Die DSGVO (Datenschutz-Grundverordnung) ist das EU-Gesetz, das regelt, wann und wie personenbezogene Daten verarbeitet werden dürfen. Sie gilt seit dem 25. Mai 2018 unmittelbar in allen EU-Staaten, für Unternehmen, Praxen, Kanzleien, Vereine und Behörden. Jede Verarbeitung braucht eine Rechtsgrundlage, muss bestimmten Grundsätzen folgen und gibt den betroffenen Menschen Rechte. Verstöße können Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes nach sich ziehen.
Ein Beispiel aus dem Alltag
Die Steuerkanzlei Weber & Partner (ein erfundenes Beispiel) bekommt jeden Monat Belege, Gehaltslisten und Kontoauszüge ihrer Mandanten. Darin stehen Namen, Adressen, IBANs und Gehälter, also personenbezogene Daten. Die DSGVO fragt: Darf die Kanzlei diese Daten verarbeiten (ja, zur Erfüllung des Mandatsvertrags)? Speichert sie nur, was sie braucht? Sind die Daten gesichert? Und wenn die Kanzlei ein Cloud- oder KI-Werkzeug einsetzt: Gibt es mit dem Anbieter einen Auftragsverarbeitungsvertrag?
Die DSGVO im Einzelnen
Wofür gilt sie?
Die DSGVO schützt personenbezogene Daten, also alle Informationen über eine identifizierte oder identifizierbare natürliche Person (Art. 4 Nr. 1). Was darunter fällt, mit vielen Beispielen, erklärt unser Beitrag Was sind personenbezogene Daten?. Sie gilt für jede Organisation in der EU und auch für Anbieter außerhalb der EU, die Menschen in der EU Waren oder Dienste anbieten (Art. 3). Rein private Tätigkeiten, etwa das eigene Adressbuch, sind ausgenommen. In Deutschland ergänzt das Bundesdatenschutzgesetz (BDSG) die DSGVO.
Die sieben Grundsätze (Art. 5)
- Rechtmäßigkeit, Treu und Glauben, Transparenz: Menschen müssen wissen, was mit ihren Daten passiert.
- Zweckbindung: Daten für einen festgelegten Zweck erheben, nicht beliebig weiterverwenden.
- Datenminimierung: nur so viel wie nötig.
- Richtigkeit: falsche Daten berichtigen oder löschen.
- Speicherbegrenzung: nicht länger aufbewahren als nötig.
- Integrität und Vertraulichkeit: angemessene Sicherheit, etwa Verschlüsselung und Zugriffsrechte.
- Rechenschaftspflicht: Sie müssen die Einhaltung nachweisen können.
Die Rechtsgrundlagen (Art. 6)
Jede Verarbeitung braucht mindestens eine dieser Grundlagen:
- Einwilligung der betroffenen Person
- Erfüllung eines Vertrags
- rechtliche Verpflichtung (etwa Aufbewahrungspflichten)
- Schutz lebenswichtiger Interessen
- Wahrnehmung einer öffentlichen Aufgabe
- berechtigtes Interesse, wenn die Interessen der Person nicht überwiegen
Für Gesundheitsdaten und andere besonders sensible Daten gelten strengere Regeln, siehe Art. 9 DSGVO.
Die Rechte der Betroffenen
Jeder Mensch hat unter anderem das Recht auf Information (Art. 13, 14), Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Er kann sich bei einer Aufsichtsbehörde beschweren (Art. 77) und Schadensersatz verlangen (Art. 82).
Pflichten für Unternehmen
- Auftragsverarbeitungsvertrag (AVV) mit jedem Dienstleister, der Daten in Ihrem Auftrag verarbeitet (Art. 28).
- Verzeichnis von Verarbeitungstätigkeiten (Art. 30).
- Technische und organisatorische Maßnahmen zur Datensicherheit (Art. 32).
- Meldung von Datenpannen an die Aufsichtsbehörde, in der Regel binnen 72 Stunden (Art. 33).
- Datenschutzbeauftragter, in Deutschland in der Regel ab 20 Personen, die ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG).
Bußgelder
Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 83). Für viele formelle Verstöße liegt die Obergrenze bei 10 Millionen Euro oder 2 %. Zuständig sind in Deutschland die Datenschutzbehörden der Länder und für bestimmte Bereiche die Bundesbeauftragte für den Datenschutz.
Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.
Was die DSGVO nicht schützt
Die DSGVO schützt Daten nur, solange sie sich auf eine erkennbare Person beziehen. Erwägungsgrund 26 sagt ausdrücklich: Für anonyme Informationen gelten die Grundsätze des Datenschutzes nicht. Wer aus einer Patientenakte, einem Mandantenvertrag oder einer Gehaltsliste alles entfernt, was auf einen Menschen zeigt, hält danach Daten in der Hand, für die die DSGVO nicht mehr gilt. Solche Daten dürfen rechtmäßig gebündelt, lizenziert und verkauft werden.
Drei Punkte machen das praktisch relevant:
- Pseudonymisiert ist nicht anonymisiert. Wird der Name nur durch einen Code ersetzt, bleibt es personenbezogenes Datum, jedenfalls für jeden, der die Zuordnung herstellen kann. Den Unterschied erklärt unser Beitrag Pseudonymisierung und Anonymisierung.
- Nutzungsbedingungen zählen. Räumt sich ein Anbieter eine Lizenz an Ihren Inhalten ein, kann er sie nach einer Anonymisierung im Rahmen dieser Lizenz weiterverwenden.
- Die DSGVO ist nicht alles. Für Berufsgeheimnisträger gilt zusätzlich die Schweigepflicht nach § 203 StGB, die an derselben Stelle endet: beim erkennbaren Menschen.
Wie ein Dokument diesen Weg nimmt, zeigt Die Datenspur. Die Quellen und den Markt dahinter beschreibt Legal verkäuflich.
Was das für KI-Werkzeuge bedeutet
Prüfen Sie bei jedem KI-Werkzeug:
- Gibt es einen AVV nach Art. 28, und handelt der Anbieter nur auf Ihre Weisung?
- Wo werden die Daten gehostet und verarbeitet?
- Wird mit Ihren Eingaben trainiert, und speichern die angebundenen Modellanbieter etwas?
- Räumen die Nutzungsbedingungen eine Lizenz zur Weiterverwendung ein, auch für „anonymisierte“ oder „aggregierte“ Daten?
Wysor ist Auftragsverarbeiter nach Art. 28 DSGVO und verarbeitet Ihre Inhalte nur, um den Dienst für Sie zu erbringen. Wir nehmen uns keine Lizenz zur Weiterverwendung, trainieren nicht mit Ihren Inhalten und verkaufen sie nicht, auch nicht anonymisiert. Diese Zusagen stehen im Vertrag und binden auch jeden, dem Wysor künftig gehören könnte. Ihre Daten sind bei der Übertragung und im Ruhezustand verschlüsselt und werden in der EU gehostet. Bei jedem angebundenen KI-Modellanbieter gilt Zero Data Retention. Und Sie arbeiten in einem Arbeitsbereich mit mehreren Modellen, darunter GPT, Claude und Gemini. So lässt sich KI DSGVO-konform nutzen. Mehr dazu auf unserer Seite DSGVO-konforme KI.
Häufige Fragen
Was bedeutet DSGVO? DSGVO steht für Datenschutz-Grundverordnung, die Verordnung (EU) 2016/679. Im Englischen heißt sie GDPR (General Data Protection Regulation).
Was ist die DSGVO in einfachen Worten? Ein EU-Gesetz, das festlegt, wer Daten über Menschen wofür verwenden darf, wie sie zu schützen sind und welche Rechte die Menschen haben. Wer dagegen verstößt, riskiert Bußgelder und Schadensersatz.
Seit wann gilt die DSGVO? Sie ist 2016 in Kraft getreten und gilt seit dem 25. Mai 2018 verbindlich in allen Mitgliedstaaten der EU.
Gilt die DSGVO auch für kleine Unternehmen und Praxen? Ja. Es gibt einzelne Erleichterungen, etwa beim Datenschutzbeauftragten, aber die Grundsätze, Rechtsgrundlagen und Betroffenenrechte gelten unabhängig von der Größe.
Gilt die DSGVO für anonymisierte Daten? Nein. Nach Erwägungsgrund 26 fallen anonyme Daten nicht unter die DSGVO. Deshalb können sie rechtmäßig weitergegeben und verkauft werden.
Weiterlesen
- DSGVO-konforme KI. Was eine KI-Plattform datenschutzkonform einsetzbar macht.
- Was sind personenbezogene Daten?. Definition und Beispiele.
- Pseudonymisierung und Anonymisierung. Wo der Schutz endet.
- Die Datenspur. Was aus einem Dokument wird, wenn jemand es weiterverwenden darf.
- TDDDG einfach erklärt. Wann Cookies und Tracker eine Einwilligung brauchen.
- Datenschutzgesetz Schweiz (nDSG). Das Schweizer Gegenstück zur DSGVO.
Fragen zur DSGVO oder zum AVV? Schreiben Sie an [email protected] oder nutzen Sie das Kontaktformular in der App.
