Was ist Datenschutz?

Datenschutz bezeichnet das Recht des Einzelnen, darüber zu bestimmen, wie seine personenbezogenen Daten erhoben, gespeichert, genutzt, weitergegeben und gelöscht werden: Name, Ort, Gesundheitsdaten, Finanzunterlagen, Verhaltensdaten und jede andere Angabe, an der sich eine Person erkennen lässt. Auf Ebene der Organisation ist Datenschutz die Gesamtheit der Richtlinien, technischen Kontrollen und Governance-Praktiken, die die Rechte des Einzelnen schützen und die Rechtsrahmen erfüllen, die sie durchsetzen.

Der Datenschutz ist von einer Fußnote der Compliance zur Priorität der Geschäftsführung geworden, getrieben von der Ausbreitung personenbezogener Daten in digitalen Systemen, von aufsehenerregenden Datenpannen und Missbrauchsfällen und von einer weltweit immer strengeren Regulierung. Die europaweit gemeldeten Bußgelder nach der DSGVO haben seit Mai 2018 die Marke von 7 Milliarden € überschritten, so die Erhebung von DLA Piper zu DSGVO-Bußgeldern und Datenpannen vom Januar 2026. Der California Consumer Privacy Act war in den USA das erste Gesetz dieser Art, und heute haben rund 20 US-Bundesstaaten, Kalifornien eingeschlossen, umfassende Datenschutzgesetze. Datenschutz ist längst keine Sache mehr allein für die Rechtsabteilung, sondern eine Disziplin für Engineering, Datenarchitektur und Governance.

Datenschutz, klar abgegrenzt

Datenschutz ist von zwei benachbarten Begriffen zu unterscheiden, hängt aber mit ihnen zusammen:

• Datenschutz gegenüber Datensicherheit: Sicherheit schützt Daten vor unbefugtem Zugriff, vor Datenpannen und Angriffen. Der Datenschutz regelt die befugte Nutzung, also dass auch diejenigen, die rechtmäßig auf Daten zugreifen, sie nur für die Zwecke verwenden, für die sie erhoben wurden und rechtmäßig verarbeitet werden. Ein Unternehmen kann hervorragende Sicherheit haben und schlechte Praxis im Datenschutz.
• Datenschutz gegenüber „data protection“: Im juristischen Sprachgebrauch ist „data protection“ oft der europäische Begriff für das, was in den USA „data privacy“ heißt. Die DSGVO ist formal eine Verordnung zum Datenschutz. Das Deutsche hat für beide nur ein Wort, und in den meisten geschäftlichen Zusammenhängen meinen sie ohnehin dasselbe.

Personenbezogene Daten (englisch auch personally identifiable information oder PII) sind der zentrale Begriff. Die Vorschriften fassen ihn weit: jede Information, mit der sich eine lebende Person erkennen lässt, unmittelbar (Name, E-Mail, Ausweisnummer) oder mittelbar (IP-Adresse zusammen mit einem Zeitstempel, Geräte-Fingerabdruck, Standortdaten, die genau genug sind, um eine Wohnadresse zu bestimmen). Pseudonymisierte Daten, bei denen unmittelbare Kennungen durch Zufallscodes ersetzt sind, können weiterhin personenbezogene Daten sein, wenn eine Re-Identifizierung möglich ist.

Die wichtigsten Datenschutzgesetze

DSGVO (Datenschutz-Grundverordnung der EU)

Anwendbar seit dem 25. Mai 2018. Sie gilt für Organisationen mit Niederlassung in der EU sowie für Organisationen außerhalb der EU, die Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten dort beobachten (Art. 3 DSGVO). Der Wohnsitz ist nicht das Kriterium. Die Kernanforderungen: Rechtsgrundlage für die Verarbeitung, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Betroffenenrechte (Auskunft, Löschung, Übertragbarkeit, Widerspruch), Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen sowie die Dokumentation der Rechenschaftspflicht. Höchstes Bußgeld: 20 Millionen € oder 4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist.

CCPA und CPRA (California Consumer Privacy Act, California Privacy Rights Act)

Das kalifornische Datenschutzgesetz (in Kraft seit dem 1. Januar 2020, seit dem 1. Januar 2023 durch den CPRA verschärft) gibt Menschen mit Wohnsitz in Kalifornien das Recht zu erfahren, welche personenbezogenen Informationen erhoben werden, sie löschen und unrichtige Angaben berichtigen zu lassen, ihrem Verkauf oder ihrer Weitergabe zu widersprechen und die Nutzung sensibler personenbezogener Informationen zu beschränken (California Privacy Protection Agency). Es schreibt weniger vor als die DSGVO, was die Rechtsgrundlagen der Verarbeitung angeht, wiegt aber im Umfang schwer: Kaliforniens wirtschaftliches Gewicht macht es zu einem verbreiteten Bezugspunkt für Unternehmen, die in den gesamten USA tätig sind.

Branchenspezifische Vorschriften

HIPAA (US-Gesundheitsdaten), COPPA (Daten von Kindern in den USA), PCI-DSS (Zahlungskartendaten) und viele weitere stellen Anforderungen an Datenschutz und Datenverarbeitung für bestimmte Kategorien sensibler Daten. Multinationale Organisationen müssen ihre Daten gegen alle einschlägigen Rahmenwerke abgleichen, und das setzt voraus, zu wissen, welche Daten sie haben und wo diese liegen.

Die Grundsätze des Datenschutzes

Bei allen Unterschieden teilen die meisten Datenschutzvorschriften einen gemeinsamen Satz an Grundsätzen:

1. Rechtsgrundlage: Jede Verarbeitung braucht eine Rechtsgrundlage: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigte Interessen. „Wir haben die Daten erhoben, also dürfen wir sie nutzen“ ist keine Rechtsgrundlage.
2. Zweckbindung: Daten, die für einen Zweck erhoben wurden, lassen sich nicht frei umwidmen. Marketingdaten dürfen ohne zusätzliche Rechtsgrundlage nicht der Bewerberauswahl dienen.
3. Datenminimierung: Erheben Sie nur, was Sie brauchen. Überflüssige personenbezogene Daten zu speichern erhöht das Risiko einer Datenpanne und die Last der Compliance, ohne einen entsprechenden Wert zu schaffen.
4. Speicherbegrenzung: Personenbezogene Daten sollten nicht länger aufbewahrt werden als nötig. Organisationen brauchen dokumentierte Aufbewahrungsregeln und technische Kontrollen, die sie durchsetzen.
5. Betroffenenrechte: Menschen haben das Recht, ihre Daten einzusehen, sie zu berichtigen, sie löschen zu lassen (wo anwendbar) und automatisierte Entscheidungen über sich zu verstehen. Organisationen brauchen Prozesse und Systeme, um diese Anfragen innerhalb der gesetzlichen Fristen zu beantworten (DSGVO: ein Monat, bei komplexen oder zahlreichen Anträgen um zwei weitere Monate verlängerbar, nach Art. 12 Abs. 3).

Technische Kontrollen für den Datenschutz

Datenschutz-Compliance verlangt technische Kontrollen, die die Datenschutzregeln auf der Datenebene durchsetzen:

• Klassifizierung und Auszeichnung: Felder mit personenbezogenen Daten (Name, E-Mail, Sozialversicherungsnummer, Gesundheitsdaten) über alle Datenbestände hinweg automatisch erkennen und kennzeichnen. Ohne Klassifizierung weiß eine Organisation nicht, wo ihre personenbezogenen Daten liegen, und kann Betroffenenanfragen nicht mit vertretbarem Aufwand erfüllen.
• Pseudonymisierung und Anonymisierung: Unmittelbare Kennungen durch Pseudonyme ersetzen (umkehrbar) oder Daten statistisch so verändern, dass eine Re-Identifizierung ausgeschlossen ist (unumkehrbare Anonymisierung). Sauber anonymisierte Daten fallen aus dem Anwendungsbereich der DSGVO heraus.
• Zugriffskontrolle auf Spaltenebene: Den Zugriff je Spalte steuern, damit alle, die aggregierte Auswertungen brauchen, Summen sehen, ohne einzelne personenbezogene Datensätze zu sehen. Umgesetzt wird das oft über dynamische Datenmaskierung.
• Einwilligungsverwaltung: Systeme, die festhalten, welche Einwilligung wann und zu welchem Zweck erteilt wurde, und die sicherstellen, dass die Verarbeitung im Rahmen der Einwilligung bleibt. Die Nachweise über Einwilligungen müssen prüfbar sein.
• Automatisierte Aufbewahrung: Regeln, die personenbezogene Daten automatisch archivieren oder löschen, sobald ihre Aufbewahrungsfrist abläuft, durchgesetzt von der Datenplattform statt über manuelle Löschvorgänge.

Privacy by Design, der Datenschutz durch Technikgestaltung

Privacy by Design, in Art. 25 DSGVO als „Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“ geregelt, verlangt von Organisationen, den Datenschutz von Anfang an in Systeme und Prozesse einzubauen, statt ihn nachträglich anzuflanschen. Praktisch heißt das:

• Eine Datenschutz-Folgenabschätzung (DSFA) durchführen, bevor eine neue Verarbeitung beginnt, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs. 1)
• In der Voreinstellung nur das Nötigste erheben, statt alles zu sammeln, was nützlich sein könnte
• Die Datenarchitektur so entwerfen, dass personenbezogene Daten vom ersten Tag eines Systems an getrennt, klassifiziert und kontrolliert sind

Data Governance für den Datenschutz

Datenschutz-Compliance in großem Maßstab ist ein Problem der Data Governance. Die grundlegenden Fragen lauten: Welche personenbezogenen Daten haben wir? Wo liegen sie? Wer darf darauf zugreifen? Wie lange bewahren wir sie auf? Können wir ein Löschverlangen beantworten? Das alles sind Fragen, die eine reife Infrastruktur für Data Governance beantworten kann und eine Organisation ohne sie nicht.

Die Governance-Fähigkeiten, auf denen der Datenschutz beruht:

• Datenkatalog mit Klassifizierung personenbezogener Daten: Zu wissen, wo personenbezogene Daten über alle Systeme hinweg liegen, ist die Voraussetzung für jede andere Datenschutzkontrolle. Ein Datenkatalog, in dem Bestände mit personenbezogenen Daten klassifiziert sind und eine verantwortliche Person haben, liefert dieses Verzeichnis in großem Maßstab.
• Data Lineage: Zu verstehen, wie personenbezogene Daten von der Quelle über Transformationen bis in die Berichtssysteme fließen, ist unerlässlich, um Löschverlangen zu beantworten (was Sie nicht kennen, können Sie nicht löschen) und um den Umfang einer DSFA zu bestimmen.
• Verantwortung und Stewardship: Jeder Bestand personenbezogener Daten braucht eine benannte Person, die für seinen sachgerechten Umgang einsteht. Ohne klare Datenverantwortung verteilt sich die Rechenschaft im Datenschutz und ist damit nicht vorhanden.
• Datenqualität: Der Grundsatz der Richtigkeit in der DSGVO verlangt, dass personenbezogene Daten stimmen und aktuell gehalten werden. Die Überwachung der Datenqualität für Felder mit personenbezogenen Daten ist eine Anforderung der Datenschutz-Compliance und nicht bloß gute Praxis im Data Engineering.

Fazit

Der Datenschutz gehört zu den folgenreichsten Aufgaben der Data Governance, die Organisationen zu lösen haben, sowohl mit Blick auf das regulatorische Risiko als auch mit Blick auf das Vertrauen, das Menschen ihnen mit ihren personenbezogenen Daten entgegenbringen. Ihn richtig zu machen heißt, ihn als Disziplin für Engineering und Governance zu behandeln: die Infrastruktur aufbauen, die weiß, welche personenbezogenen Daten es gibt, wohin sie fließen, wer auf sie zugreifen darf und wie lange sie aufbewahrt werden. Organisationen, die in diese Infrastruktur investieren, in Datenkataloge, Klassifizierung, Data Lineage und Zugriffskontrolle, stehen für die Datenschutz-Compliance systematisch besser da als solche, die den Datenschutz als juristisches Häkchen abhaken.

Quellen

Der Text der DSGVO ist die Primärquelle für jeden Artikelverweis oben. gdpr-info.eu gibt den amtlichen Text Artikel für Artikel wieder.

• DLA Piper, GDPR fines and data breach survey, January 2026 (Summe der DSGVO-Bußgelder seit Mai 2018).
• Amt für Veröffentlichungen der EU (EUR-Lex), Regulation (EU) 2016/679, General Data Protection Regulation (amtlicher Text).
• GDPR Article 3, Territorial scope (Niederlassung, Angebot von Waren oder Dienstleistungen, Verhaltensbeobachtung).
• GDPR Article 12, Transparent information, communication and modalities (ein Monat, um zwei weitere Monate verlängerbar).
• GDPR Article 25, Data protection by design and by default.
• GDPR Article 35, Data protection impact assessment (das Kriterium des hohen Risikos).
• GDPR Article 99, Entry into force and application (anwendbar ab dem 25. Mai 2018).
• California Privacy Protection Agency, Frequently Asked Questions (Verbraucherrechte nach dem CCPA in der Fassung des CPRA).