GDPR steht für General Data Protection Regulation und bezeichnet dasselbe EU-Regelwerk, das auf Deutsch Datenschutz-Grundverordnung oder kurz DSGVO heißt. Zwischen GDPR und DSGVO besteht rechtlich kein Unterschied; die Abkürzungen stammen aus verschiedenen Sprachen.
Die GDPR regelt, unter welchen Voraussetzungen Unternehmen, Behörden und andere Organisationen personenbezogene Daten verarbeiten dürfen. Als zentraler Teil des EU-Datenschutzrechts stärkt die Verordnung zugleich die Rechte natürlicher Personen.
GDPR ist die englische, DSGVO die deutsche Bezeichnung für dieselbe europäische Datenschutzverordnung.
GDPR und DSGVO: Was regelt die Verordnung?
Die Verordnung (EU) 2016/679 datiert vom 27. April 2016, trat am 24. Mai 2016 in Kraft und ist seit dem 25. Mai 2018 anwendbar. Diese Angaben ergeben sich aus den Dokumentdaten und Art. 99 der amtlichen Fassung der Verordnung.
Die GDPR schützt natürliche Personen bei der Verarbeitung ihrer personenbezogenen Daten. Der allgemeinere Begriff Datenschutz umfasst darüber hinaus weitere Gesetze, organisatorische Maßnahmen und gesellschaftliche Fragen. Dieser Glossarbeitrag konzentriert sich auf die EU-Verordnung.
Für Unternehmen bedeutet die GDPR: Jede Verarbeitung benötigt einen festgelegten Zweck, eine passende Rechtsgrundlage und angemessene Schutzmaßnahmen. Der Verantwortliche muss außerdem nachweisen können, dass die Vorgaben eingehalten werden. Ein Datenschutzhinweis allein genügt dafür nicht.
Wann gilt die GDPR?
Die GDPR gilt grundsätzlich, wenn personenbezogene Daten ganz oder teilweise automatisiert verarbeitet werden. Sie erfasst auch nicht automatisierte Verarbeitungen, wenn die Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Die Unternehmensgröße entscheidet nicht grundsätzlich über die Anwendbarkeit: Auch ein Ein-Personen-Unternehmen kann unter die DSGVO fallen.
Typische Verarbeitungsvorgänge in einem KMU sind:
- Anfragen über ein Kontaktformular speichern und beantworten,
- Kunden- und Lieferantendaten in einer Verwaltungssoftware führen,
- Newsletter-Abonnenten verwalten,
- Mitarbeiterdaten für Lohnabrechnung und Personalverwaltung verarbeiten,
- Website-Zugriffe mit Analysewerkzeugen auswerten,
- Daten an externe IT-, Cloud- oder Newsletter-Dienstleister übermitteln.
Das Marktortprinzip
Der räumliche Geltungsbereich endet nicht an der EU-Grenze. Nach Art. 3 Abs. 2 DSGVO kann die Verordnung auch für einen Verantwortlichen oder Auftragsverarbeiter außerhalb der EU gelten. Voraussetzung ist insbesondere, dass das Unternehmen Personen in der EU Waren oder Dienstleistungen anbietet oder ihr Verhalten innerhalb der EU beobachtet.
Das Marktortprinzip kann beispielsweise greifen, wenn ein außereuropäischer Onlineshop gezielt Menschen in Italien anspricht oder ein Anbieter das Onlineverhalten von Personen in der EU verfolgt. Die bloße weltweite Erreichbarkeit einer Website genügt dafür nicht automatisch.
Was sind personenbezogene Daten?
Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Ein Name im Datensatz ist dafür nicht zwingend erforderlich. Auch die Verbindung mehrerer Merkmale kann eine Person bestimmbar machen.
Typische Beispiele sind:
- Name, Anschrift und Telefonnummer,
- persönliche oder berufliche E-Mail-Adresse,
- Kunden-, Personal- oder Mitgliedsnummer,
- IP-Adresse und andere Online-Kennungen, sofern ein Personenbezug besteht,
- Standortdaten, Gerätekennungen und Nutzungsprofile,
- Fotos, Sprachaufnahmen und Videoaufzeichnungen,
- Gesundheitsdaten und andere besonders geschützte Datenkategorien.
Reine Unternehmensdaten ohne Bezug zu einer natürlichen Person fallen grundsätzlich nicht unter die GDPR. Bei Einzelunternehmen, persönlichen geschäftlichen Kontaktdaten oder personenbezogenen Notizen kann jedoch ein Personenbezug bestehen. Maßgeblich ist deshalb der konkrete Datensatz.
Verantwortlicher, gemeinsam Verantwortliche und Auftragsverarbeiter
Die Rollenverteilung bestimmt, wer welche Pflichten erfüllen muss:
- Verantwortlicher: Der Verantwortliche entscheidet über Zwecke und wesentliche Mittel der Verarbeitung. Dein Betrieb ist beispielsweise verantwortlich, wenn er festlegt, welche Daten über ein Kontaktformular erhoben und wofür sie verwendet werden.
- Gemeinsam Verantwortliche: Zwei oder mehr Beteiligte sind gemeinsam verantwortlich, wenn sie Zwecke und Mittel einer Verarbeitung gemeinsam festlegen. Die Beteiligten müssen ihre Zuständigkeiten transparent regeln.
- Auftragsverarbeiter: Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen. Dazu können je nach konkreter Leistung Hosting-, Cloud-, Newsletter- oder IT-Dienstleister gehören.
Nicht jeder externe Dienstleister ist automatisch ein Auftragsverarbeiter. Entscheidend sind die tatsächliche Tätigkeit, die Entscheidungsbefugnisse und der Umgang mit den Daten. Liegt eine Auftragsverarbeitung vor, muss sie gemäß Art. 28 DSGVO vertraglich geregelt werden. Der Verantwortliche muss den Dienstleister außerdem sorgfältig auswählen.
Welche sechs Rechtsgrundlagen nennt die GDPR?
Eine Verarbeitung personenbezogener Daten ist nicht allein deshalb zulässig, weil die Daten technisch verfügbar oder geschäftlich nützlich sind. Dein Unternehmen benötigt für jeden Verarbeitungszweck eine Rechtsgrundlage. Art. 6 Abs. 1 DSGVO nennt sechs Voraussetzungen:
- Einwilligung: Die betroffene Person stimmt der Verarbeitung für einen oder mehrere bestimmte Zwecke wirksam zu.
- Vertrag oder vorvertragliche Maßnahmen: Die Verarbeitung ist erforderlich, um einen Vertrag zu erfüllen oder eine von der betroffenen Person angefragte vorvertragliche Maßnahme durchzuführen.
- Rechtliche Verpflichtung: Eine Rechtsvorschrift verpflichtet den Verantwortlichen zur Verarbeitung, etwa aufgrund bestimmter Aufbewahrungs- oder Meldepflichten.
- Lebenswichtige Interessen: Die Verarbeitung ist erforderlich, um lebenswichtige Interessen einer Person zu schützen.
- Öffentliche Aufgabe oder öffentliche Gewalt: Die Verarbeitung dient einer Aufgabe im öffentlichen Interesse oder der Ausübung übertragener öffentlicher Gewalt.
- Berechtigtes Interesse: Ein berechtigtes Interesse des Verantwortlichen oder eines Dritten kann die Verarbeitung tragen, sofern die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen.
Eine Einwilligung ist nur eine von sechs möglichen Rechtsgrundlagen. In meiner Arbeit mit KMU erlebe ich häufig, dass Unternehmen vorsorglich für jeden Vorgang eine Zustimmung einholen möchten. Eine unnötige oder unwirksame Einwilligung schafft jedoch keine Rechtssicherheit und kann jederzeit widerrufen werden.
Beim berechtigten Interesse genügt der Hinweis auf einen wirtschaftlichen Nutzen nicht. Du musst das Interesse benennen, die Erforderlichkeit prüfen und die Interessen des Unternehmens gegen die Rechte der betroffenen Person abwägen. Für besondere Kategorien personenbezogener Daten gelten zusätzliche Voraussetzungen, insbesondere nach Art. 9 DSGVO.
Welche Grundsätze muss Dein Unternehmen beachten?
Eine Rechtsgrundlage allein macht eine Verarbeitung noch nicht DSGVO-konform. Zusätzlich gelten grundlegende Prinzipien:
- Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz: Betroffene Personen müssen nachvollziehen können, was mit ihren Daten geschieht.
- Zweckbindung: Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden.
- Datenminimierung: Du erhebst nur die Daten, die für den jeweiligen Zweck erforderlich sind.
- Richtigkeit: Personenbezogene Daten müssen sachlich richtig und erforderlichenfalls aktuell sein.
- Speicherbegrenzung: Daten dürfen nicht unbegrenzt aufbewahrt werden, wenn der Zweck entfallen ist und keine andere Rechtsgrundlage die Speicherung erlaubt oder verlangt.
- Integrität und Vertraulichkeit: Technische und organisatorische Maßnahmen müssen Daten vor unbefugtem Zugriff, Verlust und Beschädigung schützen.
- Rechenschaftspflicht: Der Verantwortliche muss die Einhaltung dieser Prinzipien nachweisen können.
Aus meiner Erfahrung entstehen belastbare Datenschutzprozesse nicht durch nachträglich ergänzte Dokumente, sondern durch klare Zuständigkeiten und eine frühzeitige Prüfung. Der Beitrag Privacy by Design für KMU erklärt, wie Du Datenschutz bei der Auswahl und Gestaltung von Formularen, Software, Tracking und digitalen Abläufen berücksichtigst.
Welche Betroffenenrechte sieht die GDPR vor?
Die Art. 12 bis 22 DSGVO regeln zentrale Informations- und Betroffenenrechte. Dazu gehören insbesondere:
- das Recht auf transparente Information,
- das Recht auf Auskunft über verarbeitete Daten,
- das Recht auf Berichtigung unrichtiger Daten,
- das Recht auf Löschung unter den gesetzlichen Voraussetzungen,
- das Recht auf Einschränkung der Verarbeitung,
- das Recht auf Datenübertragbarkeit in bestimmten Fällen,
- das Widerspruchsrecht,
- der Schutz vor bestimmten ausschließlich automatisierten Entscheidungen.
Betroffene Personen können sich außerdem bei einer zuständigen Datenschutzbehörde beschweren. Für Deinen Betrieb bedeutet das: Anfragen müssen erkannt, intern zugeordnet und innerhalb der gesetzlichen Fristen bearbeitet werden. Ein dokumentierter Ablauf mit klarer Zuständigkeit ist für kleine Teams meist praktikabler als ein umfangreiches Handbuch.
Praxisbeispiel aus einem Südtiroler KMU
Ein Handwerksbetrieb in Südtirol mit zwölf Beschäftigten nutzt ein Kontaktformular, verschickt einen NewsletterEin „Newsletter“ ist im Grunde nichts anderes als eine digitale Nachricht, die regelmäßig an Abonnenten versendet wird. Stell dir vor, du hast eine Lieblingszeitschrift,... Klicken und mehr erfahren, verwaltet Mitarbeiterdaten und lässt seine Systeme von einem externen IT-Dienstleister betreuen. Für jeden Vorgang ist eine getrennte Prüfung erforderlich:
- Kontaktformular: Welche Angaben sind für die Beantwortung notwendig? Ein Pflichtfeld für das Geburtsdatum wäre bei einer gewöhnlichen Anfrage in der Regel nicht erforderlich.
- Newsletter: Welche Rechtsgrundlage trägt den Versand? Falls eine Einwilligung erforderlich ist, muss der Betrieb sie nachweisen können und einen wirksamen Widerruf ermöglichen.
- Mitarbeiterdaten: Welche Daten werden für das Beschäftigungsverhältnis oder aufgrund rechtlicher Pflichten benötigt? Zusätzlich sind Zugriffsrechte und Löschfristen festzulegen.
- IT-Betreuung: Kann der externe Dienstleister auf personenbezogene Daten zugreifen und handelt er weisungsgebunden? Falls ja, ist die Auftragsverarbeitung nach Art. 28 DSGVO zu regeln.
- Website-Analyse: Welche Daten werden erhoben, an wen werden sie übermittelt und ist eine Einwilligung notwendig? Der Beitrag DSGVO-Tracking für KMU vertieft diese Prüfung.
In über 20 Jahren Arbeit mit kleineren Unternehmen zeigt sich wiederholt: Fehlende Übersicht über Werkzeuge, Datenflüsse, Zugriffsrechte und Speicherfristen verursacht vermeidbare Datenschutzrisiken. Eine dokumentierte Daten- und Prozessübersicht schafft eine verlässliche Grundlage für weitere Maßnahmen.
Mögliche Sanktionen bei Verstößen
Die GDPR sieht abgestufte Maßnahmen vor. Eine Datenschutzbehörde kann je nach Fall unter anderem verwarnen, Anweisungen erteilen, Verarbeitungen beschränken oder Geldbußen verhängen. Nicht jeder Fehler führt zur maximalen Sanktion; Art, Schwere, Dauer und weitere Umstände des Verstoßes werden bei der Bemessung berücksichtigt.
Bei den in Art. 83 Abs. 5 und 6 DSGVO genannten Verstößen sind Geldbußen von bis zu 20 Millionen Euro möglich. Bei Unternehmen können bis zu vier Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres maßgeblich sein. Es gilt der jeweils höhere Höchstbetrag.
Datenschutz dient nicht nur der Vermeidung von Sanktionen. Klare Regeln für die Datennutzung schützen betroffene Personen und helfen Unternehmen, Zuständigkeiten, Zugriffe und digitale Prozesse nachvollziehbar zu organisieren.
Häufige Fragen zur GDPR
Was ist der Unterschied zwischen GDPR und DSGVO?
Es gibt keinen inhaltlichen Unterschied. GDPR ist die englische Abkürzung für General Data ProtectionDatenschutz schützt personenbezogene Daten natürlicher Personen vor unrechtmäßiger Verarbeitung, Missbrauch und Kontrollverlust. Datenschutz für KMU bedeutet deshalb: Du entscheidest bewusst, welche Daten Du erhebst,... Klicken und mehr erfahren Regulation, während DSGVO für Datenschutz-Grundverordnung steht. Beide Begriffe bezeichnen die Verordnung (EU) 2016/679.
Gilt die GDPR auch in Italien und Südtirol?
Ja, die GDPR gilt unmittelbar in allen EU-Mitgliedstaaten und damit auch in Italien und Südtirol. Ergänzende nationale Regelungen können zusätzlich relevant sein und müssen bei konkreten Sachverhalten berücksichtigt werden.
Braucht jede Verarbeitung eine Einwilligung?
Nein, eine Einwilligung ist nur eine von sechs Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO. Je nach Zweck können beispielsweise ein Vertrag, eine rechtliche Verpflichtung oder ein überwiegendes berechtigtes Interesse die passende Grundlage sein.
Sind geschäftliche E-Mail-Adressen personenbezogene Daten?
Eine geschäftliche E-Mail-Adresse ist personenbezogen, wenn sie einer natürlichen Person zugeordnet werden kann, etwa vorname.nachname@unternehmen.it. Bei einer allgemeinen Adresse wie info@unternehmen.it hängt der Personenbezug von der konkreten Nutzung und Zuordenbarkeit ab.
Wann ist ein Dienstleister Auftragsverarbeiter?
Ein Dienstleister ist Auftragsverarbeiter, wenn er personenbezogene Daten weisungsgebunden für den Verantwortlichen verarbeitet. Entscheidet der Dienstleister selbst über Zwecke und wesentliche Mittel, kann stattdessen eine eigene oder gemeinsame Verantwortlichkeit vorliegen.
Gilt die GDPR auch für kleine Unternehmen?
Ja, die Größe eines Betriebs befreit nicht grundsätzlich von der GDPR. Umfang, Art und Risiko der Verarbeitung beeinflussen jedoch, welche konkreten Maßnahmen und Pflichten gelten.
Was gilt beim Einsatz von KI-Werkzeugen?
Sobald ein KI-Werkzeug personenbezogene Daten verarbeitet, muss die Nutzung wie jeder andere Verarbeitungsvorgang geprüft werden. Der Leitfaden DSGVO und KI für KMU hilft Dir, Datenarten, Rollen, Rechtsgrundlagen und Risiken vor dem Einsatz einzuordnen.
Wer hilft bei einem konkreten Datenschutzfall?
Dieser Glossarbeitrag bietet allgemeine Orientierung und ersetzt keine individuelle Rechtsberatung. Bei rechtlichen Zweifelsfällen solltest Du eine qualifizierte Datenschutzberatung, einen spezialisierten Rechtsbeistand oder die zuständige Datenschutzbehörde einbeziehen.
