Übersicht
Seit dem 25. Mai 2018 regelt die Datenschutz-Grundverordnung den Umgang mit personenbezogenen Daten in der Europäischen Union einheitlich. Sie verpflichtet Unternehmen jeder Größe zur strukturierten Verarbeitung, Dokumentation und Sicherung dieser Daten — und stärkt zugleich die Rechte der Betroffenen. Dieser Beitrag fasst die zentralen Grundsätze, Pflichten, Rechte und Konsequenzen kompakt zusammen.
Datenschutz-Grundverordnung (DSGVO)
Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr. Sie gilt unmittelbar in allen 27 EU-Mitgliedstaaten sowie im Europäischen Wirtschaftsraum und ersetzt die nationalen Datenschutzgesetze überall dort, wo sie Sachverhalte abschließend regelt. In Deutschland ergänzt das Bundesdatenschutzgesetz (BDSG) die DSGVO an einzelnen Stellen, insbesondere im Beschäftigtendatenschutz.
Die sechs Grundsätze der Datenverarbeitung
Artikel 5 der DSGVO formuliert sechs zentrale Prinzipien, an denen sich jede Datenverarbeitung im Anwendungsbereich der Verordnung messen lassen muss. Sie sind das Fundament jeder Compliance-Bewertung und werden bei Audits sowie bei Prüfungen durch Aufsichtsbehörden regelmäßig herangezogen:
- Rechtmäßigkeit, Treu und Glauben, Transparenz — jede Verarbeitung braucht eine erkennbare Rechtsgrundlage und muss für Betroffene nachvollziehbar dokumentiert sein.
- Zweckbindung — Daten dürfen nur für eindeutig festgelegte und legitime Zwecke erhoben werden; eine Weiterverarbeitung zu unvereinbaren Zwecken ist unzulässig.
- Datenminimierung — verarbeitet werden darf nur, was für den jeweiligen Zweck erforderlich und angemessen ist.
- Richtigkeit — Daten müssen sachlich korrekt sein und auf Stand gehalten werden; unrichtige Daten sind unverzüglich zu berichtigen oder zu löschen.
- Speicherbegrenzung — eine Identifizierung der Betroffenen darf nur so lange möglich sein, wie es der Verarbeitungszweck erfordert.
- Integrität und Vertraulichkeit — die Sicherheit der Daten ist durch geeignete technische und organisatorische Maßnahmen zu gewährleisten.
Hinzu kommt die übergreifende Rechenschaftspflicht nach Art. 5 Abs. 2: Der Verantwortliche muss diese Grundsätze nicht nur einhalten, sondern auch jederzeit nachweisen können. Diese Beweislast erklärt, warum Dokumentation in der DSGVO eine so zentrale Rolle einnimmt.
Wann ist die DSGVO anwendbar?
Die DSGVO greift bei jeder ganz oder teilweise automatisierten Verarbeitung personenbezogener Daten — also für nahezu jedes Unternehmen, das Kunden-, Interessenten- oder Mitarbeiterdaten in einer Software verwaltet. Räumlich gilt die Verordnung nicht nur für Verantwortliche innerhalb der EU, sondern nach dem Marktortprinzip (Art. 3) auch für Anbieter außerhalb der EU, sofern diese Waren oder Dienstleistungen an Personen in der EU richten oder deren Verhalten beobachten.
Entscheidend ist also nicht der Sitz des Unternehmens, sondern wo sich die betroffenen Personen befinden. Was unter „personenbezogenen Daten“ zu verstehen ist, definiert die Verordnung weit:
Nicht personenbezogen
- Anonymisierte Aggregat-Statistiken
- Wetter- und Klimadaten
- Reine Maschinendaten ohne Personenbezug
- Technische Sensordaten in der Produktion
- Aggregierte Geschäftszahlen
- Vollständig pseudonymisierte Forschungsdaten
Personenbezogen
- Name, Anschrift, Geburtsdatum
- E-Mail-Adresse, Telefonnummer
- IP-Adresse und Cookie-Identifikatoren
- Standortdaten und GPS-Koordinaten
- Mitarbeiter-, Kunden- und Vertragsnummern
- Online-Verhalten, Surf-Historie, Profile
Welche Rechte haben Betroffene?
Die DSGVO räumt jeder natürlichen Person, deren Daten verarbeitet werden, eine Reihe konkreter und durchsetzbarer Rechte ein. Anfragen müssen Unternehmen in der Regel innerhalb eines Monats beantworten — unentgeltlich und in einer transparenten, leicht zugänglichen Form. Insgesamt gibt es acht zentrale Betroffenenrechte:
- Recht auf Auskunft über die zur eigenen Person gespeicherten Daten (Art. 15)
- Recht auf Berichtigung unrichtiger oder unvollständiger Daten (Art. 16)
- Recht auf Löschung — auch bekannt als „Recht auf Vergessenwerden“ (Art. 17)
- Recht auf Einschränkung der Verarbeitung (Art. 18)
- Recht auf Datenübertragbarkeit in einem strukturierten, gängigen Format (Art. 20)
- Widerspruchsrecht gegen die Verarbeitung, insbesondere bei Direktwerbung (Art. 21)
- Recht, nicht ausschließlich automatisierten Entscheidungen unterworfen zu werden (Art. 22)
- Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77)
Pflichten für Unternehmen
Wer personenbezogene Daten verarbeitet, ist als Verantwortlicher nach der DSGVO zu einer Reihe konkreter Maßnahmen verpflichtet. Die folgenden fünf Pflichten sind dabei für nahezu jedes Unternehmen relevant — unabhängig von Größe oder Branche.
Verzeichnis von Verarbeitungstätigkeiten führen (Art. 30)
Jede Verarbeitungstätigkeit muss systematisch erfasst werden — mit Zweck, Rechtsgrundlage, Datenkategorien, Empfängern, Speicherdauer und ergriffenen Schutzmaßnahmen. Das Verzeichnis ist die zentrale Bestandsdokumentation für jede Aufsichtsprüfung.
Datenschutzerklärung bereitstellen (Art. 13/14)
Betroffene sind über die Verarbeitung ihrer Daten transparent zu informieren — auf der Website, in Verträgen und in jedem Erfassungsformular. Die Pflichtangaben umfassen unter anderem Verantwortlichen, Verarbeitungszwecke, Rechtsgrundlagen, Speicherdauer und Betroffenenrechte.
Auftragsverarbeitungsverträge abschließen (Art. 28)
Wer einen Dienstleister mit der Verarbeitung beauftragt — Hosting-Provider, Newsletter-Tool, Cloud-Speicher, Buchhaltungssoftware — muss mit diesem einen Auftragsverarbeitungsvertrag schließen, der die Pflichten beider Seiten regelt.
Technische und organisatorische Maßnahmen umsetzen (Art. 32)
Die Sicherheit der Daten ist durch geeignete TOMs zu gewährleisten — Verschlüsselung im Ruhezustand und während der Übertragung, Zugangs- und Zugriffskontrollen, regelmäßige Backups, Mitarbeiter-Schulungen und ein dokumentiertes Incident-Response-Konzept.
Datenschutzbeauftragten bestellen (Art. 37, BDSG § 38)
Bei umfangreicher automatisierter Verarbeitung, regelmäßiger systematischer Überwachung oder ab 20 Personen, die regelmäßig automatisiert personenbezogene Daten verarbeiten, ist ein Datenschutzbeauftragter zu bestellen. Die Funktion kann intern besetzt oder extern vergeben werden.
Bußgelder und Konsequenzen bei Verstößen
Die DSGVO kennt zwei Bußgeldstufen. Geringere Verstöße — etwa unzureichende Verzeichnisführung oder fehlende Auftragsverarbeitungsverträge — können mit bis zu 10 Mio € oder 2 % des weltweiten Jahresumsatzes geahndet werden. Schwere Verstöße gegen die Grundsätze, gegen Betroffenenrechte oder gegen die Vorschriften zum Drittlandstransfer können bis zu 20 Mio € oder 4 % des weltweiten Jahresumsatzes kosten — jeweils der höhere Betrag gilt.
Welche Größenordnungen die Aufsichtsbehörden in der Praxis erreichen, zeigt ein Blick auf die fünf höchsten je verhängten DSGVO-Bußgelder:
Achtung
Neben den Bußgeldern drohen weitere Konsequenzen: Schadensersatzforderungen einzelner Betroffener nach Art. 82 DSGVO, Untersagungsverfügungen der Aufsichtsbehörden, Reputationsschäden bei öffentlichkeitswirksamen Verfahren sowie der Ausschluss von öffentlichen Aufträgen ab bestimmten Bußgeldhöhen.
Datenpannen — die 72-Stunden-Frist
Wird eine Verletzung des Schutzes personenbezogener Daten festgestellt — etwa ein Hackerangriff, ein verlorener Laptop oder eine versehentliche Fehlsendung — beginnt eine 72-Stunden-Frist zu laufen. Innerhalb dieser Frist muss die zuständige Aufsichtsbehörde benachrichtigt werden, sofern voraussichtlich ein Risiko für die Rechte und Freiheiten der Betroffenen besteht.
Vorfall erfassen und bewerten
Art und Umfang der Datenpanne dokumentieren: Welche Datenkategorien sind betroffen, wie viele Personen, wie ist es passiert? Auf dieser Basis wird das Risiko für die Betroffenen abgeschätzt.
Aufsichtsbehörde benachrichtigen (Art. 33)
Innerhalb von 72 Stunden nach Bekanntwerden ist die Meldung bei der zuständigen Aufsichtsbehörde abzugeben. Erfolgt sie später, sind die Gründe für die Verzögerung mitzuteilen. Auch eine vorläufige Meldung bei unklarem Sachverhalt ist möglich.
Betroffene informieren (Art. 34)
Bei voraussichtlich hohem Risiko sind zusätzlich die Betroffenen unverzüglich direkt zu informieren — in klarer und einfacher Sprache, mit konkreten Handlungsempfehlungen zum Selbstschutz.
Vorfall lückenlos dokumentieren
Jede Datenpanne ist intern zu dokumentieren — unabhängig davon, ob sie meldepflichtig war. Die Dokumentation umfasst Sachverhalt, Auswirkungen und ergriffene Abhilfemaßnahmen und dient als Nachweis gegenüber der Aufsichtsbehörde.
DSGVO-Audit-Checkliste
Die folgenden Punkte sind Mindestanforderungen für eine DSGVO-konforme Datenverarbeitung. Sie sollten regelmäßig überprüft werden — idealerweise einmal jährlich oder bei wesentlichen Änderungen an Prozessen, Tools oder Datenflüssen:
- Verzeichnis von Verarbeitungstätigkeiten ist aktuell und vollständig
- Datenschutzerklärung enthält alle Pflichtangaben nach Art. 13/14
- Mit allen externen Dienstleistern liegen Auftragsverarbeitungsverträge vor
- Technische und organisatorische Maßnahmen sind dokumentiert und werden gelebt
- Mitarbeitende werden nachweislich regelmäßig zum Datenschutz geschult
- Meldewege für Datenpannen sind etabliert und allen Beteiligten bekannt
- Speicher- und Löschkonzept ist definiert und wird konsequent umgesetzt
- Bei Bestellpflicht ist ein Datenschutzbeauftragter benannt und der Aufsichtsbehörde gemeldet
- Datenschutz-Folgenabschätzungen werden bei riskanten Verarbeitungen durchgeführt
- Internationale Datentransfers sind durch geeignete Garantien (etwa Standardvertragsklauseln) abgesichert
Häufige Fragen zur DSGVO
Wer muss die DSGVO einhalten?
Jedes Unternehmen, jede Behörde und jede natürliche Person, die personenbezogene Daten ganz oder teilweise automatisiert verarbeitet — mit wenigen Ausnahmen für rein persönliche oder familiäre Tätigkeiten. Auch außerhalb der EU ansässige Anbieter sind betroffen, sofern sie sich gezielt an Personen in der EU richten oder deren Verhalten beobachten.
Was sind besondere Kategorien personenbezogener Daten?
Daten mit besonderer Sensibilität nach Art. 9 DSGVO: Gesundheitsdaten, Daten zu rassischer oder ethnischer Herkunft, politischen Meinungen, religiösen Überzeugungen, Gewerkschaftszugehörigkeit, biometrische und genetische Daten sowie Daten zum Sexualleben oder zur sexuellen Orientierung. Ihre Verarbeitung ist grundsätzlich verboten und nur unter eng begrenzten Voraussetzungen zulässig.
Wann ist ein Datenschutzbeauftragter Pflicht?
In Deutschland nach § 38 BDSG ab 20 Personen, die regelmäßig automatisiert personenbezogene Daten verarbeiten. Unabhängig von der Mitarbeiterzahl besteht die Pflicht außerdem, wenn die Kerntätigkeit in einer umfangreichen regelmäßigen Überwachung besteht oder besondere Datenkategorien umfangreich verarbeitet werden (Art. 37 DSGVO). Behörden müssen in jedem Fall einen DSB bestellen.
Wie lange müssen personenbezogene Daten aufbewahrt werden?
Die DSGVO selbst gibt keine festen Aufbewahrungsfristen vor — Daten dürfen nur so lange gespeichert werden, wie es der Verarbeitungszweck erfordert (Grundsatz der Speicherbegrenzung). Spezielle gesetzliche Aufbewahrungspflichten — etwa nach Handelsgesetzbuch oder Abgabenordnung mit sechs bzw. zehn Jahren — gehen vor und überlagern den allgemeinen Datenschutz.
Was passiert bei einem Datenleck im Unternehmen?
Verantwortliche sind verpflichtet, eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens binnen 72 Stunden, der zuständigen Aufsichtsbehörde zu melden — sofern ein Risiko für die Rechte der Betroffenen wahrscheinlich ist. Bei hohem Risiko sind zusätzlich die Betroffenen direkt zu informieren. Jeder Vorfall ist intern lückenlos zu dokumentieren, auch wenn er nicht meldepflichtig war.
