Datenschutz Grundlagen – DSGVO und BDSG sicher anwenden

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören nicht nur offensichtliche Angaben wie Name oder Adresse, sondern auch Online-Kennungen wie IP-Adressen, Standortdaten oder Cookie-IDs. Entscheidend ist, ob eine Information, auch in Kombination mit anderen, einer Person direkt oder indirekt zugeordnet werden kann.

Die DSGVO ist eine EU-Verordnung, die europaweit einheitliche Datenschutzregeln vorgibt, während das BDSG ein deutsches Gesetz ist, das diese Regeln für Deutschland konkretisiert und ergänzt. Das BDSG nutzt sogenannte Öffnungsklauseln der DSGVO, um spezifische Regelungen zu treffen, etwa im Beschäftigtendatenschutz oder für die Benennung von Datenschutzbeauftragten. Grundsätzlich hat die DSGVO als EU-Recht Vorrang vor dem nationalen Gesetz.

Ein:e Datenschutzbeauftragte:r ist in Deutschland verpflichtend zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Eine Pflicht besteht auch unabhängig von der Personenzahl, wenn die Kerntätigkeit des Unternehmens in umfangreichen oder besonders riskanten Verarbeitungen besteht, wie der Verarbeitung von Gesundheitsdaten oder systematischer Überwachung.

Die DSGVO schreibt zentrale Grundsätze vor, darunter Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Das bedeutet, Daten dürfen nur für klar festgelegte Zwecke, auf das notwendige Maß beschränkt und nur so lange wie erforderlich gespeichert werden. Zudem müssen die Daten korrekt und durch geeignete Maßnahmen vor unbefugtem Zugriff geschützt sein.

Die Verarbeitung personenbezogener Daten ist nur erlaubt, wenn eine der sechs Rechtsgrundlagen aus Art. 6 DSGVO erfüllt ist. Zu den wichtigsten gehören die ausdrückliche Einwilligung der betroffenen Person, die Erfüllung eines Vertrags, die Erfüllung einer rechtlichen Verpflichtung oder die Wahrung eines berechtigten Interesses des Unternehmens. Ohne eine solche Erlaubnis gilt das Prinzip „Verbot mit Erlaubnisvorbehalt“.

Betroffene Personen haben umfassende Rechte, darunter das Recht auf Auskunft, Berichtigung, Löschung („Recht auf Vergessenwerden“), Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Unternehmen müssen sicherstellen, dass sie Anfragen von Betroffenen zur Ausübung dieser Rechte fristgerecht und korrekt bearbeiten können. Das Auskunftsrecht verpflichtet sie beispielsweise, transparent über gespeicherte Daten und deren Verarbeitungszwecke zu informieren.

Ein Auftragsverarbeitungsvertrag (AVV) ist ein Pflichtvertrag, der geschlossen werden muss, wenn ein externer Dienstleister weisungsgebunden personenbezogene Daten für Ihr Unternehmen verarbeitet. Typische Beispiele sind Cloud-Anbieter, externe Lohnbuchhaltungen oder Newsletter-Tools. Der AVV stellt sicher, dass der Dienstleister die Datenschutzvorgaben einhält und die Verantwortung beim auftraggebenden Unternehmen bleibt.

Technische und organisatorische Maßnahmen (TOMs) sind Sicherheitsvorkehrungen zum Schutz personenbezogener Daten. Zu den technischen Maßnahmen zählen beispielsweise Firewalls, Verschlüsselung und die Einrichtung von Passwort-Richtlinien. Organisatorische Maßnahmen umfassen unter anderem die Schulung von Mitarbeitenden, die Erstellung von Datenschutzrichtlinien, klare Zuständigkeiten und die Regelung von Zugriffsrechten („Need-to-know-Prinzip“).

Eine meldepflichtige Datenpanne muss unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet werden. Die Meldepflicht besteht, wenn die Panne voraussichtlich zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen führt. Die Meldung muss unter anderem die Art der Panne, die betroffenen Datenkategorien und die ergriffenen Abhilfemaßnahmen beschreiben.

Das Verzeichnis von Verarbeitungstätigkeiten (VVT) ist eine zentrale Dokumentationspflicht und muss unter anderem die Zwecke der Verarbeitung, die Kategorien der betroffenen Personen und der Daten sowie mögliche Datenempfänger:innen auflisten. Zudem müssen die geplanten Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOMs) enthalten sein. Es dient als Nachweis der Rechenschaftspflicht gegenüber der Aufsichtsbehörde.