Definition
Die DSGVO (Verordnung (EU) 2016/679) gilt seit dem 25. Mai 2018 unmittelbar in allen EU-Staaten und regelt, wie Unternehmen, Vereine und Behörden personenbezogene Daten verarbeiten dürfen.
Die Europäische Datenschutz-Grundverordnung (DSGVO, auch DS-GVO, englisch General Data Protection Regulation, GDPR) ist die Verordnung (EU) 2016/679. Sie trat am 24. Mai 2016 in Kraft und gilt seit dem 25. Mai 2018. Sie löste die Datenschutzrichtlinie 95/46/EG aus dem Jahr 1995 ab und berücksichtigt technische Entwicklungen seitdem, etwa Big Data, Profiling, Cloud Computing und Webtracking. Bis zum 25. Mai 2018 mussten Unternehmen ihre Abläufe an die neuen Regeln anpassen.
Was regelt die DSGVO, einfach erklärt?
Die DSGVO legt fest, wann ein Betrieb Daten über Menschen erheben, speichern, nutzen, weitergeben oder löschen darf. Personenbezogene Daten sind alle Informationen über eine bestimmte oder bestimmbare Person (Art. 4 Nr. 1): Name, Anschrift, Telefonnummer, E-Mail-Adresse, Geburtsdatum, Kontonummer, Kfz-Kennzeichen oder eine IP-Adresse. Jeder Umgang mit solchen Daten ist eine Verarbeitung (Art. 4 Nr. 2), auch das bloße Speichern im Adressbuch.
Als Verordnung gilt die DSGVO unmittelbar und einheitlich in allen EU-Staaten; die alte Richtlinie war noch unterschiedlich umgesetzt worden (Erwägungsgrund 9).
Praxisbeispiel aus dem kleinen Betrieb
Ein Malerbetrieb notiert Name und Telefonnummer eines Interessenten, um ein Angebot zu schreiben. Das ist erlaubt, weil die Daten für einen Vertrag oder dessen Anbahnung nötig sind (Art. 6 Abs. 1 Buchst. b DSGVO). Der Betrieb muss aber informieren, wofür er die Daten nutzt, und sie löschen, wenn kein Auftrag zustande kommt und keine Aufbewahrungspflicht greift.
| Daten im Malerbetrieb | Erlaubt durch | Löschen, wenn |
|---|---|---|
| Name und Telefon des Interessenten | Vertragsanbahnung (Art. 6 Abs. 1 Buchst. b) | kein Auftrag zustande kommt |
| Rechnung an den Kunden | rechtliche Pflicht (Art. 6 Abs. 1 Buchst. c, § 147 AO) | die Aufbewahrungsfrist abgelaufen ist, für Buchungsbelege 8 Jahre |
| Lohndaten der Gesellen | Arbeitsvertrag und gesetzliche Pflichten (Art. 6 Abs. 1 Buchst. b und c) | die Fristen nach Steuer- und Sozialrecht abgelaufen sind |
| Foto der fertigen Fassade mit dem Kunden davor auf der Website | Einwilligung (Art. 6 Abs. 1 Buchst. a) | die Einwilligung widerrufen wird |
Wann gilt die DSGVO und wann nicht?
| Gilt für | Gilt nicht für |
|---|---|
| Unternehmen jeder Größe, Selbstständige, Vereine und Behörden, die personenbezogene Daten ganz oder teilweise automatisiert oder in Karteien verarbeiten (Art. 2 Abs. 1) | Privatpersonen bei ausschließlich persönlichen oder familiären Tätigkeiten, etwa der Gästeliste fürs eigene Fest (Art. 2 Abs. 2 Buchst. c) |
| Anbieter außerhalb der EU, die Menschen in der EU Waren oder Dienstleistungen anbieten oder ihr Verhalten beobachten (Art. 3 Abs. 2) | Daten juristischer Personen, etwa Name, Rechtsform und allgemeine Kontaktdaten einer GmbH (Erwägungsgrund 14); Name und E-Mail des Ansprechpartners sind dagegen personenbezogen |
| Daten von Kunden, Beschäftigten, Bewerbern, Lieferanten-Ansprechpartnern und Website-Besuchern | anonyme Daten, die keiner Person mehr zugeordnet werden können (Erwägungsgrund 26) |
Was sind die Grundsätze der DSGVO?
Art. 5 nennt sechs Grundsätze für jede Verarbeitung und als siebten die Rechenschaftspflicht. Dazu braucht jede Verarbeitung eine Rechtsgrundlage nach Art. 6, etwa einen Vertrag, eine gesetzliche Pflicht, ein berechtigtes Interesse oder eine Einwilligung.
| Grundsatz (Art. 5) | Bedeutet | Beispiel im Betrieb |
|---|---|---|
| Rechtmäßigkeit, Treu und Glauben, Transparenz | nur mit Rechtsgrundlage und offen gegenüber den Betroffenen | Datenschutzhinweis auf dem Kontaktformular |
| Zweckbindung | nur für den Zweck nutzen, für den erhoben wurde | Telefonnummer aus dem Angebot nicht für Werbeanrufe verwenden |
| Datenminimierung | nur so viele Daten wie nötig | kein Geburtsdatum im Angebotsformular |
| Richtigkeit | falsche Daten berichtigen | neue Anschrift sofort in der Kundendatei ändern |
| Speicherbegrenzung | löschen, wenn der Zweck entfällt | Bewerbungsunterlagen nach der Absage nicht unbegrenzt aufheben |
| Integrität und Vertraulichkeit | Schutz vor Verlust und unbefugtem Zugriff | Passwort, Updates und Datensicherung am Büro-PC |
| Rechenschaftspflicht (Abs. 2) | Einhaltung nachweisen können | Verzeichnis und Verträge griffbereit ablegen |
Welche Rechte haben Betroffene?
Betroffene haben das Recht auf Information (Art. 13, 14), Auskunft (Art. 15), Berichtigung (Art. 16), Löschung („Recht auf Vergessenwerden“, Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine erteilte Einwilligung können sie jederzeit widerrufen (Art. 7 Abs. 3). Auf einen Antrag muss der Betrieb unverzüglich, spätestens innerhalb eines Monats reagieren; bei vielen oder schwierigen Anträgen ist eine Verlängerung um zwei Monate möglich (Art. 12 Abs. 3).
Welche Pflichten hat ein kleiner Betrieb?
| Pflicht | Fundstelle | Im kleinen Betrieb |
|---|---|---|
| Informieren, wofür Daten genutzt werden | Art. 13, 14 | Datenschutzerklärung auf der Website, Hinweis auf Formularen und im Angebot |
| Verzeichnis der Verarbeitungstätigkeiten | Art. 30 | Liste: Kundendatei, Lohn, Bewerbungen, Website, Newsletter. Die Ausnahme unter 250 Beschäftigten greift nur bei gelegentlicher Verarbeitung ohne Risiko; Kundendaten und Lohn laufen regelmäßig |
| Vertrag mit Dienstleistern, die Daten im Auftrag verarbeiten | Art. 28 | Cloud-Speicher, Hosting, Newsletter-Dienst, externe IT-Betreuung |
| Daten technisch und organisatorisch schützen | Art. 32 | Passwörter, Updates, Datensicherung, Zugriffsrechte |
| Datenpannen melden | Art. 33 | an die Aufsichtsbehörde möglichst binnen 72 Stunden, etwa bei gestohlenem Laptop mit Kundendaten |
| Datenschutzbeauftragten benennen | Art. 37, § 38 BDSG | wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung beschäftigt sind, bei riskanten Verarbeitungen immer |
| Anträge Betroffener beantworten | Art. 12, 15–21 | Auskunft binnen eines Monats; jemanden im Betrieb zuständig machen |
Bußgelder und Verantwortung
Verantwortlich ist das Unternehmen, das über Zweck und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7, Art. 24). Es muss die Einhaltung nachweisen können (Art. 5 Abs. 2). Die Aufsichtsbehörden können Geldbußen in zwei Stufen verhängen: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, etwa bei fehlenden Verträgen oder Schutzmaßnahmen (Art. 83 Abs. 4), und bis zu 20 Millionen Euro oder 4 Prozent bei Verstößen gegen die Grundsätze und Betroffenenrechte (Art. 83 Abs. 5), jeweils der höhere Betrag.
Wie wird die DSGVO in Deutschland umgesetzt?
Die DSGVO gilt in Deutschland unmittelbar. Ergänzende Regeln stehen im Bundesdatenschutzgesetz (BDSG) von 2018, etwa zum Datenschutzbeauftragten (§ 38) und zum Beschäftigtendatenschutz (§ 26). Die Aufsicht über Unternehmen führen die Datenschutzbehörden der Länder; sie beraten auch. Die EU-Kommission bewertet die Verordnung alle vier Jahre (Art. 97), zuletzt 2024. 2025 hat sie Änderungen vorgeschlagen, unter anderem Erleichterungen beim Verzeichnis der Verarbeitungstätigkeiten (COM(2025) 501 und COM(2025) 837); beschlossen ist davon bisher nichts (EUR-Lex, abgerufen am 19.10.2026).
Was heißt das für meinen Betrieb?
Für die meisten kleinen Betriebe reichen fünf Bausteine: eine Datenschutzerklärung für die Website, ein kurzes Verzeichnis der Verarbeitungen, Verträge mit Cloud- und IT-Dienstleistern, ein Plan für Datensicherung und Passwörter (IT-Sicherheit) und eine Person, die Auskünfte und Löschungen erledigt. Wer Kunden in einem CRM oder Belege in der Cloud-Buchhaltung führt, prüft beim Anbieter Vertrag und Speicherort. Kundendaten gehören nicht ungefragt in einen KI-Chat.
Diese Seite erklärt den Begriff; sie ersetzt keine Rechtsberatung. Bei Fragen im Einzelfall helfen die Datenschutzbehörde des Landes, die Kammern oder eine Rechtsberatung.
Häufige Fragen
Wie heißt die DSGVO auf Englisch?
General Data Protection Regulation, kurz GDPR. Gemeint ist dieselbe Verordnung (EU) 2016/679; in Österreich heißt sie ebenfalls DSGVO, in Fachtexten auch DS-GVO.
Gilt die DSGVO auch für Privatpersonen?
Nicht bei ausschließlich persönlichen oder familiären Tätigkeiten, etwa dem privaten Adressbuch (Art. 2 Abs. 2 Buchst. c). Wer dagegen als Selbstständiger, im Verein oder mit einer öffentlich zugänglichen Website Daten anderer verarbeitet, fällt unter die DSGVO.
Was sind die 7 Grundsätze der DSGVO?
Rechtmäßigkeit, Treu und Glauben und Transparenz; Zweckbindung; Datenminimierung; Richtigkeit; Speicherbegrenzung; Integrität und Vertraulichkeit (Art. 5 Abs. 1) sowie die Rechenschaftspflicht (Art. 5 Abs. 2).
Brauche ich als kleiner Betrieb einen Datenschutzbeauftragten?
In der Regel erst, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Unabhängig von der Zahl ist er nötig, wenn eine Datenschutz-Folgenabschätzung erforderlich ist oder Daten geschäftsmäßig übermittelt werden. Die übrigen Pflichten gelten auch ohne Beauftragten.
Wann muss eine Datenpanne gemeldet werden?
Unverzüglich und möglichst binnen 72 Stunden, nachdem der Betrieb davon erfahren hat, bei der zuständigen Aufsichtsbehörde (Art. 33). Keine Meldung ist nötig, wenn die Panne voraussichtlich kein Risiko für die Betroffenen birgt; dokumentiert wird sie trotzdem.
Verwandte Begriffe
- CRM: Customer-Relationship-Management Kundendaten im CRM datenschutzgerecht verwalten
- IT-Sicherheit Daten und Systeme vor Angriffen schützen
- Cloud-Buchhaltung Belege in der Cloud: Vertrag und Speicherort