Das Wichtigste im Überblick
- Rechtmäßigkeit als Fundament: Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 DSGVO – ohne diese drohen Bußgelder.
- Transparenz ist Pflicht, nicht Kür: Betroffene müssen umfassend informiert werden – über Zweck, Dauer und Empfänger der Datenverarbeitung – und können jederzeit Auskunft, Berichtigung oder Löschung verlangen.
- Technische und organisatorische Maßnahmen (TOMs) schützen vor Haftung: Wer Datenschutz von Anfang an in Prozesse integriert und durch geeignete Sicherheitsmaßnahmen absichert, reduziert nicht nur rechtliche Risiken, sondern stärkt auch das Vertrauen von Kunden und Partnern.
Warum Datenschutzpflichten heute existenziell sind
Kaum ein Tag vergeht, an dem nicht irgendwo eine Datenpanne bekannt wird, eine Aufsichtsbehörde ein Bußgeld verhängt oder ein Unternehmen wegen mangelnder DSGVO-Konformität in die Schlagzeilen gerät. Seit dem Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) sind die Anforderungen an Unternehmen, die personenbezogene Daten verarbeiten, erheblich gestiegen – und die Aufsichtsbehörden gehen zunehmend konsequent gegen Verstöße vor.
Die Frage nach den Pflichten von Unternehmen, die personenbezogene Daten verarbeiten, betrifft nahezu jedes Unternehmen in Deutschland und Europa. Ob ein kleines Online-Unternehmen Kundendaten für den Versand erhebt, ein mittelständischer Betrieb eine HR-Software einsetzt oder ein Konzern Big-Data-Analysen durchführt: Die DSGVO gilt für alle.
Rechtliche Grundlagen: Was die DSGVO fordert
Die DSGVO als europäischer Rechtsrahmen
Die Datenschutz-Grundverordnung gilt unmittelbar in allen EU-Mitgliedstaaten und schafft einen einheitlichen europäischen Datenschutzstandard.
Grundprinzipien der DSGVO
Alle Datenschutzpflichten fußen auf den in Art. 5 DSGVO verankerten Grundsätzen:
Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz: Daten dürfen nur auf einer gesetzlichen Grundlage und für den Betroffenen nachvollziehbar verarbeitet werden.
Zweckbindung: Erhobene Daten dürfen nur für den festgelegten, legitimen Zweck genutzt werden. Eine zweckfremde Weiterverwendung ist grundsätzlich unzulässig.
Datenminimierung: Es dürfen nur die Daten erhoben werden, die für den jeweiligen Zweck tatsächlich erforderlich sind.
Richtigkeit: Unternehmen müssen sicherstellen, dass gespeicherte Daten korrekt und aktuell sind.
Speicherbegrenzung: Daten dürfen nicht länger als nötig gespeichert werden. Klare Löschkonzepte sind zwingend erforderlich.
Integrität und Vertraulichkeit: Durch technische und organisatorische Maßnahmen muss die Sicherheit der Daten gewährleistet werden.
Rechenschaftspflicht: Unternehmen müssen die Einhaltung dieser Grundsätze aktiv nachweisen können.
Rechtsgrundlagen für die Datenverarbeitung
Jede Verarbeitung personenbezogener Daten bedarf einer Rechtsgrundlage. In der Praxis sind besonders relevant:
- Einwilligung: Freiwillig, informiert, unmissverständlich und widerrufbar – die Anforderungen an eine wirksame Einwilligung sind hoch.
- Vertragserfüllung: Daten dürfen verarbeitet werden, wenn dies zur Erfüllung eines Vertrags erforderlich ist.
- Rechtliche Verpflichtung: Gesetzliche Aufbewahrungspflichten etwa nach HGB oder AO erlauben die entsprechende Datenspeicherung.
- Berechtigte Interessen: Eine Abwägung zwischen den Interessen des Unternehmens und den Rechten der Betroffenen ist notwendig. Diese Rechtsgrundlage wird häufig missverstanden und falsch angewandt.
Hauptaspekte: Die zentralen Pflichten im Überblick
1. Informationspflichten (Art. 13 und 14 DSGVO)
Eines der häufigsten Defizite in der Praxis: unvollständige oder unverständliche Datenschutzhinweise. Bei jeder Datenerhebung – ob über ein Kontaktformular, beim Vertragsabschluss oder durch Cookies – müssen Betroffene umfassend informiert werden. Dazu gehören:
- Name und Kontaktdaten des Verantwortlichen
- Zweck und Rechtsgrundlage der Verarbeitung
- Empfänger oder Kategorien von Empfängern
- Speicherdauer oder Kriterien zur Festlegung der Dauer
- Betroffenenrechte (Auskunft, Berichtigung, Löschung, Widerspruch)
- Recht auf Beschwerde bei der Aufsichtsbehörde
- Hinweis auf automatisierte Entscheidungsfindung, sofern vorhanden
Diese Informationen müssen in klarer, verständlicher Sprache und leicht zugänglich bereitgestellt werden – nicht in verschachtelten AGB-Texten, sondern in einer dedizierten Datenschutzerklärung.
2. Führen eines Verarbeitungsverzeichnisses
Jeder Verantwortliche und gegebenenfalls sein Vertreter sind grundsätzlich zur Führung eines Verzeichnisses aller Verarbeitungstätigkeiten verpflichtet. Für kleinere Unternehmen gilt dies ebenfalls, wenn die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko für Betroffene birgt oder besondere Datenkategorien (z. B. Gesundheitsdaten) betroffen sind – was in der Praxis auf die meisten Unternehmen zutrifft.
3. Datenschutz-Folgenabschätzung (Art. 35 DSGVO)
Wenn eine Verarbeitungstätigkeit voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt, ist vorab eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen.
Typische Fälle sind:
- Umfangreiche Verarbeitung besonderer Datenkategorien (Gesundheit, Biometrie, Religion)
- Systematische Überwachung öffentlich zugänglicher Bereiche (z. B. Videoüberwachung)
- Einsatz neuer Technologien, insbesondere KI-gestützte Profilbildung
Die DSFA ist kein einmaliger Vorgang, sondern muss bei Änderungen der Verarbeitung aktualisiert werden.
4. Technische und organisatorische Maßnahmen (Art. 25 und 32 DSGVO)
Unternehmen müssen bereits bei der Konzeption von Systemen und Prozessen geeignete Datenschutzmaßnahmen integrieren.
Dazu zählen:
- Verschlüsselung von Daten in Übertragung und Speicherung
- Zugriffskontrollen und Berechtigungskonzepte
- Pseudonymisierung, wo möglich
- Regelmäßige Sicherheitstests und Schwachstellenanalysen
- Backup- und Wiederherstellungskonzepte
- Schulungen der Mitarbeiter
Die Angemessenheit der Maßnahmen richtet sich nach dem Stand der Technik, dem Implementierungsaufwand und der Schwere des potenziellen Schadens.
5. Meldepflicht bei Datenpannen (Art. 33 und 34 DSGVO)
Eine Verletzung des Schutzes personenbezogener Daten – etwa ein Hackerangriff, ein verlorenes Notebook oder eine versehentlich versandte E-Mail – muss innerhalb von 72 Stunden der zuständigen Datenschutzaufsichtsbehörde gemeldet werden, sofern ein Risiko für Betroffene besteht. Ist das Risiko für die Betroffenen hoch, müssen auch diese unmittelbar informiert werden.
6. Auftragsverarbeitung (Art. 28 DSGVO)
Sobald ein Unternehmen personenbezogene Daten durch externe Dienstleister verarbeiten lässt – Cloud-Anbieter, IT-Dienstleister, Steuerberater, Marketingagenturen – ist ein Auftragsverarbeitungsvertrag (AVV) abzuschließen. Dieser muss bestimmte Mindestinhalte aufweisen und sicherstellen, dass der Auftragsverarbeiter dieselben Datenschutzstandards einhält.
7. Bestellung eines Datenschutzbeauftragten (Art. 37 DSGVO, § 38 BDSG)
In Deutschland ist ein betrieblicher Datenschutzbeauftragter zu bestellen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von dieser Schwelle ist eine Bestellung erforderlich, wenn Kernaktivitäten des Unternehmens in einer umfangreichen Verarbeitung besonderer Kategorien bestehen oder eine systematische Überwachung von Personen stattfindet.
Praktische Tipps für Unternehmen
Datenschutz-Audit als Ausgangspunkt: Bevor Maßnahmen ergriffen werden, sollte der Status quo systematisch erfasst werden. Welche Daten werden wo, wie lange und zu welchem Zweck verarbeitet? Ein internes Audit schafft die notwendige Grundlage.
Löschkonzept implementieren: Eine der häufigsten DSGVO-Lücken in der Praxis ist das Fehlen eines strukturierten Löschkonzepts. Für jede Datenkategorie sollte eine klare Löschfrist definiert und technisch umgesetzt werden.
Mitarbeiter sensibilisieren: Die beste technische Infrastruktur nützt wenig, wenn Mitarbeiter Phishing-Mails nicht erkennen oder Kundendaten per unverschlüsselter E-Mail versenden. Regelmäßige Schulungen sind nicht nur empfehlenswert, sondern auch Bestandteil der TOMs-Pflicht.
Dokumentation lückenlos führen: Im Streitfall oder bei einer Behördenprüfung müssen Unternehmen nachweisen, dass sie ihren Pflichten nachgekommen sind. Verarbeitungsverzeichnis, Einwilligungsnachweise, AVVs und DSFAs sollten stets aktuell und zugänglich sein.
Externe Expertise einbinden: Gerade bei komplexen Verarbeitungstätigkeiten, IT-Projekten oder nach Datenpannen empfiehlt sich die Einbindung eines externen Datenschutzbeauftragten oder datenschutzrechtlich versierten Anwalts.
Checkliste: Datenschutz-Grundpflichten für Unternehmen
- Datenschutzerklärung vollständig und aktuell (Website, Apps, Kontaktformulare)
- Verarbeitungsverzeichnis nach Art. 30 DSGVO geführt und aktuell
- Rechtsgrundlage für jede Verarbeitungstätigkeit dokumentiert
- Auftragsverarbeitungsverträge mit allen externen Dienstleistern abgeschlossen
- Technische und organisatorische Maßnahmen (TOMs) dokumentiert und umgesetzt
- Löschkonzept für alle Datenkategorien vorhanden
- Datenschutz-Folgenabschätzung durchgeführt, wo erforderlich
- Datenschutzbeauftragter bestellt (intern oder extern), falls erforderlich
- Mitarbeiter regelmäßig geschult
- Prozess für die Bearbeitung von Betroffenenanfragen etabliert
- Incident-Response-Plan für Datenpannen vorhanden
- Drittlandtransfers geprüft und abgesichert (SCC, Transfer Impact Assessment)
- Cookie-Consent-Management rechtssicher implementiert
Datenschutz als unternehmerische Verantwortung – und Chance
Die Pflichten, die Unternehmen bei der Verarbeitung personenbezogener Daten treffen, sind umfangreich und komplex. Doch wer Datenschutz nur als lästige Compliance-Aufgabe betrachtet, verkennt sein Potenzial: Unternehmen, die transparent und verantwortungsvoll mit Daten umgehen, gewinnen das Vertrauen ihrer Kunden und Partner und verschaffen sich damit einen echten Wettbewerbsvorteil.
Die größten Risiken lauern dort, wo Prozesse undokumentiert sind, externe Dienstleister unkontrolliert Daten verarbeiten oder Datenpannen zu spät erkannt werden. Eine frühzeitige, systematische Auseinandersetzung mit den eigenen Verarbeitungstätigkeiten – idealerweise mit fachkundiger Unterstützung – ist deshalb keine Frage des Ob, sondern des Wann.
SITTIG LAW begleitet Unternehmen umfassend bei der Erfüllung ihrer datenschutzrechtlichen Pflichten – von der ersten Bestandsaufnahme über die Implementierung rechtskonformer Prozesse bis hin zur Übernahme der Funktion des externen Datenschutzbeauftragten. Sprechen Sie uns an – wir sind für Sie erreichbar.
Häufig gestellte Fragen
Die DSGVO gilt grundsätzlich für jedes Unternehmen, das personenbezogene Daten verarbeitet – unabhängig von der Größe. Erleichterungen gibt es lediglich für Kleinstunternehmen, etwa bei der Pflicht zum Verarbeitungsverzeichnis, aber auch hier nur unter engen Voraussetzungen.
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen – Name, E-Mail-Adresse, IP-Adresse, Standortdaten, Kundennummern oder auch Kombinationen von Merkmalen, die eine Identifikation ermöglichen.
In Deutschland ist ein Datenschutzbeauftragter zu bestellen, wenn in der Regel mindestens 20 Personen ständig automatisiert Daten verarbeiten oder wenn das Unternehmen in besonders sensiblen Bereichen tätig ist. Im Zweifel sollte dies rechtlich geprüft werden.
Datenschutzverstöße können mit Bußgeldern geahndet werden. Hinzu kommen Schadensersatzansprüche Betroffener, Reputationsschäden und in schwerwiegenden Fällen strafrechtliche Konsequenzen.
Ja. Die DSGVO schützt natürliche Personen. Sobald ein B2B-Unternehmen Daten von Ansprechpartnern, Mitarbeitern von Geschäftspartnern oder anderen natürlichen Personen verarbeitet – was nahezu immer der Fall ist – gelten die DSGVO-Anforderungen.
Datenpannen mit Risiko für Betroffene müssen innerhalb von 72 Stunden der zuständigen Datenschutzaufsichtsbehörde gemeldet werden. Bei hohem Risiko sind zusätzlich die Betroffenen direkt zu informieren. Unternehmen sollten vorab einen Incident-Response-Plan erarbeiten, der klare Verantwortlichkeiten und Abläufe definiert.
Die Nutzung von Kundendaten für Direktmarketing (z. B. Newsletter) setzt in der Regel eine ausdrückliche Einwilligung voraus. Im Bestandskundenbereich kann unter engen Voraussetzungen das berechtigte Interesse als Rechtsgrundlage herangezogen werden. Betroffene haben jedoch stets ein Widerspruchsrecht.
Ein externer Datenschutzbeauftragter ist eine außerhalb des Unternehmens tätige Fachperson, die die Funktion des betrieblichen Datenschutzbeauftragten übernimmt. Er bietet den Vorteil fachlicher Unabhängigkeit und stets aktuellen Know-hows. Besonders für kleine und mittlere Unternehmen ist dies oft die wirtschaftlichere und rechtssicherere Lösung.
German 
English