Was ist die DSGVO?

Die DSGVO, Datenschutz-Grundverordnung, ist die Verordnung (EU) 2016/679. Sie regelt, wie Unternehmen personenbezogene Daten natürlicher Personen erheben, verarbeiten und speichern. Verabschiedet wurde sie am 27. April 2016, unmittelbar geltendes Recht ist sie seit dem 25. Mai 2018 in allen 27 Mitgliedstaaten.

Als Verordnung, nicht als Richtlinie, brauchte sie kein nationales Umsetzungsgesetz: Der Text gilt in Deutschland, Spanien oder Polen identisch, am selben Tag in Kraft getreten. Sie löste die alte Richtlinie 95/46/EG ab, die jedem Land noch eigenen Spielraum bei der Umsetzung ließ.

Ihre Reichweite geht über Unternehmen mit Sitz in der EU hinaus. Artikel 3 der Verordnung gibt ihr extraterritoriale Wirkung: Jedes Unternehmen, das Daten von Personen mit Wohnsitz in der EU verarbeitet, muss sie einhalten, egal ob der Firmensitz in Berlin, London oder Singapur liegt. Ein Online-Shop aus den USA mit deutschen Kunden unterliegt der DSGVO genauso wie ein Berliner Unternehmen. Für die Aufsichtsbehörden zählt allein der Wohnsitz der betroffenen Person, nicht der Sitz des Unternehmens.

Diese Rechte, geregelt in den Artikeln 15 bis 21 der Verordnung, müssen kostenlos ausübbar sein, und das Unternehmen hat maximal einen Monat Zeit für die Antwort. Ein Online-Shop ohne jeden Weg, ein Konto löschen zu lassen, verstößt gegen die Verordnung, auch ohne dass sich je jemand beschwert.

Die DSGVO stützt sich auf sieben Grundsätze aus Artikel 5: Rechtmäßigkeit und Transparenz (das Unternehmen braucht eine Rechtsgrundlage und muss sie klar erklären), Zweckbindung (Daten werden nur für den bei der Erhebung genannten Zweck genutzt), Datenminimierung (abgefragt werden nur die nötigen demografischen Daten oder andere zwingend erforderlichen Angaben, nicht alles Verfügbare), Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie Rechenschaftspflicht: Das Unternehmen muss jederzeit dokumentieren und nachweisen können, dass es die Vorgaben einhält.

Artikel 6 nennt sechs Rechtsgrundlagen für die Datenverarbeitung, und die Einwilligung ist nur eine davon, nicht die einzige. Neben ihr stehen die Vertragserfüllung (eine Lieferadresse verarbeiten, um eine Bestellung abzuschließen), das berechtigte Interesse, eine rechtliche Verpflichtung, der Schutz lebenswichtiger Interessen und die Wahrnehmung einer öffentlichen Aufgabe. Ein Online-Shop darf Rechnungsdaten per Vertrag verarbeiten, ohne separate Einwilligung, braucht aber ausdrückliche Einwilligung für eine werbliche Cookie oder ein Tracking-Pixel in sozialen Netzwerken.

Der Unterschied ist wichtig, denn jede Rechtsgrundlage folgt eigenen Regeln: Die Einwilligung lässt sich jederzeit so leicht widerrufen, wie sie gegeben wurde, eine vertragliche Pflicht dagegen nicht ohne Kündigung des Vertrags selbst. Wer beide Grundlagen verwechselt, bittet Nutzer oft unnötig um eine Einwilligung, obwohl der Vertrag die Verarbeitung längst rechtfertigt, oder verzichtet umgekehrt auf eine nötige Einwilligung, weil er sie fälschlich für überflüssig hält.

Für jede Website mit Besuchern aus der EU wird die DSGVO zu konkreten Pflichten. Der Cookie-Banner muss die Einwilligung einholen, bevor ein Analyse- oder Targeting-Skript lädt, nicht danach. Ein Newsletter-Formular braucht eine eigene Einwilligungs-Checkbox, getrennt von der für die AGB, und die Abmeldung muss so einfach sein wie die Anmeldung; das Double Opt-in ist der übliche Weg, diese Einwilligung nachweisbar zu dokumentieren.

Das Löschrecht betrifft direkt Nutzerkonten: Löscht jemand sein Konto, muss das Unternehmen auch die zugehörigen Daten in jedem Buyer-Persona-Tool oder CRM entfernen, das sie speichert. Wer jemanden entlang der gesamten Customer Journey verfolgt, braucht an jedem Berührungspunkt eine gültige Rechtsgrundlage.

Jedes externe Tool, das personenbezogene Daten im Auftrag des Unternehmens verarbeitet, vom Analytics-Anbieter bis zur E-Mail-Marketing-Plattform, braucht einen Auftragsverarbeitungsvertrag. Und jede Website mit Kontaktformular oder Nutzerregistrierung braucht eine eigene Datenschutzerklärung, keinen generischen Text von einer anderen Seite. Ein schlecht konfigurierter Consent-Manager blockiert zudem oft das Rendering und bremst die Ladezeit, ein Thema, das direkt in technisches SEO hineinspielt.

• Hole die Einwilligung mit einer standardmäßig nicht angehakten Checkbox ein, nie vorausgewählt, und erkläre den Zweck, bevor der Nutzer zustimmt.
• Schließe mit jedem externen Anbieter, der personenbezogene Daten verarbeitet, einen Auftragsverarbeitungsvertrag ab, auch mit Analytics- und E-Mail-Marketing-Tools.
• Biete einen klaren Weg, um Auskunft, Berichtigung und Löschung zu beantragen, ohne Anruf oder Brief zu verlangen.
• Führe ein Verzeichnis der Verarbeitungstätigkeiten, auch wenn das Unternehmen weniger als 250 Mitarbeiter hat.
• Prüfe regelmäßig, welche personenbezogenen Daten jedes Tool auf der Website speichert, und lösche, was keinen aktiven Zweck mehr hat.
• Segmentierst du deine Zielgruppe mit personenbezogenen Daten, dokumentiere die Rechtsgrundlage dafür.

• Analyse- oder Werbeskripte laden, bevor der Nutzer im Cookie-Banner zugestimmt hat.
• Die Zustimmungs-Checkbox in Registrierungs- oder Newsletter-Formularen voranhaken.
• Die Einwilligung mit der einzig möglichen Rechtsgrundlage verwechseln und sie auch dann verlangen, wenn ein Vertrag die Verarbeitung bereits rechtfertigt.
• Keinen festen Prozess haben, um eine Löschanfrage innerhalb der Monatsfrist zu beantworten.
• Daten an einen externen Anbieter weitergeben, ohne vorher einen Auftragsverarbeitungsvertrag geschlossen zu haben.