Die GDPR, also die General Data Protection Regulation, ist eine Verordnung der Europäischen Union zum Schutz personenbezogener Daten. Im deutschsprachigen Raum wird sie meist als DSGVO - Datenschutz-Grundverordnung - bezeichnet. Sie regelt die Grundsätze der Verarbeitung personenbezogener Daten natürlicher Personen, die Pflichten von Unternehmen, Institutionen, Online-Shops, Website-Betreibern, Organisationen und Stellen, die Daten von Kunden, Mitarbeitern, Nutzern oder Geschäftspartnern verwenden. Die DSGVO ist nicht nur eine Formalität, eine Datenschutzerklärung oder ein Cookie-Hinweis. Sie ist ein ganzes System von Regeln, das sicherstellen soll, dass personenbezogene Daten rechtmäßig erhoben, fair verwendet, sicher gespeichert, nur bei Vorliegen einer Rechtsgrundlage weitergegeben und gelöscht werden, wenn sie nicht mehr benötigt werden.
- Was ist GDPR / DSGVO?
- Wen betrifft die DSGVO?
- Was sind personenbezogene Daten?
- Was bedeutet die Verarbeitung personenbezogener Daten?
- Die wichtigsten Grundsätze der DSGVO
- Rechtsgrundlagen der Datenverarbeitung
- Einwilligung nach DSGVO - wann ist sie erforderlich?
- Verantwortlicher und Auftragsverarbeiter
- Informationspflicht nach DSGVO
- Rechte betroffener Personen
- Sicherheit personenbezogener Daten
- Verletzung des Schutzes personenbezogener Daten
- Auftragsverarbeitung personenbezogener Daten
- DSGVO auf der Website
- DSGVO, Cookies und Marketing-Einwilligungen
- Welche DSGVO-Dokumente sollte man vorbereiten?
- Die häufigsten Fehler bei der DSGVO
- DSGVO in der Praxis
- FAQ - GDPR / DSGVO
Was ist GDPR / DSGVO?
GDPR ist die Abkürzung für General Data Protection Regulation, also die allgemeine Datenschutzverordnung der Europäischen Union. Auf Deutsch wird derselbe Rechtsakt DSGVO genannt - Datenschutz-Grundverordnung.
Die DSGVO ist eine EU-Verordnung, die festlegt, wie personenbezogene Daten erhoben, gespeichert, verwendet, übermittelt, geschützt und gelöscht werden dürfen. Ihr Ziel ist es, die Privatsphäre natürlicher Personen zu schützen und die Regeln für die Datenverarbeitung in den Staaten der Europäischen Union zu vereinheitlichen.
In der Praxis betrifft die DSGVO fast jedes Unternehmen, jede Website, jeden Shop, jede Stiftung, Schule, Behörde, Organisation, jeden Dienstleister, Arbeitgeber und Website-Betreiber, der mit personenbezogenen Daten natürlicher Personen in Berührung kommt. Es geht nicht nur um große Kundendatenbanken. Personenbezogene Daten erscheinen auch in Kontaktformularen, Newslettern, Online-Bestellungen, E-Mail-Korrespondenz, CRM-Systemen, Rechnungen, Bewerbungsverfahren, Überwachung, Webanalyse und Nutzerkonten.
Die DSGVO verbietet die Verarbeitung von Daten nicht. Sie stellt jedoch Bedingungen auf: Daten müssen rechtmäßig, zu einem bestimmten Zweck, in begrenztem Umfang, für eine festgelegte Dauer und mit angemessenen Sicherheitsmaßnahmen verarbeitet werden. Die Person, deren Daten betroffen sind, sollte wissen, wer ihre Daten verarbeitet, warum, auf welcher Rechtsgrundlage, wie lange und welche Rechte ihr zustehen.
Kurz gesagt: GDPR / DSGVO ist nicht eine einzelne Einwilligung und nicht ein einzelnes Dokument auf der Website. Es ist ein System von Grundsätzen, Pflichten und Verfahren, das sicherstellen soll, dass personenbezogene Daten fair, sicher und nur dann verarbeitet werden, wenn dafür eine Rechtsgrundlage besteht.
Wen betrifft die DSGVO?
Die DSGVO betrifft Stellen, die personenbezogene Daten natürlicher Personen im Zusammenhang mit einer beruflichen, geschäftlichen, öffentlichen, gesellschaftlichen oder organisatorischen Tätigkeit verarbeiten. Das kann eine Gesellschaft, ein Einzelunternehmen, ein Online-Shop, eine Praxis, eine Schule, eine Behörde, ein Verein, eine Stiftung, ein Internetportal, eine Marketingagentur, ein Softwarehaus, ein Veranstalter oder der Betreiber einer Website mit Kontaktformular sein.
Es spielt keine Rolle, ob das Unternehmen groß oder klein ist. Auch ein kleines Unternehmen kann Daten von Kunden, Mitarbeitern, Bewerbern, Website-Nutzern, Newsletter-Empfängern oder Personen verarbeiten, die über ein Formular eine Anfrage senden. Der Umfang der Pflichten kann unterschiedlich sein, aber die Größe der Tätigkeit befreit nicht automatisch von der Einhaltung der Datenschutzgrundsätze.
| Stelle | Beispiel für Daten | Typische DSGVO-Situationen |
|---|---|---|
| Online-Shop | Vorname, Nachname, Adresse, E-Mail, Telefonnummer, Bestellhistorie | Bestellabwicklung, Kundenkonto, Reklamationen, Newsletter. |
| Unternehmenswebsite | Daten aus dem Kontaktformular, IP-Adresse, Cookies | Bearbeitung von Anfragen, Analyse, Marketing, Formulare. |
| Arbeitgeber | Daten von Mitarbeitern, Bewerbern und Mitarbeitenden auf Vertragsbasis | Personalwesen, Bewerbung, Verträge, Lohnabrechnung, Berechtigungen. |
| Stiftung oder Verein | Daten von Mitgliedern, Spendern, Freiwilligen | Mitgliederverwaltung, Spenden, Veranstaltungen, Kommunikation. |
| Internetportal | Nutzerkonten, Kommentare, IP-Adressen, Logs | Registrierung, Moderation, Sicherheit, Statistiken. |
| Marketingagentur | Mailing-Datenbanken, Leads, Kundendaten von Kunden | Kampagnen, Remarketing, Newsletter, Auftragsverarbeitung. |
Was sind personenbezogene Daten?
Personenbezogene Daten sind Informationen, die sich auf eine natürliche Person beziehen, die direkt oder indirekt identifiziert werden kann. Es geht nicht nur um Vorname, Nachname und nationale Identifikationsnummer. Personenbezogene Daten können auch eine E-Mail-Adresse, Telefonnummer, Wohnadresse, Kundennummer, Nutzer-ID, IP-Adresse, Standortdaten, Kaufhistorie, Zahlungsdaten, Foto, Sprachaufnahme oder Informationen über das Verhalten eines Nutzers in einem Dienst sein.
Nicht jede Information ist automatisch in jedem Kontext ein personenbezogenes Datum. Entscheidend ist, ob anhand dieser Information eine konkrete Person identifiziert werden kann oder ob sie mit anderen Daten so kombiniert werden kann, dass eine Identifizierung möglich wird. Deshalb ist eine E-Mail-Adresse im Format Adres poczty elektronicznej jest chroniony przed robotami spamującymi. W przeglądarce musi być włączona obsługa JavaScript, żeby go zobaczyć. in der Regel ein personenbezogenes Datum, und auch eine scheinbar technische Nutzerkennung kann personenbezogen sein, wenn sie Aktivität mit einer konkreten Person verknüpfen kann.
| Art der Daten | Beispiele | Praktischer Kommentar |
|---|---|---|
| Identifikationsdaten | Vorname, Nachname, Identifikationsnummer, Dokumentnummer | Sie weisen direkt auf eine konkrete Person hin. |
| Kontaktdaten | E-Mail, Telefonnummer, Postanschrift | Sie erscheinen am häufigsten in Formularen, Verträgen und Bestellungen. |
| Technische Daten | IP-Adresse, Cookie-ID, Logs, Geräte-ID | Sie können personenbezogene Daten sein, wenn sie eine Identifizierung oder Profilbildung ermöglichen. |
| Transaktionsdaten | Kaufhistorie, Reklamationen, Zahlungen, Bestellungen | Sie werden häufig in Shops und CRM-Systemen verarbeitet. |
| Besondere Kategorien von Daten | Gesundheit, politische Meinungen, Religion, Biometrie, sexuelle Orientierung | Sie erfordern besondere Vorsicht und meist eine stärkere Rechtsgrundlage. |
Praktischer Hinweis: es ist ein Fehler anzunehmen, dass personenbezogene Daten nur Identifikationsnummer, Ausweisnummer und Wohnadresse sind. Im Online-Bereich sind sehr häufig auch E-Mail, IP-Adresse, Nutzerkennung, Cookies und Aktivitätshistorie personenbezogene Daten.
Was bedeutet die Verarbeitung personenbezogener Daten?
Die Verarbeitung personenbezogener Daten bedeutet praktisch jeden Vorgang, der mit Daten durchgeführt wird. Es geht nicht nur um deren aktive Nutzung. Verarbeitung ist bereits das Erheben von Daten, das Speichern in einem System, das Aufbewahren, Ordnen, Versenden, Offenlegen, Abrufen, Analysieren, Aktualisieren, Kopieren, Archivieren und Löschen.
In der Praxis verarbeitet ein Unternehmen Daten, wenn es eine Nachricht aus einem Kontaktformular erhält, eine Rechnung verschickt, ein Kundenkonto führt, eine Bestellung abwickelt, einen Nutzer für einen Newsletter einträgt, Analytik verwendet, Bewerbungen bearbeitet, eine Teilnehmerliste für eine Veranstaltung erstellt oder Mitarbeiterdaten in Personalunterlagen speichert.
| Tätigkeit | Ist das Datenverarbeitung? | Beispiel |
|---|---|---|
| Datenerhebung | Ja | Kontaktformular, Bestellformular, Kontoregistrierung. |
| Datenspeicherung | Ja | Kundendatenbank, E-Mail-Postfach, CRM-System. |
| Versenden von Nachrichten | Ja | Newsletter, Antwort auf Anfrage, Nachricht an Kunden. |
| Weitergabe von Daten | Ja | Übermittlung von Daten an Kurierdienst, Buchhaltung oder Hosting-Unternehmen. |
| Löschen von Daten | Ja | Löschen eines Nutzerkontos oder Entfernen von Daten nach Ablauf der Aufbewahrungsfrist. |
Die wichtigsten Grundsätze der DSGVO
Die DSGVO beruht auf mehreren grundlegenden Prinzipien. Sie sind der Ausgangspunkt für die Beurteilung, ob Daten ordnungsgemäß verarbeitet werden. Es reicht nicht, eine Datenschutzerklärung auf der Website zu haben. Man muss auch tatsächlich nach den Grundsätzen der Rechtmäßigkeit, Transparenz, Datenminimierung, Zweckbindung, Richtigkeit, Speicherbegrenzung, Vertraulichkeit, Integrität und Rechenschaftspflicht handeln.
Am wichtigsten ist eine Änderung der Denkweise. Personenbezogene Daten sollten nicht „auf Vorrat“ erhoben, unbegrenzt gespeichert oder für Zwecke verwendet werden, über die die betroffene Person nicht informiert wurde. Der Verantwortliche sollte erklären können, warum die Daten benötigt werden, auf welcher Grundlage sie verarbeitet werden und wie sie geschützt sind.
| DSGVO-Grundsatz | Was bedeutet er? | Praktisches Beispiel |
|---|---|---|
| Rechtmäßigkeit | Daten müssen eine Rechtsgrundlage für die Verarbeitung haben. | Vertragserfüllung, rechtliche Pflicht, Einwilligung oder berechtigtes Interesse. |
| Fairness und Transparenz | Die Person sollte wissen, was mit ihren Daten geschieht. | Eine klare Informationsklausel und Datenschutzerklärung. |
| Zweckbindung | Daten werden zu einem konkreten, bestimmten Zweck erhoben. | Daten aus dem Kontaktformular dienen der Antwort, nicht automatisch dem Newsletter. |
| Datenminimierung | Es werden nur wirklich benötigte Daten erhoben. | Ein Anfrageformular sollte keine Identifikationsnummer verlangen. |
| Richtigkeit | Daten sollten aktuell und korrekt sein. | Ein Kunde kann Lieferadresse oder Kontodaten aktualisieren. |
| Speicherbegrenzung | Daten werden nicht länger aufbewahrt als nötig. | Bewerberdaten werden nach Abschluss des Bewerbungsverfahrens gelöscht, sofern keine andere Grundlage besteht. |
| Integrität und Vertraulichkeit | Daten müssen vor Verlust und unbefugtem Zugriff geschützt werden. | Passwörter, Berechtigungen, Verschlüsselung, Backups. |
| Rechenschaftspflicht | Der Verantwortliche sollte die Einhaltung der Grundsätze nachweisen können. | Dokumentation, Verzeichnisse, Verfahren, Auftragsverarbeitungsverträge. |
Kurz gesagt: Die DSGVO verlangt nicht nur formale Dokumente, sondern auch echte Ordnung in den Daten. Man muss wissen, welche Daten man hat, warum, wo sie gespeichert sind, wer Zugriff hat, an wen sie weitergegeben werden und wann sie gelöscht werden müssen.
Rechtsgrundlagen der Datenverarbeitung
Jede Verarbeitung personenbezogener Daten muss eine Rechtsgrundlage haben. Das ist eines der wichtigsten Elemente der DSGVO. In der Praxis wird oft fälschlicherweise angenommen, dass immer eine Einwilligung erforderlich ist. Dabei ist die Einwilligung nur eine der Rechtsgrundlagen. In vielen Situationen dürfen und müssen Daten sogar auf einer anderen Grundlage verarbeitet werden.
Für einen Online-Shop kann die Grundlage für die Verarbeitung von Kundendaten die Vertragserfüllung sein, weil ohne Daten die Bestellung nicht ausgeführt werden kann. Für das Ausstellen einer Rechnung ist die Grundlage eine rechtliche Pflicht. Für die Geltendmachung von Ansprüchen kann ein berechtigtes Interesse bestehen. Eine Einwilligung ist dagegen typisch für einen Marketing-Newsletter, sofern keine andere geeignete Grundlage besteht und nach Vorschriften zur elektronischen Kommunikation Einwilligungen erforderlich sind.
| Rechtsgrundlage | Wann liegt sie vor? | Beispiel |
|---|---|---|
| Einwilligung | Wenn eine Person freiwillig einem konkreten Zweck zustimmt. | Newsletter-Anmeldung, Einwilligung in ausgewählte Marketingmaßnahmen. |
| Vertragserfüllung | Wenn Daten für Abschluss oder Durchführung eines Vertrags erforderlich sind. | Bestellabwicklung, Kundenkonto, Leistungserbringung. |
| Rechtliche Verpflichtung | Wenn Rechtsvorschriften die Verarbeitung verlangen. | Buchhaltung, Rechnungen, steuerliche Pflichten, Mitarbeiterdokumentation. |
| Lebenswichtige Interessen | Wenn die Verarbeitung Leben oder Gesundheit einer Person schützt. | Notfälle, medizinische Situationen, Rettungssituationen. |
| Öffentliche Aufgabe | Wenn eine Stelle Aufgaben im öffentlichen Interesse erfüllt. | Tätigkeiten von Behörden, öffentlichen Schulen oder Institutionen. |
| Berechtigtes Interesse | Wenn der Verantwortliche ein rechtlich begründetes Ziel hat und die Rechte der Person nicht überwiegen. | Geltendmachung von Ansprüchen, Sicherheit, grundlegender B2B-Kontakt, Schutz vor Missbrauch. |
Praktischer Tipp: verlangen Sie keine Einwilligung dort, wo die Verarbeitung aus einem Vertrag oder einer rechtlichen Pflicht folgt. Eine Einwilligung sollte freiwillig und widerrufbar sein, deshalb ist sie keine gute Lösung für Tätigkeiten, die ohnehin ausgeführt werden müssen.
Einwilligung nach DSGVO - wann ist sie erforderlich?
Die Einwilligung ist eine der bekanntesten Grundlagen der Datenverarbeitung, aber zugleich eine der am häufigsten falsch angewendeten. Damit eine Einwilligung wirksam ist, sollte sie freiwillig, konkret, informiert und eindeutig sein. Sie darf nicht in Allgemeinen Geschäftsbedingungen versteckt, erzwungen oder mit anderen Zwecken so gebündelt werden, dass der Person keine echte Wahl bleibt.
In der Praxis ist eine Einwilligung häufig bei Marketingmaßnahmen, Newslettern, bestimmten Cookies, personalisierter Werbung oder zusätzlichen Zwecken erforderlich, die nicht für die Vertragserfüllung notwendig sind. Die Einwilligung sollte jedoch nicht als universelle Lösung für alles verwendet werden.
Eine Person, die eine Einwilligung erteilt hat, sollte sie widerrufen können. Der Widerruf sollte genauso einfach sein wie die Erteilung. Wenn sich ein Nutzer mit einem Formular für einen Newsletter anmelden kann, sollte er sich ebenso einfach abmelden können, beispielsweise über einen Abmeldelink oder durch Kontaktaufnahme mit dem Verantwortlichen.
| Merkmal der Einwilligung | Was bedeutet es? | Fehler, den man vermeiden sollte |
|---|---|---|
| Freiwillig | Die Person hat eine echte Wahl. | Marketing-Einwilligung als Bedingung für einen Kauf erzwingen. |
| Konkret | Sie betrifft einen bestimmten Zweck. | Eine Einwilligung für Newsletter, Werbung, Partner und Profiling gleichzeitig. |
| Informiert | Die Person weiß, worin sie einwilligt. | Informationen in langen, unlesbaren Bedingungen verstecken. |
| Eindeutig | Sie ergibt sich aus einer aktiven Handlung. | Ein vorab angekreuztes Kontrollkästchen. |
| Widerrufbar | Die Person kann die Einwilligung widerrufen. | Kein einfacher Weg zur Abmeldung vom Newsletter. |
Verantwortlicher und Auftragsverarbeiter
Der Verantwortliche ist die Stelle, die über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Einfach gesagt legt der Verantwortliche fest, warum Daten erhoben und wie sie verwendet werden. Das kann ein Unternehmen, Shop-Betreiber, eine Stiftung, Schule, Behörde, Gesellschaft, ein Einzelunternehmer oder Veranstalter sein.
Der Auftragsverarbeiter verarbeitet Daten im Auftrag des Verantwortlichen. Er entscheidet nicht selbstständig über die Hauptzwecke der Verarbeitung, sondern führt bestimmte Tätigkeiten nach den Weisungen des Verantwortlichen aus. Beispiele sind ein Hosting-Unternehmen, ein Newsletter-System, eine Buchhaltungskanzlei, externe IT-Betreuung, ein CRM-Anbieter oder eine Agentur, die eine E-Mail-Kampagne auf der Datenbank eines Kunden durchführt.
| Rolle | Was macht sie? | Beispiel |
|---|---|---|
| Verantwortlicher | Entscheidet über Zwecke und Mittel der Datenverarbeitung. | Ein Online-Shop, der Kundendaten verarbeitet. |
| Auftragsverarbeiter | Verarbeitet Daten im Auftrag des Verantwortlichen. | Hosting-Unternehmen, Newsletter-Betreiber, Buchhaltungskanzlei. |
| Gemeinsam Verantwortliche | Entscheiden gemeinsam über Zwecke und Mittel der Verarbeitung. | Zwei Stellen, die ein gemeinsames Projekt mit einer Teilnehmerdatenbank durchführen. |
Kurz gesagt: der Verantwortliche ist dafür verantwortlich, warum und wie Daten verarbeitet werden. Der Auftragsverarbeiter führt bestimmte Tätigkeiten in seinem Auftrag aus und sollte auf Grundlage eines Auftragsverarbeitungsvertrags handeln.
Informationspflicht nach DSGVO
Eine der grundlegenden Pflichten des Verantwortlichen ist es, die betroffene Person über die Verarbeitung ihrer Daten zu informieren. Deshalb erscheinen auf Websites Datenschutzerklärungen, Informationsklauseln bei Formularen, Bewerberinformationen sowie Informationen für Kunden, Mitarbeiter oder Veranstaltungsteilnehmer.
Die Informationspflicht sollte verständlich erfüllt werden. Eine Person sollte nicht erraten müssen, wer ihre Daten verarbeitet, zu welchem Zweck, auf welcher Rechtsgrundlage, an wen die Daten weitergegeben werden können und wie lange sie gespeichert werden. Eine zu allgemeine Aussage wie „Ihre Daten werden gemäß DSGVO verarbeitet“ reicht nicht aus, weil sie keine echte Information liefert.
| Informationselement | Was sollte erklärt werden? |
|---|---|
| Verantwortlicher | Wer die Daten verarbeitet und wie man ihn kontaktieren kann. |
| Zweck der Verarbeitung | Warum die Daten erhoben und verwendet werden. |
| Rechtsgrundlage | Auf welcher Grundlage die Daten verarbeitet werden. |
| Empfänger der Daten | An wen Daten weitergegeben werden können, zum Beispiel Hosting, Buchhaltung oder Zahlungsdienstleister. |
| Speicherdauer | Wie lange die Daten gespeichert werden oder nach welchen Kriterien dies festgelegt wird. |
| Rechte der Person | Welche Rechte der betroffenen Person zustehen. |
| Beschwerderecht | Information über die Möglichkeit, eine Beschwerde bei der Aufsichtsbehörde einzulegen. |
| Freiwilligkeit oder Pflicht zur Angabe der Daten | Ob die Angabe der Daten erforderlich ist und welche Folgen eine Nichtangabe hat. |
Praktischer Tipp: eine Datenschutzerklärung sollte für Menschen geschrieben sein, nicht nur für Juristen. Der Nutzer soll verstehen, was mit seinen Daten geschieht, ohne mehrere Seiten Amtssprache lesen zu müssen.
Rechte betroffener Personen
Die DSGVO gewährt natürlichen Personen eine Reihe von Rechten in Bezug auf ihre Daten. Der Verantwortliche sollte nicht nur darüber informieren, sondern auch ein Verfahren zur Bearbeitung solcher Anfragen haben. Ein Nutzer, Kunde, Mitarbeiter oder Bewerber kann Auskunft über seine Daten verlangen, deren Berichtigung, Löschung, Einschränkung der Verarbeitung, Übertragung oder Widerspruch gegen bestimmte Tätigkeiten verlangen.
Nicht jede Anfrage muss immer vollständig erfüllt werden. Ein Kunde kann zum Beispiel die Löschung seiner Daten verlangen, aber bestimmte Buchhaltungsunterlagen müssen aufgrund gesetzlicher Pflichten weiter aufbewahrt werden. Der Verantwortliche sollte jedoch erklären können, was gelöscht werden kann, was nicht gelöscht werden kann und warum.
| Recht der Person | Was bedeutet es? | Beispiel |
|---|---|---|
| Auskunftsrecht | Die Person kann fragen, ob und welche Daten verarbeitet werden. | Ein Kunde bittet um Information, welche Daten der Shop besitzt. |
| Recht auf Berichtigung | Die Person kann die Korrektur falscher Daten verlangen. | Änderung von Adresse, Nachname oder Telefonnummer. |
| Recht auf Löschung | Die Person kann in bestimmten Situationen die Löschung von Daten verlangen. | Abmeldung vom Newsletter und Löschung von Marketingdaten. |
| Recht auf Einschränkung der Verarbeitung | Daten können vorübergehend für bestimmte Tätigkeiten gesperrt werden. | Streit über die Richtigkeit von Daten. |
| Recht auf Datenübertragbarkeit | Die Person kann Daten in einem strukturierten Format erhalten. | Übertragung von Daten zwischen Diensten. |
| Widerspruchsrecht | Die Person kann bestimmten Formen der Verarbeitung widersprechen. | Widerspruch gegen Direktmarketing. |
| Recht auf Widerruf der Einwilligung | Die Person kann die Einwilligung widerrufen, wenn die Verarbeitung auf Einwilligung beruht. | Abmeldung vom Newsletter. |
Sicherheit personenbezogener Daten
Die DSGVO verlangt die Anwendung geeigneter technischer und organisatorischer Maßnahmen. Das bedeutet, dass Daten nicht nur durch Dokumente, sondern durch reale Sicherheitsmaßnahmen geschützt werden müssen. Ihr Niveau sollte an das Risiko, die Art der Daten, den Umfang der Verarbeitung, verfügbare Technologien und mögliche Folgen einer Verletzung angepasst sein.
In einem kleinen Unternehmen kann Sicherheit starke Passwörter, Backups, eingeschränkten Zugriff auf E-Mail-Postfächer, Website-Aktualisierungen, ein SSL-Zertifikat und die Sicherung von Computern bedeuten. In einer größeren Organisation können Zugriffsverfahren, Berechtigungsverzeichnisse, Verschlüsselung, Systemsegmentierung, Audits, Schulungen, Log-Monitoring und Sicherheitstests erforderlich sein.
| Sicherheitsbereich | Beispielmaßnahmen |
|---|---|
| Zugriff auf Daten | Nutzerrollen, Berechtigungen, Prinzip des minimalen Zugriffs. |
| Passwörter und Login | Starke Passwörter, 2FA, Kontosperre nach mehreren Login-Versuchen. |
| Website | CMS-, Plugin- und Theme-Updates, SSL-Zertifikat, Backup. |
| Eingeschränkter Zugriff, Vorsicht bei Anhängen, Sicherung der Postfächer. | |
| Backups | Regelmäßige Sicherungen, Wiederherstellungstest, sichere Aufbewahrung. |
| Geräte | Systemupdates, Antivirus, Festplattenverschlüsselung, Bildschirmsperre. |
| Menschen | Schulungen, Verfahren, Phishing-Bewusstsein, klare Regeln für den Umgang mit Daten. |
Praktischer Hinweis: eine Datenschutzerklärung schützt keine Daten. Daten werden durch konkrete Maßnahmen geschützt: Updates, Passwörter, Berechtigungen, Backups, Zugriffskontrolle, Verschlüsselung, Verfahren und eine vernünftige Begrenzung der Orte, an denen Daten gespeichert werden.
Verletzung des Schutzes personenbezogener Daten
Eine Verletzung des Schutzes personenbezogener Daten ist ein Ereignis, das zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, Offenlegung oder zu einem unbefugten Zugriff auf Daten führt. Das kann ein Leck in der Kundendatenbank, das Versenden einer E-Mail an den falschen Empfänger, der Verlust eines Laptops, ein Hack der Website, die versehentliche Veröffentlichung eines Dokuments, der Verlust eines USB-Sticks oder der Zugang eines ehemaligen Mitarbeiters zu einem System sein.
Nicht jede Verletzung hat dieselbe Schwere. Es muss das Risiko für die Rechte und Freiheiten natürlicher Personen bewertet werden. Die versehentliche Offenlegung einer geschäftlichen E-Mail-Adresse ist etwas anderes als ein Leck von Gesundheitsdaten, Dokumentnummern, Passwörtern, Zahlungsdaten oder einer vollständigen Kaufhistorie.
Im Fall einer Verletzung sollte der Verantwortliche wissen, was passiert ist, welche Daten betroffen sind, wie viele Personen betroffen sind, welche Folgen möglich sind, welche Abhilfemaßnahmen ergriffen wurden und ob die Aufsichtsbehörde sowie die betroffenen Personen benachrichtigt werden müssen.
| Beispiel einer Verletzung | Mögliches Risiko | Was ist zu tun? |
|---|---|---|
| Versand von Daten an falschen Empfänger | Offenlegung von Daten an eine unbefugte Person. | Umfang der Daten, Empfänger, Risiko und Abhilfemaßnahmen feststellen. |
| Hack eines Online-Shops | Zugriff auf Kundendaten, Bestellungen, Konten. | System sichern, Logs prüfen, Umfang und Meldepflichten bewerten. |
| Verlorener Laptop | Zugriff auf Dateien, E-Mail, Dokumente. | Verschlüsselung, Möglichkeit der Fernsperre und Art der Daten prüfen. |
| Öffentliche Datei mit Daten | Unbefugte Veröffentlichung von Daten im Internet. | Datei entfernen, Verfügbarkeitsdauer, Umfang möglicher Downloads und Risiko feststellen. |
Praktische Regel: bei einer Verletzung ist es am schlimmsten, so zu tun, als sei nichts passiert. Man muss die Situation schnell sichern, Fakten sammeln, das Risiko bewerten, Entscheidungen dokumentieren und Meldepflichten prüfen.
Auftragsverarbeitung personenbezogener Daten
Auftragsverarbeitung liegt vor, wenn der Verantwortliche Daten an eine andere Stelle übermittelt, die sie in seinem Auftrag verarbeiten soll. In der Praxis geschieht das sehr häufig. Daten können an ein Hosting-Unternehmen, einen E-Mail-Anbieter, ein Newsletter-System, eine Buchhaltungskanzlei, einen CRM-Anbieter, eine E-Commerce-Plattform, ein IT-Unternehmen, eine Marketingagentur oder einen Anbieter von Kundenservice-Tools gehen.
In einer solchen Situation ist in der Regel ein Auftragsverarbeitungsvertrag erforderlich. Er sollte unter anderem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Vorgänge, Art der Daten, Kategorien betroffener Personen, Pflichten des Auftragsverarbeiters, Sicherheitsregeln, die Möglichkeit des Einsatzes weiterer Auftragsverarbeiter und die Beendigung der Zusammenarbeit regeln.
| Dienstleistung | Kann Auftragsverarbeitung erforderlich sein? | Warum? |
|---|---|---|
| Website-Hosting | Ja | Der Anbieter kann technischen Zugriff auf Daten im System haben. |
| Newsletter-System | Ja | Es speichert und verarbeitet die Abonnentendatenbank. |
| Buchhaltungskanzlei | Häufig ja | Sie verarbeitet Daten aus Rechnungen, Verträgen und Buchhaltungsunterlagen. |
| CRM | Ja | Es speichert Kundendaten, Leads und Kontakthistorie. |
| Marketingagentur | Abhängig vom Kooperationsmodell | Sie kann mit Kundendatenbanken oder Kampagnendaten arbeiten. |
DSGVO auf der Website
Eine Website verarbeitet sehr häufig personenbezogene Daten, selbst wenn der Betreiber glaubt, dass er „nichts sammelt“. Daten können über Kontaktformulare, Kommentare, Kontoregistrierung, Shop, Newsletter, Analyse, Chat, Cookies, Server-Logs, Werbesysteme, eingebettete Karten, Videos, Remarketing-Pixel oder Integrationen mit externen Diensten entstehen.
Deshalb sollte eine Website eine durchdachte Datenschutzerklärung, passende Informationsklauseln bei Formularen, einen Cookie-Einwilligungsmechanismus, korrekt konfigurierte Analytik, gesicherte Formulare, ein SSL-Zertifikat, eine begrenzte Anzahl unnötiger Skripte und klare Informationen über Empfänger von Daten haben. Wichtig ist auch, ob Daten außerhalb des Europäischen Wirtschaftsraums übermittelt werden und auf welcher Grundlage.
| Website-Element | DSGVO-Risiko | Was prüfen? |
|---|---|---|
| Kontaktformular | Erhebung von Name, E-Mail, Telefonnummer und Nachrichteninhalt. | Informationsklausel, Zweck, Rechtsgrundlage, Formularsicherheit. |
| Newsletter | Direktmarketing und Abonnentendatenbank. | Einwilligung, Double-Opt-In, Abmeldemöglichkeit, Nachweis der Einwilligung. |
| Analytik | Identifikatoren, Cookies, IP-Adressen, Nutzerverhalten. | Datenumfang, Einwilligung, Konfiguration, Anbieter des Tools. |
| Online-Shop | Bestellungen, Zahlungen, Lieferungen, Reklamationen. | AGB, Datenschutzerklärung, Auftragsverarbeiter, Aufbewahrungsfristen. |
| Kommentare | Veröffentlichung von Daten, IP-Adresse, Inhalt der Kommentare. | Moderation, Nutzerinformation, Löschung von Daten. |
| Online-Chat | Gesprächsinhalte, Kontaktdaten, Integrationen mit Anbieter. | Auftragsverarbeitungsvertrag, Klausel, Datenumfang, Gesprächshistorie. |
DSGVO, Cookies und Marketing-Einwilligungen
Cookies werden häufig mit der gesamten DSGVO verwechselt, sind aber nur ein Element der Privatsphäre im Internet. Cookies können technisch notwendig, analytisch, marketingbezogen, personalisierend oder mit externen Diensten verbunden sein. Nicht alle erfordern dieselbe Vorgehensweise. Notwendige Cookies für den Betrieb der Website werden anders behandelt als Dateien für Werbung, Tracking oder Analyse.
In der Praxis sollte ein Cookie-Banner dem Nutzer eine echte Wahl geben und nicht nur darüber informieren, dass die Website Cookies verwendet. Der Nutzer sollte zustimmen, ablehnen oder Kategorien von Einwilligungen konfigurieren können, wenn die Website Dateien verwendet, die für ihren grundlegenden Betrieb nicht erforderlich sind. Einwilligungen sollten nicht vorab angekreuzt, erzwungen oder hinter einer unlesbaren Oberfläche versteckt sein.
| Art der Cookies | Beispiel | Kommentar |
|---|---|---|
| Notwendig | Warenkorb, Login, Sitzungssicherheit | Meist für den Betrieb der Website erforderlich. |
| Analytisch | Messung von Besuchen, Nutzerverhalten | Erfordern Vorsicht und korrekte Einwilligungskonfiguration. |
| Marketing | Remarketing, Werbepixel, Profiling | Erfordern in der Regel eine ausdrückliche Einwilligung vor Aktivierung. |
| Personalisierung | Speichern von Nutzerpräferenzen | Es muss klar erklärt werden, wofür sie dienen. |
| Extern | Karten, Videos, soziale Medien, Chats | Können mit der Übermittlung von Daten an andere Anbieter verbunden sein. |
Praktischer Hinweis: das bloße Anzeigen eines Balkens „Wir verwenden Cookies“ reicht nicht aus, wenn die Website Analyse-, Werbe- oder Tracking-Tools ohne echte Entscheidung des Nutzers startet.
Welche DSGVO-Dokumente sollte man vorbereiten?
Die DSGVO-Dokumentation sollte sich aus den realen Prozessen im Unternehmen ergeben und nicht aus einem fertigen Paket, das ohne Verständnis übernommen wurde. Andere Dokumente sind in einem Online-Shop erforderlich, andere auf einer kleinen Dienstleistungsseite, andere in einem Unternehmen mit Beschäftigten und wieder andere in einer Organisation, die sensible Daten oder große Nutzerdatenbanken verarbeitet.
Grundlage ist die Feststellung, welche Daten verarbeitet werden, zu welchen Zwecken, auf welchen Rechtsgrundlagen, wie lange, wo sie gespeichert werden, wer Zugriff hat und an wen sie übermittelt werden. Erst auf dieser Grundlage lassen sich Richtlinien, Klauseln, Verzeichnisse, Verfahren und Verträge vorbereiten.
| Dokument | Wozu dient es? | Wann ist es besonders wichtig? |
|---|---|---|
| Datenschutzerklärung | Informiert Website-Nutzer über die Datenverarbeitung. | Bei Formularen, Cookies, Newsletter, Shop, Analytik. |
| Informationsklauseln | Erfüllen die Informationspflicht in konkreten Prozessen. | Kontakt, Bewerbung, Verträge, Veranstaltungen, Newsletter. |
| Verzeichnis von Verarbeitungstätigkeiten | Ordnet Datenverarbeitungsprozesse. | In Organisationen mit vielen Prozessen oder größerem Datenumfang. |
| Auftragsverarbeitungsverträge | Regeln die Zusammenarbeit mit Auftragsverarbeitern. | Hosting, Buchhaltung, Newsletter, CRM, IT, Marketing. |
| Verfahren bei Datenschutzverletzungen | Bestimmt Schritte bei einem Leck oder Datenverlust. | In jeder Organisation, die personenbezogene Daten verarbeitet. |
| Berechtigungen zur Verarbeitung | Bestimmen, wer Zugriff auf Daten hat und in welchem Umfang. | Bei Mitarbeitern, Redakteuren, Kundenservice, Buchhaltung. |
| Datenaufbewahrungsrichtlinie | Legt fest, wie lange Daten gespeichert werden. | Bei Kundendatenbanken, Bewerbungen, Newslettern, Dokumenten. |
Die häufigsten Fehler bei der DSGVO
Die häufigsten Fehler bei der DSGVO entstehen dadurch, dass Datenschutz als einmalige formale Pflicht behandelt wird. Ein Unternehmen veröffentlicht eine Datenschutzerklärung, kopiert einige Einwilligungen, fügt einen Cookie-Balken hinzu und betrachtet das Thema als erledigt. Die DSGVO verlangt jedoch echtes Datenmanagement und nicht nur vorhandene Dokumente auf einer Website.
Zu viele Daten erheben
Formulare verlangen oft Daten, die für den jeweiligen Zweck nicht erforderlich sind. Je mehr Daten Sie erheben, desto größer sind Verantwortung und Risiko.
Einwilligung für alles verlangen
Die Einwilligung ist keine universelle Grundlage. Bei Bestellung, Rechnung oder Vertragserfüllung ist häufig eine andere Rechtsgrundlage geeigneter.
Keine klare Datenschutzerklärung
Das Dokument ist zu allgemein, veraltet oder beschreibt nicht die tatsächlich auf der Website verwendeten Tools.
Falscher Cookie-Banner
Die Website lädt Analyse und Werbung vor der Einwilligung oder gibt dem Nutzer keine echte Möglichkeit zur Ablehnung.
Keine Auftragsverarbeitungsverträge
Daten gehen an Hosting, CRM, Newsletter-System, Buchhaltung oder Agentur, aber es gibt keine geordneten Regeln der Zusammenarbeit.
Daten unbegrenzt speichern
Newsletter-Datenbanken, Bewerberdaten, alte Leads und Formularnachrichten bleiben jahrelang ohne Begründung in Systemen.
Zu breite Zugriffe
Jeder Mitarbeiter hat Zugriff auf alles, statt nur auf die Daten, die für seine Arbeit benötigt werden.
Kein Verfahren bei Verletzungen
Wenn ein Vorfall eintritt, weiß niemand, wer entscheidet, was dokumentiert wird und ob die Verletzung gemeldet werden muss.
Praktischer Hinweis: der größte Fehler ist, Dokumente zu haben, die die Realität nicht beschreiben. Die Datenschutzerklärung muss dem entsprechen, was tatsächlich mit Daten auf der Website und im Unternehmen geschieht.
DSGVO in der Praxis
In der Praxis sollte die Umsetzung der DSGVO mit einem einfachen Datenaudit beginnen. Man muss auflisten, welche Daten erhoben werden, woher sie stammen, wohin sie gelangen, wer Zugriff hat, an wen sie übermittelt werden, wie lange sie gespeichert werden und auf welcher Grundlage sie verarbeitet werden. Erst danach kann beurteilt werden, welche Dokumente, Einwilligungen, Verträge und Sicherheitsmaßnahmen erforderlich sind.
Für eine Website sind eine Datenschutzerklärung, passende Klauseln bei Formularen, ein konformer Cookie-Mechanismus, CMS-Sicherheit, Backups, Verträge mit Anbietern und die Ordnung externer Tools die Grundlage. Bei einem Shop kommen Bestellungen, Zahlungen, Lieferungen, Reklamationen, Rechnungen und Kundenkonten hinzu. Für Arbeitgeber sind Personalprozesse, Bewerbungen, Berechtigungen und Aufbewahrungsfristen für Unterlagen wichtig.
Die DSGVO funktioniert am besten, wenn sie Teil des täglichen Managements ist und nicht ein Zusatz am Ende eines Projekts. Ein neues Formular, ein neues Plugin, ein neues CRM-System, eine neue Mailing-Kampagne oder ein neues Analyse-Tool sollten sofort Fragen auslösen: Welche Daten erheben wir, warum, auf welcher Grundlage, wohin gelangen sie, weiß der Nutzer davon und wie können wir sie schützen?
| Schritt | Was tun? | Ergebnis |
|---|---|---|
| 1. Datenkarte | Prozesse, Systeme, Formulare und Datenbanken auflisten. | Es ist bekannt, wo Daten verarbeitet werden. |
| 2. Zwecke und Grundlagen | Zweck und Rechtsgrundlage für jeden Prozess bestimmen. | Daten werden nicht zufällig verarbeitet. |
| 3. Personen informieren | Datenschutzerklärung und Informationsklauseln vorbereiten. | Nutzer wissen, was mit ihren Daten geschieht. |
| 4. Anbieter | Hosting, Newsletter, CRM, Buchhaltung und andere Tools prüfen. | Es ist klar, wem Daten anvertraut oder offengelegt werden. |
| 5. Sicherheitsmaßnahmen | Passwörter, 2FA, Backups, Berechtigungen und Updates einrichten. | Das Risiko von Verletzungen sinkt. |
| 6. Aufbewahrung | Festlegen, wann Daten gelöscht oder anonymisiert werden. | Daten werden nicht unbegrenzt gespeichert. |
| 7. Verfahren | Bearbeitung von Anfragen und Verletzungen vorbereiten. | Das Unternehmen weiß, wie es praktisch reagieren muss. |
GDPR / DSGVO ist nicht ein einzelnes Regelwerk auf einer Website, sondern ein System verantwortungsvoller Verwaltung personenbezogener Daten. Sie verlangt eine Rechtsgrundlage für die Verarbeitung, transparente Information der Personen, Begrenzung des Datenumfangs, Gewährleistung der Sicherheit, Kontrolle von Zugriffen, geeignete Verträge mit Anbietern, Reaktion auf Anfragen betroffener Personen und Bereitschaft für Datenschutzverletzungen. Richtig umgesetzt sollte die DSGVO ein Unternehmen nicht lähmen. Sie sollte Daten ordnen, Risiken senken, das Vertrauen der Nutzer erhöhen und sicherstellen, dass die Organisation weiß, was sie mit den Informationen tut, die sie von Menschen erhält.