DSGVO

Einführung in die DSGVO

1. Was ist die DSGVO?

Die DSGVO – Datenschutz-Grundverordnung (engl. GDPR) – ist das Datenschutzgesetz der EU, verabschiedet im April 2016 und seit dem 25. Mai 2018 anwendbar, offiziell Verordnung (EU) 2016/679.

Die DSGVO ersetzte die Datenschutzrichtlinie von 1995 (95/46/EG) und ist heute das weltweit einflussreichste Datenschutzgesetz, oft als „Goldstandard des Datenschutzes“ bezeichnet. Die Datenschutzgesetze vieler Länder (darunter das chinesische Gesetz zum Schutz personenbezogener Informationen, das brasilianische LGPD und der kalifornische CPRA) orientieren sich an ihr.

Kernziele:

• Schutz der personenbezogenen Daten und der Privatsphäre natürlicher Personen

• Harmonisierung der Datenschutzvorschriften in den EU-Mitgliedstaaten

• Stärkung der Kontrolle der betroffenen Personen

• Mehr Rechenschaftspflicht und Transparenz der Unternehmen

2. Anwendungsbereich

Räumlicher Anwendungsbereich (extraterritoriale Wirkung)

Die DSGVO gilt weit über das Gebiet der EU hinaus:

1. Organisationen mit Niederlassung in der EU: unabhängig vom Ort der Verarbeitung, sofern die Organisation eine Niederlassung in der EU hat.

2. Organisationen außerhalb der EU – die DSGVO gilt, wenn eine der folgenden Voraussetzungen erfüllt ist:

• Angebot von Waren oder Dienstleistungen an Personen in der EU (entgeltlich oder unentgeltlich)

• Beobachtung des Verhaltens von Personen in der EU (z. B. Website-Tracking, zielgerichtete Werbung)

Bedeutung für chinesische Unternehmen: Wer Nutzer, Kunden oder Beschäftigte in der EU hat oder mit seiner Website den EU-Markt anspricht, unterliegt unmittelbar der DSGVO – auch bei einer Geschäftstätigkeit in China.

Für wen sie gilt

Rolle	Definition	Verantwortung
Verantwortlicher	Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet	Hauptverantwortung
Auftragsverarbeiter	Verarbeitet Daten im Auftrag des Verantwortlichen	Unterstützende Verantwortung
Betroffene Person	Die Person, auf die sich die personenbezogenen Daten beziehen	Rechteinhaber

3. Zentrale Begriffe

Was sind „personenbezogene Daten“?

Alle Informationen, die sich auf eine identifizierbare natürliche Person beziehen, sind personenbezogene Daten, darunter:

• Direkte Identifikatoren: Name, Ausweisnummer, Reisepassnummer

• Kontaktdaten: Telefon, E-Mail, Adresse

• Online-Kennungen: IP-Adressen, Cookie-IDs, Geräte-IDs, Benutzernamen

• Standortdaten: GPS, Standortverläufe

• Biometrische Merkmale: Fingerabdrücke, Gesichter, Iris

• Finanzinformationen: Konten, Kaufhistorie

• Gesundheitsdaten

• Verhaltensdaten: Browserverlauf, Klickdaten

Besondere Kategorien personenbezogener Daten (sensible Daten)

Artikel 9 DSGVO stellt unter strengen Schutz die folgenden Daten, die grundsätzlich nicht verarbeitet werden dürfen:

• Rassische oder ethnische Herkunft

• Politische Meinungen

• Religiöse oder weltanschauliche Überzeugungen

• Gewerkschaftszugehörigkeit

• Genetische Daten

• Biometrische Daten

• Gesundheitsdaten

• Sexualleben oder sexuelle Orientierung

Eine Verarbeitung ist nur mit ausdrücklicher Einwilligung oder aufgrund gesetzlicher Ausnahmenzulässig.

4. Die sieben Grundsätze (Artikel 5 DSGVO)

Grundsatz	Bedeutung
1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz	Die Verarbeitung braucht eine Rechtsgrundlage, muss fair sein und für die betroffene Person nachvollziehbar
2. Zweckbindung	Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke verwendet werden
3. Datenminimierung	Nur notwendige Daten erheben – kein „erst sammeln, später entscheiden“
4. Richtigkeit	Daten richtig und aktuell halten; unrichtige Daten sind zu berichtigen
5. Speicherbegrenzung	Nicht mehr benötigte Daten sind zu löschen oder zu anonymisieren
6. Integrität und Vertraulichkeit	Angemessene Sicherheitsmaßnahmen gegen Datenlecks, Verlust und unbefugten Zugriff
7. Rechenschaftspflicht	Der Verantwortliche muss die Einhaltung dieser Grundsätze nachweisen können – ein prägendes Merkmal der DSGVO

Wesentliche Neuerung: Im Vergleich zum früheren Recht betont die DSGVO die „Nachweisbarkeit der Einhaltung“ – es genügt nicht, die Vorschriften einzuhalten, es müssen auch Dokumentation und Nachweise vorliegen.

5. Sechs Rechtsgrundlagen der Verarbeitung (Artikel 6 DSGVO)

Die Verarbeitung personenbezogener Daten erfordert mindestens eine der folgenden Rechtsgrundlagen:

Rechtsgrundlage	Anwendungsfall
Einwilligung	Ausdrückliche Einwilligung des Nutzers, die widerrufbar sein muss
Vertragserfüllung	Erfüllung eines Vertrags mit der betroffenen Person (z. B. Lieferung einer Bestellung)
Rechtliche Verpflichtung	Erfüllung gesetzlicher Anforderungen (z. B. steuerliche Aufzeichnungen)
Lebenswichtige Interessen	Schutz des Lebens einer Person
Öffentliches Interesse	Wahrnehmung einer öffentlichen Aufgabe
Berechtigte Interessen	Berechtigte Interessen des Verantwortlichen oder eines Dritten, vorbehaltlich einer Interessenabwägung

Anforderungen an eine wirksame Einwilligung: Sie muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erteilt werden – vorangekreuzte Kästchen, gekoppelte Einwilligungen und unfaire Bedingungen sind unwirksam.

6. Die acht Rechte der betroffenen Personen

Die DSGVO gibt den betroffenen Personen weitreichende Kontrolle:

Recht	Inhalt	Antwortfrist
1. Recht auf Information	Bei der Erhebung über Zwecke und Mittel der Verarbeitung informiert zu werden	Sofort
2. Auskunftsrecht	Eine Kopie der verarbeiteten Daten zu erhalten	1 Monat
3. Recht auf Berichtigung	Unrichtige Daten berichtigen zu lassen	1 Monat
4. Recht auf Löschung / Recht auf Vergessenwerden	Daten unter bestimmten Voraussetzungen löschen zu lassen	1 Monat
5. Recht auf Einschränkung der Verarbeitung	Die Verarbeitung auszusetzen	1 Monat
6. Recht auf Datenübertragbarkeit	Daten in einem maschinenlesbaren Format zu exportieren und zu übertragen	1 Monat
7. Widerspruchsrecht	Der Verarbeitung auf Basis berechtigter Interessen oder zur Direktwerbung zu widersprechen	Werbung sofort einstellen
8. Recht, keiner automatisierten Entscheidung unterworfen zu werden	Wesentlichen Entscheidungen, die ausschließlich automatisiert getroffen werden (z. B. KI-Scoring), zu widersprechen	Sofort

Anforderungen an die Beantwortung:

• In der Regel innerhalb von 1 Monat

• In komplexen Fällen auf 3 Monate verlängerbar (mit Begründung)

• Grundsätzlich kostenlos (bei offenkundig unbegründeten oder exzessiven Anträgen kann ein Entgelt verlangt oder der Antrag abgelehnt werden)

7. Zentrale Pflichten für Unternehmen

1. Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Artikel 25)

• Datenschutz bereits in der Entwicklungsphase einbauen

• Voreinstellungen sollten so datenschutzfreundlich wie möglich sein

• Beispiele: genaue Standortbestimmung standardmäßig aus, standardmäßig minimale Datenerhebung, standardmäßige Anonymisierung

2. Verzeichnis von Verarbeitungstätigkeiten (VVT/ROPA, Artikel 30)

Verpflichtend für Organisationen mit ≥250 Beschäftigten oder bei risikobehafteter Verarbeitung:

• Zwecke und Rechtsgrundlagen der Verarbeitung

• Kategorien von Daten und betroffenen Personen

• Empfänger

• Übermittlungen in Drittländer

• Speicherfristen

• Sicherheitsmaßnahmen

3. Datenschutz-Folgenabschätzung (DSFA/DPIA, Artikel 35)

Eine DSFA ist verpflichtend bei:

• Systematischer, umfangreicher Verarbeitung besonderer Kategorien von Daten

• Umfangreicher Überwachung öffentlich zugänglicher Bereiche

• Automatisierten Entscheidungen mit rechtlichen oder ähnlich erheblichen Auswirkungen auf Personen

• Einsatz neuer Technologien (KI, Gesichtserkennung, IoT, Gentests)

4. Datenschutzbeauftragter (DSB/DPO, Artikel 37–39)

Ein DSB muss benannt werden, wenn:

• die Organisation eine Behörde ist (außer Gerichten)

• die Kerntätigkeit eine umfangreiche, systematische Überwachung betroffener Personen umfasst

• die Kerntätigkeit die umfangreiche Verarbeitung besonderer Kategorien von Daten

Aufgaben des DSB: Überwachung der Einhaltung, Schulung der Beschäftigten, Zusammenarbeit mit der Aufsichtsbehörde, Beratung.

5. EU-Vertreter (Artikel 27)

Verantwortliche/Auftragsverarbeiter außerhalb der EU , die der DSGVO unterliegen, müssen einen Vertreter in der EU benennen:

• Ansprechpartner für Aufsichtsbehörden und betroffene Personen

• In der Regel ein professionelles Dienstleistungsunternehmen in der EU

• Ausnahme: gelegentliche, nicht umfangreiche Verarbeitung ohne besondere Kategorien von Daten

Für chinesische Unternehmen mit Auslandsgeschäft ist dies praktisch verpflichtend.

6. Steuerung von Auftragsverarbeitern (Artikel 28)

Verantwortliche und Auftragsverarbeiter müssen einen Auftragsverarbeitungsvertrag (AVV/DPA) abschließen, der Folgendes regelt:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung

• Kategorien von Daten und betroffenen Personen

• Pflichten des Auftragsverarbeiters (Vertraulichkeit, Sicherheit, Unterstützung, Löschung/Rückgabe)

• Prüfrechte des Verantwortlichen

7. Meldung von Datenschutzverletzungen (Artikel 33 und 34)

Nach einer Verletzung des Schutzes personenbezogener Daten:

• Meldung an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden (es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte)

• Bei hohem Risiko zusätzlich Benachrichtigung der betroffenen Personen

Die Meldung muss Art und Umfang der Verletzung, die wahrscheinlichen Folgen sowie die ergriffenen oder geplanten Maßnahmen enthalten.

8. Internationale Datenübermittlungen (Kapitel V)

Für die Übermittlung personenbezogener Daten aus der EU muss einer der folgenden Mechanismen genutzt werden:

Mechanismus	Beschreibung
Angemessenheitsbeschluss	Die EU hat das Schutzniveau des Landes als angemessen anerkannt – derzeit u. a. Vereinigtes Königreich, Schweiz, Japan, Südkorea, Kanada (kommerzielle Organisationen), Neuseeland, Argentinien, Uruguay, Andorra, Färöer, Guernsey, Isle of Man, Jersey, Israel sowie die USA (DPF-Rahmen, 2023)
Standardvertragsklauseln (SCC)	Neue Muster von 2021, zwischen Unternehmen abgeschlossen
Verbindliche interne Datenschutzvorschriften (BCR)	Genehmigte interne Regeln für multinationale Konzerne
Zertifizierung oder Verhaltensregeln	Genehmigte Zertifizierungsmechanismen
Ausnahmen für bestimmte Fälle	Ausdrückliche Einwilligung, Vertragserfüllung, Rechtsansprüche usw.

Wichtig: China steht nicht auf der Liste der Länder mit angemessenem Schutzniveau. Für Datenübermittlungen aus der EU nach China sind Mechanismen wie SCC erforderlich, und seit dem Schrems-II-Urteil (2020) ist eine Transfer-Folgenabschätzung (TIA) notwendig, um die Auswirkungen des Rechts des Empfängerlandes auf die Rechte der betroffenen Personen in der EU zu bewerten.

8. Sanktionen

Die DSGVO sieht einige der höchsten Bußgelder weltweit im Datenschutz vor:

Art des Verstoßes	Höchstbußgeld
Weniger schwere Verstöße	10.000.000 € oder 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist)
Schwere Verstöße	20.000.000 € oder 4 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist)

Weniger schwere vs. schwere Verstöße:

• Weniger schwer: fehlendes Verarbeitungsverzeichnis, keine DSFA, kein DSB benannt, nicht konforme Auftragsverarbeitungsverträge usw.

• Schwer: Verstöße gegen die Grundsätze, die Rechte der betroffenen Personen, die Regeln zur Drittlandübermittlung oder die Anforderungen an die Einwilligung usw.

Bedeutende Bußgelder

Jahr	Unternehmen	Bußgeld	Grund
2023	Meta (Facebook)	1,2 Mrd. €	Internationale Datenübermittlungen (Verstoß nach Schrems II)
2021	Amazon	746 Mio. €	Probleme beim Einwilligungsmechanismus
2024	Uber	290 Mio. €	Übermittlung von Fahrerdaten in die USA
2023	TikTok	345 Mio. €	Unzureichender Schutz von Kinderdaten
2023	Criteo	40 Mio. €	Verstöße beim Einwilligungsmanagement
2019	Google	50 Mio. €	Transparenz- und Einwilligungsmängel

9. Aufsichtsbehörden

Nationale Datenschutzbehörden (DPA)

Jeder EU-Mitgliedstaat hat eine unabhängige Datenschutzbehörde. Bekannte Behörden sind:

• CNIL (Frankreich) – sehr aktiv bei der Durchsetzung

• ICO (Vereinigtes Königreich – setzt nach dem Brexit weiterhin die UK-GDPR durch)

• DPC (Irland) – beaufsichtigt die meisten US-Technologiekonzerne

• BfDI (Bundesbeauftragter in Deutschland) + Landesdatenschutzbehörden

• AEPD (Spanien) – die meisten Bußgeldverfahren

• Garante (Italien) – aktiv bei der KI-Regulierung

Europäischer Datenschutzausschuss (EDSA)

• Besteht aus den Datenschutzbehörden der Mitgliedstaaten

• Veröffentlicht Leitlinien und Stellungnahmen für eine einheitliche Auslegung in der EU

• Entscheidet grenzüberschreitende Streitfälle

• Leitet Diskussionen über neue Rechtsvorschriften

Der „One-Stop-Shop“-Mechanismus

Bei grenzüberschreitender Verarbeitung fungiert die Datenschutzbehörde des Landes der Hauptniederlassung als federführende Aufsichtsbehörde, die übrigen Behörden arbeiten mit. Dies ist ein wichtiges Gestaltungsmerkmal der DSGVO, das die Einhaltung vereinfacht.

10. Vergleich mit anderen wichtigen Datenschutzgesetzen

Kriterium	DSGVO	China PIPL	Kalifornien CPRA
Inkrafttreten	25.05.2018	01.11.2021	1. Januar 2023 (Änderung des CCPA)
Extraterritoriale Wirkung	Ja	Ja	Ja
Anzahl der Rechtsgrundlagen	6	7 (ohne „berechtigte Interessen“)	Ähnlich, aber vereinfacht
Anforderungen an die Einwilligung	Streng	Strenger (gesonderte Einwilligung für sensible Informationen)	Lockerer (Erhebung standardmäßig, Nutzer können widersprechen)
Rechte der betroffenen Personen	8	Ähnlich + chinesische Besonderheiten	5 + Widerspruch gegen Datenverkauf
Internationale Übermittlungen	SCC / BCR / Angemessenheit	Sicherheitsbewertung / Standardvertrag / Zertifizierung	Weniger Einschränkungen
Benennung eines DSB	In bestimmten Fällen verpflichtend	In bestimmten Fällen verpflichtend	Nicht verpflichtend
Meldung von Datenschutzverletzungen	72 Stunden	Unverzüglich (keine konkrete Frist)	Je nach Fall
Höchstbußgeld	20 Mio. € / 4 % des weltweiten Umsatzes	50 Mio. RMB / 5 % des Jahresumsatzes	7.500 USD pro Verstoß

11. Praktische Auswirkungen auf chinesische Unternehmen

Wer unterliegt der DSGVO?

Nahezu jedes international tätige Unternehmen:

• Grenzüberschreitender E-Commerce (Verkauf an EU-Verbraucher)

• Apps/Spiele, die im Ausland angeboten werden

• SaaS- und Cloud-Dienste (EU-Kunden)

• Smarte Hardware / IoT (EU-Nutzer)

• Grenzüberschreitende Logistik und Zahlungen

• Auftragsfertiger (als Auftragsverarbeiter, wenn sie Daten von EU-Marken verarbeiten)

• Personalwesen/Recruiting (EU-Beschäftigte/-Bewerber)

Risiken bei Nichteinhaltung

1. Hohe Bußgelder – bis zu 4 % des Jahresumsatzes

2. Klagen von EU-Nutzern – Sammelklagen werden immer häufiger

3. Betriebsunterbrechung – Behörden können die Einstellung von Verarbeitungen oder Übermittlungen anordnen

4. Schädigung des Markenimages

5. Partner lehnen die Zusammenarbeit ab – B2B-Kunden in der EU prüfen die Compliance ihrer Lieferanten streng

Mindest-Checkliste für die Compliance

Benennung eines EU-Vertreters Erstellung einer DSGVO-konformen Datenschutzerklärung (mehrsprachig)
Einführung einer Cookie-Consent-Management-Plattform (CMP)
Aufbau eines Verfahrens zur Beantwortung von Betroffenenanfragen
Abschluss der SCC von 2021 + Durchführung einer TIA Aufbau eines Notfallplans für Datenschutzverletzungen (Meldung innerhalb von 72 Stunden)
Abschluss von Auftragsverarbeitungsverträgen (AVV/DPA) mit Auftragsverarbeitern Benennung eines DSB (falls erforderlich)
Mitarbeiterschulungen zur DSGVO Führen eines Verzeichnisses von Verarbeitungstätigkeiten (VVT/ROPA)

12. Zeitleiste und Ausblick

Datum	Meilenstein
1995	EU-Datenschutzrichtlinie 95/46/EG
April 2016	Verabschiedung der DSGVO
25. Mai 2018	Anwendbarkeit der DSGVO (Ende der zweijährigen Übergangsfrist)
Juli 2020	Schrems-II -Urteil – Privacy Shield für ungültig erklärt
Juni 2021	Veröffentlichung der neuen SCC
Juli 2023	EU-US Data Privacy Framework (DPF) tritt in Kraft – ersetzt den Privacy Shield
August 2024	EU-KI-Verordnung (AI Act) tritt in Kraft – ergänzend zur DSGVO
Ab 2025	Data Act, Data Governance Act, DSA, DMA und weitere Regelwerke werden schrittweise anwendbar
Laufend	EDSA-Leitlinien werden fortlaufend aktualisiert; die Durchsetzung wird verschärft

Künftige Trends

• Überschneidung von KI- und Datenschutzregulierung – Data Governance für generative KI unter der KI-Verordnung

• Bekämpfung der Einwilligungsmüdigkeit – die EU diskutiert eine Vereinfachung der Cookie-Einwilligung

• Stärkerer Schutz von Kinderdaten – angeführt durch hohe Bußgelder wie gegen TikTok

• Zunehmend strenge Durchsetzung – einzelne Bußgelder steigen weiter

• Angemessenheitsprüfungen für Drittländer – die Liste wird laufend angepasst