Die Datenschutz-Grundverordnung regelt den Umgang mit personenbezogenen Daten. Sie bestimmt, unter welchen Voraussetzungen Daten erhoben, verarbeitet, gespeichert, weitergegeben und gelöscht werden dürfen. Ziel ist nicht, betriebliche Abläufe zu verhindern, sondern den Umgang mit personenbezogenen Daten nachvollziehbar, rechtmäßig und verhältnismäßig zu gestalten.

Personenbezogen sind Daten dann, wenn sie sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Das betrifft nicht nur Namen und Adressen, sondern z. B. auch E‑Mail-Adressen, Personalnummern, IP-Adressen, Standortdaten, Kundenhistorien oder Gesundheitsinformationen. Entscheidend ist, ob ein Personenbezug hergestellt werden kann – direkt oder indirekt.

Nein. Für jede Verarbeitung personenbezogener Daten braucht es eine rechtliche Grundlage. Das kann zum Beispiel die Vertragserfüllung, eine gesetzliche Pflicht, eine Einwilligung oder ein berechtigtes Interesse sein. Ein bloß praktischer Nutzen reicht nicht aus. Unternehmen müssen prüfen, auf welcher Grundlage sie Daten verarbeiten und ob diese Grundlage tatsächlich passt.

Nein, nicht jedes Unternehmen automatisch. Die Pflicht hängt von verschiedenen Voraussetzungen ab, etwa von der Art und dem Umfang der Datenverarbeitung oder davon, ob besonders sensible Daten in relevantem Umfang verarbeitet werden. Unabhängig von einer formalen Benennungspflicht muss aber jedes Unternehmen die datenschutzrechtlichen Anforderungen einhalten und intern Zuständigkeiten klären.

Das Verzeichnis von Verarbeitungstätigkeiten ist eine strukturierte Übersicht darüber, welche personenbezogenen Daten im Unternehmen zu welchen Zwecken verarbeitet werden. Es hilft, Prozesse sichtbar zu machen, Zuständigkeiten zu klären und Risiken systematisch zu erfassen. In der Praxis ist es ein zentrales Arbeitsinstrument, weil viele weitere Datenschutzpflichten ohne diese Transparenz kaum vernünftig erfüllbar sind.

Eine Einwilligung ist nur eine von mehreren möglichen Rechtsgrundlagen. Sie ist vor allem dann erforderlich, wenn keine andere tragfähige Grundlage greift oder wenn das Gesetz sie ausdrücklich verlangt. In vielen betrieblichen Situationen stützen sich Datenverarbeitungen aber auf Vertragserfüllung, gesetzliche Pflichten oder berechtigte Interessen. Eine Einwilligung ist nur wirksam, wenn sie freiwillig, informiert und eindeutig erteilt wird.

Typische Fehler sind unklare Zuständigkeiten, unvollständige Verzeichnisse, zu weit gefasste Zugriffsrechte, fehlende Löschkonzepte, ungeprüfte Dienstleister, unklare Informationspflichten und die Annahme, Datenschutz sei nur ein Thema für Formulare. Ebenfalls problematisch ist es, wenn technische und organisatorische Maßnahmen zwar behauptet, aber im Alltag nicht tatsächlich umgesetzt werden.

Technische und organisatorische Maßnahmen dienen dazu, personenbezogene Daten angemessen zu schützen. Dazu gehören z. B. Zugriffsregelungen, Passwörter, Berechtigungskonzepte, Verschlüsselung, Backups, Schulungen, klare Prozesse und Kontrollen. Welche Maßnahmen erforderlich sind, hängt vom Risiko der jeweiligen Verarbeitung ab. Es geht nicht um Maximalschutz in jedem Fall, sondern um ein angemessenes Schutzniveau.

Wenn externe Dienstleister personenbezogene Daten im Auftrag verarbeiten, müssen Unternehmen prüfen, ob eine Auftragsverarbeitung vorliegt und welche vertraglichen und tatsächlichen Anforderungen daraus folgen. Relevant sind etwa die Auswahl des Dienstleisters, die vertragliche Absicherung, geeignete Schutzmaßnahmen und die Frage, ob Daten in Drittländer übermittelt werden. Gerade bei Cloud‑, IT‑ und SaaS‑Lösungen ist diese Prüfung besonders wichtig.

Praxisnaher Datenschutz beginnt mit Übersicht: Welche Daten werden wo, warum und von wem verarbeitet? Darauf aufbauend lassen sich Zuständigkeiten, Standards, Löschroutinen, Zugriffsrechte und Prüfprozesse sinnvoll gestalten. Datenschutz wird dann handhabbar, wenn er in reale Abläufe eingebettet ist und nicht als isoliertes Sonderthema behandelt wird. Ein schlankes, klares System ist meist wirksamer als ein überladener Formalapparat.