Antwort: Die Datenschutz-Grundverordnung beruht auf einem risikobasierten Ansatz. Dies bedeutet, dass Unternehmen/Organisationen, die personenbezogene Daten verarbeiten, dazu angehalten sind, entsprechend der Risikostufe ihrer Verarbeitungstätigkeiten Schutzmassnahmen einzuführen. Die Pflichten eines Unternehmens, das viele Daten verarbeitet, sind daher umfangreicher als jene für ein Unternehmen, das nur wenige Daten verarbeitet.
Die Wahrscheinlichkeit, dass ein Unternehmen/eine Organisation, das/die viele Daten verarbeitet, einen Datenschutzbeauftragten einstellen muss, ist zum Beispiel höher als bei einem Unternehmen/einer Organisation, das/die wenige Daten verarbeitet (dies korrespondiert in diesem Fall mit dem Begriff der Verarbeitung personenbezogener Daten „in grossem Umfang“). Die Art der personenbezogenen Daten und die Auswirkungen der beabsichtigten Verarbeitung spielen ebenfalls eine Rolle. Die Verarbeitung weniger, jedoch sensibler Daten (zum Beispiel Gesundheitsdaten) erfordert die Umsetzung strengerer Massnahmen, um die Datenschutz-Grundverordnung einzuhalten.
In jedem Fall müssen die Grundsätze des Datenschutzes eingehalten werden, und es muss Personen ermöglicht werden, ihre Rechte wahrzunehmen.
Europäische Kommission; 28.02.2018; bow