DSGVO Compliance

KAPITEL 11 · IT-STANDARDS

DSGVO Compliance

Die Datenschutz-Grundverordnung (DSGVO) ist das wichtigste Datenschutzgesetz in der EU. Verstehen Sie die 7 Grundsätze, Betroffenenrechte, technischen Maßnahmen und vermeiden Sie hohe Bußgelder durch rechtssichere Datenverarbeitung.

Art. 5 Grundsätze Betroffenenrechte TOMs Bußgelder

Inhaltsverzeichnis

Schnellübersicht

Auf dieser Seite lernen Sie alles über DSGVO-Compliance:

  • Definition: Was ist die DSGVO und für wen gilt sie?
  • 7 Grundsätze: Rechtmäßigkeit, Zweckbindung, Datenminimierung & mehr
  • Betroffenenrechte: Auskunft, Löschung, Widerspruch & Co.
  • TOMs: Technische und organisatorische Maßnahmen
  • Bußgelder: Bis zu 4% des weltweiten Umsatzes
  • Checkliste: Praktische Umsetzung im Unternehmen
  • FAQ: Häufige Fragen zur DSGVO

1. Was ist die DSGVO?

Definition

Die DSGVO (Datenschutz-Grundverordnung) ist eine Verordnung der Europäischen Union, die am 25. Mai 2018 in Kraft trat. Sie vereinheitlicht den Datenschutz in allen EU-Mitgliedstaaten und gilt für jede Verarbeitung personenbezogener Daten – unabhängig davon, ob das Unternehmen in der EU sitzt oder nur Daten von EU-Bürgern verarbeitet.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 DSGVO). Dazu gehören Namen, E-Mail-Adressen, IP-Adressen, Standortdaten, Cookies und sogar pseudonymisierte Daten, wenn eine Zuordnung möglich ist.

Ziel der DSGVO: Schutz der Grundrechte und Grundfreiheiten natürlicher Personen, insbesondere des Rechts auf Schutz personenbezogener Daten (Art. 1 DSGVO).

Für wen gilt die DSGVO?

  • Alle Unternehmen in der EU, die personenbezogene Daten verarbeiten
  • Unternehmen außerhalb der EU, wenn sie Waren/Dienstleistungen an EU-Bürger anbieten oder deren Verhalten überwachen
  • Vereine, Behörden, Freiberufler – jede Organisation, die personenbezogene Daten verarbeitet
  • Ausnahme: Rein private/familiäre Tätigkeiten (z.B. privates Adressbuch)

2. Die 7 Grundsätze der Datenverarbeitung (Art. 5 DSGVO)

Jede Verarbeitung personenbezogener Daten muss diese sieben Grundsätze erfüllen. Verstöße können zu hohen Bußgeldern führen.

Art. 5

Rechtmäßigkeit, Treu und Glauben, Transparenz

Daten müssen rechtmäßig, fair und nachvollziehbar verarbeitet werden. Die betroffene Person muss informiert werden.

Praxis: Datenschutzerklärung bereitstellen, Einwilligungen einholen, Verarbeitungszweck klar kommunizieren.
Art. 5

Zweckbindung

Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden. Keine weitere Verarbeitung ohne neuen Rechtsgrund.

Praxis: Newsletter-Daten nicht für Werbung nutzen, wenn nur für Kontaktformular erhoben.
Art. 5

Datenminimierung

Nur so viele Daten wie nötig, so wenig wie möglich. Dem Zweck angemessen und erheblich.

Praxis: Kein Geburtsdatum für Newsletter-Anmeldung abfragen, wenn nicht benötigt.
Art. 5

Richtigkeit

Daten müssen sachlich richtig und auf dem neuesten Stand sein. Unrichtige Daten sind unverzüglich zu berichtigen oder löschen.

Praxis: Regelmäßige Datenpflege, Korrekturmöglichkeiten für Nutzer anbieten.
Art. 5

Speicherbegrenzung

Daten nur so lange speichern, wie es für den Zweck erforderlich ist. Danach löschen oder anonymisieren.

Praxis: Löschkonzept erstellen, automatische Löschfristen implementieren, Bewerbungsunterlagen nach 6 Monaten löschen.
Art. 5

Integrität und Vertraulichkeit

Daten müssen angemessen gesichert werden gegen unbefugte Verarbeitung, Verlust oder Zerstörung.

Praxis: Verschlüsselung, Zugriffskontrollen, Backups, Mitarbeiterschulungen.
Art. 5

Rechenschaftspflicht

Der Verantwortliche muss die Einhaltung aller Grundsätze nachweisen können. Dokumentation ist Pflicht.

Praxis: Verarbeitungsverzeichnis führen, Datenschutz-Folgenabschätzung dokumentieren, Schulungsnachweise aufbewahren.

3. Betroffenenrechte (Art. 12-23 DSGVO)

Betroffene Personen haben umfangreiche Rechte gegenüber dem Verantwortlichen. Diese müssen innerhalb eines Monats beantwortet werden.

Die wichtigsten Betroffenenrechte

Auskunftsrecht

Betroffene können Auskunft über gespeicherte Daten, Verarbeitungszwecke und Empfänger verlangen.

Art. 15 DSGVO
Recht auf Berichtigung

Unrichtige Daten müssen unverzüglich berichtigt oder vervollständigt werden.

Art. 16 DSGVO
Recht auf Löschung

"Recht auf Vergessenwerden" – Daten müssen gelöscht werden, wenn der Zweck entfällt oder Einwilligung widerrufen wird.

Art. 17 DSGVO
Recht auf Einschränkung

Verarbeitung kann vorübergehend eingeschränkt werden (z.B. während Prüfung der Richtigkeit).

Art. 18 DSGVO
Recht auf Datenübertragbarkeit

Daten müssen in strukturiertem, maschinenlesbarem Format bereitgestellt werden (z.B. JSON, CSV).

Art. 20 DSGVO
Widerspruchsrecht

Betroffene können der Verarbeitung jederzeit widersprechen, besonders bei Direktwerbung.

Art. 21 DSGVO
Automatisierte Entscheidungen

Recht auf menschliches Eingreifen bei rein automatisierten Entscheidungen mit rechtlicher Wirkung.

Art. 22 DSGVO
Informationspflicht

Bei Datenerhebung müssen Betroffene über Verarbeitung, Zwecke und Rechte informiert werden.

Art. 13/14 DSGVO

Fristen beachten!

Anfragen von Betroffenen müssen innerhalb eines Monats beantwortet werden. Bei komplexen Anfragen kann die Frist um zwei weitere Monate verlängert werden (mit Begründung). Die Information über die Verlängerung muss innerhalb des ersten Monats erfolgen.

4. Technische und organisatorische Maßnahmen (TOMs)

Art. 32 DSGVO verlangt angemessene Sicherheitsmaßnahmen zum Schutz personenbezogener Daten. Diese müssen dem Risiko angepasst sein.

Wichtige TOMs nach Art. 32 DSGVO

Verschlüsselung
  • Transportverschlüsselung (TLS/SSL)
  • Speicherverschlüsselung (AES-256)
  • E-Mail-Verschlüsselung (PGP/S/MIME)
  • Datenbank-Verschlüsselung
Zugriffskontrolle
  • Multi-Faktor-Authentifizierung (MFA)
  • Rollenbasierte Berechtigungen (RBAC)
  • Prinzip der geringsten Rechte
  • Regelmäßige Zugriffsprüfungen
Datensicherung
  • Regelmäßige Backups (3-2-1-Regel)
  • Getestete Wiederherstellung
  • Backup-Verschlüsselung
  • Offsite-Backups
Organisatorisch
  • Datenschutzschulungen
  • Verpflichtungserklärungen
  • Verarbeitungsverzeichnis
  • Datenschutzbeauftragter
Netzwerksicherheit
  • Firewalls & Segmentierung
  • VPN für Remote-Zugriff
  • Intrusion Detection/Prevention
  • Regelmäßige Security-Updates
Dokumentation
  • Sicherheitsrichtlinien
  • Incident-Response-Plan
  • Datenschutz-Folgenabschätzung
  • Audit-Logs & Monitoring

5. Bußgelder und Sanktionen

Die DSGVO sieht empfindliche Bußgelder vor. Die Höhe hängt von der Schwere des Verstoßes ab.

Verstoß-Kategorie Maximales Bußgeld Beispiele
Schwere Verstöße Bis zu 20 Mio. € ODER 4% des weltweiten Jahresumsatzes Verletzung der Grundsätze (Art. 5), fehlende Einwilligung, Verstöße gegen Betroffenenrechte, unzulässige Datenübermittlung in Drittländer
Weniger schwere Verstöße Bis zu 10 Mio. € ODER 2% des weltweiten Jahresumsatzes Verstöße gegen Dokumentationspflichten, unzureichende TOMs, Meldepflichten bei Datenschutzverletzungen
Beispiele aus der Praxis Variabel British Airways: 204 Mio. €, Marriott: 110 Mio. €, H&M: 35 Mio. €, Notebooksbilliger: 10,4 Mio. €

Neben Bußgeldern drohen auch:

  • Schadensersatzansprüche betroffener Personen (Art. 82 DSGVO)
  • Abmahnungen durch Wettbewerber oder Verbraucherschutzverbände
  • Reputationsschaden durch öffentliche Bekanntgabe von Verstößen
  • Geschäftseinbußen durch Vertrauensverlust bei Kunden

6. DSGVO-Checkliste für Unternehmen

Praktische Schritte zur Umsetzung der DSGVO in Ihrem Unternehmen.

Basis-Checkliste

  • Verarbeitungsverzeichnis erstellen (Art. 30)
    Alle Verarbeitungstätigkeiten dokumentieren: Zwecke, Rechtsgrundlagen, Kategorien, Empfänger, Fristen.
  • Datenschutzerklärung aktualisieren (Art. 13/14)
    Transparente Information über Verarbeitung, Rechte und Kontaktdaten des Verantwortlichen.
  • Rechtsgrundlagen prüfen (Art. 6)
    Für jede Verarbeitung eine gültige Rechtsgrundlage: Einwilligung, Vertrag, berechtigtes Interesse, gesetzliche Pflicht.
  • TOMs implementieren (Art. 32)
    Angemessene technische und organisatorische Maßnahmen zum Schutz der Daten.
  • Auftragsverarbeiter prüfen (Art. 28)
    AV-Verträge mit allen Dienstleistern schließen, die personenbezogene Daten verarbeiten.
  • Datenschutzbeauftragten bestellen (Art. 37)
    Pflicht bei regelmäßiger systematischer Überwachung oder umfangreicher Verarbeitung sensibler Daten.
  • Mitarbeiterschulungen durchführen
    Regelmäßige Sensibilisierung für Datenschutz, Dokumentation der Schulungen.
  • Meldeverfahren für Datenschutzverletzungen (Art. 33/34)
    Prozess etablieren für Meldung an Aufsichtsbehörde (72 Std.) und Benachrichtigung Betroffener.
  • Löschkonzept erstellen
    Festlegung von Aufbewahrungsfristen und automatischen Löschprozessen.
  • Cookies & Tracking prüfen
    Cookie-Banner, Einwilligungsmanagement, Privacy by Design bei Webanwendungen.

7. FAQ – Häufige Fragen zur DSGVO

Häufig gestellte Fragen

Braucht jedes Unternehmen einen Datenschutzbeauftragten?

Nicht automatisch. Ein Datenschutzbeauftragter ist gemäß Art. 37 DSGVO verpflichtend, wenn:

  • Die Verarbeitung durch eine öffentliche Stelle erfolgt (außer Gerichte)
  • Die Kerntätigkeit in der regelmäßigen und systematischen Überwachung von Personen besteht (z.B. Tracking, Profiling)
  • Die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien von Daten besteht (Gesundheitsdaten, biometrische Daten, etc.)

In Deutschland gilt zusätzlich: Unternehmen mit mindestens 20 Mitarbeitern, die ständig mit automatisierter Verarbeitung beschäftigt sind, benötigen einen DSB (§ 38 BDSG-neu).

Was ist ein Auftragsverarbeiter und wann brauche ich einen AV-Vertrag?

Ein Auftragsverarbeiter ist ein Dienstleister, der personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO).

Typische Beispiele: Cloud-Provider (AWS, Azure), Hosting-Dienste, E-Mail-Marketing-Tools, Payroll-Dienstleister, IT-Wartungsfirmen.

Ein AV-Vertrag (Auftragsverarbeitungsvertrag) nach Art. 28 DSGVO ist immer erforderlich, wenn ein Dritter Daten in Ihrem Auftrag verarbeitet. Der Vertrag regelt Pflichten, Sicherheitsmaßnahmen und Kontrollrechte.

Wann ist eine Datenschutz-Folgenabschätzung (DSFA) erforderlich?

Eine DSFA (Art. 35 DSGVO) ist erforderlich, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

Typische Fälle:

  • Systematische und umfassende Bewertung persönlicher Aspekte (Profiling)
  • Umfangreiche Verarbeitung besonderer Kategorien (Gesundheit, Biometrie)
  • Systematische Überwachung öffentlich zugänglicher Bereiche (Videoüberwachung)
  • Neue Technologien (KI, Gesichtserkennung, IoT)
Darf ich personenbezogene Daten in die USA übertragen?

Grundsätzlich ja, aber mit Einschränkungen. Seit dem "Schrems II"-Urteil des EuGH (2020) ist das Privacy Shield ungültig. Datenübermittlungen in die USA sind nur zulässig, wenn:

  • Standardvertragsklauseln (SCCs) verwendet werden UND
  • Zusätzliche Maßnahmen ergriffen werden (Verschlüsselung, Pseudonymisierung)
  • Das US-Unternehmen unter dem EU-US Data Privacy Framework zertifiziert ist (seit Juli 2023)

Prüfen Sie immer, ob der Empfänger angemessene Garantien bietet. Dokumentieren Sie Ihre Prüfung.

Wie lange darf ich personenbezogene Daten speichern?

So lange wie nötig, so kurz wie möglich (Art. 5 Abs. 1 lit. e DSGVO). Es gibt keine pauschale Antwort – die Speicherdauer hängt vom Zweck ab:

  • Bewerbungsunterlagen: 6 Monate nach Ablehnung (AGG-Fristen)
  • Vertragsdaten: Dauer des Vertrags + gesetzliche Aufbewahrungsfristen (HGB/AO: 6-10 Jahre)
  • Newsletter-Abonnenten: Bis zum Widerruf der Einwilligung
  • Kameraaufnahmen: 48-72 Stunden (bei Verdacht länger)

Erstellen Sie ein Löschkonzept mit konkreten Fristen und automatischen Löschprozessen.

Was tun bei einer Datenschutzverletzung?

Bei einer Datenschutzverletzung (Data Breach) müssen Sie sofort handeln:

  1. Verletzung stoppen: Zugang sperren, Systeme isolieren
  2. Ausmaß bewerten: Welche Daten? Wie viele Betroffene? Welches Risiko?
  3. Meldung an Aufsichtsbehörde: Innerhalb von 72 Stunden nach Bekanntwerden (Art. 33 DSGVO)
  4. Benachrichtigung Betroffener: Wenn hohes Risiko besteht (Art. 34 DSGVO)
  5. Dokumentation: Alle Maßnahmen und Entscheidungen protokollieren
  6. Nachbereitung: Ursachenanalyse, Maßnahmen zur Vermeidung zukünftiger Vorfälle

Zusammenfassung

Die wichtigsten Punkte

  • DSGVO gilt seit 25.05.2018 in der gesamten EU für jede Verarbeitung personenbezogener Daten
  • 7 Grundsätze (Art. 5): Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität, Rechenschaft
  • Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch
  • TOMs (Art. 32): Verschlüsselung, Zugriffskontrolle, Backups, Schulungen, Dokumentation
  • Bußgelder: Bis zu 20 Mio. € oder 4% des weltweiten Umsatzes
  • Verantwortlichkeit: Der Verantwortliche muss Compliance nachweisen können (Rechenschaftspflicht)
  • Praxis: Verarbeitungsverzeichnis, Datenschutzerklärung, AV-Verträge, Löschkonzept, Schulungen

Nächste Schritte

Beginnen Sie mit der Erstellung eines Verarbeitungsverzeichnisses – dies ist die Grundlage für alle weiteren Maßnahmen. Prüfen Sie dann Ihre Rechtsgrundlagen, aktualisieren Sie die Datenschutzerklärung und implementieren Sie angemessene TOMs. Dokumentieren Sie alles!

Weiter zu ISO 27001

Weiterführende Themen

ISO 27001

Internationaler Standard für Informationssicherheits-Managementsysteme (ISMS).

Zu ISO 27001
Sicherheitsstandards

Technische Sicherheitsstandards: NIST, BSI-Grundschutz, CIS Controls.

Zu Sicherheitsstandards
IT-Frameworks

ITIL, COBIT, TOGAF – Rahmenwerke für IT-Management und Governance.

Zu IT-Frameworks
Internet-Standards

TCP/IP, HTTP, TLS – Protokolle und Standards des Internets.

Zu Internet-Standards