ITDatenschutz nach DSGVO: die Pflichten für Unternehmen im Überblick
Die Datenschutz-Grundverordnung (DSGVO) gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet. Zu den Kernpflichten gehören ein Verzeichnis der Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen, Verträge zur Auftragsverarbeitung, Informationspflichten, die Bearbeitung von Betroffenenanfragen, die Meldung von Datenpannen und, ab einer bestimmten Größe, ein Datenschutzbeauftragter.
- Rechtsgrundlage für jede Verarbeitung (Art. 6), Grundsätze nach Art. 5 einhalten und nachweisen.
- Datenpannen binnen 72 Stunden an die Aufsicht melden (Art. 33).
- Datenschutzbeauftragter in Deutschland in der Regel ab 20 Personen (§ 38 BDSG).
- Art. 32 verlangt technische und organisatorische Maßnahmen und verbindet Datenschutz mit Informationssicherheit.
Welche Pflichten hat ein Unternehmen nach der DSGVO?
| Pflicht | Fundstelle | Was konkret zu tun ist |
|---|---|---|
| Verzeichnis der Verarbeitungstätigkeiten | Art. 30 DSGVO | Jede Verarbeitung mit Zweck, Datenkategorien, Empfängern, Löschfristen und Schutzmaßnahmen dokumentieren |
| Technische und organisatorische Maßnahmen | Art. 32 DSGVO | Risikogerechte Sicherheit herstellen und regelmäßig überprüfen, siehe TOM |
| Auftragsverarbeitung | Art. 28 DSGVO | Vertrag mit jedem Dienstleister schließen, der Daten im Auftrag verarbeitet (z. B. Cloud, Hosting, IT-Support) |
| Informationspflichten | Art. 13, 14 DSGVO | Betroffene bei der Erhebung transparent informieren, z. B. Datenschutzhinweise für Kunden und Beschäftigte |
| Betroffenenrechte | Art. 15 bis 22 DSGVO | Auskunft, Berichtigung, Löschung, Widerspruch u. a. in der Regel binnen eines Monats beantworten (Art. 12) |
| Datenschutz-Folgenabschätzung | Art. 35 DSGVO | Bei voraussichtlich hohem Risiko vor Beginn der Verarbeitung durchführen |
| Meldung von Datenpannen | Art. 33, 34 DSGVO | Binnen 72 Stunden an die Aufsicht melden, bei hohem Risiko auch die Betroffenen benachrichtigen |
| Datenschutzbeauftragter | Art. 37 DSGVO, § 38 BDSG | Benennen, wenn die Voraussetzungen vorliegen, und der Aufsicht mitteilen |
Was bedeutet die Rechenschaftspflicht?
Nach Art. 5 Abs. 2 DSGVO muss der Verantwortliche die Einhaltung der Grundsätze nicht nur sicherstellen, sondern auch nachweisen können. In der Praxis heißt das: Verarbeitungen, Rechtsgrundlagen, Abwägungen, Maßnahmen, Schulungen und Vorfälle dokumentieren, und zwar so, dass sie bei einer Prüfung der Aufsichtsbehörde vorgelegt werden können.
Wie hängen Datenschutz und Informationssicherheit zusammen?
Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau und nennt ausdrücklich Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme. Das sind dieselben Schutzziele wie in der Informationssicherheit. Ein funktionierendes ISMS liefert deshalb einen großen Teil der Nachweise, die der Datenschutz braucht. Der Unterschied liegt im Blickwinkel: Der Datenschutz bewertet Risiken für die betroffenen Menschen, die Informationssicherheit Risiken für die Organisation. Zum ausführlichen Vergleich.
Häufige Fragen zum Datenschutz
Ab wann braucht ein Unternehmen einen Datenschutzbeauftragten?
Nach § 38 BDSG, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Zahl ist ein Datenschutzbeauftragter nötig, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen oder die Kerntätigkeit in umfangreicher Verarbeitung besonderer Kategorien von Daten oder regelmäßiger systematischer Überwachung besteht (Art. 37 DSGVO).
Wie schnell muss eine Datenpanne gemeldet werden?
Nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde, an die zuständige Aufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die betroffenen Personen. Bei hohem Risiko sind zusätzlich die Betroffenen zu benachrichtigen (Art. 34).
Wie hoch können DSGVO-Bußgelder sein?
Je nach Verstoß bis zu 10 Mio. Euro oder 2 % beziehungsweise bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist (Art. 83 DSGVO).
Rechtsstand dieser Übersicht: 04.11.2026. Keine Rechtsberatung; im Einzelfall sind Rechtsprechung und Hinweise der Aufsichtsbehörden zu beachten.