Rechtsgebiete im Überblick: Datenschutzrecht
Als Geschäftsführer oder Entscheider tragen Sie die Verantwortung für die Einhaltung datenschutzrechtlicher Vorgaben. Diese Seite verschafft Ihnen einen kompakten Überblick über die wichtigsten Rechtsgrundlagen, Pflichten und Risiken. So können Sie einschätzen, welche Anforderungen für Ihr Unternehmen gelten.
Was umfasst das Rechtsgebiet Datenschutzrecht und welche Gesetze zählen dazu?
Die Antwort in 30 Sekunden
Datenschutzrecht regelt den Umgang mit personenbezogenen Daten. Die wichtigsten Rechtsgrundlagen sind die DSGVO, das BDSG, die KI-Verordnung (AI Act) und das TDDDG. Diese Gesetze verpflichten Unternehmen, Daten rechtmäßig zu verarbeiten, Betroffenenrechte zu gewährleisten und technische Schutzmaßnahmen umzusetzen. Verstöße können Bußgelder und Schadenersatzforderungen nach sich ziehen.
Datenschutzrecht ist ein zentrales Rechtsgebiet für Unternehmen. Es regelt, wie personenbezogene Daten erhoben, verarbeitet und gespeichert werden dürfen. Die rechtlichen Anforderungen sind komplex und ändern sich laufend. Neue Regelungen wie die KI-Verordnung erweitern den Anwendungsbereich. Im Folgenden erklären wir, welche Gesetze zum Datenschutzrecht gehören, wie sie zusammenwirken und welche Pflichten für Unternehmen bestehen. Rechtsanwältin Christiane Henneken begleitet Sie bei allen datenschutzrechtlichen Fragestellungen.
Was ist Datenschutzrecht und warum ist es für Unternehmen relevant?
Datenschutzrecht ist das Rechtsgebiet, das den Schutz personenbezogener Daten regelt. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen – etwa Name, E-Mail-Adresse, IP-Adresse, Standortdaten oder Gesundheitsdaten.
Für Unternehmen bedeutet das: Jede Verarbeitung personenbezogener Daten – vom Speichern von Kundendaten über den Versand von Newslettern bis zur Nutzung von Tracking-Tools oder KI-Systemen – muss rechtlich zulässig sein. Datenschutzrecht schützt die Grundrechte der Betroffenen und verpflichtet Unternehmen zu Transparenz, Sicherheit und Rechenschaft.
Verstöße können behördliche Verfahren und Bußgelder nach sich ziehen. Zudem drohen Schadensersatzansprüche, Klagen und Reputationsschäden.
Welche Gesetze gehören zum Rechtsgebiet Datenschutzrecht?
Datenschutzrecht ist kein einzelnes Gesetz, sondern ein Rechtsgebiet, das verschiedene Gesetze umfasst. Das wichtigste ist sicherlich die Datenschutzgrundverordnung , auch DSGVO genannt.
Was regelt die Datenschutzgrundverordnung (DSGVO)?
Die Datenschutz-Grundverordnung (DSGVO) ist die zentrale europäische Verordnung zum Datenschutz. Sie gilt seit Mai 2018 unmittelbar in allen EU-Mitgliedstaaten und regelt den Umgang mit personenbezogenen Daten umfassend.
Die DSGVO regelt unter anderem:
• Rechtsgrundlagen für die Verarbeitung (z. B. Einwilligung, Vertrag, berechtigtes Interesse)
• Informationspflichten gegenüber Betroffenen
• Betroffenenrechte (Auskunft, Löschung, Berichtigung, Widerspruch, Datenübertragbarkeit)
• Pflicht zur Umsetzung technischer und organisatorischer Maßnahmen (TOM)
• Dokumentationspflichten (Verzeichnis von Verarbeitungstätigkeiten)
• Meldepflicht bei Datenpannen (innerhalb von 72 Stunden)
• Pflicht zur Bestellung eines Datenschutzbeauftragten (unter bestimmten Voraussetzungen)
Die DSGVO gilt für alle Unternehmen, die personenbezogene Daten verarbeiten – unabhängig von Größe, Branche oder Rechtsform. Auch Unternehmen außerhalb der EU müssen die DSGVO beachten, wenn sie Daten von Personen in der EU verarbeiten.
Ein weiteres wichtiges Gesetz im Rechtsgebiet des Datenschutzrechts ist das Bundesdatenschutzgesetz (BDSG).
Was regelt das Bundesdatenschutzgesetz (BDSG)?
Das Bundesdatenschutzgesetz (BDSG) ergänzt die DSGVO und konkretisiert sie für Deutschland. Es nutzt Öffnungsklauseln der DSGVO und regelt nationale Besonderheiten.
Das BDSG regelt unter anderem:
• Die Pflicht zur Bestellung eines Datenschutzbeauftragten (§ 38 BDSG): ab 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
• Videoüberwachung öffentlich zugänglicher Räume (§ 4 BDSG)
• Datenverarbeitung zu Zwecken des Beschäftigungsverhältnisses (§ 26 BDSG)
• Scoring und Bonitätsprüfungen (§ 31 BDSG)
Das BDSG ist eng mit der DSGVO verzahnt. Beide Gesetze müssen gemeinsam beachtet werden. Eine weiteres wichtige Regelwerk ist der AI Act, auch KI – Verordnung genannt, der eine große Schnittstelle zum Datenschutzrecht hat.
Was regelt die KI-Verordnung (AI Act)?
Die KI-Verordnung (AI Act, Verordnung (EU) 2024/1689) ist das weltweit erste umfassende Regelwerk für den Einsatz von Künstlicher Intelligenz. Sie trat am 1. August 2024 in Kraft und gilt schrittweise ab dem 2. August 2026.
Die KI-Verordnung verfolgt einen risikobasierten Ansatz und unterscheidet zwischen verbotenen, hochriskanten und risikoarmen KI-Systemen. Sie ergänzt die DSGVO und stellt zusätzliche Anforderungen an KI-Anwendungen, die personenbezogene Daten verarbeiten.
Wichtige Regelungen der KI-Verordnung:
• Verbotene KI-Systeme (z. B. Emotionserkennung am Arbeitsplatz, Social Scoring)
• Hochrisiko-KI-Systeme (z. B. KI in der Personalauswahl, Kreditvergabe, biometrische Identifikation): umfangreiche Dokumentations-, Transparenz- und Kontrollpflichten
• Transparenzpflichten (z. B. Kennzeichnung von KI-generierten Inhalten ab August 2026)
• Pflicht zur Durchführung von Risikoanalysen und zur Umsetzung von Schutzmaßnahmen
Für Unternehmen, die KI-Systeme einsetzen, bedeutet das: Sie müssen prüfen, ob ihre KI-Anwendungen unter die KI-Verordnung fallen, welche Risikokategorie vorliegt und welche Pflichten daraus resultieren. Die KI-Verordnung gilt neben der DSGVO – beide Regelwerke müssen parallel beachtet werden. Ein weiteres Gesetz, das im Rechtsgebiet Datenschutzrecht relevant ist, ist das Telekommunikation- Digitale – Dienste – Datenschutz – Gesetz.
Was regelt das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz)?
Das TDDDG (bis Mai 2024: TTDSG) regelt den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei digitalen Diensten. Es trat am 1. Dezember 2021 in Kraft und setzt die ePrivacy-Richtlinie der EU um.
Das TDDDG regelt unter anderem:
• Schutz der Privatsphäre bei Endeinrichtungen (§ 25 TDDDG): Cookie-Einwilligung, Tracking, Zugriff auf Endgeräte
• Fernmeldegeheimnis und Schutz von Telekommunikationsdaten
• Verarbeitung von Standortdaten und Verkehrsdaten
• Pflichten für Anbieter von Telekommunikationsdiensten und digitalen Diensten
Für Unternehmen, die Websites betreiben, ist vor allem § 25 TDDDG relevant: Cookies und ähnliche Technologien dürfen nur mit Einwilligung des Nutzers gesetzt werden. Ausnahmen gelten nur für technisch notwendige Cookies.
Welche weiteren Gesetze haben einen Bezug zum Datenschutzrecht?
Neben DSGVO, BDSG, KI-Verordnung und TDDDG gibt es weitere Gesetze und EU-Verordnungen, die den Datenschutz berühren oder ergänzen. Diese Regelungen richten sich an spezifische Branchen, Unternehmensgrößen oder Verarbeitungszwecke und müssen parallel beachtet werden:
NIS-2-Richtlinie (Cybersicherheit)
Verpflichtet Unternehmen in kritischen Sektoren (z. B. Energie, Gesundheit, Finanzwesen) zu Cybersicherheitsmaßnahmen und Meldepflichten bei Sicherheitsvorfällen. Die Umsetzung in Deutschland erfolgt durch das NIS-2-Umsetzungsgesetz.
Digital Services Act (DSA) / Digitale-Dienste-Gesetz (DDG)
Regelt Pflichten für Anbieter digitaler Dienste, insbesondere Plattformen und Online-Marktplätze. Betrifft unter anderem Transparenzpflichten, Beschwerdemechanismen und den Umgang mit illegalen Inhalten.
Digital Markets Act (DMA)
Richtet sich an große digitale Plattformen („Gatekeeper“) und regelt deren Umgang mit Nutzerdaten, Interoperabilität und Wettbewerbsverhalten.
Hinweisgeberschutzgesetz (HinSchG)
Verpflichtet Unternehmen ab 50 Beschäftigten zur Einrichtung interner Meldestellen für Hinweisgeber (Whistleblower). Der Schutz der Identität der Hinweisgeber erfordert besondere datenschutzrechtliche Maßnahmen.
Data Governance Act (DGA)
Fördert die Datenweitergabe und schafft Rahmenbedingungen für Datenvermittlungsdienste und Datenaltruismus. Ergänzt die DSGVO um Regelungen zur Datennutzung.
Data Act
Regelt den Zugang zu und die Nutzung von Daten, insbesondere im IoT-Bereich (Internet of Things). Betrifft die Weitergabe von Daten zwischen Unternehmen und Nutzern.
Cybersecurity Act
Schafft einen EU-weiten Rahmen für Cybersicherheitszertifizierungen und stärkt die Rolle der EU-Agentur für Cybersicherheit (ENISA). Betrifft die Sicherheit von IT-Produkten und -Diensten.
Diese Regelungen – im übrigen gibt es noch weitere relevante Regelungen – ergänzen das Datenschutzrecht und schaffen zusätzliche Pflichten. Für Unternehmen bedeutet das: Sie müssen prüfen, welche Gesetze auf ihre Tätigkeit anwendbar sind und wie diese mit der DSGVO zusammenwirken. Eine umfassende Compliance-Strategie berücksichtigt alle relevanten Rechtsakte.
Welche Pflichten ergeben sich aus dem Rechtsgebiet des Datenschutzrechts für Unternehmen?
Aus dem Datenschutzrecht ergeben sich umfangreiche Pflichten für Unternehmen. Die wichtigsten sind:
Rechtsgrundlage für jede Verarbeitung
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach DSGVO (z. B. Einwilligung, Vertrag, berechtigtes Interesse).
Informationspflichten
Betroffene müssen transparent über die Datenverarbeitung informiert werden (Datenschutzerklärung, Informationen nach Art. 13, 14 DSGVO).
Betroffenenrechte gewährleisten
Unternehmen müssen Auskunfts-, Löschungs-, Berichtigungs- und Widerspruchsrechte innerhalb eines Monats erfüllen, beginnend ab Eingang des Antrags.
Technische und organisatorische Maßnahmen (TOM)
Unternehmen müssen geeignete Schutzmaßnahmen umsetzen (z. B. Verschlüsselung, Zugangskontrollen, Backups).
Verzeichnis von Verarbeitungstätigkeiten
Alle Verarbeitungen müssen dokumentiert werden (Art. 30 DSGVO).
Auftragsverarbeitungsverträge (AVV)
Mit allen Dienstleistern, die Daten in Ihrem Auftrag verarbeiten, müssen AVV abgeschlossen werden.
Meldung von Datenpannen
Datenpannen müssen innerhalb von 72 Stunden nach Bekanntwerden der Datenschutzbehörde gemeldet werden. Die Frist beginnt ab dem Zeitpunkt, zu dem Sie Kenntnis von der Panne erlangt haben.
Datenschutzbeauftragter
Ab 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, muss ein Datenschutzbeauftragter bestellt werden (§ 38 BDSG). Daneben gibt es weitere Konstellationen, in denen ein Datenschutzbeauftragter benannt werden muss.
Cookie-Einwilligung
Cookies und ähnliche Technologien dürfen nur mit Einwilligung gesetzt werden (§ 25 TDDDG).
KI-spezifische Pflichten
Beim Einsatz von KI-Systemen müssen ab dem 2. August 2026 zusätzliche Pflichten beachtet werden (Risikoanalyse, Dokumentation, Transparenz).
Die vorstehenden Aufzählung ist nicht abschließend; bei den genannten Pflichten handelt es sich lediglich um einige der wichtigsten.
So unterstützen wir Sie bei Ihrer Datenschutz - Compliance
Datenschutzrecht ist komplex und stellt Unternehmen immer wieder vor Herausforderungen. Wir unterstützen Sie dabei, damit Sie sich auf Ihre Kerngeschäft konzentrieren können.
Passende Leistungen:
Sie haben konkrete Fragen oder möchten sich einfach informieren?
Buchen Sie direkt Ihr kostenfreies Erstgespräch.
Rechtsanwältin Christiane Henneken freut sich auf Sie.
Wie setze ich Datenschutzrecht im Unternehmen um?
Die Umsetzung des Datenschutzrechts erfordert einen strukturierten Ansatz. Wenn Sie folgende Punkte umsetzen, sind Sie auf einem guten Weg:
1. Bestandsaufnahme
Erfassen Sie alle Verarbeitungsvorgänge und prüfen Sie, welche Rechtsgrundlagen gelten.
2. Verzeichnis von Verarbeitungstätigkeiten erstellen
Dokumentieren Sie alle Verarbeitungen nach Art. 30 DSGVO.
3. Technische und organisatorische Maßnahmen umsetzen
Implementieren Sie Schutzmaßnahmen wie Verschlüsselung, Zugangskontrollen und Backups.
4. Verträge zur Auftragsverarbeitung abschließen
Schließen Sie mit allen Dienstleistern Auftragsverarbeitungsverträge (AVV) ab.
5. Datenschutzerklärung und Informationspflichten erfüllen
Informieren Sie Betroffene transparent über die Datenverarbeitung.
6. Datenschutzbeauftragten bestellen (falls erforderlich)
Prüfen Sie die Bestellpflicht und bestellen Sie einen Datenschutzbeauftragten.
7. Cookie-Einwilligung umsetzen
Setzen Sie ein rechtssicheres Cookie-Banner ein (§ 25 TDDDG).
8. KI-Systeme prüfen
Erfassen Sie alle KI-Anwendungen und prüfen Sie, welche Pflichten aus der KI-Verordnung resultieren.
9. Schulungen durchführen
Sensibilisieren Sie Ihre Mitarbeiter für Datenschutzthemen.
10. Regelmäßige Überprüfung
Datenschutz ist kein einmaliges Projekt. Überprüfen Sie Ihre Prozesse regelmäßig und passen Sie sie an neue Anforderungen an.
Autorin
Rechtsanwältin Christiane Henneken verfügt über langjährige Erfahrung im Datenschutzrecht und begleitet Unternehmen bei der Umsetzung von DSGVO-Compliance. Sie ist als externe Datenschutzbeauftragte für verschiedene Unternehmen tätig und unterstützt bei der rechtssicheren Gestaltung von Datenschutzprozessen.
Häufig gestellte Fragen (FAQ)
Gilt das Datenschutzrecht auch für kleine Unternehmen?
Ja. Auch wenn das Rechtsgebiet Datenschutzrecht gilt es für alle Unternehmen, die personenbezogene Daten verarbeiten – unabhängig von Größe, Branche oder Rechtsform. Auch Einzelunternehmer und Freiberufler müssen DSGVO, BDSG und TDDDG beachten.
Was ist der Unterschied zwischen DSGVO und BDSG?
Die DSGVO ist eine europäische Verordnung, die unmittelbar in allen EU-Mitgliedstaaten gilt. Das BDSG ist ein deutsches Gesetz, das die DSGVO konkretisiert und nationale Besonderheiten regelt – etwa die Bestellpflicht für Datenschutzbeauftragte ab 20 Personen.
Muss ich die KI-Verordnung beachten, wenn ich KI-Tools nutze?
Ja, wenn Sie KI-Systeme einsetzen, müssen Sie die KI-Verordnung beachten. Prüfen Sie, in welche Risikoklasse Ihre KI-Anwendungen fällt und welche Pflichten daraus resultieren. Die KI-Verordnung gilt neben der DSGVO.
Welche Bußgelder sind bei Verstößen gegen die DSGVO oder KI - Verordnung gesetzlich vorgesehen?
Bußgelder nach DSGVO können bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen. Bußgelder nach KI-Verordnung können bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes betragen. Zudem drohen Schadensersatzansprüche, Abmahnungen und Reputationsschäden.
Strategische Ergänzungen zum Thema