DSGVO einfach erklärt
Amtlich heißt die DSGVO Verordnung (EU) 2016/679. Als EU-Verordnung braucht sie kein nationales Umsetzungsgesetz; seit dem 25. Mai 2018 ist sie in jedem Mitgliedstaat direkt anzuwenden. Das deutsche Bundesdatenschutzgesetz (BDSG) füllt nur Spielräume aus, die ihm die Verordnung lässt, zum Beispiel bei der Frage, ab wann ein Unternehmen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten braucht.
Geschützt sind personenbezogene Daten, also Informationen über eine bestimmte oder bestimmbare Person (Art. 4 Nr. 1 DSGVO). Name und Anschrift sind nur der offensichtliche Teil. Auch eine dienstliche Mailadresse, eine Nummer in der Anrufliste der Telefonanlage oder ein Eintrag im Serverprotokoll kann darunterfallen, sobald er sich einem Menschen zuordnen lässt.
Ebenso weit reicht der Begriff „Verarbeitung“: Erheben, Speichern, Abfragen, Weitergeben und Löschen gehören dazu (Art. 4 Nr. 2). Für den IT-Betrieb heißt das: Der Mailserver verarbeitet personenbezogene Daten, die nächtliche Datensicherung ebenso – und wer bei einer Störung in ein Postfach schaut, tut es auch.
Wer über Zweck und Mittel einer Verarbeitung entscheidet, ist der Verantwortliche, in der Regel also das Unternehmen selbst. Arbeitet ein externer Partner nur nach dessen Vorgaben mit den Daten, etwa ein Cloud-Anbieter oder die externe IT-Betreuung, liegt eine Auftragsverarbeitung vor, für die ein eigener Vertrag nötig ist.
Wo die DSGVO den IT-Alltag berührt
Die DSGVO ist kein IT-Gesetz, aber viele ihrer Pflichten lassen sich nur mit passender Technik erfüllen. Die Tabelle ordnet die wichtigsten zu.
| Pflicht | Fundstelle | Was das für die IT bedeutet |
|---|---|---|
| Zweckbindung und Speicherbegrenzung | Art. 5 Abs. 1 Buchst. b und e | Daten nur für festgelegte Zwecke nutzen und Löschregeln für Postfächer, Ablagen und Sicherungen festlegen |
| Auskunft an Betroffene | Art. 15, Frist nach Art. 12 Abs. 3 | Daten einer Person über alle Systeme hinweg finden und zusammenstellen können |
| Sicherheit der Verarbeitung | Art. 32 | Rechte, Anmeldung, Verschlüsselung, Updates und Sicherungen passend zum Risiko |
| Verträge mit Dienstleistern | Art. 28 | Vereinbarungen mit IT-Betreuung, Hosting und Cloud-Diensten |
| Meldung von Datenpannen | Art. 33 und 34 | Vorfälle bemerken, bewerten und nachvollziehbar dokumentieren |
| Rechenschaft | Art. 5 Abs. 2 | Maßnahmen und Entscheidungen schriftlich festhalten |
Die Schutzmaßnahmen nach Art. 32 heißen technische und organisatorische Maßnahmen, kurz TOM. Einen festen Katalog schreibt die Verordnung nicht vor. Sie verlangt ein Schutzniveau, das zur Art der Daten und zum Risiko für die Betroffenen passt.
Für Datenpannen, etwa nach einem Angriff oder dem Verlust eines Notebooks, setzt Art. 33 Abs. 1 einen engen Zeitrahmen. Der Verantwortliche meldet die Panne unverzüglich an die Aufsichtsbehörde, und zwar möglichst innerhalb von 72 Stunden ab Kenntnis. Eine Meldung ist nicht nötig, wenn voraussichtlich keine Gefahr für Rechte und Freiheiten der Personen besteht, um deren Daten es geht. Droht ihnen voraussichtlich ein hohes Risiko, müssen sie zusätzlich direkt informiert werden (Art. 34). Intern zu dokumentieren sind Pannen in beiden Fällen, samt Folgen und ergriffenen Maßnahmen (Art. 33 Abs. 5).
Wann ein Unternehmen in Deutschland eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benennen muss, regelt § 38 Abs. 1 BDSG. Die Pflicht greift, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (Stand: Oktober 2026). In bestimmten Fällen gilt die Pflicht unabhängig von dieser Zahl.
Abzugrenzen ist die DSGVO von der europäischen NIS2-Richtlinie. Die DSGVO schützt Menschen, deren Daten verarbeitet werden. NIS2 regelt die Cybersicherheit bestimmter Einrichtungen, ganz gleich, ob personenbezogene Daten im Spiel sind.
Wenn ein früherer Kunde Auskunft verlangt
Angenommen, ein Sanitärbetrieb mit 25 Beschäftigten erhält eine E-Mail: Ein früherer Kunde möchte wissen, welche Daten über ihn gespeichert sind. Die Antwort ist unverzüglich fällig, spätestens nach einem Monat. Um zwei weitere Monate verlängern darf der Betrieb nur, wenn die Komplexität oder die Zahl der Anträge das erfordert. Die Gründe dafür muss er dem Kunden innerhalb des ersten Monats mitteilen (Art. 12 Abs. 3).
Die Suche beginnt in der Branchensoftware mit Angeboten und Rechnungen. Dann zeigt sich, wie verstreut die Daten liegen: Mails in drei Postfächern, Fotos vom alten Badezimmer im Messenger eines Diensthandys, Einträge in der Anrufliste und Kopien in den Datensicherungen. Weil niemand einen Überblick über die Systeme hat, kostet die Antwort mehrere Arbeitstage.
Verlangt der Kunde anschließend die Löschung, müssen nicht alle Daten verschwinden. Rechnungen unterliegen steuerlichen Aufbewahrungspflichten und dürfen insoweit bleiben (Art. 17 Abs. 3 Buchst. b); wie sie elektronisch aufzubewahren sind, beschreiben die GoBD. Welche Fristen für geschäftliche Mails gelten, fasst der Beitrag Aufbewahrungspflicht für E-Mails zusammen. Für die nächste Anfrage legt der Betrieb fest, welche Systeme personenbezogene Daten enthalten und wer sie durchsucht. Außerdem bekommen die Sicherungen eine feste Aufbewahrungszeit, nach der ältere Stände automatisch wegfallen.
Dieser Text erklärt die Grundzüge und ist keine Rechtsberatung. Fragen zu Ihrem Einzelfall klären Sie mit Ihrer Rechtsberatung oder Ihrem betrieblichen Datenschutz.
Wie ProNet unterstützt
Datenschutzrechtlich beraten wir nicht; unser Beitrag ist die technische Seite. Welche Server, Postfächer, Geräte und Zugänge es in Ihrem Unternehmen gibt, hält eine IT-Dokumentation fest, die wir laufend pflegen. Sie ist ein guter Ausgangspunkt, wenn Sie klären müssen, wo personenbezogene Daten liegen könnten, etwa für eine Auskunft oder für Löschregeln.
Wie gut diese Systeme geschützt sind, zeigt ein IT-Sicherheitscheck. Darin nehmen wir Updates, Datensicherung, Zugänge, Anmeldeverfahren und Richtlinien auf. Die Befunde bewerten wir danach, wie schutzbedürftig Ihre Daten sind, und leiten einen Maßnahmenplan mit Prioritäten ab.