Die DSGVO.
Ohne Paragrafen-Lyrik.
Die Datenschutz-Grundverordnung gilt seit dem 25. Mai 2018 in der gesamten EU. Sie regelt, wie Unternehmen personenbezogene Daten verarbeiten dürfen — und bestraft Verstöße mit bis zu 20 Mio. Euro. Dieser Leitfaden erklärt die sieben Grundsätze, die Pflichten für Unternehmen und die Umsetzung in acht Schritten.
8 Sektionen, ein Thema.
Gedacht für Geschäftsführer, Datenschutzkoordinatoren und IT-Verantwortliche, die wissen wollen, was die Verordnung konkret verlangt — und wie man sie pragmatisch umsetzt.
Was ist die DSGVO?
Die Datenschutz-Grundverordnung — offiziell Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten — ist das zentrale europäische Gesetz zum Schutz personenbezogener Daten. In Abkürzung: DSGVO. Auf Englisch: General Data Protection Regulation (GDPR).
Die DSGVO ist eine EU-Verordnung, keine Richtlinie. Sie gilt unmittelbar in allen 27 EU-Mitgliedstaaten und schafft erstmals einen einheitlichen Rechtsrahmen für den Umgang mit personenbezogenen Daten. Jeder Mitgliedstaat ergänzt sie durch nationale Gesetze — in Deutschland ist das Bundesdatenschutzgesetz (BDSG), das als Ausführungsgesetz zu bestimmten Öffnungsklauseln dient.
Die DSGVO enthält 99 Artikel und 173 Erwägungsgründe. Sie ist in elf Kapitel gegliedert und regelt alles vom Anwendungsbereich über die Rechte der betroffenen Person bis zu den Sanktionen. Im Zentrum steht ein einfaches Prinzip: Der Schutz personenbezogener Daten ist ein Grundrecht — und jeder Mensch darf selbst entscheiden, wer was über ihn weiß.
Seit wann gilt die DSGVO?
Die DSGVO trat am 24. Mai 2016 in Kraft, nach ihrer Veröffentlichung im Amtsblatt der EU. Zum Schutz der Unternehmen und Behörden galt jedoch eine zweijährige Übergangsfrist. Erst ab dem 25. Mai 2018 ist die Datenschutz-Grundverordnung in allen EU-Mitgliedstaaten unmittelbar anwendbar.
Die DSGVO löste die alte Datenschutzrichtlinie 95/46/EG ab, die seit 1995 galt. Während die alte Richtlinie von jedem Mitgliedstaat einzeln umgesetzt werden musste und so einen Flickenteppich erzeugte, gilt die Verordnung (EU) 2016/679 automatisch und einheitlich überall. Das ist der Kern des EU-Datenschutzrechts seit Mai 2018.
Für wen gilt die DSGVO?
Der Anwendungsbereich der DSGVO ist weit. Sie greift in drei Konstellationen, die in Art. 3 geregelt sind:
- Niederlassungsprinzip. Jeder Verantwortliche mit Niederlassung in der EU fällt unter die DSGVO — unabhängig davon, wo die Daten verarbeitet werden. Ein Hamburger Handwerksbetrieb mit AWS-Server in Frankfurt? DSGVO.
- Marktortprinzip. Auch außereuropäische Anbieter unterliegen der DSGVO, sobald sie Waren oder Dienstleistungen an EU-Bürger anbieten oder deren Verhalten beobachten. Ein US-Shop mit deutschem Checkout oder eine App, die in der EU getrackt wird, muss DSGVO-konform sein.
- Völkerrechtliche Anwendung. Die DSGVO gilt auch dort, wo EU-Recht kraft Völkerrechts anwendbar ist — etwa in EU-Botschaften.
Es gibt keine Bagatellgrenze. Selbst ein Einzelunternehmer, der eine einzige Kundenliste in Excel pflegt, verarbeitet personenbezogene Daten im Sinne der DSGVO. Die Unternehmensgröße beeinflusst nur die konkreten Pflichten (etwa die Pflicht zur Benennung eines Datenschutzbeauftragten), nicht aber die grundsätzliche Anwendbarkeit.
Ausgenommen sind nur rein private und familiäre Tätigkeiten (Art. 2 Abs. 2 lit. c DSGVO) — das Adressbuch auf Ihrem Handy unterliegt nicht der DSGVO. Sobald Daten jedoch zu geschäftlichen Zwecken verarbeitet werden, greift die Verordnung.
Die sieben Grundsätze nach Artikel 5
Artikel 5 DSGVO formuliert sieben Grundsätze, an denen sich jede Verarbeitung personenbezogener Daten messen lassen muss. Sie sind das Fundament der gesamten Verordnung — wer sie einhält, erfüllt den Kern der Datenschutz-Grundverordnung.
- Rechtmäßigkeit, Treu und Glauben, Transparenz. Jede Verarbeitung braucht eine Rechtsgrundlage aus Art. 6 DSGVO (Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse, berechtigte Interessen). Betroffene müssen klar verstehen, was mit ihren Daten passiert.
- Zweckbindung. Daten dürfen nur für den Zweck verwendet werden, für den sie erhoben wurden. Wer Kundenadressen zur Lieferung erhebt, darf sie nicht ohne weiteres für Werbung nutzen.
- Datenminimierung. Es werden nur die Daten verarbeitet, die für den konkreten Zweck tatsächlich erforderlich sind. Geburtsdatum für die Newsletter-Anmeldung? Überflüssig.
- Richtigkeit. Daten müssen sachlich richtig und aktuell sein. Falsche Daten sind zu berichtigen oder zu löschen.
- Speicherbegrenzung. Personenbezogene Daten werden nur so lange gespeichert, wie es der Zweck erfordert. Danach: löschen oder anonymisieren. Genau hier greift das Löschkonzept.
- Integrität und Vertraulichkeit. Technische und organisatorische Maßnahmen (TOM, Art. 32) müssen die Daten vor unbefugtem Zugriff, Verlust und Manipulation schützen.
- Rechenschaftspflicht. Der Verantwortliche muss die Einhaltung der sechs materiellen Grundsätze nachweisen können. Das ist der siebte Grundsatz und der eigentliche Game-Changer der DSGVO: nicht nur compliant sein — sondern beweisen, dass man es ist.
Der siebte Grundsatz — Rechenschaft — ist der eigentliche Kulturbruch. Früher reichte es, Datenschutz „irgendwie zu machen". Seit der DSGVO müssen Sie Ihre Entscheidungen dokumentieren.Nils Oehmichen · Datenschutzberater, frag.hugo
Acht Rechte. Ein Monat. Kostenlos.
Die DSGVO gibt jeder betroffenen Person acht starke Rechte gegenüber Unternehmen und Behörden. Unternehmen müssen auf entsprechende Anfragen innerhalb eines Monats reagieren (Art. 12 DSGVO). Die Auskunft ist kostenlos.
| Artikel | Recht | Was das heißt |
|---|---|---|
| Art. 15 | Auskunft | Welche Daten hat das Unternehmen über mich? |
| Art. 16 | Berichtigung | Falsche Daten korrigieren lassen |
| Art. 17 | Löschung („Recht auf Vergessenwerden") | Daten endgültig entfernen lassen |
| Art. 18 | Einschränkung der Verarbeitung | Daten einfrieren statt löschen |
| Art. 20 | Datenübertragbarkeit | Daten als maschinenlesbaren Export erhalten |
| Art. 21 | Widerspruch | Insbesondere gegen Werbung und Profiling |
| Art. 22 | Keine automatisierte Entscheidung | Recht auf menschliche Prüfung |
| Art. 77 | Beschwerde bei der Aufsichtsbehörde | Direkt an die zuständige Datenschutzbehörde |
Die Verletzung des Schutzes personenbezogener Daten (Datenpanne) muss nach Art. 33 DSGVO innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet werden. Ist die Panne mit hohem Risiko für die betroffenen Personen verbunden, sind diese nach Art. 34 zusätzlich unverzüglich zu benachrichtigen. Details in unserem Leitfaden Datenpanne melden: Die 72-Stunden-Frist.
Was Unternehmen konkret tun müssen
Wer personenbezogene Daten verarbeitet, ist Verantwortlicher nach Art. 4 Nr. 7 DSGVO — und hat damit eine Reihe konkreter Pflichten. Die wichtigsten im Überblick:
- Verzeichnis von Verarbeitungstätigkeiten (VVT). Nach Art. 30 DSGVO dokumentieren Sie jede Verarbeitung personenbezogener Daten. Kleine Unternehmen (unter 250 Mitarbeiter) sind befreit, sofern die Verarbeitung nicht regelmäßig, risikobehaftet oder sensibel ist — in der Praxis also selten.
- Rechtsgrundlage prüfen (Art. 6). Für jede Verarbeitung muss eine der sechs Rechtsgrundlagen greifen. Einwilligung, Vertragserfüllung und berechtigte Interessen sind die häufigsten.
- Datenschutzerklärung auf der Website. Nach Art. 13 DSGVO müssen Sie transparent informieren, welche Daten Sie wie lange und wozu verarbeiten.
- Auftragsverarbeitungsvertrag (AVV). Wenn ein Dienstleister Daten für Sie verarbeitet (Cloud-Hoster, E-Mail-Marketing-Tool, Payroll-Provider), schließen Sie nach Art. 28 DSGVO einen AVV ab. Mehr: AVV — Pflicht, Inhalte und typische Fehler.
- Datenschutzbeauftragter (DSB). Ein DSB ist nach Art. 37 DSGVO / § 38 BDSG verpflichtend bei: öffentlichen Stellen, Kerntätigkeit mit umfangreicher Überwachung, sensiblen Daten — und in Deutschland ab 20 Mitarbeitern, die regelmäßig personenbezogene Daten automatisiert verarbeiten. Mehr: externer Datenschutzbeauftragter.
- Datenschutz-Folgenabschätzung (DSFA, Art. 35). Bei Verarbeitungen mit voraussichtlich hohem Risiko (KI-Systeme, große Überwachungsprojekte) führen Sie vor Beginn eine DSFA durch. Details: DSFA-Anleitung.
- Technische und organisatorische Maßnahmen (TOM, Art. 32). Verschlüsselung, Zugriffskontrolle, Backup, Incident Response — alles, was Sicherheit der Verarbeitung konkret umsetzt.
- Löschkonzept. Personenbezogene Daten müssen gelöscht werden, sobald der Zweck entfällt. Ein Löschkonzept definiert Aufbewahrungsfristen pro Datenkategorie.
Bußgelder und Verstöße
Nach Art. 83 DSGVO drohen bei Verstößen zwei Bußgeld-Staffeln. Maßgeblich ist immer der höhere Betrag.
Formale Verstöße: fehlendes VVT, fehlender DSB, unzureichende TOM, fehlende Meldung einer Datenpanne.
Grundsatz-Verstöße: Verletzung Art. 5, Art. 6, Art. 9, Betroffenenrechte, unrechtmäßige Verarbeitung.
Bei Konzernen wird der weltweite Jahresumsatz der gesamten Unternehmensgruppe herangezogen — das erklärt, warum Sanktionen gegen Meta, Amazon oder TikTok in Milliardenhöhe möglich sind.
In Deutschland haben die Aufsichtsbehörden laut ihren Tätigkeitsberichten seit 2018 Bußgelder im dreistelligen Millionenbereich verhängt. Die häufigsten Verstöße: fehlende Rechtsgrundlage bei Cookie-Bannern, unsaubere AVV, nicht gemeldete Datenpannen, fehlende Auskunftserteilung nach Art. 15. Der Hamburger Datenschutzbeauftragte ist im deutschen Vergleich aktiv — siehe den jährlichen HmbBfDI-Tätigkeitsbericht.
Die DSGVO in 8 Schritten
DSGVO-Umsetzung ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Wer frisch einsteigt, arbeitet sich pragmatisch durch acht Stationen — genau in dieser Reihenfolge:
- Bestandsaufnahme. Welche personenbezogenen Daten verarbeitet Ihr Unternehmen? Welche Dienstleister sind involviert? Welche Rechtsgrundlage gilt?
- VVT erstellen. Das Verzeichnis ist Ihr Inventar. Ohne VVT wissen Sie nicht, was Sie tun — und können es auch nicht beweisen.
- AVV-Verträge abschließen. Jeder Auftragsverarbeiter braucht einen AVV nach Art. 28. Bestandsaufnahme der Tools (E-Mail, CRM, Cloud, Payroll) und AVV einholen.
- Datenschutzerklärung aktualisieren. Nach Art. 13 müssen Sie transparent machen, was Sie tun. Nutzen Sie unseren Hugo Check für 29 automatisierte Prüfpunkte.
- Datenschutzbeauftragten benennen. Intern oder extern. Für viele KMU ist ein externer DSB die wirtschaftlich überlegene Variante.
- TOM umsetzen. Verschlüsselung (TLS, Festplatten), Zugriffskontrolle, Backup, Incident Response.
- Löschkonzept erstellen. Pro Datenkategorie: Aufbewahrungsfrist, Löschregel, Verantwortlicher.
- Schulen und kontinuierlich verbessern. Jährliche Mitarbeiterschulungen, regelmäßige Audits, Anpassung an neue Verarbeitungen.
Zum Thema
DSGVO — was Menschen fragen.
Was ist die DSGVO einfach erklärt?
Was sind die 7 Grundsätze der DSGVO?
Wann liegt ein Verstoß gegen die DSGVO vor?
Was bedeutet die DSGVO für Privatpersonen?
Für wen gilt die DSGVO?
Welche Bußgelder drohen bei DSGVO-Verstößen?
DSGVO. Aber pragmatisch.
15 Minuten Erstgespräch mit Nils reichen, um zu klären, was Ihr Unternehmen wirklich braucht — und was nicht.
