DSGVO erklärt: Was ist die DSGVO, GDPR und RGPD?

Einführung in DSGVO, GDPR, RGPD

Die Datenschutz-Grundverordnung (DSGVO) ist das wegweisende Datenschutzgesetz der EU, das Einzelpersonen mehr Kontrolle über ihre personenbezogenen Daten geben soll. Seit ihrem Inkrafttreten am 25. Mai 2018 hat die DSGVO die Art und Weise verändert, wie Organisationen personenbezogene Daten erheben, verarbeiten und speichern. Bei Nichteinhaltung drohen Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Umsatzes pro Verstoß, wodurch die DSGVO-Konformität für jedes Unternehmen, das im EU-Markt tätig ist oder diesen anspricht, unerlässlich ist.

Die Datenschutz-Grundverordnung (DSGVO) wird im Englischen als GDPR (General Data Protection Regulation) und in französisch-, spanisch-, italienisch- und portugiesischsprachigen Ländern als RGPD bezeichnet.

Wofür steht DSGVO? (Bedeutung der DSGVO erklärt)

• Bedeutung der DSGVO: Eine Verordnung, die den Datenschutz in allen EU-Mitgliedstaaten vereinheitlicht.

• Geltungsbereich: Gilt für jede Organisation, unabhängig vom Standort, die personenbezogene Daten von EU-Bürgern verarbeitet.

• Hauptziele:

  1. Rechte der betroffenen Personen: Einzelpersonen erhalten Rechte wie Zugang, Berichtigung, Löschung und Datenübertragbarkeit.
  2. Rechenschaftspflicht: Unternehmen müssen die Einhaltung durch Dokumentation und Prozesse nachweisen.
  3. Sicherheit: Robuste technische und organisatorische Schutzmaßnahmen zum Schutz personenbezogener Daten sind vorgeschrieben.

Warum die Einhaltung der DSGVO wichtig ist

1. Hohe Bußgelder vermeiden: Bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes pro Verstoß.
2. Vertrauen aufbauen: Starke Datenschutzpraktiken stärken die Markenreputation.
3. Wettbewerbsvorteil: DSGVO-konforme Unternehmen heben sich in datenschutzorientierten Märkten hervor.

Die Plattform von UniConsent vereinfacht die DSGVO-Konformität durch die Automatisierung von Einwilligungserfassung, -verwaltung und Audit-Trails – damit Sie alle Anforderungen heute und morgen erfüllen.

Einwilligung unter der DSGVO verstehen

Was ist Einwilligung? (Definition der Einwilligung)

Unter der DSGVO wird Einwilligung als „freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich" abgegebene Willensbekundung der betroffenen Person definiert. Sie muss:

• Aktiv sein: Eine bestätigende Handlung, wie das Ankreuzen eines nicht vorausgewählten Kästchens.
• Informiert sein: Klare Erklärung, wer Daten erhebt, warum und wie lange.
• Spezifisch sein: Separate Einwilligungen für verschiedene Verarbeitungstätigkeiten.
• Widerrufbar sein: Nutzer müssen ihre Einwilligung jederzeit ohne Nachteile widerrufen können.

Zulässige Formen der Einwilligung

• Kontrollkästchen (standardmäßig nicht angekreuzt) in Webformularen.
• Elektronische Erklärungen (z. B. Klick auf „Ich stimme zu").
• Mündliche Bestätigungen, die vom Verantwortlichen dokumentiert werden.
• Technische Einstellungen (z. B. Datenschutz-Dashboards).

Unzulässige Einwilligungspraktiken

• Vorausgewählte Kästchen oder Untätigkeit (Schweigen gilt nicht als Einwilligung).
• Gebündelte Einwilligungen (ein Klick für mehrere unzusammenhängende Zwecke).
• „Scroll-through"-Vereinbarungen, bei denen das Weiterscrollen als Einwilligung gilt.

Wichtige DSGVO-Artikel zur Einwilligung

DSGVO-Referenz	Zusammenfassung
Art. 4(11)	Definiert Einwilligung als „freiwillig, für den bestimmten Fall, informiert und unmissverständlich."
Art. 7(1–4)	Legt die Bedingungen für eine gültige Einwilligung und die Pflichten der Verantwortlichen fest.
Erwägungsgrund 32	Empfiehlt klare, prägnante Sprache und visuelle Hilfsmittel zur Erklärung von Einwilligungsanfragen.
Erwägungsgrund 42–43	Betont freie Wahl, separate Einwilligungen und keine Nachteile bei Widerruf.

Best Practices für das DSGVO-Einwilligungsmanagement

1. Transparente Hinweise: Verwenden Sie einfache Sprache und visuelle Hinweise, um die Datennutzung zu erklären.
2. Granulare Optionen: Ermöglichen Sie Nutzern, separat in Marketing, Analyse und Personalisierung einzuwilligen.
3. Einfacher Widerruf: Stellen Sie in jeder E-Mail oder im Datenschutz-Dashboard einen deutlichen Link zum Widerruf der Einwilligung bereit.
4. Audit-Trails: Protokollieren Sie Zeitstempel, Einwilligungsversionen und Nutzeraktionen zum Nachweis der Rechenschaftspflicht.

DSGVO-Bußgelder verstehen

Die Datenschutz-Grundverordnung (DSGVO) verhängt strenge Strafen gegen Organisationen, die ihre Datenschutzanforderungen nicht einhalten. Diese Bußgelder sollen die Rechenschaftspflicht sicherstellen und den ordnungsgemäßen Umgang mit personenbezogenen Daten in der EU und darüber hinaus fördern.

Zwei Stufen von DSGVO-Bußgeldern

Die DSGVO-Durchsetzung unterscheidet zwischen zwei Ebenen von Verstößen, die jeweils ein eigenes Höchstbußgeld haben:

1. Niedrigere Stufe: Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes

Gilt für Verstöße wie:

• Mangelhafte Aufzeichnungen über Verarbeitungstätigkeiten
• Unterlassene Benachrichtigung der Aufsichtsbehörde oder der betroffenen Personen über eine Datenschutzverletzung
• Unzureichender Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen
• Fehlende Auftragsverarbeitungsverträge mit Dritten

2. Höhere Stufe: Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes

Gilt für schwerwiegendere Verstöße, einschließlich:

• Verstoß gegen Grundsätze der Datenverarbeitung wie Rechtmäßigkeit, Fairness und Transparenz
• Unrechtmäßige Verarbeitung besonderer Kategorien personenbezogener Daten
• Fehlende gültige Einwilligung
• Verletzung der Rechte der betroffenen Personen (Zugang, Löschung, Übertragbarkeit usw.)

Der Einsatz von Tools wie UniConsent hilft Unternehmen, die DSGVO-Anforderungen einzuhalten, durch automatisiertes Einwilligungsmanagement, Echtzeit-Audit-Trails und anpassbare Datenschutzeinstellungen – und minimiert so das Risiko kostspieliger Strafen.

DSGVO-Compliance-Checkliste

Stellen Sie mit dieser praktischen Checkliste sicher, dass Ihre Organisation die Anforderungen der Datenschutz-Grundverordnung (DSGVO) erfüllt. Nutzen Sie sie, um Lücken zu identifizieren und die vollständige Konformität aufrechtzuerhalten:

1. Rechtsgrundlage für die Datenverarbeitung

• Identifizieren und dokumentieren Sie die Rechtsgrundlage für alle Datenverarbeitungstätigkeiten.
• Stellen Sie sicher, dass die Einwilligung, wo erforderlich, freiwillig, spezifisch, informiert und unmissverständlich erteilt wird.

2. Transparente Datenerhebung

• Stellen Sie klare und zugängliche Datenschutzhinweise bereit.
• Informieren Sie Nutzer darüber, welche Daten erhoben werden, wie sie verwendet werden und mit wem sie geteilt werden.

3. Einwilligungsmanagement

• Implementieren Sie einen DSGVO-konformen Einwilligungsmechanismus.
• Ermöglichen Sie Nutzern, nicht wesentliche Cookies und Daten-Tracking einfach zu akzeptieren oder abzulehnen.

4. Rechte der betroffenen Personen

• Ermöglichen Sie Nutzern die Ausübung ihrer Rechte: Zugang, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch.
• Beantworten Sie Anfragen betroffener Personen innerhalb eines Monats.

5. Datenschutz durch Technikgestaltung

• Integrieren Sie Datenschutzmaßnahmen von Anfang an in Ihre Systeme und Prozesse.
• Beschränken Sie die Datenerhebung und -speicherung auf das Notwendige.

6. Datenweitergabe an Dritte

• Überprüfen Sie alle Drittanbieter-Dienste und stellen Sie sicher, dass Auftragsverarbeitungsverträge vorhanden sind.
• Geben Sie Daten nur an DSGVO-konforme Auftragsverarbeiter weiter.

7. Datensicherheitsmaßnahmen

• Setzen Sie angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten ein.
• Überprüfen und aktualisieren Sie regelmäßig die Sicherheitsprotokolle.

8. Verzeichnis von Verarbeitungstätigkeiten

• Führen Sie interne Aufzeichnungen über Datenverarbeitungsvorgänge.
• Dokumentieren Sie Verarbeitungszwecke, Datenkategorien, Datenempfänger und Aufbewahrungsfristen.

9. Reaktionsplan bei Datenschutzverletzungen

• Etablieren Sie ein klares Protokoll zur Erkennung, Meldung und Untersuchung von Datenschutzverletzungen.
• Benachrichtigen Sie die Aufsichtsbehörde innerhalb von 72 Stunden nach einem Vorfall, wenn dies erforderlich ist.

10. Regelmäßige Compliance-Überprüfungen

• Führen Sie regelmäßige Audits der Datenschutzpraktiken durch.
• Aktualisieren Sie Richtlinien und Verfahren, um Änderungen in der Gesetzgebung oder Datennutzung zu berücksichtigen.

So erstellen Sie eine DSGVO-konforme Datenschutzerklärung

Eine DSGVO-konforme Datenschutzerklärung ist für jede Organisation unerlässlich, die personenbezogene Daten von Personen in der Europäischen Union erhebt, verarbeitet oder speichert. Sie schafft Vertrauen, gewährleistet Transparenz und erfüllt eine der zentralen Pflichten der Datenschutz-Grundverordnung (DSGVO).

Was ist eine DSGVO-Datenschutzerklärung?

Eine DSGVO-Datenschutzerklärung ist ein öffentlich zugängliches Dokument, das erklärt, wie Ihre Organisation personenbezogene Daten erhebt, nutzt, speichert, weitergibt und schützt. Es beschreibt auch die Rechte der betroffenen Personen und wie sie diese ausüben können.

Gemäß Artikel 12 der DSGVO müssen die Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form unter Verwendung einer klaren und einfachen Sprache bereitgestellt werden.

Wesentliche Elemente einer DSGVO-Datenschutzerklärung

1. Identität und Kontaktdaten
2. Welche Daten Sie erheben
3. Wie und warum Sie Daten erheben
4. Datenweitergabe und Drittparteien
5. Wie lange Sie Daten aufbewahren
6. Rechte der betroffenen Personen
7. Verwendung von Cookies und Tracking
8. Sicherheitsmaßnahmen
9. Wie Sie eine Beschwerde einreichen können

Die Erstellung Ihrer Datenschutzerklärung von Grund auf kann zeitaufwändig sein. Nutzen Sie den kostenlosen Datenschutzerklärung-Generator von UniConsent, um sofort eine DSGVO-konforme Datenschutzerklärung zu erstellen, die auf Ihre geschäftlichen Anforderungen zugeschnitten ist.

DSGVO-Länder: Wer ist von der Verordnung betroffen?

Die Datenschutz-Grundverordnung (DSGVO) gilt für alle Länder innerhalb des Europäischen Wirtschaftsraums (EWR) – dazu gehören die Mitgliedstaaten der Europäischen Union (EU) sowie einige Nicht-EU-Länder. Sie gilt auch für Organisationen außerhalb dieser Länder, die personenbezogene Daten von Personen im EWR verarbeiten.

EU-Mitgliedstaaten (27 Länder)

1. Österreich
2. Belgien
3. Bulgarien
4. Kroatien
5. Zypern
6. Tschechische Republik
7. Dänemark
8. Estland
9. Finnland
10. Frankreich
11. Deutschland
12. Griechenland
13. Ungarn
14. Irland
15. Italien
16. Lettland
17. Litauen
18. Luxemburg
19. Malta
20. Niederlande
21. Polen
22. Portugal
23. Rumänien
24. Slowakei
25. Slowenien
26. Spanien
27. Schweden

EWR-Nicht-EU-Länder

28. Island
29. Liechtenstein
30. Norwegen

UK und UK GDPR

Das Vereinigte Königreich ist nicht mehr Teil der EU oder des EWR, hat aber eine eigene Version der DSGVO implementiert, bekannt als UK GDPR, die der EU-Verordnung weitgehend entspricht. Organisationen, die Daten von Einwohnern des Vereinigten Königreichs verarbeiten, müssen die UK GDPR einhalten.

Häufige Fallstricke bei der DSGVO-Konformität

• Nicht nur Kontrollkästchen: Echte DSGVO-Konformität geht über das Ankreuzen eines Kästchens hinaus; sie erfordert kontinuierliche Governance und Dokumentation.
• Drittanbieter-Cookies: Stellen Sie sicher, dass alle externen Tracker auf Ihrer Website durch Ihren Einwilligungsmechanismus abgedeckt sind.
• UK vs. EU DSGVO: Obwohl ähnlich, enthält die UK GDPR nach dem Brexit geringfügige Unterschiede – prüfen Sie beide, wenn Sie in beiden Rechtsräumen tätig sind.

Einwilligungsrecht und DSGVO-Konformität

Kap. I, Art. 4(11); Kap. II, Art. 7, §§ 1-4. „Die Einwilligung sollte durch eine eindeutige bestätigende Handlung erfolgen, mit der freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist, etwa in Form einer schriftlichen Erklärung, die auch elektronisch erfolgen kann, oder einer mündlichen Erklärung. Dies könnte etwa durch Ankreuzen eines Kästchens beim Besuch einer Internetwebsite, durch die Auswahl technischer Einstellungen für Dienste der Informationsgesellschaft oder durch eine andere Erklärung oder Verhaltensweise geschehen, mit der die betroffene Person in dem jeweiligen Kontext eindeutig ihr Einverständnis mit der beabsichtigten Verarbeitung ihrer personenbezogenen Daten signalisiert. Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit sollten daher keine Einwilligung darstellen. Die Einwilligung sollte sich auf alle zu demselben Zweck oder denselben Zwecken vorgenommenen Verarbeitungsvorgänge erstrecken. Wenn die Verarbeitung mehreren Zwecken dient, sollte für alle diese Verarbeitungszwecke eine Einwilligung gegeben werden. Wird die Einwilligung der betroffenen Person im Anschluss an eine Anfrage auf elektronischem Weg erteilt, so muss die Anfrage klar und prägnant sein und darf nicht unnötig störend für die Nutzung des Dienstes sein, für den sie vorgesehen ist." Erwägungsgrund ¶ 32. Die Informationen zur Unterstützung der Einwilligung müssen „prägnant, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache … verfasst sein und es muss gegebenenfalls zusätzlich eine Visualisierung genutzt werden", wenn es „für die betroffene Person schwierig ist zu erkennen und nachzuvollziehen, ob, von wem und zu welchem Zweck sie betreffende personenbezogene Daten erhoben werden, wie z. B. bei der Online-Werbung." Erwägungsgrund ¶ 58.

„Die Garantien sollten sicherstellen, dass die betroffene Person sich der Tatsache und des Umfangs der Einwilligung bewusst ist. … Eine vom Verantwortlichen vorformulierte Einwilligungserklärung sollte in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zur Verfügung gestellt werden und keine missbräuchlichen Klauseln enthalten. Damit die Einwilligung in Kenntnis der Sachlage erteilt wird, sollte die betroffene Person mindestens wissen, wer der Verantwortliche ist und für welche Zwecke ihre personenbezogenen Daten verarbeitet werden sollen. Die Einwilligung sollte nicht als freiwillig erteilt gelten, wenn die betroffene Person keine echte oder freie Wahl hat oder die Einwilligung nicht ohne Nachteile verweigern oder widerrufen kann." Erwägungsgrund ¶ 42. „Die Einwilligung gilt nicht als freiwillig erteilt, wenn zu verschiedenen Verarbeitungsvorgängen personenbezogener Daten nicht gesondert eine Einwilligung erteilt werden kann, obwohl dies im Einzelfall angebracht ist, oder wenn die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung abhängig gemacht wird, obwohl diese Einwilligung für die Erfüllung nicht erforderlich ist." Erwägungsgrund ¶ 43, Kap. II, Art. 7, § 4.

„Das Herunterscrollen oder Durchwischen von Allgemeinen Geschäftsbedingungen, die Einwilligungserklärungen enthalten (bei denen eine Meldung auf dem Bildschirm erscheint, die die betroffene Person darauf hinweist, dass das Weiterscrollen als Einwilligung gilt), genügt nicht der Anforderung einer eindeutigen bestätigenden Handlung." - aus der Artikel-29-Datenschutzgruppe.

Einwilligungsrecht und DSGVO-Konformität – Übersicht

Einwilligung

Die Einwilligung sollte durch eine eindeutige bestätigende Handlung erfolgen, mit der freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.

Zulässige Formen der Einwilligung

Eine gültige und konforme Nutzereinwilligung ist beispielsweise eine schriftliche Erklärung, die auch elektronisch erfolgen kann, oder eine mündliche Erklärung. Dies könnte etwa durch Ankreuzen eines Kästchens beim Besuch einer Internetwebsite, durch die Auswahl technischer Einstellungen für Dienste der Informationsgesellschaft oder durch eine andere Erklärung oder Verhaltensweise geschehen, mit der die betroffene Person in dem jeweiligen Kontext eindeutig ihr Einverständnis mit der beabsichtigten Verarbeitung ihrer personenbezogenen Daten signalisiert.

Unzulässige Formen der Einwilligung

Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit sollten keine Einwilligung darstellen. Die Einwilligung sollte sich auf alle zu demselben Zweck oder denselben Zwecken vorgenommenen Verarbeitungsvorgänge erstrecken. Wenn die Verarbeitung mehreren Zwecken dient, sollte für alle Verarbeitungszwecke eine Einwilligung gegeben werden. Wird die Einwilligung der betroffenen Person im Anschluss an eine Anfrage auf elektronischem Weg erteilt, so muss die Anfrage klar und prägnant sein und darf nicht unnötig störend für die Nutzung des Dienstes sein, für den sie vorgesehen ist.

Klar, prägnant und verständlich

Die Informationen zur Unterstützung der Einwilligung müssen prägnant, leicht zugänglich und verständlich sein. Sie müssen in klarer und einfacher Sprache dargestellt werden und es muss gegebenenfalls zusätzlich eine Visualisierung genutzt werden, wenn es für den Nutzer schwierig ist zu erkennen und nachzuvollziehen, ob, von wem und zu welchem Zweck ihn betreffende personenbezogene Daten erhoben werden, wie z. B. bei der Online-Werbung.

Angemessene Schutzmaßnahmen

Die Schutzmaßnahmen sollten sicherstellen, dass der Nutzer sich der Tatsache und des Umfangs der Einwilligung bewusst ist. Eine vom Verantwortlichen vorformulierte Einwilligungserklärung sollte in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zur Verfügung gestellt werden und keine missbräuchlichen Klauseln enthalten. Damit die Einwilligung in Kenntnis der Sachlage erteilt wird, sollte der Nutzer mindestens wissen, wer der Verantwortliche ist und für welche Zwecke die personenbezogenen Daten verarbeitet werden sollen. Die Einwilligung sollte nicht als freiwillig erteilt gelten, wenn der Nutzer keine echte oder freie Wahl hat oder die Einwilligung nicht ohne Nachteile verweigern oder widerrufen kann.

Die Einwilligung gilt nicht als freiwillig erteilt, wenn zu verschiedenen Verarbeitungsvorgängen personenbezogener Daten nicht gesondert eine Einwilligung erteilt werden kann, obwohl dies im Einzelfall angebracht ist, oder wenn die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung abhängig gemacht wird, obwohl diese Einwilligung für die Erfüllung nicht erforderlich ist.

Fallstricke bei der DSGVO-Konformität

DSGVO-konform zu sein ist nicht so einfach wie das Akzeptieren von Allgemeinen Geschäftsbedingungen. Es erfordert weit mehr als das Herunterscrollen oder Durchwischen von Allgemeinen Geschäftsbedingungen, die Einwilligungserklärungen enthalten (bei denen eine Meldung auf dem Bildschirm erscheint, die die betroffene Person darauf hinweist, dass das Weiterscrollen als Einwilligung gilt). Eine solche Vorgehensweise genügt nicht der Anforderung einer eindeutigen bestätigenden Handlung für die Einwilligung.

Weiterführende Literatur zu DSGVO und Einwilligung

• IAPP: Final Guidance on Consent (Apr 10, 2018)
• ICO: Guide to the GDPR
• ICO: What Is Valid Consent?
• UniConsent: UK GDPR vs EU GDPR Comparison

Durch das Verständnis der Bedeutung der DSGVO und die Implementierung robuster Einwilligungsprozesse kann Ihre Organisation nicht nur Strafen vermeiden, sondern auch stärkere, vertrauensbasierte Kundenbeziehungen aufbauen. Starten Sie Ihre DSGVO-Compliance-Reise noch heute mit den optimierten Lösungen von UniConsent.