Datenschutz

Datenschutz bezeichnet den Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten. Nach Art. 1 Abs. 2 der Datenschutz-Grundverordnung (DS-GVO) schützt die Verordnung die Grundrechte und Grundfreiheiten natürlicher Personen, insbesondere deren Recht auf Schutz personenbezogener Daten. Eine wesentliche verfassungsrechtliche Grundlage bildet zudem das Recht auf informationelle Selbstbestimmung, das sich aus Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 Grundgesetz ergibt. Datenschutz soll sicherstellen, dass persönliche Informationen nur unter den gesetzlichen Voraussetzungen verarbeitet werden.

Was bedeutet Datenschutz und warum ist er wichtig?

Datenschutz schützt das Recht jedes Menschen, grundsätzlich selbst über die Preisgabe und Verwendung seiner personenbezogenen Daten zu bestimmen. Dieses Recht auf informationelle Selbstbestimmung wurde in Deutschland insbesondere durch das Volkszählungsurteil des Bundesverfassungsgerichts aus dem Jahr 1983 geprägt.

Mit der zunehmenden Digitalisierung gewinnt der Datenschutz weiter an Bedeutung. Unternehmen, Behörden und andere Organisationen verarbeiten täglich große Mengen personenbezogener Daten. Dazu gehören beispielsweise Kundeninformationen, Beschäftigtendaten und Angaben zum Nutzungsverhalten auf Websites.

Datenschutz soll verhindern, dass solche Informationen ohne ausreichende rechtliche Grundlage verarbeitet oder für andere als die vorgesehenen Zwecke verwendet werden. Gleichzeitig schafft er rechtliche Rahmenbedingungen, innerhalb derer personenbezogene Daten rechtmäßig genutzt werden können.

Dabei ist Datenschutz nicht mit Datensicherheit gleichzusetzen. Während Datenschutz den rechtmäßigen Umgang mit personenbezogenen Daten betrifft, konzentriert sich Datensicherheit insbesondere auf deren Schutz vor Verlust, Manipulation und unbefugtem Zugriff. Beide Bereiche sind eng miteinander verbunden.

Welche Daten werden durch den Datenschutz geschützt?

Der Datenschutz bezieht sich insbesondere auf personenbezogene Daten. Nach Art. 4 Nr. 1 DS-GVO sind dies Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Hierzu zählen beispielsweise:

• Identifikationsdaten: Name, Anschrift oder Geburtsdatum.
• Kontaktdaten: Telefonnummer oder personenbezogene E-Mail-Adresse.
• Beschäftigtendaten: Personalnummer, Gehaltsinformationen oder Bewerbungsunterlagen.
• Online-Kennungen: IP-Adressen oder Cookie-Kennungen, soweit sie einen Personenbezug ermöglichen.
• Gesundheitsdaten: Informationen über den körperlichen oder psychischen Gesundheitszustand einer Person.

Für bestimmte besonders sensible personenbezogene Daten gelten zusätzliche Schutzanforderungen. Hierzu gehören insbesondere die besonderen Kategorien personenbezogener Daten nach Art. 9 DS-GVO, beispielsweise Gesundheitsdaten, biometrische Daten zur eindeutigen Identifizierung oder Informationen über religiöse Überzeugungen.

Entscheidend ist, ob eine Information einer natürlichen Person direkt oder indirekt zugeordnet werden kann. Vollständig anonymisierte Daten, bei denen eine Identifizierung nach den maßgeblichen Kriterien nicht mehr möglich ist, fallen dagegen grundsätzlich nicht unter die DS-GVO.

Welche Grundsätze gelten im Datenschutz?

Die zentralen Grundsätze für die Verarbeitung personenbezogener Daten ergeben sich aus Art. 5 DS-GVO. Sie bilden die Grundlage für einen rechtmäßigen Umgang mit persönlichen Informationen.

Zu den wichtigsten Datenschutzgrundsätzen gehören:

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz: Personenbezogene Daten müssen auf einer geeigneten Rechtsgrundlage verarbeitet werden. Die Verarbeitung muss fair und für betroffene Personen nachvollziehbar sein.
• Zweckbindung: Personenbezogene Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden. Eine spätere Verarbeitung zu anderen Zwecken ist nur unter den gesetzlichen Voraussetzungen zulässig.
• Datenminimierung: Es dürfen nur solche personenbezogenen Daten verarbeitet werden, die für den jeweiligen Zweck angemessen, erheblich und notwendig sind.
• Richtigkeit: Personenbezogene Daten müssen sachlich richtig und erforderlichenfalls aktuell sein.
• Speicherbegrenzung: Personenbezogene Daten dürfen grundsätzlich nicht länger in identifizierbarer Form gespeichert werden, als es für die jeweiligen Verarbeitungszwecke erforderlich ist.
• Integrität und Vertraulichkeit: Personenbezogene Daten müssen durch geeignete Maßnahmen vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor unbeabsichtigtem Verlust, Zerstörung oder Schädigung geschützt werden.

Ergänzend gilt der Grundsatz der Rechenschaftspflicht nach Art. 5 Abs. 2 DS-GVO. Verantwortliche müssen die Einhaltung der Datenschutzgrundsätze nicht nur sicherstellen, sondern auch nachweisen können.

Ein wesentliches Prinzip ist außerdem das sogenannte Verbot mit Erlaubnisvorbehalt. Danach ist die Verarbeitung personenbezogener Daten nur zulässig, wenn eine geeignete Rechtsgrundlage besteht. Diese kann sich beispielsweise aus einer Einwilligung, der Erforderlichkeit zur Vertragserfüllung oder einem berechtigten Interesse nach Art. 6 DS-GVO ergeben.

Welche Datenschutzpflichten haben Unternehmen?

Unternehmen müssen sicherstellen, dass die Verarbeitung personenbezogener Daten den gesetzlichen Anforderungen entspricht. Welche konkreten Maßnahmen erforderlich sind, hängt insbesondere von der Art, dem Umfang und den Risiken der jeweiligen Verarbeitung ab.

Zu den wesentlichen Datenschutzpflichten gehören:

• Rechtsgrundlage: Für jede Verarbeitung personenbezogener Daten muss eine geeignete Rechtsgrundlage bestehen.
• Informationspflichten: Betroffene Personen müssen nach Maßgabe der Art. 13 und 14 DS-GVO über die Verarbeitung ihrer personenbezogenen Daten informiert werden.
• Betroffenenrechte: Betroffene Personen haben unter den gesetzlichen Voraussetzungen insbesondere das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung ihrer personenbezogenen Daten. Darüber hinaus können Rechte auf Datenübertragbarkeit und Widerspruch bestehen.
• Technische und organisatorische Maßnahmen: Personenbezogene Daten müssen gemäß Art. 32 DS-GVO durch geeignete Sicherheitsmaßnahmen geschützt werden.
• Dokumentation: Unternehmen müssen ihre Datenschutzmaßnahmen nachweisen können und unter den gesetzlichen Voraussetzungen ein Verzeichnis von Verarbeitungstätigkeiten führen.
• Auftragsverarbeitung: Werden personenbezogene Daten durch externe Dienstleister im Auftrag verarbeitet, ist regelmäßig ein Vertrag nach Art. 28 DS-GVO erforderlich.
• Datenschutzverletzungen: Bei Verletzungen des Schutzes personenbezogener Daten müssen die gesetzlichen Melde- und gegebenenfalls Benachrichtigungspflichten geprüft werden.

Darüber hinaus müssen Unternehmen unter den jeweiligen gesetzlichen Voraussetzungen einen Datenschutzbeauftragten benennen oder eine Datenschutz-Folgenabschätzung durchführen.

Die Einhaltung dieser Pflichten ist nicht nur für große Konzerne relevant. Auch kleine und mittelständische Unternehmen müssen die datenschutzrechtlichen Anforderungen beachten, sobald sie personenbezogene Daten im Anwendungsbereich der DS-GVO verarbeiten.

Praxisbeispiel: Datenschutz bei der Verarbeitung von Kundendaten

Ein mittelständisches Unternehmen betreibt einen Online-Shop. Für die Abwicklung von Bestellungen erhebt es Namen, Lieferanschriften, E-Mail-Adressen und Zahlungsinformationen seiner Kunden.

Diese Daten werden benötigt, um Bestellungen zu bearbeiten, Waren zu versenden und die vertraglichen Verpflichtungen gegenüber den Kunden zu erfüllen. Soweit die Verarbeitung hierfür erforderlich ist, kann sie auf Art. 6 Abs. 1 lit. b DS-GVO gestützt werden.

Zusätzlich möchte das Unternehmen die Kundendaten für personalisierte Werbekampagnen verwenden. Da dieser Zweck über die ursprüngliche Vertragsabwicklung hinausgeht, muss das Unternehmen gesondert prüfen, ob hierfür eine geeignete Rechtsgrundlage besteht. Je nach Werbemaßnahme können außerdem weitere gesetzliche Anforderungen gelten.

Das Unternehmen informiert seine Kunden über die Datenverarbeitung, beschränkt den Zugriff auf berechtigte Beschäftigte und legt angemessene Löschfristen fest. Zudem stellt es sicher, dass Kunden ihre gesetzlichen Datenschutzrechte wahrnehmen können.

legal data Einschätzung: Unternehmen sollten Datenschutz nicht auf Datenschutzerklärungen oder technische Sicherheitsmaßnahmen reduzieren. Entscheidend ist, dass jede Verarbeitung personenbezogener Daten auf einer geeigneten Rechtsgrundlage beruht und die gesetzlichen Datenschutzgrundsätze eingehalten werden. Eine strukturierte Datenschutzorganisation mit klaren Zuständigkeiten, dokumentierten Verarbeitungsprozessen und regelmäßigen Überprüfungen hilft dabei, rechtliche Risiken zu reduzieren und den Schutz personenbezogener Daten dauerhaft sicherzustellen.

Rechtsgrundlagen

Insbesondere Art. 1, Art. 4 Nr. 1 und Nr. 2, Art. 5, Art. 6, Art. 9, Art. 12–22, Art. 24, Art. 25, Art. 28, Art. 30, Art. 32–35 und Art. 37 DS-GVO sowie ergänzend das Bundesdatenschutzgesetz (BDSG). Verfassungsrechtlich sind insbesondere Art. 1 Abs. 1 und Art. 2 Abs. 1 Grundgesetz sowie Art. 7 und Art. 8 der Charta der Grundrechte der Europäischen Union von Bedeutung.