Die Datenschutz-Grundverordnung (DSGVO) ist eine Verordnung der Europäischen Union, die seit dem 25. Mai 2018 in allen EU-Mitgliedstaaten gilt. Sie regelt die Verarbeitung personenbezogener Daten durch Unternehmen, Behörden und andere Organisationen. Die DSGVO stärkt die Rechte der Betroffenen und verpflichtet Verantwortliche zu Transparenz, Datensicherheit und Rechenschaftspflicht. Bei Verstößen drohen Bußgelder von bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes.
Der Datenschutzbeauftragte ist eine natürliche Person, die in einem Unternehmen oder einer Behörde für die Einhaltung des Datenschutzes verantwortlich ist. Nach Art. 37 DSGVO ist die Benennung eines DSB Pflicht, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien besteht oder eine systematische Überwachung von Personen erfolgt. In Deutschland gilt zusätzlich: Sind mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, ist ein DSB zu benennen. Der DSB kann intern oder extern bestellt werden.
Personenbezogene Daten umfassen nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören Name, Adresse, E-Mail, Telefonnummer, IP-Adresse, Standortdaten, Gesundheitsdaten, biometrische Daten und viele weitere. Eine Person gilt als identifizierbar, wenn sie direkt oder indirekt – etwa durch Zuordnung zu einer Kennung – bestimmt werden kann. Besondere Kategorien personenbezogener Daten (z.B. Gesundheitsdaten, politische Meinungen) unterliegen einem erhöhten Schutz.
Technische und organisatorische Maßnahmen (TOM) sind Schutzmaßnahmen, die nach Art. 32 DSGVO ergriffen werden müssen, um ein angemessenes Schutzniveau für personenbezogene Daten zu gewährleisten. Technische Maßnahmen umfassen beispielsweise Verschlüsselung, Firewalls, Zugriffskontrollen und regelmäßige Backups. Organisatorische Maßnahmen beinhalten Schulungen, Arbeitsanweisungen, Zugangsberechtigungskonzepte und Vertraulichkeitsvereinbarungen. Die TOMs müssen dokumentiert werden und dem Stand der Technik entsprechen.
Das Verzeichnis von Verarbeitungstätigkeiten (VVT) ist nach Art. 30 DSGVO eine verpflichtende Dokumentation aller Datenverarbeitungsprozesse eines Unternehmens. Es muss Informationen enthalten wie: Name und Kontaktdaten des Verantwortlichen, Zwecke der Verarbeitung, Kategorien betroffener Personen und personenbezogener Daten, Empfänger der Daten, Übermittlungen in Drittländer, Löschfristen und technische/organisatorische Maßnahmen. Das VVT muss der Aufsichtsbehörde auf Anfrage vorgelegt werden können.
Die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist eine systematische Analyse der Risiken, die eine geplante Datenverarbeitung für die Rechte und Freiheiten betroffener Personen mit sich bringt. Sie ist verpflichtend bei Verarbeitungen, die voraussichtlich ein hohes Risiko bergen – etwa bei systematischer Videoüberwachung, Profiling oder der Verarbeitung besonderer Datenkategorien im großen Umfang. Die DSFA muss eine Beschreibung der Verarbeitung, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit sowie Maßnahmen zur Risikominderung enthalten.
Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist ein verbindlicher Vertrag zwischen dem Verantwortlichen und einem Auftragsverarbeiter, der personenbezogene Daten im Auftrag verarbeitet. Der AVV regelt Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Typische Auftragsverarbeiter sind Cloud-Anbieter, IT-Dienstleister, Marketingagenturen oder Lohnbuchhalter.
Der AI Act (Verordnung über Künstliche Intelligenz) ist die weltweit erste umfassende KI-Regulierung. Er wurde von der EU verabschiedet und klassifiziert KI-Systeme nach ihrem Risikopotenzial in vier Kategorien: verbotene Praktiken, Hochrisiko-Systeme, begrenzt riskante Systeme und Systeme mit minimalem Risiko. Hochrisiko-KI-Systeme (z.B. in Personalwesen, Bildung, kritischer Infrastruktur) müssen strenge Anforderungen an Transparenz, Datenqualität, menschliche Aufsicht und Dokumentation erfüllen. Verstöße können mit Bußgeldern von bis zu 35 Millionen Euro oder 7% des weltweiten Jahresumsatzes geahndet werden.
Die Betroffenenrechte nach der DSGVO umfassen: Auskunftsrecht (Art. 15) – Recht auf Information über gespeicherte Daten; Recht auf Berichtigung (Art. 16) – Korrektur unrichtiger Daten; Recht auf Löschung (Art. 17) – auch bekannt als ‚Recht auf Vergessenwerden‘; Recht auf Einschränkung (Art. 18) – Begrenzung der Verarbeitung; Recht auf Datenübertragbarkeit (Art. 20) – Erhalt der Daten in maschinenlesbarem Format; Widerspruchsrecht (Art. 21) – Widerspruch gegen bestimmte Verarbeitungen. Anfragen müssen innerhalb eines Monats beantwortet werden.
Privacy by Design nach Art. 25 DSGVO bedeutet, dass Datenschutz bereits bei der Entwicklung von Produkten, Systemen und Prozessen berücksichtigt werden muss – nicht erst nachträglich. Technische Voreinstellungen müssen datenschutzfreundlich sein (Privacy by Default). Beispiele: Minimierung der erhobenen Daten, Pseudonymisierung, automatische Löschung nach Ablauf der Speicherfrist, standardmäßig deaktivierte Tracking-Optionen. Dieser Ansatz reduziert Datenschutzrisiken und vermeidet kostspielige nachträgliche Anpassungen.
Die Datenschutz-Aufsichtsbehörden sind unabhängige staatliche Stellen, die die Einhaltung der DSGVO überwachen. In Deutschland gibt es 17 Aufsichtsbehörden – eine für jedes Bundesland plus den Bundesbeauftragten für den Datenschutz (BfDI). Ihre Aufgaben umfassen: Bearbeitung von Beschwerden, Durchführung von Prüfungen, Beratung von Verantwortlichen, Verhängung von Bußgeldern und Anordnung von Maßnahmen. Betroffene können sich bei Datenschutzverstößen direkt an die zuständige Aufsichtsbehörde wenden.
Auftragsverarbeitung liegt vor, wenn ein externer Dienstleister (Auftragsverarbeiter) personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen verarbeitet. Typische Beispiele sind: Cloud-Hosting-Anbieter, IT-Wartungsunternehmen, Newsletter-Dienstleister, Callcenter oder Lohnbuchhaltung. Die Auftragsverarbeitung muss durch einen AVV (Auftragsverarbeitungsvertrag) geregelt werden. Der Verantwortliche bleibt für die Einhaltung der DSGVO verantwortlich und muss sicherstellen, dass der Auftragsverarbeiter geeignete Garantien bietet.
Die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO ist eine der Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. Sie muss freiwillig, für den konkreten Fall, informiert und unmissverständlich erteilt werden. Bei besonderen Datenkategorien muss sie ausdrücklich erfolgen. Die Einwilligung kann jederzeit widerrufen werden – der Widerruf muss ebenso einfach sein wie die Erteilung. Verantwortliche müssen die Einwilligung nachweisen können. Typische Anwendungsfälle: Newsletter-Anmeldung, Cookie-Consent, Foto-Veröffentlichung.
Eine Datenpanne (Data Breach) nach Art. 33/34 DSGVO ist eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung personenbezogener Daten führt. Beispiele: Hackerangriff, verlorener Laptop, fehlgeleitete E-Mail mit sensiblen Daten. Datenpannen müssen innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden, sofern ein Risiko für die Betroffenen besteht. Bei hohem Risiko müssen auch die Betroffenen selbst informiert werden. Ein Incident-Response-Plan hilft bei der schnellen und korrekten Reaktion.
Ein Löschkonzept ist ein dokumentierter Plan, der festlegt, wann und wie personenbezogene Daten gelöscht werden müssen. Nach dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) dürfen Daten nur so lange gespeichert werden, wie es für den Verarbeitungszweck erforderlich ist. Das Löschkonzept muss gesetzliche Aufbewahrungsfristen (z.B. 10 Jahre für Geschäftsunterlagen, 6 Jahre für Handelsbriefe) berücksichtigen und klare Verantwortlichkeiten sowie technische Umsetzung definieren. Es ist Bestandteil des VVT.
KI-Compliance umfasst alle Maßnahmen zur Einhaltung rechtlicher Vorgaben beim Einsatz von Künstlicher Intelligenz. Dies beinhaltet die Anforderungen des AI Acts, der DSGVO (z.B. bei automatisierten Einzelentscheidungen nach Art. 22) und branchenspezifischer Regulierungen. Zentrale Aspekte sind: Risikobewertung des KI-Systems, Transparenz gegenüber Nutzern, Qualität der Trainingsdaten, menschliche Aufsicht, Dokumentation und Nachvollziehbarkeit der Entscheidungen. Unternehmen sollten eine KI-Richtlinie etablieren und Mitarbeiter schulen.
Pseudonymisierung nach Art. 4 Nr. 5 DSGVO ist die Verarbeitung personenbezogener Daten in einer Weise, dass sie ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen Person zugeordnet werden können. Im Gegensatz zur Anonymisierung bleiben pseudonymisierte Daten personenbezogen – die Zuordnung ist durch den ‚Schlüssel‘ weiterhin möglich. Pseudonymisierung ist eine wichtige technische Schutzmaßnahme und kann die Anforderungen an die Datensicherheit reduzieren. Beispiel: Ersetzung von Namen durch Kundennummern.
Hochrisiko-KI-Systeme sind nach dem AI Act KI-Anwendungen, die in sensiblen Bereichen eingesetzt werden und daher strengen Anforderungen unterliegen. Dazu gehören: Biometrische Identifizierung, kritische Infrastruktur (Energie, Verkehr), Bildung und Berufsausbildung, Beschäftigung und Personalmanagement, Zugang zu wesentlichen Dienstleistungen, Strafverfolgung, Migration und Asyl, Justiz und demokratische Prozesse. Anbieter müssen umfangreiche Dokumentation, Qualitätsmanagementsysteme, Datengovernance und menschliche Aufsicht sicherstellen.
Datenschutz-Schulungen sind ein zentraler Bestandteil der organisatorischen Maßnahmen nach Art. 32 DSGVO. Unternehmen sind verpflichtet, ihre Mitarbeiter regelmäßig im Umgang mit personenbezogenen Daten zu schulen. Inhalte umfassen: Grundlagen der DSGVO, Umgang mit Betroffenenanfragen, Erkennen und Melden von Datenpannen, branchenspezifische Datenschutzanforderungen und sichere IT-Nutzung. Moderne Schulungsplattformen wie die entplexit Academy bieten interaktive Online-Module, die flexibel in den Arbeitsalltag integriert werden können. Kurze Lerneinheiten von 2–5 Minuten erhöhen die Akzeptanz und den Lernerfolg. Nach erfolgreicher Teilnahme erhalten Mitarbeiter ein Zertifikat als Nachweis der Schulung.
E-Learning im Datenschutzbereich bezeichnet digitale Schulungsformate, die es Mitarbeitern ermöglichen, Datenschutzwissen flexibel und ortsunabhängig zu erwerben. Vorteile gegenüber Präsenzschulungen sind: zeitliche Flexibilität, individuelle Lerngeschwindigkeit, Skalierbarkeit für große Unternehmen, automatische Dokumentation der Teilnahme und geringere Kosten. Die entplexit Academy nutzt moderne E-Learning-Methoden mit interaktiven Modulen, Microlearning-Einheiten (2–5 Minuten) und automatischer Zertifikatsvergabe. Die Plattform ist mobil nutzbar und kann in bestehende Onboarding-Prozesse integriert werden. Die Abrechnung erfolgt nach tatsächlicher monatlicher Nutzung.
Compliance-Training umfasst alle Schulungsmaßnahmen, die sicherstellen, dass Mitarbeiter gesetzliche Vorgaben und interne Richtlinien kennen und einhalten. Im Datenschutzkontext beinhaltet dies: DSGVO-Grundlagen, branchenspezifische Anforderungen (z.B. Gesundheitswesen, IT, Marketing, Personalwesen), Umgang mit KI-Systemen im Unternehmen und Meldewege bei Datenschutzvorfällen. Regelmäßige Compliance-Trainings reduzieren das Risiko von Datenschutzverstößen, stärken das Sicherheitsbewusstsein und schaffen Wettbewerbsvorteile gegenüber Geschäftspartnern und Auftraggebern. Die entplexit Academy bietet maßgeschneiderte Compliance-Trainings, die innerhalb weniger Stunden einsatzbereit sind.
