DSGVO: Der komplette Leitfaden für Unternehmen

Das Wichtigste in Kürze

• Die DSGVO ist die Verordnung (EU) 2016/679. Sie trat am 24. Mai 2016 in Kraft und gilt seit dem 25. Mai 2018. Beide Daten werden regelmäßig verwechselt.
• Der Bußgeldrahmen aus Art. 83 DSGVO hat zwei Stufen: bis 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes für Dokumentationspflichten, bis 20 Mio. Euro oder 4 Prozent für Grundsätze, Betroffenenrechte und Drittlandtransfers. Das höchste in Deutschland verhängte Bußgeld sind 45 Mio. Euro gegen die Vodafone GmbH (BfDI, Juni 2025), akzeptiert und vollständig gezahlt.
• Für Ihr Unternehmen ist nicht der BfDI zuständig, sondern die Aufsichtsbehörde Ihres Bundeslandes. In Deutschland gibt es 18 staatliche Datenschutzaufsichtsbehörden, da Bayern eine eigene Behörde für den nichtöffentlichen Bereich hat.
• § 38 BDSG verpflichtet Unternehmen ab 20 Personen, die ständig automatisiert personenbezogene Daten verarbeiten, zur Benennung eines Datenschutzbeauftragten. Die Schwelle ist unverändert in Kraft. Bund und Länder haben am 4.12.2025 beschlossen, dass der Bund bis zum 31.12.2026 eine Aufhebung des § 38 Abs. 1 BDSG einbringen wird; ein Gesetzentwurf liegt nicht vor. Unabhängig von der Schwelle verpflichtet § 38 Abs. 1 Satz 2 BDSG schon heute zur Benennung, etwa bei Verarbeitungen, die einer DSFA unterliegen.
• Die Einwilligung ist nicht die sicherste Rechtsgrundlage, sondern die instabilste: sie ist jederzeit widerrufbar, und im Beschäftigungsverhältnis gelten darüber hinaus besonders hohe Anforderungen an den Nachweis der Freiwilligkeit.

Was ist die DSGVO, und für wen gilt sie?

Die DSGVO ist die Datenschutz-Grundverordnung der Europäischen Union, förmlich die Verordnung (EU) 2016/679. Sie regelt, unter welchen Bedingungen personenbezogene Daten verarbeitet werden dürfen, welche Rechte betroffene Personen haben und welche Nachweise Sie führen müssen. Verabschiedet wurde sie am 27. April 2016 vom Europäischen Parlament und vom Rat der EU, nicht von der Kommission.

Ein Detail, das in Audits auffällt: die DSGVO trat am 24. Mai 2016 in Kraft, zwanzig Tage nach der Veröffentlichung im Amtsblatt L 119/1. Anwendbar wurde sie erst zwei Jahre später, am 25. Mai 2018. Die Übergangsfrist stand in Art. 99 und war genau dafür gedacht, dass Unternehmen ihre Verarbeitung anpassen. Wer schreibt, die Verordnung sei 2018 in Kraft getreten, verwechselt Inkrafttreten mit Anwendbarkeit.

Anwendbar ist die DSGVO nicht nur auf Unternehmen mit Sitz in der EU. Art. 3 stellt zusätzlich auf den Marktort ab: wer Personen in der Union Waren oder Dienstleistungen anbietet oder deren Verhalten beobachtet, fällt unter die Verordnung, auch ohne Niederlassung in Europa.

Der Anknüpfungspunkt ist immer das personenbezogene Datum nach Art. 4 Nr. 1, und der Begriff ist weiter, als die meisten annehmen. Eine IP-Adresse, eine Cookie-ID und die Kombination aus Postleitzahl, Geburtsjahr und Berufsbezeichnung sind personenbezogene Daten, sobald sich damit eine Person herausfiltern lässt. Reine Unternehmensdaten fallen nicht darunter, geschäftliche Kontaktdaten einzelner Mitarbeiter aber schon.

Die Grundsätze des Art. 5 und die sechs Rechtsgrundlagen

Art. 5 Abs. 1 nennt sechs Grundsätze, an denen sich jede einzelne Verarbeitung messen lassen muss: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz (lit. a), Zweckbindung (lit. b), Datenminimierung (lit. c), Richtigkeit (lit. d), Speicherbegrenzung (lit. e) sowie Integrität und Vertraulichkeit (lit. f). Hinzu kommt die Rechenschaftspflicht nach Art. 5 Abs. 2. Häufig ist deshalb von sieben Grundsätzen die Rede; gemeint ist dann diese Aufzählung einschließlich der Rechenschaftspflicht. Sie ist operativ die teuerste. Rechenschaftspflicht bedeutet, dass Sie die Einhaltung der übrigen sechs nachweisen müssen, und zwar bevor jemand fragt. Ein Zustand, den Sie nicht dokumentieren können, gilt im Zweifel als nicht vorhanden.

Rechtmäßig ist eine Verarbeitung nur, wenn eine der sechs Rechtsgrundlagen aus Art. 6 Abs. 1 greift. Es sind genau sechs, sie stehen gleichrangig nebeneinander. Für jeden Verarbeitungszweck ist eine Rechtsgrundlage zu bestimmen, bevor die Verarbeitung beginnt. Mehrere Rechtsgrundlagen innerhalb einer Verarbeitungstätigkeit setzen deshalb voraus, dass jeder Grundlage ein eigener Zweck zugeordnet ist; sind mehrere Zwecke gebündelt, sind sie getrennt zu dokumentieren. Mehrere Grundlagen vorsorglich nebeneinander zu benennen, damit im Zweifel eine trägt, unterläuft die Transparenzpflicht nach Art. 13 Abs. 1 lit. c und die Ausübung der Betroffenenrechte. Ein nachträglicher Wechsel der Rechtsgrundlage, weil die zuerst gewählte nicht mehr trägt, ist unzulässig; der Europäische Datenschutzausschuss stuft ihn in seinen Leitlinien 05/2020 und 2/2019 als regelmäßig unlauter ein.

Damit zum verbreitetsten Irrtum im deutschen Datenschutz. Acht Jahre nach Anwendbarkeit halten viele Unternehmen die Einwilligung für die sicherste Rechtsgrundlage, oft mit dem Gedanken, damit auf der vorsichtigen Seite zu sein. Das Gegenteil ist der Fall. Die Einwilligung ist die einzige der sechs Grundlagen, die die betroffene Person jederzeit ohne Begründung entziehen kann, und mit dem Widerruf entfällt die Rechtmäßigkeit für die Zukunft. Sie haben dann keine tragfähige Grundlage mehr und müssen dem Widerruf nachkommen, in der Regel durch Löschung, soweit keine gesetzlichen Aufbewahrungsfristen entgegenstehen.

Im Beschäftigungsverhältnis kommt ein zweites Problem hinzu, und das ist gravierender. Zwischen Arbeitgeber und Arbeitnehmer besteht ein Über- und Unterordnungsverhältnis, weshalb an den Nachweis der Freiwilligkeit hier besonders hohe Anforderungen gestellt werden. Die einschlägige Norm ist § 26 Abs. 2 BDSG: Für die Beurteilung der Freiwilligkeit sind ausdrücklich die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person und die Umstände zu berücksichtigen, unter denen die Einwilligung erteilt worden ist. Freiwilligkeit kann nach Satz 2 insbesondere vorliegen, wenn die beschäftigte Person einen rechtlichen oder wirtschaftlichen Vorteil erlangt oder beide Seiten gleichgelagerte Interessen verfolgen. Erwägungsgrund 43 der DSGVO geht in dieselbe Richtung: Bei einem klaren Ungleichgewicht zwischen Verantwortlichem und betroffener Person soll die Einwilligung keine tragfähige Grundlage sein. Der Beschäftigte sitzt jemandem gegenüber, der etwas von ihm möchte, und stellt sich die Frage, was passiert, wenn er nicht einwilligt. Fehlt die Freiwilligkeit, fehlt ein Gültigkeitskriterium, und dann fehlt die Rechtsgrundlage insgesamt. Sie riskieren also nicht nur einen späteren Widerruf, sondern dass Sie nie eine wirksame Grundlage hatten.

Der Klassiker dafür sind Einwilligungen, die am ersten Arbeitstag mit dem übrigen Onboarding-Papier unterschrieben werden. Genau in dieser Phase, in der man alles richtig machen möchte, ist Freiwilligkeit am schwersten zu behaupten. Prüfen Sie deshalb immer zuerst alle sechs Grundlagen. Meistens tragen die Vertragserfüllung nach lit. b oder die berechtigten Interessen nach lit. f, und beide sind belastbarer. Wo das nicht gelingt, bleibt die Einwilligung. Eine Schriftform verlangt die DSGVO dafür nicht: Art. 7 Abs. 1 verlangt, dass Sie die Einwilligung nachweisen können, Art. 4 Nr. 11 eine unmissverständlich bestätigende Handlung. Im Beschäftigungsverhältnis kommt die Form über das nationale Recht hinzu: Nach § 26 Abs. 2 Satz 3 BDSG hat die Einwilligung schriftlich oder elektronisch zu erfolgen, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Über den Zweck der Verarbeitung und das Widerrufsrecht nach Art. 7 Abs. 3 DSGVO ist die beschäftigte Person nach § 26 Abs. 2 Satz 4 BDSG in Textform aufzuklären.

Welche Pflichten die DSGVO Unternehmen auferlegt

Die operative Last der DSGVO liegt nicht in Verboten, sondern in Nachweispflichten. Sechs davon treffen praktisch jedes Unternehmen mit mehr als einer Handvoll Beschäftigten.

Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 ist der Dokumentationskern. Aufsichtsbehörden fragen es zuerst an, weil sich daran ablesen lässt, ob ein Unternehmen seine eigene Datenverarbeitung überhaupt kennt. Wie Sie ein Verzeichnis von Verarbeitungstätigkeiten, TOM und DSFA erstellen und pflegen, ohne drei Excel-Dateien parallel zu führen, zeigen wir auf der Produktseite zu VVT, TOM und DSFA.

Technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO sind alle Vorkehrungen, mit denen Sie die Vertraulichkeit, Integrität und Verfügbarkeit personenbezogener Daten schützen. Dazu gehören zum Beispiel Zugriffskonzepte und Rollenrechte, Verschlüsselung, Backups, Lösch- und Berechtigungskonzepte, aber auch Schulungen und klar definierte Prozesse für Sicherheitsvorfälle. Maßstab ist dabei immer das Risiko für die betroffenen Personen, und dabei mitzuberücksichtigen sind Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere eines möglichen Schadens. Die DSGVO verlangt kein vollständiges ISO-27001-Managementsystem, sondern ein dem Risiko angemessenes Schutzniveau. In der Praxis reicht für viele Unternehmen ein gut gepflegter, aktueller Maßnahmenkatalog aus, der strukturiert beschreibt, welche TOMs umgesetzt sind und den Sie bei Bedarf exportieren und gegenüber Kunden oder Aufsichtsbehörden nachweisen können, etwa im Rahmen von Auftragsverarbeitungsverträgen.

Auftragsverarbeitung im Sinne von Art. 28 DSGVO liegt vor, wenn ein externer Dienstleister personenbezogene Daten ausschließlich nach Ihren Weisungen verarbeitet, etwa ein Cloud- oder Newsletter-Anbieter. In diesen Fällen sind Sie verpflichtet, einen Auftragsverarbeitungsvertrag zu schließen, der die in Art. 28 Abs. 3 DSGVO genannten Mindestinhalte vollständig abdeckt: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Kategorien personenbezogener Daten und betroffener Personen, Pflichten und Rechte des Verantwortlichen, die TOMs sowie die Regelungen zu Subdienstleistern.

Genau daran scheitert der erste Prüfschritt am häufigsten: Sind diese Mindestinhalte überhaupt vollständig enthalten? Trotz jahrelanger Anwendungspraxis ist das in der Realität oft nicht der Fall. Einen zu hundert Prozent DSGVO-konformen Vertrag werden Sie dabei nicht immer durchsetzen können, insbesondere bei großen internationalen Anbietern mit standardisierten, nicht verhandelbaren Vertragsbedingungen. Die entscheidende Frage ist dann nicht, wie man die Lücken wegdiskutiert, sondern ob das Ergebnis insgesamt noch vertretbar ist. Das ist eine unternehmerische Risikoentscheidung, die bei der Geschäftsleitung liegt. Der Datenschutzbeauftragte prüft, bewertet und dokumentiert seine Empfehlung; die Entscheidung selbst trifft er nicht.

Welche Mindestinhalte nach Art. 28 Abs. 3 zuerst zu kontrollieren sind, wo Subdienstleisterketten und Haftungsklauseln kippen und was zu tun ist, wenn der Anbieter nicht verhandelt, zeigen wir Ihnen im Beitrag dazu, wie Sie einen Auftragsverarbeitungsvertrag prüfen.

Die Pflicht zur Benennung eines Datenschutzbeauftragten entsteht in Deutschland auf zwei Wegen. Art. 37 Abs. 1 DSGVO knüpft an die Art der Verarbeitung an, etwa an umfangreiche systematische Überwachung oder an besondere Datenkategorien als Kerntätigkeit. Zusätzlich gilt § 38 Abs. 1 BDSG: wer in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, muss einen Datenschutzbeauftragten benennen, unabhängig davon, wie harmlos die Verarbeitung ist. § 38 Abs. 1 BDSG geht dabei nicht in dieser Schwelle auf: Nach Satz 2 ist ein Datenschutzbeauftragter unabhängig von der Zahl der beschäftigten Personen zu benennen, wenn Verarbeitungen vorgenommen werden, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen, oder wenn personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden. Welche Rolle die interne gegenüber der externen Benennung spielt, behandeln wir gesondert im Beitrag zum externen Datenschutzbeauftragten.

Ein Missverständnis, das derzeit teilweise kursiert: Die 20-Personen-Schwelle für die Benennung eines Datenschutzbeauftragten sei bereits abgeschafft. Das ist nicht der Fall. Nach § 38 Abs. 1 BDSG gilt die Schwelle weiterhin. Auf nationaler Ebene gibt es zwar Pläne, diese zusätzliche deutsche Benennungspflicht künftig aufzuheben. Solange das Gesetz jedoch nicht geändert wurde, bleibt die Regelung anwendbar. Außerdem würde eine Aufhebung der 20-Personen-Schwelle die eigenständigen Benennungspflichten nach Art. 37 Abs. 1 DSGVO unberührt lassen. Eine Benennung kann danach insbesondere wegen der Kerntätigkeit, einer umfangreichen regelmäßigen und systematischen Beobachtung oder der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten erforderlich sein. Unberührt bliebe außerdem § 38 Abs. 1 Satz 2 BDSG, der schon heute unabhängig von der Personenzahl zur Benennung verpflichtet. Entscheidend ist deshalb nicht allein die Zahl der Beschäftigten, sondern auch die konkrete Verarbeitungstätigkeit.

Typischerweise fehlt auch eine systematische Übersicht über Tools, die ohne Beteiligung der Compliance-Funktion eingeführt wurden. Dazu gehören etwa ein Marketing-Tool mit Testzugang oder ein KI-Assistent, den ein Team selbst abonniert hat. Wie sich solche Shadow IT zuverlässig erkennen und personenbezogene Daten diesen Anwendungen zuordnen lassen, beschreiben wir unter Shadow IT und Data Discovery.

Datenschutzvorfälle: die erste Stunde, und wann gemeldet wird

Art. 33 Abs. 1 verpflichtet Sie, eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu melden, sofern die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Maßgeblich für den Beginn der Frist ist der Zeitpunkt der Kenntnis, nicht der Zeitpunkt des Vorfalls.

Die erste Stunde entscheidet weniger über die Meldung als über die Sachverhaltsfeststellung. Die Fragen sind immer dieselben: wer, wann, wie, wo, welche Daten sind betroffen, und vor allem, was lässt sich zum jetzigen Zeitpunkt technisch nachweislich feststellen, im Unterschied zu dem, was vermutet wird. Erst auf dieser Grundlage folgt die rechtliche Bewertung.

Die Grenze zwischen meldepflichtig und nicht meldepflichtig ist selten scharf. Deshalb lautet der Beratungsansatz, den wir fahren: in dubio pro Meldung. Im Zweifel wird gemeldet, weil Sie damit eine eigene Pflichtverletzung ausschließen. Stellt sich im Nachhinein heraus, dass Sie hätten melden müssen und es nicht getan haben, haben Sie neben dem Vorfall selbst eine weitere Pflichtverletzung. Risikofrei ist diese Haltung allerdings nicht: Art. 33 Abs. 1 verlangt die Meldung nur bei einem Risiko, und eine Meldung ohne Meldepflicht bindet Ressourcen und liefert der Behörde einen dokumentierten Sachverhalt.

Der Grund, aus dem Unternehmen zögern, ist fast immer derselbe: die Sorge, mit einer Meldung erst die Aufmerksamkeit der Behörde zu wecken und weitere Nachforschungen auszulösen. Dieser Sorge nimmt § 43 Abs. 4 BDSG einen Teil der Grundlage: Eine Meldung nach Art. 33 DSGVO oder eine Benachrichtigung nach Art. 34 Abs. 1 DSGVO darf in einem Verfahren nach dem Gesetz über Ordnungswidrigkeiten gegen den Meldepflichtigen oder seine in § 52 Abs. 1 der Strafprozessordnung bezeichneten Angehörigen nur mit dessen Zustimmung verwendet werden. Der Schutz gilt für das Ordnungswidrigkeitenverfahren, nicht allgemein für Strafverfahren.

Art. 34 DSGVO regelt die Benachrichtigung derjenigen Personen, deren personenbezogene Daten von einer Verletzung des Schutzes betroffen sind. Eine solche Benachrichtigung ist erforderlich, wenn die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten der Betroffenen mit sich bringt. Im Unterschied zu Art. 33 DSGVO gibt es hierfür keine 72-Stunden-Frist gegenüber den Betroffenen, die Benachrichtigung hat aber „unverzüglich“ zu erfolgen. Der zentrale Unterschied zwischen Art. 33 und Art. 34 liegt in der Risikoschwelle: Während für die Meldung an die Aufsichtsbehörde bereits ein Risiko ausreicht, ist die Benachrichtigung der Betroffenen bei Vorliegen eines hohen Risikos verpflichtend.

Art. 33 Abs. 5 verpflichtet Sie, jede Verletzung des Schutzes personenbezogener Daten zu dokumentieren, auch die nicht meldepflichtige. Das interne Vorfallsregister ist deshalb keine Best Practice, sondern Rechtspflicht. Den Unterschied macht im Übrigen die Vorarbeit: eine benannte Meldekette und das vorbereitete Meldeformular der zuständigen Landesbehörde. Beides lässt sich vorher herstellen. Die 72 Stunden nicht.

Datenübermittlung in Drittländer

Kapitel V der DSGVO, die Art. 44 bis 50, regelt Übermittlungen an Empfänger außerhalb der EU und des EWR. Vorausgesetzt ist dabei stets, dass die Verarbeitung schon nach Art. 6 rechtmäßig ist. Steht das fest, ist der erste Prüfschritt bei einem US-Dienstleister immer derselbe: liegt eine aktuelle Zertifizierung nach dem EU-US Data Privacy Framework vor? Rechtlich ist das ein Angemessenheitsbeschluss nach Art. 45 (Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023, ABl. L 231 vom 20.9.2023, S. 118), und er gilt nicht für US-Unternehmen allgemein, sondern ausschließlich für die, die sich tatsächlich zertifizieren ließen. Die Zertifizierung des konkreten Empfängers zu prüfen und die Prüfung zu dokumentieren ist deshalb Pflicht, nicht Sorgfalt.

Ohne DPF greift als zweiter Mechanismus Art. 46, in der Praxis nahezu ausschließlich die von der Kommission erlassenen Standarddatenschutzklauseln nach Abs. 2 lit. c (Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021). Lit. d betrifft Klauseln, die eine Aufsichtsbehörde annimmt und die Kommission genehmigt; sie spielen praktisch keine Rolle, eine echte Wahlmöglichkeit besteht insoweit also nicht. Und hier liegt der Punkt, den viele übersehen: Als der Europäische Gerichtshof den vorherigen Angemessenheitsbeschluss für ungültig erklärte (Schrems II, Urteil vom 16.7.2020, C-311/18), hat er verlangt, dass zu den Klauseln zusätzliche Maßnahmen treten, soweit diese allein kein gleichwertiges Schutzniveau sichern. Der Vertrag allein genügt nicht. Daraus ist die Transferfolgenabschätzung entstanden, in der Praxis Transfer Impact Assessment oder TIA.

Der inhaltlichen Bewertung vorgelagert ist ein formaler Schritt, der in der Praxis am häufigsten übersehen wird: die Wahl des richtigen Moduls. Die Klauseln kennen vier Module, abhängig von der Rolle der Parteien. Modul 1 gilt für die Übermittlung von Verantwortlichem an Verantwortlichen, Modul 2 von Verantwortlichem an Auftragsverarbeiter, Modul 3 von Auftragsverarbeiter an Auftragsverarbeiter und Modul 4 von Auftragsverarbeiter an Verantwortlichen. Gerade in Auftragsverarbeiter-zu-Auftragsverarbeiter-Konstellationen, für die Modul 3 gilt, wird regelmäßig Modul 2 verwendet. Das falsche Modul macht den Transfermechanismus angreifbar, weil die vereinbarten Pflichten nicht zur tatsächlichen Rollenverteilung passen.

In der Praxis haben sich vier Kernfragen für die Bewertung von Drittlandübermittlungen herausgebildet: Wie ist die Rechtslage im Empfängerland? Unter welchen Voraussetzungen können Behörden dort auf die personenbezogenen Daten zugreifen? Stehen betroffenen Personen wirksame Rechtsbehelfe zur Verfügung? Und welche technischen und organisatorischen Maßnahmen sichern die Verarbeitung zusätzlich ab? Eine dieser Fragen können Sie ohne Mitwirkung des Dienstleisters nicht beantworten: Ob es bereits behördliche Zugriffe auf die Daten eines Anbieters gegeben hat, weiß nur der Anbieter selbst. Größere Anbieter stellen dazu im besten Fall Transparenzberichte oder standardisierte Informationsblätter bereit.

Genau an dieser Stelle zeigt sich in Vertragsverhandlungen eine typische Schwäche. Der Verantwortliche fragt beim Auftragsverarbeiter nach, ob für die eingesetzten US-Subdienstleister eine TIA vorliegt, erhält ein „ja, liegt vor“ und behandelt den Punkt damit als abgeschlossen. Die TIA wird so zum Papiertiger: dokumentiert ist ihr Vorhandensein, nicht ihr Ergebnis. Ob die vier Kernfragen für den jeweiligen Subdienstleister tatsächlich beantwortet sind und welche Maßnahmen daraus abgeleitet wurden, bleibt offen. Sinnvoll ist es deshalb, sich die Bewertung selbst vorlegen zu lassen oder sie vertraglich einforderbar zu machen, statt nur ihre Existenz abzufragen. Die Verantwortung für die Bewertung der Übermittlung bleibt beim Verantwortlichen.

Ein verbreiteter Trugschluss betrifft das EU-Hosting. Die großen US-Anbieter haben europäische Tochtergesellschaften, und Sie schließen den Vertrag heute meist mit dieser Tochter statt mit der US-Mutter. Das ist ein echter Vorteil, beendet die Prüfung aber nicht: hinter der Tochter steht die Muttergesellschaft, und US-Recht kann Zugriffe auf Daten ermöglichen, die in der EU bei der Tochter verarbeitet werden. Ein europäischer Serverstandort und ein europäischer Vertragspartner sind zwei gute Argumente, kein Abschluss der Bewertung.

Zur Haltbarkeit des DPF: das Gericht der Europäischen Union hat die Klage auf Nichtigerklärung am 3. September 2025 abgewiesen (Latombe gegen Kommission, T-553/23). Gegen das Urteil ist am 31. Oktober 2025 Rechtsmittel eingelegt worden, das Verfahren ist unter C-703/25 P beim Europäischen Gerichtshof anhängig. Der Beschluss gilt also. Zwei Vorgänger sind allerdings vor dem Europäischen Gerichtshof gescheitert. Wer heute ausschließlich auf das DPF baut und keine Standarddatenschutzklauseln in der Schublade hat, plant ohne Rückfallebene.

Wer die DSGVO in Deutschland durchsetzt, und was Verstöße kosten

Für Ihr Unternehmen ist mit hoher Wahrscheinlichkeit nicht der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit zuständig. § 40 Abs. 1 BDSG weist die Aufsicht über nichtöffentliche Stellen den nach Landesrecht zuständigen Behörden zu. Der BfDI beaufsichtigt öffentliche Stellen des Bundes und, als Ausnahme im privaten Sektor, Anbieter von Telekommunikations- und Postdienstleistungen. Diese Ausnahme folgt nicht aus dem BDSG, sondern aus sektorspezifischen Zuweisungen: § 29 Abs. 1 TDDDG für die geschäftsmäßige Erbringung von Telekommunikationsdiensten und § 71 Abs. 1 PostG, der für das geschäftsmäßige Erbringen von Postdienstleistungen ausdrücklich an die Stelle der Aufsicht nach § 40 BDSG tritt. Für alles andere, etwa Beschäftigtendaten dieser Unternehmen, bleibt die Landesbehörde zuständig. Insgesamt gibt es 18 staatliche Datenschutzaufsichtsbehörden: eine auf Bundesebene und 17 auf Länderebene, weil Bayern den öffentlichen und den nichtöffentlichen Bereich getrennt beaufsichtigt und für nichtöffentliche Stellen das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) in Ansbach zuständig ist, nicht der Bayerische Landesbeauftragte für den Datenschutz, der den öffentlichen Bereich abdeckt. Die kirchlichen Datenschutzaufsichten und die Rundfunkdatenschutzbeauftragten sind in den 18 nicht enthalten, weil sie keine staatlichen Behörden sind. Koordiniert wird die Auslegung in der Datenschutzkonferenz.

Art. 83 kennt zwei Bußgeldstufen. Abs. 4 reicht bis 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes des Vorjahres und erfasst insbesondere die organisatorischen Pflichten, etwa Art. 25, Art. 28, Art. 30, Art. 32, Art. 33 und 34, Art. 35 sowie Art. 37 bis 39. Abs. 5 reicht bis 20 Mio. Euro oder 4 Prozent und erfasst insbesondere die materiellen Pflichten, etwa die Grundsätze des Art. 5, die Rechtsgrundlagen des Art. 6, die Einwilligung nach Art. 7, besondere Datenkategorien nach Art. 9, die Betroffenenrechte der Art. 12 bis 22 und die Drittlandtransfers der Art. 44 bis 49. Maßgeblich ist in beiden Stufen der höhere der beiden Werte. Bei Konzernzugehörigkeit bemisst sich der Umsatz nach dem unionsrechtlichen Unternehmensbegriff der Art. 101 und 102 AEUV, also nach der wirtschaftlichen Einheit; Erwägungsgrund 150 der DSGVO verweist dafür ausdrücklich auf diesen Begriff, beschränkt den Verweis aber auf die Bemessung der Geldbuße. Der Europäische Gerichtshof hat das bestätigt und klargestellt, dass der Begriff allein die Obergrenze betrifft und nicht die Frage, gegen wen und unter welchen Voraussetzungen ein Bußgeld verhängt werden darf (Urteil vom 5.12.2023, C-807/21). Adressat bleibt der Verantwortliche oder Auftragsverarbeiter; die Konzernmutter kann für die Zahlung mithaften.

Die fünf bekanntesten deutschen Bußgelder werden fast immer mit ihrem Ausgangsbetrag zitiert. Drei davon existieren in dieser Höhe nicht mehr.

Der Vodafone-Fall umfasst zwei getrennte Bußgelder: 15 Mio. Euro für die unzureichende Kontrolle von Partneragenturen nach Art. 28 Abs. 1 und 30 Mio. Euro für Authentifizierungsschwächen im Kundenportal nach Art. 32 Abs. 1. Grundlage ist die Pressemitteilung 6/2025 des BfDI vom 3. Juni 2025; dort hält die Behörde auch fest, dass die Geldbußen akzeptiert und vollständig an die Bundeskasse gezahlt wurden. Zusätzlich sprach der BfDI eine Verwarnung nach Art. 32 Abs. 1 wegen Sicherheitsmängeln in Vertriebssystemen aus.

Zwei Dinge daran gehen in der Bußgeld-Berichterstattung unter. Erstens ist die gerichtliche Korrektur nach unten der Normalfall, und die drei reduzierten Fälle landeten unabhängig voneinander bei 900.000 Euro. Zweitens, und das halten wir für relevanter: das OLG Celle hat den Betrag gegenüber der ersten Instanz wieder erhöht und ausdrücklich verworfen, dass die Neuheit der DSGVO 2019 und 2020 mildernd wirke. Acht Jahre nach Anwendbarkeit trägt dieses Argument nicht mehr.

Bei Deutsche Wohnen liegt der juristische Gehalt in der Vorgeschichte. Das Landgericht Berlin hatte den Bußgeldbescheid 2021 wegen gravierender Mängel für unwirksam gehalten und das Verfahren eingestellt. Das Kammergericht Berlin legte die dahinterliegende Frage dem Europäischen Gerichtshof vor: Darf ein Bußgeld gegen eine juristische Person überhaupt verhängt werden, ohne dass der Verstoß zuvor einer bestimmten natürlichen Person zugerechnet wird? Der Gerichtshof hat das 2023 bejaht und die unmittelbare Verbandshaftung bestätigt, zugleich aber klargestellt, dass ein Bußgeld nur bei vorsätzlichem oder fahrlässigem Verstoß des Verantwortlichen in Betracht kommt (Urteil vom 5.12.2023, C-807/21). Erst danach konnte in Berlin über die Höhe entschieden werden.

Vorsicht bei Gesamtzahlen: für Deutschland existiert keine vollständige, konsolidierte Bußgeldstatistik, die Behörden veröffentlichen nur einen Teil ihrer Verfahren. EU-weit weist der GDPR Enforcement Tracker Report der Kanzlei CMS in seiner siebten Ausgabe vom 21. Mai 2026 zum Redaktionsschluss 1. März 2026 2.685 Bußgelder mit vollständigen Angaben und rund 6,11 Mrd. Euro aus; die Datenbank erfasst insgesamt 3.062 Fälle, viele davon mit unvollständigen Informationen. Der laufend aktualisierte Online-Tracker weist inzwischen höhere Werte aus; die genannten Zahlen gelten nur für diesen Stichtag.

Die genannten Bußgelder betreffen große Unternehmen und besondere Sachverhalte. Für die Praxis mittelständischer Unternehmen ist zunächst eine andere Frage entscheidend: Welcher organisatorische und finanzielle Aufwand entsteht, um die laufenden Datenschutzpflichten tatsächlich zu erfüllen?

Beispiel aus dem Mittelstand: Ein B2B-SaaS-Anbieter mit rund 60 Beschäftigten verarbeitet personenbezogene Daten in etwa 14 Systemen, darunter im CRM, im Support und im Recruiting. Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO umfasst 38 Verarbeitungstätigkeiten, drei davon mit Übermittlungen in die USA. Aufgrund der konkreten Verarbeitungstätigkeiten und der Beschäftigtenzahl ist außerdem ein Datenschutzbeauftragter zu benennen. Für die externe Betreuung eines Unternehmens dieser Größe liegen die am Markt veröffentlichten Preise typischerweise bei etwa 350 bis 800 Euro pro Monat, zuzüglich eines einmaligen Erstaudits. Die niedrigeren Einstiegspreise beziehen sich auf Unternehmen mit weniger als 20 Beschäftigten. Die eigentliche laufende Arbeit besteht jedoch nicht nur in der Benennung: Neue Tools müssen geprüft, Verarbeitungstätigkeiten im Verzeichnis ergänzt und Änderungen bei Dienstleistern, Datenflüssen und TOMs dokumentiert werden. Bei jeder neuen Software und bei personellen Veränderungen entsteht deshalb zusätzlicher Prüf- und Pflegeaufwand. Die Spannen im Detail stehen in unserer Übersicht zu den Kosten eines externen Datenschutzbeauftragten.

Was sich 2026 ändert, und was nur geplant ist

Die Unterscheidung zwischen geltendem Recht und Gesetzgebungsvorhaben ist gerade bei der DSGVO wichtig, weil mehrere Vorschläge zeitlich dicht beieinander liegen und aus denselben Vereinfachungspaketen stammen.

Rechnen Sie für die Planung mit dem geltenden Stand. Die Ausweitung der Ausnahme nach Art. 30 Abs. 5 wäre für Unternehmen oberhalb der heutigen Schwelle von 250 Beschäftigten eine Entlastung, greift aber ohnehin nicht bei riskanter Verarbeitung oder besonderen Datenkategorien. Ein Verzeichnis brauchen Sie in beiden Szenarien; im Vorfallsfall ist es die Grundlage der Meldung nach Art. 33.

Die praktisch wichtigste offene Frage steht in keiner dieser Zeilen, weil sie kein Gesetzgebungsvorhaben ist: ob Kundendaten in ein bestimmtes KI-Modell dürfen. Die Antwort ist kein Bauchgefühl, sondern ein Prüfpfad aus mehreren Punkten, von der Rolle des Anbieters als Auftragsverarbeiter über die verifizierte Zusage, dass Eingaben nicht ins Training fließen, bis zu Zero Data Retention und EU-Hosting. Diesen Weg behandeln wir gesondert.

Die DSGVO steht außerdem selten allein. Wer ISO 27001 anstrebt, deckt mit den Maßnahmen aus Anhang A einen erheblichen Teil der technischen Anforderungen des Art. 32 gleich mit ab, weil Zugriffskontrolle, Verschlüsselung und Protokollierung in beiden Rahmenwerken dieselben Nachweise erzeugen. Was sich nicht übertragen lässt, ist die Risikologik: ein ISMS bewertet Risiken für das Unternehmen, und die darf das Unternehmen tragen; die DSGVO bewertet Risiken für andere Menschen, und die dürfen Sie nicht tragen. Wie sich beide Rahmenwerke auf einer Datenbasis führen lassen, ohne diese Grenze zu verwischen, beschreiben wir im Beitrag zu DSGVO und ISO 27001 auf einer Plattform.

Der vollständige Weg zum Zertifikat steht in unserem Leitfaden zur ISO 27001 Zertifizierung.

Für Unternehmen in regulierten Sektoren gelten seit dem 6. Dezember 2025 über das BSIG, mit dem die NIS2-Richtlinie umgesetzt wurde, zusätzliche Meldepflichten. Sie laufen parallel zu Art. 33 DSGVO und werden durch ihn nicht erfüllt; die Fristen weichen ab.

Wie Kertos DSGVO-Compliance umsetzt

Kertos verbindet eine Plattform für das Datenschutzmanagement mit zertifizierten Experten, die die Umsetzung mit übernehmen. Das Datenschutzmanagementsystem führt das Verzeichnis von Verarbeitungstätigkeiten, die technischen und organisatorischen Maßnahmen sowie die Auftragsverarbeitungsverträge an einer Stelle und leitet Änderungen aus den angebundenen Systemen ab, statt sie einmal jährlich abzufragen.

Der Bereich, in dem sich Automatisierung am deutlichsten rechnet, sind die Betroffenenanfragen. Sie laufen über einen definierten Prozess mit Identitätsprüfung, systemübergreifender Datensammlung und Fristenkontrolle nach Art. 12; über eine halbe Million Anfragen sind darüber bereits abgewickelt worden. Wie das funktioniert, zeigt die Seite zu Betroffenenanfragen.

Wo intern niemand die Rolle übernehmen kann, stellt Kertos einen externen Datenschutzbeauftragten. Rechtlich ist die externe Benennung der internen gleichwertig, ein Unterschied bleibt aber: ein Externer hat keinen Zugriff auf Ihre Systeme und erfährt von einem neuen Tool oder Feature nur, wenn es ihm gesagt wird. Wird er erst eingebunden, wenn das Produkt technisch fertig ist, bleibt ihm die Anmerkung statt der Gestaltung, und nachträgliche Änderungen sind teurer als eine halbe Stunde in der Ideenphase.

Welche Funktionen eine Lösung abdecken sollte und wo Software an ihre Grenzen kommt, steht in der Übersicht zu Datenschutz-Software.

Die Abdeckung der einzelnen DSGVO-Pflichten finden Sie unter DSGVO mit Kertos.

Wenn Sie wissen möchten, wie viel Ihrer Dokumentationslast sich in Ihrem Setup automatisieren lässt, buchen Sie ein Gespräch.

Häufig gestellte Fragen

Wo gilt die DSGVO?

Die DSGVO gilt in allen 27 EU-Mitgliedstaaten und über das EWR-Abkommen zusätzlich in Norwegen, Island und Liechtenstein. Nach dem Marktortprinzip in Art. 3 erfasst sie darüber hinaus Unternehmen ohne Niederlassung in der EU, wenn diese Personen in der Union Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten.

Was sind personenbezogene Daten nach der DSGVO?

Nach Art. 4 Nr. 1 sind das alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören Name, Adresse und Geburtsdatum, aber auch IP-Adressen, Cookie-IDs, Standortdaten und Personalnummern. Entscheidend ist, ob sich eine Person daraus mit verfügbaren Mitteln herausfiltern lässt, notfalls durch Kombination mehrerer Angaben.

Wann trat die DSGVO in Kraft?

Am 24. Mai 2016, zwanzig Tage nach der Veröffentlichung im Amtsblatt der EU. Anwendbar ist sie seit dem 25. Mai 2018, nach der zweijährigen Übergangsfrist des Art. 99. Das oft genannte Datum 25. Mai 2018 bezeichnet also den Beginn der Anwendbarkeit, nicht das Inkrafttreten.

Wie hoch ist das Bußgeld bei einem Verstoß gegen die DSGVO?

Art. 83 sieht zwei Stufen vor: bis 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes für Organisations- und Dokumentationspflichten, bis 20 Mio. Euro oder 4 Prozent für Verstöße gegen die Grundsätze, die Betroffenenrechte oder die Regeln zum Drittlandtransfer. Maßgeblich ist der höhere Betrag. Das höchste in Deutschland verhängte Bußgeld sind 45 Mio. Euro gegen die Vodafone GmbH aus dem Juni 2025.

Was bedeutet DSGVO-konform?

DSGVO-konform zu arbeiten bedeutet im Kern, dass Ihre Verarbeitungen personenbezogener Daten auf einer passenden Rechtsgrundlage nach Art. 6 DSGVO beruhen, die Grundsätze des Art. 5 DSGVO beachten und Sie dies im Streitfall belegen können. Zentrale Bausteine für diesen Nachweis sind insbesondere ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30, dokumentierte technische und organisatorische Maßnahmen nach Art. 32 sowie Auftragsverarbeitungsverträge nach Art. 28. Fehlen diese Nachweise, lässt sich die Einhaltung der DSGVO gegenüber einer Aufsichtsbehörde nur eingeschränkt belegen, selbst wenn die Verarbeitung im Ergebnis rechtmäßig sein kann.

‍