Datenschutz betrifft heute nahezu jedes Unternehmen. Kunden-, Mitarbeiter- oder Bewerberdaten – personenbezogene Informationen werden täglich verarbeitet. Doch welche Pflichten ergeben sich daraus konkret? Reicht eine Datenschutzerklärung auf der Website? Oder müssen Unternehmen deutlich mehr umsetzen?
Dieser Artikel erklärt, welche grundlegenden Datenschutzpflichten Unternehmen nach der DSGVO erfüllen müssen und worauf besonders zu achten ist.
Das Wichtigste auf den ersten Blick
- Unternehmen dürfen personenbezogene Daten nur auf einer gültigen Rechtsgrundlage verarbeiten (Art. 6 DSGVO).
- Sie müssen Betroffene transparent über die Datenverarbeitung informieren (Art. 13, 14 DSGVO).
- Es besteht eine Pflicht zur Umsetzung geeigneter technischer und organisatorischer Maßnahmen (Art. 32 DSGVO).
- Verarbeitungstätigkeiten müssen dokumentiert werden (Art. 30 DSGVO).
- Die Gesamtverantwortung liegt bei der Geschäftsleitung – auch bei Bestellung eines Datenschutzbeauftragten.
Wann gilt die DSGVO für Unternehmen?
Die Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten.
Sobald ein Unternehmen personenbezogene Daten verarbeitet – also Daten, die sich auf identifizierte oder identifizierbare Personen beziehen – greifen die Vorschriften der DSGVO. Dazu gehören etwa Namen, E-Mail-Adressen, Kundendaten, Mitarbeiterdaten oder IP-Adressen.
Die Größe des Unternehmens spielt grundsätzlich keine Rolle. Auch kleine Betriebe sind betroffen.
Welche Grundsätze müssen Unternehmen beachten?
Die DSGVO nennt in Art. 5 zentrale Grundsätze der Datenverarbeitung. Diese bilden die Basis aller Datenschutzpflichten. Diese Prinzipien gelten für jede einzelne Verarbeitungstätigkeit.
Unternehmen müssen personenbezogene Daten:
- rechtmäßig und transparent verarbeiten,
- nur für festgelegte Zwecke nutzen,
- auf das notwendige Maß beschränken,
- sachlich richtig halten,
- nicht länger als erforderlich speichern,
- angemessen schützen.
Warum ist eine Rechtsgrundlage so wichtig?
Eine Datenverarbeitung ist nur zulässig, wenn sie auf einer gültigen Rechtsgrundlage beruht. Typische Rechtsgrundlagen sind:
- Vertragserfüllung
- gesetzliche Verpflichtung
- Einwilligung
- berechtigtes Interesse
Unternehmen müssen klar dokumentieren, auf welche Grundlage sie sich stützen. Ohne Rechtsgrundlage ist die Verarbeitung unzulässig – selbst wenn sie technisch korrekt abgesichert ist.
Welche Informationspflichten bestehen?
Unternehmen müssen Betroffene transparent darüber informieren, welche Daten verarbeitet werden und zu welchem Zweck.
Diese Informationspflicht wird meist über Datenschutzhinweise oder Datenschutzerklärungen erfüllt. Entscheidend ist, dass die Informationen vollständig, verständlich und leicht zugänglich sind.
Fehlende oder unklare Informationen gehören zu den häufigsten Beanstandungsgründen bei Datenschutzprüfungen.
Datenschutz klären, bevor es teuer wird
Datenschutz ist Pflicht, die richtige Umsetzung entscheidet. Mit ComplyDeal findest du geprüfte Datenschutz-Experten, die zu deiner Unternehmensgröße, Branche und Datenverarbeitung passen.
Welche Dokumentationspflichten gelten?
Ein zentrales Element der DSGVO ist die sogenannte Rechenschaftspflicht. Unternehmen müssen nachweisen können, dass sie die gesetzlichen Anforderungen erfüllen.
Dazu gehört insbesondere das Führen eines Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Auch Einwilligungen, Datenschutzverletzungen und interne Richtlinien müssen dokumentiert werden.
Ohne Dokumentation fehlt der Nachweis der DSGVO-Konformität.
Welche technischen und organisatorischen Maßnahmen sind erforderlich?
Art. 32 DSGVO verpflichtet Unternehmen, personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen zu schützen.
Diese Maßnahmen müssen dem Risiko angemessen sein. Je sensibler die Daten oder je höher das Schadenspotenzial, desto höher sind die Anforderungen.
Dazu können beispielsweise Zugriffsbeschränkungen, Verschlüsselung, Backup-Systeme oder Schulungen der Mitarbeitenden gehören.
Welche Pflichten bestehen bei Datenschutzverletzungen?
Kommt es zu einer Datenschutzverletzung – etwa durch Datenverlust oder unbefugten Zugriff –, müssen Unternehmen unter bestimmten Voraussetzungen die zuständige Aufsichtsbehörde innerhalb von 72 Stunden informieren.
Besteht ein hohes Risiko für Betroffene, müssen auch diese informiert werden.
Dafür sind klare interne Prozesse notwendig.
Wann muss ein Datenschutzbeauftragter bestellt werden?
Unter bestimmten Voraussetzungen ist die Bestellung eines Datenschutzbeauftragten verpflichtend. Das ist etwa der Fall, wenn die Kerntätigkeit des Unternehmens in einer umfangreichen Verarbeitung personenbezogener Daten besteht oder wenn regelmäßig besonders sensible Daten verarbeitet werden.
In Deutschland kann zudem eine Pflicht bestehen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG).
Fazit: Datenschutz ist Organisationsaufgabe
Datenschutzpflichten sind kein einmaliges Projekt. Sie erfordern strukturierte Prozesse, klare Zuständigkeiten und regelmäßige Überprüfung.
Unternehmen, die Datenschutz systematisch organisieren, reduzieren Bußgeldrisiken und stärken das Vertrauen von Kunden und Mitarbeitenden.