Was schützt die DSGVO eigentlich?

Cookie-Banner, Einwilligungshäkchen, seitenlange Datenschutzerklärungen: Im Alltag begegnet die Datenschutz-Grundverordnung vielen Menschen vor allem als Formular. Was schützt die DSGVO aber eigentlich im Kern? Die Antwort fällt grundsätzlicher aus, als der Alltag vermuten lässt. Geschützt werden nicht Daten als solche, sondern Menschen — ihre Grundrechte, ihre Privatsphäre und ihre Möglichkeit, selbst zu bestimmen, wer was über sie weiß.

Was schützt die DSGVO? Die Antwort aus Art. 1

Die knappste Antwort steht im Gesetz selbst. Art. 1 DSGVO, also der erste Artikel der Verordnung (EU) 2016/679, nennt zwei Regelungsziele: den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und den freien Verkehr solcher Daten. Absatz 2 präzisiert, dass die Verordnung die Grundrechte und Grundfreiheiten natürlicher Personen schützt, insbesondere deren Recht auf Schutz personenbezogener Daten.

Daraus folgt eine Unterscheidung, die in der öffentlichen Debatte häufig verloren geht. Der Schutzgegenstand — das, worauf sich die Regeln beziehen — sind personenbezogene Daten. Das Schutzgut dagegen ist der Mensch, über den diese Daten etwas aussagen. Eine Kundendatei ist nicht an sich schützenswert; schützenswert ist die Person, deren Adresse, Kaufverhalten oder Gesundheitszustand darin steht.

Bemerkenswert ist zudem die doppelte Stoßrichtung. Die DSGVO ist nicht nur ein Abwehrrecht des Einzelnen, sondern auch ein Instrument des Binnenmarkts: Art. 1 Abs. 3 untersagt, den freien Datenverkehr innerhalb der Union aus Gründen des Datenschutzes einzuschränken oder zu verbieten. Wer also fragt, was die DSGVO schützt, muss beides zusammendenken — den Menschen vor dem Missbrauch seiner Daten und den gemeinsamen Markt vor 27 unterschiedlichen Regelwerken.

• 25. Mai 2018: Seit diesem Tag gilt die DSGVO unmittelbar in allen EU-Mitgliedstaaten.
• 99 Artikel und 173 Erwägungsgründe umfasst die Verordnung.
• Bis zu 20 Mio. Euro oder 4 Prozent des weltweiten Jahresumsatzes können Bußgelder betragen — je nachdem, welcher Betrag höher ist.

Die DSGVO als Schutzschild: Mehr als nur Bürokratie

Die europäische Datenschutzgrundverordnung — international unter dem englischen Kürzel GDPR bekannt — löste die Datenschutzrichtlinie 95/46/EG aus dem Jahr 1995 ab. Der Wechsel war mehr als eine Formalie. Eine Richtlinie muss erst in nationales Recht umgesetzt werden, und genau das hatte zu einem Flickenteppich geführt: Was in einem Mitgliedstaat streng geregelt war, blieb anderswo nahezu folgenlos. Als Verordnung gilt die DSGVO dagegen unmittelbar und einheitlich. In Deutschland wird sie durch das Bundesdatenschutzgesetz (BDSG) und die Landesdatenschutzgesetze ergänzt, die Spielräume der Verordnung ausfüllen, sie aber nicht ersetzen.

Hinzu kommt das sogenannte Marktortprinzip aus Art. 3 DSGVO. Auch Unternehmen ohne Niederlassung in der EU müssen sich an die Regeln halten, sobald sie Menschen in der Union Waren oder Dienstleistungen anbieten oder deren Verhalten in der Union beobachten. Damit reicht der Schutz so weit wie die Datenströme selbst — ein zentrales Anliegen in einer Welt, in der viele große Datensammler ihren Hauptsitz außerhalb Europas haben.

Wer eine knappe DSGVO-Erklärung sucht, landet schnell bei diesem Bild: Die Verordnung ist ein Schild zwischen den Einzelnen und jenen, die Informationen über sie sammeln — Plattformkonzerne, Behörden, Arbeitgeber, Arztpraxen, Vereine. Dass sie vor allem als Bürokratie wahrgenommen wird, hat mit ihrer Breite zu tun. Sie gilt für den Weltkonzern ebenso wie für den Handwerksbetrieb um die Ecke.

Politisch ist diese Breite gewollt. Datenschutz ist im europäischen Verständnis eng mit Fragen von Macht verknüpft: Wer viel über andere weiß, kann Preise individuell gestalten, Meinungen beeinflussen oder Zugänge verwehren. Damit berührt Datenschutz auch Fragen der sozialen Gerechtigkeit — etwa wenn automatisierte Systeme über Kredite oder Bewerbungen mitentscheiden und die Betroffenen nicht nachvollziehen können, warum.

Der Schutzgegenstand: Personenbezogene Daten und ihre Bedeutung

Was als personenbezogen gilt

Das Datenschutzrecht der EU steht und fällt mit einer Definition. Nach Art. 4 Nr. 1 DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Identifizierbar ist jemand, der direkt oder indirekt bestimmt werden kann — etwa über einen Namen, eine Kennnummer, Standortdaten, eine Online-Kennung oder besondere Merkmale seiner physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität.

Die Definition ist bewusst weit gefasst. Unter sie fallen offensichtliche Angaben wie Name, Anschrift und Geburtsdatum, aber auch weniger augenfällige: ein Kfz-Kennzeichen, ein Foto, ein Standortverlauf aus dem Smartphone oder unter bestimmten Umständen eine IP-Adresse. Entscheidend ist nicht, ob eine Information für sich genommen jemanden benennt, sondern ob sich mit vertretbarem Aufwand ein Bezug zu einer Person herstellen lässt.

Daraus ergibt sich eine wichtige Abgrenzung. Pseudonymisierte Daten, bei denen der Name etwa durch einen Code ersetzt wurde, bleiben personenbezogen, solange sich der Bezug mithilfe zusätzlicher Informationen wiederherstellen lässt. Nur wirklich anonymisierte Daten fallen aus dem Anwendungsbereich heraus. Im Zeitalter großer Datensätze ist das ein Unterschied mit Gewicht: Einzelne harmlose Angaben können in Kombination ein sehr genaues Profil ergeben.

Besonders sensible Daten nach Art. 9

Für bestimmte Kategorien zieht die Verordnung die Grenzen enger. Art. 9 DSGVO nennt Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, außerdem genetische Daten, biometrische Daten zur eindeutigen Identifizierung, Gesundheitsdaten sowie Daten zum Sexualleben oder zur sexuellen Orientierung. Ihre Verarbeitung ist grundsätzlich untersagt und nur unter eng umrissenen Ausnahmen erlaubt, etwa mit ausdrücklicher Einwilligung.

Die Auswahl ist kein Zufall. Es sind genau jene Merkmale, an denen Diskriminierung und Verfolgung historisch ansetzten. Je stärker staatliche Register vernetzt werden — ein Thema, das auch die Digitalisierung der Verwaltung prägt —, desto wichtiger wird der Grundsatz, dass Daten nur für den Zweck genutzt werden, für den sie erhoben wurden.

Die Schutzziele: Menschenwürde und informationelle Selbstbestimmung

Wer die Ziele des Datenschutzes verstehen will, muss eine Ebene höher ansetzen als die Verordnung selbst. Die Charta der Grundrechte der Europäischen Union garantiert in Art. 7 die Achtung des Privat- und Familienlebens und in Art. 8 ausdrücklich den Schutz personenbezogener Daten. Die DSGVO konkretisiert diese Grundrechte und macht sie im Alltag einforderbar.

In Deutschland reicht die Tradition noch weiter zurück. Mit dem Volkszählungsurteil vom 15. Dezember 1983 leitete das Bundesverfassungsgericht in Karlsruhe aus dem allgemeinen Persönlichkeitsrecht — Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 Grundgesetz, also unter Rückgriff auf die Menschenwürde — das Recht auf informationelle Selbstbestimmung ab. Jeder Mensch soll grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten bestimmen können.

Mit dem Recht auf informationelle Selbstbestimmung wären eine Gesellschaftsordnung und eine diese ermöglichende Rechtsordnung nicht vereinbar, in der Bürger nicht mehr wissen können, wer was wann und bei welcher Gelegenheit über sie weiß. — Bundesverfassungsgericht, Volkszählungsurteil 1983

Hinter diesem Satz steht ein demokratietheoretisches Argument. Wer damit rechnen muss, dass jede Teilnahme an einer Versammlung, jede Suchanfrage oder jede Mitgliedschaft registriert wird, verhält sich vorsichtiger — und verzichtet womöglich auf die Ausübung seiner Grundrechte. Privatsphäre ist daher nicht nur ein individuelles Gut, sondern eine Voraussetzung für freie Meinungsbildung.

Konkret lassen sich die Schutzziele so zusammenfassen:

• Privatsphäre: ein Bereich, in dem Menschen unbeobachtet denken, sprechen und sich ausprobieren können.
• Selbstbestimmung: die Kontrolle darüber, wer welche Informationen erhält und wofür er sie nutzt.
• Schutz vor Diskriminierung: keine Benachteiligung aufgrund sensibler Merkmale oder undurchsichtiger Profile.
• Vertrauen: die Gewissheit, dass digitale Dienste und Behörden nach verlässlichen Regeln mit Daten umgehen.

Wem gilt der Schutz der DSGVO? Natürliche Personen im Fokus

Wer geschützt ist – und wer nicht

Die Frage, wem der Schutz der DSGVO gilt, beantwortet die Verordnung eindeutig: natürlichen Personen, also lebenden Menschen. Nach Erwägungsgrund 14 kommt es dabei weder auf die Staatsangehörigkeit noch auf den Aufenthaltsort an. Eine Touristin aus Kanada genießt bei der Datenverarbeitung durch ein deutsches Hotel denselben Schutz wie ein Münchner Stammgast.

Ausdrücklich nicht erfasst sind juristische Personen. Firmenname, Rechtsform und allgemeine Kontaktdaten eines Unternehmens fallen nicht unter die DSGVO — wohl aber die Daten der Menschen, die dort arbeiten. Auch Verstorbene schützt die Verordnung nach Erwägungsgrund 27 nicht; die Mitgliedstaaten dürfen hierfür eigene Regeln treffen. Ausgenommen ist schließlich die ausschließlich persönliche oder familiäre Tätigkeit nach Art. 2 Abs. 2 lit. c, etwa das private Adressbuch.

Diese Ausnahme ist allerdings schmal. Wer sich im Verein, in einer Nachbarschaftsinitiative oder in anderen Formen von bürgerschaftlichem Engagement betätigt, verarbeitet regelmäßig fremde Daten — Mitgliederlisten, Spenderkontakte, Fotos vom Sommerfest. Hier gelten die Regeln der DSGVO grundsätzlich auch, selbst wenn alle Beteiligten ehrenamtlich arbeiten.

Die Rechte der Betroffenen nach der DSGVO

Geschützt zu sein heißt in der DSGVO vor allem: eigene Rechte durchsetzen zu können. Die Betroffenenrechte finden sich im dritten Kapitel der Verordnung und geben Menschen Werkzeuge in die Hand, um nachzuvollziehen und zu korrigieren, was mit ihren Daten geschieht.

Flankiert werden diese Rechte durch das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77) und den Anspruch auf Schadensersatz bei Verstößen (Art. 82). Auf einen Antrag muss der Verantwortliche in der Regel innerhalb eines Monats reagieren.

Die Grundsätze: Wie der Schutz im Alltag wirkt

Der Schutz entsteht nicht erst, wenn jemand ein Recht geltend macht. Er setzt früher an — bei der Frage, ob und wie Daten überhaupt verarbeitet werden dürfen. Art. 6 DSGVO folgt dabei einer Logik, die oft als Verbot mit Erlaubnisvorbehalt beschrieben wird: Eine Verarbeitung ist nur rechtmäßig, wenn eine der sechs Rechtsgrundlagen greift, etwa eine Einwilligung, ein Vertrag, eine rechtliche Pflicht oder ein berechtigtes Interesse, das die Interessen der betroffenen Person nicht überwiegt.

Art. 5 legt zusätzlich Grundsätze fest, die für jede Verarbeitung gelten:

1. Rechtmäßigkeit, Treu und Glauben, Transparenz: Betroffene müssen nachvollziehen können, was geschieht.
2. Zweckbindung: Daten werden für festgelegte Zwecke erhoben und nicht beliebig weiterverwendet.
3. Datenminimierung: Erhoben wird nur, was für den Zweck tatsächlich nötig ist.
4. Richtigkeit: Unrichtige Daten sind zu berichtigen oder zu löschen.
5. Speicherbegrenzung: Daten werden nicht länger aufbewahrt als erforderlich.
6. Integrität und Vertraulichkeit: Angemessene Sicherheit schützt vor Verlust und unbefugtem Zugriff.

Hier zeigt sich die Abgrenzung zwischen technischem Datenschutz und dem Schutz von Grundrechten. Verschlüsselung, Zugriffskonzepte und Backups — die Datensicherheit — sind nur ein Baustein. Ein perfekt gesicherter Server nützt wenig, wenn auf ihm Daten liegen, die nie hätten erhoben werden dürfen. Datenschutz fragt zuerst nach dem Ob und Wofür, erst danach nach dem Wie.

Verantwortung und Kontrolle: Art. 24 DSGVO und die Rechenschaftspflicht

Rechte nützen wenig, wenn niemand für ihre Einhaltung einsteht. Die DSGVO weist diese Rolle dem sogenannten Verantwortlichen zu — also der Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet. Art. 24 DSGVO verpflichtet sie, geeignete technische und organisatorische Maßnahmen umzusetzen, um sicherzustellen und nachweisen zu können, dass die Verarbeitung der Verordnung entspricht. Maßstab sind Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Wahrscheinlichkeit und Schwere der Risiken für die Betroffenen. Die Maßnahmen sind zudem zu überprüfen und bei Bedarf zu aktualisieren.

Eng damit verbunden ist die Rechenschaftspflicht aus Art. 5 Abs. 2: Der Verantwortliche muss die Einhaltung der Grundsätze nicht nur sicherstellen, sondern auch belegen können. Damit liegt die Nachweislast bei Unternehmen, Behörden und Vereinen selbst. Sie müssen zeigen können, dass ihr Umgang mit Daten den Regeln entspricht.

Was im Alltag als Datenschutz-Notizen, Protokolle und Verzeichnisse erscheint, ist die praktische Folge dieses Prinzips. Dazu gehören das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30, Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen nach Art. 25, die Meldung von Datenpannen an die Aufsichtsbehörde möglichst binnen 72 Stunden nach Art. 33 sowie die Datenschutz-Folgenabschätzung für voraussichtlich besonders riskante Verarbeitungen nach Art. 35.

Kontrolliert wird von unabhängigen Aufsichtsbehörden — in Deutschland von der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit sowie den Datenschutzbehörden der Länder. Sie können Anordnungen treffen, Verarbeitungen untersagen und Bußgelder verhängen, die nach Art. 83 bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes erreichen können.

Grenzen und Spannungsfelder des Datenschutzrechts

So weitreichend die DSGVO ist, ein absolutes Recht schafft sie nicht. Erwägungsgrund 4 hält fest, dass die Verarbeitung personenbezogener Daten im Dienste der Menschheit stehen sollte und das Recht auf Datenschutz im Hinblick auf seine gesellschaftliche Funktion gesehen und gegen andere Grundrechte abgewogen werden muss. Deutlich wird das bei der Presse: Nach Art. 85 müssen die Mitgliedstaaten den Datenschutz mit der Meinungs- und Informationsfreiheit in Einklang bringen, damit Journalismus über Personen des öffentlichen Lebens möglich bleibt.

Ein zweites Spannungsfeld betrifft die Durchsetzung. Bei grenzüberschreitenden Fällen ist grundsätzlich die Aufsichtsbehörde am Ort der Hauptniederlassung federführend. Weil viele große Digitalkonzerne ihren europäischen Sitz in wenigen Mitgliedstaaten haben, bündeln sich dort komplexe Verfahren — und Kritiker bemängeln seit Jahren, wie lange diese dauern.

Drittens bleibt die Frage der Verhältnismäßigkeit für kleine Akteure. Ein Sportverein muss dieselben Grundsätze beachten wie ein Datenkonzern, auch wenn Art. 24 ausdrücklich eine am Risiko orientierte Abstufung der Maßnahmen vorsieht. Wie viel Aufwand im Einzelfall angemessen ist, wird politisch immer wieder neu verhandelt.

Einordnung: Datenschutz als demokratischer Wert

Was schützt die DSGVO also? Im engen juristischen Sinn personenbezogene Daten, im eigentlichen Sinn aber Menschen: ihre Würde, ihre Privatsphäre und ihre Freiheit, sich unbeobachtet eine Meinung zu bilden. Die Verordnung übersetzt Grundrechte in überprüfbare Pflichten und gibt jedem Einzelnen Instrumente, diese Pflichten einzufordern.

Dass dabei Formulare, Banner und Verzeichnisse entstehen, ist die sichtbare Oberfläche. Darunter liegt eine politische Grundentscheidung Europas: Informationen über Menschen sind keine beliebige Ware, und wer sie nutzt, muss sich dafür rechtfertigen können. In einer Gesellschaft, in der immer mehr Lebensbereiche digital erfasst werden, gewinnt diese Entscheidung eher an Gewicht, als dass sie es verliert.

Häufige Fragen (FAQ)