DSGVO – Datenschutz-Grundverordnung

Definition: Die Datenschutz-Grundverordnung (DSGVO; englisch: General Data Protection Regulation, GDPR) ist die zentrale europäische Rechtsvorschrift zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten. Als EU-Verordnung gilt sie seit dem 25. Mai 2018 in allen 27 EU-Mitgliedstaaten unmittelbar und ohne nationale Umsetzungsgesetze. Sie löste die bis dahin geltende EU-Datenschutzrichtlinie 95/46/EG ab, die noch eine nationale Umsetzung erfordert hatte und dadurch in Europa zu einem Flickenteppich unterschiedlicher Datenschutzniveaus geführt hatte. Die DSGVO verfolgt ein doppeltes Ziel: Sie soll einerseits den Schutz der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere des Rechts auf Schutz personenbezogener Daten gemäß Art. 8 der EU-Grundrechtecharta – sicherstellen und andererseits den freien Verkehr personenbezogener Daten innerhalb der EU erleichtern. Mit ihrem extraterritorialen Anwendungsbereich (Marktortprinzip nach Art. 3 Abs. 2 DSGVO) erfasst sie auch Unternehmen außerhalb der EU, wenn diese Waren oder Dienstleistungen für Personen in der EU anbieten oder deren Verhalten beobachten. Die Verordnung umfasst 99 Artikel und 173 Erwägungsgründe und gilt als eines der weltweit strengsten Datenschutzgesetze.

Erläuterung

Das Herzstück der DSGVO bilden die sieben Grundsätze der Datenverarbeitung nach Art. 5 DSGVO: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz; Zweckbindung; Datenminimierung; Richtigkeit; Speicherbegrenzung; Integrität und Vertraulichkeit sowie Rechenschaftspflicht. Diese Grundsätze durchziehen die gesamte Verordnung und müssen bei jeder Datenverarbeitung eingehalten werden. Besonderes Gewicht hat die Rechenschaftspflicht: Der Verantwortliche muss nicht nur die Grundsätze einhalten, sondern dies auch jederzeit nachweisen können.

Jede Verarbeitung personenbezogener Daten bedarf einer Rechtsgrundlage aus Art. 6 DSGVO. Die sechs möglichen Rechtsgrundlagen sind: Einwilligung der betroffenen Person, Vertragserfüllung, rechtliche Verpflichtung, Schutz lebenswichtiger Interessen, Wahrnehmung einer Aufgabe im öffentlichen Interesse sowie berechtigtes Interesse des Verantwortlichen oder eines Dritten. Im Marketing sind vor allem Einwilligung und berechtigtes Interesse relevant. Letzteres erfordert nach Erwägungsgrund 47 DSGVO eine sorgfältige Interessenabwägung (Legitimate Interest Assessment), bei der die berechtigten Interessen des Unternehmens gegen die Rechte und Freiheiten der betroffenen Personen abgewogen werden.

Die DSGVO stärkt die Rechte der betroffenen Personen erheblich gegenüber der alten Richtlinie: Auskunftsrecht (Art. 15), Recht auf Berichtigung (Art. 16), Recht auf Löschung – "Recht auf Vergessenwerden" (Art. 17), Recht auf Einschränkung der Verarbeitung (Art. 18), Recht auf Datenübertragbarkeit (Art. 20) und Widerspruchsrecht (Art. 21). Diese Rechte müssen von Unternehmen in der Regel binnen eines Monats erfüllt werden.

Organisatorisch verpflichtet die DSGVO Verantwortliche unter anderem zur Führung eines Verarbeitungsverzeichnisses (Art. 30), zur Durchführung von Datenschutz-Folgenabschätzungen bei riskanten Verarbeitungen (Art. 35), zur Benennung eines Datenschutzbeauftragten in bestimmten Fällen (Art. 37–39), zur Meldung von Datenschutzverletzungen an Aufsichtsbehörden innerhalb von 72 Stunden (Art. 33) sowie zur Umsetzung von Privacy by Design und Privacy by Default (Art. 25). Bei der Beauftragung externer Dienstleister, die personenbezogene Daten im Auftrag verarbeiten, sind Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO abzuschließen.

Der Sanktionsrahmen ist erheblich: Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist – können bei schwerwiegenden Verstößen verhängt werden (Art. 83 Abs. 5 DSGVO). Für weniger schwere Verstöße gilt ein Rahmen von bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes. Hinzu kommen zivilrechtliche Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO, auch für immaterielle Schäden.

Pflichten für Unternehmen im Überblick

Rechtsgrundlage für jede Verarbeitung: Eine der sechs Rechtsgrundlagen aus Art. 6 DSGVO muss für jede Verarbeitungstätigkeit dokumentiert vorliegen. Bei besonderen Kategorien personenbezogener Daten gelten zusätzlich die strengeren Anforderungen des Art. 9 DSGVO.
Transparenz und Informationspflichten: Bei der Datenerhebung müssen Betroffene umfassend informiert werden (Art. 13 DSGVO bei Direkterhebung, Art. 14 bei indirekter Erhebung). In der Praxis erfolgt dies durch die Datenschutzerklärung auf der Website.
Verarbeitungsverzeichnis (Art. 30 DSGVO): Dokumentation aller Verarbeitungstätigkeiten mit Zweck, Kategorien von Daten und Empfängern sowie Löschfristen. Formal ab 250 Mitarbeitenden verpflichtend, faktisch für alle Unternehmen empfehlenswert.
Auftragsverarbeitungsverträge (Art. 28 DSGVO): Bei Beauftragung externer Dienstleister, die Daten im Auftrag verarbeiten (z. B. E-Mail-Dienstleister, Cloud-Anbieter, Analyse-Tools), sind AVV Pflicht.
Datenschutz-Folgenabschätzung (Art. 35 DSGVO): Pflicht bei Verarbeitungen mit voraussichtlich hohem Risiko, z. B. systematisches Profiling, Verarbeitung besonderer Datenkategorien in großem Umfang oder systematische Überwachung öffentlicher Bereiche.
Datenschutzbeauftragter (Art. 37 DSGVO): Pflichtbenennung für Behörden, für Unternehmen, bei denen die Kerntätigkeit in umfangreicher Verarbeitung besonderer Datenkategorien oder in systematischer Überwachung besteht.
Meldepflicht bei Datenpannen (Art. 33, 34 DSGVO): Sicherheitsverletzungen müssen innerhalb von 72 Stunden an die Aufsichtsbehörde gemeldet werden. Bei hohem Risiko für Betroffene ist auch deren Benachrichtigung Pflicht.

DSGVO im Online-Marketing-Alltag

E-Mail-Marketing: Werbliche Ansprache per E-Mail erfordert in der Regel eine ausdrückliche Einwilligung; ergänzt wird dies durch das UWG (§ 7) und das TTDSG.
Webanalyse und Tracking: Der Einsatz von Tools wie Google Analytics erfordert eine Rechtsgrundlage – in der Praxis meist eine Einwilligung über einen Cookie-Banner.
Retargeting und programmatische Werbung: Custom Audiences, Retargeting-Pixel und Lookalike Audiences berühren umfassende DSGVO-Anforderungen, insbesondere hinsichtlich Einwilligung und Drittländertransfers.
CRM und Kundendatenbanken: Die Speicherung und Nutzung von Kundendaten für Marketingzwecke bedarf einer Rechtsgrundlage; Löschfristen und Betroffenenrechte müssen prozessual verankert sein.
Social Media: Das Betreiben von Fanpages oder der Einsatz von Social-Media-Pixeln kann gemeinsame Verantwortlichkeit (Art. 26 DSGVO) mit der jeweiligen Plattform begründen.

Praxistipp: Behandeln Sie DSGVO-Compliance nicht als einmaligen Aufwand, sondern als fortlaufenden Prozess. Führen Sie ein aktuelles Verarbeitungsverzeichnis, überprüfen Sie regelmäßig Ihre Datenschutzerklärung und schulen Sie Mitarbeitende mindestens jährlich. Im Marketing gilt als einfache Grundregel: Erheben Sie nur die Daten, die Sie tatsächlich benötigen (Datensparsamkeit), klären Sie Betroffene transparent auf, und stellen Sie sicher, dass für jede Verarbeitungstätigkeit eine dokumentierte Rechtsgrundlage vorliegt. Nutzen Sie bei Unsicherheiten frühzeitig externen Datenschutzrat – die präventiven Kosten sind fast immer geringer als die Kosten von Verstößen.