Was ist die DSGVO? Ein verständlicher Leitfaden zum EU-Datenschutzrecht

Die Datenschutz-Grundverordnung (DSGVO) ist das umfassende Gesetz der Europäischen Union zur Verarbeitung personenbezogener Daten. Sie ist seit dem 25. Mai 2018 durchsetzbar und gilt für jede Organisation, unabhängig von ihrem Sitz, die Personen in der EU Waren oder Dienstleistungen anbietet oder deren Verhalten beobachtet. Die Verordnung legt sieben Grundsätze für den Umgang mit personenbezogenen Daten fest, sechs Rechtsgrundlagen für deren Verarbeitung sowie eine Reihe von Rechten, die Einzelpersonen gegenüber den Organisationen geltend machen können, die ihre Daten halten. Organisationen müssen personenbezogene Daten schützen, meldepflichtige Datenschutzverletzungen innerhalb von 72 Stunden an eine Aufsichtsbehörde melden und sich auf einen gültigen Mechanismus stützen, bevor sie Daten aus der EU und dem Europäischen Wirtschaftsraum (EWR) heraus übermitteln. Die Bußgelder betragen bis zu €20 Millionen oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Für Organisationen, die personenbezogene Daten mit Kunden, Partnern und Behörden austauschen, hängt die Compliance davon ab, den Versand, die Freigabe und den Zugriff auf diese Daten zu kontrollieren. Kiteworks bietet die Control Plane für den sicheren Datenaustausch, mit der Organisationen Verschlüsselung, Zugriffskontrolle und Audit-Protokollierung über E-Mail, Dateifreigabe und APIs hinweg umsetzen können.

Diese Seite bietet allgemeine Informationen und keine Rechtsberatung. Wenn Sie wissen möchten, wie die DSGVO auf Ihre Organisation anzuwenden ist, wenden Sie sich an Ihre Rechts- oder Datenschutzabteilung.

Wichtigste Erkenntnisse

1. Die DSGVO endet nicht an Landesgrenzen

Die DSGVO folgt der betroffenen Person, nicht der Adresse des Unternehmens. Eine US-Organisation ohne Büro in der EU fällt unter die Verordnung, wenn sie Personen in der EU Waren oder Dienstleistungen anbietet oder deren Verhalten beobachtet, zum Beispiel durch Website-Analysen oder Werbe-Tracking.

2. Jede Verwendung personenbezogener Daten braucht eine Rechtsgrundlage

Die Einwilligung ist nur eine von sechs Rechtsgrundlagen und oft nicht die passendste. Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe und berechtigte Interessen sind die übrigen fünf. Die passende Rechtsgrundlage vor Beginn der Verarbeitung auszuwählen und zu dokumentieren, ist eine zentrale Anforderung der Rechenschaftspflicht.

3. Einzelpersonen haben durchsetzbare Rechte, und die Antwortfrist ist kurz

Die meisten Anfragen betroffener Personen müssen innerhalb eines Monats beantwortet werden. Bei komplexen oder zahlreichen Anfragen kann diese Frist um zwei weitere Monate verlängert werden, jedoch nur, wenn die betroffene Person innerhalb des ersten Monats informiert wird.

4. Sicherheit und Reaktion auf Datenpannen sind ausdrückliche gesetzliche Pflichten

Die DSGVO verlangt geeignete technische und organisatorische Maßnahmen und setzt für die Meldung von Datenschutzverletzungen eine Frist von 72 Stunden. Verschlüsselung, Zugriffskontrolle und Audit-Protokolle sind die Kontrollen, nach denen Aufsichtsbehörden nach einem Vorfall am häufigsten fragen.

5. Internationale Datenübermittlungen brauchen einen gültigen Mechanismus

Personenbezogene Daten dürfen die EU und den EWR nur auf Grundlage eines Angemessenheitsbeschlusses, geeigneter Garantien oder einer eng gefassten Ausnahme verlassen. Die Regeln für Übermittlungen haben sich durch Gerichtsurteile mehrfach geändert. Organisationen sollten daher ihren Mechanismus und eine Ausweichlösung dokumentieren.

Was ist die DSGVO, und wen schützt sie?

Die DSGVO (Verordnung (EU) 2016/679) hat die Datenschutzrichtlinie von 1995 abgelöst und der EU ein einheitliches Regelwerk zum Datenschutz gegeben, das in jedem Mitgliedstaat unmittelbar gilt. Sie schützt die personenbezogenen Daten von Personen in der EU und im weiteren EWR und gibt diesen Personen Kontrolle darüber, wie Organisationen ihre Daten erheben, verwenden, weitergeben und speichern.

Die Mitgliedstaaten behalten einen gewissen Spielraum für ergänzende nationale Regelungen. Deshalb müssen Organisationen häufig auch Gesetze wie das Bundesdatenschutzgesetz (BDSG) und das französische Datenschutzgesetz berücksichtigen. E-Mail-Marketing und Cookies werden gesondert durch die ePrivacy-Vorschriften geregelt, die in unserem Leitfaden zu den Privacy and Electronic Communications Regulations beschrieben sind.

Wer muss die DSGVO einhalten?

Art. 3 DSGVO legt den Anwendungsbereich fest. Die DSGVO gilt für Organisationen mit Niederlassung in der EU. Sie gilt ebenso für Organisationen außerhalb der EU, die Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten dort beobachten. Für den ersten Test ist keine Bezahlung erforderlich, sodass auch eine kostenlose App, die sich an Nutzer in der EU richtet, erfasst wird.

Die Verordnung weist Pflichten nach Rolle zu:

• Verantwortliche entscheiden über die Zwecke und Mittel der Verarbeitung personenbezogener Daten. Sie tragen die Hauptlast der Compliance.
• Auftragsverarbeiter verarbeiten personenbezogene Daten im Auftrag eines Verantwortlichen, etwa ein Cloud-Anbieter oder ein Lohnabrechnungsdienst. Sie müssen dokumentierten Weisungen folgen und haben eigene Pflichten zu Sicherheit und Verzeichnisführung.

US-Organisationen finden in unserem Leitfaden für US-Unternehmen, die EU-Daten verarbeiten, praktische Schritte zur Bestimmung des Anwendungsbereichs und zur Datensouveränität.

Was zählt nach der DSGVO als personenbezogene Daten?

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen (Art. 4 DSGVO). Dazu gehören offensichtliche Kennungen wie Namen und E-Mail-Adressen sowie weniger offensichtliche wie IP-Adressen, Gerätekennungen, Standortdaten und Online-Kennungen. Pseudonymisierte Daten bleiben personenbezogene Daten, weil sie wieder einer Person zugeordnet werden können. Unser Eintrag zu PII und PHI erklärt, wie sich die US-Konzepte unterscheiden.

Art. 9 DSGVO ergänzt besondere Kategorien, die einen stärkeren Schutz genießen: rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, die Gewerkschaftszugehörigkeit, genetische und biometrische Daten zur Identifizierung, Gesundheitsdaten sowie Daten zum Sexualleben oder zur sexuellen Orientierung. Die Verarbeitung dieser Kategorien ist untersagt, sofern nicht eine besondere Bedingung erfüllt ist, etwa eine ausdrückliche Einwilligung.

Welche sieben Grundsätze enthält die DSGVO?

Art. 5 DSGVO legt die Grundsätze fest, die jede Verarbeitungstätigkeit erfüllen muss:

1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz: Daten rechtmäßig verarbeiten und die Menschen darüber informieren, was Sie tun.
2. Zweckbindung: Daten für festgelegte Zwecke erheben und nicht in unvereinbarer Weise verwenden.
3. Datenminimierung: nur das erheben, was angemessen, erheblich und notwendig ist. Lesen Sie dazu unseren Leitfaden zur Datenminimierung.
4. Richtigkeit: personenbezogene Daten sachlich richtig halten und unrichtige Daten unverzüglich berichtigen oder löschen.
5. Speicherbegrenzung: identifizierbare Daten nicht länger als notwendig aufbewahren.
6. Integrität und Vertraulichkeit: Daten vor unbefugtem Zugriff, Verlust oder Schäden schützen.
7. Rechenschaftspflicht: die Einhaltung aller genannten Grundsätze nachweisen können.

Welche sechs Rechtsgrundlagen für die Verarbeitung gibt es?

Art. 6 DSGVO verlangt für jeden Verarbeitungszweck mindestens eine Rechtsgrundlage:

• Einwilligung: Die betroffene Person hat dem konkreten Zweck zugestimmt.
• Vertrag: Die Verarbeitung ist erforderlich, um einen Vertrag mit der betroffenen Person zu erfüllen oder abzuschließen.
• Rechtliche Verpflichtung: Die Verarbeitung ist zur Einhaltung gesetzlicher Vorgaben erforderlich.
• Lebenswichtige Interessen: Die Verarbeitung ist erforderlich, um das Leben einer Person zu schützen.
• Öffentliche Aufgabe: Die Verarbeitung ist für eine Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich.
• Berechtigte Interessen: Die Verarbeitung ist zur Wahrung der berechtigten Interessen der Organisation oder eines Dritten erforderlich, sofern nicht die Rechte der betroffenen Person überwiegen.

Welche Anforderungen stellt die DSGVO an die Einwilligung?

Eine wirksame Einwilligung muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erteilt werden und setzt eine eindeutige bestätigende Handlung voraus. Vorangekreuzte Kästchen genügen nicht. Betroffene Personen müssen ihre Einwilligung so einfach widerrufen können, wie sie sie erteilt haben, und Organisationen müssen nachweisen können, dass die Einwilligung eingeholt wurde (Art. 7 DSGVO). Für Online-Dienste, die sich direkt an Kinder richten, legt Art. 8 DSGVO das Alter für die digitale Einwilligung standardmäßig auf 16 Jahre fest. Die Mitgliedstaaten dürfen es auf nicht weniger als 13 Jahre absenken.

Welche Rechte haben Einzelpersonen nach der DSGVO?

Art. 12 bis 22 DSGVO geben Einzelpersonen die folgenden Rechte an ihren personenbezogenen Daten:

1. Das Recht auf Information über die Erhebung und Verwendung ihrer Daten.
2. Das Auskunftsrecht über ihre Daten und darüber, wie diese verarbeitet werden.
3. Das Recht auf Berichtigung unrichtiger oder unvollständiger Daten.
4. Das Recht auf Löschung, oft „Recht auf Vergessenwerden“ genannt, unter bestimmten Voraussetzungen.
5. Das Recht auf Einschränkung der Verarbeitung in bestimmten Situationen.
6. Das Recht auf Datenübertragbarkeit, das es Einzelpersonen ermöglicht, ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
7. Das Widerspruchsrecht gegen die Verarbeitung, einschließlich Direktwerbung und Verarbeitung auf Grundlage berechtigter Interessen.
8. Rechte im Zusammenhang mit automatisierten Entscheidungen und Profiling, einschließlich des Rechts, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

Einzelpersonen haben zudem das Recht, bei einer Aufsichtsbehörde Beschwerde einzulegen (Art. 77 DSGVO) und Schadenersatz für erlittene Schäden zu verlangen (Art. 82 DSGVO). Organisationen müssen Anfragen unverzüglich und spätestens innerhalb eines Monats nach Eingang beantworten. Art. 12 Abs. 3 DSGVO erlaubt bei komplexen oder zahlreichen Anfragen eine Verlängerung um zwei weitere Monate, sofern die betroffene Person innerhalb des ersten Monats informiert wird. Die Bearbeitung von Anfragen ist deutlich einfacher, wenn Audit-Protokolle zeigen, wo personenbezogene Daten gespeichert sind und wer darauf zugegriffen hat. Lesen Sie dazu unseren Leitfaden zu Audit-Protokollen.

Was verlangt die DSGVO von Organisationen?

Über die Grundsätze und Rechte hinaus legt die DSGVO konkrete operative Pflichten fest:

• Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO): Datenschutzkontrollen in Systeme einbauen und die Verarbeitung auf das beschränken, was der jeweilige Zweck erfordert.
• Verträge mit Auftragsverarbeitern (Art. 28 DSGVO): schriftliche Vereinbarungen verwenden, die Auftragsverarbeiter an dokumentierte Weisungen und Sicherheitsmaßnahmen binden.
• Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO): ein Verzeichnis der Verarbeitungstätigkeiten führen, mit begrenzten Ausnahmen für kleinere Organisationen.
• Sicherheit der Verarbeitung (Art. 32 DSGVO): geeignete technische und organisatorische Maßnahmen ergreifen, die Verschlüsselung, Pseudonymisierung, Zugriffskontrolle und regelmäßige Tests umfassen können.
• Meldung von Datenschutzverletzungen (Art. 33 und 34 DSGVO): die Aufsichtsbehörde unverzüglich und, wenn möglich, innerhalb von 72 Stunden nach Bekanntwerden einer Verletzung benachrichtigen, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für Einzelpersonen. Betroffene Personen sind bei einem hohen Risiko unverzüglich zu benachrichtigen.
• Datenschutz-Folgenabschätzungen (Art. 35 DSGVO): Verarbeitungen mit hohem Risiko vor Beginn bewerten. Lesen Sie dazu unseren Leitfaden zur Datenschutz-Folgenabschätzung.
• Datenschutzbeauftragter (Art. 37 bis 39 DSGVO): einen Datenschutzbeauftragten benennen, wenn Sie eine Behörde sind oder wenn Ihre Kerntätigkeit in der umfangreichen regelmäßigen Überwachung oder der umfangreichen Verarbeitung besonderer Kategorien besteht.

Wie funktionieren die DSGVO-Regeln für internationale Datenübermittlungen?

Kapitel V (Art. 44 bis 50 DSGVO) beschränkt die Übermittlung personenbezogener Daten in Länder außerhalb der EU und des EWR. Eine Übermittlung ist nur auf einem dieser Wege zulässig:

• Ein Angemessenheitsbeschluss der Europäischen Kommission, der feststellt, dass ein Land oder ein Rahmenwerk einen im Wesentlichen gleichwertigen Schutz bietet.
• Geeignete Garantien, am häufigsten Standardvertragsklauseln (Standard Contractual Clauses, SCCs) oder verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, BCRs), in der Regel kombiniert mit einer Transfer-Folgenabschätzung.
• Eine Ausnahmeregelung, etwa die ausdrückliche Einwilligung für eine bestimmte Übermittlung, die Aufsichtsbehörden eng auslegen.

Der Gerichtshof hat den EU-US-Privacy-Shield im Jahr 2020 für ungültig erklärt (Schrems-II-Urteil). Deshalb sollten sich Organisationen nicht mehr darauf stützen. Unsere Leitfäden zur Transfer-Folgenabschätzung und zu den Risiken grenzüberschreitender Datenübermittlungen erklären, wie Sie einen Mechanismus dokumentieren. Der Beitrag zum CLOUD Act und europäischen Datenschutz behandelt den Konflikt zwischen US-Zugriffsgesetzen und EU-Recht. Zum Speicherort von Daten lesen Sie DSGVO-Anforderungen an die Datenresidenz.

Wie wirkt sich die DSGVO auf US-Unternehmen aus?

Jedes US-Unternehmen, das an Personen in der EU verkauft, sie bewirbt oder ihr Verhalten verfolgt, sollte davon ausgehen, dass die DSGVO gilt, und eine kurze Liste von Maßnahmen abarbeiten:

1. Erfassen Sie, wo EU-Personendaten in Ihre Systeme gelangen, wie sie sich darin bewegen und wo sie die Systeme wieder verlassen.
2. Bestimmen Sie für jeden Verarbeitungszweck eine Rechtsgrundlage und dokumentieren Sie sie.
3. Aktualisieren Sie Datenschutzhinweise, Einwilligungsprozesse und Lieferantenverträge.
4. Richten Sie einen Prozess ein, um Anfragen betroffener Personen innerhalb eines Monats zu bearbeiten.
5. Testen Sie Ihre Reaktion auf Datenpannen anhand der 72-Stunden-Frist.
6. Dokumentieren Sie den Übermittlungsmechanismus für jeden Datenfluss aus der EU in die Vereinigten Staaten.

Viele US-Organisationen unterliegen zudem sich überschneidenden Datenschutzgesetzen einzelner Bundesstaaten. Unsere Leitfäden zum California Privacy Rights Act (CPRA, kalifornisches Datenschutzgesetz), zu den Anforderungen des CCPA (California Consumer Privacy Act) und zu globalen Datenschutzgesetzen zeigen, wo diese Regelwerke mit der DSGVO übereinstimmen und wo sie abweichen.

Welche Sanktionen drohen bei Verstößen gegen die DSGVO?

Art. 83 DSGVO sieht zwei Stufen von Bußgeldern vor:

• Untere Stufe: bis zu €10 Millionen oder 2 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Diese Stufe erfasst Verstöße wie die Nichterfüllung der Pflichten von Verantwortlichen und Auftragsverarbeitern, einschließlich der Pflichten zu Sicherheit und Meldung von Datenschutzverletzungen.
• Obere Stufe: bis zu €20 Millionen oder 4 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Diese Stufe erfasst Verstöße gegen die Grundsätze der Verarbeitung, die Bedingungen für die Einwilligung, die Rechte betroffener Personen und die Vorschriften zu internationalen Übermittlungen.

Die Aufsichtsbehörden berücksichtigen Art, Schwere und Dauer des Verstoßes, ob er vorsätzlich begangen wurde, die Maßnahmen zur Schadensminderung und die Zusammenarbeit mit der Behörde (Art. 83 Abs. 2 DSGVO). Sie können außerdem anordnen, die Verarbeitung einzustellen, die Löschung von Daten verlangen oder Datenflüsse aussetzen (Art. 58 DSGVO). Einzelpersonen können gesondert Schadenersatz verlangen. Aktuelle Fälle und die daraus zu ziehenden Lehren finden Sie in unserer Analyse zu DSGVO-Bußgeldern und Trends bei der Durchsetzung.

Aktueller Stand und anstehende Änderungen

Dieser Abschnitt wird getrennt vom Rest der Seite geprüft und aktualisiert. Zuletzt geprüft: Oktober 2026.

EU-US-Datenschutzrahmen (EU-U.S. Data Privacy Framework). Die Europäische Kommission hat am 10. Juli 2023 einen Angemessenheitsbeschluss für den EU-US-Datenschutzrahmen erlassen. Am 3. September 2025 wies das Gericht der EU eine Klage gegen den Beschluss ab (Latombe v Commission), und der Kläger legte am 31. Oktober 2025 Rechtsmittel beim Gerichtshof ein. Der Beschluss blieb zum Zeitpunkt dieser Prüfung in Kraft. Da eine Aufhebung möglich ist, halten viele Organisationen Standardvertragsklauseln als Ausweichlösung bereit.

Vorschlag des Digital Omnibus. Die Europäische Kommission hat im Rahmen ihres Digital-Omnibus-Pakets Änderungen an der DSGVO vorgeschlagen. Im Februar 2026 veröffentlichten der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte eine gemeinsame Stellungnahme. Sie lehnten Änderungen ab, die die Definition personenbezogener Daten verengen würden. Andere Änderungen unterstützten sie teilweise, darunter eine höhere Schwelle für die Meldung von Datenschutzverletzungen und eine längere Meldefrist von 96 Stunden. Das Paket war zum Zeitpunkt dieser Prüfung noch ein Vorschlag, sodass die geltenden Pflichten, einschließlich der 72-Stunden-Frist, unverändert bleiben.

Beispiele für die Durchsetzung. Aktuelle hohe Bußgelder zeigen, worauf sich die Aufsichtsbehörden konzentrieren. Die irische Datenschutzbehörde (Data Protection Commission) verhängte 2023 gegen Meta ein Bußgeld von €1,2 Milliarden, weil das Unternehmen Daten von EU-Nutzern ohne angemessene Garantien in die Vereinigten Staaten übermittelte, 2025 gegen TikTok ein Bußgeld von €530 Millionen für Übermittlungen nach China und 2024 gegen LinkedIn ein Bußgeld von €310 Millionen wegen der Rechtsgrundlage für verhaltensbasierte Werbung.

Wie Kiteworks Organisationen bei der Einhaltung der DSGVO unterstützt

Die meisten DSGVO-Pflichten laufen darauf hinaus, zu kontrollieren, was mit personenbezogenen Daten geschieht, sobald sie ein führendes System verlassen. Kiteworks bietet die Control Plane für den sicheren Datenaustausch, die steuert, wie personenbezogene Daten über E-Mail, Dateifreigabe und APIs hinweg versendet, geteilt und abgerufen werden. Die Plattform unterstützt Organisationen auf folgende Weise bei den Anforderungen der DSGVO:

• Kundeneigene Verschlüsselungsschlüssel. Kunden besitzen ihre Verschlüsselungsschlüssel, sodass Mitarbeitende von Kiteworks die Daten eines Kunden nicht entschlüsseln können. Warum das so ist, lesen Sie in unserem Beitrag zur Kontrolle über kundeneigene Verschlüsselungsschlüssel.
• Doppelte Verschlüsselung. Daten werden auf Dateiebene und erneut auf Festplattenebene verschlüsselt, jeweils mit separaten Schlüsseln. Erfahren Sie mehr über die doppelte Verschlüsselung.
• Zugriff nach dem Prinzip der minimalen Rechte und Audit-Protokollierung. Fein abgestufte Berechtigungen begrenzen, wer personenbezogene Daten ansehen oder herunterladen kann, und ein einheitliches Audit-Protokoll erfasst Benutzer-, Daten- und Systemaktivitäten. Audit-Protokolle sind standardmäßig anonymisiert, um Datenschutzanforderungen zu unterstützen. Lesen Sie dazu unseren Leitfaden zum Audit-Protokoll.
• Kontrollen zur Datensouveränität. Geofencing und Standorteinstellungen ermöglichen es Organisationen, die Daten eines Benutzers in einem bestimmten Land zu halten und Prüfern zu zeigen, wo sie gespeichert sind. Entdecken Sie die Datensouveränität auf der Plattform.
• Berichte zur DSGVO-Compliance. Integrierte Berichte fassen Richtlinieneinstellungen, relevante Vorgänge und Datenprüfungen zusammen und unterstützen so die Vorbereitung von Audits.
• Sichere Webformulare. Organisationen können Einwilligungen und personenbezogene Daten über sichere Webformulare mit anpassbaren Hinweisen erheben.

Dieselben Kontrollen gelten für E-Mail, Managed File Transfer und SFTP. Entdecken Sie die Kiteworks Data Control Plane oder lesen Sie unsere vollständige Sammlung von Ressourcen zur DSGVO-Compliance.

 

–>