DSGVO: Pflichten, Rechte, Risiken und praktische Schritte

Die DSGVO prägt nahezu jede geschäftliche Verarbeitung personenbezogener Daten: vom Kontaktformular über Beschäftigtendaten bis zur Kundenkommunikation, Videoüberwachung oder Nutzung externer Dienstleister. Für Unternehmen ist sie kein einmaliges Projekt, sondern ein laufender Organisationsrahmen. Für betroffene Personen ist sie die wichtigste Grundlage, um Auskunft, Löschung, Berichtigung oder Schadensersatz bei Datenschutzverstößen zu prüfen.

Gleichzeitig wird die Datenschutz-Grundverordnung häufig missverstanden. Nicht jede Datenverarbeitung ist verboten, nicht jede Einwilligung ist wirksam, und nicht jeder Fehler führt automatisch zu einem Bußgeld oder Anspruch. Entscheidend sind Zweck, Rechtsgrundlage, Transparenz, Datensicherheit und Nachweisbarkeit.

Der Beitrag ordnet die DSGVO rechtlich und praktisch ein. Er richtet sich an Unternehmen, Selbstständige, Vereine, Verantwortliche im Personalbereich sowie an Betroffene, die wissen möchten, welche Rechte bestehen und wie sie sinnvoll vorgehen. Die Darstellung ersetzt keine Prüfung des Einzelfalls, zeigt aber typische Konfliktfelder, Fristen, Nachweise und Handlungsschritte auf.

Inhaltsverzeichnis

1. DSGVO verständlich eingeordnet: Zweck, Anwendungsbereich und gesetzliche Grundlagen
2. Wann die DSGVO gilt und wann nicht
3. Abgrenzung zu Datenschutz, BDSG, TDDDG und Vertraulichkeitspflichten
4. Rechtsgrundlagen der Datenverarbeitung: Einwilligung, Vertrag und berechtigtes Interesse
5. Pflichten von Unternehmen und Verantwortlichen
6. Rechte betroffener Personen nach der DSGVO
7. Praxisrelevante Fallkonstellationen und typische Konflikte
8. Risiken, Haftung und typische Fehler bei DSGVO-Verstößen
9. Fristen, Aufbewahrung und Verjährung: Was wann zu beachten ist
10. Beweisfragen und Dokumentation im Datenschutz
11. Handlungsschritte: Was Unternehmen und Betroffene jetzt konkret tun können
12. Besonderheiten für Unternehmen, Arbeitgeber und Website-Betreiber
13. … und 3 weitere Abschnitte

DSGVO verständlich eingeordnet: Zweck, Anwendungsbereich und gesetzliche Grundlagen

Die Datenschutz-Grundverordnung ist eine unmittelbar geltende EU-Verordnung. Sie regelt, unter welchen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen und welche Rechte die betroffenen Personen haben. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören Name, Anschrift, Telefonnummer, E-Mail-Adresse, Kundennummer, IP-Adresse, Standortdaten, Gesundheitsdaten, Bewerbungsunterlagen, Gehaltsdaten und in vielen Fällen auch Nutzerkennungen oder Cookie-IDs.

Verarbeitung meint nicht nur das aktive Auswerten von Daten. Bereits das Erheben, Speichern, Übermitteln, Ordnen, Löschen oder Bereitstellen fällt unter den Begriff. Deshalb betrifft die DSGVO nicht nur große Konzerne, sondern regelmäßig auch kleine Unternehmen, Arztpraxen, Online-Shops, Handwerksbetriebe, Hausverwaltungen, Agenturen und Arbeitgeber.

Die zentralen Grundsätze stehen in Art. 5 DSGVO. Daten müssen rechtmäßig, transparent und zweckgebunden verarbeitet werden. Es dürfen nur solche Daten erhoben werden, die für den jeweiligen Zweck erforderlich sind. Außerdem müssen Daten sachlich richtig, angemessen geschützt und nur so lange gespeichert werden, wie es notwendig oder gesetzlich geboten ist.

Besonders wichtig ist die Rechenschaftspflicht. Verantwortliche müssen nicht nur datenschutzkonform handeln, sondern dies im Streitfall auch nachweisen können. Das betrifft etwa Datenschutzinformationen, Einwilligungen, Auftragsverarbeitungsverträge, Löschkonzepte, technische und organisatorische Maßnahmen sowie interne Entscheidungsgrundlagen.

Gesetzlich relevant sind neben der DSGVO vor allem das Bundesdatenschutzgesetz, kurz BDSG, sowie das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, kurz TDDDG, insbesondere bei Cookies, Tracking und Zugriffen auf Endgeräte. Im Arbeitsverhältnis spielen außerdem arbeitsrechtliche Vorgaben eine erhebliche Rolle. Je nach Branche können spezialgesetzliche Pflichten hinzukommen, etwa im Gesundheitswesen, Finanzsektor oder bei Berufsgeheimnisträgern.

Wann die DSGVO gilt und wann nicht

Die DSGVO gilt, wenn personenbezogene Daten ganz oder teilweise automatisiert verarbeitet werden. Sie gilt außerdem für nichtautomatisierte Verarbeitungen, wenn die Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Eine Kundenliste in einer Tabellenkalkulation, ein Bewerbermanagementsystem, ein CRM, eine Personalakte, ein Newsletter-Verteiler oder ein Ticket-System fallen daher regelmäßig in den Anwendungsbereich.

Keine Anwendung findet die DSGVO grundsätzlich bei rein persönlichen oder familiären Tätigkeiten. Wer private Geburtstagskontakte speichert oder Fotos im engen Familienkreis austauscht, handelt regelmäßig außerhalb des Datenschutzrechts. Diese Ausnahme endet aber dort, wo ein beruflicher, vereinsbezogener oder öffentlich zugänglicher Kontext hinzukommt. Werden etwa Fotos einer Veranstaltung auf einer öffentlich erreichbaren Website veröffentlicht, kann die DSGVO wieder einschlägig sein.

Räumlich gilt die DSGVO für Verantwortliche und Auftragsverarbeiter mit Niederlassung in der EU. Außerdem kann sie Unternehmen außerhalb der EU betreffen, wenn sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. Ein Unternehmen mit Sitz in den USA kann daher unter die DSGVO fallen, wenn es gezielt Kundinnen und Kunden in Deutschland anspricht oder Tracking für europäische Nutzer einsetzt.

In Deutschland ist auch die zuständige Aufsichtsbehörde zu beachten. Bei Unternehmen richtet sich die Zuständigkeit grundsätzlich nach dem Sitz oder Schwerpunkt der Datenverarbeitung. Ein Unternehmen in Hamburg hat typischerweise eine andere Landesaufsichtsbehörde als ein Unternehmen in München oder Frankfurt am Main. Bei grenzüberschreitender Verarbeitung kann das europäische One-Stop-Shop-Verfahren relevant werden. Praktisch bedeutet das: Die DSGVO ist einheitlich, die Aufsichtspraxis kann aber in Detailfragen unterschiedlich akzentuiert sein.

Abzugrenzen ist zudem die Rolle der Beteiligten. Verantwortlicher ist, wer über Zwecke und Mittel der Verarbeitung entscheidet. Auftragsverarbeiter verarbeitet Daten weisungsgebunden für einen Verantwortlichen, etwa ein Hostinganbieter oder externer IT-Dienstleister. Daneben gibt es gemeinsam Verantwortliche, wenn mehrere Stellen gemeinsam Zwecke und wesentliche Mittel festlegen. Die richtige Einordnung ist entscheidend, weil davon Verträge, Informationspflichten, Haftung und Dokumentation abhängen.

Abgrenzung zu Datenschutz, BDSG, TDDDG und Vertraulichkeitspflichten

In der Praxis werden Begriffe wie Datenschutz, Datensicherheit, DSGVO, BDSG, TDDDG, Schweigepflicht und Geschäftsgeheimnis oft gleichgesetzt. Das führt zu fehlerhaften Entscheidungen. Die DSGVO schützt personenbezogene Daten natürlicher Personen. Datensicherheit ist ein Teilaspekt, betrifft aber vor allem technische und organisatorische Schutzmaßnahmen. Geschäftsgeheimnisse schützen wirtschaftlich wertvolles Unternehmenswissen, auch wenn keine personenbezogenen Daten betroffen sind.

Eine saubere Abgrenzung ist wichtig, weil verschiedene Rechtsfolgen gelten. Ein Cookie-Banner kann nach dem TDDDG relevant sein, während die anschließende Analyse personenbezogener Nutzungsdaten zusätzlich eine DSGVO-Rechtsgrundlage benötigt. Eine Personalakte betrifft Datenschutzrecht, aber auch arbeitsrechtliche Aufbewahrungs- und Einsichtsfragen. Eine Verschwiegenheitsvereinbarung kann die Weitergabe von Informationen vertraglich untersagen, ersetzt aber keine datenschutzrechtliche Rechtsgrundlage.

Die Tabelle zeigt: Die Rechtsgebiete überschneiden sich, verfolgen aber unterschiedliche Schutzzwecke. Ein Unternehmen kann beispielsweise ein Geschäftsgeheimnis korrekt schützen und dennoch gegen die DSGVO verstoßen, wenn personenbezogene Kundendaten ohne ausreichende Rechtsgrundlage weitergegeben werden. Umgekehrt kann eine Verarbeitung datenschutzrechtlich zulässig sein, aber vertraglich ausgeschlossen oder wegen Berufsgeheimnissen problematisch bleiben.

Besondere Vorsicht ist bei gemischten Sachverhalten geboten. Ein externer Dienstleister erhält etwa Zugriff auf Kundendaten, interne Kalkulationen und Vertragsunterlagen. Dann können Auftragsverarbeitung, Vertraulichkeitsvereinbarung, IT-Sicherheitsvorgaben und Geheimnisschutz parallel erforderlich sein. Die DSGVO verlangt in solchen Fällen keine isolierte Papierlösung, sondern eine nachvollziehbare Gesamtbetrachtung.

Rechtsgrundlagen der Datenverarbeitung: Einwilligung, Vertrag und berechtigtes Interesse

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. Die DSGVO kennt dafür mehrere Möglichkeiten. Eine Einwilligung ist nur eine davon. In der Praxis ist es ein häufiger Fehler, reflexartig Einwilligungen einzuholen, obwohl eine andere Rechtsgrundlage passender, stabiler oder rechtlich geboten ist. Eine unwirksame oder unnötige Einwilligung kann später zu Beweisproblemen und Vertrauensverlust führen.

Art. 6 DSGVO nennt die wichtigsten Rechtsgrundlagen. Eine Verarbeitung kann zulässig sein, wenn sie zur Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen erforderlich ist. Das betrifft etwa die Verarbeitung von Lieferadresse, Rechnungsdaten oder Kontaktdaten im Rahmen einer Bestellung. Eine gesetzliche Verpflichtung kann ebenfalls die Grundlage bilden, zum Beispiel handels- und steuerrechtliche Aufbewahrungspflichten.

Das berechtigte Interesse ist in vielen Unternehmenssituationen relevant. Es setzt eine Interessenabwägung voraus. Der Verantwortliche muss ein legitimes Interesse benennen, die Erforderlichkeit prüfen und die Interessen oder Grundrechte der betroffenen Person dagegen abwägen. Typische Beispiele sind bestimmte Formen der Direktwerbung gegenüber Bestandskunden, IT-Sicherheitsprotokolle, interne Betrugsprävention oder die Geltendmachung rechtlicher Ansprüche. Ob die Abwägung trägt, hängt jedoch stark von Transparenz, Datenumfang, Erwartungen der Betroffenen und Widerspruchsmöglichkeiten ab.

Eine Einwilligung muss freiwillig, informiert, konkret und unmissverständlich erfolgen. Bei sensiblen Verarbeitungen oder besonderen Kategorien personenbezogener Daten gelten erhöhte Anforderungen. Besondere Kategorien nach Art. 9 DSGVO sind etwa Gesundheitsdaten, biometrische Daten zur eindeutigen Identifizierung, Daten zur Religion, Gewerkschaftszugehörigkeit oder politischen Meinung. Solche Daten dürfen grundsätzlich nur unter besonderen Voraussetzungen verarbeitet werden.

Im Beschäftigungsverhältnis ist Freiwilligkeit besonders kritisch. Arbeitnehmerinnen und Arbeitnehmer stehen regelmäßig in einem Abhängigkeitsverhältnis. Eine Einwilligung kann wirksam sein, wenn ein echter Vorteil besteht oder keine Nachteile bei Ablehnung drohen. Häufig ist jedoch eine gesetzliche Grundlage, eine arbeitsvertragliche Erforderlichkeit oder eine Kollektivvereinbarung sorgfältiger zu prüfen.

Für die Praxis empfiehlt sich eine dokumentierte Rechtsgrundlagenprüfung. Sie sollte den Zweck, die Datenarten, den Personenkreis, die Speicherdauer, mögliche Empfänger, die gewählte Rechtsgrundlage und die Abwägung enthalten. Das ist nicht nur für Behörden relevant. Auch bei Auskunftsersuchen, Löschanträgen, Kundenbeschwerden oder gerichtlichen Auseinandersetzungen kann eine solche Dokumentation entscheidend sein.

Pflichten von Unternehmen und Verantwortlichen

Die DSGVO verlangt von Unternehmen eine strukturierte Datenschutzorganisation. Umfang und Tiefe hängen von Art, Größe, Datenmenge und Risiko der Verarbeitung ab. Ein kleines Beratungsunternehmen benötigt typischerweise andere Maßnahmen als ein Krankenhaus, ein Online-Marktplatz oder ein Finanzdienstleister. Gleichwohl gelten die Grundpflichten unabhängig von der Unternehmensgröße.

Zu den zentralen Pflichten gehört die transparente Information der betroffenen Personen. Datenschutzinformationen müssen klar erklären, wer verantwortlich ist, welche Daten zu welchen Zwecken verarbeitet werden, auf welcher Rechtsgrundlage dies geschieht, wie lange Daten gespeichert werden, welche Rechte bestehen und ob Daten an Empfänger oder Drittstaaten übermittelt werden. Lange, unverständliche Texte erfüllen den Zweck nur eingeschränkt.

Viele Unternehmen müssen ein Verzeichnis von Verarbeitungstätigkeiten führen. Darin werden wesentliche Datenverarbeitungen beschrieben, etwa Kundenverwaltung, Buchhaltung, Bewerbungsmanagement, Newsletter, Website-Tracking, Videoüberwachung oder Zeiterfassung. Auch wenn im Einzelfall Ausnahmen bestehen können, ist ein solches Verzeichnis praktisch oft sinnvoll, weil es die Grundlage für Auskunft, Löschung, Sicherheitsprüfung und interne Verantwortlichkeiten bildet.

Wer Dienstleister einsetzt, muss prüfen, ob eine Auftragsverarbeitung vorliegt. Typische Fälle sind Hosting, Cloud-Speicher, externe Lohnabrechnung, Newsletter-Tools, IT-Wartung oder Supportdienstleister mit Datenzugriff. Dann ist ein Vertrag nach Art. 28 DSGVO erforderlich. Dieser Vertrag muss insbesondere Weisungen, Sicherheitsmaßnahmen, Unterauftragnehmer, Kontrollrechte, Löschung oder Rückgabe von Daten und Unterstützungspflichten regeln.

Unternehmen müssen außerdem angemessene technische und organisatorische Maßnahmen treffen. Dazu zählen Zugangskontrollen, Berechtigungskonzepte, Verschlüsselung, Backup-Strategien, Protokollierung, Schulungen, sichere Passwörter, Mehr-Faktor-Authentifizierung und Prozesse für Datenpannen. Angemessenheit bedeutet keine perfekte Sicherheit. Erforderlich ist ein risikobasierter Schutz, der dem Stand der Technik, den Kosten, der Art der Daten und den möglichen Folgen für Betroffene Rechnung trägt.

Je nach Konstellation kann ein Datenschutzbeauftragter erforderlich sein. In Deutschland ist dies unter anderem relevant, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind oder besonders risikoreiche Verarbeitungen stattfinden. Die Benennung entbindet die Geschäftsleitung jedoch nicht von Verantwortung. Datenschutz bleibt eine Organisationspflicht des Verantwortlichen.

Rechte betroffener Personen nach der DSGVO

Betroffene Personen haben nach der DSGVO weitreichende Rechte. Sie sollen nachvollziehen können, welche Daten über sie verarbeitet werden, und unter bestimmten Voraussetzungen Einfluss auf die weitere Verarbeitung nehmen. Diese Rechte sind nicht nur theoretisch. In der Praxis werden sie bei Kundenkonflikten, arbeitsrechtlichen Streitigkeiten, Datenpannen, Bonitätsauskünften, Newsletter-Themen, Gesundheitsdaten oder Online-Tracking regelmäßig relevant.

Das bekannteste Recht ist das Auskunftsrecht nach Art. 15 DSGVO. Betroffene können erfahren, ob personenbezogene Daten verarbeitet werden, welche Datenkategorien betroffen sind, welche Zwecke verfolgt werden, an wen Daten offengelegt wurden, wie lange gespeichert wird und welche Rechte bestehen. Zusätzlich kann eine Kopie der personenbezogenen Daten verlangt werden. Der Umfang dieser Kopie ist im Einzelfall streitanfällig, insbesondere wenn Rechte Dritter, Geschäftsgeheimnisse oder große Datenmengen betroffen sind.

Daneben bestehen Rechte auf Berichtigung unrichtiger Daten, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine Löschung ist etwa zu prüfen, wenn der Zweck weggefallen ist, eine Einwilligung widerrufen wurde oder die Verarbeitung unrechtmäßig war. Sie scheidet aber aus, wenn gesetzliche Aufbewahrungspflichten, Rechtsverteidigung oder andere vorrangige Gründe entgegenstehen.

Der Widerspruch ist besonders relevant bei Verarbeitungen auf Grundlage berechtigter Interessen. Bei Direktwerbung muss ein Widerspruch grundsätzlich beachtet werden. Bei anderen Verarbeitungen ist zu prüfen, ob zwingende schutzwürdige Gründe des Verantwortlichen überwiegen. Betroffene sollten ihr Anliegen daher möglichst konkret formulieren und erklären, welche Verarbeitung sie beanstanden.

Bei Verstößen kann außerdem ein Schadensersatzanspruch nach Art. 82 DSGVO in Betracht kommen. Er umfasst materielle und immaterielle Schäden. Die Rechtsprechung stellt keine pauschalen Ansprüche auf, verlangt aber auch nicht zwingend eine besonders schwere Beeinträchtigung. Entscheidend ist, ob ein Verstoß, ein Schaden und ein Kausalzusammenhang nachvollziehbar dargelegt und bewiesen werden können. Die Bewertung bleibt einzelfallabhängig.

Praxisrelevante Fallkonstellationen und typische Konflikte

DSGVO-Fragen entstehen selten abstrakt. Meist gibt es einen konkreten Anlass: eine Beschwerde, eine Datenpanne, ein Auskunftsersuchen, eine Kündigung, einen Konflikt mit einem Dienstleister oder eine Prüfung durch eine Aufsichtsbehörde. Für Unternehmen und Betroffene ist entscheidend, frühzeitig zwischen formalen Defiziten, tatsächlichen Risiken und rechtlichen Ansprüchen zu unterscheiden.

Ein häufiger Fall ist das Auskunftsersuchen im Arbeitsverhältnis. Beschäftigte verlangen nach einer Kündigung oder Abmahnung eine vollständige Auskunft einschließlich E-Mail-Kommunikation, Leistungsdaten und interner Notizen. Arbeitgeber müssen prüfen, welche personenbezogenen Daten tatsächlich herauszugeben sind und wo Rechte Dritter oder Geschäftsgeheimnisse entgegenstehen. Eine pauschale Ablehnung ist riskant, eine ungeprüfte Komplettweitergabe aber ebenfalls.

Auch im Online-Handel treten typische Konflikte auf. Ein Kunde verlangt Löschung seines Kontos, obwohl noch Rechnungsdaten steuerrechtlich aufzubewahren sind. Hier ist nicht zwingend alles zu löschen. Vielmehr kann eine Sperrung oder Einschränkung der Verarbeitung angezeigt sein: Daten werden nicht mehr für Marketing oder Kundenprofiling genutzt, bleiben aber für gesetzliche Nachweispflichten gespeichert.

Bei Websites steht häufig die Einbindung externer Tools im Vordergrund. Analyse-, Karten-, Video-, Chat- oder Marketingdienste können personenbezogene Daten an Dritte übermitteln oder auf Endgeräte zugreifen. Dann sind TDDDG, DSGVO-Rechtsgrundlage, Einwilligungsmanagement, Drittlandtransfer und Datenschutzhinweise gemeinsam zu prüfen. Besonders problematisch wird es, wenn Tools bereits vor Einwilligung aktiv werden.

Im Gesundheitsbereich, in Kanzleien, Steuerbüros oder Beratungsunternehmen kommt die berufliche Vertraulichkeit hinzu. Ein falsch adressierter E-Mail-Anhang kann nicht nur eine Datenpanne darstellen, sondern auch Berufsgeheimnisse berühren. Ob eine Meldung an die Aufsichtsbehörde erforderlich ist, hängt von Risiko, Datenart, Empfängerkreis und möglichen Folgen ab.

Weitere praxisnahe Konstellationen sind:

• Weitergabe von Kundendaten an Vertriebspartner ohne klare Rechtsgrundlage
• Veröffentlichung von Mitarbeiterfotos auf Website oder Social Media
• Videoüberwachung von Verkaufsflächen, Eingängen oder Arbeitsplätzen
• Nutzung privater Messenger für dienstliche Kommunikation
• Unzureichend geprüfte Cloud- oder KI-Dienste mit Drittlandbezug
• Fehlende Löschprozesse für Bewerbungsunterlagen
• Unklare Zuständigkeiten bei gemeinsam Verantwortlichen

Diese Beispiele zeigen, dass die rechtliche Bewertung selten an einem einzelnen Dokument hängt. Entscheidend ist das Zusammenspiel aus Rechtsgrundlage, Information, Erforderlichkeit, Sicherheit, Vertragssituation und dokumentierter Abwägung.

Risiken, Haftung und typische Fehler bei DSGVO-Verstößen

DSGVO-Verstöße können unterschiedliche Folgen haben. Aufsichtsbehörden können Untersuchungen einleiten, Verwarnungen aussprechen, Anordnungen treffen oder Bußgelder verhängen. Betroffene können Rechte geltend machen, Unterlassung verlangen, Beschwerden einreichen oder Schadensersatz prüfen. Zusätzlich drohen Reputationsschäden, interne Kosten, Vertragskonflikte mit Kunden oder Auftraggebern und arbeitsrechtliche Folgefragen.

Bußgelder sind nicht bei jedem Fehler zwingend. Die Behörden berücksichtigen unter anderem Art, Schwere, Dauer, Vorsatz oder Fahrlässigkeit, Zahl der Betroffenen, Schadensausmaß, Kooperationsverhalten, frühere Verstöße und getroffene Maßnahmen. Ein kleiner Dokumentationsmangel wird anders bewertet als eine systematische, unzulässige Verarbeitung sensibler Daten. Gleichwohl sollten formale Pflichten nicht unterschätzt werden, weil fehlende Nachweise eine eigentlich vertretbare Verarbeitung im Streitfall schwächen können.

Die zivilrechtliche Haftung nach Art. 82 DSGVO gewinnt an Bedeutung. Betroffene müssen grundsätzlich darlegen, welcher Verstoß vorliegt und welcher materielle oder immaterielle Schaden daraus entstanden sein soll. Verantwortliche können sich entlasten, wenn sie nachweisen, dass sie in keinerlei Hinsicht für den schadensbegründenden Umstand verantwortlich sind. Diese Entlastung ist praktisch anspruchsvoll und hängt stark von Dokumentation, Sicherheitsmaßnahmen und internen Prozessen ab.

Typische Fehler sind:

• Einwilligungen werden eingeholt, obwohl sie nicht freiwillig oder nicht ausreichend konkret sind.
• Datenschutzhinweise sind veraltet, unvollständig oder passen nicht zur tatsächlichen Verarbeitung.
• Dienstleister werden eingesetzt, ohne Auftragsverarbeitung, Sicherheitsprüfung oder Drittlandtransfer zu klären.
• Auskunftsersuchen werden verspätet, unvollständig oder ohne nachvollziehbare Prüfung beantwortet.
• Löschfristen fehlen, sodass Daten jahrelang ohne Zweck gespeichert bleiben.
• Beschäftigtendaten werden aus Bequemlichkeit zu breit zugänglich gemacht.
• Cookies, Pixel oder Analyse-Tools starten vor wirksamer Einwilligung.
• Datenpannen werden intern zu spät erkannt oder nicht ausreichend dokumentiert.

Haftungsrisiken lassen sich nicht vollständig ausschließen. Sie lassen sich aber deutlich besser beherrschen, wenn Verantwortlichkeiten festgelegt, Datenflüsse bekannt, Entscheidungen dokumentiert und Mitarbeitende geschult sind. Wer erst im Streitfall rekonstruiert, warum Daten verarbeitet wurden, hat regelmäßig schlechtere Verteidigungsmöglichkeiten.

Fristen, Aufbewahrung und Verjährung: Was wann zu beachten ist

Fristen spielen im Datenschutzrecht eine zentrale Rolle. Sie betreffen Betroffenenrechte, Datenpannen, Speicherbegrenzung, Aufbewahrungspflichten und mögliche Ansprüche. Fehler entstehen häufig, weil unterschiedliche Fristen nebeneinander gelten. Eine datenschutzrechtliche Löschpflicht kann etwa durch steuerrechtliche Aufbewahrungspflichten begrenzt sein. Umgekehrt rechtfertigt eine Aufbewahrungspflicht nicht jede weitere Nutzung der Daten.

Bei Betroffenenrechten gilt grundsätzlich: Verantwortliche müssen Anträge unverzüglich, in der Regel innerhalb eines Monats beantworten. Bei komplexen oder zahlreichen Anträgen kann diese Frist um zwei weitere Monate verlängert werden. Dann muss die betroffene Person aber innerhalb eines Monats über die Verlängerung und die Gründe informiert werden. Wer die Frist verstreichen lässt, riskiert Beschwerden und erschwert eine sachliche Lösung.

Bei Datenpannen ist die 72-Stunden-Frist besonders wichtig. Eine Verletzung des Schutzes personenbezogener Daten muss der zuständigen Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden gemeldet werden, nachdem sie bekannt wurde, sofern ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Besteht voraussichtlich ein hohes Risiko, kann zusätzlich eine Benachrichtigung der betroffenen Personen erforderlich sein. Ob ein Risiko vorliegt, ist sorgfältig zu bewerten und zu dokumentieren.

Für Speicherfristen gilt der Grundsatz der Speicherbegrenzung. Daten dürfen nicht länger in identifizierbarer Form gespeichert werden, als es für den Zweck erforderlich ist. Gleichzeitig können handelsrechtliche, steuerrechtliche, arbeitsrechtliche oder berufsrechtliche Aufbewahrungspflichten bestehen. Rechnungen, Vertragsunterlagen oder Lohnunterlagen dürfen daher nicht allein wegen eines Löschantrags sofort vernichtet werden. Häufig ist eine Einschränkung der Verarbeitung die richtige Zwischenlösung.

Schadensersatzansprüche nach Art. 82 DSGVO unterliegen grundsätzlich den nationalen Verjährungsregeln. In Deutschland ist regelmäßig die dreijährige Regelverjährung nach §§ 195, 199 BGB maßgeblich, beginnend mit dem Schluss des Jahres, in dem Anspruch und Kenntnis oder grob fahrlässige Unkenntnis vorliegen. Einzelheiten können streitig sein, insbesondere bei fortdauernden Verarbeitungen oder spät erkannten Datenpannen.

Für Unternehmen ist ein Fristenkalender empfehlenswert. Er sollte Auskunftsersuchen, Löschprüfungen, Prüfintervalle für Dienstleister, Aufbewahrungsfristen, Löschläufe und Incident-Response-Fristen abbilden. Für Betroffene ist wichtig, Anfragen und Antworten aufzubewahren, damit Fristverletzungen oder unvollständige Reaktionen später nachvollziehbar bleiben.

Beweisfragen und Dokumentation im Datenschutz

Die DSGVO ist stark dokumentationsorientiert. In vielen Streitfällen entscheidet nicht allein, was tatsächlich geschehen ist, sondern ob es nachvollziehbar belegt werden kann. Verantwortliche tragen eine Rechenschaftspflicht. Sie müssen zeigen können, dass Datenschutzgrundsätze eingehalten wurden. Betroffene wiederum müssen bei Schadensersatz oder gerichtlicher Durchsetzung regelmäßig den behaupteten Verstoß, den Schaden und den Zusammenhang darlegen.

Für Unternehmen bedeutet das: Datenschutzdokumentation sollte nicht nur formal vorhanden sein, sondern die tatsächlichen Prozesse abbilden. Ein Verzeichnis von Verarbeitungstätigkeiten hilft wenig, wenn eingesetzte Tools, Datenempfänger oder Speicherfristen nicht aktuell sind. Ebenso reicht ein Auftragsverarbeitungsvertrag nicht aus, wenn der Dienstleister tatsächlich andere Unterauftragnehmer nutzt oder Daten in Drittstaaten übermittelt, ohne dass dies geprüft wurde.

Für Betroffene ist Dokumentation ebenfalls wichtig. Wer ein Auskunftsersuchen stellt, sollte Versanddatum, Inhalt, Empfänger und Reaktion sichern. Bei unerwünschter Werbung, unzulässiger Veröffentlichung, Datenpanne oder falschen Bonitätsdaten sollten Screenshots, Schreiben, E-Mails und Zeitpunkte festgehalten werden. Ohne Nachweise bleibt die Rechtsdurchsetzung schwieriger, auch wenn tatsächlich ein Verstoß vorliegt.

Typische Nachweise sind:

• Datenschutzhinweise, Einwilligungstexte und Zeitpunkt der Zustimmung
• Verzeichnis von Verarbeitungstätigkeiten und interne Richtlinien
• Auftragsverarbeitungsverträge, Dienstleisterprüfungen und Sicherheitsnachweise
• Protokolle zu Auskunfts-, Lösch- und Berichtigungsanträgen
• Incident-Reports, Risikoabwägungen und Meldungen an Aufsichtsbehörden
• Screenshots, E-Mail-Header, Briefe, Chatverläufe und Systemprotokolle
• Löschkonzepte, Berechtigungskonzepte und Schulungsnachweise

Wichtig ist, Dokumentation nicht nachträglich zu beschönigen. Nachträgliche Ergänzungen können zulässig sein, sollten aber als solche erkennbar bleiben. Eine saubere Chronologie ist oft überzeugender als eine scheinbar perfekte, aber nicht belastbare Aktenlage. Gerade bei Datenpannen kann die zeitnahe Dokumentation der tatsächlichen Erkenntnisse und Entscheidungen erhebliche Bedeutung haben.

Handlungsschritte: Was Unternehmen und Betroffene jetzt konkret tun können

Ein sinnvolles Vorgehen hängt davon ab, ob ein Unternehmen Datenschutzprozesse aufbauen, einen konkreten Vorfall bearbeiten oder eine betroffene Person Rechte geltend machen möchte. Gemeinsam ist allen Situationen: Unstrukturierte Reaktionen führen häufig zu Folgefehlern. Wer vorschnell löscht, zu viel herausgibt, Anfragen ignoriert oder technische Details nicht sichert, erschwert die spätere Bewertung.

Für Unternehmen empfiehlt sich ein risikobasierter Ansatz. Nicht jede Verarbeitung benötigt dieselbe Prüfungstiefe. Besonders sensibel sind Gesundheitsdaten, Beschäftigtendaten, Finanzdaten, Daten von Kindern, umfangreiches Tracking, Profiling, Videoüberwachung und Drittlandübermittlungen. Dort sollten Rechtsgrundlage, Transparenz, Sicherheit und Dokumentation besonders sorgfältig geprüft werden.

Betroffene sollten zunächst klären, welches Ziel verfolgt wird. Geht es um Auskunft, Löschung, Berichtigung, Unterlassung, Beschwerde, Schadensersatz oder eine Kombination? Je präziser das Anliegen formuliert ist, desto besser lässt sich eine angemessene Reaktion verlangen. Pauschale Vorwürfe führen häufig zu Ausweichantworten.

• Datenverarbeitung erfassen: Unternehmen sollten alle wesentlichen Verarbeitungsvorgänge sammeln, etwa Website, CRM, Buchhaltung, Personal, Marketing, Video, Support und Cloud-Dienste.
• Rollen klären: Prüfen, wer Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortlicher ist. Davon hängen Verträge, Informationspflichten und Haftungsfragen ab.
• Rechtsgrundlage dokumentieren: Für jeden Zweck sollte festgehalten werden, ob Vertrag, gesetzliche Pflicht, Einwilligung, berechtigtes Interesse oder eine andere Grundlage einschlägig ist.
• Fristen kontrollieren: Auskunfts- und Löschanträge sind grundsätzlich innerhalb eines Monats zu bearbeiten. Datenpannen sind wegen der 72-Stunden-Frist sofort intern zu bewerten.
• Nachweise sichern: Betroffene sollten E-Mails, Screenshots, Schreiben und Versandnachweise aufbewahren. Unternehmen sollten Entscheidungen, Abwägungen und technische Befunde dokumentieren.
• Datenschutzhinweise aktualisieren: Texte müssen die tatsächliche Verarbeitung abbilden, einschließlich Dienstleistern, Drittlandtransfer, Speicherfristen und Betroffenenrechten.
• Dienstleister prüfen: Auftragsverarbeitung, Unterauftragnehmer, Sicherheitsmaßnahmen, Standort der Datenverarbeitung und Löschpflichten sollten nachvollziehbar geregelt sein.
• Lösch- und Sperrkonzept einführen: Daten sollten nach Zweckfortfall gelöscht oder bei Aufbewahrungspflichten für andere Nutzungen gesperrt werden.
• Incident-Response-Prozess festlegen: Zuständigkeiten, interne Meldewege, Risikobewertung, Behördenmeldung und Betroffeneninformation sollten vor einem Vorfall geklärt sein.
• Kommunikation sachlich halten: Anfragen, Beschwerden und Behördenkontakte sollten vollständig, fristgerecht und ohne vorschnelle Schuldeingeständnisse beantwortet werden.

Bei komplexen Sachverhalten kann eine rechtliche Prüfung sinnvoll sein, bevor verbindliche Aussagen gegenüber Betroffenen, Behörden oder Vertragspartnern abgegeben werden. Das gilt besonders bei Datenpannen, internationalen Dienstleistern, arbeitsrechtlichen Konflikten, umfangreichen Auskunftsersuchen oder möglichen Schadensersatzforderungen.

Besonderheiten für Unternehmen, Arbeitgeber und Website-Betreiber

Unternehmen müssen Datenschutz nicht isoliert betrachten, sondern in Geschäftsprozesse integrieren. Das beginnt bei der Auswahl von Software und reicht bis zur Löschung alter Kundendaten. Datenschutzfreundliche Voreinstellungen nach Art. 25 DSGVO bedeuten, dass Systeme möglichst datensparsam konfiguriert werden sollten. Ein CRM, das allen Mitarbeitenden vollständigen Zugriff auf sämtliche Kundendaten gibt, kann problematisch sein, wenn kein entsprechender Bedarf besteht.

Arbeitgeber verarbeiten besonders viele sensible Informationen: Bewerbungsunterlagen, Krankmeldungen, Gehaltsdaten, Leistungsdaten, Abmahnungen, Arbeitszeit, private Kontaktdaten und teilweise auch Kommunikationsinhalte. Hier überschneiden sich DSGVO, BDSG und Arbeitsrecht. Eine Überwachung von Beschäftigten, etwa durch Video, Keylogger, GPS oder E-Mail-Kontrollen, ist nur in engen Grenzen zulässig. Selbst wenn ein Verdacht besteht, müssen Erforderlichkeit und Verhältnismäßigkeit geprüft werden.

Bei Bewerbungen stellt sich regelmäßig die Frage der Speicherdauer. Nach Abschluss des Bewerbungsverfahrens dürfen Unterlagen meist nur noch für einen begrenzten Zeitraum gespeichert werden, etwa zur Verteidigung gegen mögliche Ansprüche. Eine längere Aufnahme in einen Bewerberpool benötigt regelmäßig eine gesonderte Grundlage, häufig eine Einwilligung. Diese muss freiwillig und widerruflich sein.

Website-Betreiber müssen neben der Datenschutzerklärung vor allem technische Einbindungen prüfen. Kontaktformulare sollten verschlüsselt übertragen werden. Newsletter benötigen je nach Konstellation eine dokumentierte Anmeldung, häufig im Double-Opt-in-Verfahren. Tracking und Marketing-Cookies dürfen regelmäßig nicht vor wirksamer Einwilligung gesetzt werden. Reine Statistik ohne Personenbezug oder unbedingt erforderliche Cookies sind anders zu bewerten, müssen aber ebenfalls transparent erklärt werden.

Bei KI-Tools, Cloud-Diensten und internationalen Plattformen ist besondere Sorgfalt erforderlich. Unternehmen sollten prüfen, ob personenbezogene Daten eingegeben werden, ob der Anbieter diese zu eigenen Zwecken nutzt, wo die Verarbeitung stattfindet, welche Sicherheitsmaßnahmen gelten und ob Drittlandtransfers abgesichert sind. Gerade bei vertraulichen Kunden-, Mandanten- oder Beschäftigtendaten kann eine unbedachte Nutzung erhebliche Datenschutz- und Vertragsrisiken auslösen.

Besonderheiten für Betroffene: Rechte durchsetzen ohne unnötige Eskalation

Betroffene Personen sollten zunächst den Sachverhalt ordnen. Nicht jede unerwünschte Datenverarbeitung ist rechtswidrig, und nicht jeder Datenschutzverstoß begründet automatisch einen Zahlungsanspruch. Gleichwohl kann es gute Gründe geben, Auskunft, Löschung, Berichtigung oder Einschränkung zu verlangen. Sinnvoll ist eine klare, nachweisbare Kommunikation mit dem Verantwortlichen.

Ein Auskunftsersuchen sollte den Verantwortlichen eindeutig erkennen lassen, dass Rechte nach der DSGVO geltend gemacht werden. Eine besondere Form ist nicht zwingend vorgeschrieben. Aus Beweisgründen empfiehlt sich aber eine schriftliche Anfrage per E-Mail oder Brief. Wer eine bestimmte Verarbeitung meint, etwa Newsletter, Bonitätsauskunft, Kundenkonto, Kameraaufnahme oder Bewerbungsdaten, sollte dies konkret benennen.

Wenn Daten falsch sind, kann Berichtigung verlangt werden. Das ist etwa bei fehlerhaften Adressdaten, falschen Forderungsinformationen, unzutreffenden Personalunterlagen oder Bonitätsmerkmalen relevant. Betroffene sollten Belege beifügen, soweit dies möglich und zumutbar ist. Das erhöht die Wahrscheinlichkeit einer zügigen Korrektur und erleichtert eine spätere Durchsetzung.

Bei Löschbegehren ist zu beachten, dass Verantwortliche gesetzliche Aufbewahrungspflichten oder Rechtsverteidigungsinteressen haben können. Eine Ablehnung muss aber begründet werden. Häufig ist zumindest eine Einschränkung der Verarbeitung möglich. Dann dürfen Daten nur noch für bestimmte Zwecke genutzt werden, etwa zur Erfüllung gesetzlicher Pflichten oder zur Abwehr von Ansprüchen.

Bleibt eine Reaktion aus oder erscheint sie unzureichend, können Betroffene sich an die zuständige Datenschutzaufsichtsbehörde wenden. Eine Beschwerde ist kein gerichtliches Verfahren und führt nicht automatisch zu Schadensersatz. Sie kann aber eine behördliche Prüfung auslösen. Ob parallel zivilrechtliche Schritte sinnvoll sind, hängt von Beweislage, Schaden, Ziel und Kostenrisiko ab.

FAQ zur DSGVO

Fazit: DSGVO rechtssicher verstehen und strukturiert umsetzen

Die DSGVO verlangt keine perfekte Fehlerfreiheit, aber eine nachvollziehbare, risikobasierte Datenschutzorganisation. Für Unternehmen haben die Klärung von Datenflüssen, Rechtsgrundlagen, Dienstleisterverträgen, Sicherheitsmaßnahmen, Löschfristen und Reaktionsprozessen Priorität. Besonders dringlich sind fristgebundene Themen wie Auskunftsersuchen und Datenpannen. Betroffene sollten ihre Rechte klar formulieren, Nachweise sichern und zunächst prüfen, welches Ziel realistisch erreichbar ist.

Entscheidend ist die Einzelfallprüfung. Dieselbe Datenverarbeitung kann in einem Vertragsverhältnis zulässig, im Marketingkontext aber problematisch sein. Eine Einwilligung kann tragfähig oder unwirksam sein, je nach Freiwilligkeit und Transparenz. Auch Schadensersatz, Löschung oder behördliche Maßnahmen hängen von Verstoß, Risiko, Nachweisen und Rechtsgrundlagen ab. Wer früh dokumentiert, sachlich kommuniziert und Fristen beachtet, verbessert die Ausgangslage erheblich.