Schlüsselpunkte
- Die DSGVO regelt die Verarbeitung personenbezogener Daten von EU-Bürger:innen und gilt weltweit für alle Unternehmen, die solche Daten verarbeiten.
- Sie gewährt Rechte auf Auskunft, Berichtigung, Löschung, Datenübertragbarkeit und Widerspruch, die Unternehmen erfüllen müssen.
- Datenschutzverletzungen müssen innerhalb strenger Fristen gemeldet werden.
- Compliance setzt Rechtsgrundlagen, Datenschutz-Folgenabschätzungen und teilweise eine:n Datenschutzbeauftragte:n voraus.
Die Datenschutz-Grundverordnung (DSGVO) ist das grundlegende Datenschutzregelwerk der EU. Sie schützt die Daten einer Person unabhängig davon, wo der Verarbeiter sitzt. Für IT-Teams ist sie von zentraler Bedeutung, doch die DSGVO-Vorschriften wirken oft sperrig. Ein Glossar für den Praxisalltag von Techniker:innen schafft hier Abhilfe.
DSGVO-Begriffe und ihre Bedeutung
Von allgemeinen Definitionen bis zu den Pflichten der Verantwortlichen: Hier finden Sie die zentralen DSGVO-Begriffe für eine bessere Data Governance.
Grundlegende Definitionen der DSGVO
Personenbezogene Daten
Alle Informationen, die sich auf eine identifizierbare natürliche Person beziehen. Der Bezug kann direkt sein (z. B. Name, E-Mail-Adresse, IP-Adresse) oder indirekt (z. B. Cookie-ID, Standortdaten).
Verarbeitung
Das Erheben, Speichern, Analysieren oder Löschen personenbezogener Daten. Auch die automatisierte Verarbeitung (z. B. Profiling, KI-Scoring) zählt als Verarbeitung.
Laut Europäischer Kommission umfasst die Verarbeitung das „Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung [oder] Verbreitung“ personenbezogener Daten.
Einwilligung
Eine freiwillig abgegebene, für den bestimmten Fall geltende, informierte und unmissverständliche Willensbekundung der betroffenen Person. Die Einwilligung muss für jeden Zweck einzeln eingeholt werden, denn eine gebündelte Einwilligung verstößt gegen die DSGVO-Vorschriften.
Betroffene Person
Eine Person, deren Daten gemäß den sieben Grundsätzen der DSGVO verarbeitet werden.
Verantwortlicher
Eine Stelle, die festlegt, warum und wie personenbezogene Daten verarbeitet werden (z. B. ein E-Commerce-Unternehmen, das über die Nutzung von Kundendaten entscheidet).
Auftragsverarbeiter
Die Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (z. B. ein Cloud-Anbieter, der Kundendatenbanken hostet).
Rechte nach der DSGVO
Diese DSGVO-Rechte sollten Sie unbedingt kennen:
- Auskunftsrecht: Personen können eine Kopie ihrer Daten anfordern.
- Recht auf Berichtigung: Unrichtige personenbezogene Daten müssen korrigiert werden.
- Recht auf Löschung: Daten müssen unter bestimmten Voraussetzungen gelöscht werden (etwa beim Widerruf der Einwilligung).
- Recht auf Datenübertragbarkeit: Daten müssen in einem Format vorliegen, das sich maschinell verarbeiten lässt (also „maschinenlesbar“).
- Widerspruchsrecht: Personen können Datenanfragen bzw. die Verarbeitung ihrer Daten beanstanden.
Pflichten und Rollen
Datenschutzbeauftragte:r (DSB)
Der oder die Datenschutzbeauftragte überwacht die Einhaltung der DSGVO in Unternehmen, die umfangreiche Überwachungstools einsetzen oder sensible Daten verarbeiten (z. B. Gesundheitsdaten). Nicht jedes Unternehmen benötigt jedoch eine solche Rolle.
Rechtsgrundlage für die Verarbeitung
Die DSGVO-Vorschriften erfordern mindestens eine Rechtsgrundlage, bevor Daten verarbeitet werden dürfen:
- Einwilligung
- Vertrag
- Rechtliche Verpflichtung
- Lebenswichtige Interessen
- Öffentliche Aufgabe
- Berechtigte Interessen
Datenschutz-Folgenabschätzung (DSFA)
Die Bewertung und Minderung risikoreicher Verarbeitungen mithilfe einer GRC-Plattform (Governance, Risk and Compliance). So läuft der Prozess in der Regel ab:
- Risikomanagement-Tool öffnen (z. B. Archer, OneTrust).
- Verarbeitungstätigkeit dokumentieren.
- Risiken für die betroffenen Personen bewerten.
- Maßnahmen zur Risikominderung festhalten (z. B. Verschlüsselung, Datenminimierung).
- DSFA für die Prüfung durch die Aufsichtsbehörde speichern.
Datenschutzverletzungen und Meldepflichten
Verletzung des Schutzes personenbezogener Daten
Ein Sicherheitsvorfall, der zu unbefugtem Zugriff, zur Offenlegung oder zum Verlust von Daten führt.
72-Stunden-Meldefrist
Verantwortliche müssen die Aufsichtsbehörden innerhalb von 72 Stunden benachrichtigen, nachdem sie von einer Datenschutzverletzung Kenntnis erlangt haben.
Benachrichtigung der betroffenen Personen
Wenn eine Datenschutzverletzung Kundendaten betrifft, müssen die betroffenen Personen informiert werden.
Rechtliche und aufsichtsrechtliche Begriffe
Aufsichtsbehörde
Die nationale oder regionale Regulierungsbehörde (z. B. die Commission Nationale de l’Informatique et des Libertés in Frankreich).
Besondere Kategorien personenbezogener Daten
Sensible Daten, zu denen unter anderem biometrische, gesundheitsbezogene, ethnische und politische Daten zählen. Für diese Datenkategorie gelten höhere Schutzanforderungen.
Angemessenheitsbeschluss
Ein Status, der einem Nicht-EU-Land bescheinigt, dass sein Datenschutzniveau die Kriterien erfüllt.
Standardvertragsklauseln (SCC)
Liegt kein Angemessenheitsbeschluss vor, sind Standardvertragsklauseln eine rechtliche Alternative für die Übermittlung von Daten über die EU-Grenzen hinaus.
Räumlicher Anwendungsbereich (Artikel 3)
Eine Regelung, die bestimmt, ob ein Unternehmen der DSGVO unterliegt, unabhängig von seinem Standort.
Häufige Irrtümer über die DSGVO
Der Anwendungsbereich der DSGVO wird häufig missverstanden, was zu Compliance-Problemen führen kann. Das sind die verbreitetsten Irrtümer, denen IT-Unternehmen bei den DSGVO-Vorschriften aufsitzen.
Die DSGVO gilt nur in EU-Ländern
Oft wird angenommen, dass nur Unternehmen in der Europäischen Union unter die DSGVO-Vorschriften fallen. Tatsächlich gilt sie für jedes Unternehmen, das personenbezogene Daten von EU-Bürger:innen verarbeitet, sei es für Waren, Dienstleistungen oder die Verhaltensbeobachtung.
Kleine Unternehmen sind ausgenommen
Die DSGVO gilt für Unternehmen jeder Größe. Solange sie personenbezogene Daten aus der EU verarbeiten, müssen selbst kleine Start-ups sie einhalten.
Eine Einwilligung ist immer erforderlich
Wie bereits erwähnt, ist die Einwilligung nur eine von mehreren Rechtsgrundlagen für die Datenerhebung und damit nicht die einzige Voraussetzung für eine Datenverarbeitung nach der DSGVO.
DSGVO-Compliance ist reine Rechtsangelegenheit
Die DSGVO ist eine Gemeinschaftsaufgabe. Auch die IT-Abteilungen müssen technische Schutzmaßnahmen umsetzen, etwa Verschlüsselung, Zugriffskontrollen, die Erkennung von Sicherheitsverletzungen oder Versionskontrolle.
🥷🏻| Finden und isolieren Sie kompromittierte Endpunkte automatisiert über ein zentrales Dashboard.
Lesen Sie, wie NinjaOne die IT-Verwaltung vereinfacht.
Verschlüsselung allein reicht für die Compliance aus
Die Verschlüsselung personenbezogener Daten ist für die DSGVO-Compliance unverzichtbar. Im gesamten Unternehmen sind jedoch weitere proaktive Maßnahmen nötig:
- Datenminimierung
- Verantwortlichkeitsmatrizen
- Meldewege in den Fachbereichen
- Wahrung der Rechte betroffener Personen
Löschen erfüllt immer das „Recht auf Vergessenwerden“
Unternehmen müssen die Daten einer betroffenen Person gründlich aus ihren Systemen entfernen. Dazu gehört, Backups zu prüfen, Archive zu löschen und sich mit externen Auftragsverarbeitern abzustimmen.
Mit der Integration von NinjaOne wird die Berichterstattung einfacher
NinjaOne liefert Ihnen den Überblick über Ihre gesamte Infrastruktur, mit laufenden Informationen zum Zustand Ihrer Endpunkte, zum Patch-Fortschritt, zu Ticket-Updates und mehr. Damit gelingt der erste Schritt zur DSGVO-Compliance: Transparenz.
| Aspekt | Mit NinjaOne |
| Transparenz und Berichterstattung | Verfolgt wichtige Updates, Geräte und Ticket-Workflows für sofortige Transparenz |
| Asset-Management | Überwacht Konfigurationen für eine einfachere Dokumentation zu betroffenen Personen |
| Audit-Trails | Protokolliert Benutzeraktivitäten und Systemereignisse automatisiert und liefert nachprüfbare Aufzeichnungen |
Das Verständnis der DSGVO-Vorschriften ebnet den Weg zur Compliance
Der Rechtsrahmen der DSGVO regelt, wie Daten von EU-Bürger:innen weltweit verarbeitet werden müssen. Ein übersichtliches Glossar hilft IT-Fachleuten dabei, Verbesserungspotenziale genau zu bestimmen. Und mit den richtigen Tools profitieren Sie von Fernverwaltung und mehr Transparenz für vollständige Compliance.
Verwandte Themen:
