DSGVO
Definition: Die Datenschutz-Grundverordnung (DSGVO) ist die zentrale EU-Verordnung zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten. Sie harmonisiert das Datenschutzrecht im Europäischen Wirtschaftsraum, stattet Betroffene mit umfassenden Rechten aus und verpflichtet Verantwortliche zu Rechenschaftspflicht, Technikfolgenabschätzung und hohen Bußgeldern bei Verstößen.
Rechtsrahmen und territoriale Reichweite
Die DSGVO bildet das Fundament des europäischen Datenschutzrechts. Sie gilt unmittelbar in allen Mitgliedstaaten der EU und des EWR, ohne dass es nationaler Umsetzungsgesetze bedarf. Ihre territoriale Reichweite ist bemerkenswert: Nicht nur Unternehmen mit Sitz in der EU sind betroffen. Auch Organisationen außerhalb der Union unterliegen der Verordnung, sobald sie Waren oder Dienstleistungen an Personen in der EU anbieten oder deren Verhalten beobachten. Das Marktortprinzip des Art. 3 Abs. 2 schafft damit einen globalen Compliance-Standard für jeden, der europäische Kunden adressiert.
Die Verordnung verfolgt einen risikobasierten Ansatz. Nicht jede Datenverarbeitung wird gleich behandelt. Je höher das Risiko für die Rechte und Freiheiten betroffener Personen, desto strenger die Anforderungen. Diese Abstufung reicht von bloßen Dokumentationspflichten über die Pflicht zur Datenschutz-Folgenabschätzung bis hin zur vorherigen Konsultation der Aufsichtsbehörde.
Die DSGVO ist kein bürokratisches Hindernis, sondern ein Qualitätsstandard für den Umgang mit dem wertvollsten Gut der digitalen Wirtschaft: Vertrauen.
Zentrale Pflichten für Verantwortliche und Auftragsverarbeiter
Die DSGVO etabliert ein mehrschichtiges Pflichtengefüge. Verantwortliche müssen die Rechtmäßigkeit jeder Verarbeitung nachweisen können. Die sechs Rechtsgrundlagen des Art. 6 – Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse und berechtigtes Interesse – bilden das Fundament. Das berechtigte Interesse fungiert dabei als flexibelste, aber auch am stärksten umstrittene Grundlage. Interessenabwägungen müssen dokumentiert und auf Anfrage vorgelegt werden können.
Technisch-organisatorische Maßnahmen (TOM) sind kein optionales Beiwerk. Stand der Technik, Implementierungskosten und Risikograd bestimmen das angemessene Schutzniveau. Verschlüsselung, Pseudonymisierung und Zugriffskontrollen gehören zum Standardrepertoire. Hinzu kommen:
- Verzeichnis von Verarbeitungstätigkeiten (Art. 30)
- Datenschutz-Folgenabschätzung bei hohen Risiken (Art. 35)
- Meldung von Datenschutzverletzungen binnen 72 Stunden (Art. 33)
- Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Art. 25)
- Bestellung eines Datenschutzbeauftragten unter bestimmten Voraussetzungen (Art. 37)
Auftragsverarbeiter sind seit der DSGVO nicht mehr bloße Erfüllungsgehilfen. Sie haften eigenständig, müssen eigene Aufzeichnungen führen und dürfen Subunternehmer nur mit Genehmigung des Verantwortlichen einschalten. Verträge zur Auftragsverarbeitung (AVV) sind Pflicht und müssen alle in Art. 28 genannten Punkte abdecken.
Betroffenenrechte und deren operative Umsetzung
Die DSGVO stattet betroffene Personen mit einem umfassenden Rechtebündel aus. Das Auskunftsrecht nach Art. 15 verpflichtet Unternehmen, innerhalb eines Monats vollständige Informationen über verarbeitete Daten, Verarbeitungszwecke und Empfänger zu liefern. Das Recht auf Löschung – das berühmte „Recht auf Vergessenwerden“ – ist jedoch nicht absolut. Es kollidiert mit Aufbewahrungspflichten aus Handels- und Steuerrecht und erfordert eine sorgfältige Abwägung im Einzelfall.
| Recht | Rechtsgrundlage | Frist | Typische Herausforderung |
|---|---|---|---|
| Auskunft | Art. 15 | 1 Monat | Daten aus unterschiedlichen Systemen aggregieren |
| Berichtigung | Art. 16 | Unverzüglich | Synchronisation über alle Datenbanken |
| Löschung | Art. 17 | Unverzüglich | Kollision mit gesetzlichen Aufbewahrungspflichten |
| Datenübertragbarkeit | Art. 20 | 1 Monat | Maschinenlesbares Format, interoperable Strukturen |
| Widerspruch | Art. 21 | Unverzüglich | Abwägung bei Direktmarketing vs. berechtigtem Interesse |
Operativ bedeutet das: Unternehmen benötigen Prozesse, keine Ad-hoc-Lösungen. Ein Löschkonzept, das alle Systeme – vom CRM über das ERP bis zu Backup-Bändern – abdeckt, ist ebenso unverzichtbar wie ein ticketingbasiertes Anfrage-Management mit klaren Eskalationspfaden.
Abgrenzung zu verwandten Rechtsgebieten und Compliance-Schnittstellen
Die DSGVO steht nicht isoliert. Sie interagiert mit einer wachsenden Zahl von Regularien, was in der Praxis immer wieder zu Abgrenzungsfragen führt. Das neue EU-Datengesetz (Data Act) ergänzt die DSGVO um Regelungen zum Zugang zu und zur Nutzung von Daten, die mit vernetzten Produkten erzeugt werden. Die ePrivacy-Richtlinie regelt spezifisch die Kommunikationsdaten und das Setzen von Cookies – hier geht die DSGVO als lex generalis vor, während ePrivacy als lex specialis strengere Anforderungen stellen kann.
Im B2B-Kontext entstehen besondere Schnittstellen:
- Vertragsrecht: AVV-Vereinbarungen sind integraler Bestandteil von SaaS-Verträgen und Cloud-Service-Level-Agreements.
- Compliance-Systeme: Hinweisgeberschutzgesetz und DSGVO kollidieren bei anonymen Meldungen und internen Ermittlungen.
- AI-Regulierung: Der AI Act verlangt für Hochrisiko-KI-Systeme eine Daten-Governance, die den DSGVO-Anforderungen an Datenminimierung und Zweckbindung genügen muss.
- Internationaler Datentransfer: Nach dem Wegfall des Privacy Shields ist der EU-US Data Privacy Framework die dritte Generation von Angemessenheitsbeschlüssen – mit erneuter Anfechtung vor dem EuGH.
Wer glaubt, die DSGVO sei ein abgeschlossenes Thema, übersieht die Dynamik des europäischen Datenrechts. Die Verordnung ist der Fixstern, um den sich neue Regelungen wie ein Planetensystem gruppieren.
Bußgelder, Haftung und strategische Compliance
Das Bußgeldregime der DSGVO hat abschreckende Wirkung entfaltet. Zwei Stufen sind vorgesehen: Verstöße gegen Betroffenenrechte und Auftragsverarbeitung können mit bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden. Die Aufsichtsbehörden haben ihre Ermessensspielräume genutzt und Bußgelder in Milliardenhöhe verhängt – insbesondere gegen Big-Tech-Unternehmen. Die Berechnung folgt dabei keinem starren Schema, sondern berücksichtigt Schwere, Dauer, Vorsatz und getroffene Maßnahmen.
Strategisch kluge Unternehmen betrachten DSGVO-Compliance nicht als Kostenfaktor, sondern als Wettbewerbsvorteil. Datenschutz wird zum Verkaufsargument im B2B-Vertrieb, denn Einkäufer prüfen die Datenschutzreife potenzieller Lieferanten zunehmend als Teil ihres Vendor-Risk-Managements. Ein dokumentiertes Datenschutz-Managementsystem, regelmäßige Mitarbeiterschulungen und ein etabliertes Incident-Response-Team senken nicht nur das Bußgeldrisiko, sondern auch die Wahrscheinlichkeit von Geschäftsunterbrechungen durch behördliche Anordnungen.
Die Implementierung folgt einem pragmatischen Stufenmodell: Zunächst die Bestandsaufnahme aller Verarbeitungstätigkeiten, dann die Risikobewertung mit Priorisierung, anschließend die Umsetzung technischer und organisatorischer Maßnahmen und schließlich der Aufbau eines kontinuierlichen Verbesserungsprozesses mit regelmäßigen Audits. Compliance ist damit kein Projekt mit Enddatum, sondern ein permanenter Betriebsmodus.
« Back to Glossary Index