Datenschutz

In der Europäischen Union ist Datenschutz seit 2018 verbindlich durch die Datenschutz-Grundverordnung (DSGVO) geregelt, die für alle Unternehmen gilt, die Daten von Personen in der EU verarbeiten – unabhängig davon, wo das Unternehmen selbst sitzt.

Wichtig ist die Unterscheidung zweier oft verwechselter Begriffe. Datenschutz regelt, ob und wie personenbezogene Daten überhaupt verarbeitet werden dürfen – es ist eine rechtliche Frage. Datensicherheit beschreibt die technischen und organisatorischen Maßnahmen, mit denen Daten geschützt werden – Verschlüsselung, Zugriffskontrolle, Backups. Datensicherheit ist das Werkzeug, Datenschutz das Ziel.

Was sind personenbezogene Daten?

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Das ist weiter gefasst, als viele denken. Dazu gehören offensichtliche Angaben ebenso wie weniger offensichtliche:

• Name, Adresse, E-Mail-Adresse, Telefonnummer
• Standortdaten, IP-Adressen und Gerätekennungen
• Bestellhistorie, Zahlungsdaten, Kundenkonten
• Cookies und Tracking-IDs, die das Verhalten über Websites hinweg verfolgen

Besonders geschützt sind sensible Daten wie Gesundheitsangaben, religiöse oder politische Überzeugungen und biometrische Daten. Für sie gelten strengere Regeln.

Die wichtigsten DSGVO-Prinzipien

Die DSGVO baut auf einer Handvoll Grundprinzipien auf, die jede Datenverarbeitung erfüllen muss:

Hinzu kommen die Rechte der betroffenen Personen: Auskunft über gespeicherte Daten, Berichtigung, Löschung („Recht auf Vergessenwerden"), Datenübertragbarkeit und Widerspruch. Unternehmen müssen diese Anfragen innerhalb gesetzter Fristen beantworten.

Pflichten für Unternehmen

Wer personenbezogene Daten verarbeitet, hat konkrete Pflichten. Dazu zählen eine transparente Datenschutzerklärung, ein Verzeichnis der Verarbeitungstätigkeiten, technische und organisatorische Schutzmaßnahmen und – ab einer gewissen Größe oder bei besonders sensibler Verarbeitung – ein Datenschutzbeauftragter. Werden Dienstleister eingebunden, die im Auftrag Daten verarbeiten (etwa ein Hosting-Anbieter oder ein Newsletter-Tool), braucht es einen Auftragsverarbeitungsvertrag. Und kommt es zu einer Datenpanne, muss diese in der Regel innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet werden.

Ein konkretes Beispiel aus dem E-Commerce

Ein Onlineshop möchte das Kaufverhalten seiner Kunden analysieren, um Produktempfehlungen zu verbessern. Datenschutzkonform heißt das: Beim ersten Besuch fragt ein Cookie-Banner aktiv die Einwilligung für Analyse- und Marketing-Cookies ab – mit einer echten Wahlmöglichkeit, nicht mit einem vorausgewählten „Alle akzeptieren". Die Bestelldaten werden nur so lange gespeichert, wie steuer- und handelsrechtliche Fristen es verlangen. Der Kunde findet in seinem Konto eine Funktion, mit der er Auskunft über seine Daten erhält und sein Konto löschen kann. Der eingesetzte Versanddienstleister und das E-Mail-Marketing-Tool sind über Auftragsverarbeitungsverträge eingebunden. Nichts davon ist spektakulär – aber jeder dieser Punkte ist die Differenz zwischen sauberem Betrieb und einem Bußgeldrisiko.

Warum Datenschutz mehr ist als Pflichterfüllung

Datenschutz wird oft als lästige Bürokratie wahrgenommen. Diese Sicht greift zu kurz. Verstöße können empfindliche Bußgelder nach sich ziehen – die DSGVO sieht bis zu vier Prozent des weltweiten Jahresumsatzes vor. Mindestens ebenso wichtig ist das Vertrauen: Kunden geben ihre Daten eher preis, wenn sie sicher sind, dass sorgsam damit umgegangen wird. Ein durchdachter Umgang mit Daten ist damit nicht nur Risikovermeidung, sondern auch ein Wettbewerbsvorteil. Der Ansatz „Privacy by Design" – Datenschutz von Anfang an in Software und Prozesse einzubauen, statt ihn später aufzupfropfen – ist deshalb der wirtschaftlich klügere Weg.

Einordnung

Datenschutz ist kein Randthema der IT, sondern eine Grundvoraussetzung jeder digitalen Geschäftstätigkeit. Wer Software baut, einen Onlineshop betreibt oder KI-Systeme einsetzt, verarbeitet fast zwangsläufig personenbezogene Daten – und steht damit in der Verantwortung, das rechtssicher und vertrauenswürdig zu tun. Den verbindlichen Rechtsrahmen dazu liefert die Datenschutz-Grundverordnung (DSGVO) im Volltext. Wer Datenschutz früh und ernsthaft mitdenkt, spart sich teure Nachbesserungen und gewinnt das, was im digitalen Handel am schwersten zurückzugewinnen ist: das Vertrauen der Kunden.