Personenbezogene Daten sollen so weit wie möglich auch außerhalb der Union geschützt werden. Daher umfasst das Gesetz alle Verarbeitungen personenbezogener Daten von EU-Bürgern, unabhängig davon, ob das Unternehmen oder die Organisation, die die Verarbeitung durchführt, innerhalb oder außerhalb der EU ansässig ist. Ein E-Commerce-Unternehmen in China, das Kunden aus der EU ansprechen möchte, unterliegt der DSGVO genauso wie ein Unternehmen in Schweden.

Die für personenbezogene Daten verantwortliche Person ist verpflichtet, jede Datenschutzverletzung innerhalb von 72 Stunden der Aufsichtsbehörde zu melden – in Schweden ist dies die schwedische Datenschutzaufsichtsbehörde (Integritetsskyddsmyndigheten, IMY). Eine Ausnahme von dieser Pflicht besteht nur, wenn es unwahrscheinlich ist, dass die Datenschutzverletzung ein Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt. Die Entscheidung, keine Meldung vorzunehmen, muss dokumentiert werden, falls es zu einer Prüfung kommt.

Als Unternehmen müssen Sie die in der DSGVO festgelegten Anforderungen erfüllen. Das bedeutet unter anderem, die allgemeinen Grundsätze einzuhalten, sicherzustellen, dass jede Verarbeitung personenbezogener Daten auf einer rechtmäßigen Grundlage erfolgt, und die betroffenen Personen darüber zu informieren, wie ihre personenbezogenen Daten verarbeitet werden.

Bei einem Verstoß gegen die DSGVO kann eine hohe Geldstrafe verhängt werden. Die Höhe wird von Fall zu Fall bewertet, das Maximum liegt jedoch bei 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Damit sollen auch große internationale Konzerne zur Einhaltung der Vorschriften verpflichtet werden.

Eines der Grundrechte der betroffenen Personen ist das Recht, ihre Daten löschen zu lassen, oder anders gesagt, das Recht, „vergessen“ zu werden. Wenn eine betroffene Person die Löschung ihrer personenbezogenen Daten verlangt, lautet die Hauptregel, dass man diese löschen muss. Es gibt jedoch einige Ausnahmen, bei denen die Daten nicht gelöscht werden dürfen. Diese Ausnahmen gelten häufig, wenn der Verantwortliche für die personenbezogenen Daten eine Behörde ist oder eine Aufgabe im öffentlichen Interesse erfüllt. Unter anderem kann man die Löschung der Daten verweigern, wenn dies notwendig ist, um andere wichtige Rechte zu wahren, wie das Recht auf freie Meinungsäußerung oder Information, um einer rechtlichen Verpflichtung nachzukommen oder um rechtliche Ansprüche zu begründen, geltend zu machen oder zu verteidigen. Unabhängig davon, ob man die Daten löscht oder einen Grund hat, sie zu behalten, muss man der betroffenen Person ohne unangemessene Verzögerung antworten, d. h. spätestens einen Monat, nachdem die Anfrage erhalten wurde..