Datenschutz verstehen: Daten, Zwecke und Verantwortung

Geschützt werden Menschen und ihre Rechte

Die Datenschutz-Grundverordnung, kurz DSGVO, schützt natürliche Personen bei der Verarbeitung ihrer personenbezogenen Daten. Dahinter stehen sehr konkrete Interessen: Menschen sollen nachvollziehen können, was mit ihren Informationen geschieht. Unzutreffende Angaben sollen korrigierbar sein. Informationen über Gesundheit, finanzielle Schwierigkeiten oder private Lebensumstände sollen nicht unkontrolliert Entscheidungen über sie beeinflussen. Datenschutz betrifft deshalb den Umgang mit Menschen, nicht nur den Umgang mit Dateien.

Im Unternehmen reicht das von Bewerbungen und Personalverwaltung über Kundenkontakte bis zu Besucherlisten, Supportanfragen und Nutzungsprotokollen. Verarbeitung umfasst bereits das Erheben, Speichern, Lesen, Übermitteln und Löschen. Auch ein strukturiertes Papierarchiv kann unter die DSGVO fallen. Die Vorstellung, Datenschutz beginne erst beim Export einer Datenbank, greift deutlich zu kurz. Ein gemeinsam verwendetes Postfach kann für Betroffene ebenso bedeutsam sein.

Diese Seite erklärt die allgemeinen Grundlagen für Unternehmen in Deutschland. Maßgeblich sind insbesondere die DSGVO und ergänzende nationale oder bereichsspezifische Regeln. Für Beschäftigtendaten, Werbung oder besondere Branchen kommen zusätzliche Anforderungen hinzu. Die Einordnung eines konkreten Verfahrens muss deshalb seinen tatsächlichen Ablauf berücksichtigen. Eine allgemeine Übersicht ist ein Einstieg in diese Prüfung, kein Freibrief für jede ähnlich klingende Anwendung.

Personenbezug entsteht auch durch Zusammenhänge

Personenbezogen sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Ein Name ist der einfache Fall. Kundennummern, Gerätekennungen, Standortverläufe oder eine Kombination aus Funktion, Arbeitsort und Zeitpunkt können ebenfalls Personenbezug haben. Entscheidend ist nicht allein, was in einer einzelnen Spalte steht, sondern ob eine Person mit vernünftigerweise zu erwartenden Mitteln bestimmbar ist. Artikel 4 und Erwägungsgrund 26 DSGVO bilden dafür den Ausgangspunkt.

Das betrifft auch geschäftliche Angaben. Die Adresse einer juristischen Person ist für sich genommen etwas anderes als die persönliche E-Mail-Adresse ihrer Ansprechpartnerin. Ein Einzelunternehmen lässt sich häufig unmittelbar einer Person zuordnen. Öffentliche Verfügbarkeit beseitigt den Personenbezug ebenfalls nicht. Was auf einer Website steht, darf nicht allein deshalb beliebig gesammelt, kombiniert und für jeden neuen Zweck verwendet werden.

Bei der Pseudonymisierung werden zuordnende Merkmale getrennt gehalten oder ersetzt. Wer statt eines Namens eine Kennung verwendet und die Zuordnung weiterhin herstellen kann, arbeitet grundsätzlich noch mit personenbezogenen Daten. Echte Anonymisierung setzt voraus, dass die Person unter Berücksichtigung realistischer Identifizierungsmöglichkeiten nicht mehr bestimmbar ist. Namen zu entfernen reicht dafür häufig nicht. Gerade kleine Gruppen und ungewöhnliche Ereignisse können eine vermeintlich anonyme Auswertung wieder zuordenbar machen.

Erst den Zweck klären, dann die Rechtsgrundlage

„Für das Geschäft“ ist keine ausreichend genaue Beschreibung eines Verarbeitungszwecks. Einen Auftrag abwickeln, eine Rechnung erstellen und Interessenten Werbung senden sind unterschiedliche Tätigkeiten. Je klarer der Zweck, desto leichter lässt sich prüfen, welche Angaben erforderlich sind, wer sie benötigt und wann sie wieder entfallen können. Ein neuer Verwendungswunsch muss eigenständig bewertet werden. Vorhandene Daten sind kein Vorrat mit unbegrenztem Verwendungsrecht.

Artikel 6 DSGVO nennt verschiedene Rechtsgrundlagen. Dazu gehören unter ihren jeweiligen Voraussetzungen Einwilligung, Vertragserfüllung, rechtliche Verpflichtung und berechtigte Interessen. Für Vertragserfüllung muss die Verarbeitung tatsächlich erforderlich sein; eine Formulierung in allgemeinen Vertragsbedingungen genügt dafür nicht. Bei berechtigten Interessen müssen Interesse, Erforderlichkeit und die Abwägung mit den Rechten der Betroffenen nachvollziehbar geprüft werden. Ein wirtschaftlicher Nutzen allein beendet diese Prüfung nicht.

Einwilligung ist daher kein universeller Reparaturkleber. Sie muss insbesondere freiwillig, informiert, bestimmt und widerruflich sein. Wo eine gesetzliche Pflicht die Verarbeitung trägt, sollte nicht der Eindruck einer freiwilligen Wahl entstehen. Bei besonderen Kategorien wie Gesundheitsdaten ist zusätzlich Artikel 9 zu beachten; eine gewöhnliche Rechtsgrundlage allein genügt nicht. Im Beschäftigungskontext sind außerdem die einschlägigen nationalen Vorschriften zu prüfen, insbesondere § 26 BDSG.

Grundsätze werden im Arbeitsablauf sichtbar

Artikel 5 DSGVO verbindet Rechtmäßigkeit, Fairness und Transparenz mit Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung und angemessenem Schutz. Im Alltag heißt das beispielsweise: Ein Kontaktformular fragt nicht vorsorglich das Geburtsdatum ab. Eine Anschriftenkorrektur erreicht die tatsächlich verwendeten Systeme. Ein abgeschlossener Vorgang bleibt nicht ohne Begründung dauerhaft im Teamordner liegen. Ein Zugriff wird danach vergeben, welche Aufgabe jemand erledigt.

Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen nach Artikel 25 setzen früher an. Ein neues Werkzeug sollte von Beginn an passende Rechte, begrenzte Standardfreigaben und geeignete Löschmöglichkeiten mitbringen. Eine nachträglich geschriebene Richtlinie kann eine ungeeignete Systemarchitektur nur begrenzt auffangen. Beschaffung und Prozessgestaltung gehören deshalb zum Datenschutz, ebenso wie die tägliche Bearbeitung.

Hinzu kommt die Rechenschaftspflicht: Das Unternehmen muss die Einhaltung der Grundsätze nachweisen können. Nachweise sollten Entscheidungen und tatsächliche Abläufe erklären. Eine kurze dokumentierte Begründung mit nachvollziehbarer Umsetzung ist hilfreicher als eine umfangreiche Vorlage, die das verwendete System gar nicht beschreibt. Papier ist geduldig. Eine falsch freigegebene Kundenliste leider weniger.

Verantwortung lässt sich unterstützen, nicht abgeben

Verantwortlicher ist nach Artikel 4 DSGVO, wer über Zwecke und Mittel der Verarbeitung entscheidet. Im betrieblichen Alltag ist das regelmäßig die Organisation, nicht automatisch die einzelne Person am Bildschirm. Intern braucht es dennoch klare Aufgaben: Die Leitung stellt Entscheidungen und Ressourcen sicher, Fachbereiche beschreiben ihre Verfahren, IT setzt technische Maßnahmen um. Beschäftigte benötigen verständliche Regeln und einen erreichbaren Ansprechpartner für Unsicherheiten.

Datenschutzbeauftragte beraten und überwachen nach Artikel 39. Sie sind frühzeitig einzubinden und müssen ihre Aufgaben unabhängig wahrnehmen können. Die Verantwortung des Unternehmens geht dadurch nicht auf sie über. Ob eine Benennung erforderlich ist, richtet sich unter anderem nach Artikel 37 DSGVO und § 38 BDSG. Die deutsche Schwelle von in der Regel mindestens 20 ständig mit automatisierter Verarbeitung beschäftigten Personen ist nur ein Kriterium; weitere Benennungspflichten können unabhängig davon bestehen.

Auch bei Dienstleistern zählt die tatsächliche Tätigkeit. Wer personenbezogene Daten weisungsgebunden im Auftrag verarbeitet, ist anders einzuordnen als ein eigenständig Verantwortlicher. Gemeinsam festgelegte Zwecke und Mittel können gemeinsame Verantwortlichkeit begründen. Ein Vertrag muss zur Rolle passen; er erzeugt die gewünschte Rolle nicht durch seine Überschrift. Die praktische Abgrenzung behandelt die Seite Dienstleister, Cloud und KI.

Datenschutz und Informationssicherheit ergänzen sich

Informationssicherheit schützt Informationen und ihre Verarbeitung, unter anderem hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit. Dazu gehören auch Geschäftsgeheimnisse oder technische Unterlagen ohne Personenbezug. Datenschutz fragt zusätzlich, ob eine Verarbeitung überhaupt zulässig ist, ob ihr Umfang passt und welche Rechte Menschen dabei haben. Beide Disziplinen überschneiden sich, beantworten aber unterschiedliche Fragen.

Eine bestens verschlüsselte Datenbank kann unzulässig erhobene Informationen enthalten. Umgekehrt macht eine passende Rechtsgrundlage einen ungeschützten Datenbestand nicht ausreichend sicher. Für personenbezogene Daten verlangt Artikel 32 ein angemessenes, am Risiko orientiertes Schutzniveau. Die Grundlagen der Informationssicherheit helfen bei der technischen und organisatorischen Umsetzung. Datenschutz ergänzt dabei die Perspektive der betroffenen Menschen.

Fiktives Beispiel: Ein gemeinsames Kundenpostfach

Ein fiktiver Handwerksbetrieb bearbeitet Anfragen über ein gemeinsames Postfach. Termine, Adressen und Fotos helfen bei der Auftragsplanung. Mit der Zeit sammeln sich dort jedoch auch private Erläuterungen, alte Bewerbungen und weitergeleitete Unterlagen. Alle Beschäftigten haben Zugriff, weil das irgendwann praktisch erschien. Der Betrieb besitzt eine Datenschutzerklärung. Sie beantwortet allerdings nicht, warum heute jeder alles sehen kann.

Die erste sinnvolle Maßnahme ist eine Bestandsaufnahme des Ablaufs. Auftragsbearbeitung und Bewerbungen werden getrennt. Zugriffe folgen den Aufgaben, unnötige Angaben werden nicht mehr erfragt. Für die jeweiligen Zwecke werden Rechtsgrundlage, Informationen an Betroffene und Aufbewahrung geklärt. Technische Schutzmaßnahmen begleiten diese Entscheidungen. Die bloße Bitte um eine pauschale Einwilligung hätte keinen dieser organisatorischen Punkte gelöst.

Das Beispiel zeigt keine allgemeingültige Musterlösung, sondern eine Arbeitsrichtung: verstehen, begrenzen, zuordnen und überprüfen. Welche Unterlagen aufbewahrt werden müssen und wie lange, hängt von ihrem Inhalt und den einschlägigen Regeln ab. Eine pauschale Löschung des gesamten Postfachs wäre ebenso unüberlegt wie sein unbegrenztes Fortführen.

Von den Grundlagen zu einer handhabbaren Organisation

Für einen ersten Überblick reichen konkrete Fragen: Welche Menschen betreffen unsere Abläufe? Welche Daten benötigen wir tatsächlich? Was erlaubt die Verarbeitung? Wer erhält Zugriff? Wann endet die Notwendigkeit? Wie können Betroffene ihre Rechte wahrnehmen? Wo fehlen belastbare Antworten? Die Antworten ergeben eine Arbeitsliste, keine automatische Bewertung als vollständig rechtskonform.

Der nächste Schritt ist Datenschutz praktisch angehen. Bei eingriffsintensiven Verfahren folgt die Prüfung von Risiken und Datenschutz-Folgenabschätzung. Für den Alltag müssen außerdem Anfragen und Datenpannen geordnet bearbeitet werden können. So entsteht aus den Grundlagen eine Organisation, die auch dann funktioniert, wenn eine konkrete Frage nicht schon im Handbuch steht.