Datenschutz Grundlagen: DSGVO verständlich einordnen

Datenschutz beginnt nicht mit einem Musterformular. Zuerst muss klar sein, welche personenbezogenen Daten verarbeitet werden, zu welchem Zweck dies geschieht, wer verantwortlich ist und welche Rechtsgrundlage trägt.

Für Unternehmen Für Kommunen Für öffentliche Stellen DSGVO-Grundlagen Praxisnah erklärt

Datenschutz Grundlagen DSGVO verständlich erklärt

Kurzantwort

Datenschutz gilt, sobald personenbezogene Daten verarbeitet werden. Dazu gehören nicht nur Namen und Adressen, sondern auch Kennnummern, Kontaktdaten, Online-Kennungen oder andere Informationen mit Personenbezug.

Die DSGVO verbietet Datenverarbeitung nicht pauschal. Sie verlangt aber eine tragfähige Rechtsgrundlage, klare Zwecke, Transparenz, angemessene Sicherheit und eine nachvollziehbare Dokumentation.

Für Kommunen, öffentliche Stellen und Unternehmen ist deshalb nicht die erste Frage: „Welches Muster brauchen wir?“, sondern: „Welche Verarbeitung liegt tatsächlich vor?“

Einordnung

Datenschutz Grundlagen: Worum geht es?

Datenschutz schützt nicht Daten um ihrer selbst willen. Er schützt Menschen, deren Daten verarbeitet werden. Deshalb geht es im Kern um die Frage, ob Informationen einer natürlichen Person zugeordnet werden können.

Im Alltag betrifft das sehr unterschiedliche Vorgänge: eine Bürgeranfrage, eine Gewerbeanmeldung, ein Kontaktformular, eine Bewerbungsakte, eine Kundendatei, ein Ratsinformationssystem, eine Videoüberwachung oder eine Website mit Trackingdiensten.

Datenschutzrechtlich wird jeder Fall einzeln betrachtet. Entscheidend sind Zweck, Datenarten, betroffene Personen, Rechtsgrundlage, Empfänger, Speicherfrist, Risiken und technische Schutzmaßnahmen.

Ein Formular oder eine Datenschutzerklärung ersetzt diese Einordnung nicht. Es kann nur richtig sein, wenn die tatsächliche Verarbeitung vorher sauber verstanden wurde.

Begriff

Was sind personenbezogene Daten?

Der Personenbezug reicht weiter als Name oder Anschrift: Entscheidend ist, ob eine Information unmittelbar oder mittelbar einer natürlichen Person zugeordnet werden kann.

Offensichtliche Beispiele sind Name, Adresse, Telefonnummer, E-Mail-Adresse, Geburtsdatum oder Personalnummer. Je nach Zusammenhang können aber auch IP-Adresse, Kundennummer, Aktenzeichen, Foto, Standortdaten oder Nutzerkennung personenbezogen sein.

Nicht personenbezogen sind Daten nur dann, wenn sie keiner natürlichen Person zugeordnet werden können. Bei Unternehmen ist deshalb sorgfältig zu unterscheiden: Die reine Firmierung einer juristischen Person ist nicht automatisch ein personenbezogenes Datum. Angaben zu Einzelunternehmern, Ansprechpartnern oder Beschäftigten können dagegen personenbezogen sein.

Praktischer Grundsatz: Nicht nur auf das einzelne Datenfeld schauen. Entscheidend ist, ob eine Person direkt oder indirekt bestimmbar ist.

Anwendungsbereich

Was bedeutet Verarbeitung?

Der Begriff Verarbeitung ist weit. Er umfasst nicht nur das aktive Bearbeiten von Daten, sondern zum Beispiel auch Erheben, Speichern, Ordnen, Abfragen, Offenlegen, Übermitteln, Löschen oder Vernichten.

Damit kann bereits ein einfaches Kontaktformular eine Verarbeitung sein. Gleiches gilt für E-Mail-Kommunikation, Terminverwaltung, Aktenführung, Personalverwaltung, Website-Logfiles oder den Einsatz eines Cloud-Dienstes.

Wer über Zwecke und Mittel einer Verarbeitung entscheidet, ist Verantwortlicher. Bei Unternehmen ist das regelmäßig das Unternehmen selbst. Bei Kommunen ist es die jeweilige öffentliche Stelle, nicht der einzelne Sachbearbeiter.

DSGVO-Prinzipien

Die wichtigsten Datenschutz-Grundsätze

Rechtmäßigkeit

Für jede Verarbeitung braucht es eine tragfähige Rechtsgrundlage.

Transparenz

Betroffene Personen müssen verständlich erfahren, was mit ihren Daten geschieht.

Zweckbindung

Daten dürfen nicht beliebig für neue Zwecke weiterverwendet werden.

Datenminimierung

Es sollen nur die Daten verarbeitet werden, die für den Zweck erforderlich sind.

Speicherbegrenzung

Daten dürfen nicht unbegrenzt gespeichert werden, wenn kein Grund mehr besteht.

Sicherheit

Personenbezogene Daten müssen angemessen vor Verlust, Missbrauch und unbefugtem Zugriff geschützt werden.

Über allem steht die Rechenschaftspflicht. Verantwortliche müssen nicht nur datenschutzkonform handeln, sondern die Einhaltung der Grundsätze auch nachvollziehbar belegen können.

Erlaubnis

Welche Rechtsgrundlagen kommen in Betracht?

Die DSGVO arbeitet mit einem Erlaubnisprinzip. Personenbezogene Daten dürfen nur verarbeitet werden, wenn eine passende Rechtsgrundlage vorliegt.

Bei Unternehmen kommen je nach Fall insbesondere Vertragserfüllung, rechtliche Verpflichtung, berechtigte Interessen oder eine Einwilligung in Betracht. Die Einwilligung ist aber nicht automatisch die beste Lösung, weil sie freiwillig, informiert und widerrufbar sein muss.

Bei Kommunen und öffentlichen Stellen steht häufig die Erfüllung einer öffentlichen Aufgabe oder eine spezielle gesetzliche Befugnis im Vordergrund. Eine Einwilligung kann im Einzelfall möglich sein, ist aber im Behördenverhältnis besonders sorgfältig zu prüfen.

Wichtig ist: Die Rechtsgrundlage muss zum konkreten Zweck passen. Eine pauschale Formulierung wie „wegen Datenschutz“ oder „auf Grundlage der DSGVO“ genügt nicht.

Bayerische öffentliche Stellen

Was sagt der BayLfD zu den Datenschutz-Grundlagen?

Der BayLfD stellt für bayerische öffentliche Stellen klar, dass personenbezogene Daten alle Informationen sind, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Außerdem weist er darauf hin, dass Verarbeitung grundsätzlich jeden Vorgang im Zusammenhang mit personenbezogenen Daten umfasst.

Nach den Hinweisen des BayLfD ist zentraler Adressat der DSGVO der Verantwortliche. Bei öffentlichen Stellen trägt damit die Leitung der jeweiligen öffentlichen Stelle Verantwortung für den Datenschutz in ihrem Zuständigkeitsbereich.

Der BayLfD betont außerdem die Grundsätze aus Art. 5 DSGVO, die Rechenschaftspflicht, Informationspflichten, Betroffenenrechte sowie Pflichten wie Verzeichnis von Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen und gegebenenfalls Datenschutz-Folgenabschätzung.

Für bayerische Kommunen bedeutet das: Datenschutz ist keine reine Aufgabe der IT oder des Datenschutzbeauftragten. Die verantwortliche Stelle muss ihre Verfahren kennen, bewerten, dokumentieren und regelmäßig überprüfen.

Kommunale Praxis

Datenschutz-Grundlagen für Kommunen

Kommunen verarbeiten personenbezogene Daten in nahezu allen Bereichen: Einwohnermeldeamt, Personalverwaltung, Kita, Schule, Gewerbeamt, Bauamt, Steueramt, Ordnungsamt, Ratsarbeit, Website, Veranstaltungen und Bürgerkommunikation.

Der Datenschutzbezug ist dabei nicht immer offensichtlich. Ein Aktenzeichen, ein Termin, ein Foto, eine Beschwerde, eine E-Mail-Adresse oder eine Auskunft aus einem Fachverfahren kann bereits ausreichen, wenn eine Person bestimmbar ist.

Besonders wichtig ist die Zweckbindung. Daten, die für eine Verwaltungsaufgabe erhoben wurden, dürfen nicht ohne Weiteres für andere Zwecke genutzt oder intern beliebig weitergegeben werden.

Hinzu kommt der Umgang mit Dienstleistern. Sobald externe Stellen Fachverfahren, Hosting, Wartung, Cloud-Dienste oder Aktenvernichtung übernehmen, muss die Verantwortlichkeit sauber eingeordnet werden.

Unternehmenspraxis

Datenschutz-Grundlagen für Unternehmen

Unternehmen verarbeiten personenbezogene Daten etwa bei Kundenanfragen, Angeboten, Rechnungen, Bewerbungen, Mitarbeiterverwaltung, Newsletter, Website, Social Media, Terminbuchungen oder Videoüberwachung.

Gerade kleine Unternehmen unterschätzen oft, dass Datenschutz nicht erst bei sensiblen Daten beginnt. Schon einfache Kontaktdaten, Bestellhistorien oder E-Mail-Verteiler können datenschutzrechtlich relevant sein.

Praktisch wichtig sind klare Zuständigkeiten, aktuelle Datenschutzhinweise, sichere Systeme, ein geordnetes Löschkonzept und eine saubere Dienstleisterprüfung.

Wer Datenschutz erst bei Beschwerden, Datenpannen oder Kundenanfragen prüft, arbeitet meist unter Zeitdruck. Besser ist eine einfache, aber belastbare Grundstruktur.

Praxisfehler

Typische Fehler bei den Datenschutz-Grundlagen

Zu spät geprüft

Datenschutz wird erst betrachtet, wenn das Verfahren bereits läuft.

Falsche Rechtsgrundlage

Es wird pauschal Einwilligung genutzt, obwohl eine gesetzliche Aufgabe oder ein Vertrag einschlägig sein kann.

Unklare Zwecke

Daten werden erhoben, ohne den konkreten Verarbeitungszweck sauber festzulegen.

Zu viele Daten

Formulare und Prozesse fragen mehr ab, als für den Zweck erforderlich ist.

Alte Hinweise

Datenschutzhinweise passen nicht mehr zu Website, Formularen oder Fachverfahren.

Keine Nachweise

Die Verarbeitung mag inhaltlich zulässig sein, ist aber nicht nachvollziehbar dokumentiert.

Orientierung

Orientierungsfragen für den Einstieg

Die folgenden Fragen ersetzen keine vollständige Datenschutzprüfung. Sie helfen nur dabei, einen Fall grob vorzubereiten und typische blinde Flecken zu erkennen.

Welche personenbezogenen Daten werden verarbeitet?

Welche Personen sind betroffen?

Zu welchem konkreten Zweck erfolgt die Verarbeitung?

Wer entscheidet über Zweck und Mittel der Verarbeitung?

Welche Rechtsgrundlage kommt nach erster Einschätzung in Betracht?

Wer erhält Zugriff auf die Daten?

Wie lange werden die Daten benötigt?

Welche Risiken können für betroffene Personen entstehen?

Welche technischen und organisatorischen Schutzmaßnahmen bestehen bereits?

Bewusst keine vollständige Prüfliste: Ob eine Verarbeitung zulässig ist, hängt vom konkreten Sachverhalt, der Rechtsgrundlage, dem Risiko und der tatsächlichen Umsetzung ab.

Häufige Fragen

FAQ zu Datenschutz-Grundlagen

Wann gilt die DSGVO?

Die DSGVO gilt, wenn personenbezogene Daten verarbeitet werden und der sachliche sowie räumliche Anwendungsbereich eröffnet ist. In der Praxis ist das bei Unternehmen, Kommunen und öffentlichen Stellen sehr häufig der Fall.

Sind Unternehmensdaten personenbezogene Daten?

Reine Unternehmensdaten einer juristischen Person sind nicht automatisch personenbezogen. Angaben zu Ansprechpartnern, Einzelunternehmern, Beschäftigten oder konkreten Personen können aber personenbezogene Daten sein.

Ist eine Einwilligung immer erforderlich?

Nein. Eine Einwilligung ist nur eine mögliche Rechtsgrundlage. Je nach Fall können Vertrag, rechtliche Pflicht, öffentliche Aufgabe oder berechtigte Interessen einschlägig sein.

Wer ist für Datenschutz verantwortlich?

Verantwortlich ist die Stelle, die über Zweck und Mittel der Verarbeitung entscheidet. Der Datenschutzbeauftragte berät und kontrolliert, ersetzt aber nicht die Verantwortung der Organisation.

Reicht eine Datenschutzerklärung aus?

Nein. Datenschutzhinweise sind wichtig, ersetzen aber keine Rechtsgrundlage, keine sichere technische Umsetzung und keine interne Dokumentation.

Brauchen kleine Unternehmen Datenschutz?

Ja. Auch kleine Unternehmen verarbeiten regelmäßig personenbezogene Daten, etwa von Kunden, Beschäftigten, Bewerbern oder Website-Besuchern.

Ergebnis

Fazit

Datenschutz-Grundlagen sind keine Theorie. Sie entscheiden darüber, ob ein Verfahren sauber gestartet, dokumentiert und später verteidigt werden kann.

Wer personenbezogene Daten verarbeitet, braucht eine klare Zweckbestimmung, eine tragfähige Rechtsgrundlage, transparente Informationen, angemessene Sicherheit und nachvollziehbare Nachweise.

Für Kommunen, öffentliche Stellen und Unternehmen gilt deshalb: Erst den konkreten Fall verstehen, dann die passende Datenschutzlösung wählen.

Passende interne Verlinkung

Personenbezogene Daten Rechtsgrundlagen DSGVO Datenschutzhinweise nach Art. 13 DSGVO Datenschutz für Unternehmen Datenschutz für Kommunen Betroffenenrechte Datenschutzbeauftragter DSGVO-Beratung

Nachweise

Quellen

Bayerischer Landesbeauftragter für den Datenschutz: Grundlegende Regeln des Datenschutzrechts für öffentliche Stellen Bayerischer Landesbeauftragter für den Datenschutz: Anforderungen an Technik und Sicherheit der Verarbeitung Bayerischer Landesbeauftragter für den Datenschutz: Datenschutzkonzepte für Digitalisierungsvorhaben Bundesbeauftragte für den Datenschutz und die Informationsfreiheit: Grundlagen des Datenschutzrechts DSGVO und BDSG – BfDI

Datenschutzfall richtig einordnen?

Ob ein Vorgang datenschutzrechtlich sauber ist, hängt vom konkreten Zweck, der Rechtsgrundlage, den Datenarten und der tatsächlichen Umsetzung ab. Eine kurze Prüfung vermeidet spätere Korrekturen.

Fall unverbindlich anfragen