Die DSGVO-Anforderungen lassen sich als zusammenhängende Fragen lesen: Fällt die Verarbeitung unter die Verordnung? Wofür werden welche personenbezogenen Daten benötigt? Auf welcher Rechtsgrundlage geschieht das? Wie werden Betroffene informiert und geschützt? Und wie weist das Unternehmen seine Entscheidungen nach? Dieser Beitrag erklärt die Anforderungen und ihre Grenzen. Die DSGVO-Checkliste übersetzt sie anschließend in prüfbare Aufgaben und Nachweise.
Wann gilt die DSGVO?
Die DSGVO gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten und für nichtautomatisierte Daten in einem Dateisystem oder solche, die dafür bestimmt sind. Eine geordnete Papierakte kann daher erfasst sein; eine beiläufige Notiz ist nicht automatisch ein Dateisystem. „Personenbezogen“ umfasst auch Daten, aus denen eine Person mittelbar identifizierbar ist. Ein Geschäftskontakt bleibt personenbezogen, selbst wenn er im Rahmen eines Unternehmens handelt. Der sachliche Anwendungsbereich ist der erste Filter.
Für die räumliche Geltung unterscheidet Artikel 3 DSGVO zwischen Verarbeitung im Rahmen einer Niederlassung in der Union und bestimmten Tätigkeiten von Anbietern außerhalb der Union, die Personen in der Union Waren oder Dienstleistungen anbieten oder ihr Verhalten dort beobachten. Die Staatsangehörigkeit der Person allein entscheidet nicht. Ein deutscher Betrieb fällt nicht deshalb aus der DSGVO, weil sein Hoster außerhalb Europas steht; umgekehrt wird eine beliebige ausländische Website nicht allein durch einen gelegentlichen EU-Besucher erfasst. Dokumentieren Sie, welche Niederlassung und welche Tätigkeit betrachtet wird.
Auch kleine Unternehmen müssen die materiellen Regeln beachten. Einige Pflichten haben aber Ausnahmen oder Risikoschwellen. Die Größe ersetzt deshalb keine Prüfung des einzelnen Vorgangs. Ein Friseursalon mit Terminkalender, eine Arztpraxis mit Gesundheitsdaten und eine Werbeplattform mit Profilen verarbeiten sehr unterschiedliche Risiken. Eine einheitliche „DSGVO-Bescheinigung“ kann diese Unterschiede nicht abbilden.
Die Grundsätze aus Artikel 5
Artikel 5 DSGVO verlangt Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Absatz 2 ergänzt die Rechenschaftspflicht: Der Verantwortliche muss die Einhaltung nachweisen können. Das sind keine sieben voneinander getrennten Formulare. Die Grundsätze beeinflussen jede Entscheidung vom Pflichtfeld im Formular bis zur Löschroutine und zum Berechtigungskonzept. Der Detailbeitrag zu Artikel 5 erläutert die einzelnen Begriffe.
Zweckbindung bedeutet: Eine Lieferadresse darf für den Versand erhoben werden, aber nicht ohne neue Prüfung zur Standortanalyse aller Kunden dienen. Datenminimierung fragt, ob ein Geburtsdatum für die konkrete Leistung gebraucht wird. Richtigkeit verlangt Wege zur Korrektur falscher Kundendaten. Speicherbegrenzung verlangt Löschkriterien, auch wenn keine gesetzliche feste Zahl existiert. Integrität und Vertraulichkeit lenken den Blick auf Zugriffsrechte und Datensicherung. Die Rechenschaftspflicht verbindet diese Entscheidungen mit Nachweisen, etwa einer datierten Begründung für eine Aufbewahrungsfrist.
Nicht jeder Datenschutzfehler ist durch eine Einwilligung zu reparieren. Eine Einwilligung für übermäßige Datenerhebung hebt die Grundsätze nicht auf. Ebenso ersetzt eine Datenschutzerklärung nicht die technische Trennung zwischen notwendigen und optionalen Daten. Beginnen Sie bei Zweck und Erforderlichkeit, bevor Sie einen Rechtsgrundlagentext formulieren.
Rechtsgrundlagen: dieselben Daten, verschiedene Zwecke
Artikel 6 Absatz 1 DSGVO nennt sechs Rechtsgrundlagen: Einwilligung, Erforderlichkeit für Vertrag oder vorvertragliche Maßnahmen, rechtliche Verpflichtung, lebenswichtige Interessen, Aufgabe im öffentlichen Interesse beziehungsweise öffentliche Gewalt sowie berechtigte Interessen mit Abwägung. Für eine Online-Bestellung kann die Lieferanschrift vertraglich nötig sein, für die Rechnung kann eine gesetzliche Pflicht hinzukommen, für Werbe-E-Mails gelten weitere Anforderungen. Eine Spalte „Kundendaten: Vertrag“ verschleiert diese Unterschiede. Ordnen Sie jedem Zweck eine tragfähige Grundlage zu, bevor die Verarbeitung beginnt.
Die Vertragserfüllung nach Buchstabe b verlangt objektive Erforderlichkeit für einen Vertrag mit der betroffenen Person oder eine Maßnahme auf deren Anfrage. Nützlichkeit für das Unternehmen genügt nicht. Bei berechtigten Interessen nach Buchstabe f müssen legitimes Interesse, Erforderlichkeit und überwiegende Interessen oder Grundrechte der betroffenen Person geprüft werden. Halten Sie die wesentlichen Abwägungsgründe fest; ein unveränderter Standardsatz ersetzt die Einzelfallprüfung nicht. Der Leitfaden zu berechtigten Interessen zeigt diese Abfolge.
Einwilligung nach Artikel 7 muss freiwillig, für den bestimmten Fall, informiert und unmissverständlich sein. Sie muss nachweisbar und grundsätzlich ebenso leicht widerrufbar sein, wie sie erteilt wurde. Für besondere Kategorien nach Artikel 9, etwa Gesundheitsdaten, besteht zunächst ein Verarbeitungsverbot mit eigenen Ausnahmen; eine Rechtsgrundlage aus Artikel 6 allein reicht nicht. Die Einwilligungsregeln sind deshalb vor allem bei optionalen Zwecken wichtig, nicht als Standardlösung für jede Geschäftsbeziehung.
Transparenz und Betroffenenrechte
Artikel 13 und 14 DSGVO unterscheiden danach, ob Daten direkt bei der Person oder anderswo erhoben werden. Hinweise müssen unter anderem Verantwortlichen, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer oder Kriterien und Rechte erklären. Bei Drittlandübermittlungen und automatisierten Entscheidungen können weitere Angaben nötig sein. Stellen Sie Informationen zum passenden Zeitpunkt bereit: Ein Hinweis, der erst nach der Registrierung erreichbar ist, hilft bei der Entscheidung vor der Dateneingabe wenig. Der Text muss zu den tatsächlich verwendeten Diensten und Fristen passen.
Artikel 15 bis 22 geben Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Schutz bei bestimmten automatisierten Entscheidungen. Die Rechte haben unterschiedliche Voraussetzungen und Ausnahmen. Ein Löschwunsch beseitigt zum Beispiel keine gesetzliche Belegpflicht; ein Widerspruch gegen Direktwerbung ist anders zu behandeln als ein Widerspruch gegen eine sonstige Interessenverarbeitung. Für Auskunft nach Artikel 15 müssen Daten aus mehreren Systemen auffindbar sein, ohne Informationen anderer Personen offenzulegen.
Artikel 12 Absatz 3 sieht grundsätzlich eine Antwort ohne unangemessene Verzögerung, spätestens binnen eines Monats nach Eingang vor. Bei Komplexität oder Zahl der Anträge kann um zwei Monate verlängert werden; über die Verlängerung und Gründe muss innerhalb des ersten Monats informiert werden. Identität darf bei begründeten Zweifeln mit verhältnismäßigen Zusatzinformationen geprüft werden. Halten Sie Eingang, Zuständigkeit, Suchorte, Entscheidung und Antwort fest. Eine zentrale E-Mail-Adresse ohne Bearbeitungsprozess erfüllt die praktische Anforderung nicht.
Verantwortung, Auftragsverarbeitung und interne Rollen
Verantwortlich ist, wer Zwecke und Mittel der Verarbeitung festlegt. Ein Auftragsverarbeiter handelt für den Verantwortlichen nach dessen Weisung. Für diese Beziehung verlangt Artikel 28 DSGVO einen Vertrag oder anderen bindenden Rechtsakt mit den dort genannten Mindestinhalten; Artikel 28 Absatz 9 lässt eine schriftliche, auch elektronische Form zu. Nicht jeder Empfänger ist Auftragsverarbeiter: Eine Bank oder ein eigenständig beratender Berufsträger kann eigene Zwecke und gesetzliche Pflichten haben. Bei gemeinsam bestimmten Zwecken ist Artikel 26 gesondert zu prüfen. Die Auftragsverarbeitung im Detail hilft bei der Rolleneinordnung.
Artikel 24 verlangt geeignete Maßnahmen, die zur Verarbeitung und ihrem Risiko passen, und ihre Überprüfung. Artikel 25 bezieht Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen ein. Fragen Sie bei einer neuen Anwendung: Welche Felder sind standardmäßig aktiv? Wer erhält Zugriff? Können Daten nach Zweck getrennt werden? Gibt es eine Möglichkeit zur Auskunft und Löschung? Ein Vertrag mit dem Anbieter ist wichtig, beantwortet aber nicht diese Fragen zur eigenen Konfiguration.
Für Beschäftigtendaten ergänzt in Deutschland § 26 BDSG den Rahmen. Besonders bei einer Einwilligung ist wegen des Abhängigkeitsverhältnisses die Freiwilligkeit zu prüfen. Eine allgemeine Einverständniserklärung im Arbeitsvertrag darf keine unbestimmten Überwachungszwecke rechtfertigen. Informieren Sie Beschäftigte über konkrete Verfahren und begrenzen Sie Personalakten auf Berechtigte.
Verzeichnis und Datenschutzbeauftragter: Ausnahmen prüfen
Artikel 30 legt Inhalte des Verzeichnisses von Verarbeitungstätigkeiten fest, darunter Zwecke, Kategorien betroffener Personen und Daten, Empfänger, Drittlandübermittlungen, Löschfristen soweit möglich und eine allgemeine Beschreibung technischer und organisatorischer Maßnahmen. Artikel 30 Absatz 5 nimmt Unternehmen und Einrichtungen mit weniger als 250 Beschäftigten nur unter Bedingungen aus; die Ausnahme greift für eine Tätigkeit nur, wenn die Verarbeitung lediglich gelegentlich erfolgt, kein Risiko für die Rechte und Freiheiten betroffener Personen birgt und keine Daten nach Artikel 9 oder 10 umfasst. Laufende Kunden- und Personalverwaltung kann diese Bedingung ausschließen. Das Verzeichnis ist kein Selbstzweck: Es zeigt, wo Betroffenenanfragen und Löschregeln umgesetzt werden müssen. Eine VVT-Vorlage hilft beim Aufbau.
Artikel 37 DSGVO verlangt einen Datenschutzbeauftragten insbesondere bei bestimmten umfangreichen Kerntätigkeiten mit regelmäßiger und systematischer Überwachung oder umfangreicher Verarbeitung besonderer Datenkategorien. § 38 BDSG ergänzt für nichtöffentliche Stellen in Deutschland die Schwelle von regelmäßig mindestens 20 Personen, die ständig automatisiert personenbezogene Daten verarbeiten. Weitere Fälle nach § 38 können unabhängig von der Personenzahl eingreifen, etwa eine verpflichtende Folgenabschätzung. Entscheiden Sie daher nicht nur durch Zählen aller Beschäftigten und nicht mit der Formel „unter 20 nie“. Die Ernennung oder Nichtbenennung sollte kurz begründet sein.
Sicherheit, Folgenabschätzung und Verletzungen
Artikel 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Er nennt beispielsweise Pseudonymisierung und Verschlüsselung, dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, Wiederherstellbarkeit sowie regelmäßige Überprüfung der Wirksamkeit. Daraus folgt keine Pflicht zu derselben Verschlüsselung oder demselben Penetrationstest für jede Datenverarbeitung. Ein kleines Kontaktverzeichnis und eine große Gesundheitsdatenbank brauchen unterschiedliche Maßnahmen. Dokumentieren Sie Risiko, Auswahl, Verantwortliche und Überprüfungstermin.
Nach Artikel 35 ist eine Datenschutz-Folgenabschätzung erforderlich, wenn eine Art der Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen zur Folge hat. Die Verordnung nennt bestimmte Fälle und Aufsichtsbehörden veröffentlichen Listen. Eine DSFA wird vor Beginn der betreffenden Verarbeitung durchgeführt; sie beschreibt Vorgang, Notwendigkeit, Risiken und Gegenmaßnahmen. Nicht jedes neue Tool löst automatisch eine DSFA aus. Ein erkennbar hohes Risiko lässt sich aber nicht mit dem Satz „wir sind ein kleines Unternehmen“ wegdefinieren.
Artikel 33 verlangt die Meldung einer Verletzung des Schutzes personenbezogener Daten an die zuständige Aufsichtsbehörde ohne unangemessene Verzögerung und möglichst binnen 72 Stunden ab Bekanntwerden, sofern ein Risiko für Rechte und Freiheiten nicht unwahrscheinlich ist. Eine spätere Meldung muss die Gründe für die Verzögerung enthalten. Bei hohem Risiko kann Artikel 34 zusätzlich die Benachrichtigung der Personen verlangen. Auch nicht meldepflichtige Vorfälle sind mit Tatsachen, Folgen und Abhilfemaßnahmen zu dokumentieren. Ein Löschfehler, Fehlversand oder Ransomware-Ereignis muss deshalb zuerst eingeordnet werden. Der praktische Meldeablauf hilft bei der Entscheidung.
Löschung, Aufbewahrung und internationale Übermittlungen
Artikel 5 Absatz 1 Buchstabe e begrenzt die Speicherdauer. Gesetzliche Aufbewahrung kann den Löschzeitpunkt verschieben, gilt aber nur für die betroffenen Unterlagen und Zwecke. In Deutschland nennt § 147 AO etwa zehn Jahre für Bücher und bestimmte Aufzeichnungen, acht Jahre für Buchungsbelege und sechs Jahre für sonstige dort genannte Unterlagen. § 257 HGB unterscheidet für Kaufleute zehn Jahre für Bücher, acht für Buchungsbelege und sechs für Handelsbriefe. Fristbeginn und mögliche Verlängerung sind zu prüfen. Ein Marketingprofil erhält durch eine Rechnung keine Belegfrist. Ein Löschkonzept sollte Datenarten, Gründe, Fristbeginn, Systemorte und Ausnahmen verbinden.
Kapitel V DSGVO regelt Übermittlungen in Drittländer. Prüfen Sie zunächst, ob ein Empfänger oder Fernzugriff außerhalb des EWR vorliegt. Danach kommen etwa ein einschlägiger Angemessenheitsbeschluss oder geeignete Garantien wie Standardvertragsklauseln in Betracht. Bei Letzteren kann eine Bewertung des Schutzniveaus und ergänzender Maßnahmen nötig sein. Ein EU-Rechenzentrum garantiert allein nicht, dass kein Drittlandzugriff stattfindet; umgekehrt ist nicht jeder US-Dienst ohne mögliche Grundlage. Halten Sie Anbieter, Übermittlungsweg, Instrument und etwaige Grenzen fest.
Für Websites tritt zusätzlich § 25 TDDDG hinzu: Speichern oder Auslesen von Informationen auf Endgeräten verlangt grundsätzlich informierte Einwilligung, sofern keine gesetzliche Ausnahme, etwa eine unbedingt erforderliche Funktion für einen ausdrücklich gewünschten digitalen Dienst, greift. Diese Endgerätefrage ist von der anschließenden DSGVO-Rechtsgrundlage für personenbezogene Daten zu unterscheiden. Wer Werbe-E-Mails versendet, muss daneben § 7 UWG prüfen. Der Cookie-Banner-Leitfaden zeigt die technische Seite; diese Regeln sind keine pauschale Pflicht, auf jeder Website einen Banner einzubauen.
Was als Nachweis tatsächlich hilft
Ein zweckbezogenes Verzeichnis, aktuelle Datenschutzhinweise, Rollenentscheidungen zu Dienstleistern, dokumentierte Risikobewertungen, Löschkriterien und ein Verfahren für Betroffenenanfragen bilden ein nachvollziehbares Bild. Die DSGVO schreibt nicht für jede Organisation denselben Ordner oder eine jährliche Schulungsquote vor. Entscheidend ist, dass die Maßnahmen zum konkreten Risiko passen und im Betrieb funktionieren. Ein kleiner Betrieb kann mit einer klaren Verantwortlichenliste und gepflegten Systemübersicht beginnen; ein Unternehmen mit vielen Standorten braucht entsprechend tragfähigere Prozesse.
Prüfen Sie die Nachweise bei Änderungen: neuer Zweck, neuer Dienst, internationale Zugriffsmöglichkeit, Sicherheitsvorfall oder geänderte Rechtslage. Ein bloßes Datum in der Datenschutzerklärung belegt keine sachliche Prüfung. Für eine konkrete Durchsicht mit Status, Nachweis und nächstem Schritt verwenden Sie die DSGVO-Checkliste; für ein geplantes Audit den Datenschutz-Audit-Ablauf.
Anforderungen bei einem neuen Projekt zusammendenken
Ein neues Kundenportal zeigt, warum die einzelnen Vorschriften zusammengehören. Vor Freigabe klären Sie, welche Kontodaten für die angebotene Funktion erforderlich sind, welche optionalen Analysen stattfinden und welche Empfänger eingebunden werden. Dann entstehen passende Hinweise, Rollenverträge, Berechtigungen und Löschregeln. Wenn später ein zusätzlicher Werbezweck hinzukommt, reicht es nicht, lediglich die Datenschutzerklärung zu verlängern: Die Rechtsgrundlage, technische Voreinstellung, Einwilligungssteuerung und Empfängerliste sind erneut zu prüfen.
Diese Reihenfolge macht die Rechenschaftspflicht greifbar. Ein Entscheidungseintrag sollte erkennen lassen, welche Tatsachen geprüft wurden, wer die Grundlage freigab und wann die nächste Änderung eine neue Prüfung auslöst. Bei einem offenen rechtlichen Punkt ist „noch zu klären“ ehrlicher als ein grünes Kontrollkästchen. So bleibt der Datenschutzprozess für Fachbereich, IT und Leitung benutzbar.
Häufige Fragen
Gilt die DSGVO für ein Ein-Personen-Unternehmen?
Ja, wenn dessen Verarbeitung in den sachlichen und räumlichen Anwendungsbereich fällt. Die Unternehmensgröße kann einzelne Ausnahmen beeinflussen, befreit aber nicht von Rechtsgrundlage, Transparenz, Sicherheit oder Betroffenenrechten.
Muss jede Verarbeitung in einem Verzeichnis stehen?
Artikel 30 sieht ein Verzeichnis vor; die Ausnahme für Unternehmen unter 250 Beschäftigten ist an Bedingungen geknüpft. Regelmäßige Verarbeitung kann die Ausnahme ausschließen. Prüfen Sie die Tätigkeiten und dokumentieren Sie die Entscheidung, statt nur die Kopfzahl zu verwenden.
Ist eine Einwilligung immer die sicherste Grundlage?
Nein. Eine zur Vertragserfüllung erforderliche Verarbeitung sollte nicht künstlich als widerrufbare Einwilligung dargestellt werden. Einwilligung eignet sich nur, wenn ihre Voraussetzungen tatsächlich erfüllt sind; besondere Daten können zusätzliche Anforderungen nach Artikel 9 auslösen.
Muss jede Datenschutzverletzung gemeldet werden?
Nein. Sie muss bewertet und dokumentiert werden. Eine Meldung ist erforderlich, sofern ein Risiko für Rechte und Freiheiten nicht unwahrscheinlich ist; bei hohem Risiko kann eine Betroffeneninformation hinzukommen. Die 72-Stunden-Frist läuft ab Bekanntwerden.
Wie unterscheiden sich DSGVO und BDSG?
Die DSGVO gilt unmittelbar; das BDSG ergänzt sie in Deutschland innerhalb gesetzlicher Öffnungen, etwa bei Beschäftigtendaten und bestimmten Benennungspflichten für Datenschutzbeauftragte. Der Vergleich BDSG und DSGVO vertieft die deutsche Einordnung.
Primärquellen (geprüft am 27. September 2026): DSGVO, § 26 BDSG, § 38 BDSG, § 25 TDDDG, § 7 UWG, § 147 AO, § 257 HGB.