DSGVO: Die wichtigsten Grundlagen
Die Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018 in der gesamten EU und regelt den Umgang mit personenbezogenen Daten.
Was sind personenbezogene Daten? Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen:
- Name, Adresse, E-Mail
- IP-Adressen
- Cookies mit Personenbezug
- Gesundheitsdaten
- Standortdaten
- Online-Kennungen
Grundprinzipien (Art. 5 DSGVO):
1. Rechtmäßigkeit, Treu und Glauben, Transparenz Datenverarbeitung muss rechtmäßig und für die Betroffenen nachvollziehbar sein.
2. Zweckbindung Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden.
3. Datenminimierung Nur Daten erheben, die für den Zweck erforderlich sind.
4. Richtigkeit Daten müssen sachlich richtig und aktuell sein.
5. Speicherbegrenzung Daten nicht länger speichern als für den Zweck erforderlich.
6. Integrität und Vertraulichkeit Angemessene Sicherheit durch technische und organisatorische Maßnahmen.
7. Rechenschaftspflicht Der Verantwortliche muss die Einhaltung nachweisen können.
Wer ist betroffen? Jedes Unternehmen und jede Organisation, die personenbezogene Daten verarbeitet – unabhängig von der Größe.
Rechtsgrundlagen der Datenverarbeitung
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage (Art. 6 DSGVO).
Die wichtigsten Rechtsgrundlagen:
1. Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)
- Freiwillig, informiert, unmissverständlich
- Für bestimmten Zweck
- Jederzeit widerrufbar
- Nachweispflicht beim Verantwortlichen
*Beispiel: Newsletter-Anmeldung mit Double-Opt-In*
2. Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
- Datenverarbeitung zur Erfüllung eines Vertrags
- Oder vorvertragliche Maßnahmen auf Anfrage
*Beispiel: Lieferadresse für Bestellung*
3. Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO)
- Verarbeitung zur Erfüllung gesetzlicher Pflichten
- z.B. Steuerrecht, Handelsrecht
*Beispiel: Aufbewahrung von Rechnungen (10 Jahre)*
4. Lebenswichtige Interessen (Art. 6 Abs. 1 lit. d DSGVO)
- Schutz lebenswichtiger Interessen einer Person
- Nur wenn keine andere Rechtsgrundlage
*Beispiel: Notfallmedizin*
5. Öffentliches Interesse (Art. 6 Abs. 1 lit. e DSGVO)
- Wahrnehmung öffentlicher Aufgaben
- Relevant für Behörden
6. Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO)
- Interessenabwägung erforderlich
- Interessen der betroffenen Person dürfen nicht überwiegen
- Nicht für Behörden bei Aufgabenerfüllung
*Beispiel: Direktwerbung an Bestandskunden*
Besondere Kategorien von Daten (Art. 9 DSGVO): Sensible Daten (Gesundheit, Religion, Sexualität etc.) bedürfen besonderer Rechtsgrundlagen – in der Regel ausdrückliche Einwilligung.
Betroffenenrechte
Die DSGVO stärkt die Rechte der Personen, deren Daten verarbeitet werden.
1. Informationsrecht (Art. 13, 14 DSGVO) Bei Datenerhebung muss informiert werden über:
- Identität des Verantwortlichen
- Zwecke der Verarbeitung
- Rechtsgrundlage
- Empfänger der Daten
- Speicherdauer
- Betroffenenrechte
2. Auskunftsrecht (Art. 15 DSGVO) Betroffene können Auskunft verlangen über:
- Ob Daten verarbeitet werden
- Welche Daten
- Zu welchen Zwecken
- An wen übermittelt
- Speicherdauer
- Kopie der Daten
*Frist: 1 Monat, Verlängerung um 2 Monate möglich*
3. Recht auf Berichtigung (Art. 16 DSGVO) Unrichtige Daten müssen korrigiert werden.
4. Recht auf Löschung (Art. 17 DSGVO) "Recht auf Vergessenwerden" bei:
- Zweck entfallen
- Widerruf der Einwilligung
- Widerspruch
- Unrechtmäßige Verarbeitung
*Ausnahmen: Rechtliche Pflichten, Rechtsverteidigung*
5. Recht auf Einschränkung (Art. 18 DSGVO) Verarbeitung wird auf Speicherung beschränkt, z.B. bei Prüfung der Richtigkeit.
6. Recht auf Datenübertragbarkeit (Art. 20 DSGVO) Daten in maschinenlesbarem Format erhalten oder an anderen Anbieter übertragen.
7. Widerspruchsrecht (Art. 21 DSGVO) Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen.
8. Recht auf Beschwerde (Art. 77 DSGVO) Beschwerde bei der zuständigen Datenschutz-Aufsichtsbehörde.
Pflichten für Unternehmen
Die DSGVO verlangt von Unternehmen umfangreiche Dokumentations- und Organisationspflichten.
1. Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) Schriftliche Dokumentation aller Datenverarbeitungen:
- Zwecke der Verarbeitung
- Kategorien von Daten und Betroffenen
- Empfänger
- Löschfristen
- Technische und organisatorische Maßnahmen
*Pflicht bei mehr als 250 Mitarbeitern ODER regelmäßiger Verarbeitung*
2. Technische und organisatorische Maßnahmen (Art. 32 DSGVO) Angemessene Sicherheit gewährleisten:
- Verschlüsselung
- Zugangskontrollen
- Backups
- Notfallmanagement
- Regelmäßige Überprüfung
3. Auftragsverarbeitung (Art. 28 DSGVO) Bei Beauftragung externer Dienstleister (z.B. Cloud-Anbieter):
- Schriftlicher Vertrag (AV-Vertrag)
- Weisungsbindung
- Technische und organisatorische Maßnahmen
- Subunternehmer nur mit Genehmigung
4. Datenschutz-Folgenabschätzung (Art. 35 DSGVO) Bei hohem Risiko für Betroffene:
- Systematische Beschreibung der Verarbeitung
- Bewertung der Risiken
- Abhilfemaßnahmen
*Beispiele: Videoüberwachung, Profiling, biometrische Daten*
5. Meldepflicht bei Datenpannen (Art. 33, 34 DSGVO) Bei Verletzung des Schutzes personenbezogener Daten:
- Meldung an Aufsichtsbehörde: 72 Stunden
- Bei hohem Risiko: Auch Benachrichtigung der Betroffenen
6. Privacy by Design & Default (Art. 25 DSGVO) Datenschutz von Anfang an in Prozesse und Systeme integrieren.
Datenschutzbeauftragter
In bestimmten Fällen muss ein Datenschutzbeauftragter (DSB) bestellt werden.
Bestellpflicht (Art. 37 DSGVO, § 38 BDSG):
1. Mindestens 20 Personen ständig mit automatisierter Datenverarbeitung beschäftigt
2. Kerntätigkeit erfordert umfangreiche, regelmäßige, systematische Überwachung
3. Kerntätigkeit ist Verarbeitung besonderer Kategorien von Daten (Gesundheit etc.)
4. Verarbeitung zur Übermittlung, für Markt-/Meinungsforschung, Auskunfteien
Interner oder externer DSB:
- Intern: Eigener Mitarbeiter, Kündigungsschutz
- Extern: Externer Dienstleister, oft kostengünstiger
Aufgaben des DSB (Art. 39 DSGVO):
- Unterrichtung und Beratung
- Überwachung der Einhaltung
- Beratung bei Datenschutz-Folgenabschätzung
- Zusammenarbeit mit Aufsichtsbehörde
- Anlaufstelle für Aufsichtsbehörde
Stellung des DSB:
- Weisungsfrei in Datenschutzfragen
- Direkte Berichtslinie zur Geschäftsführung
- Geheimhaltungspflicht
- Kein Interessenkonflikt (nicht IT-Leiter, Personalleiter, Geschäftsführer)
Haftung: Der DSB haftet nicht persönlich für Verstöße. Die Verantwortung bleibt beim Unternehmen.
Bußgelder und Sanktionen
Die DSGVO sieht empfindliche Sanktionen bei Verstößen vor.
Bußgeldrahmen (Art. 83 DSGVO):
Bis zu 10 Mio. € oder 2% des weltweiten Jahresumsatzes:
- Verstöße gegen Pflichten des Verantwortlichen/Auftragsverarbeiters
- Verstöße gegen Zertifizierungsstellen
- Verstöße gegen Überwachungsstellen
Bis zu 20 Mio. € oder 4% des weltweiten Jahresumsatzes:
- Verstöße gegen Grundsätze der Verarbeitung
- Verstöße gegen Betroffenenrechte
- Unzulässige Übermittlung in Drittländer
- Verstöße gegen nationale Vorschriften
Bemessungskriterien:
- Art, Schwere und Dauer des Verstoßes
- Vorsatz oder Fahrlässigkeit
- Maßnahmen zur Schadensminderung
- Frühere Verstöße
- Zusammenarbeit mit Aufsichtsbehörde
- Kategorien betroffener Daten
Beispiele aus der Praxis:
- Amazon: 746 Mio. € (Luxemburg, 2021)
- WhatsApp: 225 Mio. € (Irland, 2021)
- H&M: 35 Mio. € (Hamburg, 2020)
- 1&1: 9,55 Mio. € (Deutschland, 2019)
Weitere Sanktionen:
- Verarbeitungsverbot
- Schadensersatzansprüche Betroffener
- Abmahnungen durch Wettbewerber/Verbraucherverbände
- Reputationsschäden
Cookies und Tracking
Cookies und Tracking-Technologien sind ein Dauerbrenner im Datenschutzrecht.
Rechtlicher Rahmen:
- TTDSG (seit Dez. 2021): Regelung für Cookies in Deutschland
- DSGVO: Verarbeitung der erhobenen Daten
- ePrivacy-Verordnung: Kommt (irgendwann) als EU-Regelung
Kategorien von Cookies:
1. Technisch notwendige Cookies - Für Grundfunktionen der Website erforderlich - z.B. Warenkorb, Login-Session - Keine Einwilligung erforderlich
2. Funktionale Cookies - Erweiterte Funktionen, z.B. Sprachauswahl - Einwilligung erforderlich
3. Analyse-Cookies - Reichweitenmessung, Nutzungsanalyse - z.B. Google Analytics, Matomo - Einwilligung erforderlich
4. Marketing-Cookies - Werbung, Retargeting - z.B. Facebook Pixel, Google Ads - Einwilligung erforderlich
Anforderungen an Cookie-Banner:
- Echte Wahlmöglichkeit (Ablehnen genauso einfach wie Zustimmen)
- Keine vorausgewählten Checkboxen (außer technisch notwendig)
- Klare Information über Zwecke
- Keine "Cookie-Walls" (Zugang nur mit Zustimmung)
- Widerruf muss genauso einfach sein wie Einwilligung
Consent Management Platforms (CMP): Tools wie Cookiebot, Usercentrics, Borlabs Cookie helfen bei der rechtskonformen Umsetzung.
Google Analytics:
- Einwilligung erforderlich
- Auftragsverarbeitungsvertrag mit Google
- IP-Anonymisierung aktivieren
- Datenschutzerklärung anpassen
Datenübermittlung in Drittländer
Die Übermittlung personenbezogener Daten außerhalb der EU unterliegt besonderen Regeln.
Grundsatz: Daten dürfen nur in Drittländer übermittelt werden, wenn ein angemessenes Schutzniveau gewährleistet ist.
Angemessenheitsbeschluss (Art. 45 DSGVO): Die EU-Kommission hat für bestimmte Länder festgestellt, dass sie ein angemessenes Schutzniveau bieten:
- Schweiz, UK, Israel, Japan, Südkorea, Kanada (teilweise)
- Seit Juli 2023: USA (EU-US Data Privacy Framework)
USA – Besonderheiten:
- Privacy Shield wurde 2020 vom EuGH gekippt (Schrems II)
- Neues Data Privacy Framework seit 2023
- US-Unternehmen müssen zertifiziert sein
- Prüfen Sie, ob Ihr Dienstleister zertifiziert ist!
Standardvertragsklauseln (Art. 46 DSGVO): Von der EU-Kommission genehmigte Vertragsklauseln:
- Neue Version seit Juni 2021 verpflichtend
- Zusätzliche Maßnahmen erforderlich (Transfer Impact Assessment)
Binding Corporate Rules (Art. 47 DSGVO): Konzerninterne Regelungen für internationale Datenübermittlung.
Ausnahmen (Art. 49 DSGVO):
- Ausdrückliche Einwilligung (nach Information über Risiken)
- Vertragserfüllung
- Wichtige Gründe des öffentlichen Interesses
- Rechtsverteidigung
- Lebenswichtige Interessen
Praxistipp: Prüfen Sie bei Cloud-Diensten (AWS, Google, Microsoft), wo Ihre Daten gespeichert werden und welche Garantien bestehen.
DSGVO-Compliance Checkliste
- Verarbeitungsverzeichnis erstellen und aktuell halten
- Datenschutzerklärung DSGVO-konform gestalten
- Cookie-Banner mit echter Wahlmöglichkeit
- Auftragsverarbeitungsverträge mit allen Dienstleistern
- Technische und organisatorische Maßnahmen dokumentieren
- Prozess für Betroffenenanfragen etablieren
- Prozess für Datenpannen-Meldung (72h!)
- Datenschutzbeauftragten bestellen (falls Pflicht)
- Mitarbeiter schulen
- Regelmäßige Überprüfung und Aktualisierung
Ja, wenn mindestens 20 Personen ständig mit automatisierter Datenverarbeitung beschäftigt sind, oder wenn Ihre Kerntätigkeit die Verarbeitung besonderer Kategorien von Daten (Gesundheit etc.) oder umfangreiche Überwachung umfasst.
Sie müssen die Datenpanne innerhalb von 72 Stunden der Aufsichtsbehörde melden. Bei hohem Risiko für Betroffene müssen auch diese benachrichtigt werden. Dokumentieren Sie jeden Vorfall, auch wenn keine Meldepflicht besteht.
Ja! Google Analytics setzt Cookies und überträgt Daten an Google. Sie brauchen eine aktive Einwilligung vor der Aktivierung, einen Auftragsverarbeitungsvertrag mit Google und müssen in der Datenschutzerklärung darüber informieren.
Ja, wenn der US-Empfänger unter dem EU-US Data Privacy Framework zertifiziert ist (seit Juli 2023). Alternativ: Standardvertragsklauseln mit zusätzlichen Schutzmaßnahmen. Prüfen Sie die Zertifizierung Ihrer Dienstleister!
Nur so lange, wie für den Verarbeitungszweck erforderlich. Danach müssen Daten gelöscht werden – es sei denn, gesetzliche Aufbewahrungspflichten gelten (z.B. 10 Jahre für Rechnungen). Dokumentieren Sie Ihre Löschfristen.
Verantwortlicher, Kontaktdaten DSB (falls vorhanden), Zwecke und Rechtsgrundlagen der Verarbeitung, Empfänger, Drittlandübermittlung, Speicherdauer, Betroffenenrechte, Beschwerderecht bei der Aufsichtsbehörde.
Umstritten, aber möglich. Die Rechtsprechung ist uneinheitlich. Verbraucherverbände können jedenfalls abmahnen. Zudem drohen Beschwerden bei der Aufsichtsbehörde und Bußgelder.
Ein Vertrag nach Art. 28 DSGVO, der abgeschlossen werden muss, wenn ein Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet (z.B. Cloud-Anbieter, Newsletter-Dienst, Hosting). Er regelt Weisungsbindung, Sicherheitsmaßnahmen und Kontrollen.