DSGVO Ratgeber: Datenschutz sicher umsetzen

Die DSGVO ist kein starres Gesetz. Alle vier Jahre wird sie von der Europäischen Kommission evaluiert. Dabei prüft sie, ob die Verordnung noch zeitgemäß ist und ob Änderungen nötig sind. Die Ergebnisse werden in einem Bericht an das EU-Parlament und den Rat veröffentlicht. Auch die Mitgliedstaaten bringen sich aktiv ein, etwa durch Rückmeldungen über Herausforderungen in der Umsetzung.

Personenbezogene Daten können viel über eine Person verraten. Sie betreffen ihre Privatsphäre, ihre Sicherheit und oft auch ihre Würde. Deshalb ist es entscheidend, wer Zugriff auf diese Informationen hat und was damit passiert. Besonders sensible Daten – wie z. B. Angaben zur Gesundheit, Religion oder sexuellen Orientierung – unterliegen einem zusätzlichen Schutz. Die DSGVO nennt sie „besondere Kategorien personenbezogener Daten“ und erlaubt deren Verarbeitung nur unter sehr strengen Bedingungen (Art. 9 DSGVO). Ein zentrales Betroffenenrecht im Zusammenhang mit personenbezogenen Daten ist das Auskunftsrecht nach Art. 15 DSGVO: Jede Person kann von einem Unternehmen oder einer Behörde verlangen, Auskunft darüber zu erhalten, ob und welche Daten über sie verarbeitet werden und zu welchem Zweck.

DSGVO oder BDSG: Wann greift welches Gesetz?

Die Datenschutz-Grundverordnung bildet den einheitlichen Datenschutzrahmen in der gesamten Europäischen Union. Doch neben diesem EU-weiten Regelwerk existiert in Deutschland weiterhin auch das Bundesdatenschutzgesetz (BDSG) – was auf den ersten Blick für Verwirrung sorgen kann. Was also unterscheidet die beiden Regelwerke? Und wann greift welches?

Da die DSGVO eine Verordnung der Europäischen Union ist, bedeutet das: Sie gilt unmittelbar in allen Mitgliedstaaten, ohne dass sie erst in nationales Recht umgesetzt werden muss. Das BDSG hingegen ist ein nationales Gesetz, das dort Anwendung findet, wo die DSGVO öffentliche Spielräume lässt, in sogenannten „Öffnungsklauseln“. Das BDSG ergänzt die DSGVO etwa in folgenden Bereichen:

• Regelungen zur Datenverarbeitung im Beschäftigungskontext (beispielsweise Arbeitnehmerdaten)
• Benennungspflicht eines Datenschutzbeauftragten für alle Unternehmen, die mindestens 20 Personen mit der Verarbeitung personenbezogener Daten beschäftigen
• Verarbeitung zu wissenschaftlichen oder statistischen Zwecken
• Maßnahmen zur Datenverarbeitung durch öffentliche Stellen

Klar ist, dass die DSGVO Vorrang hat – denn sie ist europäisches Recht und steht damit über nationalem Recht wie dem BDSG. Das bedeutet, soweit die DSGVO eine abschließende Regelung trifft, darf das BDSG nicht davon abweichen. Für Unternehmen und Verantwortliche in Deutschland heißt das: Sie müssen bei der Verarbeitung von persönlichen Daten sowohl die Regeln der DSGVO als auch die Vorgaben des BDSG einhalten, um rechtlich korrekt zu handeln.

Nachdem geklärt ist, wann personenbezogene Daten verarbeitet werden dürfen, stellt sich die nächste zentrale Frage: Wie müssen diese Daten verarbeitet werden, um DSGVO konform zu handeln? Die Antwort liefert Art. 5 der Datenschutz-Grundverordnung. Er legt die sogenannten Grundsätze für die Verarbeitung personenbezogener Daten fest. Diese Prinzipien bilden das ethische und rechtliche Fundament jeder Datenverarbeitung im Sinne der DSGVO. Die sieben DSGVO Grundsätze im Überblick:

1. Rechtmäßigkeit, Verarbeitung nach Treue und Glauben, Transparenz: Die Verarbeitung muss auf einer rechtlichen Grundlage beruhen und für die betroffene Person transparent und nachvollziehbar sein.

2. Zweckbindung: Daten dürfen nur für den angegebenen, legitimen Zweck erhoben werden und nicht in einer Weise weiterverarbeitet werden, die mit diesen Zwecken unvereinbar ist.

3. Datenminimierung: Es dürfen nur so viele Daten verarbeitet werden, wie für den jeweiligen Zweck erforderlich. Datenverarbeitung „auf Vorrat“ widerspricht diesem Grundsatz.

4. Richtigkeit: Die verarbeiteten Daten müssen sachlich korrekt und aktuell sein. Unrichtige Daten sind unverzüglich zu berichtigen oder zu löschen.

5. Speicherbegrenzung: Daten dürfen nur so lange gespeichert werden, wie es für den Zweck erforderlich ist. Danach müssen sie gelöscht oder anonymisiert werden.

6. Integrität und Vertraulichkeit: Es müssen geeignete technische und organisatorische Maßnahmen getroffen werden, um personenbezogene Daten vor unbefugtem Zugriff, Verlust oder Zerstörung zu schützen.

7. Rechenschaftspflicht: Der oder die Verantwortliche muss in der Lage sein, die Einhaltung aller oben genannten Grundsätze nachzuweisen. Dokumentation und interne Prozesse spielen hier eine zentrale Rolle.

Was bedeutet DSGVO-konforme Datenverarbeitung für die Praxis in Unternehmen?

DSGVO konformes Handeln bedeutet mehr, als nur eine Einwilligung einzuholen. Die oben genannten Grundsätze müssen vom ersten bis zum letzten Schritt einer Datenverarbeitung eingehalten werden – von der Datenerhebung über die Speicherung bis hin zur Löschung. Unternehmen sollten also auf Folgendes achten:

• Datenschutz bereits bei der Planung („Privacy by Design“)
• Technische und organisatorische Schutzmaßnahmen
• Transparenzpflichten gegenüber betroffenen Personen
• Regelmäßige Schulungen und Audits
• Dokumentation der Verarbeitungstätigkeiten

Wer unterliegt der DSGVO? Verantwortlichkeit und Geltungsbereich

Die Europäische Kommission betont, dass die DSGVO für alle gilt, die personenbezogene Daten von Menschen in der EU verarbeiten, unabhängig davon, wo das Unternehmen seinen Sitz hat. Dies umschließt also konkret:

• Unternehmen mit Sitz in der EU: Sobald personenbezogene Daten im Rahmen einer Tätigkeit innerhalb der EU verarbeitet werden, unabhängig davon, wo technisch gesehen die Verarbeitung stattfindet.
• Unternehmen außerhalb der EU: Wenn Waren oder Dienstleistungen an Personen in der EU angeboten werden (egal ob kostenpflichtig oder kostenlos) oder deren Verhalten beobachtet wird (beispielsweise durch Webtracking), gilt die DSGVO ebenfalls. Beispiel: Ein Online-Shop mit Sitz in den USA, der Produkte in die EU verkauft und Kundendaten erfasst, muss DSGVO konform handeln.

Dieses sogenannte Marktortprinzip stellt sicher, dass Datenschutz nicht an Grenzen endet. Auch kleine und mittlere Unternehmen (KMU) müssen die DSGVO einhalten, allerdings mit einigen Ausnahmen, etwa bei der Pflicht zur Benennung eines oder einer Datenschutzbeauftragten. Sie sind dann von einigen Pflichten der DSGVO ausgenommen, wenn die Verarbeitung nicht zu den Kerntätigkeiten des Unternehmens gehört und die Tätigkeit kein hohes Risiko für die Rechte und Freiheiten der Betroffenen darstellt. Beispiele: Ein E-Business darf die Daten der Kund:innen zu Garantiezwecke sowie Finanznachweisen speichern. Ebenso dürfen Vergabestellen im Zuge der eVergabe die eingehenden Angebote sowie Daten der Bieter:innen speichern, um die Angebote zu vergleichen.

Wann und wo gilt die DSGVO?

Die DSGVO greift immer dann, wenn personenbezogene Daten verarbeitet werden, also zum Beispiel erhoben, gespeichert, weitergegeben oder gelöscht werden. Dabei ist es egal, ob das automatisch durch Software geschieht oder manuell, etwa in einer strukturierten Dateiablage. Entscheidend ist, dass die Informationen sich auf eine identifizierbare Person beziehen und in einem geordneten System gespeichert sind oder werden sollen. Mit anderen Worten: Sobald personenbezogene Daten in irgendeiner Weise organisiert verarbeitet werden, etwa in einer Kundendatenbank, einer Excel-Tabelle oder einer Bewerbermappe, ist die DSGVO anwendbar.

Die Datenschutz-Grundverordnung sorgt innerhalb der EU für einheitliche Datenschutzstandards. Sobald personenbezogene Daten jedoch in sogenannte Drittländer, also Staaten außerhalb der EU, übermittelt werden sollen, wird es komplizierter. Hier setzt die DSGVO (Art. 44 bis 50) strenge Regeln.

Grundsatz:

Bevor Daten in ein Drittland fließen, muss geprüft werden, ob dort ein vergleichbares Schutzniveau wie in der EU herrscht. Ist das nicht der Fall, sind zusätzliche Schutzmaßnahmen notwendig. Der einfachste Weg: Wenn die EU-Kommission entschieden hat, dass ein Drittland ein angemessenes Datenschutzniveau bietet (Angemessenheitsbeschluss nach Art. 45 DSGVO), dürfen Daten ohne weitere besondere Vorkehrungen übermittelt werden. Beispiele für Länder mit Angemessenheitsbeschluss sind Japan, Schweiz, Argentinien oder Neuseeland.

Wichtiger Hintergrund:

Der Europäische Gerichtshof hat im sogenannten „Schrems II“ Urteil 2020 den damaligen Angemessenheitsbeschluss für die USA („Privacy Shield“) gekippt. Als Reaktion darauf hat die EU-Kommission 2021 neue, flexiblere Standardvertragsklauseln eingeführt. Diese decken verschiedene Konstellationen ab, etwa den Datentransfer zwischen einem EU-Unternehmen und einem Dienstleister im Ausland. Außerdem gibt es seit Juli 2023 das neue „Data Privacy Framework“. US-Unternehmen, die sich danach zertifizieren lassen, gelten als datenschutzkonform. Für Datenübermittlungen an solche Unternehmen ist weder eine Einzelfallprüfung noch der Abschluss von Standardvertragsklauseln nötig.

Bereits in einem früheren Abschnitt haben wir uns mit den rechtlichen Grundlagen befasst, die eine Verarbeitung personenbezogener Daten nach Art. 6 Abs. 1 DSGVO ermöglichen. In diesem Kapitel widmen wir uns nun einer dieser Grundlagen genauer: der Einwilligung. Sie spielt besonders in Bereichen wie E-Mail-Marketing, Nutzeranalysen oder dem Einsatz externer Dienste eine wichtige Rolle, also überall dort, wo keine andere rechtliche Grundlage greift. Eine rechtmäßige Einwilligung muss dabei mehrere Kriterien erfüllen. Hier sind die wichtigsten Aspekte, die bei einer Einwilligung beachtet werden müssen:

1. Aktive und unmissverständliche Willensbekundung: Die Einwilligung muss durch eine bewusste, aktive Handlung der betroffenen Person erfolgen. Ein einfaches Ankreuzen eines Kästchens, das bereits vorausgewählt ist, oder das bloße Weiternutzen eines Dienstes sind keine gültigen Formen der Einwilligung. Es muss ein klares, aktives Signal der Zustimmung gegeben werden, beispielsweise durch das Setzen eines Häkchens oder das Klicken auf eine Schaltfläche.

2. Freiwilligkeit der Einwilligung: Die Einwilligung muss freiwillig erteilt werden. Das bedeutet, dass die betroffene Person eine echte Wahl hat – sie muss die Möglichkeit haben, ihre Einwilligung jederzeit ohne Nachteile zu verweigern oder zurückzuziehen.

3. Informiertheit der betroffenen Person: Bevor jemand seine Einwilligung gibt, muss er oder sie genau wissen, worauf sie sich einlässt. Die betroffene Person muss darüber informiert werden, wer die Daten verarbeitet, zu welchen Zwecken die Daten genutzt werden und welche Art von Daten verarbeitet wird. Ebenso muss der Hinweis auf das Recht zum jederzeitigen Widerruf der Einwilligung klar verständlich sein.

4. Dokumentation und Nachweisbarkeit: Obwohl die DSGVO keine bestimmte Form für die Einwilligung vorschreibt, muss diese dokumentiert und nachweisbar sein. Im Falle von Prüfungen durch die Aufsichtsbehörde oder im Streitfall muss die verantwortliche Person belegen können, dass die Einwilligung korrekt erteilt wurde. Das kann durch das Erstellen von Protokollen oder das Abspeichern von Bestätigungen geschehen.

5. Widerruf der Einwilligung: Die Einwilligung kann jederzeit widerrufen werden – und der Widerruf muss genauso einfach sein wie die Erteilung. Der Widerruf gilt jedoch nur für zukünftige Verarbeitungen, nicht für bereits erfolgte.

Häufige Fehler

In der Praxis kommen bei der Gestaltung von Einwilligungen des Öfteren typische Fehler vor. Zu den häufigsten Fehlern zählen unklare oder zu allgemein formulierte Einwilligungstexte, die den Betroffenen nicht ausreichend über Zweck und Umfang der Datenverarbeitung informieren. Ebenfalls problematisch ist die Voreinstellung von Einwilligungsfeldern (sogenannte „Opt-out“ Lösungen), die nach der DSGVO unzulässig sind. Eine wirksame Einwilligung erfordert immer eine aktive Handlung („Opt-in“). Ein weiterer gängiger Fehler ist es, die Einwilligung von der Erfüllung eines Vertrages abhängig zu machen, obwohl diese nicht für die Vertragserfüllung notwendig ist (Koppelungsverbot). Auch eine einfache Möglichkeit zum Widerruf der Einwilligung muss gegeben sein, denn sonst liegt ein Verstoß gegen die Transparenz- und Kontrollpflichten der DSGVO vor.

Praxis-Tipps für Unternehmen

Damit Unternehmen auf der sicheren Seite sind, sollten sie Einwilligungen klar, transparent und benutzerfreundlich einholen. Die Sprache muss einfach und verständlich sein, und die verschiedenen Zwecke der Datenverarbeitung müssen eindeutig voneinander getrennt werden. Betroffene müssen über ihre Rechte informiert werden, etwa über ihr Auskunftsrecht sowie das Recht auf Berichtigung, Löschung und Widerspruch. Auch der Widerruf der Einwilligung sollte ebenso unkompliziert sein wie ihre Erteilung – ein gut sichtbarer „Abmelden“-Link ist hier eine einfache Lösung. Zudem muss jede Einwilligung sorgfältig dokumentiert werden, um im Falle einer Kontrolle nachweisen zu können, wann und unter welchen Bedingungen die Zustimmung erteilt wurde.

Ein Beispiel: H&M wurde wegen der unzulässigen, jahrelangen Speicherung sensibler Daten seiner Beschäftigten in Nürnberg zu einem Bußgeld von über 35 Millionen Euro verurteilt. Erfasst wurden private Details wie Krankheiten und familiäre Probleme, die für Führungskräfte einsehbar waren und zur Profilbildung dienten. Dies stellte einen klaren Verstoß gegen Art. 6 Abs. 1 DSGVO dar. Bei kleineren Unternehmen sind auch kleinere Beträge als Bußgelder möglich. Der DSGVO-Bußgeldrahmen ist nicht abschließend – Mitgliedstaaten können laut Art. 84 eigene Sanktionen festlegen, solange sie wirksam, verhältnismäßig und abschreckend sind. Für die Durchsetzung ist die nationale Aufsichtsbehörde zuständig. Neben Geldbußen können auch weitere Maßnahmen drohen, etwa ein Verbot oder eine Einschränkung der Datenverarbeitung.

Um Bußgelder zu vermeiden, sollten Unternehmen regelmäßig ihren Datenschutz prüfen lassen. Bei Unsicherheiten helfen Fachanwält:innen – besonders in Metropolen wie Düsseldorf, Hamburg oder Frankfurt am Main finden sich kompetente Ansprechpartner. Zur praktischen Umsetzung der DSGVO setzen viele Unternehmen auf Datenschutzmanager:innen. Anders als gesetzlich vorgeschriebene Datenschutzbeauftragte (DSB) sind Datenschutzmanager:innen operativ tätig: Er oder sie sorgt für die Einhaltung datenschutzrechtlicher Vorgaben im Alltag, koordiniert Prozesse, unterstützt bei Audits und schult Mitarbeitende. Die Rolle ist besonders in mittleren und großen Unternehmen sinnvoll, um Datenschutz strukturiert in die Unternehmenspraxis zu integrieren.

Im Rahmen von öffentlichen Ausschreibungen stellt die Datenschutz-Grundverordnung ebenfalls klare Anforderungen an die Verarbeitung personenbezogener Daten. Auftraggeber:innen müssen unter anderem sicherstellen, dass Daten nur im notwendigen Umfang erhoben, sicher übertragen und betroffene Personen umfassend informiert werden. Auch bei internationalen Vergaben und dem Einsatz von Subunternehmer:innen gelten besondere datenschutzrechtliche Pflichten, etwa durch den Abschluss von Auftragsverarbeitungsverträgen. Viele praktische Fragen, beispielweise zum Umgang mit Referenzen oder Eignungsnachweisen, behandelt unser ausführlicher Beitrag „Datenschutz im Vergabeverfahren“. Dort finden sich auch konkrete Hinweise zum Schutz personenbezogener Daten in der eVergabe sowie zu möglichen Sanktionen bei Verstößen. Wer sich darüber hinaus einen Überblick verschaffen möchte, welche DSGVO-Pflichten ganz allgemein auf öffentliche Auftraggeber:innen zukommen – beispielsweise zu Informationspflichten, rechtlichen Grundlagen oder zur Bedeutung relevanter Beschlüsse –, wird in unserem Artikel „DSGVO für Auftraggeber:innen“ fündig.

Die Datenschutz-Grundverordnung ist längst ein unverzichtbarer Bestandteil moderner Unternehmens- und Verwaltungspraxis. Sie stellt sicher, dass personenbezogene Daten innerhalb der EU geschützt werden, während gleichzeitig der freie Datenverkehr gewährleistet bleibt. Die DSGVO betrifft nicht nur Unternehmen innerhalb der EU, sondern auch solche, die mit europäischen Bürger:innen interagieren. Der Schutz personenbezogener Daten erfordert ein durchdachtes Datenschutzmanagement, klare Prozesse und regelmäßige Sensibilisierung der Mitarbeitenden. Wichtig ist es, bereits bei der Erhebung von Daten auf Rechtmäßigkeit und Transparenz zu achten, nur die wirklich notwendigen Daten zu verarbeiten und geeignete technische sowie organisatorische Schutzmaßnahmen umzusetzen. Eine wirksame Einwilligung, der richtige Umgang mit internationalen Datentransfers sowie die sorgfältige Dokumentation der Datenverarbeitungsprozesse sind unverzichtbare Bestandteile eines DSGVO konformen Vorgehens. Unternehmen sollten zudem regelmäßig ihre Datenschutzvereinbarungen und internen Prozesse überprüfen und bei Bedarf anpassen. Wer die Anforderungen der DSGVO ignoriert oder nur halbherzig umsetzt, riskiert erhebliche Konsequenzen: hohe Bußgelder, Reputationsverluste und rechtliche Auseinandersetzungen sind die häufigsten Folgen. Schon kleinere Versäumnisse können zu teuren Datenschutzverstößen führen. Es lohnt sich daher, in eine nachhaltige Datenschutzstrategie zu investieren.