Was ist die DSGVO und warum wurde sie geschaffen?

Was ist die DSGVO?

Die DSGVO ist das europäische Gesetz zum Schutz personenbezogener Daten. Weil sie eine Verordnung ist, gilt sie in Deutschland unmittelbar und im vollen Wortlaut. Ergänzt wird sie durch das BDSG in der Fassung von 2018. Es regelt die Punkte, die die DSGVO den Mitgliedstaaten überlässt, etwa wann ein Unternehmen einen Datenschutzbeauftragten benennen muss, und den Beschäftigtendatenschutz.

Ob eine Tätigkeit Ihres Unternehmens unter die DSGVO fällt, entscheiden zwei Begriffe.

Personenbezogene Daten sind alle Informationen über eine Person, die sich identifizieren lässt: Name, E-Mail-Adresse, Kundennummer, das Kennzeichen am Lieferwagen eines Lieferanten oder die IP-Adresse von jemandem, der Ihren Onlineshop besucht. Art. 4 Nr. 1

Verarbeitung ist fast alles, was Sie mit diesen Daten tun: erheben, speichern, abrufen, per E-Mail verschicken, löschen. Schon eine Excel-Tabelle mit Ihren Kunden ist eine Verarbeitung. Art. 4 Nr. 2

Nicht erfasst sind dagegen die Kontakte, die Sie privat in Ihrem Handy speichern. Art. 2 Abs. 2 Buchst. c

Wer in Deutschland zuständig ist

In Deutschland gibt es nicht die eine Datenschutzbehörde. Unternehmen beaufsichtigt die Behörde des Bundeslandes, in dem sie ihren Sitz haben, in Bayern zum Beispiel das Bayerische Landesamt für Datenschutzaufsicht (BayLDA). Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ist für Bundesbehörden sowie für Telekommunikations- und Postdienstleister zuständig. Untereinander stimmen sich die Behörden in der Datenschutzkonferenz (DSK) ab. Auf europäischer Ebene arbeiten alle Aufsichtsbehörden im Europäischen Datenschutzausschuss (EDSA) zusammen, der Leitlinien zur Auslegung der Verordnung herausgibt. Bei Auslegungsfragen schauen Sie zuerst in die Leitlinien des EDSA und in die Kurzpapiere der DSK.

Wenn Ihr Unternehmen in Österreich oder der Schweiz sitzt

In Österreich gilt die DSGVO ebenfalls unmittelbar. Ergänzt wird sie dort durch das Datenschutzgesetz (DSG), die Aufsicht führt die Datenschutzbehörde (DSB) in Wien. Die Schweiz gehört nicht zur EU und hat seit dem 1. September 2023 ein eigenes, revidiertes Datenschutzgesetz, über das der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) wacht. Verkaufen Sie von der Schweiz aus an Kunden in der EU, kann die DSGVO trotzdem für Sie gelten. Art. 3 Abs. 2

Warum wurde die DSGVO geschaffen?

Die DSGVO hat die Richtlinie 95/46/EG von 1995 abgelöst. Die Gründe stehen in den Erwägungsgründen. Das ist der Text vor den Artikeln, in dem der Gesetzgeber erklärt, was er erreichen will. Daraus ergeben sich vier Motive.

Die Technik hatte das Recht von 1995 überholt

1995 hatten nur wenige Menschen zu Hause eine E-Mail-Adresse. Zwanzig Jahre später liefen Ihre Daten über soziale Netzwerke, Onlineshops, Cloud-Dienste und Werbefirmen, die Profile anlegen. Die Verordnung hält dazu fest: „Rasche technologische Entwicklungen und die Globalisierung haben den Datenschutz vor neue Herausforderungen gestellt.“ Erwägungsgrund 6

Jedes Land hatte andere Regeln

Die Richtlinie von 1995 musste erst in nationales Recht umgesetzt werden, und jedes Land schrieb dafür ein eigenes Gesetz mit eigenen Ausnahmen und Sanktionen. Ein Onlineshop, der nach Deutschland, Österreich und Frankreich verkaufte, musste für die gleiche Kundschaft drei verschiedene Regelwerke beachten. Laut DSGVO führte diese Zersplitterung zu Rechtsunsicherheit und behinderte den Binnenmarkt. Erwägungsgründe 9 und 10

Datenschutz wurde ein Grundrecht

Mit dem Vertrag von Lissabon wurde die Charta der Grundrechte der EU 2009 verbindlich. In ihrem Artikel 8 heißt es: „Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten.“ Artikel 16 des Vertrags über die Arbeitsweise der EU gab der Union die Befugnis, dafür einheitliche Regeln zu erlassen. Erwägungsgrund 1

Die Menschen hatten die Kontrolle verloren

Mit der Verordnung soll jede Person die Kontrolle über ihre eigenen Daten zurückbekommen, und es soll genug Vertrauen entstehen, damit die digitale Wirtschaft wachsen kann. Erwägungsgrund 7 Die Enthüllungen über Massenüberwachung von 2013 und das Urteil des Gerichtshofs der EU zum „Recht auf Vergessenwerden“ von 2014 beschleunigten die Verhandlungen.

Deutschland war früh dran

Datenschutz hat in Deutschland eine lange Tradition. Hessen verabschiedete 1970 das weltweit erste Datenschutzgesetz, 1977 folgte das erste BDSG. Im Volkszählungsurteil von 1983 entschied das Bundesverfassungsgericht, dass grundsätzlich jeder selbst über die Preisgabe und Verwendung seiner persönlichen Daten bestimmen darf. Das ist das Recht auf informationelle Selbstbestimmung. Viele Grundgedanken der DSGVO kannte das deutsche Recht also schon lange.

Vom Vorschlag zur Anwendung

Zwischen Annahme und Anwendung hatten die Unternehmen zwei Jahre Zeit, sich vorzubereiten. Viele ließen die Sache bis Mai 2018 liegen. Daher die Flut an Einwilligungs-E-Mails, an die Sie sich vermutlich noch erinnern.

Die 7 Grundsätze der DSGVO

Fast alle Regeln der DSGVO lassen sich auf sieben Grundsätze zurückführen. Sind Sie unsicher, ob etwas erlaubt ist, gehen Sie diese Tabelle durch. Art. 5

Im Alltag macht der letzte Grundsatz die meiste Arbeit, denn er verlangt Verzeichnisse, Richtlinien und Nachweise dafür, dass Sie Ihre Entscheidungen durchdacht haben. Art. 5 Abs. 2

Die sechs Rechtsgrundlagen

Um personenbezogene Daten zu nutzen, braucht Ihr Unternehmen mindestens eine von sechs Rechtsgrundlagen: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse oder berechtigtes Interesse. Art. 6 Abs. 1

Viele glauben, die DSGVO verlange für alles eine Einwilligung. Stellen Sie einem Kunden eine Rechnung, sind aber der Vertrag und die gesetzliche Pflicht zur Rechnungsstellung die Grundlage. Eine Einwilligung einzuholen wäre hier sogar ein Fehler, denn der Kunde könnte sie widerrufen.

Die Rechte der betroffenen Personen

Kunden, Beschäftigte und alle anderen, deren Daten Sie verarbeiten, können Ihnen gegenüber verschiedene Rechte geltend machen. In der Regel haben Sie für die Antwort einen Monat Zeit. Art. 12 Abs. 3

Hat Ihnen jemand per E-Mail geschrieben und „eine Kopie aller Daten, die Sie über mich gespeichert haben“ verlangt? Dann ist das ein Auskunftsersuchen, und der Monat läuft bereits. Im Ratgeber Auskunftsersuchen und Löschung erklären wir, was Sie an jedem Tag dieses Monats tun, mit Musterantworten.

Was die DSGVO von Ihrem Unternehmen verlangt

In kleinen und mittleren Unternehmen stehen meist diese Pflichten zuerst an. Gehen Sie sie am besten in dieser Reihenfolge an.

1. Verschaffen Sie sich einen Überblick, welche Daten Sie haben, wozu Sie sie nutzen und wo sie liegen. Das ist das Verzeichnis von Verarbeitungstätigkeiten (VVT), und fast alles andere baut darauf auf. Art. 30 Wie Sie es ausfüllen, zeigt der Ratgeber Verzeichnis von Verarbeitungstätigkeiten. Zum Einstieg können Sie unsere kostenlose VVT-Vorlage für Excel nutzen.
2. Informieren Sie die Menschen mit einer klaren Datenschutzerklärung auf der Website, in Formularen und in Verträgen. Art. 13
3. Legen Sie einen Ablauf für Auskunfts-, Berichtigungs- und Löschersuchen fest und protokollieren Sie jedes Ersuchen. Das Protokoll für Auskunftsersuchen berechnet die Fristen bereits für Sie.
4. Legen Sie fest, was passiert, wenn etwas schiefgeht. Bringt eine Datenpanne ein Risiko für die Betroffenen mit sich, melden Sie sie innerhalb von 72 Stunden Ihrer Landesdatenschutzbehörde. Das Wochenende zählt mit. Die meisten Behörden haben dafür ein Online-Formular. Art. 33 Der Ratgeber Datenpanne melden: was in den ersten 72 Stunden zu tun ist begleitet Sie Stunde für Stunde.
5. Schließen Sie Verträge zur Auftragsverarbeitung mit den Dienstleistern, die in Ihrem Auftrag Daten verarbeiten, etwa dem Anbieter Ihrer Rechnungssoftware oder Ihres Newsletter-Tools. Art. 28
6. Prüfen Sie, ob Sie einen Datenschutzbeauftragten (DSB) brauchen. Die DSGVO schreibt ihn öffentlichen Stellen vor und Unternehmen, deren Kerntätigkeit in der umfangreichen Überwachung von Personen oder der umfangreichen Verarbeitung sensibler Daten besteht. Art. 37 Das BDSG geht weiter: Sie brauchen auch dann einen DSB, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. § 38 BDSG Seine Kontaktdaten teilen Sie Ihrer Aufsichtsbehörde mit. Betreuen Sie als Berater mehrere Unternehmen, ist der Ratgeber Externer Datenschutzbeauftragter mit mehreren Mandanten für Sie geschrieben.

Was in Deutschland anders ist

Das BDSG und weitere deutsche Gesetze ergänzen die DSGVO. Diese Regeln sollten Sie als deutsches Unternehmen kennen:

Ändert sich die DSGVO?

Bisher gilt der Text von 2016 unverändert. Die EU berät aber über Änderungen, die einige Pflichten lockern würden, vor allem für kleinere Unternehmen.

Das im Mai 2025 vorgeschlagene Paket Omnibus IV soll die Ausnahme vom Verzeichnis von Verarbeitungstätigkeiten erweitern. Laut der vorläufigen Einigung vom Juni 2026 soll sie für Organisationen mit weniger als 1.000 Personen gelten. Der Digital Omnibus vom November 2025 betrifft die Meldung von Datenpannen und den Umgang mit exzessiven Auskunftsersuchen.

Noch ist keine dieser Änderungen in Kraft. Richten Sie sich deshalb nach den heute geltenden Regeln. Wie es weitergeht, verfolgen wir im Artikel Digital Omnibus: was Brüssel bei Datenpannen und Auskunftsersuchen ändern will.

Häufige Fragen

Gilt die DSGVO auch für kleine Unternehmen?

Ja. Sie gilt für jede Organisation, die personenbezogene Daten verarbeitet, unabhängig von ihrer Größe. Unternehmen mit weniger als 250 Beschäftigten sind teilweise vom Verzeichnis von Verarbeitungstätigkeiten befreit, alle anderen Regeln gelten für sie aber genauso. Art. 30 Abs. 5

Was ist der Unterschied zwischen DSGVO und BDSG?

Die DSGVO ist die europäische Regelung und gilt unmittelbar. Das BDSG ist das deutsche Gesetz, das sie ergänzt: Es legt fest, wann ein Datenschutzbeauftragter Pflicht ist, und regelt den Beschäftigtendatenschutz und die Aufsicht. Sie müssen beide einhalten.

Gilt die DSGVO für Unternehmen außerhalb der EU?

Ja, wenn sie Menschen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten, zum Beispiel mit zielgerichteter Werbung. Art. 3 Abs. 2

Wer überwacht die DSGVO in Deutschland?

Für Unternehmen ist die Datenschutzaufsichtsbehörde des Bundeslandes zuständig, in dem sie ihren Sitz haben, für Bundesbehörden sowie Telekommunikations- und Postunternehmen die BfDI. Dort melden Sie eine Datenpanne, und dort kann sich ein Kunde über Sie beschweren.

Brauche ich immer eine Einwilligung, um personenbezogene Daten zu nutzen?

Nein. Die Einwilligung ist nur eine von sechs möglichen Rechtsgrundlagen. Für Rechnungen, den Versand einer Bestellung oder die Lohnabrechnung sind der Vertrag oder eine gesetzliche Pflicht die Grundlage. Art. 6 Abs. 1

Quellen

• Verordnung (EU) 2016/679 (DSGVO), Erwägungsgründe 1, 6, 7, 9 und 10; Art. 2 bis 6, 8, 12 bis 22, 28, 30, 33, 37, 83, 88 und 99 (EUR-Lex)
• Richtlinie 95/46/EG (EUR-Lex)
• Charta der Grundrechte der Europäischen Union, Art. 8 (EUR-Lex)
• Vertrag über die Arbeitsweise der Europäischen Union, Art. 16 (EUR-Lex)
• Vorschlag der Kommission KOM(2012) 11 (EUR-Lex)
• Bundesdatenschutzgesetz (BDSG), insbesondere § 26 und § 38 (Gesetze im Internet)
• Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), § 25 (Gesetze im Internet)
• EuGH, Rechtssache C-34/21 (Curia)
• Datenschutzkonferenz (DSK), Kurzpapiere und Anschriften der Aufsichtsbehörden
• BfDI, offizielle Website
• EDSA, offizielle Website

Aktualisiert: 24. Oktober 2026. Dieser Artikel ist eine allgemeine Information und ersetzt keine Rechtsberatung im Einzelfall.