Was ist die GDPR und was bedeutet sie für uns?

Was ist GDPR? Die Abkürzung steht für General Data Protection Regulation, auf Deutsch Datenschutz-Grundverordnung, kurz DSGVO. Es handelt sich um ein und dieselbe EU-Verordnung, die seit dem 25. Mai 2018 in allen Mitgliedstaaten unmittelbar gilt. Sie regelt, wer personenbezogene Daten wann und wie verarbeiten darf und welche Rechte Menschen gegenüber Unternehmen und Behörden haben.

Was ist die GDPR? Eine Definition der Datenschutz-Grundverordnung

Die GDPR ist die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates. Sie wurde am 27. April 2016 verabschiedet und gilt nach einer zweijährigen Übergangsfrist seit dem 25. Mai 2018. Wer fragt, was ist GDPR auf Deutsch, bekommt also eine einfache Antwort: Es ist die DSGVO, nur unter ihrem englischen Namen.

Als Verordnung unterscheidet sie sich von einer Richtlinie. Eine Richtlinie muss erst in nationales Recht übertragen werden, eine Verordnung gilt nach Art. 288 des Vertrags über die Arbeitsweise der EU unmittelbar in jedem Mitgliedstaat. Damit hat die DSGVO die frühere Datenschutzrichtlinie 95/46/EG aus dem Jahr 1995 abgelöst, die in den einzelnen Ländern sehr unterschiedlich umgesetzt worden war.

Der Text ist in 11 Kapitel mit insgesamt 99 Artikeln gegliedert. Vorangestellt sind 173 Erwägungsgründe, die keine eigenen Pflichten begründen, aber bei der Auslegung der Artikel helfen. Die Kapitel-Artikel-Struktur folgt einer klaren Logik:

Art. 1 nennt zwei Ziele, die auf den ersten Blick in Spannung stehen: den Schutz natürlicher Personen bei der Verarbeitung ihrer Daten und den freien Verkehr dieser Daten im Binnenmarkt. Die Verordnung will Datenverarbeitung also nicht verhindern, sondern an Regeln binden. Ausführlich zu diesem Schutzgedanken: Was schützt die DSGVO eigentlich?.

GDPR vs. DSGVO: Gibt es einen Unterschied?

Nein. GDPR und DSGVO bezeichnen denselben Rechtsakt. EU-Verordnungen werden in allen 24 Amtssprachen der Union veröffentlicht, und jede Sprachfassung ist gleichermaßen verbindlich. Deshalb hat die Verordnung in jedem Land einen eigenen Namen:

Im deutschsprachigen Raum taucht GDPR vor allem in Software, Cookie-Bannern und Verträgen internationaler Anbieter auf, die ihre Texte zuerst auf Englisch verfassen. Inhaltlich ändert das nichts.

Ein echter Unterschied besteht dagegen zwischen der europäischen Datenschutz-Grundverordnung und nationalem Recht. Die DSGVO enthält zahlreiche Öffnungsklauseln, die den Mitgliedstaaten eigene Regeln erlauben. In Deutschland füllt vor allem das Bundesdatenschutzgesetz (BDSG) diese Spielräume aus, ergänzt durch Landesdatenschutzgesetze für Behörden der Länder. Ein bekanntes Beispiel ist Art. 88 DSGVO, der nationale Regeln für Beschäftigtendaten zulässt. Deutschland hat dazu § 26 BDSG geschaffen. Seit einem Urteil des Europäischen Gerichtshofs vom März 2023 zu einer ähnlichen hessischen Vorschrift ist allerdings umstritten, wie weit solche nationalen Regeln tragen. Wer im Gesetzestext selbst nachlesen will, findet die Wege dorthin im Beitrag Die DSGVO als PDF: Gesetze im Internet finden.

Anwendungsbereich: Was ist ein GDPR-Land und für wen gilt das Gesetz?

„GDPR-Land“ ist kein Rechtsbegriff. Gemeint sind in der Regel die Staaten, in denen die Verordnung unmittelbar gilt. Das sind zunächst die 27 EU-Mitgliedstaaten. Über das Abkommen zum Europäischen Wirtschaftsraum gilt die DSGVO seit Juli 2018 zusätzlich in Norwegen, Island und Liechtenstein.

Davon zu unterscheiden sind drei Gruppen, die oft verwechselt werden:

• Vereinigtes Königreich: Nach dem Brexit gilt dort eine eigene, inhaltlich weitgehend übernommene Fassung, die UK GDPR, zusammen mit dem Data Protection Act 2018.
• Schweiz: Sie hat ein eigenes, revidiertes Datenschutzgesetz, das seit dem 1. September 2023 in Kraft ist und sich an der DSGVO orientiert.
• Länder mit Angemessenheitsbeschluss: Für Staaten wie Japan, Kanada, Südkorea, das Vereinigte Königreich oder die Schweiz hat die EU-Kommission nach Art. 45 DSGVO festgestellt, dass ihr Schutzniveau ausreicht. Daten dürfen dorthin ohne zusätzliche Garantien übermittelt werden. Für die USA gilt seit Juli 2023 das EU-US Data Privacy Framework, allerdings nur für Unternehmen, die sich danach zertifiziert haben.

Wer die Verordnung einhalten muss

Entscheidend für den räumlichen Anwendungsbereich ist Art. 3. Die DSGVO gilt für alle Verantwortlichen und Auftragsverarbeiter mit einer Niederlassung in der EU, egal wo die Daten tatsächlich verarbeitet werden. Darüber hinaus gilt sie nach dem sogenannten Marktortprinzip auch für Unternehmen ohne Sitz in der EU, wenn sie Menschen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten, etwa durch Tracking. Ein Onlineshop aus Kalifornien, der gezielt an Kundinnen in Deutschland verkauft, fällt also unter die Verordnung.

Wem der Schutz gilt

Geschützt sind natürliche Personen, deren Daten verarbeitet werden, unabhängig von Staatsangehörigkeit oder Wohnort. Nicht erfasst sind Daten juristischer Personen, also etwa die Kontaktdaten einer GmbH als solcher, und Daten Verstorbener. Ausgenommen ist außerdem die rein persönliche oder familiäre Tätigkeit, zum Beispiel das private Adressbuch auf dem eigenen Handy.

Die wichtigsten Anforderungen für GDPR-Compliance

Was ist GDPR-Compliance? Gemeint ist die Einhaltung aller Vorgaben, die die Verordnung an Verantwortliche stellt. Das Herzstück steht in Art. 5: sieben Grundsätze, an denen sich jede Verarbeitung personenbezogener Daten messen lassen muss.

1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz: Die Verarbeitung braucht eine Rechtsgrundlage und muss für Betroffene nachvollziehbar sein.
2. Zweckbindung: Daten dürfen nur für festgelegte, eindeutige Zwecke erhoben werden.
3. Datenminimierung: Erhoben wird nur, was für den Zweck nötig ist.
4. Richtigkeit: Falsche Daten sind zu berichtigen oder zu löschen.
5. Speicherbegrenzung: Daten werden nicht länger gespeichert als erforderlich.
6. Integrität und Vertraulichkeit: Daten sind angemessen technisch und organisatorisch zu schützen.
7. Rechenschaftspflicht: Der Verantwortliche muss die Einhaltung all dessen nachweisen können.

Die Rechtsgrundlagen stehen in Art. 6. Neben der bekannten Einwilligung kommen unter anderem die Erfüllung eines Vertrags, eine rechtliche Pflicht und das berechtigte Interesse in Betracht. Eine Einwilligung ist also längst nicht immer nötig, aber wenn sie die Grundlage ist, muss sie freiwillig, informiert und widerrufbar sein.

Art. 24 DSGVO und die konkreten Pflichten

Art. 24 DSGVO verpflichtet den Verantwortlichen, geeignete technische und organisatorische Maßnahmen zu treffen und nachweisen zu können, dass er die Verordnung einhält. Was das praktisch heißt, buchstabieren die folgenden Artikel aus:

Verstöße können teuer werden. Art. 83 sieht Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Das bisher höchste Bußgeld verhängte die irische Datenschutzbehörde im Mai 2023 mit 1,2 Milliarden Euro gegen Meta wegen Datenübermittlungen in die USA. Für die meisten Betriebe ist aber weniger das Bußgeld das Risiko als Schadensersatzansprüche nach Art. 82 und der Aufwand, Versäumnisse im Nachhinein aufzuarbeiten.

Bedeutung für die Praxis: Was schützt die Verordnung wirklich?

Die DSGVO schützt nicht Daten als solche, sondern Menschen. Personenbezogene Daten sind nach Art. 4 Nr. 1 alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen: Name und Adresse ebenso wie IP-Adresse, Standortdaten, Kundennummer oder ein Foto. Besonders geschützt sind nach Art. 9 Gesundheitsdaten, genetische und biometrische Daten, Angaben zu politischer Meinung, Religion, Gewerkschaftszugehörigkeit und sexueller Orientierung.

Der Grundgedanke ist älter als die Verordnung. In Deutschland hat das Bundesverfassungsgericht bereits 1983 im Volkszählungsurteil das Recht auf informationelle Selbstbestimmung formuliert. Wie das Gericht arbeitet und welche Rolle es für Grundrechte spielt, erklärt der Beitrag Was macht das Bundesverfassungsgericht?. Auf europäischer Ebene ist der Schutz personenbezogener Daten in Art. 8 der Grundrechtecharta verankert.

Die Rechte der Betroffenen

Für Bürgerinnen und Bürger zeigt sich die DSGVO vor allem in den Rechten, die sie selbst geltend machen können:

• Information bei der Erhebung der Daten (Art. 13 und 14)
• Auskunft darüber, welche Daten gespeichert sind, einschließlich einer Kopie (Art. 15)
• Berichtigung falscher Daten (Art. 16)
• Löschung, das sogenannte Recht auf Vergessenwerden (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit in einem gängigen Format (Art. 20)
• Widerspruch, etwa gegen Direktwerbung (Art. 21)
• Schutz vor rein automatisierten Entscheidungen mit erheblicher Wirkung (Art. 22)

Anfragen müssen Verantwortliche grundsätzlich innerhalb eines Monats beantworten (Art. 12). Wer meint, dass seine Rechte verletzt wurden, kann sich nach Art. 77 bei einer Aufsichtsbehörde beschweren. In Deutschland sind das für Bundesbehörden und bestimmte Bereiche wie Telekommunikation der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, für Unternehmen und Landesbehörden die Datenschutzaufsicht des jeweiligen Bundeslandes.

Spannungsfelder

Kritik an der DSGVO gibt es von mehreren Seiten. Kleine Unternehmen, Vereine und Ehrenamtliche beklagen den Dokumentationsaufwand, der für sie im Verhältnis höher ausfällt als für große Konzerne. Datenschützer bemängeln dagegen, dass die Durchsetzung gegenüber großen Plattformen lange dauert, weil federführend die Behörde am europäischen Sitz des Unternehmens zuständig ist. Und auch in der öffentlichen Verwaltung stellt sich die Frage, wie Datenschutz und Digitalisierung zusammengehen; einen Einblick gibt der Beitrag Das neue Gesetz zur Digitalisierung der Verwaltung.

Häufige Fragen (FAQ)