8. Juni 2026

DSGVODatenschutz-GrundverordnungDatenschutzDatenschutzrechtBetroffenenrechteDSGVO-Compliancepersonenbezogene Daten

Was ist die DSGVO?

Die Datenschutz-Grundverordnung (DSGVO) ist das umfassende Datenschutzrecht der Europäischen Union, anwendbar seit dem 25. Mai 2018 (Verordnung (EU) 2016/679). Sie regelt, wie Organisationen personenbezogene Daten von Menschen in der EU erheben, speichern, nutzen und weitergeben, und gibt diesen Menschen durchsetzbare Rechte an ihren eigenen Daten. Die DSGVO gilt extraterritorial: Sie erfasst Organisationen mit Niederlassung in der EU und nach Art. 3 Abs. 2 DSGVO auch Organisationen anderswo, die Menschen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. Genau deshalb wurde sie zu einem internationalen Bezugspunkt für Datenschutz.

Die DSGVO zählt, weil sie den Datenschutz von einer Fußnote der Compliance zu einer Pflicht auf Vorstandsebene mit echten Konsequenzen gemacht hat: Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes. Über die Bußgelder hinaus hat sie personenbezogene Daten neu gerahmt, als etwas, das Organisationen treuhänderisch halten statt schlicht besitzen. Ihre bleibende betriebliche Folge ist einfach: Personenbezogene Daten, die Sie nicht finden, klassifizieren und nachverfolgen können, können Sie weder schützen noch begründen oder löschen. Unter der Rechtssprache ist die DSGVO damit ein Thema der Data Governance.

TL;DR

Die DSGVO (Verordnung (EU) 2016/679, anwendbar seit Mai 2018) ist das Datenschutzrecht der EU. Sie ruht auf sieben Grundsätzen (Art. 5 DSGVO), gibt Menschen acht Betroffenenrechte (Auskunft, Löschung, Übertragbarkeit und weitere), verlangt für jede Verarbeitung mindestens eine von sechs möglichen Rechtsgrundlagen und verteilt Rollen: Verantwortlicher, Auftragsverarbeiter und, wo vorgeschrieben, ein Datenschutzbeauftragter (DSB). Sie gilt extraterritorial und trägt Bußgelder bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Im Betrieb ist sie ein Auftrag an die Data Governance: Sie müssen wissen, wo personenbezogene Daten liegen (Katalog), was sie sind (Klassifizierung) und wohin sie fließen (Lineage).

Die DSGVO ist eine Verordnung und gilt damit unmittelbar in jedem Mitgliedstaat der EU, ohne dass sie in nationales Recht umgesetzt werden müsste; über das EWR-Abkommen erstreckt sie sich auf Island, Liechtenstein und Norwegen. Sie schützt „personenbezogene Daten“, weit definiert als alle Angaben, die sich auf eine identifizierte oder identifizierbare lebende Person beziehen, und regelt deren „Verarbeitung“, also praktisch jeden Vorgang mit diesen Daten, von der Erhebung bis zur Löschung. Ihr Anwendungsbereich ist bewusst breit: Ein Name, eine E-Mail-Adresse, eine IP-Adresse, ein Standort oder eine Online-Kennung können alle personenbezogene Daten sein.

Ihre prägenden Merkmale:

Rechtebasiert - Im Mittelpunkt stehen die Rechte des Einzelnen, der betroffenen Person, nicht allein die Pflichten der Organisationen.
Grundsatzgeleitet - Compliance folgt aus sieben übergeordneten Grundsätzen statt aus einer Liste enger Einzelregeln.
Extraterritorial - Sie erfasst auch Organisationen außerhalb der EU, die Menschen in der EU Waren oder Dienstleistungen anbieten oder sie beobachten.
Rechenschaftsgetrieben - Organisationen müssen Compliance nicht nur herstellen, sondern sie auch belegen können, mit dokumentierten Nachweisen.

Die sieben Grundsätze

Art. 5 DSGVO nennt sieben Grundsätze, die allem Weiteren in der Verordnung zugrunde liegen. Jede Verarbeitung muss sie alle erfüllen.

Zum Vergrößern klicken

Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz. Daten rechtmäßig, fair und für Menschen nachvollziehbar verarbeiten.
Zweckbindung. Daten für festgelegte, eindeutige Zwecke erheben und nicht für unvereinbare Zwecke weiterverwenden.
Datenminimierung. Nur erheben, was wirklich gebraucht wird.
Richtigkeit. Daten korrekt und aktuell halten.
Speicherbegrenzung. Daten nicht länger aufbewahren als nötig.
Integrität und Vertraulichkeit. Daten gegen unbefugten Zugriff, Verlust oder Beschädigung sichern.
Rechenschaftspflicht. Die Compliance mit all dem belegen können. Dieser Grundsatz macht aus den übrigen dokumentierte Praxis.

Betroffenenrechte

Die DSGVO gibt Menschen eine Reihe durchsetzbarer Rechte an ihren personenbezogenen Daten, üblicherweise als acht Rechte zusammengefasst (Art. 13-22 DSGVO). Ihnen nachzukommen ist unmöglich, ohne genau zu wissen, welche personenbezogenen Daten Sie halten und wo:

Recht auf Information - darüber, wie die eigenen Daten genutzt werden.
Recht auf Auskunft - eine Kopie der eigenen Daten zu erhalten (ein „Auskunftsersuchen“).
Recht auf Berichtigung - unrichtige Daten korrigieren zu lassen.
Recht auf Löschung - das „Recht auf Vergessenwerden“.
Recht auf Einschränkung der Verarbeitung - die Nutzung der eigenen Daten anzuhalten.
Recht auf Datenübertragbarkeit - die eigenen Daten zu erhalten und dienstübergreifend weiterzuverwenden.
Widerspruchsrecht - gegen bestimmte Verarbeitungen, einschließlich Direktwerbung.
Rechte bei automatisierten Entscheidungen - Schutz vor rein automatisierten Entscheidungen mit erheblicher Wirkung.

Das Recht auf Löschung und das Recht auf Auskunft sind der Belastungstest im Betrieb: Eine Organisation, die nicht jede Kopie der Daten einer Person über alle Systeme hinweg findet, kann keines von beiden erfüllen. Hier hören Lineage und ein vollständiger Katalog auf, nette Extras zu sein.

Rollen, Grundlagen und Bußgelder

Rechtsgrundlage. Jede Verarbeitung braucht mindestens eine der sechs Rechtsgrundlagen aus Art. 6 DSGVO: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigte Interessen. „Wir hatten die Daten nun mal“ ist für sich genommen nie eine Begründung.

Rollen. Die DSGVO verteilt Verantwortung nach Rollen:

Verantwortlicher - entscheidet über Zwecke und Mittel der Verarbeitung personenbezogener Daten und trägt die Hauptverantwortung.
Auftragsverarbeiter - verarbeitet Daten im Auftrag des Verantwortlichen (etwa ein Cloud-Anbieter), auf vertraglicher Grundlage.
Datenschutzbeauftragter - vorgeschrieben für Behörden und öffentliche Stellen sowie für Organisationen, deren Kerntätigkeit in einer umfangreichen Überwachung oder in der umfangreichen Verarbeitung sensibler Daten besteht (Art. 37 DSGVO); überwacht die Einhaltung und ist Anlaufstelle für die Aufsichtsbehörde.

Bußgelder und Durchsetzung. Verstöße tragen Bußgelder bis zu 20 Mio. € oder 4 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist; eine niedrigere Stufe von bis zu 10 Mio. € oder 2 % gilt für Verstöße gegen bestimmte organisatorische Pflichten, etwa zu Verzeichnissen, Sicherheit und Meldung von Verletzungen. Durchgesetzt wird sie von den nationalen Aufsichtsbehörden, koordiniert vom Europäischen Datenschutzausschuss (EDSA), und Verletzungen des Schutzes personenbezogener Daten sind der Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden zu melden, es sei denn, sie führen voraussichtlich nicht zu einem Risiko für die betroffenen Personen. Die DSGVO begrenzt außerdem die Übermittlung personenbezogener Daten aus der EU heraus, das Thema der Datensouveränität.

Nimmt man die Rechtssprache weg, schrumpft DSGVO-Compliance auf eine Reihe von Fähigkeiten, die reine Data Governance sind. Sie können keine Daten minimieren, die Sie nie inventarisiert haben, keinem Löschverlangen nachkommen, ohne jeden Ort zu kennen, an dem die Daten einer Person liegen, keine Rechenschaft belegen ohne Dokumentation und keine Rechtsgrundlage und keinen Zweck nachweisen, ohne jede Verarbeitungstätigkeit zu dokumentieren. Jede Anforderung bildet sich direkt auf eine Governance-Fähigkeit ab:

Ein Datenkatalog liefert das Inventar, also welche personenbezogenen Daten es gibt und wo sie liegen. Ohne ihn lässt sich keine andere Pflicht der DSGVO erfüllen.
Datenklassifizierung erkennt und kennzeichnet personenbezogene und sensible Daten, damit sie geschützt und auf Verlangen gefunden werden können.
Data Lineage verfolgt, wohin personenbezogene Daten fließen, und macht damit Auskunft, Löschung und die Analyse der Auswirkungen einer Datenpanne überhaupt handhabbar.
Data Masking und Zugriffskontrolle setzen den Grundsatz der Integrität und Vertraulichkeit in die Praxis um.
Klare Verantwortung für Daten weist die Rechenschaft zu, die die Verordnung verlangt.

Genau diese Lücke schließt Dawiso für Datenschutzteams: Katalog, Klassifizierung und Lineage, die aus den abstrakten Pflichten der DSGVO Dinge machen, die Sie tatsächlich tun und belegen können. Der Datenschutzbeauftragte setzt die Richtlinie, die Governance-Plattform ist das, was der Organisation erlaubt, ihr nachzukommen. Dasselbe Fundament trägt auch den EU AI Act, DORA und NIS2: Steuern Sie Ihre Daten einmal, und Sie haben die Nachweisgrundlage für mehrere Regelwerke zugleich.

Fazit

Die DSGVO hat personenbezogene Daten zu einem regulierten, treuhänderisch gehaltenen Gut gemacht, mit Rechten für Menschen und Rechenschaft für Organisationen. Acht Jahre nach Beginn ihrer Anwendbarkeit ist ihre tiefste Lehre eine betriebliche und keine juristische: Compliance ist nachgelagert zur Governance. Organisationen, die wissen, wo ihre personenbezogenen Daten liegen, was sie sind und wohin sie fließen, erfüllen die DSGVO beinahe nebenbei. Wer das nicht weiß, erlebt jedes Auskunftsersuchen und jede Prüfung als Feuerwehrübung. Die Verordnung ist die Anforderung, gesteuerte Daten sind die Antwort.