FAQ – Häufige Fragen

Seit dem 25.05.2018 gilt in der gesamten EU unmittelbar die Datenschutz-Grundverordnung (DSGVO). Das Bundesdatenschutzgesetz (BDSG) in der seit diesem Tag geltenden Fassung (mit späteren Änderungen) ergänzt die DSGVO dort, wo sie den Mitgliedstaaten Spielräume lässt (Öffnungsklauseln), und setzt die Richtlinie (EU) 2016/680 für Polizei und Justiz um. Die frühere Datenschutzrichtlinie 95/46/EG ist aufgehoben (Art. 94 DSGVO).

Aufbau des BDSG:

• Teil 1 (§§ 1–21): gemeinsame Bestimmungen, z. B. Anwendungsbereich, Datenschutzbeauftragte öffentlicher Stellen, Bundesbeauftragte(r) für den Datenschutz
• Teil 2 (§§ 22–44): Durchführungsbestimmungen zur DSGVO, z. B. besondere Kategorien von Daten (§ 22), Beschäftigtendaten (§ 26), Datenschutzbeauftragte nichtöffentlicher Stellen (§ 38), Aufsichtsbehörden (§ 40), Sanktionen (§§ 41–43)
• Teil 3 (§§ 45–84): Umsetzung der Richtlinie (EU) 2016/680
• Teil 4 (§ 85): Verarbeitungen außerhalb dieser EU-Rechtsakte

Für öffentliche Stellen der Länder gelten die Landesdatenschutzgesetze, für Telekommunikation und Endgerätezugriff (z. B. Cookies) das TDDDG.

Hinweis: Die Bundesregierung hat angekündigt, § 38 Abs. 1 BDSG aufzuheben. Stand Oktober 2026 ist das nicht beschlossen; die Schwelle von 20 Personen gilt weiter.

Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Identifizierbar ist eine Person, wenn sie direkt oder indirekt bestimmt werden kann, etwa über Name, Kennnummer, Standortdaten, Online-Kennung (z. B. IP-Adresse, Cookie-ID) oder besondere Merkmale. Dabei sind alle Mittel zu berücksichtigen, die nach allgemeinem Ermessen wahrscheinlich genutzt werden (Erwägungsgrund 26).

Beispiele: Name, Anschrift, Geburtsdatum, E-Mail-Adresse, Telefonnummer, Kfz-Kennzeichen, Kontonummer, Personalnummer, Fotos, Video- und Tonaufnahmen, Beurteilungen sowie Kunden- und Beschäftigtendaten. Die technische Form spielt keine Rolle.

Besonders geschützt sind besondere Kategorien nach Art. 9 DSGVO (z. B. Gesundheitsdaten, genetische und biometrische Daten, religiöse Überzeugungen, Gewerkschaftszugehörigkeit) sowie Daten über Straftaten (Art. 10 DSGVO).

Die DSGVO schützt nur lebende Personen (Erwägungsgrund 27). Angaben über juristische Personen sind keine personenbezogenen Daten, es sei denn, sie lassen Rückschlüsse auf eine natürliche Person zu, etwa bei einer Ein-Personen-GmbH. Anonyme Daten fallen nicht unter die DSGVO, pseudonymisierte Daten schon.

Datenschutz schützt Menschen davor, dass durch den Umgang mit ihren personenbezogenen Daten ihre Rechte und Freiheiten beeinträchtigt werden. Er begrenzt die Verarbeitung durch rechtliche Regeln und verlangt technische und organisatorische Schutzmaßnahmen.

Rechtliche Grundlagen:

• EU-Recht: Art. 8 der Charta der Grundrechte der EU und Art. 16 AEUV garantieren den Schutz personenbezogener Daten. Auf Art. 16 AEUV beruht die DSGVO, die seit 25.05.2018 unmittelbar gilt.
• Grundgesetz: Das Bundesverfassungsgericht hat 1983 im Volkszählungsurteil das Recht auf informationelle Selbstbestimmung aus Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG abgeleitet. Ein ausdrückliches Datenschutzgrundrecht enthält das Grundgesetz nicht.
• Nationales Recht: BDSG, Landesdatenschutzgesetze und Fachgesetze (z. B. TDDDG, Sozialgesetzbuch) ergänzen die DSGVO im Rahmen ihrer Öffnungsklauseln.

Die Grundsätze der Verarbeitung stehen in Art. 5 DSGVO: Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie Rechenschaftspflicht.

Die Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten (Art. 99 Abs. 2 DSGVO). Sie regelt, unter welchen Voraussetzungen Unternehmen, Vereine und Behörden personenbezogene Daten verarbeiten dürfen, welche Rechte betroffene Personen haben und welche Pflichten die Verantwortlichen treffen.

Ergänzend gilt in Deutschland das Bundesdatenschutzgesetz (BDSG) in der seit 25.05.2018 geltenden Fassung. Es füllt die Öffnungsklauseln der DSGVO aus, etwa zum Beschäftigtendatenschutz (§ 26 BDSG), zur Benennungspflicht für Datenschutzbeauftragte (§ 38 BDSG) und zu Bußgeldern (§ 43 BDSG). Für Landesbehörden gelten zusätzlich die Landesdatenschutzgesetze.

Für Websites und Apps kommen Spezialgesetze hinzu: das TDDDG (bis 13.05.2024 TTDSG), z. B. für Cookies (§ 25 TDDDG), und das DDG, das unter anderem die Impressumspflicht regelt (§ 5 DDG).

Bei Verstößen können die Aufsichtsbehörden Geldbußen von bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO).

Hinweis: Die Bundesregierung hat angekündigt, § 38 Abs. 1 BDSG aufzuheben. Stand Oktober 2026 ist das nicht beschlossen; die Schwelle von 20 Personen gilt weiter.

Bewährt hat sich ein schrittweises Vorgehen:

• Verantwortung festlegen: Die Geschäftsleitung bleibt verantwortlich (Art. 24 DSGVO). Prüfen, ob ein Datenschutzbeauftragter zu benennen ist (Art. 37 DSGVO, § 38 BDSG: in der Regel ab 20 Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind, oder bei bestimmten risikoreichen Verarbeitungen).
• Bestandsaufnahme: Welche Daten werden wofür, wo und von wem verarbeitet? Daraus entsteht das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO). Papierakten gehören dazu, wenn sie in einem Dateisystem geordnet sind (Art. 2 Abs. 1 DSGVO).
• Rechtsgrundlagen prüfen (Art. 6, 9 DSGVO); Einwilligungen müssen aktiv erteilt und nachweisbar sein, vorangekreuzte Kästchen oder Schweigen genügen nicht (Art. 4 Nr. 11, Art. 7 DSGVO, Erwägungsgrund 32).
• Informationen bereitstellen (Art. 13, 14 DSGVO) und Abläufe für Betroffenenanfragen einrichten (Frist grundsätzlich ein Monat, Art. 12 Abs. 3 DSGVO).
• Dienstleister prüfen und Auftragsverarbeitungsverträge schließen (Art. 28 DSGVO).
• Datensicherheit nach Stand der Technik umsetzen (Art. 32 DSGVO) und Lösch- sowie Aufbewahrungsfristen regeln.
• Notfallprozess für Datenschutzverletzungen mit der 72-Stunden-Meldefrist (Art. 33 DSGVO).
• Beschäftigte schulen und alles regelmäßig überprüfen (Art. 5 Abs. 2, Art. 32 Abs. 1 lit. d DSGVO).

Hinweis: Die Bundesregierung hat angekündigt, § 38 Abs. 1 BDSG aufzuheben. Stand Oktober 2026 ist das nicht beschlossen; die Schwelle von 20 Personen gilt weiter.

Das hängt vom Träger ab:

• Öffentliche Träger (z. B. Gemeinde, Stadt): Behörden und öffentliche Stellen müssen stets einen Datenschutzbeauftragten benennen (Art. 37 Abs. 1 lit. a DSGVO). Für kommunale Einrichtungen ist das in der Regel der Datenschutzbeauftragte der Kommune; ergänzend gilt das jeweilige Landesdatenschutzgesetz.
• Freie, nicht kirchliche Träger (Vereine, gGmbH, private Betreiber): Benennungspflicht nach § 38 Abs. 1 BDSG, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, oder unabhängig von der Zahl, wenn eine Datenschutz-Folgenabschätzung erforderlich ist. Daneben gilt Art. 37 Abs. 1 lit. b und c DSGVO, etwa bei umfangreicher Verarbeitung besonderer Datenkategorien als Kerntätigkeit.
• Kirchliche Träger unterliegen eigenen Datenschutzregelungen der Kirchen (Art. 91 DSGVO), die eigene Vorgaben zur Benennung enthalten.

Bei der Zählung kommt es nicht nur auf Verwaltungskräfte an: Auch Fachkräfte, die regelmäßig z. B. Entwicklungsdokumentationen, Elternkommunikation oder Fotos am Rechner oder Tablet bearbeiten, können mitzählen. In Kitas werden zudem häufig Gesundheitsdaten (Art. 9 DSGVO) verarbeitet, z. B. Allergien oder Impfnachweise. Auch ohne Benennungspflicht gelten alle übrigen Pflichten der DSGVO. Der Datenschutzbeauftragte kann intern oder extern sein (Art. 37 Abs. 6 DSGVO).

Hinweis: Die Bundesregierung hat angekündigt, § 38 Abs. 1 BDSG aufzuheben. Stand Oktober 2026 ist das nicht beschlossen; die Schwelle von 20 Personen gilt weiter.

Nein. Die frühere Pflicht, automatisierte Verfahren bei der Aufsichtsbehörde zu melden (§§ 4d, 4e BDSG a. F.), ist mit Geltung der DSGVO am 25.05.2018 entfallen. An ihre Stelle sind interne Dokumentations- und Prüfpflichten getreten, die der Verantwortliche selbst erfüllen und auf Anfrage nachweisen muss (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO):

• Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO), auf Anfrage der Aufsichtsbehörde vorzulegen
• Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko (Art. 35 DSGVO); bleibt danach ein hohes Risiko, ist die Aufsichtsbehörde vorher zu konsultieren (Art. 36 DSGVO)

Meldungen an die Aufsichtsbehörde gibt es weiterhin, aber in anderer Form:

• Mitteilung der Kontaktdaten des Datenschutzbeauftragten (Art. 37 Abs. 7 DSGVO)
• Meldung von Datenschutzverletzungen möglichst binnen 72 Stunden (Art. 33 DSGVO)

TOM sind alle technischen und organisatorischen Vorkehrungen, mit denen Verantwortliche und Auftragsverarbeiter die Sicherheit der Verarbeitung personenbezogener Daten gewährleisten. Grundlage ist vor allem Art. 32 DSGVO; ergänzend verlangen Art. 24 (Verantwortung des Verantwortlichen) und Art. 25 DSGVO (Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen) geeignete Maßnahmen.

Die Maßnahmen richten sich nach dem Risiko für die Betroffenen, dem Stand der Technik, den Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung. Sie sollen insbesondere Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sicherstellen.

• Technisch: Zutrittssicherung (Schließanlage, Zaun), Zugangs- und Berechtigungskonzepte, Verschlüsselung, Pseudonymisierung, Datensicherung, Protokollierung
• Organisatorisch: Richtlinien, Schulungen, Vertraulichkeitsverpflichtungen, Vertretungs- und Notfallregelungen, Verträge zur Auftragsverarbeitung

Art. 32 Abs. 1 lit. d DSGVO verlangt außerdem ein Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit der Maßnahmen. Die TOM sind zu dokumentieren und gehören in das Verarbeitungsverzeichnis (Art. 30 Abs. 1 lit. g DSGVO).

Die Teilnehmenden lernen die Begriffe, Grundsätze und Pflichten der DSGVO und des BDSG sowie ergänzender Regelungen (z. B. TDDDG) kennen und wenden sie auf typische Situationen im Unternehmen an. Dazu gehören die Rechte der betroffenen Personen, die Pflichten von Verantwortlichen und Auftragsverarbeitern sowie Stellung und Aufgaben des Datenschutzbeauftragten (Art. 37–39 DSGVO).

Nach Art. 37 Abs. 5 DSGVO wird der Datenschutzbeauftragte auf der Grundlage seiner beruflichen Qualifikation und insbesondere seines Fachwissens auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis benannt. Ein gesetzlich vorgeschriebenes Zertifikat oder eine staatliche Prüfung gibt es nicht. Der Lehrgang vermittelt rechtliches und praktisches Grundlagenwissen; das Abschlusszertifikat kann dem Verantwortlichen als Nachweis dieses Fachwissens dienen.

Welches Fachwissen im Einzelfall erforderlich ist, hängt von den Verarbeitungen und dem Schutzbedarf der Daten im jeweiligen Unternehmen ab. Fachwissen muss zudem durch regelmäßige Fortbildung aktuell gehalten werden.

Nach Art. 37 Abs. 5 DSGVO wird der Datenschutzbeauftragte auf der Grundlage seiner beruflichen Qualifikation und insbesondere seines Fachwissens auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis sowie seiner Fähigkeit zur Erfüllung der Aufgaben nach Art. 39 DSGVO benannt. Für öffentliche Stellen des Bundes wiederholt dies § 5 Abs. 3 BDSG.

Das erforderliche Niveau richtet sich nach den Verarbeitungen und dem Schutzbedarf der Daten (Erwägungsgrund 97). In der Praxis gehören dazu:

• Kenntnisse des Datenschutzrechts (DSGVO, BDSG, einschlägiges Fachrecht)
• Verständnis der eingesetzten Informationstechnik und der Informationssicherheit
• Kenntnis der Organisation und Geschäftsprozesse des Unternehmens
• Fähigkeit, zu beraten, zu schulen und Prüfungen durchzuführen

Ein bestimmter Abschluss ist gesetzlich nicht vorgeschrieben. Der Verantwortliche muss den Datenschutzbeauftragten unterstützen und ihm die zur Erhaltung seines Fachwissens erforderlichen Ressourcen zur Verfügung stellen (Art. 38 Abs. 2 DSGVO), also auch Fortbildung ermöglichen. Zudem darf die Funktion zu keinem Interessenkonflikt führen (Art. 38 Abs. 6 DSGVO).

Die Stellung des Datenschutzbeauftragten regelt Art. 38 DSGVO:

• Er ist frühzeitig und ordnungsgemäß in alle Datenschutzfragen einzubinden (Abs. 1) und vom Verantwortlichen mit den erforderlichen Ressourcen zu unterstützen (Abs. 2).
• Er ist bei der Erfüllung seiner Aufgaben weisungsfrei, darf wegen seiner Aufgabenerfüllung nicht abberufen oder benachteiligt werden und berichtet unmittelbar der höchsten Managementebene (Abs. 3).
• Betroffene Personen können sich direkt an ihn wenden (Abs. 4); er ist zur Verschwiegenheit verpflichtet (Abs. 5, § 6 Abs. 5 Satz 2 BDSG).
• Andere Aufgaben sind zulässig, dürfen aber nicht zu einem Interessenkonflikt führen (Abs. 6).

Ergänzend gilt für einen intern beschäftigten Datenschutzbeauftragten, dessen Benennung verpflichtend ist, ein besonderer Schutz nach § 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG: Die Abberufung ist nur aus wichtigem Grund entsprechend § 626 BGB zulässig; eine ordentliche Kündigung des Arbeitsverhältnisses ist während der Tätigkeit und ein Jahr danach ausgeschlossen. Der EuGH hat 2022 (C-534/20) bestätigt, dass dieser weitergehende nationale Schutz mit der DSGVO vereinbar ist.

Welche Personen wegen eines Interessenkonflikts nicht geeignet sind, erläutert der Eintrag zum Interessenkonflikt.

Hinweis: Die Bundesregierung hat angekündigt, § 38 Abs. 1 BDSG aufzuheben. Stand Oktober 2026 ist das nicht beschlossen; die Schwelle von 20 Personen gilt weiter.

Die Mindestaufgaben des Datenschutzbeauftragten legt Art. 39 Abs. 1 DSGVO fest:

• Unterrichtung und Beratung des Verantwortlichen bzw. Auftragsverarbeiters und der Beschäftigten über ihre Datenschutzpflichten
• Überwachung der Einhaltung der DSGVO, anderer Datenschutzvorschriften und der internen Strategien, einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der Beschäftigten und entsprechender Überprüfungen
• Beratung im Zusammenhang mit der Datenschutz-Folgenabschätzung und Überwachung ihrer Durchführung (Art. 35 DSGVO)
• Zusammenarbeit mit der Aufsichtsbehörde und Tätigkeit als deren Anlaufstelle

Außerdem ist er Ansprechpartner für betroffene Personen, also z. B. Kunden, Beschäftigte oder Bewerber (Art. 38 Abs. 4 DSGVO). Bei seiner Tätigkeit trägt er dem mit den Verarbeitungen verbundenen Risiko gebührend Rechnung (Art. 39 Abs. 2 DSGVO).

Wichtig: Die Verantwortung für die Einhaltung des Datenschutzes bleibt beim Verantwortlichen, also bei der Unternehmensleitung (Art. 5 Abs. 2, Art. 24 DSGVO). Der Datenschutzbeauftragte berät und kontrolliert, entscheidet aber nicht über die Verarbeitung. Er kann intern beschäftigt oder auf Grundlage eines Dienstleistungsvertrags extern tätig sein (Art. 37 Abs. 6 DSGVO).

Die Folgen sind rechtlicher und wirtschaftlicher Art:

• Aufsichtsmaßnahmen: Die Datenschutzaufsichtsbehörde kann Verarbeitungen beschränken oder untersagen, Anordnungen treffen und Geldbußen verhängen (Art. 58 Abs. 2, Art. 83 DSGVO; Höchstrahmen 10 Mio. Euro bzw. 2 % oder 20 Mio. Euro bzw. 4 % des weltweiten Jahresumsatzes).
• Schadenersatz: Betroffene können materiellen und immateriellen Schaden ersetzt verlangen (Art. 82 DSGVO). Der EuGH hat entschieden, dass dafür keine Erheblichkeitsschwelle gilt, ein Schaden aber nachgewiesen werden muss (Urteil vom 04.05.2023, C-300/21).
• Abmahnungen und Unterlassungsklagen, etwa durch Wettbewerber oder Verbraucherverbände, sind nach deutscher Rechtsprechung in bestimmten Fällen möglich.
• Betriebliche Schäden: Fehlende Datensicherheit (Art. 32 DSGVO) begünstigt Schadsoftware- und Ransomware-Angriffe mit Betriebsstillstand, Wiederherstellungskosten und Vertrauensverlust bei Kunden und Partnern.
• Meldepflichten: Eine Datenschutzverletzung muss in der Regel binnen 72 Stunden gemeldet (Art. 33 DSGVO) und bei hohem Risiko den Betroffenen mitgeteilt werden (Art. 34 DSGVO).

Datenschutz und Informationssicherheit sollten daher als fortlaufende Managementaufgabe organisiert werden.

Informationssicherheit schützt Informationen aller Art, also z. B. auch Konstruktionspläne, Finanzdaten oder Geschäftsgeheimnisse. Ziel ist es, Vertraulichkeit, Integrität und Verfügbarkeit zu sichern und damit die Organisation vor Schäden zu bewahren. Bekannte Rahmenwerke sind ISO/IEC 27001 und der IT-Grundschutz des BSI.

Datenschutz schützt dagegen die Menschen, deren Daten verarbeitet werden, in ihren Rechten und Freiheiten. Er betrifft nur personenbezogene Daten, geht dort aber über die Sicherheit hinaus: Auch eine technisch einwandfrei gesicherte Verarbeitung ist unzulässig, wenn ihr eine Rechtsgrundlage fehlt (Art. 6 DSGVO), der Zweck überschritten wird oder Betroffenenrechte missachtet werden.

Beide Bereiche überschneiden sich bei der Sicherheit der Verarbeitung: Art. 32 DSGVO verlangt angemessene technische und organisatorische Maßnahmen, die sich am Risiko für die Betroffenen orientieren. Ein funktionierendes Informationssicherheitsmanagement unterstützt daher den Datenschutz, ersetzt ihn aber nicht. Den Begriff „Datensicherheit“ verwendet man üblicherweise für die technischen Schutzmaßnahmen.

Die DSGVO gilt für Verantwortliche und Auftragsverarbeiter, die personenbezogene Daten ganz oder teilweise automatisiert oder in Dateisystemen verarbeiten (Art. 2, 3 DSGVO). Ausgenommen sind ausschließlich persönliche oder familiäre Tätigkeiten.

Das BDSG unterscheidet in § 2:

• Öffentliche Stellen des Bundes und der Länder (Behörden, Organe der Rechtspflege und andere öffentlich-rechtliche Einrichtungen). Für öffentliche Stellen der Länder gelten in erster Linie die Landesdatenschutzgesetze.
• Nichtöffentliche Stellen: natürliche und juristische Personen, Gesellschaften und andere Personenvereinigungen des privaten Rechts, also z. B. Unternehmen, Vereine, Selbstständige.
• Öffentliche Stellen, die als öffentlich-rechtliche Unternehmen am Wettbewerb teilnehmen, werden insoweit wie nichtöffentliche Stellen behandelt (§ 2 Abs. 5 BDSG).

Die Rechtsgrundlagen für die Verarbeitung ergeben sich heute vor allem aus Art. 6 und Art. 9 DSGVO, ergänzt durch das BDSG (z. B. § 22 besondere Kategorien, § 26 Beschäftigtendaten, § 27 Forschung) und Fachgesetze. Zu § 26 BDSG ist zu beachten, dass der EuGH 2023 (C-34/21) entschieden hat, dass nationale Regelungen zum Beschäftigtendatenschutz nur unter engen Voraussetzungen eigenständige Rechtsgrundlagen sein können; in der Praxis wird daher meist zusätzlich auf Art. 6 DSGVO abgestellt. Für Presse und Rundfunk gelten besondere Regelungen nach Landesrecht (Art. 85 DSGVO).

Scoring ist die Berechnung eines Wahrscheinlichkeitswerts über ein bestimmtes künftiges Verhalten einer Person mit mathematisch-statistischen Verfahren, z. B. ob sie einen Kredit zurückzahlen wird (Bonitätsscore von Auskunfteien). Es ist eine Form des Profilings (Art. 4 Nr. 4 DSGVO).

Art. 22 DSGVO: Niemand muss eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung hinnehmen, außer in den dort genannten Ausnahmen. Der EuGH hat am 07.12.2023 (C-634/21, SCHUFA) entschieden, dass bereits die Erstellung des Scores eine solche Entscheidung sein kann, wenn ein Dritter, etwa eine Bank, maßgeblich darauf abstellt.

Deutsches Recht: Bis 19.11.2026 regelt § 31 BDSG die Verwendung von Scorewerten; seine Vereinbarkeit mit der DSGVO ist nach dem EuGH-Urteil umstritten. Ab 20.11.2026 wird § 31 BDSG durch den neuen § 37a BDSG ersetzt (Gesetz vom 12.05.2026, BGBl. 2026 I Nr. 139). Die Neuregelung enthält u. a. Vorgaben dazu, welche Daten für Scorewerte verwendet werden dürfen, und stärkt die Rechte der Betroffenen.

Unabhängig davon besteht das Auskunftsrecht über die involvierte Logik (Art. 15 Abs. 1 lit. h DSGVO).

Für Drohnen gilt seit dem 31.12.2020 EU-weit die Durchführungsverordnung (EU) 2019/947 (zusammen mit der Delegierten Verordnung (EU) 2019/945), ergänzt in Deutschland durch die Luftverkehrs-Ordnung (LuftVO) und das Luftverkehrsgesetz. Die alten Regeln mit „Kenntnisnachweis“ und 5-kg-Grenze sind überholt.

• Registrierung: Wer eine Drohne ab 250 g oder mit Kamera bzw. Sensor zur Erfassung personenbezogener Daten betreibt (Ausnahme: Spielzeug), muss sich beim Luftfahrt-Bundesamt registrieren und die eID sichtbar an der Drohne anbringen.
• Kompetenznachweis: In der Kategorie „offen“ ist je nach Unterklasse ein EU-Kompetenznachweis bzw. EU-Fernpilotenzeugnis erforderlich; ein Mindestalter von 16 Jahren gilt grundsätzlich.
• Geografische Gebiete (§ 21h LuftVO): Über Wohngrundstücken ist der Betrieb von Drohnen über 250 g oder mit Kamera, Mikrofon oder Funkempfänger nur mit ausdrücklicher Zustimmung der Eigentümer bzw. Nutzungsberechtigten zulässig. Weitere Verbote betreffen u. a. Menschenansammlungen, Einsatzorte, Industrieanlagen und Naturschutzgebiete.
• Versicherung: Eine Halterhaftpflichtversicherung ist Pflicht (§ 43 LuftVG).

Datenschutz: Rein private Aufnahmen fallen unter die Haushaltsausnahme (Art. 2 Abs. 2 lit. c DSGVO) – aber nur, solange keine Dritten gezielt erfasst oder Aufnahmen veröffentlicht werden. Das Persönlichkeitsrecht der Gefilmten bleibt geschützt; Aufnahmen des höchstpersönlichen Lebensbereichs können nach § 201a StGB strafbar sein, die Veröffentlichung von Bildnissen richtet sich nach §§ 22, 23 KUG bzw. der DSGVO. Bei gewerblichen Einsätzen (z. B. Dach- oder Bauinspektion) braucht es eine Rechtsgrundlage nach Art. 6 DSGVO, meist berechtigte Interessen, sowie Information der Betroffenen (Art. 13 DSGVO).

Dashcams filmen den öffentlichen Straßenraum und damit andere Verkehrsteilnehmer, Kennzeichen und Passanten. Die Haushaltsausnahme der DSGVO greift dabei nicht, weil die Aufnahmen über den privaten Bereich hinausreichen (vgl. EuGH, Urteil vom 11.12.2014, C-212/13 – Ryneš, zur Videoüberwachung des öffentlichen Raums). Maßstab ist daher Art. 6 Abs. 1 lit. f DSGVO: Das Interesse an Beweissicherung muss die Interessen der Gefilmten überwiegen.

• Unzulässig ist nach Auffassung der Aufsichtsbehörden die permanente, anlasslose Aufzeichnung über längere Zeit sowie der dauerhafte Betrieb im geparkten Fahrzeug („Parkwächter-Modus“).
• Eher vertretbar ist eine kurze Ringspeicherung, die laufend überschrieben wird und nur bei einem Ereignis (z. B. Aufprallsensor) einen kurzen Ausschnitt dauerhaft sichert.
• Veröffentlichung von Aufnahmen im Internet ist ohne Unkenntlichmachung von Personen und Kennzeichen regelmäßig unzulässig.

Beweisverwertung: Der Bundesgerichtshof hat entschieden, dass eine permanente Dashcam-Aufzeichnung zwar datenschutzrechtlich unzulässig ist, im Unfallhaftpflichtprozess aber nach Interessenabwägung dennoch als Beweismittel verwertet werden kann (BGH, Urteil vom 15.05.2018, VI ZR 233/17). Ein Freibrief für Dashcams ist das nicht: Datenschutzwidrige Aufzeichnungen können mit einem Bußgeld geahndet werden (Art. 83 DSGVO).

Für betrieblich eingesetzte Dashcams (Fuhrpark) gelten zusätzlich die Regeln zum Beschäftigtendatenschutz und ggf. die Mitbestimmung des Betriebsrats (§ 87 Abs. 1 Nr. 6 BetrVG).

Die KI-Verordnung (EU) 2024/1689 („AI Act“) ist seit 01.08.2024 in Kraft und gilt gestaffelt. Sie regelt KI-Systeme risikobasiert als Produktsicherheitsrecht; die DSGVO bleibt daneben uneingeschränkt anwendbar (Art. 2 Abs. 7 KI-VO).

• Verbotene Praktiken (Art. 5), z. B. Social Scoring oder Emotionserkennung am Arbeitsplatz, gelten seit 02.02.2025.
• KI-Kompetenz (Art. 4): Anbieter und Betreiber müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu fördern (seit 02.02.2025; durch den „Digital Omnibus“ zur KI im Juli 2026 abgeschwächt formuliert).
• Modelle mit allgemeinem Verwendungszweck (z. B. große Sprachmodelle): Pflichten seit 02.08.2025.
• Transparenzpflichten (Art. 50), etwa Hinweis bei Chatbots und Kennzeichnung von Deepfakes: seit 02.08.2026.
• Hochrisiko-KI (z. B. Personalauswahl, Kreditwürdigkeit): nach dem Digital Omnibus erst ab 02.12.2027 (Anhang III) bzw. 02.08.2028 (Produkte nach Anhang I).

Verhältnis zur DSGVO: Werden mit KI personenbezogene Daten verarbeitet – beim Training wie beim Einsatz –, braucht jede Verarbeitung eine Rechtsgrundlage (Art. 6 DSGVO), es gelten Transparenz- und Betroffenenrechte, bei hohem Risiko eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und bei automatisierten Einzelentscheidungen Art. 22 DSGVO. Die KI-VO ergänzt dies um technische Anforderungen, Dokumentation und menschliche Aufsicht. In Deutschland ist die Bundesnetzagentur als zentrale Marktüberwachungsbehörde vorgesehen; für den Datenschutz bleiben die Datenschutzaufsichtsbehörden zuständig.

Hinweis: Weitere geplante Änderungen an der DSGVO (Teil „Daten“ des Digital Omnibus) sind Stand Oktober 2026 noch ein Gesetzentwurf und kein geltendes Recht.

Die USA sind ein Drittland. Übermittlungen sind nur zulässig, wenn die Voraussetzungen von Kapitel V DSGVO (Art. 44 ff.) erfüllt sind – zusätzlich zu einer Rechtsgrundlage nach Art. 6 DSGVO und ggf. einem Auftragsverarbeitungsvertrag (Art. 28 DSGVO).

• Privacy Shield ist seit dem EuGH-Urteil vom 16.07.2020 (C-311/18, „Schrems II“) ungültig.
• EU-US Data Privacy Framework (DPF): Seit dem Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023 (Art. 45 DSGVO) dürfen Daten ohne weitere Garantien an US-Unternehmen übermittelt werden, die nach dem DPF zertifiziert sind. Ob das zutrifft, lässt sich in der offiziellen DPF-Liste (dataprivacyframework.gov) prüfen.
• Nicht zertifizierte Empfänger: Hier sind geeignete Garantien nötig, in der Praxis meist die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, Art. 46 DSGVO) samt Bewertung der Rechtslage im Empfängerland (Transfer Impact Assessment).
• Ausnahmen nach Art. 49 DSGVO (z. B. ausdrückliche Einwilligung) eignen sich nur für Einzelfälle, nicht für regelmäßige Übermittlungen.

Rechtsstand: Das Gericht der EU hat eine Klage gegen das DPF am 03.09.2025 abgewiesen (T-553/23, Latombe). Dagegen ist ein Rechtsmittel beim EuGH anhängig (C-703/25 P); der Angemessenheitsbeschluss gilt bis zu einer anderslautenden Entscheidung fort. Es empfiehlt sich, US-Dienstleister vertraglich so aufzustellen, dass bei einem Wegfall des DPF auf Standardvertragsklauseln zurückgegriffen werden kann.

Übermittlungen in Drittländer gehören in das Verarbeitungsverzeichnis (Art. 30 DSGVO) und in die Datenschutzhinweise (Art. 13 Abs. 1 lit. f DSGVO).

Wer personenbezogene Daten verarbeitet, muss vor allem folgende Pflichten erfüllen:

• Rechtmäßigkeit: jede Verarbeitung braucht eine Rechtsgrundlage (Art. 6, bei besonderen Daten Art. 9 DSGVO).
• Grundsätze und Nachweis: Zweckbindung, Datenminimierung, Speicherbegrenzung usw. einhalten und belegen können (Art. 5 DSGVO).
• Information der Betroffenen (Art. 13, 14 DSGVO) und Erfüllung der Betroffenenrechte (Art. 15–22 DSGVO).
• Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO).
• Technische und organisatorische Maßnahmen zur Datensicherheit (Art. 24, 25, 32 DSGVO).
• Auftragsverarbeitungsverträge mit Dienstleistern (Art. 28 DSGVO).
• Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko (Art. 35 DSGVO).
• Meldung von Datenschutzverletzungen an die Aufsichtsbehörde binnen 72 Stunden und ggf. Benachrichtigung der Betroffenen (Art. 33, 34 DSGVO).
• ggf. Benennung eines Datenschutzbeauftragten (Art. 37 DSGVO, § 38 BDSG).
• Rechtmäßige Drittlandübermittlungen (Art. 44 ff. DSGVO).

Verstöße können zu Anordnungen, Geldbußen (Art. 58, 83 DSGVO) und Schadenersatzansprüchen (Art. 82 DSGVO) führen.

Hinweis: Die Bundesregierung hat angekündigt, § 38 Abs. 1 BDSG aufzuheben. Stand Oktober 2026 ist das nicht beschlossen; die Schwelle von 20 Personen gilt weiter.

Nach dem Verbotsprinzip mit Erlaubnisvorbehalt ist eine Verarbeitung nur zulässig, wenn mindestens eine Rechtsgrundlage aus Art. 6 Abs. 1 DSGVO vorliegt:

• a) Einwilligung der betroffenen Person (Anforderungen in Art. 7 DSGVO),
• b) Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen auf Anfrage der Person,
• c) Erfüllung einer rechtlichen Verpflichtung (z. B. steuerliche Aufbewahrung),
• d) Schutz lebenswichtiger Interessen,
• e) Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt,
• f) berechtigte Interessen des Verantwortlichen oder eines Dritten, sofern die Interessen der betroffenen Person nicht überwiegen (gilt nicht für Behörden in Erfüllung ihrer Aufgaben).

Für besondere Kategorien wie Gesundheitsdaten gelten zusätzlich die engeren Voraussetzungen des Art. 9 DSGVO, im Beschäftigungsverhältnis ergänzend § 26 BDSG. Rechtmäßigkeit allein reicht nicht: Auch die Grundsätze des Art. 5 DSGVO (z. B. Zweckbindung, Datenminimierung) müssen eingehalten werden.

Werden Daten bei der Person selbst erhoben (Art. 13 DSGVO), muss zum Zeitpunkt der Erhebung informiert werden über:

• Name und Kontaktdaten des Verantwortlichen und ggf. des Datenschutzbeauftragten,
• Zwecke und Rechtsgrundlage der Verarbeitung, bei Art. 6 Abs. 1 lit. f DSGVO auch das berechtigte Interesse,
• Empfänger oder Kategorien von Empfängern,
• eine geplante Übermittlung in ein Drittland und die Garantien (z. B. Angemessenheitsbeschluss, Standardvertragsklauseln),
• Speicherdauer oder die Kriterien dafür,
• die Betroffenenrechte, das Recht auf Widerruf einer Einwilligung und das Beschwerderecht bei einer Aufsichtsbehörde,
• ob die Bereitstellung gesetzlich oder vertraglich vorgeschrieben ist,
• eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO).

Werden Daten bei Dritten erhoben (Art. 14 DSGVO), sind zusätzlich die Datenkategorien und die Quelle zu nennen; die Information muss in der Regel innerhalb eines Monats erfolgen. Die Informationen müssen präzise, verständlich und leicht zugänglich sein (Art. 12 DSGVO). Ausnahmen regeln Art. 13 Abs. 4, Art. 14 Abs. 5 DSGVO sowie §§ 32, 33 BDSG.

Art. 5 Abs. 1 DSGVO legt die Grundsätze jeder Verarbeitung fest:

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz,
• Zweckbindung,
• Datenminimierung,
• Richtigkeit,
• Speicherbegrenzung,
• Integrität und Vertraulichkeit (angemessene Sicherheit).

Nach Art. 5 Abs. 2 DSGVO ist der Verantwortliche nicht nur für die Einhaltung dieser Grundsätze verantwortlich, sondern muss sie auch nachweisen können („Rechenschaftspflicht“). Gegenüber der Aufsichtsbehörde muss er also belegen, dass er datenschutzkonform arbeitet. Art. 24 DSGVO konkretisiert dies: Es sind geeignete technische und organisatorische Maßnahmen umzusetzen, die regelmäßig überprüft werden.

Typische Nachweise sind das Verzeichnis von Verarbeitungstätigkeiten, dokumentierte Einwilligungen, Auftragsverarbeitungsverträge, das TOM-Konzept, Löschkonzepte, Datenschutz-Folgenabschätzungen, Schulungsnachweise und die Dokumentation von Datenschutzverletzungen (Art. 33 Abs. 5 DSGVO).

Die DSGVO gewährt betroffenen Personen insbesondere folgende Rechte:

• Auskunft über die verarbeiteten Daten und eine Kopie (Art. 15),
• Berichtigung unrichtiger Daten (Art. 16),
• Löschung („Recht auf Vergessenwerden“, Art. 17),
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerspruch, bei Direktwerbung jederzeit und ohne Begründung (Art. 21),
• keiner ausschließlich automatisierten Entscheidung unterworfen zu werden (Art. 22),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3),
• Beschwerde bei einer Aufsichtsbehörde (Art. 77).

Der Verantwortliche muss Anträge unverzüglich, spätestens innerhalb eines Monats beantworten; eine Verlängerung um zwei Monate ist in begründeten Fällen möglich (Art. 12 Abs. 3 DSGVO). Die Bearbeitung ist grundsätzlich kostenlos. Einschränkungen sieht das BDSG in §§ 32–37 vor.

Weil Anfragen fristgebunden sind (in der Regel ein Monat, Art. 12 Abs. 3 DSGVO), sollte ein fester Prozess bestehen. Der aus dem Qualitätsmanagement bekannte PDCA-Zyklus (Plan – Do – Check – Act) eignet sich dafür:

• Plan: Zuständigkeiten, Eingangskanäle, Identitätsprüfung, Fristen und Vorlagen für Auskunft, Löschung, Widerspruch usw. festlegen; Datenquellen über das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) ermitteln.
• Do: Prozess einführen, Beschäftigte schulen, Anfragen einschließlich Fristen dokumentieren.
• Check: Prozess mit Testanfragen („Probealarm“) und Auswertungen prüfen: Wurden Fristen eingehalten, waren die Auskünfte vollständig?
• Act: Schwachstellen beheben und den Prozess fortlaufend verbessern.

Der dokumentierte Ablauf dient zugleich als Nachweis im Sinne der Rechenschaftspflicht (Art. 5 Abs. 2, Art. 24 Abs. 1 DSGVO), die eine regelmäßige Überprüfung der Maßnahmen ausdrücklich verlangt.

Ja. Die DSGVO regelt es als Recht auf Löschung („Recht auf Vergessenwerden“) in Art. 17. Betroffene können die Löschung ihrer Daten verlangen, etwa wenn die Daten für den Zweck nicht mehr nötig sind, eine Einwilligung widerrufen wurde, ein Widerspruch nach Art. 21 DSGVO greift oder die Verarbeitung unrechtmäßig war.

• Veröffentlichte Daten: Hat der Verantwortliche Daten öffentlich gemacht, muss er nach Art. 17 Abs. 2 DSGVO angemessene Maßnahmen treffen, um andere Verantwortliche, die die Daten verarbeiten, über das Löschverlangen zu informieren.
• Suchmaschinen: Betroffene können von Suchmaschinenbetreibern die Entfernung von Ergebnissen zu ihrem Namen verlangen (Auslistung). Grundlegend war EuGH, Urteil vom 13.05.2014, C-131/12 (Google Spain). Bei offensichtlich unrichtigen Informationen genügt es, die Unrichtigkeit hinreichend nachzuweisen (EuGH, Urteil vom 08.12.2022, C-460/20).
• Grenzen: Das Recht gilt nicht unbegrenzt. Art. 17 Abs. 3 DSGVO nimmt u. a. die Meinungs- und Informationsfreiheit, gesetzliche Aufbewahrungspflichten und die Rechtsverfolgung aus. Es ist stets abzuwägen; das Bundesverfassungsgericht hat in seinen Beschlüssen „Recht auf Vergessen I und II“ (06.11.2019) betont, dass auch der zeitliche Abstand zu einem Geschehen eine Rolle spielt.

Praxis: Der Verantwortliche muss unverzüglich, spätestens innerhalb eines Monats reagieren (Art. 12 Abs. 3 DSGVO). Bei Ablehnung ist eine Beschwerde bei der Datenschutzaufsichtsbehörde möglich (Art. 77 DSGVO). Bereits verbreitete Kopien, z. B. in sozialen Netzwerken, lassen sich allerdings faktisch oft nicht vollständig zurückholen – Zurückhaltung beim Veröffentlichen bleibt der beste Schutz.

Sprachassistenten (z. B. Alexa, Google Assistant, Siri) und vernetzte Geräte lauschen auf ein Aktivierungswort und übertragen Sprachaufnahmen meist zur Auswertung an Server des Anbieters. Daraus können sich Rückschlüsse auf Gewohnheiten, Gesundheit oder Anwesenheit ergeben.

• Private Nutzung: Wer ein Gerät nur im eigenen Haushalt nutzt, ist durch die Haushaltsausnahme (Art. 2 Abs. 2 lit. c DSGVO) privilegiert. Gäste sollten dennoch auf das aktive Gerät hingewiesen werden.
• Anbieter sind für die Verarbeitung verantwortlich: Sie brauchen eine Rechtsgrundlage (Art. 6 DSGVO), müssen informieren (Art. 13 DSGVO) und datenschutzfreundliche Voreinstellungen vorsehen (Art. 25 DSGVO). Für den Zugriff auf Informationen im Endgerät gilt zudem § 25 TDDDG.
• Einsatz im Unternehmen: In Büros, Besprechungsräumen oder im Homeoffice mit vertraulichen Daten sind Sprachassistenten kritisch. Erforderlich sind eine Rechtsgrundlage, Information der Beschäftigten, ggf. eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und die Prüfung von Drittlandübermittlungen; bei Berufsgeheimnisträgern ist zusätzlich § 203 StGB zu beachten.

Neue Regeln für vernetzte Produkte: Der Data Act (Verordnung (EU) 2023/2854) gilt seit 12.09.2025 und gibt Nutzern Zugangsrechte zu den Daten ihrer vernetzten Geräte. Der Cyber Resilience Act (Verordnung (EU) 2024/2847) verpflichtet Hersteller zu Cybersicherheit über den Lebenszyklus; Meldepflichten gelten seit 11.09.2026, die übrigen Anforderungen ab 11.12.2027.

Tipps: Sprachaufnahmen in der App regelmäßig löschen, automatische Speicherung und Auswertung durch Menschen abschalten, Mikrofon bei Bedarf stumm schalten und Drittanbieter-Funktionen („Skills“) sparsam nutzen.

Die Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25.05.2018 unmittelbar in allen EU-Staaten; in Deutschland ergänzt durch das Bundesdatenschutzgesetz (BDSG) und für Online-Dienste das TDDDG. Sie betrifft jedes Unternehmen, jeden Verein und jede Behörde, die personenbezogene Daten verarbeiten – unabhängig von der Größe.

Grundsätze (Art. 5 DSGVO):

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
• Zweckbindung und Datenminimierung
• Richtigkeit – unrichtige Daten sind zu berichtigen oder zu löschen
• Speicherbegrenzung – Löschfristen festlegen, Aufbewahrungspflichten (z. B. HGB, AO) beachten
• Integrität und Vertraulichkeit durch angemessene technische und organisatorische Maßnahmen (Art. 32 DSGVO)
• Rechenschaftspflicht – die Einhaltung muss nachgewiesen werden können

Rechtsgrundlage: Jede Verarbeitung braucht eine Grundlage nach Art. 6 DSGVO, z. B. Vertrag, rechtliche Pflicht, berechtigtes Interesse oder Einwilligung. Besondere Kategorien wie Gesundheitsdaten sind nur unter den Voraussetzungen des Art. 9 DSGVO zulässig.

Zentrale Pflichten:

• Informationspflichten (Art. 13, 14), z. B. Datenschutzhinweise auf der Website
• Verzeichnis von Verarbeitungstätigkeiten (Art. 30)
• Verträge zur Auftragsverarbeitung mit Dienstleistern (Art. 28)
• Meldung von Datenschutzverletzungen an die Aufsichtsbehörde binnen 72 Stunden (Art. 33), ggf. Benachrichtigung der Betroffenen (Art. 34)
• Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko (Art. 35)
• Benennung einer oder eines Datenschutzbeauftragten (Art. 37 DSGVO, § 38 BDSG – u. a. wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung beschäftigt sind)

Sanktionen: Bußgelder bis 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83), außerdem Schadensersatz für materielle und immaterielle Schäden (Art. 82).

Hinweis: Die Bundesregierung hat angekündigt, § 38 Abs. 1 BDSG aufzuheben. Stand Oktober 2026 ist das nicht beschlossen; die Schwelle von 20 Personen gilt weiter.

Die DSGVO gibt jeder Person, deren Daten verarbeitet werden, durchsetzbare Rechte (Art. 12–22 DSGVO). Der Verantwortliche muss Anträge unverzüglich, spätestens innerhalb eines Monats beantworten; bei komplexen Anträgen ist eine Verlängerung um zwei Monate mit Begründung möglich (Art. 12 Abs. 3). Die Bearbeitung ist grundsätzlich kostenfrei.

• Auskunft (Art. 15): ob und welche Daten verarbeitet werden, zu welchen Zwecken, an wen sie gehen und wie lange sie gespeichert werden, sowie eine Kopie der Daten. Die erste Kopie ist unentgeltlich (EuGH, Urteil vom 26.10.2023, C-307/22).
• Berichtigung (Art. 16) unrichtiger und Vervollständigung unvollständiger Daten.
• Löschung (Art. 17), etwa wenn der Zweck entfallen ist oder eine Einwilligung widerrufen wurde – mit Ausnahmen, z. B. bei gesetzlichen Aufbewahrungspflichten.
• Einschränkung der Verarbeitung (Art. 18), etwa solange die Richtigkeit bestritten ist.
• Datenübertragbarkeit (Art. 20): Herausgabe bereitgestellter Daten in einem gängigen, maschinenlesbaren Format.
• Widerspruch (Art. 21) gegen Verarbeitungen auf Grundlage berechtigter Interessen; gegen Direktwerbung jederzeit und ohne Begründung.
• Keine ausschließlich automatisierte Entscheidung (Art. 22) mit rechtlicher oder ähnlich erheblicher Wirkung, außer in gesetzlich zugelassenen Fällen.
• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Wer seine Rechte verletzt sieht, kann sich bei einer Datenschutzaufsichtsbehörde beschweren (Art. 77) und Schadensersatz verlangen (Art. 82). Unternehmen sollten einen festen Ablauf für Betroffenenanfragen haben, einschließlich Identitätsprüfung und Dokumentation.

Viele Onlinehändler prüfen vor dem Angebot von Rechnungs- oder Ratenkauf die Zahlungsfähigkeit der Kunden über Auskunfteien. Das ist zulässig, aber an Voraussetzungen gebunden.

• Rechtsgrundlage: Eine Bonitätsabfrage stützt sich in der Regel auf berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO), weil der Händler in Vorleistung geht. Bei Vorkasse oder sofortiger Zahlung fehlt dieses Interesse meist – eine Abfrage „auf Vorrat“ ist unzulässig.
• Transparenz: Kunden müssen vorab über die Bonitätsprüfung, die Auskunftei und die Folgen informiert werden (Art. 13 DSGVO), etwa im Bestellprozess und in den Datenschutzhinweisen.
• Automatisierte Entscheidung: Der EuGH hat entschieden, dass bereits die Ermittlung eines Score-Werts durch eine Auskunftei eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO sein kann, wenn der Vertragspartner sich maßgeblich danach richtet (Urteil vom 07.12.2023, C-634/21 – SCHUFA). Solche Entscheidungen sind nur zulässig, wenn sie für den Vertrag erforderlich sind, gesetzlich erlaubt sind oder eine ausdrückliche Einwilligung vorliegt; zudem besteht ein Anspruch auf Eingreifen einer Person, Darlegung des eigenen Standpunkts und Anfechtung.
• Auskunft: Betroffene können verlangen, die Logik der Entscheidung in verständlicher Form erläutert zu bekommen (Art. 15 Abs. 1 lit. h DSGVO; EuGH, Urteil vom 27.02.2025, C-203/22).

Praxis: Händler sollten sachgerechte Alternativen (z. B. andere Zahlarten) anbieten, eine manuelle Überprüfung auf Anfrage ermöglichen und die Abfrage im Verzeichnis der Verarbeitungstätigkeiten dokumentieren. Die Vereinbarkeit des § 31 BDSG (Scoring) mit der DSGVO ist seit der SCHUFA-Entscheidung zweifelhaft; maßgeblich sind daher vorrangig die Vorgaben der DSGVO.

Ein Hinweis in der Datenschutzerklärung reicht für einwilligungsbedürftige Cookies nicht aus. Nach § 25 Abs. 1 TDDDG ist das Speichern von Informationen auf dem Endgerät und der Zugriff darauf (z. B. Cookies, Local Storage, Fingerprinting) nur mit Einwilligung zulässig. Die Einwilligung muss den Anforderungen der DSGVO entsprechen: freiwillig, informiert, für bestimmte Zwecke und durch eine eindeutige aktive Handlung (Art. 4 Nr. 11, Art. 7 DSGVO). Vorangekreuzte Kästchen oder bloßes Weitersurfen genügen nicht (EuGH, Urteil vom 01.10.2019, C-673/17, Planet49).

Ausnahme: Keine Einwilligung ist nötig, wenn ein Cookie unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst bereitgestellt werden kann (§ 25 Abs. 2 Nr. 2 TDDDG), etwa für Warenkorb, Login oder die Speicherung der Cookie-Entscheidung. Analyse-, Marketing- und Tracking-Cookies fallen in der Regel nicht darunter.

Die Aufsichtsbehörden erwarten, dass das Ablehnen ebenso einfach ist wie das Zustimmen und dass die Einwilligung jederzeit widerrufen werden kann (Art. 7 Abs. 3 DSGVO). Unabhängig davon ist über alle Cookies in der Datenschutzerklärung zu informieren (Art. 13 DSGVO). Die Datenschutzerklärung ist vom Impressum (§ 5 DDG) zu trennen.

Das bis Mai 2018 geltende BDSG sprach vom Sperren von Daten. Die DSGVO verwendet stattdessen den Begriff Einschränkung der Verarbeitung: die Markierung gespeicherter Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken (Art. 4 Nr. 3 DSGVO).

Betroffene können die Einschränkung nach Art. 18 DSGVO verlangen, insbesondere wenn

• sie die Richtigkeit der Daten bestreiten (für die Dauer der Prüfung),
• die Verarbeitung unrechtmäßig ist, sie aber statt der Löschung die Einschränkung wünschen,
• der Verantwortliche die Daten nicht mehr braucht, sie sie aber zur Geltendmachung von Rechtsansprüchen benötigen,
• sie Widerspruch nach Art. 21 DSGVO eingelegt haben und die Abwägung noch offen ist.

Eingeschränkte Daten dürfen, abgesehen von der Speicherung, nur noch mit Einwilligung oder aus den in Art. 18 Abs. 2 DSGVO genannten Gründen verarbeitet werden. Stehen einer Löschung gesetzliche Aufbewahrungspflichten entgegen (z. B. § 147 AO, § 257 HGB), entfällt die Löschpflicht insoweit (Art. 17 Abs. 3 lit. b DSGVO); die Daten sind dann für andere Zwecke zu sperren. Bei nicht automatisierter Verarbeitung tritt nach § 35 Abs. 1 BDSG die Einschränkung an die Stelle der Löschung, wenn diese nur mit unverhältnismäßigem Aufwand möglich wäre.

Die DSGVO sieht zwei Bußgeldstufen vor (Art. 83 DSGVO):

• bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, z. B. bei Verstößen gegen Pflichten aus Art. 25–39 DSGVO (Abs. 4),
• bis zu 20 Mio. Euro oder 4 %, z. B. bei Verstößen gegen die Grundsätze, Rechtsgrundlagen, Betroffenenrechte oder Drittlandregeln (Abs. 5, 6).

Maßgeblich ist jeweils der höhere Betrag. Bußgelder müssen wirksam, verhältnismäßig und abschreckend sein (Art. 83 Abs. 1 DSGVO).

Behörden: Art. 83 Abs. 7 DSGVO überlässt es den Mitgliedstaaten, ob gegen öffentliche Stellen Geldbußen verhängt werden. Deutschland hat dies für öffentliche Stellen des Bundes ausgeschlossen (§ 43 Abs. 3 BDSG); die Landesdatenschutzgesetze enthalten für Landes- und Kommunalbehörden überwiegend entsprechende Regelungen. Öffentliche Stellen, die als Unternehmen am Wettbewerb teilnehmen, gelten insoweit als nicht-öffentliche Stellen (§ 2 Abs. 5 BDSG).

Auch ohne Bußgeld bleiben die Abhilfebefugnisse der Aufsichtsbehörden (Art. 58 Abs. 2 DSGVO) und der Anspruch Betroffener auf Schadenersatz (Art. 82 DSGVO) bestehen.

Der Datenschutzbeauftragte darf neben seiner Funktion andere Aufgaben wahrnehmen, diese dürfen aber nicht zu einem Interessenkonflikt führen (Art. 38 Abs. 6 DSGVO). Er soll unabhängig kontrollieren können und darf sich nicht selbst überwachen.

Nach dem Urteil des EuGH vom 09.02.2023 (C-453/21, X-FAB) liegt ein Interessenkonflikt insbesondere vor, wenn jemand in seiner anderen Funktion über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Ob das so ist, muss im Einzelfall anhand aller Umstände geprüft werden; eine pauschale Liste gibt es nicht.

Nach Auffassung der Aufsichtsbehörden sind in der Regel nicht geeignet:

• Inhaber, Geschäftsführung, Vorstand
• Leitungen von IT, Personal, Marketing oder anderen Bereichen mit wesentlicher Datenverarbeitung
• Personen, die die zu prüfenden Systeme selbst verantworten oder administrieren, z. B. Systemadministratoren

Mitarbeitende ohne Entscheidungsbefugnis über Verarbeitungen können dagegen grundsätzlich benannt werden. Unproblematisch ist auch ein externer Datenschutzbeauftragter, sofern er nicht zugleich Dienstleistungen erbringt, die er selbst prüfen müsste. Ein Interessenkonflikt kann einen wichtigen Grund für eine Abberufung darstellen. Eine Kursteilnahme und das Zertifikat belegen Fachwissen, ersetzen aber nicht die Prüfung, ob im konkreten Unternehmen ein Interessenkonflikt besteht.

Nach Art. 30 Abs. 1 DSGVO führt jeder Verantwortliche ein Verzeichnis seiner Verarbeitungstätigkeiten. Es ist schriftlich oder elektronisch zu führen und der Aufsichtsbehörde auf Anfrage vorzulegen (Art. 30 Abs. 3, 4 DSGVO). Pflichtangaben sind:

• Name und Kontaktdaten des Verantwortlichen, ggf. des gemeinsam Verantwortlichen, des Vertreters und des Datenschutzbeauftragten,
• Zwecke der Verarbeitung,
• Kategorien betroffener Personen und personenbezogener Daten,
• Kategorien von Empfängern, auch in Drittländern,
• ggf. Übermittlungen in Drittländer und die dafür bestehenden Garantien,
• wenn möglich die vorgesehenen Löschfristen,
• wenn möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (Art. 32 Abs. 1 DSGVO).

Auftragsverarbeiter führen ein eigenes, kürzeres Verzeichnis (Art. 30 Abs. 2 DSGVO). Die Ausnahme für Einrichtungen mit weniger als 250 Beschäftigten (Art. 30 Abs. 5 DSGVO) greift nach geltendem Wortlaut nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko birgt oder besondere Datenkategorien betrifft; in der Praxis ist das Verzeichnis daher fast immer zu führen. Eine Gliederung nach Zwecken (z. B. Personalverwaltung, Kundenbetreuung) hat sich bewährt.

Ein CRM (Customer Relationship Management) muss die allgemeinen Vorgaben der DSGVO technisch unterstützen, insbesondere Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO). Wichtige Punkte:

• Herkunft und Rechtsgrundlage je Kontakt dokumentieren, einschließlich Einwilligungen mit Zeitpunkt und Inhalt (Art. 6, 7 Abs. 1 DSGVO).
• Zweckbindung: Daten nach Zwecken trennen; für Auswertungen und Statistiken möglichst anonymisieren oder pseudonymisieren (Art. 5 Abs. 1 lit. b, c DSGVO).
• Rollen- und Berechtigungskonzept, Protokollierung und bei Fernzugriff verschlüsselte Übertragung (Art. 32 DSGVO).
• Werbewidersprüche und Sperrvermerke zuverlässig berücksichtigen (Art. 21 Abs. 2, 3 DSGVO); für E-Mail- und Telefonwerbung gilt zusätzlich § 7 UWG.
• Lösch- und Aufbewahrungskonzept mit automatisierbaren Fristen (Art. 5 Abs. 1 lit. e, Art. 17 DSGVO).
• Betroffenenrechte unterstützen: Export für Auskunft und Datenübertragbarkeit, Berichtigung, Einschränkung (Art. 15–20 DSGVO).
• Beim Cloud-CRM: Auftragsverarbeitungsvertrag (Art. 28 DSGVO) und rechtmäßige Drittlandübermittlung (Art. 44 ff. DSGVO).
• Eintrag im Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO); bei umfangreichem Profiling ggf. Datenschutz-Folgenabschätzung (Art. 35 DSGVO).

In der Regel nein. Nichtöffentliche Stellen müssen nach § 38 Abs. 1 BDSG einen Datenschutzbeauftragten benennen, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Unabhängig von der Personenzahl besteht die Pflicht, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen (Art. 35 DSGVO) oder Daten geschäftsmäßig zur Übermittlung bzw. für Markt- und Meinungsforschung verarbeitet werden, sowie in den Fällen des Art. 37 Abs. 1 lit. b und c DSGVO (umfangreiche Überwachung oder umfangreiche Verarbeitung besonderer Datenkategorien als Kerntätigkeit). Das ist bei einem kleinen Sachverständigenbüro meist nicht der Fall.

Zu beachten: Auch Gutachten über Fahrzeuge enthalten personenbezogene Daten, etwa Name und Anschrift von Haltern und Unfallbeteiligten, Kennzeichen, Fahrzeug-Identifizierungsnummer oder Fotos. Die DSGVO gilt daher in vollem Umfang.

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der Inhaber. Er muss die Pflichten auch ohne Datenschutzbeauftragten erfüllen, z. B. Verzeichnis der Verarbeitungstätigkeiten (Art. 30), Datenschutzhinweise (Art. 13, 14), technische und organisatorische Maßnahmen (Art. 32) und Verträge mit Dienstleistern (Art. 28). Ein Datenschutzbeauftragter kann freiwillig benannt werden.

Hinweis: Die Bundesregierung hat angekündigt, § 38 Abs. 1 BDSG aufzuheben. Stand Oktober 2026 ist das nicht beschlossen; die Schwelle von 20 Personen gilt weiter.

In der Praxis ja. Art. 30 Abs. 5 DSGVO befreit Unternehmen mit weniger als 250 Mitarbeitenden nur dann von der Pflicht zum Verzeichnis, wenn keine der folgenden Voraussetzungen vorliegt:

• Die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen.
• Die Verarbeitung erfolgt nicht nur gelegentlich.
• Es werden besondere Kategorien nach Art. 9 DSGVO (z. B. Gesundheitsdaten) oder Daten über Straftaten nach Art. 10 DSGVO verarbeitet.

Schon eine dieser Bedingungen genügt, um die Ausnahme auszuschließen. Die Lohn- und Gehaltsabrechnung, die Kundenverwaltung oder die Personalakte werden regelmäßig und damit nicht nur gelegentlich verarbeitet; bei Beschäftigten kommen meist Gesundheitsdaten (Krankmeldungen) und das Religionsmerkmal für die Kirchensteuer hinzu. Die Ausnahme greift deshalb kaum. Die Aufsichtsbehörden empfehlen, das Verzeichnis stets zu führen; es ist ohnehin ein zentrales Hilfsmittel, um die Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) zu erfüllen.

Auf EU-Ebene wird über eine Anhebung dieser Schwelle beraten. Bis zu einer verabschiedeten und in Kraft getretenen Änderung gilt Art. 30 Abs. 5 DSGVO in der beschriebenen Fassung.

Zu unterscheiden sind die Abberufung von der Funktion des Datenschutzbeauftragten und die Kündigung des Arbeitsverhältnisses.

• Kündigungsschutz: Ist die Benennung verpflichtend (z. B. nach § 38 Abs. 1 BDSG), ist die Kündigung des Arbeitsverhältnisses während der Tätigkeit und ein Jahr danach nur aus wichtigem Grund zulässig (§ 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG). Das gilt auch, wenn die Funktion nur einen Teil der Arbeitszeit umfasst.
• Abberufung: Die Funktion allein kann durch Abberufung beendet werden. Bei verpflichtender Benennung ist das nur aus wichtigem Grund entsprechend § 626 BGB zulässig. Ein solcher Grund kann z. B. ein nachträglich entstandener Interessenkonflikt sein (Art. 38 Abs. 6 DSGVO). Eine Abberufung wegen der Aufgabenerfüllung ist stets unzulässig (Art. 38 Abs. 3 DSGVO). Ist die Benennung freiwillig, gilt der besondere Schutz nach § 6 Abs. 4 BDSG nicht.

Nach wirksamer Abberufung arbeitet der Beschäftigte wieder in seiner bisherigen Tätigkeit, soweit der Arbeitsvertrag dies vorsieht. Ob dafür arbeitsvertragliche Anpassungen nötig sind, hängt von der Ausgestaltung der Benennung ab. Eine bloße „Teilkündigung“ nur der DSB-Aufgabe ist arbeitsrechtlich in der Regel nicht möglich. Im Einzelfall ist eine arbeitsrechtliche Beratung zu empfehlen.

Hinweis: Die Bundesregierung hat angekündigt, § 38 Abs. 1 BDSG aufzuheben. Stand Oktober 2026 ist das nicht beschlossen; die Schwelle von 20 Personen gilt weiter.

Nach Art. 37 Abs. 7 DSGVO müssen Verantwortliche und Auftragsverarbeiter die Kontaktdaten ihres Datenschutzbeauftragten veröffentlichen (z. B. in den Datenschutzhinweisen auf der Website) und der zuständigen Aufsichtsbehörde mitteilen. Für nichtöffentliche Stellen in Bayern ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) zuständig, für bayerische öffentliche Stellen der Bayerische Landesbeauftragte für den Datenschutz. Die Behörden stellen hierfür eigene Meldeverfahren bereit, häufig ein Online-Formular.

Eine verspätete oder fehlende Mitteilung ist ein Verstoß gegen die Pflichten aus Art. 37 DSGVO. Er kann nach Art. 83 Abs. 4 lit. a DSGVO mit einer Geldbuße geahndet werden; die Aufsichtsbehörde kann auch andere Maßnahmen ergreifen, z. B. eine Anweisung (Art. 58 Abs. 2 DSGVO). Ob und wie sie reagiert, liegt in ihrem Ermessen. Dabei berücksichtigt sie u. a. Art und Dauer des Verstoßes sowie Maßnahmen zur Behebung (Art. 83 Abs. 2 DSGVO).

Empfehlung: Die Meldung unverzüglich nachholen, die Veröffentlichung der Kontaktdaten prüfen und das Datum der Benennung und der Meldung dokumentieren. Eine Prognose für den Einzelfall ist nicht möglich.

Die DSGVO gilt seit 25.05.2018. Unternehmen müssen die Einhaltung nicht nur sicherstellen, sondern auch nachweisen können (Rechenschaftspflicht, Art. 5 Abs. 2, Art. 24 DSGVO). Typische Bausteine sind:

• Verzeichnis von Verarbeitungstätigkeiten (Art. 30) und Prüfung der Rechtsgrundlagen (Art. 6, 9)
• Informationspflichten, z. B. Datenschutzhinweise (Art. 13, 14), und Abläufe für Betroffenenrechte (Art. 15–22)
• Technische und organisatorische Maßnahmen (Art. 25, 32)
• Verträge mit Auftragsverarbeitern, z. B. Cloud- oder IT-Dienstleistern (Art. 28), und Prüfung von Drittlandübermittlungen (Art. 44 ff.)
• Prozess für Datenschutzverletzungen mit Meldung binnen 72 Stunden (Art. 33, 34)
• Datenschutz-Folgenabschätzung bei hohem Risiko (Art. 35)
• Prüfung der Benennungspflicht für einen Datenschutzbeauftragten (Art. 37 DSGVO, § 38 BDSG)
• Löschkonzept, Schulung der Beschäftigten und regelmäßige Überprüfung

Verstöße können mit Geldbußen geahndet werden, je nach Verstoß bis zu 10 Mio. € bzw. 2 % oder bis zu 20 Mio. € bzw. 4 % des weltweiten Jahresumsatzes (Art. 83 DSGVO). Hinzu kommen Schadensersatzansprüche der Betroffenen (Art. 82 DSGVO).

Hinweis: Die Bundesregierung hat angekündigt, § 38 Abs. 1 BDSG aufzuheben. Stand Oktober 2026 ist das nicht beschlossen; die Schwelle von 20 Personen gilt weiter.