GDPR Article
Definition: Ein GDPR Article ist eine einzeln nummerierte Rechtsnorm der Datenschutz-Grundverordnung (DSGVO). Er definiert verbindliche Pflichten, Rechte oder Verfahren für Verantwortliche, Auftragsverarbeiter und betroffene Personen. Insgesamt 99 Artikel strukturieren das europäische Datenschutzrecht und entfalten unmittelbare Rechtswirkung in allen Mitgliedstaaten.
Rechtsnatur und Systematik der GDPR Articles
Die Datenschutz-Grundverordnung ist kein zusammenhängender Text, sondern ein präzise gegliedertes Regelwerk. Jeder GDPR Article adressiert einen spezifischen Regelungsgegenstand – von Begriffsbestimmungen (Artikel 4) über die Rechtmäßigkeit der Verarbeitung (Artikel 6) bis hin zu Bußgeldern (Artikel 83). Diese modulare Struktur erlaubt es, einzelne Normen isoliert zu zitieren, zu prüfen und durchzusetzen. Für Unternehmen bedeutet das: Compliance ist keine pauschale Übung, sondern eine artikelgenaue Zuordnung von Verarbeitungsaktivitäten zu konkreten Rechtsgrundlagen.
Die Artikel stehen nicht für sich allein. Erwägungsgründe (Recitals) liefern die teleologische Auslegungshilfe, während delegierte Rechtsakte und Leitlinien der Europäischen Datenschutzausschusses die praktische Anwendung konkretisieren. Wer nur den Wortlaut eines Artikels liest, verfehlt häufig dessen normative Tiefe.
Ein GDPR Article ist kein Tipp, sondern eine justiziable Norm. Verstöße können Abmahnungen, Aufsichtsverfahren und Bußgelder von bis zu 4 % des weltweiten Jahresumsatzes auslösen.
Zentrale Artikel im Überblick
Die praktische Relevanz der Artikel variiert erheblich. Einige Normen wirken als tägliche Compliance-Begleiter, andere nur in Krisensituationen. Die folgende Tabelle zeigt die operativ wichtigsten GDPR Articles:
| Artikel | Regelungsgegenstand | Typische Anwendung |
|---|---|---|
| Art. 6 | Rechtmäßigkeit der Verarbeitung | Rechtsgrundlagen-Dokumentation im Verarbeitungsverzeichnis |
| Art. 13/14 | Informationspflichten | Datenschutzerklärungen, Privacy Notices |
| Art. 15 | Auskunftsrecht | Bearbeitung von Betroffenenanfragen |
| Art. 17 | Recht auf Löschung | Automatisierte Löschroutinen, Retention Policies |
| Art. 28 | Auftragsverarbeitung | DPA-Verträge mit SaaS-Anbietern und Cloud-Diensten |
| Art. 30 | Verarbeitungsverzeichnis | DSFA-Dokumentation, Governance-Dashboards |
| Art. 32 | Sicherheit der Verarbeitung | Technische Maßnahmen, Verschlüsselung, Zugriffskontrollen |
| Art. 33/34 | Meldung von Verletzungen | Incident-Response-Prozesse, 72-Stunden-Fenster |
| Art. 35 | Datenschutz-Folgenabschätzung | Risikobewertung neuer Technologien |
| Art. 83 | Bußgelder | Sanktionsrahmen, Compliance-Risikoanalyse |
Diese Artikel bilden das Rückgrat eines jeden DSGVO-Compliance-Programms. Wer sie beherrscht, kontrolliert die kritischen Berührungspunkte zwischen Geschäftsprozess und Regulierung.
Abgrenzung zu anderen Fachdomänen
Der Begriff „Article“ besitzt in anderen Kontexten völlig andere Bedeutungen. Diese Differenzierung ist für interdisziplinäre Teams unerlässlich:
- Legal & Compliance: GDPR Article bezeichnet eine verbindliche Rechtsnorm mit unmittelbarer Geltung. Hier zählt der normative Gehalt, nicht die Interpretation.
- Content Marketing & SEO: Ein Article ist ein redaktioneller Beitrag, der informiert oder überzeugt. Keinerlei Rechtswirkung, sondern reine Kommunikation.
- SaaS & Softwareentwicklung: Im Tech-Kontext existiert kein „Article“, sondern Module, Endpoints oder Libraries. Die DSGVO wirkt hier nur als Compliance-Gate auf Prozessebene.
- RevOps & Sales: Verträge referenzieren GDPR Articles als vertragliche Pflichten, etwa in DPAs. Der Fokus liegt auf Haftungsverteilung, nicht auf Normauslegung.
Diese Mehrdeutigkeit führt in der Praxis zu Missverständnissen. Ein Marketing-Team, das „Articles“ produziert, meint Content. Ein Legal-Team, das „Articles“ prüft, meint Rechtsnormen. Klare Kommunikation über den jeweiligen Bezugsrahmen verhindert kostspielige Fehlinterpretationen.
Praktische Implementierung im Unternehmenskontext
Die Umsetzung der GDPR Articles folgt einem didaktisch klaren Muster: Identifikation, Zuordnung, Operationalisierung. Zunächst müssen alle relevanten Artikel für das eigene Geschäftsmodell identifiziert werden. Ein B2B-SaaS-Unternehmen hat andere Berührungspunkte als ein produzierendes Unternehmen. Danach erfolgt die Zuordnung zu konkreten Verarbeitungsprozessen – idealerweise in einem Verarbeitungsverzeichnis nach Art. 30. Schließlich werden die Anforderungen in operative Prozesse übersetzt: Ticket-Systeme für Auskunftsanfragen, automatisierte Löschfristen, Vertragsvorlagen für Auftragsverarbeitung.
Die größte Fehlerquelle liegt in der Annahme, ein GDPR Article sei statisch. Die Auslegung durch den Europäischen Gerichtshof, die nationalen Aufsichtsbehörden und den Europäischen Datenschutzausschuss entwickelt sich kontinuierlich weiter. Ein Compliance-Programm muss daher regelmäßig gegen die aktuelle Rechtsprechung und Verwaltungspraxis validiert werden. Wer dies vernachlässigt, handelt auf Basis veralteter Annahmen – ein erhebliches rechtliches und reputatives Risiko.
« Back to Glossary Index