DSGVO: Umfassender Leitfaden und FAQ

Einleitung: Was ist die DSGVO und warum ist sie wichtig?

Die Datenschutz-Grundverordnung (DSGVO), offiziell als Verordnung (EU) 2016/679 bekannt, stellt einen fundamentalen Pfeiler des Datenschutzes in der Europäischen Union (EU) und dem Europäischen Wirtschaftsraum (EWR) dar. Sie wurde am 27. April 2016 verabschiedet und ist seit dem 25. Mai 2018 unmittelbar in allen Mitgliedstaaten anwendbar, wodurch die frühere Datenschutzrichtlinie 95/46/EG ersetzt wurde.¹ Das Hauptanliegen der DSGVO ist es, den Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten zu stärken und gleichzeitig den freien Datenverkehr innerhalb der EU zu gewährleisten.¹ Dies umfasst die Stärkung der individuellen Kontrolle über persönliche Informationen und die Vereinfachung der Vorschriften für internationale Geschäftsbeziehungen.²

Der Anwendungsbereich der DSGVO ist weitreichend. Sie gilt nicht nur für Organisationen und Personen, die in der EU ansässig sind und Daten verarbeiten, sondern auch für jene außerhalb der EU, wenn sie Waren oder Dienstleistungen für EU-Bürger anbieten oder deren Verhalten innerhalb der Union überwachen.² Dies verleiht der DSGVO eine signifikante extraterritoriale Wirkung. Die rechtliche Grundlage für den Datenschutz ist tief in den europäischen Grundrechten verankert: Artikel 8 Absatz 1 der Charta der Grundrechte der Europäischen Union und Artikel 16 Absatz 1 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) proklamieren den Schutz personenbezogener Daten als ein Grundrecht.¹

Die Bedeutung der DSGVO erstreckt sich sowohl auf Einzelpersonen als auch auf Unternehmen weit über die Grenzen der EU hinaus. Für Bürgerinnen und Bürger stärkt die Verordnung das Recht auf informationelle Selbstbestimmung, indem sie ihnen konkrete Instrumente an die Hand gibt, um ihre Rechte im Umgang mit ihren Daten aktiv wahrzunehmen.⁴ Die DSGVO ist eine umfassende Datenschutzgesetzgebung, die branchenübergreifend und für Unternehmen jeder Größe gilt.³ Eine Nichteinhaltung kann schwerwiegende Konsequenzen haben, darunter erhebliche Bußgelder von bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro, je nachdem, welcher Betrag höher ist.³ Daher ist die Einhaltung der DSGVO ein unverzichtbarer Bestandteil der gesamten Compliance-Strategie eines Unternehmens.³

Die Verankerung des Datenschutzes als Grundrecht in der DSGVO signalisiert eine tiefgreifende Verschiebung im rechtlichen Verständnis von Daten. Es wird deutlich, dass es sich nicht lediglich um eine kommerz- oder verbraucherschutzrechtliche Regulierung handelt, sondern um eine Angelegenheit von Menschenrechten. Diese Perspektive hebt die Bedeutung personenbezogener Daten über ihren reinen wirtschaftlichen Wert hinaus hervor und betrachtet sie als eine Erweiterung der Persönlichkeit des Einzelnen, die den höchsten rechtlichen Schutz verdient. Dieser Ansatz steht im Kontrast zu früheren Datenschutzrichtlinien, die stärker auf kommerzielle Aspekte ausgerichtet waren. Diese grundrechtliche Betrachtung ist die treibende Kraft hinter der Strenge der DSGVO-Anforderungen, wie beispielsweise der Notwendigkeit einer expliziten Einwilligung, der umfassenden Rechte der betroffenen Personen und der hohen Bußgelder. Sie positioniert die EU als globalen Vorreiter im Datenschutz und beeinflusst die Gesetzgebung in anderen Rechtsordnungen weltweit. Selbst wenn eine technische Datenverarbeitung möglich wäre, ist sie demnach unrechtmäßig, wenn sie die Grundrechte verletzt.

Die weitreichende extraterritoriale Wirkung der DSGVO ist nicht nur ein juristisches Detail, sondern eine strategische Behauptung der EU-Werte und ihrer Regulierungsmacht in der globalen digitalen Wirtschaft. Die Regelung, dass die DSGVO auch für Verantwortliche oder Auftragsverarbeiter gilt, die nicht in der EU ansässig sind, aber Waren oder Dienstleistungen für EU-Bürger anbieten oder deren Verhalten in der Union überwachen, verwandelt ein scheinbar regionales Gesetz in einen de facto globalen Standard für jede Einheit, die mit EU-Bürgern interagieren möchte.² Dies zwingt Unternehmen weltweit, DSGVO-konforme Praktiken zu implementieren, wodurch EU-Datenschutzstandards effektiv exportiert werden. Dies führt zu einem sogenannten “Brüssel-Effekt”, bei dem Unternehmen weltweit EU-Standards einhalten müssen, um Zugang zum großen EU-Markt zu erhalten, was wiederum die globalen Datenschutzstandards insgesamt anhebt. Es verdeutlicht auch die Komplexität für internationale Unternehmen, die unterschiedliche Rechtslandschaften verstehen und navigieren müssen, selbst wenn sie keine physische Präsenz in der EU haben. Die hohen Bußgelder dienen als starke Abschreckung und unterstreichen, dass diese Extraterritorialität durch ernsthafte Durchsetzungsbefugnisse untermauert wird.³

Grundlagen der DSGVO: Schlüsselbegriffe und Prinzipien

Für ein umfassendes Verständnis der DSGVO ist es unerlässlich, die zentralen Begriffe und die grundlegenden Prinzipien der Datenverarbeitung zu kennen. Diese sind in den Artikeln 4 und 5 der Verordnung detailliert festgelegt und bilden das Fundament für alle weiteren Bestimmungen.²

Wichtige Definitionen (Art. 4 DSGVO)

Die DSGVO definiert eine Reihe von Schlüsselbegriffen, die für die Anwendung der Verordnung von entscheidender Bedeutung sind:

• Personenbezogene Daten: Dies sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.² Eine Person gilt als identifizierbar, wenn sie direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennung wie einem Namen, einer Kennnummer, Standortdaten, einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.⁵ Beispiele hierfür sind Namen, E-Mail-Adressen, Steuer-IDs oder Online-Identifikatoren.²

• Verarbeitung: Dieser Begriff ist sehr weit gefasst und umfasst jeden Vorgang oder jede Reihe von Vorgängen, die mit personenbezogenen Daten durchgeführt werden, wie das Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen oder Verändern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.⁵

• Betroffene Person: Die betroffene Person ist die natürliche Person, deren personenbezogene Daten verarbeitet werden.²

• Verantwortlicher: Dies ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.²

• Auftragsverarbeiter: Eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.² Cloud-Dienstleister sind ein häufiges Beispiel für Auftragsverarbeiter.²

• Einwilligung: Die Einwilligung der betroffenen Person muss eine freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung sein, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.² Voreingestellte Opt-out-Optionen oder Stillschweigen stellen einen Verstoß dar, da die Einwilligung nicht eindeutig bestätigt wird.² Die Einwilligung muss zudem jederzeit widerrufbar sein, und der Widerruf darf nicht schwieriger sein als die Erteilung der Einwilligung.²

• Verletzung des Schutzes personenbezogener Daten (Datenpanne): Eine Sicherheitsverletzung, die zur unbeabsichtigten oder unrechtmäßigen Zerstörung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt.⁵ Dies umfasst sowohl Unfälle (z.B. E-Mail an falschen Empfänger, Verlust eines USB-Sticks) als auch vorsätzliche Handlungen (z.B. Phishing-Angriffe).⁹

Die Kernprinzipien der Datenverarbeitung (Art. 5 DSGVO)

Artikel 5 der DSGVO legt sechs grundlegende Prinzipien fest, die die gesamte Verarbeitung personenbezogener Daten leiten müssen. Der Verantwortliche trägt die Rechenschaftspflicht für die Einhaltung dieser Grundsätze.²

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz: Personenbezogene Daten müssen auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden.² Dies bedeutet, dass die Verarbeitung auf einer gültigen Rechtsgrundlage basieren und für die betroffene Person verständlich sein muss.

• Zweckbindung: Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverarbeitet werden.² Eine spätere Nutzung für andere, nicht kompatible Zwecke ist grundsätzlich untersagt.

• Datenminimierung: Es dürfen nur angemessene, relevante und auf das für die Zwecke der Verarbeitung notwendige Maß beschränkte Daten verarbeitet werden.² Dies verhindert das Sammeln von Daten “auf Vorrat”.

• Richtigkeit: Daten müssen sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein.² Unrichtige Daten müssen unverzüglich gelöscht oder berichtigt werden.

• Speicherbegrenzung: Daten dürfen nur so lange gespeichert werden, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist.² Nach Erfüllung des Zwecks müssen Daten gelöscht oder anonymisiert werden.

• Integrität und Vertraulichkeit (Sicherheit): Die Verarbeitung muss eine angemessene Sicherheit der personenbezogenen Daten gewährleisten, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen.²

• Rechenschaftspflicht (Accountability): Der Verantwortliche ist für die Einhaltung der genannten Grundsätze verantwortlich und muss deren Einhaltung nachweisen können.⁵

Das Prinzip der Rechenschaftspflicht stellt einen Paradigmenwechsel dar, der über die reine Einhaltung von Vorschriften hinausgeht und eine Nachweispflicht etabliert. Es genügt nicht mehr, DSGVO-konform zu sein; Unternehmen müssen ihre Konformität auch aktiv belegen können.⁵ Dies verschiebt die Beweislast grundlegend, da Aufsichtsbehörden nicht mehr primär die Nichteinhaltung beweisen müssen. Stattdessen sind Organisationen angehalten, proaktiv ihre Einhaltung der DSGVO-Grundsätze zu dokumentieren und nachzuweisen. Dies fördert die Implementierung umfassender interner Richtlinien, die Führung von Verzeichnissen von Verarbeitungstätigkeiten (Art. 30), die Anwendung von Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25) sowie die Durchführung von Datenschutz-Folgenabschätzungen (Art. 35). Der Datenschutz wird somit von einer reaktiven “Häkchen-machen”-Übung zu einem proaktiven, integrierten Bestandteil der Geschäftsabläufe und der Unternehmensführung. Dies erklärt, warum Unternehmen detaillierte Aufzeichnungen führen, Datenschutz-Folgenabschätzungen durchführen, Datenschutzbeauftragte benennen und robuste technische und organisatorische Maßnahmen (TOMs) implementieren müssen. Es fördert eine Kultur der kontinuierlichen Compliance und internen Prüfung, anstatt nur auf Vorfälle oder behördliche Anfragen zu reagieren. Ein Beispiel hierfür ist das Bußgeld gegen Vodafone wegen unzureichender Überwachung von Auftragsverarbeitern, was die Konsequenzen des Versäumnisses, Rechenschaftspflicht in der Praxis nachzuweisen, direkt illustriert.¹⁰

Die Prinzipien der Datenminimierung und Zweckbindung fungieren als entscheidende Leitplanken, die der Tendenz zur Datenhamsterei und unkontrollierten Datennutzung entgegenwirken. Sie schreiben vor, dass Organisationen nicht mehr Daten sammeln oder aufbewahren dürfen, als für einen explizit angegebenen Zweck unbedingt erforderlich ist.² Dies soll das sogenannte “Function Creep” verhindern – die schrittweise Ausweitung der Datennutzung über den ursprünglichen Zweck hinaus. Es zwingt Organisationen, präzise und überlegt zu entscheiden, welche Daten sie sammeln und warum. Ein konkreter Fall, in dem die spanische Datenschutzbehörde (AEPD) ein Bußgeld verhängte, weil die Menge der verarbeiteten biometrischen Daten (z.B. ID-Scans, Selfies für den Stadionzugang) das für den Zweck erforderliche Maß überschritt, verdeutlicht dies. Selbst die Einwilligung der betroffenen Person setzte das Prinzip der Datenminimierung nicht außer Kraft, da weniger invasive Alternativen für den angegebenen Zweck existierten.¹³ Dies deutet auf eine Hierarchie der Prinzipien hin, bei der Verhältnismäßigkeit und Notwendigkeit selbst eine mit Einwilligung erfolgte Verarbeitung einschränken können. Diese Prinzipien haben erhebliche Auswirkungen auf die Datenarchitektur, Geschäftsprozesse und Technologieentscheidungen, indem sie datenschutzfreundliche Technologien (PETs) und einen “Privacy-by-Design”-Ansatz von Anfang an fördern. Sie fordern auch Geschäftsmodelle heraus, die stark von umfangreicher Datenerhebung und -wiederverwendung abhängen, und drängen sie zu gezielteren und datenschutzbewussteren Strategien.

Rechtmäßigkeit der Verarbeitung: Wann dürfen Daten verarbeitet werden?

Das zentrale Dogma der DSGVO ist das sogenannte Verbotsprinzip: Die Verarbeitung personenbezogener Daten ist grundsätzlich untersagt, es sei denn, es liegt eine der in Artikel 6 Absatz 1 DSGVO genannten Rechtsgrundlagen vor.⁴ Dieses Prinzip stellt sicher, dass jede Datenverarbeitung eine klare und legitime Basis haben muss.

Die sechs Rechtsgrundlagen für die Datenverarbeitung (Art. 6 DSGVO)

Die DSGVO sieht sechs spezifische Rechtsgrundlagen vor, die eine Verarbeitung personenbezogener Daten legitimieren können:

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Die betroffene Person hat ihre ausdrückliche Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke erteilt.² Die Einwilligung muss freiwillig, spezifisch, informiert und unmissverständlich sein. Voreingestellte Opt-out-Optionen oder Stillschweigen sind nicht ausreichend.² Ein wesentliches Merkmal ist, dass die Einwilligung jederzeit widerrufen werden kann und der Widerrufsprozess nicht schwieriger sein darf als die Erteilung der Einwilligung.²

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen.⁵ Dies ist relevant für die Verarbeitung von Kundendaten zur Erbringung einer Dienstleistung.

• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt.⁵ Dies kann beispielsweise die Einhaltung von Steuergesetzen oder anderen behördlichen Anforderungen umfassen.

• Schutz lebenswichtiger Interessen (Art. 6 Abs. 1 lit. d DSGVO): Die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen.⁵ Dies ist eine Ausnahme für Notfälle, beispielsweise im medizinischen Bereich.

• Wahrnehmung einer Aufgabe im öffentlichen Interesse oder Ausübung öffentlicher Gewalt (Art. 6 Abs. 1 lit. e DSGVO): Die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.² Dies gilt häufig für Behörden und öffentliche Einrichtungen.⁴

• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.² Hier ist eine sorgfältige Abwägung der Interessen erforderlich, um sicherzustellen, dass die Rechte der betroffenen Person nicht unverhältnismäßig beeinträchtigt werden.⁸

Besondere Kategorien personenbezogener Daten (sensible Daten) und ihre strengeren Bedingungen (Art. 9 DSGVO)

Die DSGVO unterscheidet zwischen allgemeinen personenbezogenen Daten und “besonderen Kategorien personenbezogener Daten”, die aufgrund ihrer Sensibilität einem strengeren Schutz unterliegen. Die Verarbeitung solcher Daten ist grundsätzlich untersagt.⁵ Zu diesen besonderen Kategorien gehören:

• Daten, aus denen die rassische und ethnische Herkunft hervorgeht.

• Politische Meinungen, religiöse oder weltanschauliche Überzeugungen.

• Gewerkschaftszugehörigkeit.

• Genetische Daten.

• Biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person.

• Gesundheitsdaten.

• Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person.⁵

Ausnahmen von diesem Verbot sind nur unter sehr strengen Bedingungen zulässig, beispielsweise bei ausdrücklicher Einwilligung der betroffenen Person, zur Erfüllung arbeits- oder sozialrechtlicher Pflichten, zum Schutz lebenswichtiger Interessen, aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.⁵

Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO)

Die Verarbeitung personenbezogener Daten, die strafrechtliche Verurteilungen und Straftaten betreffen, darf nur unter behördlicher Aufsicht oder wenn sie durch Unions- oder Mitgliedstaatenrecht mit geeigneten Garantien zugelassen ist, erfolgen.⁵ Dies unterstreicht die hohe Schutzbedürftigkeit dieser Informationen.

Die DSGVO fördert eine Abkehr von der Vorstellung, dass die Einwilligung ein Allheilmittel für die Datenverarbeitung sei, hin zu einer differenzierten Prüfung der Rechtsgrundlagen. Das zugrunde liegende Verbotsprinzip, das besagt, dass die Verarbeitung grundsätzlich verboten ist, es sei denn, eine der sechs Rechtsgrundlagen greift, ist hierbei entscheidend.⁴ Indem die DSGVO fünf weitere unterschiedliche Rechtsgrundlagen bereitstellt und die Einwilligung sehr präskriptiv und leicht widerrufbar gestaltet, werden Organisationen dazu angehalten, die am besten geeignete Rechtsgrundlage für jede Verarbeitungstätigkeit sorgfältig zu prüfen.² Dies erzwingt eine strengere rechtliche Analyse und kann dazu führen, dass Unternehmen sich stärker auf vertragliche Notwendigkeit oder berechtigte Interessen verlassen, wo dies wirklich zutrifft, anstatt zu versuchen, alle Verarbeitungen unter einer breiten, oft ungültigen Einwilligung unterzubringen. Der Fall der spanischen Datenschutzbehörde (AEPD), bei dem ein Bußgeld verhängt wurde, obwohl die Einwilligung vorlag, weil die Verarbeitung aufgrund von Datenminimierungsproblemen als unrechtmäßig angesehen wurde, ist ein starkes Signal dafür, dass die Einwilligung keine absolute “Freikarte” ist und selbst eine explizite Einwilligung keine unverhältnismäßige Datenerhebung legitimiert, insbesondere bei sensiblen Daten.¹³ Dies wirkt sich auf die Benutzererfahrung aus, da weniger “Einwilligungsermüdung” entsteht, wenn andere Grundlagen angemessen genutzt werden, und reduziert das Management von Rechtsrisiken, da ungültige Einwilligungen zu hohen Bußgeldern führen können. Es impliziert auch, dass eine “freiwillig gegebene” Einwilligung von größter Bedeutung ist, was bedeutet, dass Dienste nicht verweigert werden dürfen, wenn die Einwilligung für nicht unbedingt notwendige Verarbeitungen abgelehnt wird.²

Die erhöhte Schutzbedürftigkeit “besonderer Kategorien personenbezogener Daten” spiegelt gesellschaftliche Sensibilitäten wider. Artikel 9 der DSGVO verbietet ausdrücklich die Verarbeitung solcher Daten, wie Gesundheits-, genetische oder biometrische Informationen, mit sehr begrenzten Ausnahmen.⁵ Dies unterstreicht eine gesellschaftliche Anerkennung der tiefgreifenden Risiken, die mit dem Missbrauch solcher Daten verbunden sind, wie Diskriminierung, Überwachung oder Identitätsdiebstahl. Es geht hier nicht nur um den Schutz der Privatsphäre, sondern um den Schutz der grundlegenden Menschenwürde und die Verhinderung systemischer Schäden. Die scharfe Kritik des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) an der elektronischen Patientenakte (ePA) wegen Datenschutzdefiziten, insbesondere bei Gesundheitsdaten, verdeutlicht, dass selbst bei Initiativen von öffentlichem Interesse wie dem Gesundheitswesen die Messlatte für den Schutz sensibler Daten außergewöhnlich hoch liegt und legislative Bemühungen den DSGVO-Standards entsprechen müssen.¹⁴ Dies führt zu strengeren technischen und organisatorischen Maßnahmen für diese Datentypen, die robuste Verschlüsselung, Zugriffskontrollen und möglicherweise Pseudonymisierung erfordern. Es beeinflusst auch die Politikgestaltung in Sektoren wie dem Gesundheitswesen und dem Finanzwesen, wo solche Daten weit verbreitet sind, und fordert “Privacy by Design” von den frühesten Phasen der Systementwicklung an.

Die Rechte der betroffenen Personen: Ihre Daten, Ihre Kontrolle

Die DSGVO stärkt die Rechte der betroffenen Personen erheblich, um ihnen mehr Kontrolle über ihre persönlichen Daten zu geben.² Organisationen sind verpflichtet, diese Rechte transparent und zugänglich zu gestalten und Anfragen innerhalb einer festgelegten Frist zu beantworten.¹⁵

Detaillierte Erläuterung der acht Kernrechte

Die DSGVO gewährt den betroffenen Personen die folgenden acht Kernrechte:

• Recht auf Information (Art. 13, 14 DSGVO): Betroffene Personen haben das Recht, klar und verständlich darüber informiert zu werden, welche Daten verarbeitet werden, zu welchem Zweck, auf welcher Rechtsgrundlage, wer die Empfänger sind, wie lange die Daten gespeichert werden und welche weiteren Rechte sie haben.⁵ Diese Informationen müssen zum Zeitpunkt der Datenerhebung oder, bei indirekter Erhebung, innerhalb eines Monats bereitgestellt werden.¹⁵

• Auskunftsrecht (Art. 15 DSGVO): Das Recht, eine Bestätigung darüber zu erhalten, ob personenbezogene Daten verarbeitet werden, und Zugang zu diesen Daten sowie detaillierte Informationen über die Verarbeitung zu erhalten.² Dies umfasst Informationen über die Verarbeitungszwecke, Datenkategorien, Empfänger, Speicherdauer, das Bestehen weiterer Rechte (Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit), das Beschwerderecht, die Datenquelle (bei indirekter Erhebung) und das Bestehen automatisierter Entscheidungsfindung.¹⁵ Eine kostenlose Kopie der Daten ist bereitzustellen; für zusätzliche Kopien kann eine angemessene Gebühr erhoben werden.¹⁵

• Recht auf Berichtigung (Art. 16 DSGVO): Das Recht, die unverzügliche Berichtigung unrichtiger oder die Vervollständigung unvollständiger personenbezogener Daten zu verlangen.⁵ Wenn Daten an Dritte weitergegeben wurden, müssen diese über die Berichtigung informiert werden, es sei denn, dies ist unmöglich oder mit unverhältnismäßigem Aufwand verbunden.¹⁵

• Recht auf Löschung (“Recht auf Vergessenwerden”) (Art. 17 DSGVO): Das Recht, die unverzügliche Löschung personenbezogener Daten zu verlangen, wenn die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind, die Einwilligung widerrufen wurde, die Verarbeitung unrechtmäßig ist oder eine rechtliche Verpflichtung zur Löschung besteht.⁵ Es gibt begrenzte Ausnahmen, beispielsweise für die Ausübung der Meinungsfreiheit, die Einhaltung einer rechtlichen Verpflichtung oder zur Geltendmachung von Rechtsansprüchen.¹⁵ Die Europäische Datenschutzbehörde (EDPB) hat für 2025 eine koordinierte Durchsetzungsaktion zum Recht auf Löschung angekündigt.¹⁶

• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Das Recht, die Einschränkung der Verarbeitung zu verlangen, beispielsweise wenn die Richtigkeit der Daten bestritten wird, die Verarbeitung unrechtmäßig ist, aber die betroffene Person die Löschung ablehnt, oder wenn die Daten für die Geltendmachung von Rechtsansprüchen benötigt werden.⁵ Bei erfolgreicher Einschränkung dürfen Daten nur unter bestimmten Umständen (z.B. mit Einwilligung) verwendet werden.¹⁵

• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Das Recht, die bereitgestellten personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese Daten einem anderen Verantwortlichen ohne Behinderung zu übermitteln, sofern die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt.⁵ Dies fördert die Interoperabilität und den Wettbewerb.

• Widerspruchsrecht (Art. 21 DSGVO): Das Recht, der Verarbeitung personenbezogener Daten zu widersprechen, insbesondere wenn die Verarbeitung auf berechtigten Interessen oder öffentlichem Interesse beruht.⁵ Bei Direktmarketing ist dieses Widerspruchsrecht absolut und führt zur sofortigen Einstellung der Verarbeitung für diesen Zweck.¹⁵

• Recht auf Nichtunterwerfung unter automatisierte Entscheidungen (einschließlich Profiling) (Art. 22 DSGVO): Das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.⁵ Ausnahmen bestehen, wenn dies für einen Vertrag erforderlich, gesetzlich zulässig oder mit ausdrücklicher Einwilligung erfolgt.¹⁵

Die Stärkung der Betroffenenrechte stellt eine Ermächtigung des Einzelnen in der digitalen Welt dar. Indem die DSGVO diesen Rechten einen zentralen Stellenwert einräumt und detaillierte Mechanismen für ihre Ausübung festlegt, wird die Machtasymmetrie zwischen datenverarbeitenden Organisationen und Individuen reduziert.¹⁵ Dies geht über bloße Transparenz hinaus und ermöglicht es den betroffenen Personen, aktiv in den Lebenszyklus ihrer Daten einzugreifen – von der Information über die Erhebung bis zur Löschung. Die Verpflichtung für Organisationen, Anfragen innerhalb eines Monats zu beantworten und die Identität des Anfragenden zu überprüfen, bevor Daten offengelegt werden, ohne Gebühren zu erheben, fördert eine Kultur des Respekts und der Verantwortlichkeit gegenüber den Daten von Einzelpersonen.¹⁵ Diese Rechte sind nicht nur theoretischer Natur; sie sind durchsetzbar und können bei Nichteinhaltung zu Beschwerden bei Aufsichtsbehörden oder gerichtlichen Schritten führen.¹⁵

Das “Recht auf Vergessenwerden” (Art. 17 DSGVO) ist ein prägnantes Beispiel für den Balanceakt zwischen individueller Kontrolle und Informationsfreiheit. Es gewährt betroffenen Personen die Möglichkeit, die Löschung ihrer Daten zu verlangen, wenn diese nicht mehr notwendig sind, die Einwilligung widerrufen wurde oder die Verarbeitung unrechtmäßig ist.⁵ Dies ist von besonderer Bedeutung in einer Zeit, in der digitale Informationen potenziell unbegrenzt verfügbar sind. Gleichzeitig erkennt die DSGVO an, dass dieses Recht nicht absolut ist und gegen andere wichtige Interessen, wie die Meinungs- und Informationsfreiheit oder die Geltendmachung von Rechtsansprüchen, abgewogen werden muss.¹⁵ Die Ankündigung der EDPB, das Recht auf Löschung im Jahr 2025 zu einem Schwerpunkt ihrer koordinierten Durchsetzungsmaßnahmen zu machen, unterstreicht die Komplexität und die fortlaufende Relevanz dieses Rechts in der Praxis und signalisiert, dass die Aufsichtsbehörden die effektive Umsetzung dieses Rechts genau prüfen werden.¹⁶

Pflichten von Verantwortlichen und Auftragsverarbeitern

Die DSGVO legt umfassende Pflichten für Verantwortliche (die über die Zwecke und Mittel der Datenverarbeitung entscheiden) und Auftragsverarbeiter (die Daten im Auftrag des Verantwortlichen verarbeiten) fest. Diese Pflichten sind darauf ausgelegt, ein hohes Datenschutzniveau zu gewährleisten und die Rechenschaftspflicht zu stärken.

Rechenschaftspflicht und Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Art. 24, 25 DSGVO)

Verantwortliche müssen geeignete technische und organisatorische Maßnahmen (TOMs) implementieren, um die Einhaltung der DSGVO zu gewährleisten und dies auch nachweisen zu können (Rechenschaftspflicht).⁵ Dies erfordert eine kontinuierliche Überprüfung der Wirksamkeit der Maßnahmen.⁸

Ein zentrales Element ist der Grundsatz des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Privacy by Design and by Default).⁵ Dies bedeutet, dass Datenschutzprinzipien wie Datenminimierung von Anfang an in die Gestaltung von Verarbeitungsvorgängen und Systemen integriert werden müssen.⁸ Standardeinstellungen müssen so konfiguriert sein, dass sie die größtmögliche Privatsphäre gewährleisten, ohne dass die betroffene Person eingreifen muss.¹⁸ Dies betrifft die Menge der erhobenen Daten, den Umfang der Verarbeitung, die Speicherdauer und die Zugänglichkeit.¹⁸

Gemeinsam Verantwortliche, Vertreter und Pflichten des Auftragsverarbeiters (Art. 26, 27, 28 DSGVO)

Wenn zwei oder mehr Verantwortliche gemeinsam die Zwecke und Mittel der Verarbeitung bestimmen, sind sie gemeinsam Verantwortliche und müssen ihre jeweiligen Verantwortlichkeiten transparent festlegen.⁵

Verantwortliche oder Auftragsverarbeiter, die nicht in der Union niedergelassen sind, aber der DSGVO unterliegen (z.B. weil sie Waren oder Dienstleistungen für EU-Bürger anbieten), müssen in der Regel einen Vertreter in der Union benennen.³

Der Auftragsverarbeiter muss ausreichende Garantien für die Implementierung geeigneter technischer und organisatorischer Maßnahmen bieten.⁵ Die Verarbeitung durch einen Auftragsverarbeiter muss durch einen Vertrag oder ein anderes Rechtsinstrument geregelt sein, das den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien der betroffenen Personen sowie die Pflichten und Rechte des Verantwortlichen festlegt.⁵

Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)

Verantwortliche und Auftragsverarbeiter müssen ein Verzeichnis aller Verarbeitungstätigkeiten unter ihrer Verantwortung führen.⁵ Dieses Verzeichnis muss detaillierte Informationen enthalten, wie die Zwecke der Verarbeitung, die Kategorien der betroffenen Personen und Daten, die Empfängerkategorien, die Übermittlung an Drittländer und die vorgesehenen Löschfristen.⁵ Kleinere Unternehmen mit weniger als 250 Mitarbeitern sind von dieser Pflicht ausgenommen, es sei denn, die Verarbeitung birgt Risiken für die Rechte und Freiheiten der betroffenen Personen, ist nicht nur gelegentlich oder umfasst sensible Daten.⁵

Sicherheit der Verarbeitung und Meldung von Datenschutzverletzungen (Art. 32, 33, 34 DSGVO)

Verantwortliche und Auftragsverarbeiter müssen geeignete technische und organisatorische Maßnahmen implementieren, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.⁵ Dazu gehören Maßnahmen wie Pseudonymisierung, Verschlüsselung, Gewährleistung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit von Systemen sowie regelmäßige Tests.⁵

Im Falle einer Verletzung des Schutzes personenbezogener Daten (Datenpanne) muss der Verantwortliche die zuständige Aufsichtsbehörde unverzüglich und, wenn möglich, innerhalb von 72 Stunden nach Bekanntwerden der Verletzung benachrichtigen, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.⁵ Der Auftragsverarbeiter muss den Verantwortlichen unverzüglich informieren.⁵ Wenn die Datenpanne voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt, muss der Verantwortliche die betroffenen Personen unverzüglich informieren, es sei denn, bestimmte Bedingungen sind erfüllt (z.B. Daten sind unleserlich, Risiko wurde gemindert).⁵ Die Benachrichtigung muss die Art der Verletzung, die Kontaktdaten des Datenschutzbeauftragten, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen beschreiben.⁹

Datenschutz-Folgenabschätzung (DSFA) und vorherige Konsultation (Art. 35, 36 DSGVO)

Wenn eine Art der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt, muss der Verantwortliche vor der Verarbeitung eine Datenschutz-Folgenabschätzung (DSFA) durchführen.⁵ Dies ist insbesondere bei umfangreicher systematischer Bewertung auf der Grundlage automatisierter Verarbeitung, groß angelegter Verarbeitung besonderer Datenkategorien oder systematischer Überwachung öffentlich zugänglicher Bereiche erforderlich.⁵ Eine DSFA ist ein Instrument zur Beschreibung der Verarbeitung, zur Bewertung ihrer Notwendigkeit und Verhältnismäßigkeit sowie zur Steuerung der Risiken.²⁰

Der Verantwortliche muss die Aufsichtsbehörde vor der Verarbeitung konsultieren, wenn eine DSFA ein hohes Restrisiko aufzeigt, das durch die vorgesehenen Maßnahmen nicht gemindert werden kann.⁵

Datenschutzbeauftragter (DSB) (Art. 37, 38, 39 DSGVO)

Verantwortliche und Auftragsverarbeiter müssen einen Datenschutzbeauftragten (DSB) benennen, wenn die Verarbeitung von einer Behörde durchgeführt wird, die Kerntätigkeiten eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erfordern oder die Kerntätigkeiten eine umfangreiche Verarbeitung besonderer Datenkategorien oder von Daten über strafrechtliche Verurteilungen umfassen.⁵ Der DSB muss in alle Datenschutzfragen eingebunden werden, über die notwendigen Ressourcen verfügen und unabhängig agieren, ohne Anweisungen bezüglich seiner Aufgaben zu erhalten.⁵ Zu den Aufgaben des DSB gehören die Information und Beratung über Pflichten, die Überwachung der Einhaltung, die Beratung bei Datenschutz-Folgenabschätzungen und die Zusammenarbeit mit der Aufsichtsbehörde.⁵

Verhaltensregeln und Zertifizierung (Art. 40, 42 DSGVO)

Die DSGVO fördert die Erstellung von Verhaltensregeln und die Einrichtung von Datenschutz-Zertifizierungsmechanismen, -siegeln und -prüfzeichen, um die Einhaltung der Verordnung nachzuweisen.⁵ Die Zertifizierung ist freiwillig und transparent und mindert nicht die Verantwortung des Verantwortlichen oder Auftragsverarbeiters.⁵

Der Grundsatz “Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen” (Privacy by Design and by Default) ist ein proaktiver Schutzschild, der die Rechenschaftspflicht des Verantwortlichen untermauert.⁸ Es geht darum, Datenschutz nicht als nachträgliche Ergänzung, sondern als integralen Bestandteil jeder System- und Prozessentwicklung zu verstehen. Dies bedeutet, dass von der Konzeption an die Menge der erhobenen Daten, der Umfang ihrer Verarbeitung, die Speicherdauer und ihre Zugänglichkeit auf das notwendige Minimum beschränkt werden müssen, ohne dass der Nutzer aktiv werden muss.¹⁸ Die Aufforderung, den “Stand der Technik” zu berücksichtigen, bedeutet, dass Unternehmen kontinuierlich technologische Fortschritte im Bereich der Datensicherheit und des Datenschutzes verfolgen und implementieren müssen.⁸ Dies erfordert eine Abkehr von der reinen Compliance-Denkweise hin zu einer tiefgreifenden Integration von Datenschutz in die Unternehmenskultur und -architektur.

Die Datenschutz-Folgenabschätzung (DSFA) dient als ein zentrales Risikomanagement-Instrument und Rechenschaftsnachweis. Sie ist nicht nur eine formale Anforderung, sondern ein Prozess, der Unternehmen dazu zwingt, potenzielle Risiken für die Rechte und Freiheiten betroffener Personen, die sich aus neuen oder komplexen Datenverarbeitungsvorgängen ergeben, proaktiv zu identifizieren, zu bewerten und zu mindern.¹⁹ Die Pflicht zur Durchführung einer DSFA, insbesondere bei hohem Risiko, und die Notwendigkeit, die Aufsichtsbehörde bei verbleibenden hohen Restrisiken zu konsultieren, unterstreichen die Bedeutung dieses Instruments für die präventive Risikosteuerung.²⁰ Das Versäumnis, eine erforderliche DSFA durchzuführen oder sie korrekt auszuführen, kann zu erheblichen Bußgeldern führen.²⁰ Dies macht die DSFA zu einem Eckpfeiler der Rechenschaftspflicht, da sie die Fähigkeit einer Organisation demonstriert, Datenschutzrisiken systematisch zu managen.

Die Rolle des Datenschutzbeauftragten (DSB) ist die eines unabhängigen Compliance-Wächters und Beraters. Der DSB ist eine zentrale Figur, die sicherstellen soll, dass Datenschutzfragen in allen relevanten Bereichen einer Organisation berücksichtigt werden.⁵ Die Unabhängigkeit des DSB und die Pflicht des Verantwortlichen, ihn mit den notwendigen Ressourcen auszustatten und seine Ratschläge zu dokumentieren – insbesondere, wenn von diesen abgewichen wird – sind entscheidend für die effektive Umsetzung der DSGVO.⁵ Der DSB fungiert als interne Kontrollinstanz und als Kontaktpunkt für Aufsichtsbehörden und betroffene Personen.⁵ Seine Aufgaben umfassen die Information und Beratung, die Überwachung der Einhaltung der DSGVO und die Zusammenarbeit mit den Aufsichtsbehörden.⁵ Dies schafft eine interne Expertise und eine unabhängige Stimme, die für die Einhaltung der Datenschutzvorschriften unerlässlich ist.

Datenübermittlung in Drittländer und an internationale Organisationen

Die DSGVO regelt die Übermittlung personenbezogener Daten in Länder außerhalb der EU und des EWR (Drittländer) sowie an internationale Organisationen sehr streng. Das übergeordnete Ziel ist es, sicherzustellen, dass das durch die DSGVO garantierte Schutzniveau nicht untergraben wird, wenn Daten die Grenzen der Union verlassen.³

Allgemeine Prinzipien und Angemessenheitsbeschlüsse (Art. 44, 45 DSGVO)

Grundsätzlich ist die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation nur zulässig, wenn die Bedingungen des Kapitels V der DSGVO erfüllt sind.⁵ Die bevorzugte Methode für solche Übermittlungen ist ein

Angemessenheitsbeschluss der Europäischen Kommission.³ Ein solcher Beschluss besagt, dass ein bestimmtes Drittland, ein Gebiet oder ein Sektor innerhalb eines Drittlandes oder eine internationale Organisation ein angemessenes Datenschutzniveau gewährleistet, das dem der EU entspricht.³ Sobald ein Angemessenheitsbeschluss vorliegt, können Daten ohne weitere spezifische Genehmigungen in dieses Land oder an diese Organisation übermittelt werden.⁵ Die USA haben beispielsweise nie versucht, von der Europäischen Kommission als angemessen eingestuft zu werden.³

Geeignete Garantien (Art. 46, 47 DSGVO)

Liegt kein Angemessenheitsbeschluss vor, dürfen Daten nur übermittelt werden, wenn der Verantwortliche oder Auftragsverarbeiter geeignete Garantien vorgesehen hat und durchsetzbare Rechte der betroffenen Personen sowie wirksame Rechtsbehelfe zur Verfügung stehen.³ Zu diesen geeigneten Garantien gehören:

• Verbindliche interne Datenschutzvorschriften (Binding Corporate Rules – BCRs): Dies sind interne Datenschutzvorschriften, die von einer Unternehmensgruppe für internationale Datenübermittlungen angewendet werden und von der zuständigen Aufsichtsbehörde genehmigt werden müssen.⁵ Sie müssen rechtlich bindend sein, durchsetzbare Rechte für betroffene Personen begründen und spezifische Anforderungen erfüllen.⁵

• Standarddatenschutzklauseln (Standard Contractual Clauses – SCCs): Von der Kommission erlassene Standardvertragsklauseln, die in Verträge zwischen dem Datenexporteur und dem Datenimporteur aufgenommen werden.³

• Zertifizierungsmechanismen.²

• Genehmigte Verhaltensregeln.⁵

Ausnahmen für bestimmte Situationen (Art. 49 DSGVO)

In Ermangelung eines Angemessenheitsbeschlusses oder geeigneter Garantien sind Datenübermittlungen in Drittländer nur unter bestimmten, eng definierten Ausnahmen zulässig. Dazu gehören:

• Die ausdrückliche Einwilligung der betroffenen Person nach umfassender Aufklärung über die Risiken.⁵

• Die Übermittlung ist für die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich.⁵

• Die Übermittlung ist aus wichtigen Gründen des öffentlichen Interesses erforderlich.⁵

• Die Übermittlung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich.⁵

Die Angemessenheitsbeschlüsse der Europäischen Kommission fungieren als Vertrauensanker im globalen Datenverkehr. Sie stellen den Goldstandard für die Datenübermittlung in Drittländer dar, da sie bescheinigen, dass das Datenschutzniveau eines Landes dem der EU gleichwertig ist.³ Diese Beschlüsse sind das Ergebnis einer umfassenden Bewertung der Rechtsrahmen und Durchsetzungspraktiken des jeweiligen Drittlandes. Ihre Existenz ermöglicht einen reibungslosen und sicheren Datenfluss, ohne dass für jede einzelne Übermittlung zusätzliche Garantien erforderlich sind. Das Fehlen eines solchen Beschlusses, wie im Fall der USA, unterstreicht die hohen Anforderungen der EU und die Notwendigkeit für Unternehmen, alternative Mechanismen zu nutzen, was die Komplexität des internationalen Datentransfers erhöht.³

Standardvertragsklauseln (SCCs) und verbindliche interne Datenschutzvorschriften (BCRs) dienen als pragmatische Brücken für den Datentransfer, wenn kein Angemessenheitsbeschluss vorliegt. Diese Mechanismen ermöglichen es Unternehmen, Daten in Drittländer zu übermitteln, indem sie vertragliche oder interne Regelungen implementieren, die ein vergleichbares Schutzniveau gewährleisten.³ SCCs bieten eine standardisierte vertragliche Grundlage, während BCRs es multinationalen Konzernen ermöglichen, konzerninterne Datenübermittlungen unter einem einzigen genehmigten Regelwerk zu konsolidieren.⁵ Diese Instrumente sind jedoch nicht ohne Herausforderungen, da sie zusätzliche Bewertungen und Implementierungsanstrengungen erfordern, um sicherzustellen, dass sie in der Praxis wirksam sind und die Rechte der betroffenen Personen auch im Drittland durchsetzbar bleiben. Sie sind ein Ausdruck der Flexibilität der DSGVO, während gleichzeitig das hohe Schutzniveau aufrechterhalten wird.

Aufsichtsbehörden und Durchsetzung

Die DSGVO etabliert ein Netzwerk unabhängiger Aufsichtsbehörden in jedem Mitgliedstaat, die für die Überwachung und Durchsetzung der Verordnung zuständig sind. Diese Behörden spielen eine entscheidende Rolle bei der Gewährleistung einer konsistenten Anwendung des Datenschutzes in der gesamten Union.

Rolle und Unabhängigkeit der Aufsichtsbehörden (Art. 51, 52 DSGVO)

Jeder Mitgliedstaat muss eine oder mehrere unabhängige öffentliche Behörden einrichten, die für die Überwachung der Anwendung der DSGVO zuständig sind.⁵ Diese Aufsichtsbehörden müssen in voller Unabhängigkeit handeln, frei von externem Einfluss, und mit den notwendigen personellen, technischen und finanziellen Ressourcen ausgestattet sein.⁵

Beispiele für wichtige Aufsichtsbehörden und Gremien sind:

• Europäische Datenschutzbehörde (EDPB): Die EDPB ist ein unabhängiges EU-Gremium, das die konsistente Anwendung der DSGVO in allen Mitgliedstaaten gewährleistet und die Zusammenarbeit zwischen den nationalen Datenschutzbehörden fördert.⁵ Sie gibt Leitlinien, Empfehlungen und bewährte Verfahren heraus, um die DSGVO zu präzisieren, und berät die Europäische Kommission in Datenschutzfragen.¹⁷

• Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI): Der BfDI ist die deutsche Bundesaufsichtsbehörde im Sinne von Art. 51 DSGVO und ist für die Durchsetzung der DSGVO für die Bundesregierung und private Telekommunikationsdienste zuständig.²⁴ Für andere private Sektoren sind die 16 Landesdatenschutzbehörden zuständig.²⁴ Der BfDI ist eine eigenständige oberste Bundesbehörde und somit funktionell und strukturell unabhängig.²⁶

• Datenschutzkonferenz (DSK): Die DSK ist das Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder.²⁷ Ihre Aufgabe ist es, die grundlegenden Datenschutzrechte zu wahren, eine einheitliche Anwendung des europäischen und nationalen Datenschutzrechts zu erreichen und an dessen Weiterentwicklung mitzuwirken.²⁷ Die DSK veröffentlicht Beschlüsse, Entscheidungen, Kurzpapiere und Orientierungshilfen.²⁷

Zusammenarbeit und Kohärenzmechanismus (Art. 60, 63 DSGVO)

Die DSGVO sieht einen umfassenden Kooperations- und Kohärenzmechanismus vor, um eine konsistente Anwendung der Verordnung in der gesamten Union zu gewährleisten.⁵ Bei grenzüberschreitenden Verarbeitungsvorgängen arbeitet die federführende Aufsichtsbehörde (die Behörde des Hauptsitzes des Verantwortlichen oder Auftragsverarbeiters) mit den anderen betroffenen Aufsichtsbehörden zusammen, um einen Konsens zu erzielen.⁵ Die EDPB spielt hier eine zentrale Rolle, indem sie Stellungnahmen zu Entscheidungsentwürfen abgibt und in Streitfällen bindende Entscheidungen trifft.⁵

Rechtsbehelfe, Haftung und Geldbußen (Art. 77, 78, 82, 83 DSGVO)

Die DSGVO gewährt betroffenen Personen verschiedene Rechtsbehelfe:

• Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO): Jede betroffene Person hat das Recht, eine Beschwerde bei einer Aufsichtsbehörde einzulegen, wenn sie der Ansicht ist, dass die Verarbeitung ihrer personenbezogenen Daten gegen die DSGVO verstößt.⁵

• Recht auf einen wirksamen gerichtlichen Rechtsbehelf (Art. 78, 79 DSGVO): Betroffene Personen haben das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde, wenn diese eine Beschwerde nicht bearbeitet, oder gegen einen Verantwortlichen oder Auftragsverarbeiter, wenn ihre Rechte aufgrund einer nicht konformen Verarbeitung verletzt wurden.⁵

• Recht auf Schadenersatz und Haftung (Art. 82 DSGVO): Jede Person, der aufgrund eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz vom Verantwortlichen oder Auftragsverarbeiter.⁵

Die Aufsichtsbehörden können bei Verstößen gegen die DSGVO Verwaltungsbußgelder verhängen.⁵ Diese Bußgelder müssen wirksam, verhältnismäßig und abschreckend sein.⁵ Die Höhe der Bußgelder hängt von der Schwere des Verstoßes ab und kann bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) für bestimmte Verstöße betragen, und bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes für schwerwiegendere Verstöße.³ Der BfDI hat beispielsweise ein Bußgeld in Höhe von 45 Millionen Euro gegen Vodafone verhängt, unter anderem wegen unzureichender Überwachung von Auftragsverarbeitern und Sicherheitsmängeln im Authentifizierungsprozess.¹⁰ Die DSK hat zudem “Modell-Leitlinien für das Verfahren zur Verhängung von Geldbußen” (MRiDaVG) verabschiedet, um die Durchsetzung in Deutschland zu standardisieren.³⁰

Die Europäische Datenschutzbehörde (EDPB) ist die zentrale Instanz für Konsistenz und Kooperation im europäischen Datenschutz. Ihre Rolle geht über die bloße Koordination hinaus; sie ist ein unabhängiges EU-Gremium mit Rechtspersönlichkeit, das die kohärente Anwendung der DSGVO in allen Mitgliedstaaten sicherstellt.⁵ Indem sie Leitlinien und Empfehlungen herausgibt, berät sie nicht nur die Europäische Kommission, sondern fördert auch ein gemeinsames Verständnis und eine einheitliche Auslegung der DSGVO-Vorschriften durch die nationalen Aufsichtsbehörden.¹⁷ Ihre Fähigkeit, in Streitfällen bindende Entscheidungen zu treffen und koordinierte Durchsetzungsmaßnahmen zu initiieren (wie die Aktion zum Recht auf Löschung 2025 ¹⁶), unterstreicht ihre Autorität und ihre Bedeutung für die harmonisierte Durchsetzung des Datenschutzes in der gesamten Union.

Die Datenschutzkonferenz (DSK) ist das maßgebliche deutsche Koordinierungsgremium in einem föderalen System. Angesichts der Tatsache, dass in Deutschland die Durchsetzung des Datenschutzes größtenteils in der Zuständigkeit der Länder liegt, ist die DSK unerlässlich, um eine einheitliche Anwendung des europäischen und nationalen Datenschutzrechts zu gewährleisten.²⁷ Obwohl die Beschlüsse der DSK nicht direkt anwendbar sind, dienen sie den 18 deutschen Datenschutzbehörden als Grundlage für ihre eigenen Entscheidungen.²⁸ Die Verabschiedung der “Modell-Leitlinien für das Verfahren zur Verhängung von Geldbußen” (MRiDaVG) durch die DSK ist ein signifikanter Schritt zur Standardisierung der DSGVO-Durchsetzung auf Bundes- und Landesebene in Deutschland.³⁰ Dies zeigt die kontinuierliche Bemühung, trotz föderaler Strukturen eine kohärente und effektive Durchsetzung zu erreichen.

Die Bußgelder, die von den Aufsichtsbehörden verhängt werden können, sind ein wirksames Durchsetzungsinstrument mit Signalwirkung. Die Möglichkeit, administrative Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes zu verhängen, je nachdem, welcher Betrag höher ist, unterstreicht die Ernsthaftigkeit, mit der die DSGVO Verstöße ahndet.³ Der Rekordbußgeldbescheid des BfDI gegen Vodafone in Höhe von 45 Millionen Euro, der wegen unzureichender Überwachung von Auftragsverarbeitern und Sicherheitsmängeln verhängt wurde, ist ein klares Beispiel für die abschreckende Wirkung dieser Sanktionen.¹⁰ Solche Bußgelder dienen nicht nur der Bestrafung, sondern auch der Sensibilisierung von Unternehmen für die Notwendigkeit robuster Datenschutzmaßnahmen und der Förderung einer Kultur der Compliance. Sie senden ein starkes Signal an den Markt, dass Datenschutz keine optionale, sondern eine unverzichtbare Geschäftsanforderung ist.

Fazit und Ausblick

Die Datenschutz-Grundverordnung (DSGVO) hat sich seit ihrer Anwendbarkeit im Mai 2018 als das zentrale Regelwerk für den Schutz personenbezogener Daten in der Europäischen Union etabliert. Sie hat nicht nur die Rechte von Einzelpersonen gestärkt und ihnen mehr Kontrolle über ihre Daten verliehen, sondern auch umfassende Pflichten für Unternehmen und Organisationen geschaffen, die Daten verarbeiten. Die Verankerung des Datenschutzes als Grundrecht, die weitreichende extraterritoriale Wirkung und die Einführung des Prinzips der Rechenschaftspflicht sind Ausdruck einer grundlegenden Verschiebung im Rechtsverständnis von Daten. Die DSGVO hat eine globale Referenz für Datenschutzstandards gesetzt und zwingt Unternehmen weltweit, ihre Praktiken anzupassen, um mit EU-Bürgern interagieren zu können.

Die detaillierten Definitionen von Schlüsselbegriffen und die sechs Kernprinzipien der Datenverarbeitung bilden das Fundament für eine rechtmäßige und transparente Datenverarbeitung. Insbesondere die Prinzipien der Datenminimierung und Zweckbindung wirken der Datensammelwut entgegen und fördern einen bewussteren Umgang mit Informationen. Die differenzierte Betrachtung der Rechtsgrundlagen und der erhöhte Schutz sensibler Datenkategorien zeigen, dass die DSGVO eine nuancierte und risikobasierte Herangehensweise an den Datenschutz erfordert. Die umfassenden Rechte der betroffenen Personen, vom Auskunftsrecht bis zum Recht auf Löschung, ermächtigen den Einzelnen und fordern von Organisationen eine proaktive und transparente Kommunikation.

Die Pflichten von Verantwortlichen und Auftragsverarbeitern, einschließlich der Implementierung von “Privacy by Design and by Default”, der Durchführung von Datenschutz-Folgenabschätzungen und der Ernennung von Datenschutzbeauftragten, sind entscheidende Mechanismen, um die Einhaltung der DSGVO in der Praxis zu gewährleisten. Die strengen Regeln für die Datenübermittlung in Drittländer und die Rolle der unabhängigen Aufsichtsbehörden, wie der EDPB und der DSK, unterstreichen das Engagement der EU für ein hohes und konsistentes Datenschutzniveau. Die Verhängung hoher Bußgelder dient als wirksames Instrument zur Durchsetzung und zur Sensibilisierung für die Bedeutung des Datenschutzes.

Trotz der etablierten Rahmenbedingungen steht die DSGVO weiterhin vor Herausforderungen. Die rasante Entwicklung neuer Technologien, insbesondere im Bereich der Künstlichen Intelligenz (KI), erfordert eine kontinuierliche Anpassung und Interpretation der bestehenden Vorschriften. Die Notwendigkeit, das Datenschutzrecht mit anderen Rechtsakten der EU-Digitalstrategie, wie dem AI Act und dem Data Act, zu harmonisieren, wird die Komplexität der Compliance weiter erhöhen.³¹ Auch die fortlaufende Diskussion um die ePrivacy-Verordnung zeigt, dass der Gesetzgeber bestrebt ist, den Schutz der Vertraulichkeit der Kommunikation weiter zu präzisieren.

Zusammenfassend lässt sich festhalten, dass die DSGVO weit mehr ist als eine bürokratische Hürde; sie ist ein Ausdruck eines grundlegenden Werts in der digitalen Gesellschaft – des Rechts auf Schutz der persönlichen Daten. Ihre umfassende und holistische Natur macht sie zu einem Eckpfeiler für jede Website und jedes Unternehmen, das im europäischen Raum agiert oder mit europäischen Bürgern interagiert. Die kontinuierliche Weiterentwicklung und Durchsetzung der DSGVO wird entscheidend sein, um das Vertrauen in die digitale Wirtschaft zu stärken und die informationelle Selbstbestimmung der Bürger in einer zunehmend datengesteuerten Welt zu sichern.

Häufig gestellte Fragen (FAQ)

F1: Was ist der Hauptzweck der DSGVO?

A1: Der Hauptzweck der DSGVO ist es, den Schutz personenbezogener Daten für natürliche Personen in der EU zu verbessern und den freien Datenverkehr innerhalb der EU zu gewährleisten. Sie soll die Kontrolle von Einzelpersonen über ihre Daten stärken und die Vorschriften für internationale Geschäfte vereinfachen.1

F2: Für wen gilt die DSGVO?

A2: Die DSGVO gilt für alle Organisationen, die personenbezogene Daten von Personen in der EU verarbeiten, unabhängig davon, ob die Organisation selbst in der EU ansässig ist oder nicht. Dies umfasst Verantwortliche (die über die Zwecke und Mittel der Verarbeitung entscheiden) und Auftragsverarbeiter (die Daten im Auftrag des Verantwortlichen verarbeiten).2

F3: Was sind “personenbezogene Daten” nach der DSGVO?

A3: Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören Namen, E-Mail-Adressen, Standortdaten, Online-Kennungen oder andere Merkmale, die eine Identifizierung ermöglichen.2

F4: Was sind die sechs Kernprinzipien der Datenverarbeitung?

A4: Die sechs Kernprinzipien sind: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz; Zweckbindung; Datenminimierung; Richtigkeit; Speicherbegrenzung; und Integrität und Vertraulichkeit (Sicherheit). Der Verantwortliche ist für die Einhaltung dieser Grundsätze rechenschaftspflichtig.2

F5: Was bedeutet “Einwilligung” unter der DSGVO?

A5: Einwilligung muss eine freiwillig, spezifisch, in informierter Weise und unmissverständlich abgegebene Willensbekundung sein. Sie muss jederzeit widerrufbar sein, und der Widerruf darf nicht schwieriger sein als die Erteilung der Einwilligung. Voreingestellte Opt-out-Optionen sind nicht zulässig.2

F6: Welche Rechte haben betroffene Personen unter der DSGVO?

A6: Betroffene Personen haben acht Kernrechte: Recht auf Information, Auskunftsrecht, Recht auf Berichtigung, Recht auf Löschung (“Recht auf Vergessenwerden”), Recht auf Einschränkung der Verarbeitung, Recht auf Datenübertragbarkeit, Widerspruchsrecht und das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden.5

F7: Was ist eine Datenschutz-Folgenabschätzung (DSFA) und wann ist sie erforderlich?

A7: Eine DSFA ist ein Prozess zur Bewertung der Auswirkungen geplanter Verarbeitungsvorgänge auf den Datenschutz. Sie ist erforderlich, wenn eine Art der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt, z.B. bei umfangreicher Verarbeitung sensibler Daten oder systematischer Überwachung.5

F8: Wann muss eine Datenpanne gemeldet werden?

A8: Eine Verletzung des Schutzes personenbezogener Daten (Datenpanne) muss der zuständigen Aufsichtsbehörde unverzüglich und, wenn möglich, innerhalb von 72 Stunden nach Bekanntwerden gemeldet werden, es sei denn, es ist unwahrscheinlich, dass ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Bei hohem Risiko für die betroffenen Personen müssen diese ebenfalls unverzüglich informiert werden.5

F9: Was sind die möglichen Konsequenzen bei Nichteinhaltung der DSGVO?

A9: Bei Nichteinhaltung können erhebliche Verwaltungsbußgelder verhängt werden, die bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro betragen können, je nachdem, welcher Betrag höher ist.3 Darüber hinaus können betroffene Personen Schadenersatzansprüche geltend machen.5

F10: Welche Rolle spielt der Datenschutzbeauftragte (DSB)?

A10: Der DSB ist eine unabhängige Person, die Organisationen in Datenschutzfragen berät, die Einhaltung der DSGVO überwacht und als Kontaktpunkt für Aufsichtsbehörden und betroffene Personen dient. Die Benennung eines DSB ist unter bestimmten Bedingungen obligatorisch.5

Wichtige Quellen

• Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung): Der vollständige Text der DSGVO.

  • EUR-Lex:(https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679) ¹

• Europäische Datenschutzbehörde (EDPB): Offizielle Website mit Leitlinien, Empfehlungen und Best Practices.

  • Website: https://edpb.europa.eu/edpb_en ⁶

• Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI): Die deutsche Bundesaufsichtsbehörde.

  • Website:(https://www.bfdi.bund.de/DE/Home/home_node.html) ⁴

• Datenschutzkonferenz (DSK): Das Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder.

  • Website: https://datenschutzkonferenz-online.de ²⁷

• Europäische Kommission: Informationen zum Datenschutzrecht der EU.

  • Website: https://ec.europa.eu/info/law/law-topic/data-protection_en ³