Datenschutz.
Ein Grundrecht.
Eine Pflicht.
Datenschutz regelt, wer welche personenbezogenen Daten zu welchem Zweck verarbeiten darf. In Deutschland gilt die europäische DSGVO zusammen mit dem Bundesdatenschutzgesetz. Dieser Leitfaden erklärt, was Datenschutz konkret bedeutet — von den Grundsätzen über Unternehmenspflichten bis zu Bußgeldern und Aufsichtsbehörden.
13 Sektionen, ein Thema.
Ein vollständiger Leitfaden zum Datenschutz in Deutschland. Geschrieben für Geschäftsführer, IT-Leiter und Datenschutzkoordinatoren — ohne Juristen-Lyrik, mit konkreten Praxishinweisen aus unseren laufenden Datenschutzmandaten.
- 01Was ist Datenschutz?
- 02Warum Datenschutz wichtig ist
- 03Rechtsgrundlagen: DSGVO, BDSG, TTDSG
- 04Die 7 Prinzipien des Datenschutzes
- 05Welche Daten sind besonders geschützt?
- 06Datenschutz im Unternehmen — Pflichten
- 07Betroffenenrechte
- 08Aufsichtsbehörden und Datenpannen
- 09Bußgeld und Verstöße
- 10Datenschutz vs. Datensicherheit
- 11Datenschutz im Internet
- 12Beschäftigtendatenschutz
- 13Datenschutz umsetzen
Was ist Datenschutz?
Datenschutz ist der Schutz personenbezogener Daten vor unbefugter Erhebung, Speicherung, Nutzung und Weitergabe. Das zugrundeliegende Prinzip ist das Recht auf informationelle Selbstbestimmung: Jeder Mensch entscheidet grundsätzlich selbst, wer was über ihn weiß und was damit geschieht.
Datenschutz ist kein technisches Konzept, sondern in erster Linie ein Recht. Der Gesetzgeber hat mit der DSGVO und dem Bundesdatenschutzgesetz konkrete Regeln formuliert, wie Unternehmen, Behörden, Vereine und Selbstständige mit personenbezogenen Daten umgehen müssen. Datenschutz ist damit Teil des Persönlichkeitsrechts und als solches grundrechtlich geschützt.
Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Name, Anschrift, E-Mail, IP-Adresse, Telefonnummer, Geburtsdatum, Gesundheitsdaten, Standortdaten, Fotos, Stimme, Cookie-IDs, Personalnummer, Sozialversicherungsnummer — all das sind persönliche Daten im Sinne des Datenschutzes.
Warum ist Datenschutz wichtig?
Warum Datenschutz wichtig ist, erklärt sich aus drei Perspektiven: Grundrecht, Vertrauen, Haftung.
Grundrecht. Das Bundesverfassungsgericht hat 1983 im Volkszählungsurteil das Recht auf informationelle Selbstbestimmung ausgerufen. Jeder Mensch hat das Recht, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen. Das ist Teil des allgemeinen Persönlichkeitsrechts (Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG). Die DSGVO setzt dieses Grundrecht in konkretes Recht um.
Vertrauen. Unternehmen, die sorgfältig mit den personenbezogenen Daten ihrer Kunden umgehen, haben einen harten Wettbewerbsvorteil. Studien der Bitkom zeigen: über 75 Prozent der Verbraucher bewerten Datenschutz bei der Wahl eines Anbieters als wichtig. Wer das kultiviert, verkauft mehr.
Haftung. Datenschutzverstöße sind keine Kavaliersdelikte. Die DSGVO sieht Bußgelder bis 20 Mio. Euro oder 4 Prozent des weltweiten Jahresumsatzes vor. Außerdem drohen Schadensersatzansprüche nach Art. 82 DSGVO und Reputationsschäden. In Deutschland wurden seit 2018 dreistellige Millionenbeträge an Bußgeldern verhängt — Tendenz steigend.
Rechtsgrundlagen des Datenschutzes
Das Datenschutzrecht in Deutschland ist dreistufig: eine EU-Verordnung, ein Bundesgesetz, dazu spezielle Nebengesetze.
- DSGVO — Datenschutz-Grundverordnung (EU) 2016/679. Seit 25. Mai 2018 unmittelbar anwendbar in allen EU-Mitgliedstaaten. 99 Artikel und 173 Erwägungsgründe. Zentrale Regelung für personenbezogene Daten, Rechtsgrundlagen, Pflichten und Sanktionen. Volltext: dsgvo-gesetz.de.
- BDSG — Bundesdatenschutzgesetz (neu 2018). Konkretisiert die DSGVO für Deutschland und nutzt die Öffnungsklauseln — etwa § 26 BDSG zum Beschäftigtendatenschutz oder § 38 BDSG zur Pflicht, einen Datenschutzbeauftragten zu bestellen.
- Landesdatenschutzgesetze (LDSG). Jedes Bundesland hat ein eigenes Gesetz für den öffentlichen Bereich (Behörden, Kommunen, Schulen). In Hamburg gilt das HmbDSG.
- TTDSG / TDDDG. Regelt Datenschutz bei Cookies, Telemedien und elektronischer Kommunikation — relevant für jede Website mit Tracking oder Consent-Banner.
- Branchenspezifische Regeln. SGB X (Sozialdaten), StPO (Strafverfolgung), BDSG §§ 22–26 (besondere Konstellationen) ergänzen das Regelwerk.
Im Unternehmensalltag sind DSGVO und BDSG die beiden zentralen Gesetze. Alles andere sind Ergänzungen. Wer beide kennt, kennt den Kern des deutschen Datenschutzrechts.
Die sieben Prinzipien des Datenschutzes
Welche sind die Prinzipien des Datenschutzes? Artikel 5 der DSGVO nennt sieben Grundsätze. Sie sind die DNA jeder datenschutzrechtlichen Entscheidung.
- Rechtmäßigkeit, Treu und Glauben, Transparenz. Jede Verarbeitung braucht eine Rechtsgrundlage aus Art. 6 DSGVO — Einwilligung, Vertrag, rechtliche Verpflichtung, berechtigte Interessen. Betroffene müssen klar informiert werden.
- Zweckbindung. Personenbezogene Daten dürfen nur für den Zweck verarbeitet werden, zu dem sie erhoben wurden. Kundenadressen für Lieferung sind nicht automatisch Werbe-Adressen.
- Datenminimierung. Nur die tatsächlich notwendigen Daten werden erhoben. Weniger ist mehr — jede überflüssige Datei ist ein potenzielles Risiko.
- Richtigkeit. Personenbezogene Daten müssen sachlich richtig und aktuell sein. Falsche Daten sind auf Antrag der betroffenen Person zu berichtigen.
- Speicherbegrenzung. Daten werden nur so lange gespeichert, wie es der Verarbeitungszweck erfordert. Danach: löschen oder anonymisieren. Genau dafür gibt es das Löschkonzept.
- Integrität und Vertraulichkeit. Technisch-organisatorische Maßnahmen schützen Daten vor Verlust, unbefugtem Zugriff und Manipulation (Art. 32 DSGVO).
- Rechenschaftspflicht. Der Verantwortliche muss die Einhaltung der Grundsätze nachweisen können. Kein compliant sein ohne Dokumentation.
Wer mir sagt „Wir machen das seit Jahren so, das passt schon" und die Frage nach der Rechtsgrundlage nicht beantworten kann, ist im DSGVO-Sinne nicht compliant. Nicht, weil das Tun falsch wäre — sondern weil er es nicht beweisen kann.Nils Oehmichen · Datenschutzberater, frag.hugo
Welche Daten sind besonders geschützt?
Grundsätzlich gilt: Kein personenbezogenes Datum darf ohne Rechtsgrundlage (Art. 6 DSGVO) an Dritte weitergegeben werden. Die häufigsten Rechtsgrundlagen sind Einwilligung, Vertragserfüllung, rechtliche Verpflichtung oder berechtigte Interessen nach sorgfältiger Abwägung.
Besonders streng regelt Artikel 9 DSGVO die besonderen Kategorien personenbezogener Daten — umgangssprachlich sensible Daten:
- Gesundheitsdaten. Diagnosen, Medikamente, Laborwerte, psychische Erkrankungen.
- Genetische und biometrische Daten. DNA, Fingerabdrücke, Gesichtsscans, Retina-Scans.
- Ethnische Herkunft und rassische Zuordnung.
- Politische Meinungen. Parteimitgliedschaft, politisches Engagement.
- Religiöse oder weltanschauliche Überzeugungen.
- Gewerkschaftszugehörigkeit.
- Sexualleben und sexuelle Orientierung.
Diese Datenkategorien dürfen nur in engen Ausnahmefällen verarbeitet und weitergegeben werden — etwa mit ausdrücklicher Einwilligung (Art. 9 Abs. 2 lit. a) oder zu Zwecken der Gesundheitsvorsorge (lit. h). Auch Daten über strafrechtliche Verurteilungen sind nach Art. 10 DSGVO besonders geschützt.
Ebenfalls heikel: Daten Minderjähriger (Art. 8 DSGVO — Einwilligungsfähigkeit ab 16), Beschäftigtendaten (§ 26 BDSG) und Daten, die einem Berufsgeheimnis unterliegen (Ärzte, Anwälte, Steuerberater — § 203 StGB). Vertiefung: Welche Daten dürfen nicht an Dritte weitergegeben werden?.
Pflichten und Rollen
Jedes Unternehmen, das personenbezogene Daten verarbeitet, ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Damit verbunden sind konkrete Pflichten:
| Pflicht | Rechtsgrundlage | Praxis |
|---|---|---|
| Verzeichnis von Verarbeitungstätigkeiten (VVT) | Art. 30 DSGVO | Inventar aller Datenverarbeitungen |
| Datenschutzerklärung | Art. 13/14 DSGVO | Transparenz auf Website, Formularen, E-Mails |
| Auftragsverarbeitungsvertrag (AVV) | Art. 28 DSGVO | Mit jedem externen Dienstleister, der Daten verarbeitet |
| Datenschutzbeauftragter (DSB) | Art. 37 DSGVO / § 38 BDSG | Ab 20 MA, bei sensiblen Daten oder Kernüberwachung |
| Datenschutz-Folgenabschätzung (DSFA) | Art. 35 DSGVO | Vor Verarbeitungen mit hohem Risiko |
| Technisch-organisatorische Maßnahmen (TOM) | Art. 32 DSGVO | Verschlüsselung, Zugriffskontrolle, Backup |
| Meldung einer Datenpanne | Art. 33 DSGVO | Binnen 72 h an die Aufsichtsbehörde |
| Schulung der Beschäftigten | Art. 39 Abs. 1 lit. b | Jährliche Sensibilisierung, dokumentiert |
| Löschkonzept | Art. 5 Abs. 1 lit. e | Aufbewahrungsfristen pro Datenkategorie |
Die wichtigste Rolle im Unternehmen ist der Datenschutzbeauftragte. Er überwacht die Einhaltung der DSGVO, schult Mitarbeiter und ist Ansprechpartner für Betroffene und Aufsichtsbehörde. Für viele mittelständische Unternehmen lohnt sich ein externer Datenschutzbeauftragter — weil er unabhängig, rechtssicher qualifiziert und wirtschaftlich günstiger als eine interne Lösung ist. Die Alternative ist ein interner DSB, der zusätzlich zu seiner eigentlichen Aufgabe benannt wird — das kollidiert meist mit Interessenkonflikten (IT-Leiter, HR, Geschäftsführung dürfen nicht gleichzeitig DSB sein).
Acht Rechte für jede Person
Die DSGVO gewährt jeder natürlichen Person acht zentrale Rechte gegenüber Verantwortlichen. Unternehmen müssen innerhalb eines Monats reagieren (Art. 12 DSGVO), die Auskunft ist kostenlos.
- Auskunft (Art. 15). Welche Daten werden über mich verarbeitet?
- Berichtigung (Art. 16). Falsche Daten korrigieren lassen.
- Löschung (Art. 17, „Recht auf Vergessenwerden"). Daten endgültig entfernen lassen.
- Einschränkung der Verarbeitung (Art. 18). Daten einfrieren statt löschen.
- Datenübertragbarkeit (Art. 20). Export im gängigen Format erhalten.
- Widerspruch (Art. 21). Insbesondere gegen Werbung und Profiling.
- Keine automatisierte Entscheidung (Art. 22). Recht auf menschliche Prüfung bei Scoring, KI-Entscheidungen etc.
- Beschwerde bei der Aufsichtsbehörde (Art. 77). Jederzeit und kostenlos.
Jede Betroffenenanfrage ist eine Pflichtaufgabe — keine Kür. Wer Anfragen ignoriert, riskiert Bußgelder und Reputationsschäden. Der Klassiker aus der Praxis: Ehemalige Mitarbeiter bitten nach der Kündigung um Auskunft nach Art. 15 und Löschung nach Art. 17. Antwortet das Unternehmen nicht, landet der Fall bei der Aufsichtsbehörde.
Aufsicht und Datenpannen
In Deutschland gibt es keine zentrale Datenschutzbehörde, sondern 17 Aufsichtsbehörden: die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) für Bundesbehörden und Telekommunikation sowie 16 Landesdatenschutzbehörden (in Bayern zwei — für öffentliche und nicht-öffentliche Stellen).
Für Unternehmen mit Sitz in Hamburg ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) zuständig. Die Aufsichtsbehörden haben eine Doppelrolle: Beratung und Sanktion. In der Praxis ist die Beratungsfunktion gerade für KMU ein unterschätztes Angebot.
Datenpannen — formell „Verletzungen des Schutzes personenbezogener Daten" nach Art. 4 Nr. 12 DSGVO — müssen nach Art. 33 binnen 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden, wenn ein Risiko für die betroffenen Personen besteht. Bei hohem Risiko (Leaks von Gesundheitsdaten, Zugangsdaten mit Missbrauchsrisiko) sind die Betroffenen nach Art. 34 zusätzlich zu informieren. Wie das praktisch geht: Datenpanne melden — die 72-Stunden-Frist.
Bußgeld und Verstöße
Art. 83 DSGVO unterscheidet zwei Bußgeld-Kategorien. Maßgeblich ist immer der höhere Betrag.
Formale Verstöße: VVT, DSB, TOM, fehlende Datenpanne-Meldung.
Grundsatz-Verstöße: Art. 5/6/9, Betroffenenrechte, unrechtmäßige Verarbeitung.
In Deutschland haben die Aufsichtsbehörden seit 2018 Bußgelder im dreistelligen Millionenbereich verhängt. Typische Verstöße: fehlende Rechtsgrundlage bei Cookie-Bannern, unsaubere AVV, nicht gemeldete Datenpannen, fehlende Auskunftserteilung, unzureichende TOM, Weitergabe sensibler Daten ohne Einwilligung.
Ein einfacher Leitfaden: Wer Art. 5, Art. 6, Art. 32 und die Betroffenenrechte einhält und das dokumentiert, wird bei einer Prüfung in der Regel nicht zur Kasse gebeten. Verstöße entstehen dort, wo niemand strukturiert nachhält, was passiert.
Datenschutz vs. Datensicherheit
Datenschutz und Datensicherheit werden oft synonym verwendet — zu Unrecht. Beide Disziplinen ergänzen sich, sind aber unterschiedliche Sachen.
Datenschutz regelt rechtlich, WER personenbezogene Daten WARUM verarbeiten darf. Er legt Rechtsgrundlagen, Grundsätze und Betroffenenrechte fest.
Datensicherheit schützt technisch und organisatorisch DASS Daten nicht verloren, gestohlen oder manipuliert werden. Sie umfasst Verschlüsselung, Backup, Zugriffskontrolle, Firewall, Incident Response — und greift auch für nicht-personenbezogene Daten (Konstruktionspläne, Finanzdaten, Geschäftsgeheimnisse).
Art. 32 DSGVO verbindet beide Welten: Wer personenbezogene Daten verarbeitet, muss angemessene technisch-organisatorische Maßnahmen treffen. Datensicherheit ist hier ein Teilaspekt des Datenschutzes, geht aber inhaltlich darüber hinaus. Mehr in Informationssicherheit vs. Datenschutz.
Datenschutz im Internet
Datenschutz im Internet ist ein Sonderfall — und für die meisten Unternehmen der erste Berührungspunkt mit der DSGVO. Jede Website erhebt personenbezogene Daten: IP-Adresse, Cookies, Nutzungsverhalten, Formular-Eingaben.
Drei Themenfelder sind kritisch:
- Cookies & Consent. Technisch nicht notwendige Cookies (Analytics, Marketing, Social Media) dürfen nach § 25 TTDSG/TDDDG nur mit vorheriger Einwilligung gesetzt werden. Ein Cookie-Banner, das „OK" und „Ablehnen" gleichwertig darstellt, ist Pflicht.
- Tracking-Tools. Google Analytics, Matomo, Hotjar, Facebook Pixel — alle erfordern eine aktive Einwilligung. Ohne: Bußgelder und Abmahnungen.
- Datenschutzerklärung. Pflicht auf jeder Website (Art. 13 DSGVO). Sie muss aktuell sein, alle eingesetzten Dienste nennen und leicht auffindbar sein — idealerweise im Footer verlinkt.
Schnell prüfen, ob Ihre Website den DSGVO-Anforderungen entspricht? Unser kostenloser Hugo Check analysiert 29 Punkte automatisch: Cookies, Consent, Google Fonts, Tracking, SSL, Datenschutzerklärung.
Beschäftigtendatenschutz
Arbeitgeber verarbeiten umfangreich personenbezogene Daten ihrer Mitarbeiter: Bewerbungsunterlagen, Gehalt, Arbeitszeitkonto, Krankmeldungen, Leistungsbeurteilungen, Zugangsdaten. § 26 BDSG regelt das als eigenen Anwendungsbereich.
Die Grundregel: Beschäftigtendaten dürfen nur verarbeitet werden, soweit es für die Begründung, Durchführung oder Beendigung eines Arbeitsverhältnisses erforderlich ist — oder eine Einwilligung vorliegt. Typische Konflikte: Videoüberwachung am Arbeitsplatz, Monitoring von E-Mail und Internet, GPS-Tracking bei Firmenfahrzeugen, Alkohol- und Drogentests.
Dazu kommen Mitbestimmungsrechte des Betriebsrats nach § 87 BetrVG. Unternehmen ab einer bestimmten Größe benötigen klare Regeln, wie Mitarbeiterdaten verarbeitet werden. Vertiefung: Beschäftigtendatenschutz — der Leitfaden.
Die Datenschutz-Checkliste
Datenschutz im Unternehmen ist ein Prozess, kein Projekt. Wer pragmatisch startet, arbeitet sich in dieser Reihenfolge durch:
- Datenschutzbeauftragten benennen. Intern oder extern. Externer DSB bietet Unabhängigkeit und volle Haftungsübernahme.
- Bestandsaufnahme aller Datenverarbeitungen. Von HR über CRM bis zur Website — jede Stelle, an der Daten entstehen, ist relevant.
- VVT erstellen. Das Verzeichnis von Verarbeitungstätigkeiten ist das Inventar. Ohne VVT ist keine Rechenschaftspflicht erfüllbar.
- Rechtsgrundlagen festlegen. Für jede Verarbeitung die passende Rechtsgrundlage nach Art. 6 (und ggf. Art. 9) DSGVO dokumentieren.
- AVV abschließen. Mit jedem Cloud-Anbieter, jedem Tool-Provider, jedem Dienstleister, der Daten verarbeitet.
- Datenschutzerklärung aktualisieren. Transparent, vollständig, auffindbar. Pflicht nach Art. 13/14 DSGVO.
- Technisch-organisatorische Maßnahmen umsetzen. Verschlüsselung, Passwortrichtlinie, 2-Faktor, Backup, Zugriffsrollen.
- Löschkonzept erstellen. Pro Datenkategorie: Aufbewahrungsfrist, Löschregel, Verantwortlicher.
- Mitarbeiter schulen. Jährlich, dokumentiert — idealerweise mit e-Learning-Plattform und Phishing-Simulation.
- Dokumentieren und prüfen. Alle Maßnahmen, Entscheidungen, Anfragen. Jährlicher Audit.
Zum Thema
Datenschutz — was Menschen fragen.
Was versteht man unter Datenschutz?
Welche Daten dürfen nicht an Dritte weitergegeben werden?
Welche sind die Prinzipien des Datenschutzes?
Wann ist der Datenschutz verletzt?
Warum ist Datenschutz wichtig?
Was ist der Unterschied zwischen Datenschutz und Datensicherheit?
Ab wann braucht mein Unternehmen einen Datenschutzbeauftragten?
Datenschutz mit Plan. Nicht mit Paragrafen.
Wir übernehmen den Datenschutz in Ihrem Unternehmen — persönlich, mit eigener Plattform. 15-Min-Erstgespräch mit Nils.
