Neue Datenschutzverordnung: Was Unternehmen und Verbraucher wissen sollten

Die Suche nach einer „neuen Datenschutzverordnung“ wirft häufig Fragen auf: Gibt es neue Regeln für personenbezogene Daten? Müssen Unternehmen ihre Datenschutzerklärung ändern? Und welche Rechte haben Verbraucher? Entscheidend ist die Unterscheidung zwischen der bestehenden Datenschutz-Grundverordnung, ergänzenden Gesetzen und neuen Anforderungen durch technische Entwicklungen.

Welche Datenschutzverordnung gilt in Deutschland?

Die zentrale Grundlage für den Datenschutz ist weiterhin die europäische Datenschutz-Grundverordnung, kurz DSGVO. Sie gilt seit dem 25. Mai 2018 und regelt, unter welchen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen. Dazu zählen beispielsweise Namen, E-Mail-Adressen, Standortinformationen und unter bestimmten Umständen auch IP-Adressen.

In Deutschland wird die DSGVO unter anderem durch das Bundesdatenschutzgesetz (BDSG) ergänzt. Für den Zugriff auf Informationen auf Endgeräten, etwa beim Einsatz von Cookies, ist außerdem das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) relevant. Je nach Branche können weitere Vorschriften hinzukommen.

Die Bezeichnung „neue Datenschutzverordnung“ bedeutet daher nicht automatisch, dass die DSGVO ersetzt wurde. Häufig geht es um ergänzende Regelungen, Gerichtsurteile oder konkretisierte Anforderungen der Datenschutzaufsichtsbehörden.

Die wichtigsten Grundsätze der DSGVO

Wer personenbezogene Daten verarbeitet, muss mehrere grundlegende Anforderungen beachten:

• Rechtmäßigkeit: Jede Verarbeitung benötigt eine geeignete Rechtsgrundlage, beispielsweise einen Vertrag, eine gesetzliche Verpflichtung oder eine wirksame Einwilligung.
• Transparenz: Betroffene müssen verständlich erfahren, welche Daten zu welchen Zwecken verarbeitet werden.
• Zweckbindung: Daten dürfen grundsätzlich nur für festgelegte und legitime Zwecke verwendet werden.
• Datenminimierung: Es dürfen nur diejenigen Daten verarbeitet werden, die für den jeweiligen Zweck erforderlich sind.
• Speicherbegrenzung: Personenbezogene Daten dürfen nicht ohne sachlichen oder rechtlichen Grund unbegrenzt gespeichert werden.
• Sicherheit: Geeignete technische und organisatorische Maßnahmen müssen die Daten schützen.

Unternehmen müssen die Einhaltung dieser Grundsätze außerdem nachweisen können. Datenschutz besteht deshalb nicht allein aus einer Datenschutzerklärung, sondern auch aus dokumentierten und tatsächlich umgesetzten Prozessen.

Welche Rechte haben Verbraucher?

Die DSGVO gibt betroffenen Personen verschiedene Rechte. Dazu gehören insbesondere Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung. Unter bestimmten Voraussetzungen bestehen außerdem Rechte auf Datenübertragbarkeit und Widerspruch.

Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Wer einen Datenschutzverstoß vermutet, kann sich bei einer zuständigen Datenschutzaufsichtsbehörde beschweren.

Anfragen zur Ausübung dieser Rechte sind grundsätzlich innerhalb eines Monats zu beantworten. Bei komplexen oder zahlreichen Anträgen kann die Frist unter den gesetzlichen Voraussetzungen verlängert werden.

Was müssen Websitebetreiber bei Cookies beachten?

Für das Speichern von Informationen auf einem Endgerät oder den Zugriff darauf ist nach dem TDDDG grundsätzlich eine Einwilligung erforderlich. Ausnahmen gelten unter anderem, wenn der Vorgang unbedingt notwendig ist, um einen ausdrücklich gewünschten digitalen Dienst bereitzustellen.

Viele Analyse- und Marketingtechnologien benötigen deshalb eine vorherige Einwilligung. Soweit dabei personenbezogene Daten verarbeitet werden, müssen zusätzlich die Anforderungen der DSGVO erfüllt sein. Ein Cookie-Banner allein gewährleistet noch keine Rechtskonformität: Entscheidend sind auch die tatsächlichen Datenflüsse und die technische Umsetzung.

Warum Cloud-Dienste und künstliche Intelligenz neue Prüfungen erfordern

Neue Technologien verändern nicht automatisch die datenschutzrechtlichen Grundregeln, schaffen aber zusätzliche Risiken. Vor dem Einsatz von Cloud-Diensten oder KI-Anwendungen sollten Unternehmen prüfen, welche personenbezogenen Daten verarbeitet werden, welche Anbieter Zugriff erhalten und ob Daten in Länder außerhalb des Europäischen Wirtschaftsraums übermittelt werden.

Je nach Konstellation sind ein Auftragsverarbeitungsvertrag, geeignete Garantien für internationale Datenübermittlungen oder eine Datenschutz-Folgenabschätzung erforderlich. Die europäische KI-Verordnung ersetzt die DSGVO nicht; beide Regelwerke können nebeneinander anwendbar sein.

Praktische Schritte für Unternehmen

1. Datenverarbeitungen, Zwecke und Rechtsgrundlagen erfassen.
2. Datenschutzhinweise mit den tatsächlichen Abläufen abgleichen.
3. Einwilligungsmechanismen und eingesetzte Trackingdienste überprüfen.
4. Verträge mit Dienstleistern sowie internationale Datenübermittlungen prüfen.
5. Löschfristen, Zugriffsrechte und Sicherheitsmaßnahmen festlegen.
6. Beschäftigte schulen und Verfahren für Betroffenenanfragen sowie Datenschutzverletzungen einrichten.

Fazit: Datenschutz bleibt eine laufende Aufgabe

Hinter dem Begriff „neue Datenschutzverordnung“ stehen häufig Veränderungen im Umfeld der DSGVO statt einer vollständig neuen Rechtsgrundlage. Für Unternehmen kommt es darauf an, rechtliche Entwicklungen zu verfolgen und Datenschutzmaßnahmen regelmäßig an die eingesetzten Technologien anzupassen. Verbraucher profitieren vor allem von transparenten Informationen und wirksam durchsetzbaren Rechten.

Hinweis: Dieser Artikel bietet allgemeine Informationen und ersetzt keine individuelle Rechtsberatung. Für konkrete Entscheidungen sollten die jeweils geltenden Vorschriften und aktuellen behördlichen Hinweise geprüft werden.