UK-DSGVO-Compliance-Checkliste 2026
17. August 2026
Praktische UK-GDPR-Compliance-Checkliste für 2026. Deckt Rechtsgrundlagen, Betroffenenrechte, Meldung von Datenschutzverletzungen, DSFAs und mehr ab.
Bewerten Sie Ihren Aufgabenbereich und Ihre Verantwortlichkeit
Die UK-GDPR gilt für die meisten Organisationen, die personenbezogene Daten im Vereinigten Königreich verarbeiten, sowie für Unternehmen außerhalb des Vereinigten Königreichs, die Einwohner des Vereinigten Königreichs als Zielgruppe haben. Der erste Schritt in Ihrer Checkliste besteht darin, zu bestätigen, ob Ihre Organisation in den Anwendungsbereich fällt. Wenn Sie personenbezogene Daten verarbeiten, müssen Sie Ihre Verarbeitungstätigkeiten dokumentieren, einen Datenschutzverantwortlichen benennen und für jeden Zweck eine Rechtsgrundlage sicherstellen. Der ICO erwartet, dass Sie einen Ansatz des „Privacy by Design“ verfolgen. Das bedeutet, Datenschutz von Anfang an zu berücksichtigen – nicht erst im Nachhinein. Dokumentieren Sie Entscheidungen, weisen Sie Verantwortlichkeiten zu und stellen Sie sicher, dass die obere Führungsebene mit an Bord ist. Eine klare Governance-Struktur ist das Fundament für die Einhaltung der UK-GDPR.
Rechtsgrundlage dokumentieren und transparent sein
Jede Verarbeitung benötigt eine dokumentierte Rechtsgrundlage – Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigte Interessen. Ihre Datenschutzerklärung muss klar darlegen, auf welche Grundlagen Sie sich stützen, was Sie erheben, warum und wie lange Sie es speichern. Im Vereinigten Königreich muss die Einwilligung eindeutig, freiwillig und leicht widerrufbar sein. Die ICO ist besonders streng bei vorab angehakten Kästchen und gebündelter Einwilligung. Überprüfen Sie Ihre Formulare, Cookies und Marketing-Präferenzen. Wenn Sie sich auf berechtigte Interessen stützen, führen Sie eine Interessenabwägung durch. Denken Sie daran, dass die UK GDPR und der Data Protection Act 2018 gemeinsam zusätzliche Bedingungen für besondere Kategorien personenbezogener Daten und Daten zu strafrechtlichen Verurteilungen festlegen.
Sicherstellung der Rechte betroffener Personen
Einzelpersonen haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch gegen die Verarbeitung. Nach der UK GDPR müssen Auskunftsersuchen (Subject Access Requests, SARs) innerhalb eines Monats bearbeitet werden, und es darf keine Gebühr mehr erhoben werden, es sei denn, das Ersuchen ist offensichtlich unbegründet oder exzessiv. Ihre Checkliste sollte einen Prozess zur Identitätsprüfung, zur Durchsuchung aller Systeme und zur Bereitstellung der Daten in einem strukturierten, maschinenlesbaren Format auf Anfrage umfassen. Denken Sie auch an das Recht, keiner automatisierten Entscheidungsfindung mit rechtlicher Wirkung unterworfen zu werden. Stellen Sie sicher, dass Ihre Mitarbeiter wissen, wie sie SARs erkennen und weiterleiten können. Die ICO kann Geldbußen und Vollstreckungsanordnungen verhängen, wenn nicht ordnungsgemäß reagiert wird. Halten Sie daher Vorlagen und ein Nachverfolgungssystem bereit.
Sicherheit stärken und auf Sicherheitsverletzungen reagieren
Sicherheit im Sinne der UK GDPR bedeutet, personenbezogene Daten vor unbefugter oder unrechtmäßiger Verarbeitung, versehentlichem Verlust, Zerstörung oder Beschädigung zu schützen. Das ICO empfiehlt Verschlüsselung, Pseudonymisierung, Zugriffskontrollen und routinemäßige Tests. Ihre Checkliste sollte Personalschulungen, Pläne für die Reaktion auf Vorfälle und ein Verzeichnis von Datenschutzverletzungen umfassen. Wenn eine Verletzung voraussichtlich ein Risiko für betroffene Personen darstellt, müssen Sie diese innerhalb von 72 Stunden dem ICO melden. Ist das Risiko hoch, müssen Sie auch die betroffenen Personen unverzüglich informieren. Im Vereinigten Königreich können Sie die Hotline für Datenschutzverletzungen des ICO anrufen oder eine Online-Meldung abgeben. Stellen Sie sicher, dass Ihr Plan abdeckt, wie Sie die Schwere einschätzen und Entscheidungen dokumentieren.
DPIAs abschließen und internationale Datentransfers prüfen
Für einige Verarbeitungen ist vorab eine Datenschutz-Folgenabschätzung (DSFA) erforderlich – beispielsweise beim Einsatz neuer Technologien, bei umfangreichem Profiling oder bei der Verarbeitung biometrischer Daten. Das ICO stellt eine Vorlage bereit, aber Ihre Checkliste sollte sicherstellen, dass Sie eine DSFA durchführen, wenn sie erforderlich ist, und das ICO konsultieren, wenn die DSFA hohe Restrisiken aufzeigt. Sie müssen auch internationale Übermittlungen prüfen. Das Vereinigte Königreich verfügt über eigene Angemessenheitsbeschlüsse. Stellen Sie also fest, ob Sie personenbezogene Daten an Organisationen in der EU, den USA oder anderswo übermitteln. Nutzen Sie das International Data Transfer Agreement (IDTA) des Vereinigten Königreichs oder eine anerkannte Garantie. Das ICO erwartet, dass Sie Datenströme kartieren und Übermittlungsmechanismen regelmäßig überprüfen.
FAQ
Die UK-DSGVO ist die britische Version der EU-DSGVO, die durch den Data Protection Act 2018 beibehalten und angepasst wurde. Sie gilt für die Verarbeitung im Vereinigten Königreich und für Einwohner des Vereinigten Königreichs, während die EU-DSGVO für die EU gilt. Beide haben ähnliche Grundsätze und Rechte, aber es gibt getrennte Angemessenheitsbeschlüsse und Übermittlungsregeln.