Die DSGVO 2026: Verordnung 2016/679, Grundsätze, Betroffenenrechte, DSFA, Datenpannen, Transfers und Sanktionen

Was die DSGVO ist: Entstehung und Aufbau

Vorgängerin war die Richtlinie 95/46/EG. Nach zwei Jahrzehnten benannte die Europäische Kommission drei grundlegende Probleme. Das erste war die Zersplitterung: Jeder Mitgliedstaat hatte ein eigenes Umsetzungsgesetz, und die Unterschiede konnten erheblich sein, sodass ein in mehreren Ländern tätiges Unternehmen so viele Regime hatte wie Märkte. Das zweite war die fehlende Passung zu einer Wirklichkeit, in der Daten in der Cloud verarbeitet und zwischen Kontinenten übermittelt werden; die Richtlinie entstand vor dieser Entwicklung. Das dritte waren die Sanktionen, in vielen Staaten so niedrig, dass sie keine Geschäftsentscheidung beeinflussten.

Die Antwort lag in der Wahl der Rechtsform. Die DSGVO ist eine Verordnung und keine Richtlinie, gilt also unmittelbar und braucht keine Umsetzung. Den Mitgliedstaaten blieb nur begrenzter Spielraum in den vom Rechtsakt selbst benannten Fragen - unter anderem bei der Verarbeitung im Beschäftigungskontext und bei Verfahrensfragen.

Der Text umfasst 99 Artikel in elf Kapiteln, vorangestellt sind 173 Erwägungsgründe. Kapitel I enthält allgemeine Bestimmungen und Begriffe, Kapitel II die Grundsätze und Rechtsgrundlagen, Kapitel III die Betroffenenrechte und Kapitel IV die Pflichten von Verantwortlichen und Auftragsverarbeitern. Kapitel V regelt Übermittlungen außerhalb des Europäischen Wirtschaftsraums, die Kapitel VI und VII Organisation und Zusammenarbeit der Aufsichtsbehörden, Kapitel VIII Rechtsbehelfe und Sanktionen und Kapitel IX besondere Verarbeitungssituationen wie Journalismus, Archive und wissenschaftliche Forschung. Die Erwägungsgründe binden nicht, entscheiden aber praktisch Auslegungsfragen, und die Aufsichtsbehörden berufen sich ständig auf sie.

Das polnische Gesetz vom 10. Mai 2018 über den Schutz personenbezogener Daten ^[2] setzt die Verordnung nicht um, denn es gibt nichts umzusetzen. Es bestimmt jedoch die Präsidentin des Amts für den Schutz personenbezogener Daten als Aufsichtsbehörde, regelt das Kontrollverfahren, sieht Strafvorschriften für die schwersten Verstösse vor und entscheidet die dem nationalen Recht überlassenen Fragen. Bemerkenswert ist, was fehlt: Polen nutzte die Möglichkeit nicht, das Alter für die eigenständige Einwilligung eines Kindes in Dienste der Informationsgesellschaft zu senken, sodass die Grenze von 16 Jahren aus Artikel 8 gilt.

Räumlicher und sachlicher Anwendungsbereich

Artikel 3 beschreibt den räumlichen Anwendungsbereich über zwei unabhängige Kriterien, und die Leitlinien 3/2018 des EDSA ^[8] zeigen ihre Anwendung. Das erste ist das Niederlassungskriterium: Die Verordnung gilt für die Verarbeitung im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder Auftragsverarbeiters in der Union - unabhängig davon, wo die Verarbeitung selbst stattfindet. Eine polnische Firma, die Daten in einem US-Rechenzentrum speichert, unterliegt ihr vollständig.

Das zweite ist das Ausrichtungskriterium. Die Verordnung erfasst auch Verantwortliche und Auftragsverarbeiter ohne Niederlassung in der Union, wenn sie Daten von Personen in der Union im Zusammenhang damit verarbeiten, dass sie ihnen Waren oder Dienstleistungen anbieten - entgeltlich oder unentgeltlich - oder ihr Verhalten beobachten. Der zweite Fall reicht weiter als meist angenommen: Er erfasst Verhaltensanalysen auf einer Website, Werbe-Tracking und Profiling, auch wenn in der Union nichts verkauft wird. Eine erfasste Stelle außerhalb der Union muss nach Artikel 27 eine Vertretung in der Union benennen, an die sich Aufsichtsbehörden und betroffene Personen wenden können.

Der sachliche Anwendungsbereich erfasst die automatisierte Verarbeitung sowie - wenn die Daten Teil eines Dateisystems sind oder werden sollen - die nicht automatisierte. Ausnahmen gibt es wenige und sie sind eng: Tätigkeiten außerhalb des Unionsrechts, die gemeinsame Aussen- und Sicherheitspolitik, rein persönliche oder familiäre Tätigkeiten sowie Tätigkeiten zuständiger Behörden zur Verhütung und Verfolgung von Straftaten, die die gesonderte Richtlinie 2016/680 regelt.

Herzstück der ganzen Konstruktion ist die Begriffsbestimmung des Artikels 4 Nummer 1, wonach personenbezogene Daten alle Informationen sind, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Sie ist bewusst weit und erfasst nicht nur offensichtliche Kennungen wie Name oder Personenkennziffer, sondern auch IP-Adressen, Cookie-Kennungen und Standortdaten, soweit sie - auch im Zusammenspiel mit anderen Informationen - eine konkrete Person bestimmbar machen. Die praktisch schwierigste Unterscheidung betrifft Anonymisierung und Pseudonymisierung: Anonymisierte Daten sind keine personenbezogenen Daten mehr, weil sich der Vorgang nicht umkehren lässt; pseudonymisierte bleiben es, weil sich mit zusätzlichen Informationen der Bezug wiederherstellen lässt. Pseudonymisierung ist also eine Schutzmaßnahme und kein Weg aus der Verordnung; Techniken und Grenzen beschreibt eine Studie der ENISA ^[9].

Die Grundsätze der Verarbeitung (Artikel 5)

Artikel 5 formuliert sechs materielle Grundsätze und einen übergeordneten, der über die Durchsetzung der übrigen entscheidet. Das sind keine Programmsätze - jeder von ihnen war schon selbständige Grundlage einer aufsichtsbehördlichen Entscheidung.

Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz bedeutet, dass die Verarbeitung auf einer Grundlage des Artikels 6 beruhen, gegenüber der Person fair und für sie verständlich sein muss. Praktischer Ausdruck ist eine Datenschutzinformation in einer Sprache, die sich ohne Anwältin lesen lässt. Die Zweckbindung verlangt, Daten für festgelegte und eindeutige Zwecke zu erheben und sie später nicht in damit unvereinbarer Weise zu verarbeiten; ein typischer Verstoß ist die Nutzung von Vertragsdaten für Marketing ohne eigene Grundlage. Die Datenminimierung verlangt, den Umfang auf das Notwendige zu begrenzen - sie entscheidet darüber, dass ein Bewerbungsformular nicht nach Familienstand oder Religion fragt.

Die Richtigkeit verlangt korrekte und nötigenfalls aktualisierte Daten, was sich unmittelbar auf Entscheidungen über eine Person auswirkt. Die Speicherbegrenzung verlangt, Daten zu löschen oder zu anonymisieren, sobald der Zweck erreicht ist; das Fehlen definierter Fristen gehört zu den häufiger festgestellten Mängeln. Integrität und Vertraulichkeit ist der Sicherheitsgrundsatz, entfaltet in Artikel 32.

Der siebte Grundsatz, die Rechenschaftspflicht aus Artikel 5 Absatz 2, ändert den Charakter aller übrigen. Der Verantwortliche haftet nicht nur für ihre Einhaltung, sondern muss sie nachweisen können. Die Beweislast liegt also bei ihm und nicht bei der Aufsichtsbehörde - und deshalb sind Verzeichnisse, Richtlinien und Nachweise in diesem System keine Bürokratie, sondern die einzige Verteidigung.

Rechtsgrundlagen (Artikel 6)

Jede Verarbeitung gewöhnlicher Daten braucht mindestens eine der sechs Grundlagen des Artikels 6 Absatz 1. Die Wahl ist keine Formalie, denn von ihr hängt der Umfang der Rechte ab - unter anderem, ob ein Widerspruch besteht und ob sich eine Einwilligung widerrufen lässt.

Die Einwilligung ist die sichtbarste und zugleich schwächste Grundlage. Artikel 7 verlangt, dass sie freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erfolgt, also durch eine Handlung und nicht durch ein vorangekreuztes Feld; sie muss ebenso leicht widerrufbar sein, wie sie erteilt wurde. Eine Einwilligung, die von der Nutzbarkeit eines Dienstes abhängt, ist nicht freiwillig. Praktisch wird sie dort genutzt, wo keine andere Grundlage besteht: im Marketing, bei Cookies über das Notwendige hinaus, bei der Weitergabe an Partner.

Die Erfüllung eines Vertrags erfasst die zur Durchführung erforderliche Verarbeitung oder Maßnahmen auf Anfrage der Person vor Vertragsschluss. Sie ist die natürlichste Grundlage für Kundendaten und lässt sich nicht widerrufen - der Verzicht auf die Verarbeitung wäre der Verzicht auf den Vertrag. Die rechtliche Verpflichtung greift, wo eine Vorschrift die Verarbeitung anordnet: Beschäftigtendaten im Umfang des Arbeitsrechts, Steuerdaten, medizinische Dokumentation. Lebenswichtige Interessen sind eine Ausnahmegrundlage für Lagen, in denen keine Einwilligung eingeholt werden kann und es um Leben oder Gesundheit geht.

Die beiden letzten Grundlagen teilen die Welt der Verantwortlichen in zwei Hälften. Das öffentliche Interesse und die Ausübung öffentlicher Gewalt ist die passende Grundlage für Behörden und Kommunen. Das berechtigte Interesse erfasst die zur Wahrung der Interessen des Verantwortlichen oder Dritter erforderliche Verarbeitung, soweit die Interessen und Rechte der Person nicht überwiegen - es dient dem Direktmarketing gegenüber eigenen Kunden, der Geltendmachung von Ansprüchen und begründeter Überwachung. Eine Grenze wird leicht vergessen: Artikel 6 Absatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung. Ein Amt kann sich also dort, wo es hoheitlich handelt, nicht auf berechtigte Interessen berufen und muss eine gesetzliche Grundlage benennen.

Besondere Kategorien personenbezogener Daten (Artikel 9)

Artikel 9 Absatz 1 untersagt die Verarbeitung von Daten, aus denen rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetischer Daten, biometrischer Daten zur eindeutigen Identifizierung, Gesundheitsdaten und Daten zum Sexualleben oder zur sexuellen Orientierung. Die Konstruktion ist umgekehrt zu der bei gewöhnlichen Daten: Ausgangspunkt ist ein Verbot und nicht die Suche nach einer Grundlage.

Zehn Ausnahmen des Absatzes 2 heben das Verbot auf. Praktisch am wichtigsten sind die ausdrückliche Einwilligung, die Erfüllung von Pflichten aus dem Arbeits- und Sozialrecht, die Geltendmachung oder Abwehr von Ansprüchen, Gesundheitszwecke einschließlich Vorsorge, Diagnostik, Behandlung und Verwaltung von Gesundheitssystemen sowie die Archivierung im öffentlichen Interesse und die wissenschaftliche Forschung. Die übrigen betreffen Sonderlagen: Schutz lebenswichtiger Interessen, Tätigkeiten von Vereinigungen mit politischer, religiöser oder gewerkschaftlicher Zielsetzung, von der Person selbst öffentlich gemachte Daten, ein erhebliches öffentliches Interesse auf gesetzlicher Grundlage und öffentliches Interesse im Bereich der öffentlichen Gesundheit.

Gesondert regelt Artikel 10 Daten über strafrechtliche Verurteilungen und Straftaten. Ihre Verarbeitung ist nur unter behördlicher Aufsicht oder auf gesetzlicher Grundlage mit geeigneten Garantien zulässig. Es ist also keine weitere Kategorie des Artikels 9, sondern ein eigenes, noch engeres Regime.

Die praktischen Folgen zeigen sich an Beispielen am besten. Ein Krankenhaus verarbeitet Gesundheitsdaten auf Grundlage der Gesundheitsausnahme, eine Arbeitgeberin Daten aus einer ärztlichen Bescheinigung auf Grundlage des Arbeitsrechts. Ein Gesichtserkennungssystem in einem Geschäft verarbeitet biometrische Daten zur Identifizierung und braucht daher eine ausdrückliche Grundlage aus Artikel 9, die der blosse Verweis auf den Schutz des Eigentums nicht ersetzt. Eine Frage nach dem Gesundheitszustand im Bewerbungsbogen ist ohne solche Grundlage unzulässig.

Die Rechte betroffener Personen (Artikel 12 bis 23)

Kapitel III gewährt acht Rechte, und Artikel 12 bestimmt die gemeinsamen Regeln ihrer Erfüllung: eine Antwort unverzüglich, spätestens binnen eines Monats, verlängerbar um zwei Monate in komplexen Fällen, und grundsätzlich unentgeltlich.

Das Recht auf Information aus den Artikeln 13 und 14 ist das einzige, das der Verantwortliche von sich aus erfüllt, ohne Antrag. Er muss Identität und Kontaktdaten der Datenschutzbeauftragten, Zwecke und Rechtsgrundlagen, Empfänger, Speicherdauer, die bestehenden Rechte, die Beschwerdemöglichkeit bei der Aufsichtsbehörde und Angaben zu automatisierten Entscheidungen nennen, soweit er solche einsetzt. Artikel 13 betrifft bei der Person erhobene Daten, Artikel 14 anderweitig erlangte; der zweite Fall wird häufiger übergangen.

Das Auskunftsrecht aus Artikel 15 umfasst die Bestätigung, ob Daten verarbeitet werden, eine Kopie und Angaben zu Zwecken, Kategorien, Empfängern und Speicherdauer. Die erste Kopie ist unentgeltlich. Das Recht auf Berichtigung aus Artikel 16 umfasst auch die Vervollständigung unvollständiger Daten, und der Verantwortliche hat die Empfänger nach Möglichkeit zu unterrichten.

Das Recht auf Löschung aus Artikel 17, bekannt als Recht auf Vergessenwerden, besteht unter anderem, wenn die Daten nicht mehr nötig sind, wenn die Einwilligung widerrufen wurde und keine andere Grundlage besteht, wenn ein Widerspruch durchgreift oder wenn die Verarbeitung unrechtmäßig war. Bedingungslos ist es nicht: Es erfasst keine Daten, die zur Vertragserfüllung, zur Erfüllung rechtlicher Pflichten, zur Archivierung oder zur Anspruchsverfolgung erforderlich sind. Das Recht auf Einschränkung aus Artikel 18 erlaubt, die Verarbeitung während eines Streits auszusetzen - etwa während der Prüfung der Richtigkeit - statt zu löschen.

Das Recht auf Datenübertragbarkeit aus Artikel 20 erfasst nur auf Einwilligung oder Vertrag gestützte und automatisiert verarbeitete Daten; die Person erhält sie in einem maschinenlesbaren Format und kann ihre Übermittlung an eine andere Stelle verlangen. Das Widerspruchsrecht aus Artikel 21 wirkt zweistufig: Gegen eine auf öffentliches oder berechtigtes Interesse gestützte Verarbeitung verlangt es Gründe aus der besonderen Situation, und der Verantwortliche kann zwingende Gründe entgegenhalten; gegen Direktwerbung ist es bedingungslos und führt zur sofortigen Beendigung.

Das achte Recht, aus Artikel 22, betrifft das Nichtunterworfensein unter ausschließlich automatisierte Entscheidungen einschließlich Profiling, sofern sie rechtliche Wirkung entfalten oder in ähnlicher Weise erheblich beeinträchtigen. Es gewinnt überall dort an Bedeutung, wo Systeme zur Kreditwürdigkeitsprüfung, zur automatischen Vorauswahl oder zur Preisbildung entscheiden. Artikel 23 erlaubt den Mitgliedstaaten schließlich, diese Rechte zu eng benannten Zwecken wie nationale Sicherheit, Verteidigung oder Strafverfahren zu beschränken - stets durch Gesetzgebungsmaßnahme und unter Wahrung des Wesensgehalts.

Pflichten von Verantwortlichen und Auftragsverarbeitern

Kapitel IV beschreibt die Pflichten zweier Rollen, deren Unterscheidung die Grundlage der gesamten Verantwortungsordnung ist. Der Verantwortliche bestimmt Zwecke und Mittel; der Auftragsverarbeiter handelt auf dessen dokumentierte Weisung.

Artikel 24 verpflichtet den Verantwortlichen zu technischen und organisatorischen Maßnahmen, die die Konformität sicherstellen und nachweisen, unter Berücksichtigung von Art, Umfang und Zwecken der Verarbeitung. Artikel 25 entfaltet das und wird praktisch am häufigsten übergangen. Er verlangt, den Datenschutz bereits bei der Gestaltung zu berücksichtigen und Voreinstellungen zu wählen, die die Verarbeitung auf das notwendige Maß begrenzen. Der zweite Teil ist stärker als meist angenommen: Der Voreinstellungszustand eines Dienstes soll der schützendste sein, nicht ein Zustand, den Nutzende erst selbst herstellen. Die konzeptionellen Wurzeln dieses Ansatzes ^[13] und die ingenieurmäßigen Hinweise ^[10] sind älter als die Verordnung; hilfreich sind auch der Datenschutzrahmen des NIST ^[11] und die Terminologie der Norm ISO/IEC 29100 ^[12].

Artikel 30 verlangt ein Verzeichnis von Verarbeitungstätigkeiten mit Zwecken, Kategorien von Personen und Daten, Empfängern samt Drittländern, vorgesehenen Löschfristen und einer allgemeinen Beschreibung der Sicherheitsmaßnahmen. Die Ausnahme für Organisationen mit weniger als 250 Beschäftigten ist praktisch scheinbar, denn sie erfasst keine nicht nur gelegentliche Verarbeitung - und die Verarbeitung von Beschäftigten- oder Kundendaten ist nie gelegentlich. Das Verzeichnis ist zudem das erste Dokument, nach dem eine Aufsichtsbehörde in einer Kontrolle fragt.

Artikel 32 verlangt Maßnahmen, die ein dem Risiko angemessenes Schutzniveau sicherstellen, und nennt beispielhaft Pseudonymisierung und Verschlüsselung, die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit sicherzustellen, die Fähigkeit, die Verfügbarkeit nach einem Vorfall rasch wiederherzustellen, und in Absatz 1 Buchstabe d ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit. Letzteres ist eine Nachweispflicht: Es ist die Grundlage für Audits, Penetrationstests und Schwachstellenscans, und sein Fehlen taucht in Bußgeldbegründungen am häufigsten auf (siehe Artikel zum DSGVO-Audit).

Artikel 28 bestimmt die Pflichten des Auftragsverarbeiters und das Erfordernis eines Vertrags. Er handelt nur auf dokumentierte Weisung, sichert die Vertraulichkeit der befugten Personen, setzt die Maßnahmen aus Artikel 32 um, unterstützt bei Betroffenenrechten und Datenpannen, löscht oder gibt die Daten nach Ende der Leistung zurück und stellt die Informationen zum Nachweis der Konformität bereit. Weitere Auftragsverarbeiter darf er ohne Genehmigung nicht einsetzen. Bestimmen zwei Stellen gemeinsam Zwecke und Mittel, sind sie gemeinsam Verantwortliche nach Artikel 26 und müssen ihre Pflichten transparent aufteilen - die betroffene Person kann ihre Rechte jedoch gegenüber jeder von ihnen geltend machen.

Folgenabschätzung und Datenschutzbeauftragte

Die Datenschutz-Folgenabschätzung nach Artikel 35 ist verpflichtend, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten zur Folge hat. Die Verordnung nennt drei Fälle, in denen die Pflicht stets besteht: eine systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling mit rechtlicher oder ähnlich erheblicher Wirkung; die umfangreiche Verarbeitung besonderer Kategorien oder von Strafdaten; und die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Die Aufsichtsbehörde veröffentlicht zudem eine Liste - in polnischer Praxis erfasst sie unter anderem Beschäftigtenüberwachung, Profiling erheblichen Umfangs, den Einsatz neuer Technologien wie Biometrie oder lernender Systeme, das Zusammenführen von Beständen aus verschiedenen Quellen und die Verarbeitung von Kinderdaten.

Die Abschätzung selbst hat vier Bestandteile: eine systematische Beschreibung der geplanten Verarbeitung und ihrer Zwecke, eine Bewertung von Erforderlichkeit und Verhältnismäßigkeit, eine Bewertung der Risiken für die Rechte und eine Beschreibung der Abhilfemaßnahmen. Bleibt danach ein hohes Risiko, verlangt Artikel 36 die Konsultation der Aufsichtsbehörde vor Beginn der Verarbeitung. Eine nach der Einführung erstellte Abschätzung erfüllt ihre Funktion also nicht, auch wenn sie oft gerade dann geschrieben wird.

Datenschutzbeauftragte sind in drei Fällen des Artikels 37 verpflichtend: wenn die Verarbeitung von einer Behörde oder öffentlichen Stelle erfolgt, ausgenommen Gerichte im Rahmen ihrer justiziellen Tätigkeit; wenn die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen besteht; und wenn sie in der umfangreichen Verarbeitung besonderer Kategorien oder von Strafdaten besteht. Der erste Fall erfasst alle Kommunen, Ämter und öffentlichen Schulen.

Die Aufgaben nach Artikel 39 umfassen Unterrichtung und Beratung, die Überwachung der Einhaltung von Verordnung und internen Richtlinien, die Beratung bei der Folgenabschätzung und die Zusammenarbeit mit der Aufsichtsbehörde, für die sie Anlaufstelle sind. Entscheidend ist die durch Artikel 38 gesicherte Unabhängigkeit: keine Weisungen zur Aufgabenerfüllung, unmittelbare Berichterstattung an die oberste Leitung, kein Abberufen oder Benachteiligen wegen der Aufgabenerfüllung. Daraus folgt das häufigste praktische Problem - der Interessenkonflikt. Die Funktion kann nicht ausüben, wer selbst über Zwecke und Mittel entscheidet, also nicht die Leitung von IT, Personal oder Marketing. Die Funktion kann intern oder extern besetzt werden; in kleineren Stellen ist das Zweite häufiger und meist passender, gerade wegen der Unabhängigkeit.

Datenpannen und die 72-Stunden-Frist

Eine Verletzung des Schutzes personenbezogener Daten ist jede Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu Daten führt. Die Begriffsbestimmung erfasst also nicht nur den Abfluss, sondern auch den Verlust der Verfügbarkeit - deshalb ist die Verschlüsselung von Daten durch Erpressungssoftware auch dann eine Verletzung, wenn niemand Daten abgezogen hat.

Artikel 33 verlangt die Meldung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten. Die Meldung nennt Art der Verletzung, Kategorien und ungefähre Zahl der Personen und Datensätze, Kontaktdaten der Datenschutzbeauftragten, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Eine verspätete Meldung ist möglich, verlangt aber eine Begründung der Verzögerung. Ist das Risiko hoch, verlangt Artikel 34 auch die Benachrichtigung der Personen - es sei denn, der Verantwortliche hatte zuvor Maßnahmen getroffen, die die Daten unlesbar machen, etwa wirksame Verschlüsselung mit unkompromittiertem Schlüssel, hat danach das hohe Risiko beseitigt oder die Einzelbenachrichtigung wäre mit unverhältnismäßigem Aufwand verbunden, was eine öffentliche Bekanntmachung erlaubt.

Unabhängig von der Meldung verlangt Artikel 33 Absatz 5 die Dokumentation aller Verletzungen in einem internen Verzeichnis samt Umständen, Folgen und ergriffenen Maßnahmen. Das Verzeichnis soll der Behörde auch die Prüfung jener Entscheidungen erlauben, in denen der Verantwortliche eine Meldung für entbehrlich hielt - und gerade sie sind oft streitig.

Die Leitlinien 9/2022 des EDSA ^[4] ordnen die Risikobewertung an Beispielen. Der Verlust eines Notebooks mit verschlüsselter Festplatte und starker Authentisierung ist eine Lage niedrigen Risikos; der Verlust desselben Geräts ohne Verschlüsselung eine hohen Risikos. Eine an die falsche Adresse gesandte Nachricht wird nach Umfang und Art der Daten bewertet. Ein Abfluss von Kennwort-Hashes hängt vom Verfahren ab: Moderne, für Kennwörter bestimmte Funktionen ergeben ein ganz anderes Risikobild als veraltete Hashfunktionen ohne Salz.

Die größte operative Schwierigkeit bleibt der Zeitpunkt des Bekanntwerdens, ab dem die Frist läuft. Es ist weder der Moment des Ereignisses noch der des ersten Alarms, sondern der Moment, in dem die Organisation genug Informationen hat, um eine Verletzung zu erkennen. Die Frist läuft ununterbrochen, auch an freien Tagen. Unvollständiges Wissen entschuldigt keine Verzögerung - die Verordnung erlaubt eine schrittweise Meldung. Gesondert gilt: Eine Verletzung beim Auftragsverarbeiter entlastet den Verantwortlichen nicht; er meldet sie der Behörde, der Auftragsverarbeiter hat ihn nur unverzüglich zu unterrichten.

Übermittlungen außerhalb des Europäischen Wirtschaftsraums

Kapitel V baut eine Rangfolge, in der jede Stufe erst gilt, wenn die vorige fehlt. An der Spitze stehen die Angemessenheitsbeschlüsse nach Artikel 45, mit denen die Kommission feststellt, dass ein Drittland ein im Wesentlichen gleichwertiges Schutzniveau bietet. Dann sind weder ein gesondertes Übermittlungsinstrument nach Kapitel V noch eine besondere Genehmigung erforderlich; alle übrigen DSGVO-Pflichten gelten jedoch weiter, und der Anwendungsbereich des Beschlusses ist zu prüfen. Die Liste umfasst unter anderem Andorra, Argentinien, Kanada für den gewerblichen Bereich, Israel, Japan, Neuseeland, die Republik Korea, die Schweiz, Uruguay und das Vereinigte Königreich - für Letzteres erneuerte die Kommission die Beschlüsse am 19. Dezember 2025, mit einer Verfallsklausel zum 27. Dezember 2031. Der Stand der Liste ist zu prüfen, denn er ändert sich.

Fehlt ein Beschluss, erlaubt Artikel 46, die Übermittlung auf geeignete Garantien zu stützen. Meist sind das die von der Kommission erlassenen Standardvertragsklauseln in der Fassung von 2021, seltener von einer Aufsichtsbehörde genehmigte verbindliche interne Vorschriften für eine Unternehmensgruppe oder genehmigte Verhaltensregeln und Zertifizierungsmechanismen. Erst zuletzt erlaubt Artikel 49 Übermittlungen auf Grundlage von Ausnahmen, eng auszulegen und für Einzelfälle bestimmt: ausdrückliche Einwilligung nach Unterrichtung über die Risiken, Erforderlichkeit für einen Vertrag, wichtige Gründe des öffentlichen Interesses, Rechtsansprüche, Schutz lebenswichtiger Interessen oder Übermittlung aus einem öffentlichen Register. Für einen dauerhaften Prozess taugen sie nicht.

Die heutige Praxis prägte das Urteil des Gerichtshofs in der Rechtssache C-311/18 ^[3] vom 16. Juli 2020, das den vorigen Angemessenheitsmechanismus für die USA für ungültig erklärte und zugleich die Anforderungen an die Standardvertragsklauseln verschärfte. Der Gerichtshof stellte fest, dass ein Vertrag allein nicht genügt: Der Verantwortliche muss bewerten, ob das Recht des Ziellands die Klauseln tatsächlich durchsetzbar macht, und andernfalls zusätzliche Maßnahmen ergreifen, etwa Verschlüsselung mit einem in der Union verbleibenden Schlüssel. Diese vor Beginn der Übermittlung vorgenommene und dokumentierte Bewertung ist seither Standard.

Für die USA änderte der Durchführungsbeschluss 2023/1795 der Kommission ^[6] vom 10. Juli 2023 die Lage; er begründete den Datenschutzrahmen zwischen der Union und den USA. Er stellte die freie Übermittlung wieder her, aber nur an Stellen, die dem Mechanismus beigetreten sind und auf der offiziellen Liste stehen. Für Anbieter außerhalb der Liste braucht es weiterhin Klauseln samt Bewertung des Rechts des Ziellands. Die Beständigkeit wird bestritten: Das Gericht der Europäischen Union wies eine Nichtigkeitsklage am 3. September 2025 in der Rechtssache T-553/23 ab, dagegen wurde ein Rechtsmittel zum Gerichtshof eingelegt. Bis zur Entscheidung gilt der Beschluss, doch es ist vernünftig, in Verträgen eine Rückfalllösung vorzuhalten.

Der praktische Schluss für Organisationen mit US-Diensten ist einfach: eine Liste der genutzten Dienste, eine Prüfung jedes einzelnen gegen die Teilnehmerliste und für die übrigen Klauseln samt dokumentierter Bewertung. Die Liste ist regelmäßig zu prüfen, denn ein Beitritt ist widerruflich und Angemessenheitsbeschlüsse werden überprüft.

Sanktionen und Praxis der Aufsichtsbehörde

Artikel 83 sieht zwei Stufen von Geldbußen vor. Die niedrigere - bis 10 Millionen Euro oder 2 Prozent des gesamten weltweiten Jahresumsatzes, wobei der höhere Betrag gilt - erfasst Verstösse gegen organisatorische Pflichten: Datenschutz durch Technikgestaltung, Vereinbarungen gemeinsam Verantwortlicher, Benennung einer Vertretung, Auftragsverarbeitung, Verarbeitungsverzeichnis, Zusammenarbeit mit der Behörde, Sicherheitsmaßnahmen aus Artikel 32, Bearbeitung von Datenpannen, Folgenabschätzung und Datenschutzbeauftragte. Die höhere Stufe - bis 20 Millionen Euro oder 4 Prozent - erfasst Verstösse gegen den Kern des Schutzes: Grundsätze, Rechtsgrundlagen, Einwilligung, besondere Kategorien, Betroffenenrechte und Übermittlungen außerhalb des Europäischen Wirtschaftsraums.

Die Leitlinien 04/2022 des EDSA ^[5] ordnen die Bemessung in fünf Schritten. Die Behörde qualifiziert zunächst den Verstoß und bestimmt die Stufe, setzt dann einen Ausgangsbetrag als Anteil am gesetzlichen Höchstmaß fest - bei geringer Schwere bis 10 Prozent, bei mittlerer 10 bis 20 Prozent, bei hoher über 20 Prozent -, berücksichtigt anschließend erschwerende Umstände wie Vorsatz, fehlende Zusammenarbeit oder frühere Verstösse sowie mildernde wie Abhilfemaßnahmen und Kooperation und prüft am Ende, ob das Ergebnis in den Grenzen des Artikels 83 bleibt.

Die polnische Praxis ^[7] zeigt den vollen Weg eines solchen Falls gut. Die 2019 gegen einen Onlinehändler verhängte Sanktion betrug 2 830 410 PLN; das Oberste Verwaltungsgericht hob die Entscheidung am 9. Februar 2023 auf, und die Behörde entschied nach erneuter Prüfung neu. Ein Fall aus dem Energievertrieb endete mit einer Sanktion von über 4,9 Millionen PLN wegen fehlender technischer und organisatorischer Maßnahmen und fehlender Prüfung eines Auftragsverarbeiters, wobei auch dieser eine Sanktion erhielt. Der Schluss aus dem zweiten Fall ist wichtig: Die Auftragsverarbeitung verlagert die Verantwortung nicht, und die Pflicht zu prüfen, ob ein Anbieter hinreichende Garantien bietet, liegt beim Verantwortlichen und ist überprüfbar.

Die typischen Sanktionsgründe bilden ein wiederkehrendes Muster. Der häufigste ist das Fehlen einer regelmäßigen Überprüfung und Bewertung der Wirksamkeit der Schutzmaßnahmen, also Artikel 32 Absatz 1 Buchstabe d. Es folgen ein fehlendes oder unvollständiges Verarbeitungsverzeichnis, die nicht fristgerechte Meldung einer Verletzung, das Fehlen einer Folgenabschätzung bei Verarbeitungen hohen Risikos und Verstösse gegen die Grundsätze des Artikels 5 selbst, vor allem bei Speicherdauer und Minimierung.

Geldbußen erschöpfen die Befugnisse nicht. Artikel 58 sieht auch Warnungen und Verwarnungen vor, die Anweisung, die Verarbeitung in Einklang zu bringen, die Anweisung, Personen zu benachrichtigen, die Beschränkung oder das Verbot der Verarbeitung, die Anweisung zur Löschung, den Entzug einer Zertifizierung und die Aussetzung von Übermittlungen in ein Drittland. Für viele Organisationen ist ein befristetes Verarbeitungsverbot empfindlicher als eine Geldbuße.

Verhältnis zu anderen Vorschriften

Die DSGVO ersetzt die Cybersicherheitsvorschriften nicht und wird von ihnen nicht ersetzt - sie schützt ein anderes Gut. Das polnische Cybersicherheitsgesetz und die NIS2-Richtlinie schützen die Funktionsfähigkeit eines Systems, gleich welche Daten darin liegen; die DSGVO schützt die Personen, deren Daten verarbeitet werden. Folge ist eine doppelte Meldepflicht bei einem Vorfall mit personenbezogenen Daten: Artikel 33 verlangt die Meldung an die Aufsichtsbehörde binnen 72 Stunden, das Cybersicherheitsgesetz eine Frühwarnung an das zuständige sektorale CSIRT binnen 24 Stunden nach Erkennung, eine Meldung binnen 72 Stunden und einen Abschlussbericht binnen eines Monats. Die Fristen laufen parallel gegenüber verschiedenen Behörden (siehe Artikel zum KSC und Artikel zu NIS2).

In öffentlichen Stellen kommt die KRI-Verordnung hinzu, deren § 19 ein Informationssicherheits-Managementsystem ^[15] für alle verarbeiteten Informationen verlangt, also auch für personenbezogene Daten. Praktisch ist die Dokumentation beider Regime in einer Gemeinde eine einzige und unterscheidet sich nur in der Perspektive der Risikobewertung (siehe Artikel zu KRI).

Zum AI Act ist das Verhältnis ergänzend und an drei Stellen am deutlichsten: bei automatisierten Entscheidungen, wo Artikel 22 unabhängig von der Einstufung des Systems gilt; beim Training von Modellen mit personenbezogenen Daten, das eine eigene Rechtsgrundlage verlangt; und bei Informationspflichten, die in beiden Rechtsakten Verschiedenes betreffen (siehe Artikel zum AI Act). Ebenso regelt die DORA-Verordnung die digitale Resilienz des Finanzsektors, ohne Pflichten gegenüber Kundendaten aufzuheben (siehe Artikel zu DORA), und eIDAS regelt Vertrauensdienste, deren Anbieter der DSGVO nach allgemeinen Regeln unterliegen (siehe Artikel zu eIDAS). Den Bedrohungskontext all dieser Regime beschreibt die jährliche Analyse der ENISA ^[14].

Was zuerst zu prüfen ist

Die Erfahrung aus Kontrollen zeigt, dass wenige Dokumente und Verfahren über das Ergebnis entscheiden und sich ihr Fehlen nach einem Vorfall kaum nachholen lässt. Grundlage ist eine Verarbeitungslandkarte, die Zweck mit Datenkategorien, Rechtsgrundlage, Speicherdauer und Empfängern verbindet, und das darauf gebaute Verzeichnis von Verarbeitungstätigkeiten - vollständig, also auch mit Videoüberwachung, Zutrittskontrolle und Beschäftigtendaten. Daraus entstehen Datenschutzinformationen für alle Personengruppen und eine Datenschutzrichtlinie, die die Leitung genehmigt hat und die dem Personal tatsächlich bekannt ist.

Die zweite Gruppe betrifft Risiko und Sicherheit. Für Verarbeitungen hohen Risikos braucht es eine Folgenabschätzung vor Beginn, und für die Maßnahmen aus Artikel 32 einen Nachweis ihrer Prüfung, denn ohne ihn ist Buchstabe d nicht erfüllt, so gut die Maßnahmen auch sein mögen.

Die dritte Gruppe sind Verfahren, die unter Zeitdruck funktionieren müssen: die Bearbeitung von Datenpannen samt Verzeichnis, Bewertungskriterien und erprobtem Meldeweg binnen 72 Stunden sowie die Bearbeitung von Anträgen mit Monatsfrist und festgelegtem Eskalationsweg. Die vierte Gruppe betrifft Dritte: Auftragsverarbeitungsverträge mit allen Anbietern mit Datenzugang und ein dokumentierter Stand der Drittlandsübermittlungen - Liste der Dienste, Grundlage für jeden und ein Verfahren für den Fall geänderter Kommissionsbeschlüsse. Das Fehlen eines dieser Punkte ist in einer Kontrolle binnen der ersten Stunde erkennbar.