Rechtsgebiete im Überblick: Datenschutzrecht
Als Geschäftsführer oder Entscheider tragen Sie die Verantwortung für die Einhaltung datenschutzrechtlicher Vorgaben. Diese Seite verschafft Ihnen einen kompakten Überblick über die wichtigsten Rechtsgrundlagen, Pflichten und Risiken. So können Sie einschätzen, welche Anforderungen für Ihr Unternehmen gelten.
Was umfasst das Rechtsgebiet Datenschutzrecht und welche Gesetze zählen dazu?
Die Antwort in 30 Sekunden
Datenschutzrecht regelt den Umgang mit personenbezogenen Daten. Die wichtigsten Rechtsgrundlagen sind die DSGVO, das BDSG und das TDDDG. Diese Gesetze verpflichten Unternehmen, Daten rechtmäßig zu verarbeiten, Betroffenenrechte zu gewährleisten und technische Schutzmaßnahmen umzusetzen. Verstöße können Bußgelder und Schadensersatzforderungen nach sich ziehen. Beim Einsatz digitaler Technologien können ergänzend weitere Regelwerke wie die KI-Verordnung hinzukommen.
Datenschutzrecht ist ein zentrales Rechtsgebiet für Unternehmen. Es regelt, wie personenbezogene Daten erhoben, verarbeitet und gespeichert werden dürfen. Die rechtlichen Anforderungen sind komplex und ändern sich laufend. Neue Regelungen wie die KI-Verordnung erweitern den Anwendungsbereich. Im Folgenden erklären wir, welche Gesetze zum Datenschutzrecht gehören, wie sie zusammenwirken und welche Pflichten für Unternehmen bestehen. Rechtsanwältin Christiane Henneken begleitet Sie bei allen datenschutzrechtlichen Fragestellungen.
Was ist Datenschutzrecht und warum ist es für Unternehmen relevant?
Datenschutzrecht ist das Rechtsgebiet, das den Schutz personenbezogener Daten regelt. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen – etwa Name, E-Mail-Adresse, IP-Adresse, Standortdaten oder Gesundheitsdaten.
Für Unternehmen bedeutet das: Jede Verarbeitung personenbezogener Daten – vom Speichern von Kundendaten über den Versand von Newslettern bis zur Nutzung von Tracking-Tools oder KI-Systemen – muss rechtlich zulässig sein. Datenschutzrecht schützt die Grundrechte der Betroffenen und verpflichtet Unternehmen zu Transparenz, Sicherheit und Rechenschaft.
Verstöße können behördliche Verfahren und Bußgelder nach sich ziehen. Zudem drohen Schadensersatzforderungen, Klagen und Reputationsschäden.
Welche Gesetze gehören zum Rechtsgebiet Datenschutzrecht?
Datenschutzrecht ist kein einzelnes Gesetz, sondern ein Rechtsgebiet, das verschiedene Gesetze umfasst. Das wichtigste ist sicherlich die Datenschutzgrundverordnung , kurz DSGVO.
Was regelt die Datenschutzgrundverordnung (DSGVO)?
Die Datenschutz-Grundverordnung (DSGVO) ist die zentrale europäische Verordnung zum Datenschutz. Sie gilt seit Mai 2018 unmittelbar in allen EU-Mitgliedstaaten und regelt den Umgang mit personenbezogenen Daten umfassend.
Die DSGVO regelt unter anderem:
• Rechtsgrundlagen für die Verarbeitung (z. B. Einwilligung, Vertrag, berechtigtes Interesse)
• Informationspflichten gegenüber Betroffenen
• Betroffenenrechte (Auskunft, Löschung, Berichtigung, Widerspruch, Datenübertragbarkeit)
• Pflicht zur Umsetzung technischer und organisatorischer Maßnahmen (TOM)
• Dokumentationspflichten (Verzeichnis von Verarbeitungstätigkeiten)
• Meldepflicht bei Datenpannen (innerhalb von 72 Stunden)
• Pflicht zur Bestellung eines Datenschutzbeauftragten (unter bestimmten Voraussetzungen)
Die DSGVO gilt für alle Unternehmen, die personenbezogene Daten verarbeiten – unabhängig von Größe, Branche oder Rechtsform. Auch Unternehmen außerhalb der EU können der DSGVO unterliegen, insbesondere wenn sie Personen in der EU Waren oder Dienstleistungen anbieten.
Ein weiteres wichtiges Gesetz im Rechtsgebiet des Datenschutzrechts ist das Bundesdatenschutzgesetz (BDSG).
Was regelt das Bundesdatenschutzgesetz (BDSG)?
Das Bundesdatenschutzgesetz (BDSG) ergänzt die DSGVO und konkretisiert sie für Deutschland. Es nutzt Öffnungsklauseln der DSGVO und regelt nationale Besonderheiten.
Das BDSG regelt unter anderem:
• Die Pflicht zur Bestellung eines Datenschutzbeauftragten (§ 38 BDSG): ab 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
• Videoüberwachung öffentlich zugänglicher Räume (§ 4 BDSG)
• Datenverarbeitung zu Zwecken des Beschäftigungsverhältnisses (§ 26 BDSG)
• Scoring und Bonitätsprüfungen (§ 31 BDSG)
Das BDSG ist eng mit der DSGVO verzahnt. Beide Gesetze müssen gemeinsam beachtet werden. Ein weiteres wichtiges Regelwerk ist der AI Act, auch KI-Verordnung genannt, der eine große Schnittstelle zum Datenschutzrecht hat.
Was regelt die KI-Verordnung (AI Act)?
Die KI-Verordnung ist am 1. August 2024 in Kraft getreten und wird stufenweise anwendbar. Einzelne Verbote und die Pflicht zur Förderung von KI-Kompetenz gelten bereits seit Februar 2025. Transparenzpflichten gelten ab August 2026. Die umfassenden Anforderungen an bestimmte Hochrisiko-KI-Systeme werden überwiegend ab Dezember 2027 bzw. August 2028 anwendbar.
Die KI-Verordnung verfolgt einen risikobasierten Ansatz und unterscheidet zwischen verbotenen, hochriskanten und risikoarmen KI-Systemen. Sie ergänzt die DSGVO und stellt zusätzliche Anforderungen an KI-Anwendungen, die personenbezogene Daten verarbeiten.
Wichtige Regelungen der KI-Verordnung:
• Verbotene KI-Systeme (z. B. Emotionserkennung am Arbeitsplatz, Social Scoring)
• Hochrisiko-KI-Systeme (z. B. KI in der Personalauswahl, Kreditvergabe, biometrische Identifikation): umfangreiche Dokumentations-, Transparenz- und Kontrollpflichten
• Transparenzpflichten (z. B. Kennzeichnung von KI-generierten Inhalten ab August 2026)
• je nach Risikoklasse Pflicht zur Durchführung von Risikoanalysen und Umsetzung von Schutzmaßnahmen
Für Unternehmen, die KI-Systeme einsetzen, bedeutet das: Sie müssen prüfen, ob ihre KI-Anwendungen unter die KI-Verordnung fallen, welche Risikokategorie vorliegt und welche Pflichten daraus resultieren. Die KI-Verordnung gilt neben der DSGVO – beide Regelwerke müssen parallel beachtet werden. Ein weiteres Gesetz, das im Rechtsgebiet Datenschutzrecht relevant ist, ist das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz.
Was regelt das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz)?
Das TDDDG (bis Mai 2024: TTDSG) regelt den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei digitalen Diensten. Es trat am 1. Dezember 2021 in Kraft und setzt die ePrivacy-Richtlinie der EU um.
Das TDDDG regelt unter anderem:
• Schutz der Privatsphäre bei Endeinrichtungen (§ 25 TDDDG): Cookie-Einwilligung, Tracking, Zugriff auf Endgeräte
• Fernmeldegeheimnis und Schutz von Telekommunikationsdaten
• Verarbeitung von Standortdaten und Verkehrsdaten
• Pflichten für Anbieter von Telekommunikationsdiensten und digitalen Diensten
Für Unternehmen, die Websites betreiben, ist vor allem § 25 TDDDG relevant: Cookies und ähnliche Technologien dürfen nur mit Einwilligung des Nutzers gesetzt werden. Ausnahmen gelten nur für technisch notwendige Cookies.
Welche weiteren Gesetze haben einen Bezug zum Datenschutzrecht?
Neben DSGVO, BDSG, KI-Verordnung und TDDDG gibt es weitere Gesetze und EU-Verordnungen, die den Datenschutz berühren oder ergänzen. Diese Regelungen richten sich an spezifische Branchen, Unternehmensgrößen oder Verarbeitungszwecke und müssen parallel beachtet werden:
NIS-2-Richtlinie (Cybersicherheit)
Verpflichtet Unternehmen in kritischen Sektoren (z. B. Energie, Gesundheit, Finanzwesen) zu Cybersicherheitsmaßnahmen und Meldepflichten bei Sicherheitsvorfällen. Die Umsetzung der Richtlinie in Deutschland erfolgt durch das NIS-2-Umsetzungsgesetz, welches im Dezember 2025 in Kraft trat.
Digital Services Act (DSA) / Digitale-Dienste-Gesetz (DDG)
Regelt Pflichten für Anbieter digitaler Dienste, insbesondere Plattformen und Online-Marktplätze. Betrifft unter anderem Transparenzpflichten, Beschwerdemechanismen und den Umgang mit illegalen Inhalten.
Digital Markets Act (DMA)
Richtet sich an große digitale Plattformen („Gatekeeper“) und regelt deren Umgang mit Nutzerdaten, Interoperabilität und Wettbewerbsverhalten.
Hinweisgeberschutzgesetz (HinSchG)
Verpflichtet Unternehmen ab 50 Beschäftigten zur Einrichtung interner Meldestellen für Hinweisgeber (Whistleblower). Der Schutz der Identität der Hinweisgeber erfordert besondere datenschutzrechtliche Maßnahmen.
Data Governance Act (DGA)
Fördert die Datenweitergabe und schafft Rahmenbedingungen für Datenvermittlungsdienste und Datenaltruismus. Ergänzt die DSGVO um Regelungen zur Datennutzung.
Data Act
Regelt den Zugang zu und die Nutzung von Daten, insbesondere im IoT-Bereich (Internet of Things). Betrifft die Weitergabe von Daten zwischen Unternehmen und Nutzern.
Cybersecurity Act
Schafft einen EU-weiten Rahmen für Cybersicherheitszertifizierungen und stärkt die Rolle der EU-Agentur für Cybersicherheit (ENISA). Betrifft die Sicherheit von IT-Produkten und -Diensten.
Diese Regelungen – im Übrigen gibt es noch weitere relevante Regelungen – ergänzen das Datenschutzrecht und schaffen zusätzliche Pflichten. Für Unternehmen bedeutet das: Sie müssen prüfen, welche Gesetze auf ihre Tätigkeit anwendbar sind und wie diese mit der DSGVO zusammenwirken. Eine umfassende Compliance-Strategie berücksichtigt alle relevanten Rechtsakte.
Welche Pflichten ergeben sich aus dem Rechtsgebiet des Datenschutzrechts für Unternehmen?
Aus dem Datenschutzrecht ergeben sich umfangreiche Pflichten für Unternehmen. Die wichtigsten sind:
Rechtsgrundlage für jede Verarbeitung
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach DSGVO (z. B. Einwilligung, Vertrag, berechtigtes Interesse).
Informationspflichten
Betroffene müssen transparent über die Datenverarbeitung informiert werden (Datenschutzerklärung, Informationen nach Art. 13, 14 DSGVO).
Betroffenenrechte gewährleisten
Unternehmen müssen Auskunfts-, Löschungs-, Berichtigungs- und Widerspruchsrechte innerhalb eines Monats erfüllen, beginnend ab Eingang des Antrags.
Technische und organisatorische Maßnahmen (TOM)
Unternehmen müssen geeignete Schutzmaßnahmen umsetzen (z. B. Verschlüsselung, Zugangskontrollen, Backups).
Verzeichnis von Verarbeitungstätigkeiten
Alle Verarbeitungen, die personenbezogene Daten betreffen, müssen dokumentiert werden (Art. 30 DSGVO).
Auftragsverarbeitungsverträge (AVV)
Mit allen Dienstleistern, die personenbezogene Daten in Ihrem Auftrag verarbeiten, müssen AVV abgeschlossen werden.
Meldung von Datenpannen
Datenpannen, bei welchen personenbezogene Daten betroffen sind, müssen innerhalb von 72 Stunden nach Bekanntwerden der Datenschutzbehörde gemeldet werden. Die Frist beginnt ab dem Zeitpunkt, zu dem Sie Kenntnis von der Panne erlangt haben.
Datenschutzbeauftragter
Ab 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, muss ein Datenschutzbeauftragter bestellt werden (§ 38 BDSG). Daneben gibt es weitere Konstellationen, in denen ein Datenschutzbeauftragter benannt werden muss.
Cookie-Einwilligung
Cookies und ähnliche Technologien dürfen nur mit Einwilligung gesetzt werden (§ 25 TDDDG).
KI-spezifische Pflichten
Beim Einsatz von KI-Systemen müssen ab dem 2. August 2026 zusätzliche Pflichten beachtet werden (Risikoanalyse, Dokumentation, Transparenz).
Die vorstehende Aufzählung ist nicht abschließend; bei den genannten Pflichten handelt es sich lediglich um einige der wichtigsten.
So unterstützen wir Sie bei Ihrer Datenschutz - Compliance
Datenschutzrecht ist komplex und stellt Unternehmen immer wieder vor Herausforderungen. Wir unterstützen Sie dabei, damit Sie sich auf Ihr Kerngeschäft konzentrieren können.
Passende Leistungen:
Sie haben konkrete Fragen oder möchten sich einfach informieren?
Buchen Sie direkt Ihr kostenfreies Erstgespräch.
Rechtsanwältin Christiane Henneken freut sich auf Sie.
Wie setze ich Datenschutzrecht im Unternehmen um?
Die Umsetzung des Datenschutzrechts erfordert einen strukturierten Ansatz. Wenn Sie folgende Punkte umsetzen, sind Sie auf einem guten Weg:
1. Bestandsaufnahme
Erfassen Sie alle Verarbeitungsvorgänge, bei denen personenbezogene Daten betroffen sind, und prüfen Sie, welche Rechtsgrundlagen gelten.
2. Verzeichnis von Verarbeitungstätigkeiten erstellen
Dokumentieren Sie alle Verarbeitungen, bei denen personenbezogen Daten betroffen sind, nach Art. 30 DSGVO.
3. Technische und organisatorische Maßnahmen umsetzen
Implementieren Sie Schutzmaßnahmen wie Verschlüsselung, Zugangskontrollen und Backups.
4. Verträge zur Auftragsverarbeitung abschließen
Schließen Sie mit allen Dienstleistern Auftragsverarbeitungsverträge (AVV) ab.
5. Datenschutzerklärung und Informationspflichten erfüllen
Informieren Sie Betroffene transparent über die Datenverarbeitung.
6. Datenschutzbeauftragten bestellen (falls erforderlich)
Prüfen Sie die Bestellpflicht und bestellen Sie einen Datenschutzbeauftragten.
7. Cookie-Einwilligung umsetzen
Prüfen Sie, welche auf Ihrer Website eingesetzten Technologien eine Einwilligung erfordern, und konfigurieren Sie das Consent-Management entsprechend.
8. KI-Systeme prüfen
Erfassen Sie alle KI-Anwendungen und prüfen Sie, welche Pflichten aus der KI-Verordnung resultieren.
9. Schulungen durchführen
Sensibilisieren Sie Ihre Mitarbeiter für Datenschutzthemen.
10. Regelmäßige Überprüfung
Datenschutz ist kein einmaliges Projekt. Überprüfen Sie Ihre Prozesse regelmäßig und passen Sie sie an neue Anforderungen an.
Autorin
Rechtsanwältin Christiane Henneken verfügt über langjährige Erfahrung im Datenschutzrecht und begleitet Unternehmen bei der Umsetzung von DSGVO-Compliance. Sie ist als externe Datenschutzbeauftragte für verschiedene Unternehmen tätig und unterstützt bei der rechtssicheren Gestaltung von Datenschutzprozessen.
Häufig gestellte Fragen (FAQ)
Gilt das Datenschutzrecht auch für kleine Unternehmen?
Ja. Das Datenschutzrecht gilt für alle Unternehmen, die personenbezogene Daten verarbeiten – unabhängig von Größe, Branche oder Rechtsform. Auch Einzelunternehmer und Freiberufler müssen DSGVO, BDSG und TDDDG beachten.
Was ist der Unterschied zwischen DSGVO und BDSG?
Die DSGVO ist eine europäische Verordnung, die unmittelbar in allen EU-Mitgliedstaaten gilt. Das BDSG ist ein deutsches Gesetz, das die DSGVO konkretisiert und nationale Besonderheiten regelt – etwa die Bestellpflicht für Datenschutzbeauftragte ab 20 Personen.
Muss ich die KI-Verordnung beachten, wenn ich KI-Tools nutze?
Beim Einsatz von KI-Systemen kann die KI-Verordnung anwendbar sein. Welche Pflichten bestehen, hängt insbesondere von der Rolle des Unternehmens, dem Verwendungszweck und der Risikoklasse des Systems ab. Die KI-Verordnung gilt neben der DSGVO.
Welche Bußgelder sind bei Verstößen gegen die DSGVO oder KI - Verordnung gesetzlich vorgesehen?
Bußgelder nach DSGVO können bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen. Bußgelder nach KI-Verordnung können bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes betragen. Zudem drohen Schadensersatzforderungen ,Abmahnungen und Reputationsschäden.
Strategische Ergänzungen zum Thema