Datenschutz verständlich erklärt

Datenschutz schützt Menschen, nicht Daten. Wer personenbezogene Daten verarbeitet, muss das rechtmäßig, transparent und sicher tun. Seit dem 25. Mai 2018 gilt dafür in der gesamten EU die Datenschutz-Grundverordnung (DSGVO); in Deutschland ergänzt sie das Bundesdatenschutzgesetz (BDSG).

Die DSGVO gilt unmittelbar in allen EU-Mitgliedstaaten. Sie legt fest, unter welchen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen, welche Rechte betroffene Personen haben und welche Pflichten Unternehmen und Behörden treffen. Das BDSG nutzt die Spielräume, die die DSGVO den Mitgliedstaaten lässt – etwa bei der Benennung von Datenschutzbeauftragten oder im Beschäftigtenkontext.

Die Grundsätze (Art. 5 DSGVO)

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
• Zweckbindung: Daten nur für festgelegte, eindeutige Zwecke
• Datenminimierung: nur so viele Daten wie nötig
• Richtigkeit: Daten aktuell und korrekt halten
• Speicherbegrenzung: löschen, wenn der Zweck entfällt
• Integrität und Vertraulichkeit: angemessene Sicherheit
• Rechenschaftspflicht: Du musst die Einhaltung nachweisen können.

Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO, zum Beispiel einen Vertrag, eine rechtliche Verpflichtung, ein berechtigtes Interesse oder eine Einwilligung.

Für praktisch jede Organisation: Unternehmen jeder Größe, Vereine, Behörden und Selbstständige – sobald sie personenbezogene Daten von Kunden, Beschäftigten, Bewerbern oder Interessenten verarbeiten. Ausgenommen ist nur die ausschließlich persönliche oder familiäre Nutzung.

Besonders gefordert sind Organisationen, die sensible Daten wie Gesundheitsdaten verarbeiten oder Daten in großem Umfang auswerten, etwa für Marketing oder Scoring.

• Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO): Überblick, welche Daten zu welchem Zweck verarbeitet werden
• Informationspflichten (Art. 13 und 14 DSGVO): Betroffene verständlich informieren, etwa in der Datenschutzerklärung
• Betroffenenrechte erfüllen: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch
• Technische und organisatorische Maßnahmen (Art. 32 DSGVO): Sicherheit angemessen zum Risiko
• Auftragsverarbeitung (Art. 28 DSGVO): Verträge mit Dienstleistern, die Daten in deinem Auftrag verarbeiten
• Datenschutzverletzungen melden (Art. 33 DSGVO): unverzüglich und möglichst binnen 72 Stunden an die Aufsichtsbehörde, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Betroffenen
• Datenschutz-Folgenabschätzung (Art. 35 DSGVO): bei voraussichtlich hohem Risiko für die Rechte und Freiheiten der Betroffenen

Bei Verstößen drohen Geldbußen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 83 DSGVO).

Hinweis: Dieser Überblick dient der Orientierung und ersetzt keine Rechtsberatung.

Nach Art. 37 DSGVO braucht eine Organisation eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten (DSB), wenn

• sie eine Behörde oder öffentliche Stelle ist,
• ihre Kerntätigkeit in einer umfangreichen, regelmäßigen und systematischen Überwachung von Personen besteht oder
• ihre Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien von Daten liegt, etwa Gesundheitsdaten.

In Deutschland erweitert § 38 Abs. 1 BDSG die Pflicht für Unternehmen: Ein DSB ist zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Personenzahl gilt die Pflicht, wenn Verarbeitungen eine Datenschutz-Folgenabschätzung erfordern oder Daten geschäftsmäßig zur Übermittlung oder für Markt- und Meinungsforschung verarbeitet werden.

Gut zu wissen: In der Föderalen Modernisierungsagenda vom Dezember 2025 hat der Bund angekündigt, bis Ende 2026 eine Aufhebung von § 38 Abs. 1 BDSG einzubringen. Dann gälte für Unternehmen nur noch Art. 37 DSGVO. Stand Oktober 2026 ist das nicht beschlossen – die 20-Personen-Regel gilt weiter.

Der DSB kann intern oder extern benannt werden und braucht Fachkunde (Art. 37 Abs. 5 DSGVO). Er berät und überwacht; die Verantwortung für den Datenschutz bleibt bei der Leitung. Auch ohne Benennungspflicht musst du die DSGVO vollständig einhalten.

• Datenschutzbeauftragte: beraten Leitung und Beschäftigte, überwachen die Einhaltung und sind Ansprechpartner für Betroffene und Aufsichtsbehörde.
• Datenschutzkoordinatoren: unterstützen den DSB in Fachbereichen oder an Standorten.
• Datenschutzauditoren: prüfen Prozesse und Datenschutzmanagementsysteme systematisch – intern oder bei Dienstleistern.
• Informationssicherheitsbeauftragte: verantworten die Sicherheit der Verarbeitung, die Art. 32 DSGVO verlangt. Eine enge Zusammenarbeit mit dem DSB lohnt sich.

Ein gesetzlich geschütztes Berufsbild „Datenschutzbeauftragter“ gibt es nicht. Entscheidend ist die nachweisbare Fachkunde, etwa über eine fundierte Ausbildung mit Prüfung.

1. Bestandsaufnahme: Welche personenbezogenen Daten verarbeitest du, wo und wofür?
2. Verzeichnis von Verarbeitungstätigkeiten anlegen und Rechtsgrundlagen zuordnen.
3. DSB-Pflicht prüfen und bei Bedarf intern oder extern benennen.
4. Dienstleister prüfen und Verträge zur Auftragsverarbeitung abschließen.
5. Prozesse festlegen: Betroffenenanfragen, Löschkonzept, Meldung von Datenpannen.
6. Beschäftigte schulen und den Datenschutz regelmäßig überprüfen.

Einen kompakten Überblick geben die DSGVO Grundlagen. Wer die Rolle übernimmt, findet in der Ausbildung Datenschutzbeauftragter das passende Fundament; für Prüfungen gibt es die Schulung zum Datenschutzauditor.

Du willst dein Wissen testen? Hier findest du 10 typische Prüfungsfragen für Datenschutzbeauftragte mit Lösungen.

Stand: Oktober 2026. Wir stützen uns vorrangig auf Primärquellen:

• Datenschutz-Grundverordnung (EU) 2016/679 (EUR-Lex)
• Bundesdatenschutzgesetz, § 38 Datenschutzbeauftragte nichtöffentlicher Stellen
• Föderale Modernisierungsagenda (Beschluss vom 4. Dezember 2025), Maßnahme „Beschränkung der Pflicht zur Bestellung von Datenschutzbeauftragten“