DSGVO
Auch: General Data Protection Regulation, Regulation (EU) 2016/679, Règlement Général sur la Protection des Données, RGPD, Datenschutz-Grundverordnung, DSGVO, EU Data Protection Regulation
EU-Verordnung zur Erhebung, Speicherung und Nutzung personenbezogener Daten, mit Bußgeldern, die am weltweiten Umsatz bemessen werden.
Was es ist
Die DSGVO (Datenschutz-Grundverordnung) ist das Gesetz der Europäischen Union, das die Regeln für den Umgang mit personenbezogenen Daten von Personen in der EU festlegt. Sie gilt für jede Organisation, die Daten von EU-Bürgern verarbeitet, unabhängig davon, wo diese Organisation ansässig ist. Ein US-Unternehmen, das an französische Kunden verkauft, ist daran gebunden. Personenbezogene Daten sind alles, was eine Person identifizieren kann: Name, E-Mail, IP-Adresse, Standort, Kaufhistorie, sogar eine Cookie-ID.
Warum es wichtig ist
Die DSGVO sieht Strafen vor, die groß genug sind, um den CFO aufmerksam zu machen: Bußgelder können einen Prozentsatz des weltweiten Jahresumsatzes erreichen, nicht nur des lokalen Umsatzes. Ein einziger Compliance-Verstoß kann eine gewöhnliche Marketingkampagne in ein finanzielles und reputationsbezogenes Risiko auf Vorstandsebene verwandeln. Über Bußgelder hinaus bestimmt sie, was Ihre Teams tatsächlich tun dürfen. Ein CMO, der eine externe Zielgruppenliste kaufen möchte, ein CDO, der eine Kundendatenplattform aufbaut, oder ein KI-Verantwortlicher, der ein Modell auf Kundendaten trainiert, stoßen alle auf dieselbe Frage: Haben wir eine Rechtsgrundlage, um diese Daten zu nutzen? Eine schlecht eingeholte Einwilligung oder zu lange gespeicherte Daten werden zur Belastung statt zum Vermögenswert.
Wie es funktioniert
Die DSGVO beruht auf einigen Kernmechanismen. Sie benötigen eine Rechtsgrundlage für jede Nutzung personenbezogener Daten, meist Einwilligung oder berechtigtes Interesse, und Sie müssen dies nachweisen können. Betroffene haben Rechte: Zugang zu ihren Daten, Berichtigung, Löschung („Recht auf Vergessenwerden") und Widerspruch gegen Profiling. In der Praxis begegnet eine Führungskraft der DSGVO bei der Freigabe eines neuen Tools. Beispiel: Ihr Team möchte das CRM mit einem externen Datenanbieter anreichern. Die Rechtsabteilung wird fragen, woher die Einwilligung stammt, wie lange Datensätze aufbewahrt werden und ob eine Datenschutz-Folgenabschätzung erforderlich ist. Bei einer Datenpanne haben Sie in der Regel ein enges Zeitfenster (72 Stunden), um die Aufsichtsbehörde zu benachrichtigen. Einwilligungserfassung, Aufbewahrungsgrenzen und Löschprozesse von Anfang an einzubauen ist weit günstiger, als sie nach einer Prüfung nachzurüsten.
Häufige Fragen
Was ist die DSGVO und für wen gilt sie?
Die DSGVO (Datenschutz-Grundverordnung, englisch GDPR) ist das EU-Gesetz, das regelt, wie Organisationen personenbezogene Daten von Personen in der EU erheben, speichern und nutzen. Maßgeblich ist, wessen Daten Sie verarbeiten, und nicht, wo Ihr Unternehmen sitzt: Ein US-Unternehmen, das an französische Kunden verkauft, fällt darunter. Personenbezogene Daten sind alles, was eine Person identifiziert, vom Namen oder der E-Mail-Adresse bis zur IP-Adresse oder Cookie-ID.
Warum betrifft die DSGVO die Geschäftsführung und nicht nur die Rechtsabteilung?
Weil die Bußgelder als Prozentsatz des weltweiten Jahresumsatzes berechnet werden und nicht auf Basis des lokalen Umsatzes. Ein Compliance-Verstoß ist damit ein Thema für den Vorstand und keine Akte in der Rechtsabteilung. Die DSGVO schränkt außerdem ein, was Teams konkret tun können: Der Kauf einer Zielgruppenliste von Drittanbietern, der Aufbau einer Customer Data Platform oder das Training eines Modells auf Kundendaten werfen alle dieselbe Frage nach der Rechtsgrundlage auf. Schlecht eingeholte Einwilligungen machen aus einem Daten-Asset eine Haftungsquelle.
Was bedeutet „Rechtsgrundlage“ im Sinne der DSGVO?
Die Rechtsgrundlage ist die rechtliche Begründung, die die DSGVO für jede Nutzung personenbezogener Daten verlangt, meist die Einwilligung oder das berechtigte Interesse. Sie brauchen eine für jeden Verarbeitungszweck und müssen sie nachweisen können, wenn eine Aufsichtsbehörde danach fragt. Daten, die für einen Zweck erhoben wurden, ohne Prüfung der Rechtsgrundlage in einem anderen Kontext weiterzuverwenden, ist ein häufiger Fehler.
Welche Rechte haben Personen nach der DSGVO über ihre Daten?
Nach der DSGVO können Personen Auskunft über die zu ihnen gespeicherten Daten verlangen, sie berichtigen lassen, ihre Löschung beantragen (das „Recht auf Vergessenwerden“) und dem Profiling widersprechen. Diese Rechte sind operativ und nicht theoretisch: Ihre Systeme brauchen Workflows, die die Datensätze einer Person tatsächlich finden, exportieren und löschen können. Eine Löschfunktion nach einem Audit nachträglich in den Data Stack einzubauen, kostet weit mehr, als sie von Anfang an mitzudenken.
Wie viel Zeit haben Sie nach der DSGVO, um eine Datenpanne zu melden?
Die DSGVO gibt Ihnen ein enges Zeitfenster, in der Regel 72 Stunden, um die Aufsichtsbehörde nach einer Verletzung des Schutzes personenbezogener Daten zu informieren. Diese Frist setzt voraus, dass Erkennungs- und Eskalationswege bereits existieren. Deshalb ist die Reaktion auf Datenpannen zuerst eine Prozessfrage und dann eine rechtliche. Teams, die eine Panne spät entdecken, haben den Großteil der Zeit bereits verbraucht.