👉 Was ist Datenschutz

Was ist das Besondere am deutschen Datenschutz?

Der Datenschutz in Deutschland gilt international als besonders streng und ausgereift, was historisch gewachsen ist und tief im Rechtsbewusstsein verankert liegt. Seine Wurzeln reichen bis in die 1970er Jahre zurück, als das Bundesland Hessen das weltweit erste Datenschutzgesetz verabschiedete, noch bevor es ein bundesweites Regelwerk gab. Diese Pionierrolle setzte sich 1977 mit dem ersten Bundesdatenschutzgesetz fort und prägt bis heute den charakteristischen Grundansatz: den Schutz der personenbezogenen Daten als ein hohes Gut, das es zu bewahren gilt. Im Zentrum steht nicht der wirtschaftliche Nutzen von Daten, sondern das informationelle Selbstbestimmungsrecht des Einzelnen, also das Recht eines jeden Menschen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen. Dieser hohe Schutzstandard wurde mit der Einführung der europäischen Datenschutz-Grundverordnung keineswegs abgelöst, sondern vielmehr durch das deutsche Bundesdatenschutzgesetz ergänzt und in bestimmten Bereichen sogar noch verschärft. Die Aufsichtsbehörden in den Bundesländern und der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit wachen mit großer Unabhängigkeit und hoher Expertise über die Einhaltung der Vorschriften. Unternehmen, die in Deutschland tätig sind, müssen sich daher auf ein komplexes Geflecht aus europäischen und nationalen Regelungen einstellen, das von einer konsequenten Aufsichtspraxis begleitet wird.

Welche gesetzlichen Grundlagen regeln den Datenschutz in Deutschland?

Die gesetzlichen Grundlagen des Datenschutzes in Deutschland bilden ein mehrstufiges Geflecht, das auf europäischer Ebene beginnt und auf nationaler Ebene konkretisiert wird. Die zentrale und unmittelbar geltende europäische Vorgabe ist die Datenschutz-Grundverordnung, die seit Mai 2018 in der gesamten EU harmonisierte Standards setzt und den freien Datenverkehr innerhalb des Binnenmarktes gewährleisten soll. Sie regelt die grundlegenden Prinzipien der Datenverarbeitung, die Rechte der betroffenen Personen und die Pflichten der Verantwortlichen. Auf nationaler Ebene ergänzt das Bundesdatenschutzgesetz die DSGVO, nutzt die in der Verordnung enthaltenen Öffnungsklauseln und geht in bestimmten Bereichen sogar über deren Mindeststandards hinaus. Dies betrifft beispielsweise die Regelungen zum Beschäftigtendatenschutz, die im BDSG besonders detailliert ausgestaltet sind, oder die Vorgaben zur Bestellung eines Betrieblichen Datenschutzbeauftragten, deren Schwellenwerte in Deutschland niedriger angesetzt sind. Neben diesen beiden Hauptpfeilern existiert eine Vielzahl von bereichsspezifischen Gesetzen, die spezielle Datenschutzregelungen enthalten, wie etwa das Telekommunikations-Telemedien-Datenschutz-Gesetz für den Bereich der Telekommunikation oder die Landesdatenschutzgesetze für die öffentlichen Stellen der Bundesländer. Diese vielschichtige Rechtslage macht die Compliance für Unternehmen anspruchsvoll, aber auch notwendig.

Welche Rolle spielt die DSGVO für den Datenschutz in Deutschland?

Die Datenschutz-Grundverordnung hat den Datenschutz in Deutschland nicht abgelöst, sondern ihn auf eine neue, einheitliche europäische Grundlage gestellt und dabei in vielen Bereichen deutlich verschärft. Vor ihrer Einführung basierte der deutsche Datenschutz primär auf dem Bundesdatenschutzgesetz, das zwar bereits als streng galt, aber durch die DSGVO in puncto Verbindlichkeit, Sanktionsmöglichkeiten und Reichweite deutlich übertroffen wird. Die DSGVO gilt als unmittelbar geltendes Recht in allen Mitgliedstaaten und hat damit für einen hohen Harmonisierungseffekt gesorgt, was den Unternehmen mit grenzüberschreitenden Aktivitäten zugutekommt. Sie hat zentrale Neuerungen eingeführt, die auch den deutschen Alltag prägen, wie die erweiterten Betroffenenrechte, die rechenschaftspflichtigen Dokumentationspflichten durch das Prinzip der Rechenschaftspflicht oder die Meldepflicht von Datenschutzverletzungen an die Aufsichtsbehörde. Die möglichen Geldbußen von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes haben der Datenschutz-Compliance eine ganz neue strategische Bedeutung verliehen. In Deutschland wirkt die DSGVO durch die Ergänzungen und Konkretisierungen des Bundesdatenschutzgesetzes, sodass man stets beide Rechtsquellen im Blick behalten muss. Die DSGVO hat somit den deutschen Datenschutz modernisiert und ihm gleichzeitig mehr internationales Gewicht verliehen.

Was sind die zentralen Prinzipien der Datenverarbeitung nach deutschem Recht?

Die Datenverarbeitung im Rahmen des Datenschutzes in Deutschland unterliegt strengen grundlegenden Prinzipien, die in Art. 5 DSGVO festgelegt sind und das gesamte Handeln von Unternehmen und Behörden leiten müssen. An erster Stelle steht der Grundsatz der Rechtmäßigkeit, der voraussetzt, dass jede Verarbeitung personenbezogener Daten auf eine eindeutige Rechtsgrundlage gestützt werden kann, wie etwa eine Einwilligung, die Erfüllung eines Vertrages oder ein berechtigtes Interesse. Das Prinzip der Treu und Glauben sichert eine transparente und für die betroffene Person nachvollziehbare Verarbeitung. Der Grundsatz der Zweckbindung ist von zentraler Bedeutung und besagt, dass Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben werden dürfen und eine spätere Weiterverarbeitung nicht einfach mit diesen Zwecken vereinbar sein muss. Weitere tragende Säulen sind die Datenminimierung, nach der nur diejenigen Daten verarbeitet werden dürfen, die für den Zweck tatsächlich notwendig sind, und die Richtigkeit, die eine unverzügliche Berichtigung unrichtiger Daten vorschreibt. Die Speicherbegrenzung verlangt, dass personenbezogene Daten nur so lange in einer Form gespeichert werden, die eine Identifizierung der betroffenen Person ermöglicht, wie es für die Verarbeitungszwecke erforderlich ist. Diese Prinzipien sind nicht nur eine theoretische Richtschnur, sondern müssen durch technische und organisatorische Maßnahmen aktiv im Unternehmen umgesetzt und gelebt werden.

Welche Rechte haben betroffene Personen in Deutschland?

Die Rechte der betroffenen Personen, also derjenigen, über die Daten gespeichert werden, sind im Datenschutz in Deutschland besonders stark ausgestaltet und bilden das Herzstück des informationellen Selbstbestimmungsrechts. Das vielleicht bekannteste Recht ist das Auskunftsrecht, das es jeder Person ermöglicht, von einem Unternehmen zu erfahren, ob und welche Daten über sie gespeichert werden und zu welchem Zweck diese verarbeitet werden. Darüber hinaus besteht ein Recht auf Berichtigung, falls die gespeicherten Daten unrichtig sind, sowie ein Recht auf Löschung, auch “Recht auf Vergessenwerden” genannt, unter bestimmten Voraussetzungen, beispielsweise wenn die Daten für die Zwecke nicht mehr benötigt werden. Ergänzend dazu gibt es ein Recht auf Einschränkung der Verarbeitung, das beispielsweise bei bestrittener Richtigkeit der Daten greift und die Verarbeitung vorübergehend einfriert. Von großer praktischer Relevanz ist auch das Recht auf Datenübertragbarkeit, das die betroffene Person berechtigt, ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und an einen anderen Verantwortlichen zu übermitteln. Zudem besteht ein Widerspruchsrecht gegen die Datenverarbeitung aufgrund von berechtigten Interessen, das insbesondere im Bereich des Direktmarketings eine große Rolle spielt. Unternehmen sind verpflichtet, diese Rechte zu beachten und entsprechende Prozesse für deren Umsetzung einzurichten.

Wann ist ein betrieblicher Datenschutzbeauftragter erforderlich?

Die Bestellung eines betrieblichen Datenschutzbeauftragten ist eine zentrale Säule des präventiven Datenschutzes in Deutschland und in bestimmten Fällen gesetzlich zwingend vorgeschrieben. Die Pflicht zur Benennung ergibt sich primär aus § 38 des Bundesdatenschutzgesetzes, das die entsprechenden Öffnungsklauseln der DSGVO nutzt und dabei teilweise strengere Maßstäbe ansetzt. Konkret ist ein Datenschutzbeauftragter immer dann zu bestellen, wenn in einem Unternehmen in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Diese Schwelle ist im internationalen Vergleich relativ niedrig und führt dazu, dass viele mittelständische Unternehmen in Deutschland einen DSB vorhalten müssen. Unabhängig von der Mitarbeiterzahl besteht eine Benennungspflicht zwingend dann, wenn die Kerntätigkeit des Unternehmens in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten liegt, also besonders sensibler Daten wie Gesundheitsdaten, oder in der umfangreichen, regelmäßigen und systematischen Überwachung von Betroffenen, wie es bei Telemarketing oder GPS-Tracking der Fall sein kann. Der Datenschutzbeauftragte muss fachlich qualifiziert sein, über umfangreiche Kenntnisse im Datenschutzrecht verfügen und unterliegt einem besonderen Kündigungsschutz, um seine Unabhängigkeit zu gewährleisten. Seine Aufgaben umfassen die Überwachung der Einhaltung der Datenschutzvorschriften, die Schulung der Mitarbeiter und die Beratung der Geschäftsführung.

Was sind technische und organisatorische Maßnahmen?

Technische und organisatorische Maßnahmen sind das praktische Werkzeug, um die Prinzipien des Datenschutzes in Deutschland im Unternehmensalltag wirksam umzusetzen und die Sicherheit der Verarbeitung zu gewährleisten. Sie werden häufig mit dem Akronym TOMs abgekürzt und müssen von jedem Verantwortlichen gemäß dem Prinzip der Rechenschaftspflicht getroffen werden. Ihr Ziel ist es, ein Schutzniveau zu erreichen, das dem Risiko der Datenverarbeitung angemessen ist, wobei der Gesetzgeber ausdrücklich einen risikobasierten Ansatz vorschreibt. Zu den klassischen technischen Maßnahmen zählen die Verschlüsselung von Daten, sowohl auf Datenträgern als auch während der Übertragung, die Pseudonymisierung personenbezogener Daten, um die Identifizierbarkeit zu erschweren, sowie Maßnahmen zur Zugangskontrolle, Zugriffskontrolle und Weitergabekontrolle. Auch Systeme zur Erkennung von Sicherheitsverletzungen und ein zuverlässiges Backup-Konzept fallen in diesen Bereich. Die organisatorischen Maßnahmen betreffen hingegen die Prozesse und Regelungen im Unternehmen, wie die Schulung und Sensibilisierung der Mitarbeiter für den Datenschutz, die Einführung einer Richtlinie zur Vergabe von Berechtigungen, die Führung von Verzeichnissen von Verarbeitungstätigkeiten und die Etablierung von Verfahren, die die Ausübung von Betroffenenrechten sicherstellen. Die TOMs sind kein statischer Zustand, sondern müssen regelmäßig überprüft und an veränderte Risiken angepasst werden.

Welche Konsequenzen drohen bei Verstößen gegen den Datenschutz?

Verstöße gegen den Datenschutz in Deutschland können erhebliche rechtliche und wirtschaftliche Konsequenzen nach sich ziehen, die durch die Einführung der DSGVO eine neue Dimension erreicht haben. Die wohl gefürchtetste Sanktion sind die hohen Geldbußen, die von den zuständigen Datenschutzaufsichtsbehörden verhängt werden können. Diese Bußgelder können sich nach der DSGVO auf bis zu 20 Millionen Euro oder, im Fall eines Unternehmens, auf bis zu 4 % seines gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres belaufen, je nachdem, welcher der Beträge höher ist. Neben diesen finanziellen Sanktionen drohen auch zivilrechtliche Ansprüche der betroffenen Personen, die beispielsweise Schadensersatz fordern können, wenn sie durch einen Datenschutzverstoß einen materiellen oder immateriellen Schaden erlitten haben. Zudem kann die Aufsichtsbehörde auch Anordnungen treffen, die den Geschäftsbetrieb erheblich beeinträchtigen können, wie die Untersagung bestimmter Datenverarbeitungsvorgänge oder sogar ein vorübergehendes Verbot der Datenverarbeitung. Im Falle von Datenschutzverletzungen besteht zudem eine Meldepflicht gegenüber der Aufsichtsbehörde und unter Umständen auch eine Benachrichtigungspflicht der betroffenen Personen, was zu erheblichen Reputationsschäden führen kann. Die Vermeidung dieser Konsequenzen ist ein starkes Argument für eine proaktive und sorgfältige Datenschutz-Compliance.

Wie hat sich der Datenschutz in Deutschland historisch entwickelt?

Die historische Entwicklung des Datenschutzes in Deutschland ist lang und von einem stetigen Ringen um den Schutz der Privatsphäre vor staatlichen und wirtschaftlichen Zugriffen geprägt. Als wahrer Geburtsort des modernen Datenschutzes gilt das Bundesland Hessen, das 1970 das weltweit erste eigenständige Datenschutzgesetz verabschiedete. Dieser Pionierakt war eine direkte Reaktion auf die zunehmende Automatisierung der Datenverarbeitung und die damit verbundenen Befürchtungen einer umfassenden Überwachung. Auf nationaler Ebene folgte 1977 das erste Bundesdatenschutzgesetz, das den Schutz personenbezogener Daten vor Missbrauch bei ihrer Speicherung, Übermittlung, Veränderung und Löschung regelte. Ein Meilenstein in der Rechtsprechung war das sogenannte Volkszählungsurteil des Bundesverfassungsgerichts aus dem Jahr 1983, in dem das Recht auf informationelle Selbstbestimmung als Grundrecht anerkannt wurde. Dieses Urteil legte den conceptualen Grundstein für das heutige Verständnis von Datenschutz als Freiheitsrecht. Mit fortschreitender Digitalisierung und Globalisierung wurde deutlich, dass nationale Alleingänge nicht mehr ausreichen, was schließlich zur Schaffung der europäischen Datenschutz-Grundverordnung führte, die 2018 in Kraft trat. Diese Entwicklung zeigt den Weg von einem rein nationalen, eher technischen Abwehrrecht hin zu einem umfassenden, europäisch harmonisierten Grundrechtsschutz.

Welche Rolle spielen die Aufsichtsbehörden für den Datenschutz?

Die unabhängigen Aufsichtsbehörden für den Datenschutz sind die Hüter der Einhaltung der Vorschriften und spielen eine entscheidende Rolle für die Wirksamkeit des Datenschutzes in Deutschland. Ihre Struktur ist föderal aufgebaut: Es gibt für den nicht-öffentlichen Bereich eine Aufsichtsbehörde auf Bundesebene, den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit, sowie 16 Landesbehörden für die Unternehmen, die den Datenschutzgesetzen der Bundesländer unterliegen. Für den öffentlichen Bereich des Bundes und der Länder existieren entsprechende behördliche Strukturen. Diese Behörden genießen eine weitreichende Unabhängigkeit, um ihre Kontrollfunktion frei von politischem oder wirtschaftlichem Druck ausüben zu können. Zu ihren zentralen Aufgaben gehört die Beratung und Aufklärung von Verantwortlichen und betroffenen Personen, die Durchführung von Kontrollen und Prüfungen in Unternehmen, die Bearbeitung von Beschwerden und die Verhängung der bereits erwähnten Geldbußen bei Verstößen. Zudem wirken sie an der europäischen Zusammenarbeit im Rahmen des Europäischen Datenschutzausschusses mit und tragen so zur einheitlichen Anwendung der DSGVO bei. Für Unternehmen sind sie die ersten Ansprechpartner bei Unklarheiten und müssen bei Datenschutzverletzungen zwingend benachrichtigt werden. Ihre Anordnungen und Entscheidungen prägen die datenschutzrechtliche Praxis in Deutschland maßgeblich.