Datenschutz
11. Oktober 2023
Keine Kommentare
- +49 2056 267 9050
- kontakt@mabs-compliance.com
- Cyber-Notfall Soforthilfe
Es ist wichtiger denn je, dass Ihre Mitarbeiter das Thema Datenschutz in allen Prozessen berücksichtigen, um die DSGVO und entsprechende Compliance-Vorschriften einzuhalten.
Bauen Sie mühelos ein Datenschutzmanagement-System auf, um DSGVO-konform und somit Compliant zu werden.
Bei Bedarf integrieren wir das Datenschutzmanagement in bestehende Systeme, wie ISO 27001 oder 9001. Unsere Eperten unterstützen Sie passgenau, so vermeiden Sie Bußgelder und schützen Ihren Ruf.
Gerne stehen wir Ihnen auch als externer Datenschutzbeauftragter zur Verfügung.
Wie schon das alte BDSG enthält auch die DSGVO eine Reihe von Grundsätzen des Datenschutzes, die für jeden Umgang mit personenbezogenen Daten gelten. Diese Regeln sind in Art. 5 DSGVO festgelegt: Grundsatz der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit.
Ein besonders wichtiger Grundsatz des Datenschutzes stellt die Zweckbindung dar. Personenbezogene Daten dürfen danach nur für festgelegte, eindeutige und legitime Zwecke genutzt werden. Diese jeweiligen Zwecke der Datenverarbeitung müssen bereits bei der Erhebung der Daten festgelegt werden. Sie müssen eindeutig bestimmt werden, und die festgelegten Zwecke müssen legitim sein.
Personenbezogene Daten müssen auf rechtmäßige Weise verarbeitet werden. Dies ist dann der Fall, wenn für jeden Verarbeitungsvorgang eine valide Rechtsgrundlage vorliegt. Dies wird als sogenanntes Verbot mit Erlaubnisvorbehalt bezeichnet, wonach erst einmal jede Nutzung von Daten untersagt ist, sofern für diesen Vorgang nicht ausnahmsweise eine gesetzliche Erlaubnis vorliegt.
Nach dieser Vorgabe müssen personenbezogene Daten sachlich richtig und, soweit möglich, stets auf dem aktuellen Stand sein. Der Verantwortliche muss angemessenen Maßnahmen ergreifen, damit unrichtige personenbezogene Daten gelöscht oder berichtigt werden. Dies ergibt sich aus den Art. 16 und 17 der DSGVO.
Der Transparenzgrundsatz setzt voraus, dass die Verarbeitung der personenbezogenen Daten für die betroffenen Personen nachvollziehbar sein muss. Daraus resultiert z. B., dass alle Informationen bezüglich der Verarbeitung dieser Daten leicht zugänglich, verständlich sowie in klarer und einfacher Sprache abgefasst sind.
Von höchster praktischer Bedeutung ist der Grundsatz der Speicherbegrenzung. Dieser wird von Unternehmen häufig nicht angemessen beachtet. Hinter dieser Vorgabe verbirgt sich, vereinfacht gesagt, die Pflicht, personenbezogene Daten nur so lange vorzuhalten, wie es für deren Speicherung eine Rechtsgrundlage gibt und dies für die zuvor festgelegten Zwecke erforderlich ist.
Die Datenschutz-Grundverordnung (DSGVO) bildet die zentrale Rechtsgrundlage für den Datenschutz in Europa. Sie regelt EU-weit einheitlich, wie öffentliche Stellen, Unternehmen und Organisationen personenbezogene Daten verarbeiten dürfen. Ziel der DSGVO ist es, den Schutz personenbezogener Daten innerhalb der Europäischen Union zu gewährleisten und gleichzeitig den freien Datenverkehr im europäischen Binnenmarkt sicherzustellen.
Um diese einheitlichen Standards zu schaffen, hat der europäische Gesetzgeber die DSGVO als Verordnung erlassen. Im Gegensatz zu einer Richtlinie muss eine Verordnung nicht erst durch nationale Gesetze umgesetzt werden, sondern gilt unmittelbar in allen Mitgliedstaaten der EU. Darüber hinaus findet die DSGVO auch in den Staaten des Europäischen Wirtschaftsraums (EWR) Anwendung, also in Island, Liechtenstein und Norwegen.
Grundsätzlich dürfen die EU-Mitgliedstaaten die in der DSGVO festgelegten Datenschutzstandards weder abschwächen noch verschärfen. Dennoch regelt die Verordnung nicht alle datenschutzrechtlichen Fragen abschließend. Sie enthält sogenannte Öffnungsklauseln, die es den einzelnen Staaten ermöglichen, bestimmte Bereiche durch nationale Gesetze konkret auszugestalten.
In Deutschland erfolgt dies insbesondere durch das Bundesdatenschutzgesetz (BDSG). Das sogenannte „BDSG-neu“ ergänzt die Vorgaben der DSGVO und enthält unter anderem spezielle Regelungen zum Beschäftigtendatenschutz. Darüber hinaus existieren weitere nationale Datenschutzgesetze, die einzelne Bereiche ergänzend regeln.
Dazu zählen beispielsweise die Datenschutzgesetze der Bundesländer, die vor allem für Landesbehörden und kommunale Einrichtungen relevant sind. Ergänzend regelt das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, ehemals TTDSG) den Datenschutz im Bereich der Telekommunikation sowie digitaler Dienste. Zusätzlich bestehen spezielle Datenschutzvorschriften für einzelne Rechtsgebiete, etwa im Sozialrecht. So enthält das Zehnte Buch Sozialgesetzbuch (SGB X) detaillierte Vorgaben zum Schutz von Sozialdaten und definiert die Voraussetzungen für deren Erhebung, Speicherung, Verarbeitung, Übermittlung und Löschung.
Damit schafft die DSGVO gemeinsam mit den ergänzenden nationalen Regelungen einen umfassenden rechtlichen Rahmen für den Datenschutz in Deutschland und Europa.
Nein, ein ISMS nach ISO 27001 deckt die DSGVO nicht automatisch vollständig ab, da die DSGVO zusätzliche rechtliche Anforderungen wie Rechtsgrundlagen, Betroffenenrechte und Verarbeitungsverzeichnisse stellt, die über reine Informationssicherheit hinausgehen. In der Praxis ergänzen sich beide Rahmenwerke jedoch stark, da viele technisch-organisatorische Maßnahmen (TOMs) der DSGVO durch ISO-27001-Controls abgedeckt werden.
Ein externer Datenschutzbeauftragter ist unter anderem dann Pflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind oder bestimmte besonders risikoreiche Verarbeitungen vorliegen. Auch unterhalb dieser Schwelle kann ein externer DSB sinnvoll sein, um Haftungsrisiken zu reduzieren und Fachexpertise einzukaufen, ohne interne Ressourcen zu binden.
Bei Verstößen gegen die DSGVO drohen Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Die tatsächliche Höhe richtet sich in der Praxis nach Schwere, Dauer und Vorsatz des Verstoßes sowie danach, ob das Unternehmen bereits angemessene technisch-organisatorische Maßnahmen umgesetzt hatte.
Die EU-Kommission hat am 19. November 2025 mit dem “Digital Omnibus” Reformvorschläge vorgelegt, die unter anderem die Definition personenbezogener Daten präzisieren und den Umgang mit pseudonymisierten Daten sowie die Datennutzung für KI-Training erleichtern sollen. Stand Sommer 2026 handelt es sich weiterhin um ein laufendes Gesetzgebungsverfahren mit noch offenem Ausgang – Unternehmen sollten die Entwicklung beobachten, aber bis zur endgültigen Verabschiedung weiterhin nach geltendem DSGVO-Recht handeln.
mabs4.0 berät Unternehmen bei der datenschutzkonformen Ausgestaltung ihrer Prozesse und Systeme, von der Bewertung einzelner Tools und Software-Einsätze bis zur Integration der DSGVO-Anforderungen in ein bestehendes oder neu aufzubauendes ISMS. Dieser integrierte Ansatz vermeidet doppelte Dokumentationsstrukturen und sorgt dafür, dass Datenschutz- und Informationssicherheitsmaßnahmen sich gegenseitig stützen statt sich zu widersprechen.
Ja, mabs4.0 stellt Unternehmen einen externen Datenschutzbeauftragten, der sowohl die gesetzlich vorgeschriebenen Aufgaben nach Art. 39 DSGVO übernimmt als auch durch die enge Verzahnung mit der ISMS-Beratung praxisnahe Unterstützung bei der laufenden Umsetzung leistet, statt nur formale Kontrollfunktion auszuüben.
