Was regelt die DSGVO und welche Bedeutung hat sie?

Die DSGVO (Verordnung (EU) 2016/679)  regelt vor allem, unter welchen rechtlichen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen, welche Transparenz- und Dokumentationspflichten Unternehmen haben und welche Rechte Betroffene gegenüber Verantwortlichen geltend machen können (sog. „Betroffenenrechte“). Sie definiert ein umfassendes System aus Rechtsgrundlagen (Art. 6), Schutzmaßnahmen (Art. 25, 32), Risikoabwägungen (Art. 35) und Kontrollmechanismen (Art. 30, 33), das europaweit ein einheitliches Datenschutzniveau sicherstellen soll. Damit schafft die DSGVO nicht nur einen verpflichtenden Rechtsrahmen, sondern bildet auch die Grundlage für Vertrauen in digitale Geschäftsmodelle, Cloud-Anwendungen und datenbasierte Services. Die Verordnung gilt dabei für alle Unternehmen, die Daten von EU-Bürgern verarbeiten – unabhängig vom Unternehmenssitz.

Wichtige Grundprinzipien der DSGVO

Die Grundprinzipien sind das Fundament der gesamten Verordnung: Sie geben vor, wie jede Verarbeitung (rechtlich) auszurichten ist, und dienen Aufsichtsbehörden als Maßstab, um die Rechtmäßigkeit und Angemessenheit datenschutzrelevanter Prozesse zu beurteilen. Allerdings geben die Grundprinzipien keine Hinweise auf konkrete technische Implementierungen oder die Art und Weise der genauen Datenverarbeitung.
(Grundprinzipien gemäß Art. 5 DSGVO):

• Rechtmäßigkeit, Transparenz und Fairness (Art. 5 Abs. 1 lit. a): Verarbeitung nur auf gültiger Rechtsgrundlage, nachvollziehbar für Betroffene.
• Zweckbindung (Art. 5 Abs. 1 lit. b): Daten dürfen nur für klar definierte Zwecke verarbeitet werden.
• Datenminimierung (Art. 5 Abs. 1 lit. c): Nur so viele Daten wie notwendig dürfen verarbeitet werden.
• Richtigkeit (Art. 5 Abs. 1 lit. d): Daten müssen korrekt und aktuell sein.
• Speicherbegrenzung (Art. 5 Abs. 1 lit. e): Löschung, sobald Daten nicht mehr benötigt werden.
• Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f): Sicherheit durch technische und organisatorische Maßnahmen.
• Rechenschaftspflicht (Art. 5 Abs. 2): Verantwortliche müssen jederzeit nachweisen können, dass sie die Grundsätze einhalten.

Die Betroffenenrechte

Die DSGVO stellt den Schutz personenbezogener Daten in den Vordergrund, die bereits nach definitorischer Weise auf natürliche Personen zurückzuführen sind, demnach sprechen wir von „Betroffenen“ der Datenverarbeitung. Die im Rahmen der Verordnung festgelegten Betroffenenrechte stellen sicher, dass jede Person Kontrolle über ihre Daten behält und gegenüber Unternehmen wirksame Ansprüche auf Transparenz, Korrektur, Einschränkung oder Löschung durchsetzen kann. Unternehmen sind entsprechend verpflichtet, klare interne Abläufe zur Bearbeitung solcher Anfragen einzurichten.

Betroffenenrechte (Art. 12–22 DSGVO):

• Auskunftsrecht: Art. 15
• Recht auf Berichtigung: Art. 16
• Recht auf Löschung („Recht auf Vergessenwerden“): Art. 17
• Recht auf Einschränkung der Verarbeitung: Art. 18
• Datenübertragbarkeit: Art. 20
• Widerspruchsrecht: Art. 21
• Recht auf Nichtunterworfenheit gegenüber automatisierten Entscheidungen: Art. 22

Pflichten für Unternehmen

Unternehmen müssen die ihnen von der Datenschutz-Grundverordnung auferlegten Pflichten nicht nur formal erfüllen, sondern auch laufend überprüfen und dokumentieren, ob ihre Prozesse den gesetzlichen Anforderungen entsprechen. Dazu gehören regelmäßige Audits, Überwachung von Dienstleistern, Aktualisierung technischer Maßnahmen bei neuen Risiken sowie der Nachweis, dass Mitarbeitende angemessen geschult und Datenschutzrichtlinien im Alltag tatsächlich angewendet werden. Unternehmen haben dabei insbesondere die folgenden Pflichten:

• Verzeichnis von Verarbeitungstätigkeiten: Art. 30
• Datenschutz-Folgenabschätzung (DSFA): Art. 35
• Meldung von Datenschutzverletzungen: Art. 33 (72-Stunden-Regel)
• Benachrichtigung der Betroffenen: Art. 34
• Technische und organisatorische Maßnahmen (TOMs): Art. 32
• Datenschutz durch Technikgestaltung („Privacy by Design“): Art. 25
• Auftragsverarbeitung: Art. 28 (AV-Verträge)
• Bestellung eines Datenschutzbeauftragten: Art. 37–39

Rechtliche Einordnung

• Rechtsakt: EU-Verordnung 2016/679
• In Kraft: seit 25. Mai 2018
• Unmittelbar geltendes EU-Recht in allen Mitgliedstaaten (Art. 288 AEUV)
• Sanktionsrahmen: Art. 83 (bis 20 Mio. € oder 4 % Weltjahresumsatz)
• Regelungen zu Rechtsbehelfen und Haftung: Art. 77 – 82
• Ergänzt durch nationale Gesetze wie das BDSG in Deutschland

DSGVO im Vergleich zu ISO 27001

Auch wenn die Verordnung im direkten Vergleich mit der ISO27001 (international anerkannter Standard für Informationssicherheits-Managementsysteme) einige Gemeinsamkeiten aufweist, unterscheiden sich diese beiden Regelwerke dennoch erheblich. Im Vergleich zur DSGVO bietet ISO 27001 einen strukturierten Sicherheitsrahmen, während die DSGVO verbindlich vorgibt, was geschützt werden muss – ISO 27001 hingegen definiert wie dieser Schutz organisatorisch und auch technisch umgesetzt werden kann.

Ausrichtung:

• DSGVO: Verpflichtendes Datenschutzrecht (Art. 1–2)
• ISO 27001: Freiwilliger Sicherheitsstandard (ISMS)

Inhalte:

• DSGVO: Personenbezogene Daten, Betroffenenrechte (Art. 12–22), Rechtsgrundlagen (Art. 6)
• ISO 27001: Informationssicherheit, Risikoanalyse, Maßnahmenkatalog (Annex A)

Verbindlichkeit:

• DSGVO: Gesetz, Bußgelder gemäß Art. 83
• ISO 27001: Zertifizierung möglich, aber nicht vorgeschrieben

Beratung zur DSGVO durch Elsen GRC

Elsen GRC unterstützt Unternehmen bei der rechtssicheren Umsetzung der DSGVO und dem Aufbau nachhaltiger Datenschutzstrukturen. Dazu gehören die Erstellung von Verarbeitungstätigkeiten (Art. 30), die Durchführung von Datenschutz-Folgenabschätzungen (Art. 35), die Entwicklung geeigneter technischer und organisatorischer Maßnahmen (Art. 32), die Bewertung von Auftragsverarbeitern (Art. 28), interne Richtlinien, Mitarbeiterschulungen rund um das Thema Datenschutz (auch im Kontext des EU AI Act) und Begleitung bei Datenschutzvorfällen gemäß Art. 33–34.

Auf Wunsch übernimmt Elsen GRC die Funktion des externen Datenschutzbeauftragten gemäß Art. 37–39.

Sprechen Sie mich gerne direkt an!

Bild: Immo Wegmann – Unsplash.com

Quellen:

1. Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung
2. Europäische Kommission – Data Protection
3. Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI)

Der Beitrag DSGVO (Datenschutz Grundverordnung) – Definition & Bedeutung erschien zuerst auf ELSEN GRC.

Warum ein eigenes GRC Journal?

Die Anforderungen an Datenschutz, IT-Sicherheit und den Compliance-konformen Einsatz von KI wachsen rasant. Steigender Wettbewerbsdruck machen den Einsatz von KI-Tools in vielen Unternehmen unerlässlich, während andere Unternehmen erst durch KI komplett neue Geschäftsmodelle erschließen. Die Smarte Integration von KI-Anbindungen in eigene Produkte, Schnittstellen oder Prozesse kann die Produktivität nicht nur erheblich steigern, sondern ganze Wertschöpfungsketten umstrukturieren.  Mit dem EU AI Act entsteht erstmals ein umfassender Rechtsrahmen für den Einsatz künstlicher Intelligenz, während NIS2 und ISO 27001 den Standard für Informationssicherheit in Europa neu (oder erneut) definieren. Ziel des Journals ist es, diese Entwicklungen verständlich, aktuell und praxisnah einzuordnen – für Datenschutzbeauftragte, IT-Leitungen, Geschäftsführungen und alle, die für Compliance und Governance im Unternehmen Verantwortung tragen. Elsen GRC zeigt, dass Governance und Innovation kein Widerspruch sind – sondern die Grundlage für vertrauenswürdige Technologien.

Strategie, Fokus und Motivation von Elsen GRC

Elsen GRC berät Unternehmen im DACH- und CH-Raum beim sicheren, datenschutz- und gesetzeskonformen Einsatz von KI- und Cloud-Technologien. Der Ansatz verbindet technische Expertise, rechtliches Verständnis und praktische Umsetzungskompetenz. Ziel ist es, GRC-Strukturen nicht nur zu planen, sondern im Unternehmen operativ und praxistauglich zu verankern – von der Datenschutz-Organisation bis zur KI-Governance.

Aber wie kam es dazu? Nachdem ich unter dem Dach der Elsen Media GmbH über 14 Jahre Erfahrung in der Entwicklung von Websites, Webanwendungen und Kampagnen gesammelt habe, hunderte Cookie-Consent-Tools konfiguriert und Datenschutzerklärungen auf die Füße der DSGVO gestellt hatte, stellte ich zunehmend fest, dass sich die Arbeitsweise meiner Kunden verändert: Immer häufiger wurden eigene – teils KI-generierte – Konzepte oder Inhalte geliefert, bei denen die Verarbeitung der Daten nicht nur fraglich, sondern teilweise unter Vernachlässigung geltender Datenschutzrichtlinien erfolgte.

Inzwischen findet sich KI in nahezu allen Prozessen mittelständischer Unternehmen. Doch eine zentrale Frage wird fast immer vernachlässigt: Wie gehen wir beim Einsatz von KI eigentlich mit sensiblen Unternehmens- und personenbezogenen Daten um?

Diese Frage führte mich 2025 zu einem neuen Schwerpunkt meiner IT-Tätigkeit – in die Welt von Governance, Risk und Compliance (GRC). Die gezielte Weiterbildung zum TÜV-zertifizierten Datenschutzbeauftragten, ergänzt durch die Vorbereitung auf die Tätigkeit als ISO 27001 Lead Auditor sowie die IAPP AIGP-Zertifizierung, bilden das Fundament der heutigen Arbeit von Elsen GRC.

Themen, die Sie im GRC Journal erwarten

Das Journal wird regelmäßig mit neuen Beiträgen gefüllt – fundiert, praxisnah und stets mit Blick auf aktuelle regulatorische Entwicklungen:

• Was sind Hoch-Risiko-KI-Systeme nach dem EU AI Act?
• Datenpanne – was tun, wenn’s passiert ist?
• TOMs im Auftragsverarbeitungsvertrag: Muster und Umsetzung
• Automatisierte Einzelentscheidung und Profiling im KI-Zeitalter
• Cloud Act vs. DSGVO – Datenhoheit und US-Anbieter im europäischen Kontext
• und viele weitere Themen!

Jeder Beitrag bietet einen klaren Mehrwert: rechtliche Einordnung, technische Perspektive und konkrete Handlungsempfehlungen – um Unternehmen bei der AI Act Readiness, NIS2-Umsetzung und Datenschutz-Governance zu unterstützen.

Bleiben Sie auf dem Laufenden und erhalten Sie praxisnahe Insights rund um AI Act, DSGVO, NIS2 und ISO 27001.
Abonnieren Sie unseren Newsletter oder folgen Sie Elsen GRC auf LinkedIn, um regelmäßig über neue Beiträge, Webinare und Fachanalysen informiert zu werden.

Sie möchten Ihr Unternehmen auf AI Act Readiness, NIS2-Compliance oder ISO 27001-Zertifizierung vorbereiten? Kontaktieren Sie uns gern für ein unverbindliches Orientierungsgespräch.

Der Beitrag GRC Journal: Praxisnahe Insights über Governance, Risk, Compliance und AI Act erschien zuerst auf ELSEN GRC.