Was die DSGVO regelt
Die DSGVO regelt die Verarbeitung personenbezogener Daten — alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, die als betroffene Person bezeichnet wird. "Verarbeitung" ist weit gefasst: Erhebung, Speicherung, Nutzung, Offenlegung, Verknüpfung und Löschung zählen allesamt dazu. Eine engere Kategorie besonderer Kategorien personenbezogener Daten — darunter Gesundheits-, biometrische, genetische Daten, rassische oder ethnische Herkunft, politische Meinungen und sexuelle Orientierung — genießt erhöhten Schutz und darf nur unter bestimmten Voraussetzungen verarbeitet werden.
Die Verordnung ist um die Beziehung zwischen zwei Rollen herum aufgebaut. Der Verantwortliche bestimmt die Zwecke und Mittel der Verarbeitung; der Auftragsverarbeiter handelt im Auftrag des Verantwortlichen und nach dessen Weisungen. Die meisten Rechenschaftspflichten treffen den Verantwortlichen, doch Auftragsverarbeiter tragen eigene direkte Pflichten — darunter Sicherheit, Verwaltung von Unterauftragsverarbeitern und die Meldung von Verletzungen an den Verantwortlichen.
Die Kerngrundsätze
Im Zentrum der DSGVO steht eine Reihe von Grundsätzen, die jede Verarbeitungstätigkeit erfüllen muss. Es handelt sich nicht um optionale Best Practices; es sind rechtliche Anforderungen, an denen Aufsichtsbehörden die Einhaltung messen.
- Rechtmäßigkeit, Fairness und Transparenz — die Verarbeitung muss eine gültige Rechtsgrundlage haben, fair gegenüber der Person sein und ihr klar erläutert werden.
- Zweckbindung — Daten werden für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverwendet.
- Datenminimierung — nur Daten, die für den angegebenen Zweck angemessen, erheblich und erforderlich sind, dürfen verarbeitet werden.
- Richtigkeit — personenbezogene Daten müssen sachlich richtig und auf dem neuesten Stand gehalten werden, wobei unrichtige Daten unverzüglich berichtigt oder gelöscht werden.
- Speicherbegrenzung — Daten werden nur so lange aufbewahrt, wie es für den Zweck erforderlich ist, und danach gelöscht oder anonymisiert.
- Integrität und Vertraulichkeit — angemessene Sicherheit schützt Daten vor unbefugtem Zugriff, Verlust oder Beschädigung.
- Rechenschaftspflicht — der Verantwortliche muss nicht nur die Vorschriften einhalten, sondern die Einhaltung durch Aufzeichnungen, Richtlinien und Nachweise belegen können.
Die Rechenschaftspflicht verwandelt die DSGVO von einer Checkliste in eine operative Disziplin: Es reicht nicht, konform zu sein, eine Organisation muss es auch beweisen können.
Rechtsgrundlagen für die Verarbeitung
Keine personenbezogenen Daten dürfen ohne eine Rechtsgrundlage verarbeitet werden. Die DSGVO sieht sechs vor, und ein Verantwortlicher muss die zutreffende identifizieren, bevor die Verarbeitung beginnt:
- Einwilligung — die Person hat eine klare, spezifische, freiwillig erteilte und widerrufbare Zustimmung gegeben.
- Vertrag — die Verarbeitung ist zur Erfüllung eines Vertrags mit der Person erforderlich oder um auf deren Anfrage hin Schritte vor Vertragsschluss zu unternehmen.
- Rechtliche Verpflichtung — die Verarbeitung ist zur Erfüllung einer gesetzlichen Pflicht erforderlich.
- Lebenswichtige Interessen — die Verarbeitung ist erforderlich, um das Leben einer Person zu schützen.
- Öffentliche Aufgabe — die Verarbeitung ist zur Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe oder in Ausübung öffentlicher Gewalt erforderlich.
- Berechtigte Interessen — die Verarbeitung dient den berechtigten Interessen des Verantwortlichen oder eines Dritten, sofern diese Interessen nicht durch die Rechte und Freiheiten der Person überwogen werden.
Die Einwilligung wird oft als Standard angenommen, doch für viele geschäftliche Tätigkeiten ist Vertrag oder berechtigtes Interesse die geeignetere und besser begründbare Grundlage. Besondere Kategorien personenbezogener Daten erfordern zusätzlich zu einer dieser Grundlagen eine weitere Voraussetzung.
Rechte der betroffenen Personen
Die DSGVO gewährt Personen eine Reihe von Rechten, die sie gegenüber jedem Verantwortlichen geltend machen können, der ihre Daten hält. Verantwortliche müssen die meisten Anfragen unverzüglich und in der Regel innerhalb eines Monats beantworten.
- Auskunftsrecht — eine Bestätigung der Verarbeitung und eine Kopie der gehaltenen Daten zu erhalten.
- Recht auf Berichtigung — unrichtige oder unvollständige Daten berichtigen zu lassen.
- Recht auf Löschung — das "Recht auf Vergessenwerden", Daten unter bestimmten Umständen löschen zu lassen.
- Recht auf Einschränkung — die Nutzung von Daten zu begrenzen, während eine Streitigkeit oder Prüfung geklärt wird.
- Recht auf Datenübertragbarkeit — die eigenen Daten in einem strukturierten, maschinenlesbaren Format zu erhalten und anderweitig zu übermitteln.
- Widerspruchsrecht — bestimmten Verarbeitungen zu widersprechen, einschließlich Direktwerbung.
- Rechte im Zusammenhang mit automatisierten Entscheidungen — gemäß Artikel 22 haben Personen das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung — einschließlich Profiling — unterworfen zu werden, die rechtliche oder ähnlich erhebliche Wirkungen entfaltet, vorbehaltlich bestimmter Ausnahmen.
Verantwortlicher vs. Auftragsverarbeiter
Die Unterscheidung zwischen Verantwortlichem und Auftragsverarbeiter bestimmt, wer welche Pflichten trägt, und sie falsch einzuordnen ist eine häufige Quelle von Compliance-Versagen. Die folgende Tabelle fasst die Aufteilung zusammen.
| Verantwortlicher | Auftragsverarbeiter | |
|---|---|---|
| Bestimmt den Zweck | Ja — bestimmt, warum und wie Daten verarbeitet werden | Nein — handelt nur nach dokumentierten Weisungen des Verantwortlichen |
| Primäre Rechenschaftspflicht | Einhaltung aller Grundsätze nachweisen | Sicherheits- und vertragliche Pflichten einhalten |
| Anfragen betroffener Personen | Empfängt und beantwortet Anfragen | Unterstützt den Verantwortlichen bei der Beantwortung |
| Meldung von Verletzungen | Meldet der Aufsichtsbehörde und den Personen | Meldet dem Verantwortlichen unverzüglich |
| Vertrag erforderlich | Muss einen Auftragsverarbeitungsvertrag abschließen | Gebunden an diesen Vertrag und die Weisungen des Verantwortlichen |
Eine einzelne Verarbeitungskonstellation kann mehrere Verantwortliche oder Ketten von Auftragsverarbeitern und Unterauftragsverarbeitern umfassen, doch die DSGVO verlangt, dass jedes Glied dokumentiert und vertraglich gebunden ist.
Rechenschaftspflicht, DSFA und Durchsetzung
Der Grundsatz der Rechenschaftspflicht wird durch konkrete Pflichten operationalisiert. Verantwortliche müssen ein Verzeichnis von Verarbeitungstätigkeiten führen, Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen umsetzen und — wenn eine Art der Verarbeitung voraussichtlich ein hohes Risiko für Personen mit sich bringt — vor Beginn eine Datenschutz-Folgenabschätzung (DSFA) durchführen. Eine DSFA dokumentiert die Verarbeitung, bewertet ihre Notwendigkeit und Verhältnismäßigkeit und benennt Maßnahmen zur Risikominderung; großflächiges Profiling und systematische Überwachung sind typische Auslöser.
Die Durchsetzung liegt bei den nationalen Aufsichtsbehörden, die ermitteln, korrigierende Maßnahmen anordnen und Geldbußen verhängen können. Die DSGVO sieht zwei Bußgeldstufen vor, wobei die höhere Stufe bis zum jeweils höheren Betrag von 20 Millionen Euro oder 4 % des gesamten weltweit erzielten Jahresumsatzes einer Organisation im vorangegangenen Geschäftsjahr reicht. Über Geldbußen hinaus können Aufsichtsbehörden die Verarbeitung vollständig untersagen — oft ein einschneidenderes Ergebnis als die finanzielle Strafe.
Die DSGVO und AI
AI-Systeme verschärfen nahezu jede DSGVO-Pflicht. Trainingsdaten und Prompts enthalten häufig personenbezogene Daten, oft für einen Zweck erhoben und für die Modellentwicklung weiterverwendet — ein direkter Konflikt mit Zweckbindung und Datenminimierung. Wenn Mitarbeitende Kundendatensätze oder Verträge in ein externes AI-Tool einfügen, werden personenbezogene Daten an einen Drittanbieter als Auftragsverarbeiter offengelegt, häufig ohne Rechtsgrundlage, ohne Auftragsverarbeitungsvertrag und ohne jegliche Aufzeichnung der Übermittlung.
Drei Druckpunkte treten wiederholt auf. Erstens berühren automatisierte Entscheidungen und Profiling die Schutzvorschriften des Artikels 22 und werfen Fragen der Transparenz und menschlichen Aufsicht auf, wann immer AI Entscheidungen über Personen maßgeblich beeinflusst. Zweitens erfordern Übermittlungen an AI-Anbieter — viele außerhalb des EWR — einen gültigen Übermittlungsmechanismus und einen Auftragsverarbeitungsvertrag. Drittens verlangt der Grundsatz der Rechenschaftspflicht Nachweise: Eine Organisation muss zeigen können, welche personenbezogenen Daten ihre AI-Nutzung berührt, wohin sie gelangt sind und auf welcher Grundlage. AI als außerhalb des Datenschutzprogramms zu behandeln ist unter der DSGVO keine vertretbare Position.
