Datenschutzrecht (DSGVO)

1. Was bedeutet Datenschutzrecht (DSGVO) in Deutschland?

Kurzantwort: Datenschutzrecht regelt, wie personenbezogene Daten verarbeitet werden dürfen und wie das Grundrecht auf informationelle Selbstbestimmung geschützt wird – in Deutschland maßgeblich durch DSGVO und BDSG.

Unter Datenschutzrecht versteht man die Gesamtheit der Normen, die den Umgang mit personenbezogenen Daten betreffen. Im Mittelpunkt steht das Grundrecht auf Datenschutz bzw. informationelle Selbstbestimmung: Jede Person soll grundsätzlich selbst entscheiden können, wer welche Daten zu welchem Zweck über sie verarbeitet.

Wesentliche Rechtsquellen des Datenschutzrechts sind:

• die Datenschutz-Grundverordnung (DSGVO) als europaweit geltende Verordnung mit unmittelbarer Wirkung,
• das Bundesdatenschutzgesetz (BDSG) als ergänzendes nationales Gesetz,
• die Landesdatenschutzgesetze für bestimmte öffentliche Stellen der Länder,
• Spezialgesetze wie das Telekommunikations-Telemedien-Datenschutz-Gesetz (TTDSG) oder sozialrechtliche Datenschutzvorschriften.

Das zentrale Prinzip lautet: „Verbot mit Erlaubnisvorbehalt“. Die Verarbeitung personenbezogener Daten ist grundsätzlich verboten und nur dann erlaubt, wenn eine Rechtsgrundlage besteht, etwa eine Einwilligung, Vertragserfüllung, eine rechtliche Pflicht oder ein überwiegendes berechtigtes Interesse.

Für Verantwortliche ist daher nicht nur relevant, ob sie „sensible“ Daten verarbeiten, sondern ob überhaupt ein Personenbezug besteht. Schon der Betrieb einer einfachen Kontaktformular-Funktion oder einer Mitgliederliste in einem Verein kann datenschutzrechtliche Pflichten auslösen.

2. Für wen gilt die DSGVO und welche Daten sind besonders geschützt?

Kurzantwort: Die DSGVO gilt für nahezu alle Stellen, die personenbezogene Daten verarbeiten – unabhängig von ihrer Größe. Besondere Sensibilität besteht bei sogenannten besonderen Kategorien personenbezogener Daten wie Gesundheits- oder Religionsdaten.

Der sachliche Anwendungsbereich der DSGVO ist sehr weit: Erfasst werden sämtliche Verarbeitungsvorgänge personenbezogener Daten, die automatisiert erfolgen oder in Dateisystemen strukturiert sind. Dazu zählen z. B.:

• Kundendatenbanken, Lohn- und Gehaltsabrechnung, CRM-Systeme, Newsletter-Tools,
• Videoüberwachung von Eingangsbereichen,
• Online-Shops und Webseiten mit Tracking-Tools,
• Mitgliederverwaltungen von Vereinen oder Verbänden,
• digitale Personalakten und Bewerbermanagementsysteme.

Der räumliche Anwendungsbereich erfasst nicht nur Verantwortliche mit Sitz in der EU. Auch Unternehmen außerhalb der EU können der DSGVO unterfallen, wenn sie Waren oder Dienstleistungen Personen in der EU anbieten oder deren Verhalten in der EU beobachten (etwa durch Tracking und Profiling auf Webseiten).

Besonders geschützt sind die sogenannten „besonderen Kategorien personenbezogener Daten“. Dazu gehören unter anderem Daten:

• zur rassischen und ethnischen Herkunft,
• zu politischen Meinungen, religiösen oder weltanschaulichen Überzeugungen,
• zur Gewerkschaftszugehörigkeit,
• zur Gesundheit, Sexualität oder sexuellen Orientierung,
• genetische und biometrische Daten zur eindeutigen Identifizierung einer Person.

Deren Verarbeitung ist grundsätzlich verboten und nur in eng begrenzten Ausnahmefällen zulässig, etwa mit ausdrücklicher Einwilligung, zur Geltendmachung von Rechtsansprüchen oder aus Gründen des Arbeits-, Sozial- oder Gesundheitsrechts.

Wichtig: Die DSGVO gilt in aller Regel unabhängig von der Größe der Organisation. Auch der kleine Handwerksbetrieb, die Arztpraxis, der Online-Händler oder der Sportverein mit überschaubarer Mitgliederzahl muss sich mit dem Datenschutzrecht befassen.

3. Welche Pflichten haben Unternehmen, Vereine und Behörden?

Kurzantwort: Verantwortliche müssen eine rechtmäßige Datenverarbeitung sicherstellen, Transparenz schaffen, Datensicherheit gewährleisten, Vorgänge dokumentieren und Betroffenenrechte ermöglichen – und das jederzeit nachweisen können.

Die DSGVO enthält eine Vielzahl von Pflichten, die für Verantwortliche und teilweise auch für Auftragsverarbeiter gelten. Zu den wichtigsten gehören:

• Rechtsgrundlage klären: Vor jeder Verarbeitung ist zu prüfen, auf welche Rechtsgrundlage sie gestützt werden kann (z. B. Vertrag, Einwilligung, gesetzliche Pflicht, berechtigtes Interesse).
• Transparenz herstellen: Betroffene müssen in verständlicher Form darüber informiert werden, welche Daten zu welchen Zwecken verarbeitet werden, an wen sie übermittelt werden und wie lange sie gespeichert werden.
• Technische und organisatorische Maßnahmen (TOM): Datensicherheit durch Maßnahmen wie Zugriffs- und Berechtigungskonzepte, Verschlüsselung, Backups, Pseudonymisierung und Löschkonzepte.
• Verzeichnis von Verarbeitungstätigkeiten: Dokumentation der wichtigsten Verarbeitungsvorgänge mit Angaben zu Zwecken, Kategorien von Daten und Betroffenen, Empfängern und Speicherdauern.
• Auftragsverarbeitung rechtssicher gestalten: Schriftliche Verträge mit Dienstleistern, die Daten im Auftrag verarbeiten (z. B. Cloud-Provider, Newsletter-Dienste, Lohnbüros), inklusive Weisungsbindung und Sicherheitsvorgaben.
• Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen („Privacy by Design“ und „Privacy by Default“) bei der Einführung neuer Systeme oder Prozesse.
• Datenschutz-Folgenabschätzung bei besonders risikoreichen Verarbeitungen (z. B. umfangreiche Videoüberwachung, Profiling, Scoring).
• Datenschutzbeauftragter, sofern die gesetzlichen Voraussetzungen erfüllt sind (z. B. in vielen Fällen ab 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, oder bei besonders sensiblen Datenverarbeitungen).

• Bestandsaufnahme aller Prozesse mit personenbezogenen Daten („Daten-Inventur“).
• Rechtsgrundlagen prüfen und dokumentieren, Einwilligungen überprüfen und ggf. neu einholen.
• Verzeichnis von Verarbeitungstätigkeiten erstellen und aktuell halten.
• Datenschutzerklärung(en) und Informationspflichten für Betroffene überarbeiten.
• Technische und organisatorische Maßnahmen (TOM) definieren und umsetzen.
• Verträge zur Auftragsverarbeitung mit Dienstleistern schließen oder überprüfen.
• Prüfen, ob ein Datenschutzbeauftragter zu benennen ist, und ggf. entsprechende Person bestellen.
• Mitarbeitende regelmäßig zum Datenschutz schulen und auf Vertraulichkeit verpflichten.

Gerade kleinere Organisationen können mit pragmatischen Standards und Vorlagen schon viel erreichen, wenn sie die grundlegende Systematik des Datenschutzrechts verstanden haben und Verantwortlichkeiten klar regeln.

4. Welche Rechte haben betroffene Personen?

Kurzantwort: Betroffene haben umfassende Rechte gegenüber dem Verantwortlichen, insbesondere auf Information, Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

Die DSGVO stärkt die Stellung der betroffenen Personen deutlich. Sie sollen nachvollziehen können, wer welche Daten zu welchem Zweck verarbeitet und wie sie sich dagegen zur Wehr setzen können. Zu den zentralen Betroffenenrechten gehören:

• Recht auf Information: Schon bei Erhebung der Daten muss über Zwecke, Rechtsgrundlage, Empfänger, Speicherdauer und Rechte informiert werden.
• Auskunftsrecht: Betroffene können Auskunft darüber verlangen, ob sie betreffende Daten verarbeitet werden, und detaillierte Informationen dazu erhalten.
• Recht auf Berichtigung: Unrichtige oder unvollständige Daten müssen korrigiert werden.
• Recht auf Löschung („Recht auf Vergessenwerden“): Unter bestimmten Voraussetzungen sind Daten zu löschen, etwa wenn sie für den ursprünglichen Zweck nicht mehr erforderlich sind oder eine Einwilligung widerrufen wurde.
• Recht auf Einschränkung der Verarbeitung: Zwischenlösung, wenn z. B. die Richtigkeit der Daten bestritten wird oder eine Löschung noch nicht möglich ist.
• Recht auf Datenübertragbarkeit: Bereitstellung der Daten in einem strukturierten, gängigen und maschinenlesbaren Format bzw. Übermittlung an einen anderen Verantwortlichen.
• Widerspruchsrecht: Möglichkeit, der Verarbeitung aus persönlichen Gründen zu widersprechen; besonders relevant bei Direktwerbung.

Betroffene Personen können sich zusätzlich bei der zuständigen Datenschutzaufsichtsbehörde beschweren, wenn sie der Ansicht sind, dass ihre Rechte verletzt wurden. Diese Behörde prüft den Vorgang und kann gegenüber dem Verantwortlichen Maßnahmen anordnen.

5. Welche Folgen drohen bei Verstößen gegen das Datenschutzrecht?

Kurzantwort: Datenschutzverstöße können zu hohen Bußgeldern, Schadensersatzforderungen, aufsichtsbehördlichen Maßnahmen und erheblichen Reputationsschäden führen – unabhängig von der Größe der Organisation.

Die DSGVO sieht einen abgestuften Sanktionsrahmen vor. Bei bestimmten Verstößen können Bußgelder von bis zu 20 Mio. Euro oder 4 % des weltweit erzielten Jahresumsatzes verhängt werden, je nachdem, welcher Betrag höher ist. Relevante Faktoren für die Höhe des Bußgeldes sind u. a.:

• Art, Schwere und Dauer des Verstoßes,
• Vorsatz oder Fahrlässigkeit,
• Art der betroffenen Daten und Zahl der Betroffenen,
• Kooperation mit der Aufsichtsbehörde und getroffene Abhilfemaßnahmen,
• bisherige Verstöße und Grad der Verantwortung des Verantwortlichen.

Neben Bußgeldern können Betroffene Schadensersatzansprüche geltend machen, wenn ihnen ein materieller oder immaterieller Schaden entstanden ist – etwa durch Identitätsdiebstahl, Diskriminierung oder Kontrollverlust über eigene Daten.

Aufsichtsbehörden verfügen außerdem über weitere Instrumente, z. B. Verwarnungen, Anordnungen zur Anpassung von Prozessen, zeitweilige oder endgültige Beschränkungen von Verarbeitungen oder Untersagungen der Datenverarbeitung.

Gerade öffentlich gewordene Datenschutzpannen (z. B. Datenlecks oder unzulässige Tracking-Praktiken) zeigen, dass Imageschäden häufig schwerer wiegen als die eigentlichen Bußgelder. Ein transparentes und rechtssicheres Datenschutzmanagement kann daher auch zu einem Wettbewerbsvorteil werden.

6. Wo spielt Datenschutzrecht im Alltag eine Rolle?

Kurzantwort: Datenschutzrecht betrifft fast alle Lebensbereiche – vom Arbeitsverhältnis über Online-Shopping und Social Media bis hin zu Vereinen, Schulen und smarten Geräten im Haushalt.

Viele Menschen begegnen dem Datenschutzrecht vor allem in Form von Cookie-Bannern, Datenschutzerklärungen oder Einwilligungstexten. Tatsächlich reicht die praktische Bedeutung weit darüber hinaus. Einige typische Konstellationen sind:

6.1 Datenschutz im Arbeitsverhältnis

Kurzantwort: Im Arbeitsverhältnis sind insbesondere der Umgang mit Mitarbeiterdaten, Bewerbungen und Überwachungsmaßnahmen datenschutzrechtlich sensibel.

Arbeitgeber verarbeiten zahlreiche Beschäftigtendaten – von Bewerbungsunterlagen und Personalakten über Krankmeldungen, Leistungsdaten und Zeiterfassung bis hin zu IT-Logs. § 26 BDSG konkretisiert die Verarbeitung von Beschäftigtendaten zur Begründung, Durchführung und Beendigung von Arbeitsverhältnissen. Besonders kritisch sind z. B.:

• Videoüberwachung von Arbeitsplätzen,
• Auswertung von E-Mail- und Internetnutzung,
• Ortung von Dienstfahrzeugen oder mobilen Geräten,
• Verarbeitung von Gesundheitsdaten (z. B. im Rahmen des betrieblichen Eingliederungsmanagements).

6.2 Webseiten, Online-Shops und Marketing

Kurzantwort: Bei Webseiten und Online-Shops ist vor allem transparent zu machen, welche Tracking-Tools genutzt werden und auf welche Rechtsgrundlagen sich diese stützen.

Betreiber von Websites und Online-Shops müssen u. a. auf Folgendes achten:

• vollständige und verständliche Datenschutzerklärung,
• rechtssichere Gestaltung von Cookie-Bannern und Einwilligungen für Tracking- und Marketingtools,
• Verträge zur Auftragsverarbeitung mit Hosting- und Newsletter-Dienstleistern,
• Datensparsamkeit und angemessene Speicherdauern für Protokolldaten.

6.3 Datenschutz im Verein und in Bildungseinrichtungen

Kurzantwort: Vereine und Schulen verarbeiten häufig Daten von Kindern und Jugendlichen – hier gelten besonders hohe Anforderungen an Transparenz, Einwilligungen und Datensicherheit.

Vereine verwalten Mitgliederlisten, Beitragszahlungen, Fotos von Veranstaltungen und zunehmend auch Social-Media-Auftritte. Schulen und Kitas nutzen digitale Plattformen, Lern-Apps und Elternkommunikationstools. Hier ist insbesondere auf klare Informationspflichten, wirksame Einwilligungen und datensparsame Einstellungen zu achten.

6.4 Smarte Geräte, Apps und Cloud-Dienste

Kurzantwort: Vernetzte Geräte, Apps und Cloud-Angebote sammeln oft umfangreiche Nutzungsdaten – Betroffene sollten bewusst mit Berechtigungen und Einstellungen umgehen.

Smartphones, Fitness-Tracker, smarte Lautsprecher oder vernetzte Haushaltsgeräte erzeugen fortlaufend Daten. Nutzer sollten prüfen, welche Daten erhoben werden, wie lange sie gespeichert bleiben und ob Daten außerhalb der EU verarbeitet werden. Verantwortliche Unternehmen müssen Transparenz schaffen und sichere Standardeinstellungen wählen.