Datenschutzerklärung
29. Oktober 2025
Diese Datenschutzerklärung bietet eine klare Einführung in die DSGVO und erklärt, wie die Regelungen seit dem Mai 2018 die Verarbeitung personenbezogener daten in der Europäischen Union vereinheitlichen.
Die Verordnung stärkt Transparenz, Rechenschaftspflicht und die Rechte der betroffenen personen. Dazu zählen Auskunft, Berichtigung, Löschung und Datenübertragbarkeit.
Unternehmen müssen Zwecke, Rechtsgrundlagen und Speicherfristen offenlegen. Verstöße können hohe Geldbußen nach sich ziehen und das Vertrauen der Nutzer schädigen.
Dieses Kapitel fasst zentrale Pflichten für Verantwortliche und Auftragsverarbeiter zusammen. Es erklärt, was unter personenbezogener daten zu verstehen ist und welche Schritte zum praktischen schutz notwendig sind.
Inhaltsverzeichnis
Wesentliche Erkenntnisse
- Die DSGVO gilt EU-weit seit Mai 2018 und vereinheitlicht den Datenschutz.
- Betroffene personen haben umfassende Rechte wie Auskunft und Löschung.
- Verantwortliche müssen Zwecke, Rechtsgrundlagen und Fristen dokumentieren.
- Verstöße können zu hohen Geldbußen und Reputationsschäden führen.
- Nationales Recht ergänzt die Verordnung, etwa beim Beschäftigtendatenschutz.
Was ist die DSGVO? Geltung, Ziele und Aufbau seit Mai 2018
Art. 1 legt den Rahmen fest: Schutz personenbezogener Daten steht im Mittelpunkt. Die Verordnung ist seit dem 25. Mai 2018 unmittelbar anwendbar und gilt einheitlich in der europäischen union.
Gegenstand und Ziele: Schutz personenbezogener Daten in der EU
Die Verordnung zielt darauf ab, die Grundrechte von personen zu stärken und den freien Verkehr von daten innerhalb der EU zu sichern. Art. 1 beschreibt den Schutz personenbezogener Daten als zentrales Anliegen.
Kapitel- und Artikelstruktur: 11 Kapitel, 99 Artikel im Überblick
Der Aufbau ist klar gegliedert: 11 Kapitel mit insgesamt 99 Artikeln erleichtern das Auffinden von Regeln zu Rechten, Pflichten und Sanktionen.
- Art. 1–3: Gegenstand, Anwendungsbereich und räumliche Geltung.
- Art. 5: Grundsätze verarbeitung personenbezogener – u. a. Rechtmäßigkeit, Zweckbindung, Datenminimierung.
- Weitere Kapitel regeln Rechte der Betroffenen, Verantwortlichkeiten, Übermittlungen und Sanktionen.
Sachlicher und räumlicher Anwendungsbereich
Art. 2 und Art. 3 legen fest, welche Verarbeitungen und Personen vom Regelwerk erfasst werden. Art. 2 umfasst jede verarbeitung personenbezogener Daten, die automatisiert erfolgt oder in einem strukturierten Dateisystem gespeichert ist. Das trifft viele Geschäftsprozesse mit Kundendaten und Mitarbeiterdaten.
Ausgenommen sind rein persönliche oder familiäre Tätigkeiten ohne Bezug zu einem Dateisystem. Art. 3 erweitert die Geltung räumlich: Erfasst sind Tätigkeiten einer Niederlassung in der europäischen union sowie Fälle mit Marktbezug zur EU.
Für Anbieter außerhalb der EU gilt die Regel, wenn Waren oder Dienstleistungen an Personen in der EU gerichtet sind oder das Verhalten von Betroffenen in der EU beobachtet wird. Bereits IP-Adressen oder Online-Identifier können eine Identifizierbarkeit herstellen.
- Übermittlungen in Drittländer benötigen eine Rechtgrundlage nach Kapitel V (z. B. SCC oder Angemessenheitsbeschluss).
- Unternehmen sollten den Anwendungsbereich früh prüfen und Compliance-Strukturen schaffen.
Begriffsbestimmungen und Grundsätze der Verarbeitung personenbezogener Daten
Klar definierte Begriffe bilden die Basis für jede rechtskonforme Datenverarbeitung. Art. 4 listet zentrale Begriffe: personenbezogener daten, betroffene Person, Verantwortlicher und Auftragsverarbeiter.
Als personenbezogener daten gelten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürlicher personen beziehen. Dazu zählen Namen, Standortdaten, Online‑Kennungen oder Identifikationsnummern.
Wesentliche Rollen und Pflichten
- Der Verantwortliche bestimmt Zweck und Mittel der verarbeitung.
- Auftragsverarbeiter handeln ausschließlich nach dokumentierter Weisung.
- Einwilligung muss freiwillig, informiert und widerrufbar sein.
Grundsätze der Verarbeitung
Art. 5 benennt die grundsätze verarbeitung personenbezogener: Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit.
Der Verantwortliche trägt die Rechenschaftspflicht. Praxistipp: Dokumentation und technische Maßnahmen stärken den schutz und erleichtern Prüfungen durch Behörden.
Rechtmäßigkeit, Einwilligung und Altersgrenzen
Rechtmäßigkeit bestimmt, wann und auf welcher Basis personenbezogene Daten verarbeitet werden dürfen.
Art. 6: Rechtmäßige Verarbeitung
Art. 6 nennt die möglichen Rechtsgrundlagen: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe und berechtigte Interessen.
Unternehmen müssen die gewählte Grundlage dokumentieren und prüfen, ob eine Zweckänderung eine neue Grundlage erfordert.
| Rechtsgrundlage | Beispiel | Praxis |
|---|---|---|
| Einwilligung | Newsletter | Nachweis, Widerruf möglich |
| Vertrag | Online-Kauf | Erforderlich zur Leistung |
| Gesetzlich | Steuerpflicht | Dokumentation notwendig |
| Berechtigtes Interesse | Sicherheitskontrollen | Interessenabwägung nötig |
Art. 7–8: Einwilligung und Kinder
Art. 7 verlangt, dass Einwilligungen freiwillig, informiert und nachweisbar sind. Ein Widerruf wirkt nur für die Zukunft.
Art. 8 regelt die Einwilligung von Kindern für Dienste der Informationsgesellschaft. In Deutschland gilt das Alter von 16 Jahren.
- Werden daten bei der betroffenen person erhoben, sind nach Art. 13 klare Informationen bereitzustellen.
- Widerruf, Wegfall des Zwecks oder fehlende Grundlage können zur Löschung führen.
- Seit mai 2018 sind Consent-Logs und transparente Prozesse für Vertrauen und Rechtssicherheit wichtig.
Verarbeitung besonderer Kategorien und Daten über strafrechtliche Verurteilungen
Nicht alle personenbezogener daten dürfen gleich behandelt werden: sensible kategorien stehen unter besonderem Schutz.
Art. 9: Besondere Kategorien personenbezogener Daten
Art. 9 verbietet grundsätzlich die verarbeitung besonderer kategorien wie Gesundheits‑, biometrische oder religiöse Daten.
Ausnahmen sind eng: etwa ausdrückliche Einwilligung, Schutz lebenswichtiger Interessen, Gesundheitsversorgung oder rechtliche Vorschriften. Solche Fälle brauchen eine klare Rechtsgrundlage und erhöhte Schutzmaßnahmen.
Art. 10: Daten über strafrechtliche Verurteilungen
Die verarbeitung von daten strafrechtliche verurteilungen ist nur unter behördlicher Aufsicht oder auf gesetzlicher Grundlage erlaubt.
Verantwortliche sollten Risikoanalysen, technische und organisatorische Maßnahmen, sowie Dokumentation und Schulungen vorsehen.
- Minimierung und Zweckbindung sind strikt einzuhalten.
- Auftragsverarbeiterverträge müssen spezifische Sicherheitsanforderungen enthalten.
- Internationale Übermittlungen sensibler daten benötigen zusätzliche Garantien.
Rechte der betroffenen Personen
Betroffene Personen haben eine Reihe klarer Rechte, die den Umgang mit ihren Daten regeln.
Transparenz und Informationspflichten (Art. 12–14)
Verantwortliche müssen leicht zugängliche und verständliche Informationen bereitstellen, wenn daten bei der betroffenen person erhoben werden oder von Dritten stammen.
Angaben umfassen Zwecke, Kategorien personenbezogener daten, Empfänger und Speicherdauer.
Auskunft und Berichtigung (Art. 15–16)
Die betroffene person hat das Auskunftsrecht über verarbeitete daten betroffenen und deren Herkunft.
Unrichtige Einträge sind zu berichtigen; unvollständige Angaben dürfen ergänzt werden.
Recht auf Löschung und Einschränkung (Art. 17–18)
Das recht löschung (Recht auf Vergessenwerden) greift bei Widerruf, Zweckfortfall oder unrechtmäßiger verarbeitung.
Ausnahmen bestehen z. B. bei Auskunftspflichten oder rechtlichen Aufbewahrungspflichten. Die Einschränkung erlaubt ein temporäres „Einfrieren“ der Verarbeitung.
Datenübertragbarkeit, Widerspruch und automatisierte Entscheidungen (Art. 20–22)
Art. 20 garantiert die Herausgabe personenbezogener daten in strukturiertem, maschinenlesbarem Format.
Bei Direktwerbung wirkt ein Widerspruch sofort. Art. 22 schützt vor ausschließlichen, automatisierten Entscheidungen mit Rechtswirkung oder erheblicher Beeinflussung.
| Recht | Kurze Beschreibung | Praxis |
|---|---|---|
| Auskunft | Welche daten verarbeitet werden | Auskunft schriftlich binnen Frist |
| Berichtigung | Korrektur unrichtiger Angaben | Schnelle Aktualisierung |
| Löschung | Entfernung bei Zweckfortfall | Prüfung auf Ausnahmen |
| Datenübertragbarkeit | Maschinenlesbare Datenübersicht | Direkte Übertragung auf Anfrage |
Verantwortliche müssen Anträge zügig bearbeiten und Betroffene auf den gerichtlichen rechtsbehelf hinweisen, wenn Ansprüche abgelehnt werden.
Verantwortliche, Auftragsverarbeiter und technische-organisatorische Maßnahmen
Verantwortliche tragen die operative Pflicht, Compliance-Maßnahmen für jede Verarbeitung personenbezogener Daten zu implementieren. Das umfasst klare Verantwortlichkeiten, Vertragsregeln mit Auftragsverarbeitern und transparent geregelte Zuständigkeiten bei gemeinsam Verantwortlichen.
Art. 24–28: Pflichten und Verträge
Verantwortliche müssen geeignete Maßnahmen dokumentieren und Verträge nach Art. 28 abschließen. Vertreter außerhalb der EU dienen als Kontakt für Aufsichtsbehörden und die betroffene Person.
Art. 25: Privacy by Design und Default
Privacy by Design/Default fordert datensparsame Voreinstellungen und Risikobetrachtung bereits in der Entwicklungsphase. Technische Entscheidungen sollen Risiken minimieren.
Art. 30: Verzeichnis von Verarbeitungstätigkeiten
Das Verzeichnis dokumentiert Zwecke, Kategorien, Empfänger und Löschfristen für jede verarbeitung personenbezogenen daten. Es dient als Nachweis bei Prüfungen.
Art. 32–34: Sicherheit, Meldung und Benachrichtigung
Art. 32 verlangt geeignete technische und organisatorische Maßnahmen wie Pseudonymisierung, Verschlüsselung und Zugriffskontrollen.
Bei einer verletzung schutzes personenbezogener Daten ist die aufsichtsbehörde binnen 72 Stunden zu informieren; eine klare meldung verletzungen schutzes sollte Umfang, Folgen und ergriffene Maßnahmen nennen. Bei hohem Risiko sind Betroffene zusätzlich zu benachrichtigen.
Art. 35–39: DPIA und Datenschutzbeauftragte
Bei systematischer Überwachung oder bei sensiblen Daten ist eine Datenschutz-Folgenabschätzung erforderlich. Datenschutzbeauftragte unterstützen bei Beratung, Schulung und beim Austausch mit den aufsichtsbehörden.
Aufsichtsbehörden, Zusammenarbeit, Übermittlungen und Sanktionen
Nationale Behörden spielen eine zentrale Rolle bei der Durchsetzung des Datenschutzrechts. Sie überwachen die Einhaltung, bearbeiten Beschwerden und ordnen Maßnahmen bei Verstößen an.
Art. 51–59: Unabhängige Aufsichtsbehörden
Art. 51–59 regeln Unabhängigkeit, Aufgaben und Befugnisse der aufsichtsbehörden.
Die Behörden führen Untersuchungen durch und schützen Betroffene bei einer verletzung von Rechten.
Art. 60–76: Kohärenzverfahren und EDSA
Das Kohärenzverfahren koordiniert grenzüberschreitende Fälle. Der Europäische Datenschutzausschuss schafft einheitliche Auslegungen in der europäischen union.
Art. 44–50: Übermittlung in Drittländer
Art. 44–50 setzen Regeln für jede übermittlung personenbezogener daten außerhab der EU. Geeignete Garantien sind SCC oder BCR; Ausnahmen sind eng gefasst.
Art. 77–79 und Art. 83–84: Rechtsbehelf und Sanktionen
Betroffene haben das Recht auf Beschwerde und auf einen gerichtlichen Rechtsbehelf gegen Entscheidungen der Behörde oder Verantwortliche.
Bußgelder reichen bis zu 20 Mio. EUR oder 4 % des Jahresumsatzes; nationale Sanktionen ergänzen dies.
- Unabhängige aufsichtsbehörden überwachen und sanktionieren.
- EDSA fördert Kohärenz in der europäischen union.
- Bei verletzungen prüfen Behörden Risiko, Meldungen und Maßnahmen.
| Bereich | Rechtsgrundlage | Wirkung | Praxis |
|---|---|---|---|
| Aufsicht | Art. 51–59 | Untersuchung, Anordnung | Kontrollen, Bußgelder |
| Kohärenz | Art. 60–76 | Koordination, Leitlinien | EDSA-Entscheidungen |
| Übermittlung | Art. 44–50 | SCC, BCR, Angemessenheit | Vertragliche Garantien |
| Rechtsbehelf & Sanktionen | Art. 77–79, 83–84 | Beschwerde, gerichtlicher Rechtsbehelf, Bußgelder | Fristen, Nachweispflichten |
Tipp: Unternehmen sollten klare Prozesse für die Zusammenarbeit mit einer aufsichtsbehörde dokumentieren. Transparente Nachweise reduzieren Risiken und stärken den schutzes der daten.
DSGVO in Deutschland: BDSG und Öffnungsklauseln in der Praxis
In Deutschland präzisiert das Bundesdatenschutzgesetz (BDSG) die Öffnungsklauseln der EU‑Verordnung und schafft konkrete Regeln für Alltagssituationen seit dem 25. Mai 2018.
Das BDSG regelt etwa die Überwachung in öffentlichen und privaten Räumen, den Beschäftigtendatenschutz und die Nutzung nationaler Identifikationsnummern.
Nationale Ergänzungen: Beschäftigtendatenschutz, Videoüberwachung, Identifikationsnummern
Art. 85–91 der Verordnung lassen Spielraum für nationale Vorgaben. In der Praxis verlangt Art. 89 zusätzliche Garantien wie Pseudonymisierung bei Verarbeitungen zu Zwecken im öffentlichen Interesse liegenden Bereichen.
Das BDSG definiert, wann personenbezogene Daten von Personen im Arbeitsverhältnis verarbeitet werden dürfen. Für Videoüberwachung gelten strenge Abwägungen zwischen Schutzes und Privatsphäre.
Auswirkungen für Unternehmen, Vereine und Behörden
Unternehmen, Vereine und Behörden müssen zusätzlich zur EU‑Regel prüfen, ob nationale Regeln enger sind. Die zuständige Aufsichtsbehörde veröffentlicht oft Orientierungshilfen.
- Betroffene behalten ihre Rechte auf Auskunft und Löschung.
- Vereine sollten Mitgliederlisten und Kommunikationspflichten datenschutzkonform führen.
- Behörden benötigen klare rechtliche Grundlagen und Verzeichnisse zur Nachweisbarkeit.
Fazit
Seit 2018 bildet ein einheitlicher Rahmen die Basis für sichere und nachvollziehbare datenverarbeitung in der europäischen union.
Die Regelung vereint Grundsätze (Art. 5), Rechte der betroffenen, Pflichten von Verantwortlichen und Verfahren für Meldung verletzungen schutzes.
Verantwortliche sollten die verarbeitung personenbezogener daten an Grundsätzen ausrichten, geeignete maßnahmen umsetzen und Rechenschaftspflicht leben.
Technische und organisatorische Maßnahmen, DPIA und ein Datenschutzbeauftragter reduzieren Risiken und helfen, das recht löschung sowie andere Rechte der betroffenen person zu respektieren.
Wer Prozesse, datenverarbeitung und Governance verzahnt, minimiert verletzungen, wahrt Rechte und stärkt Vertrauen bei Kunden und Partnern.
