DSGVO – Datenschutz-Grundverordnung: Pflichten für Unternehmen

Was ist die DSGVO?

Die DSGVO – Datenschutz-Grundverordnung ist das zentrale Datenschutzgesetz der Europäischen Union. Sie regelt, wann Unternehmen, Behörden und Vereine personenbezogene Daten verarbeiten dürfen und welche Rechte die betroffenen Personen haben. Offiziell heißt sie Verordnung (EU) 2016/679 und gilt seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten.

Die DSGVO löste die EU-Datenschutzrichtlinie von 1995 ab. Weil sie eine Verordnung ist, braucht sie kein nationales Umsetzungsgesetz. In Deutschland ergänzt sie das Bundesdatenschutzgesetz (BDSG), etwa bei der Frage, ab wann ein Datenschutzbeauftragter Pflicht ist.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Dazu zählen Name, E-Mail-Adresse und Telefonnummer, aber auch IP-Adressen, Standortdaten, Kundennummern oder Fotos.

Verarbeitung meint fast jeden Umgang mit diesen Daten: erheben, speichern, ordnen, nutzen, weitergeben, löschen. Ob das in einer Software, einer Excel-Liste oder einem Papierordner geschieht, spielt keine Rolle.

Für wen gilt die DSGVO?

Die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet, unabhängig von Größe und Branche. Der Handwerksbetrieb mit fünf Mitarbeitenden ist genauso betroffen wie der Konzern. Schon eine Kundendatei, die Lohnabrechnung oder ein Kontaktformular auf der Website reichen aus.

Unternehmen mit Sitz in der EU, auch wenn die Daten außerhalb der EU verarbeitet werden
Unternehmen außerhalb der EU, die Waren oder Dienstleistungen in der EU anbieten oder das Verhalten von Personen in der EU beobachten (Art. 3 DSGVO)
Behörden, Vereine und Selbstständige

Ausgenommen sind rein persönliche oder familiäre Tätigkeiten, etwa das private Adressbuch. Sobald Daten beruflich genutzt werden, greift die DSGVO.

Welche Grundsätze gelten nach der DSGVO?

Art. 5 DSGVO legt sieben Grundsätze fest, an denen sich jede Verarbeitung messen lassen muss.

Rechtmäßigkeit, Treu und Glauben, Transparenz: Es gibt eine Rechtsgrundlage, und Betroffene wissen, was mit ihren Daten geschieht.
Zweckbindung: Daten werden nur für festgelegte, eindeutige Zwecke erhoben.
Datenminimierung: Nur so viele Daten wie für den Zweck nötig.
Richtigkeit: Falsche Daten werden berichtigt oder gelöscht.
Speicherbegrenzung: Daten werden gelöscht, sobald sie nicht mehr gebraucht werden. Dabei hilft ein Löschkonzept.
Integrität und Vertraulichkeit: Daten sind durch technische und organisatorische Maßnahmen (TOM) geschützt.
Rechenschaftspflicht: Das Unternehmen muss die Einhaltung nachweisen können.

Der siebte Punkt wird oft unterschätzt. Es reicht nicht, datenschutzkonform zu arbeiten. Sie müssen es im Zweifel auch belegen können.

Wann ist eine Verarbeitung erlaubt?

Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. In der Praxis sind das meist:

Vertrag: Die Daten werden für einen Vertrag mit der Person benötigt, etwa Lieferadresse und Rechnungsdaten.
Rechtliche Pflicht: Ein Gesetz verlangt die Verarbeitung, etwa steuerliche Aufbewahrungspflichten.
Berechtigtes Interesse: Das Interesse des Unternehmens überwiegt die Interessen der Person, etwa bei der IT-Sicherheit. Das erfordert eine dokumentierte Abwägung.
Einwilligung: Die Person hat freiwillig und informiert zugestimmt, etwa zum Newsletter. Sie kann jederzeit widerrufen werden.

Für besonders sensible Daten wie Gesundheitsdaten, biometrische Daten oder religiöse Überzeugungen gelten strengere Regeln nach Art. 9 DSGVO.

Welche Pflichten haben Unternehmen nach der DSGVO?

Aus den Grundsätzen folgen konkrete Pflichten. Für die meisten Unternehmen sind diese acht entscheidend.

1. Verzeichnis von Verarbeitungstätigkeiten führen

Das Verzeichnis von Verarbeitungstätigkeiten (VVT) listet auf, welche Daten zu welchem Zweck verarbeitet werden, wer Zugriff hat und wann gelöscht wird (Art. 30 DSGVO). Die Ausnahme für Unternehmen unter 250 Mitarbeitenden greift in der Praxis kaum, weil regelmäßige Verarbeitungen wie die Lohnabrechnung sie ausschließen.

2. Betroffene informieren

Wer Daten erhebt, muss die Betroffenen informieren: über Zweck, Rechtsgrundlage, Speicherdauer, Empfänger und ihre Rechte (Art. 13 und 14 DSGVO). Das geschieht etwa in der Datenschutzerklärung der Website, in Bewerbungsprozessen oder in Verträgen.

3. Daten technisch und organisatorisch schützen

Art. 32 DSGVO verlangt ein angemessenes Schutzniveau, etwa durch Verschlüsselung, Zugriffskonzepte, Backups und Schulungen. Was angemessen ist, richtet sich nach dem Risiko. Festgehalten wird das in den TOM.

4. Dienstleister vertraglich binden

Verarbeitet ein Dienstleister Daten in Ihrem Auftrag, etwa ein Cloud-Anbieter, ein IT-Dienstleister mit Fernzugriff oder ein Newsletter-Dienst, brauchen Sie einen Auftragsverarbeitungsvertrag (AV-Vertrag) nach Art. 28 DSGVO.

5. Datenschutz-Folgenabschätzung durchführen

Birgt eine Verarbeitung ein hohes Risiko, etwa bei Videoüberwachung, umfangreicher Verarbeitung von Gesundheitsdaten oder häufig auch beim Einsatz von KI, ist vorab eine Datenschutz-Folgenabschätzung (DSFA) nötig (Art. 35 DSGVO).

6. Datenschutzbeauftragten benennen

In Deutschland ist ein Datenschutzbeauftragter in der Regel ab 20 Personen Pflicht, die ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind (§ 38 BDSG). Bei bestimmten Verarbeitungen gilt die Pflicht unabhängig von der Zahl. Viele Unternehmen setzen auf einen externen Datenschutzbeauftragten.

7. Datenpannen melden

Geht ein Laptop verloren, landet eine E-Mail beim falschen Empfänger oder werden Systeme gehackt, liegt oft eine Datenpanne vor. Sie muss in der Regel innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet werden (Art. 33 DSGVO). Bei hohem Risiko müssen auch die Betroffenen informiert werden (Art. 34 DSGVO).

8. Datenschutz von Anfang an mitdenken

Neue Software, Prozesse und Websites müssen datenschutzfreundlich gestaltet und voreingestellt sein (Art. 25 DSGVO, „Privacy by Design“ und „Privacy by Default“). Wer Daten in Länder außerhalb der EU übermittelt, braucht außerdem eine Grundlage nach Art. 44 ff. DSGVO, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln.

Welche Rechte haben Betroffene?

Kunden, Beschäftigte und Bewerber haben nach Art. 12–22 DSGVO umfangreiche Rechte. Unternehmen müssen Anfragen in der Regel innerhalb eines Monats beantworten. In komplexen Fällen ist eine Verlängerung um zwei Monate möglich, die begründet werden muss.

Auskunft (Art. 15): Welche Daten über mich gespeichert sind, zu welchem Zweck, wie lange, an wen weitergegeben
Berichtigung (Art. 16): Falsche Daten werden korrigiert
Löschung (Art. 17): Daten werden gelöscht, wenn kein Grund für die Speicherung mehr besteht
Einschränkung (Art. 18): Daten werden gesperrt statt gelöscht, etwa während eines Streits über ihre Richtigkeit
Datenübertragbarkeit (Art. 20): Daten in einem gängigen, maschinenlesbaren Format erhalten
Widerspruch (Art. 21): Einspruch gegen Verarbeitungen auf Basis berechtigter Interessen, etwa Werbung
Keine rein automatisierte Entscheidung (Art. 22): Anspruch auf menschliche Prüfung bei Entscheidungen mit rechtlicher Wirkung

In der Praxis am häufigsten ist das Auskunftsrecht. Ein klarer interner Ablauf, wer Anfragen annimmt, prüft und beantwortet, spart im Ernstfall viel Zeit.

Was droht bei Verstößen gegen die DSGVO?

Verstöße können Bußgelder, Schadensersatzforderungen und Anordnungen der Aufsichtsbehörde nach sich ziehen.

Bußgelder: Bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Für Verstöße etwa gegen Dokumentations- oder Sicherheitspflichten liegt der Rahmen bei bis zu 10 Mio. € oder 2 % (Art. 83 Abs. 4). Die Behörden müssen dabei die Umstände des Einzelfalls berücksichtigen.
Schadensersatz: Betroffene können materiellen und immateriellen Schaden geltend machen (Art. 82 DSGVO). Laut Europäischem Gerichtshof gibt es dafür keine Bagatellgrenze, der Schaden muss aber nachgewiesen werden (EuGH, Urteil vom 4. Mai 2023, C-300/21).
Anordnungen: Die Aufsichtsbehörde kann Verarbeitungen einschränken oder verbieten (Art. 58 DSGVO). Für Unternehmen in Nordrhein-Westfalen ist das die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW (LDI NRW).

Hinzu kommt der Imageschaden. Datenpannen werden heute schnell öffentlich, und Geschäftspartner fragen bei Lieferantenprüfungen gezielt nach dem Datenschutz.

Wie hängt die DSGVO mit anderen Gesetzen zusammen?

Die DSGVO steht nicht allein. Für Unternehmen in Deutschland sind vor allem diese Regelwerke wichtig:

BDSG: Das Bundesdatenschutzgesetz ergänzt die DSGVO, etwa beim Datenschutzbeauftragten (§ 38 BDSG), bei der Videoüberwachung und beim Beschäftigtendatenschutz.
TDDDG: Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (früher TTDSG) regelt, wann Cookies und ähnliche Technologien auf Endgeräten gesetzt werden dürfen. Meist ist dafür eine Einwilligung nötig.
EU AI Act: Die KI-Verordnung regelt den Einsatz künstlicher Intelligenz und gilt neben der DSGVO. Mehr dazu in unseren Artikeln zum EU AI Act und zu KI und Datenschutz.
NIS-2: Das NIS-2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft und verpflichtet rund 29.500 Unternehmen zu mehr Informationssicherheit. Viele Maßnahmen überschneiden sich mit den TOM der DSGVO. Mehr im Artikel zur NIS-2-Richtlinie.

Was ändert der Digital Omnibus an der DSGVO?

Die EU-Kommission hat am 19. November 2025 mit dem „Digital Omnibus“ Änderungen an der DSGVO und weiteren Digitalgesetzen vorgeschlagen. Diskutiert werden unter anderem eine engere Definition personenbezogener Daten, neue Regeln für Cookies und eine längere Meldefrist für Datenpannen.

Wichtig: Die DSGVO-Änderungen sind noch nicht beschlossen. Der Rat der EU hat am 21. Oktober 2026 seine Verhandlungsposition festgelegt. Das Europäische Parlament muss seine Position noch beschließen, nach derzeitigem Stand voraussichtlich Anfang 2027. Danach folgen die Verhandlungen. Bis dahin gilt die DSGVO unverändert.

DSGVO-Checkliste: In 7 Schritten zum Datenschutz im Unternehmen

Bestandsaufnahme: Welche personenbezogenen Daten verarbeiten Sie, in welchen Systemen und zu welchem Zweck?
Verarbeitungsverzeichnis anlegen: Jede Verarbeitung mit Zweck, Rechtsgrundlage, Empfängern und Löschfrist dokumentieren.
Dienstleister prüfen: Für jeden Auftragsverarbeiter einen AV-Vertrag abschließen, Drittlandtransfers absichern.
TOM festlegen: Zugriffsrechte, Verschlüsselung, Backups, Passwörter und Updates regeln und dokumentieren.
Website und Informationen prüfen: Datenschutzerklärung, Cookie-Banner, Kontaktformulare und eingebundene Dienste kontrollieren.
Prozesse für den Ernstfall: Ablauf für Auskunftsanfragen und Datenpannen festlegen, Zuständigkeiten benennen.
Mitarbeitende schulen und regelmäßig prüfen: Datenschutz ist kein Projekt, sondern ein laufender Prozess.

Aus der Praxis

Wenn wir ein Datenschutzmandat von einem anderen Anbieter übernehmen, finden wir die größten Mängel oft dort, wo sie jeder sehen kann: auf der Website. Veraltete Datenschutzerklärungen, Plugins, die ungefragt Daten an Drittanbieter senden, oder eine schwache technische Absicherung. Deshalb überwachen wir die Websites aller unserer Mandanten automatisiert rund um die Uhr.

Ein zweiter typischer Fund steckt in Verträgen: AV-Verträge, in denen Gesundheitsdaten als verarbeitete Daten genannt werden, ohne dass der Vertrag die besonderen Anforderungen aus Art. 9 DSGVO berücksichtigt. Solche Lücken fallen erst bei genauer Prüfung auf.

Häufige Fragen zur DSGVO

Gilt die DSGVO auch für kleine Unternehmen?

Ja. Die DSGVO kennt keine Mindestgröße. Erleichterungen gibt es nur in Einzelfällen, etwa beim Verarbeitungsverzeichnis, und auch die greifen in der Praxis selten.

Was ist der Unterschied zwischen DSGVO und BDSG?

Die DSGVO ist EU-Recht und gilt direkt. Das BDSG ergänzt sie dort, wo die DSGVO den Mitgliedstaaten Spielraum lässt, etwa bei der Pflicht zum Datenschutzbeauftragten oder beim Beschäftigtendatenschutz.

Brauche ich für jede Verarbeitung eine Einwilligung?

Nein. Die Einwilligung ist nur eine von mehreren Rechtsgrundlagen. Vieles lässt sich auf einen Vertrag, eine gesetzliche Pflicht oder ein berechtigtes Interesse stützen.

Wie lange darf ich personenbezogene Daten speichern?

Nur so lange, wie es für den Zweck nötig ist. Gesetzliche Aufbewahrungsfristen, etwa nach Handels- und Steuerrecht, können eine längere Speicherung erfordern. Ein Löschkonzept legt die Fristen fest.

Ist eine IP-Adresse ein personenbezogenes Datum?

In der Regel ja, weil sich eine Person mit zusätzlichen Informationen identifizieren lassen kann. Deshalb sind Website-Tracking und eingebundene Dienste für den Datenschutz so relevant.

Fazit

Die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet, vom Handwerksbetrieb bis zum Konzern. Entscheidend sind eine saubere Dokumentation, wirksame technische Schutzmaßnahmen und klare Abläufe für Anfragen und Datenpannen. Wer Datenschutz als laufenden Prozess organisiert, senkt nicht nur das Bußgeldrisiko, sondern besteht auch Lieferantenprüfungen gelassener.

Quellen und Rechtsgrundlagen

DSGVO umsetzen, ohne selbst zum Experten zu werden?

Als Ihr externer Datenschutzbeauftragter übernehmen wir die Pflichten aus der DSGVO, von der Dokumentation bis zur Website-Überwachung.

Zertifizierte Datenschutzbeauftragte mit IT-Systemhaus im Rücken
Website-Monitoring rund um die Uhr inklusive
Deutschlandweit, ab 179 € netto im Monat

Sprechen Sie uns an – wir beraten Sie gern.

Beratung anfragen

Unser Angebot: Datenschutzbeauftragter

Telefon 02941 / 9787-0 · E-Mail info@hmcplus.de

Zur Glossar-Übersicht