie und Leitlinien gegen kränkendes Verhalten. Das Handbuch ist gesetzlich nicht vorgeschrieben, bündelt jedoch Dokumentation, die andere Vorschriften verlangen, und schafft Klarheit darüber, was gilt. Bestimmungen im Handbuch können arbeitsrechtliche Wirkung entfalten, weshalb wesentliche Änderungen ordnungsgemäß angekündigt werden müssen. Bewährte Praxis ist es, Beschäftigte digital bestätigen zu lassen, dass sie die geltende Fassung gelesen haben.

Der Teil der Gefährdungsbeurteilung, der das psychosoziale Arbeitsumfeld betrifft: Arbeitsbelastung, unklare Anforderungen, Mobbing, Belästigung, Gewalt und kränkendes Verhalten. Es handelt sich nicht um eine freiwillige Ergänzung – psychosoziale Faktoren müssen stets gleichberechtigt mit den physischen Risiken in die Gefährdungsbeurteilung einfließen. Die Regeln wurden 2020 in der dänischen Verordnung über das psychosoziale Arbeitsumfeld präzisiert. Viele Unternehmen erfassen sie über anonyme Fragebögen, damit die Beschäftigten sich trauen, ehrlich zu antworten.

Die höchste Signaturstufe nach eIDAS: eine fortgeschrittene elektronische Signatur, die mit einer qualifizierten Signaturerstellungseinheit erstellt wurde und auf einem qualifizierten Zertifikat eines zugelassenen Vertrauensdiensteanbieters beruht. Eine QES hat in der gesamten EU die gleiche Rechtswirkung wie eine handschriftliche Unterschrift und wird über die Mitgliedstaaten hinweg anerkannt. Sie ist nur in besonderen Fällen erforderlich, in denen das Gesetz Formvorschriften vorsieht – für gewöhnliche Geschäftsvereinbarungen genügt in der Regel eine AES oder SES. Dafür kehrt sich die Beweislast praktisch um: Bei einer QES muss diejenige Partei, die die Signatur bestreitet, beweisen, dass sie nicht echt ist.

Die Rechte, die die DSGVO Personen einräumt, deren Daten verarbeitet werden: Recht auf Information, Auskunft, Berichtigung, Löschung (Recht auf Vergessenwerden), Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch – sowie Schutz vor rein automatisierten Entscheidungen mit erheblicher Wirkung. Das Unternehmen muss über Verfahren verfügen, damit Anfragen innerhalb eines Monats beantwortet werden. Die Rechte sind nicht absolut; eine Löschung kann etwa abgelehnt werden, wenn die Daten nach dem Buchführungsrecht aufbewahrt werden müssen. Die mangelhafte Bearbeitung dieser Rechte gehört zu den häufigsten Beschwerdegründen bei Datenschutzbehörden.

Jede nachteilige Behandlung einer hinweisgebenden Person infolge einer Meldung – zum Beispiel Kündigung, Degradierung, Belästigung, schlechtere Aufgaben oder Ausschluss von Beförderungen. Das Whistleblower-Gesetz verbietet Repressalien, und auch Drohungen mit sowie Versuche von Repressalien sind unzulässig. Wird eine hinweisgebende Person dennoch Repressalien ausgesetzt, hat sie Anspruch auf Entschädigung, und die Beweislast kann sich umkehren, sodass der Arbeitgeber nachweisen muss, dass die Behandlung nicht auf der Meldung beruhte. Der Schutz gilt, wenn die hinweisgebende Person in gutem Glauben von der Richtigkeit der Informationen ausging.

Die Standardverträge der EU-Kommission, die Unternehmen als Übermittlungsgrundlage nutzen können, wenn personenbezogene Daten ohne Angemessenheitsbeschluss in Länder außerhalb der EU/des EWR gesendet werden. Die geltenden SCC von 2021 gliedern sich in Module, die verschiedene Konstellationen von Verantwortlichen und Auftragsverarbeitern abdecken. Die Klauseln müssen unverändert unterzeichnet werden und sind nach Schrems II durch eine Bewertung der Rechtslage im Empfängerland sowie gegebenenfalls zusätzliche Sicherheitsmaßnahmen wie Verschlüsselung zu ergänzen. In der Praxis sind SCC die für KMU am häufigsten genutzte Übermittlungsgrundlage.

Die besonderen Kategorien personenbezogener Daten nach Artikel 9 der DSGVO: rassische und ethnische Herkunft, politische, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische und biometrische Daten, Gesundheitsdaten sowie Daten zum Sexualleben oder zur sexuellen Orientierung. Die Verarbeitung ist grundsätzlich verboten und erfordert eine besondere Ausnahme, etwa eine ausdrückliche Einwilligung oder Erforderlichkeit nach Arbeitsrecht. Sensible Daten erfordern erhöhte Sicherheit, und nach dänischem Recht unterliegen Personenkennziffern und Angaben zu Vorstrafen eigenen, besonderen Regeln. Viele HR- und Whistleblower-Fälle enthalten sensible Daten und müssen daher besonders geschützt werden.

Die grundlegende Signaturstufe nach eIDAS: Daten in elektronischer Form, die mit anderen elektronischen Daten verknüpft sind und vom Unterzeichner zum Unterschreiben verwendet werden – etwa ein unter eine E-Mail getippter Name, ein eingescanntes Bild einer Unterschrift oder ein Klick auf eine Bestätigungsschaltfläche. Eine SES ist für die meisten Vereinbarungen in Dänemark, wo Formfreiheit gilt, rechtlich gültig. Ihr Beweiswert hängt jedoch davon ab, wie gut dokumentiert werden kann, wer unterzeichnet hat und dass das Dokument unverändert ist. Deshalb wird eine SES durch ein Audit-Protokoll und einen kryptografischen Hash des Dokuments erheblich gestärkt.

Ein kryptografischer Fingerabdruck eines Dokuments, berechnet mit einer Hash-Funktion wie SHA-256. Schon die kleinste Änderung am Dokument – ein einzelnes Zeichen – ergibt einen völlig anderen Hash-Wert, und es ist praktisch unmöglich, ein anderes Dokument mit demselben Hash zu erzeugen. Bei einer elektronischen Signatur wird der Hash des Dokuments gespeichert, damit später bewiesen werden kann, dass das unterzeichnete Dokument nicht verändert wurde. Der Hash verrät nichts über den Inhalt des Dokuments und kann daher als Integritätsnachweis frei geteilt werden.

Das Unternehmen, die Behörde oder die Person, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Der Verantwortliche trägt die Hauptverantwortung für die DSGVO-Einhaltung: Rechtsgrundlage, Informationspflichten, Sicherheit, Dokumentation und die Rechte der betroffenen Personen. Ein Arbeitgeber ist beispielsweise Verantwortlicher für die Personaldaten seiner Beschäftigten. Nutzt der Verantwortliche Dienstleister zur Verarbeitung, müssen mit diesen Auftragsverarbeitungsverträge geschlossen werden.

Das Verzeichnis von Verarbeitungstätigkeiten, das Artikel 30 der DSGVO von Verantwortlichen und Auftragsverarbeitern verlangt. Es muss unter anderem die Zwecke der Verarbeitung, Kategorien betroffener Personen und Daten, Empfänger, etwaige Drittlandübermittlungen, Löschfristen und Sicherheitsmaßnahmen beschreiben. Es muss schriftlich vorliegen, aktuell gehalten werden und der Datenschutzbehörde auf Verlangen zur Verfügung gestellt werden können. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten ist eng gefasst, sodass in der Praxis nahezu jedes Unternehmen ein Verzeichnis führen sollte.

Ein interner Kanal, über den Beschäftigte und andere Personen mit arbeitsbezogenem Bezug vertraulich Gesetzesverstöße und schwerwiegende Sachverhalte melden können – etwa Betrug, Bestechung, DSGVO-Verstöße oder sexuelle Belästigung. Das System muss über eine unparteiische Whistleblower-Stelle verfügen, die den Eingang innerhalb von 7 Tagen bestätigt und innerhalb von 3 Monaten Rückmeldung gibt. Die Identität der hinweisgebenden Person muss geschützt werden, und nur Personen mit entsprechendem Bedarf dürfen Zugang zu den Fällen haben. Das System muss schriftlich beschrieben sein, und die Beschäftigten müssen leichten Zugang zu Informationen über seine Nutzung haben.

Der elektronische Nachweis, dass bestimmte Daten zu einem bestimmten Zeitpunkt existierten. Im Signatur- und Compliance-Kontext bindet der Zeitstempel den Hash des Dokuments an eine Uhrzeit, sodass bewiesen werden kann, wann das Dokument unterzeichnet oder registriert wurde. eIDAS regelt qualifizierte elektronische Zeitstempel, die von zugelassenen Vertrauensdiensteanbietern ausgestellt werden und eine Vermutung der Richtigkeit genießen. Zuverlässige Zeitstempel sind auch in Audit-Protokollen wichtig, etwa um zu dokumentieren, dass eine Datenschutzverletzung innerhalb von 72 Stunden gemeldet wurde.