Datenschutzgesetz in Deutschland: DSGVO, BDSG und Pflichten 2026

Das deutsche Datenschutzrecht ruht seit dem 25. Mai 2018 auf zwei Säulen: der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, DSGVO) und dem Bundesdatenschutzgesetz neu (BDSG, in Kraft seit 25.05.2018, zuletzt geändert 2023). Die DSGVO gilt unmittelbar, das BDSG füllt Öffnungsklauseln, etwa § 38 BDSG zur Bestellpflicht eines betrieblichen Datenschutzbeauftragten ab 20 Personen, die ständig automatisiert mit personenbezogenen Daten umgehen.

Dieser Beitrag bündelt die operativen Pflichten, die ein Unternehmen 2026 beherrschen muss: Bestellung und Berichtslinie eines Datenschutzbeauftragten, Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, Datenpannen-Meldung binnen 72 Stunden nach Art. 33 DSGVO und Bußgeldrahmen bis 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes nach Art. 83 DSGVO. CIVAC ordnet jede Pflicht einer Vorlage, einem Workflow und einem auditfesten Nachweis zu.

Wenn von "dem" Datenschutzgesetz die Rede ist, sind in Deutschland zwei Rechtsakte gemeint, die zusammenwirken. Die DSGVO als europäische Verordnung gilt seit dem 25.05.2018 unmittelbar in jedem Mitgliedstaat. Das BDSG ergänzt sie national, etwa bei Videoüberwachung, Beschäftigtendatenschutz nach § 26 BDSG und der Bestellschwelle für den DSB nach § 38 BDSG.

Hinzu kommen bereichsspezifische Gesetze, etwa das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TTDSG, seit 01.12.2021) für Cookies und Tracking sowie das Sozialgesetzbuch für Sozialdaten. Branchen wie Banken, Versicherer und Gesundheitseinrichtungen unterliegen zusätzlichen Regimes. Wer den Begriff "Datenschutzgesetz" sucht, braucht meist eine konsolidierte Sicht auf alle drei Ebenen.

Auf Länderebene gelten die Landesdatenschutzgesetze (LDSG) für Behörden, etwa das DSG NRW oder das BayDSG. Sie sind für privatwirtschaftliche Unternehmen nur relevant, wenn diese öffentliche Aufgaben wahrnehmen oder hoheitlich tätig werden. Für die meisten KMU ist die Kombination DSGVO + BDSG + TTDSG der operative Rahmen.

Verantwortlich ist nach Art. 4 Nr. 7 DSGVO derjenige, der über Zweck und Mittel der Verarbeitung entscheidet, also typischerweise die Geschäftsführung. Sie haftet persönlich, wenn Organisationsverschulden vorliegt, etwa bei fehlender Schulung oder fehlendem Verzeichnis von Verarbeitungstätigkeiten.

CIVAC bildet diese Mehrschichtigkeit in der DSB-Rolle als Compliance-Plattform und Officer-as-a-Service ab. Jede Pflicht erhält eine Vorlage, einen Verantwortlichen und einen Nachweis im Workspace. Aktenschrank-Compliance wird Software-Compliance.

Wer den Rahmen versteht, erkennt schnell, dass es nicht um ein einzelnes Gesetz geht, sondern um ein operatives Pflichtenheft. Genau dort setzt jeder Audit an, und genau dort entstehen Bußgelder, wenn der Nachweis fehlt.

Die Bestellpflicht ergibt sich aus Art. 37 DSGVO und § 38 BDSG. Privatwirtschaftliche Unternehmen müssen einen DSB benennen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Aushilfen, Praktikanten und externe Beschäftigte zählen mit, sobald sie Zugriff auf Systeme mit personenbezogenen Daten haben.

Unabhängig von der Mitarbeiterzahl besteht eine Bestellpflicht, wenn die Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung von Betroffenen umfasst (Art. 37 Abs. 1 lit. b DSGVO) oder besondere Datenkategorien nach Art. 9 DSGVO verarbeitet werden, etwa Gesundheitsdaten in Praxen, Apotheken oder Personaldienstleistern.

Die Bestellung muss schriftlich erfolgen, die Aufgaben nach Art. 39 DSGVO müssen explizit festgelegt sein, und die Kontaktdaten des DSB sind der Aufsichtsbehörde zu melden sowie öffentlich bereitzustellen, typischerweise im Impressum oder in der Datenschutzerklärung. Eine fehlende oder unvollständige Bestellung ist nach Art. 83 Abs. 4 DSGVO bußgeldbewehrt mit bis zu 10 Mio. Euro oder 2 % des weltweiten Konzernumsatzes.

Die Frage, ob intern oder extern bestellt wird, ist eine Risiko- und Kostenfrage. Interne DSB unterliegen einem Kündigungsschutz nach § 38 Abs. 2 i.V.m. § 6 Abs. 4 BDSG, externe DSB sind schneller austauschbar und bringen Branchenerfahrung mit. Beide Modelle sind zulässig, sofern Unabhängigkeit, Weisungsfreiheit und Berichtslinie an die oberste Leitung gewährleistet sind.

CIVAC bietet beide Modelle. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Die Bestellurkunde wird in der Plattform erzeugt, signiert und im Aufgabenkalender mit Berichtslinie und Eskalationspfad verknüpft. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Die Entscheidung sollte dokumentiert sein, auch wenn keine Pflicht besteht. Eine kurze schriftliche Schwellenwertprüfung schützt vor späteren Rückfragen der Aufsichtsbehörde und schließt das Argument aus, die Bestellung sei "vergessen" worden.

Das Verzeichnis von Verarbeitungstätigkeiten (VVT) ist der zentrale Nachweis nach Art. 30 DSGVO. Verantwortliche mit mindestens 250 Beschäftigten müssen es führen, kleinere Unternehmen ebenfalls, sobald Risikoverarbeitungen, regelmäßige Verarbeitungen oder besondere Datenkategorien nach Art. 9 DSGVO im Spiel sind. In der Praxis betrifft das nahezu jedes Unternehmen mit Personalabteilung, Kundenkommunikation und IT-Systemen.

Inhaltlich verlangt Art. 30 Abs. 1 DSGVO mindestens Verantwortlichen, Zweck, Datenkategorien, Empfängergruppen, Drittlandübermittlungen, Löschfristen und eine allgemeine Beschreibung der technisch-organisatorischen Maßnahmen. Jedes Tool, jeder Auftragsverarbeiter und jeder Datenfluss gehört kartiert. Excel-Listen reichen rechtlich aus, scheitern in der Praxis aber an Versionierung, Suchbarkeit und Audit-Tauglichkeit.

Das VVT ist auf Verlangen der Aufsichtsbehörde unverzüglich vorzulegen (Art. 30 Abs. 4 DSGVO). "Unverzüglich" wird in der Praxis als wenige Werktage interpretiert. Wer hier mit einem veralteten Stand antwortet, signalisiert organisatorisches Versagen und riskiert eine vertiefte Prüfung mit weiteren Auflagen.

Typische Fehler: Schatten-IT (Marketing-Tools ohne IT-Freigabe), fehlende Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO, ungeprüfte Drittlandtransfers in die USA seit dem EU-US Data Privacy Framework vom 10.07.2023 und fehlende Löschkonzepte. Jeder dieser Punkte taucht in Aufsichtsverfahren auf und führt zu Beanstandungen.

CIVAC führt das VVT als lebendige Tabelle im Workspace. Jeder Eintrag verknüpft sich mit AVV-Vorlage, TOM-Beschreibung und Lösch-SLA. Bei Audits liefert die Plattform den Export im behördentauglichen Format. Der Prüfer ruft an, der Nachweis liegt bereit.

Das VVT ist kein einmaliges Projekt, sondern ein Pflegeprozess. Neue Tools, neue Anbieter, neue Datenflüsse, jede Änderung gehört binnen Wochenfrist nachgezogen. Andernfalls verliert das Dokument seine Beweiskraft, und der Verantwortliche steht im Aufsichtsverfahren ohne Verteidigungslinie.

Wird der Verantwortliche von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt, muss er sie nach Art. 33 Abs. 1 DSGVO binnen 72 Stunden der zuständigen Aufsichtsbehörde melden. Frist läuft ab Kenntnis, nicht ab Eintritt. "Kenntnis" meint die plausible Information eines Mitarbeiters, der die Tragweite einschätzen kann, also typischerweise IT, DSB oder Geschäftsführung.

Die Meldung muss Art und Umfang der Verletzung, Kategorien und ungefähre Zahl betroffener Personen, voraussichtliche Folgen sowie ergriffene Maßnahmen enthalten. Fehlen Angaben, dürfen sie nach Art. 33 Abs. 4 DSGVO schrittweise nachgereicht werden, das Meldefenster bleibt aber 72 Stunden für die Erstmeldung. Wer später meldet, muss die Verzögerung begründen.

Bei hohem Risiko für Rechte und Freiheiten der Betroffenen kommt nach Art. 34 DSGVO eine separate Benachrichtigung der Betroffenen hinzu, in klarer und einfacher Sprache. Risiko liegt vor, wenn etwa Identitätsdiebstahl, finanzieller Schaden oder Diskriminierung droht. Phishing-Vorfälle mit Kontaktdatenexfiltration fallen praktisch immer darunter.

Operativ versagen Unternehmen meist an drei Punkten: erstens fehlt ein Erstmelder-Workflow, zweitens fehlt eine Triage-Vorlage, drittens fehlt die Berichtslinie an die Geschäftsführung mit Zeitstempel. Eine Datenpanne, die montags um 10 Uhr bemerkt wird, ist mittwochs um 10 Uhr meldepflichtig, einschließlich Wochenende.

CIVAC hält den Datenpannen-Meldepfad als Vorlage im Workspace bereit. Erfassung, Triage, Risikobewertung und Meldungsentwurf laufen entlang eines vordefinierten Pfades mit Zeitstempel und Verantwortlichenmatrix. Die Anbindung an die NIS-2-Meldekette für betroffene Einrichtungen erfolgt über denselben Vorfallsdatensatz.

Wer den 72-Stunden-Pfad nicht trainiert hat, verliert in der Krise Zeit, Beweise und Vertrauen. Eine Tabletop-Übung pro Quartal mit dokumentiertem Protokoll hält den Prozess scharf und erfüllt zugleich die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Art. 83 DSGVO unterscheidet zwei Sanktionsstufen. Verstöße gegen formale Pflichten, etwa Bestellung, VVT, AVV oder Meldung, sind nach Art. 83 Abs. 4 DSGVO mit bis zu 10 Mio. Euro oder 2 % des weltweiten Konzernjahresumsatzes geahndet. Materielle Verstöße gegen Grundsätze, Rechtsgrundlagen oder Betroffenenrechte fallen unter Art. 83 Abs. 5 DSGVO mit bis zu 20 Mio. Euro oder 4 % Konzernumsatz.

Es gilt der jeweils höhere Betrag. Bei großen Konzernen treibt das Umsatzkriterium den Rahmen weit über die nominale Eurogrenze. Die deutschen Aufsichtsbehörden veröffentlichen jährlich eine Bußgeldstatistik, einzelne Bescheide liegen im sieben- bis achtstelligen Bereich, etwa H&M (2020, 35,3 Mio. Euro) oder notebooksbilliger.de (2021, 10,4 Mio. Euro, später reduziert).

Die Bußgeldzumessung orientiert sich am DSK-Bußgeldkonzept und am Leitlinien-Dokument 04/2022 des Europäischen Datenschutzausschusses. Schweregrad, Vorsatz, Kooperation, Wiederholung und Umsatz fließen ein. Ein dokumentierter Compliance-Aufbau, etwa über eine Plattform mit auditierbarem Workspace, wirkt mindernd.

Neben Bußgeldern drohen Schadensersatzansprüche nach Art. 82 DSGVO. Seit der EuGH-Rechtsprechung (C-300/21 vom 04.05.2023) ist der Anspruch nicht an eine Erheblichkeitsschwelle gebunden, immaterielle Schäden sind grundsätzlich ersatzfähig. Sammelklagen über § 8 UWG und das Verbraucherklageregister erhöhen den Druck zusätzlich.

Persönliche Haftung der Geschäftsführung greift nach § 130 OWiG bei Aufsichtsverschulden. Wer die Bestellung eines DSB versäumt, kein Verzeichnis führt und keine Schulungen nachweisen kann, riskiert nicht nur das Unternehmensbußgeld, sondern auch eine persönliche Inanspruchnahme. Audit-fest, dokumentiert, § 130 OWiG-fest.

CIVAC dokumentiert jede Handlung, jede Vorlagenversion und jede Schulungsteilnahme. Im Bußgeldverfahren entscheidet die Beweislage. Wer in 48 Stunden eine Compliance-Akte liefert, verschiebt die Verhandlung von der Strafzumessung in die Verhältnismäßigkeitsprüfung.

Übermittlungen personenbezogener Daten in Drittländer sind nur unter den Voraussetzungen der Art. 44 ff. DSGVO zulässig. Für die USA gilt seit dem 10.07.2023 das EU-US Data Privacy Framework (Angemessenheitsbeschluss C(2023) 4745). Unternehmen, die in den USA zertifiziert sind und auf der DPF-Liste stehen, können Daten ohne zusätzliche Garantien empfangen.

Für nicht zertifizierte US-Empfänger und alle anderen unsicheren Drittländer bleiben die EU-Standardvertragsklauseln (SCC) nach Durchführungsbeschluss (EU) 2021/914 Pflicht, ergänzt um ein Transfer Impact Assessment (TIA) nach Schrems II (EuGH C-311/18 vom 16.07.2020). Das TIA prüft, ob Zugriff von Sicherheitsbehörden im Empfängerland droht und welche zusätzlichen technischen Maßnahmen (etwa Verschlüsselung, Pseudonymisierung) erforderlich sind.

Praktisch betrifft das fast jedes Unternehmen, das US-Cloud-Dienste nutzt: Microsoft 365, Google Workspace, AWS, Salesforce, HubSpot. Die DPF-Zertifizierung des Anbieters muss aktiv geprüft werden, ein einfacher Klick in die Datenschutzerklärung des Anbieters reicht nicht. Die Aufsichtsbehörden verlangen einen dokumentierten Nachweis pro Empfänger.

Die EU-Datenresidenz ist eine Alternative, kein Ersatz. Wer Workloads in EU-Regionen verarbeitet, reduziert das Drittlandrisiko, beseitigt es aber nicht vollständig, solange ein US-Mutterkonzern Zugriff hat (CLOUD Act, FISA 702). CIVAC selbst hostet ausschließlich in der EU und dokumentiert die Datenflüsse mit Subdienstleister-Liste.

Für den DSB heißt das: Drittlandtransfers gehören in das VVT, jeder Empfänger ist mit Rechtsgrundlage und TIA zu hinterlegen, Updates des DPF-Status sind quartalsweise zu prüfen. CIVAC stellt die TIA-Vorlage und einen Update-Tracker für die DPF-Liste bereit.

Wer Transfers ohne gültige Rechtsgrundlage durchführt, riskiert eine Untersagung nach Art. 58 DSGVO und ein Bußgeld nach Art. 83 Abs. 5 DSGVO. Der Fall "Meta Platforms Ireland" zeigt, dass auch milliardenschwere Konzerne hier scheitern können, das DPC-Bußgeld vom 22.05.2023 belief sich auf 1,2 Mrd. Euro.

Die DSGVO gewährt Betroffenen sechs Kernrechte: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Anträge sind grundsätzlich innerhalb eines Monats zu beantworten, verlängerbar um zwei Monate bei Komplexität (Art. 12 Abs. 3 DSGVO).

Das Auskunftsrecht nach Art. 15 DSGVO ist in der Praxis das häufigste. Der Verantwortliche muss eine Kopie aller verarbeiteten Daten bereitstellen, einschließlich Zwecken, Kategorien, Empfängern, Speicherdauer und Herkunft. Der EuGH hat den Anspruch in C-487/21 (04.05.2023) weit ausgelegt: Pseudonymisierte Daten und interne Notizen fallen darunter, sofern sie sich auf die Person beziehen.

Löschanträge nach Art. 17 DSGVO sind gegen gesetzliche Aufbewahrungspflichten abzuwägen. Handelsbriefe, Buchungsbelege und Personalakten unterliegen § 257 HGB, § 147 AO und § 14b UStG mit Fristen von sechs bis zehn Jahren. Eine pauschale Löschung ist unzulässig, eine Sperrung mit Zweckbindung der richtige Weg.

Widersprüche gegen Direktwerbung nach Art. 21 Abs. 2 DSGVO sind absolut, der Verantwortliche muss die Verarbeitung sofort einstellen. Bei sonstigen Widersprüchen, etwa gegen Profiling, ist eine Interessenabwägung erforderlich, die dokumentiert werden muss. Stillschweigen gilt als Verletzung und ist bußgeldbewehrt.

Die Antragsbearbeitung ist ein klassischer Engpass. Wer pro Quartal mehrere Dutzend Anträge erhält, scheitert ohne Workflow. CIVAC führt jeden Antrag als Vorgang mit SLA, Verantwortlichem und Volltext-Export aus den Quellsystemen. Die Antwort an den Betroffenen ist im Workspace versionsgesichert abgelegt.

Eine fehlende oder verspätete Antwort ist nach Art. 83 Abs. 5 DSGVO bußgeldbewehrt und ein häufiger Auslöser für Aufsichtsbeschwerden. Wer die Frist im Blick behält, vermeidet drei Folgen: Bußgeld, Beschwerde, Reputationsschaden.

Das BDSG füllt die Öffnungsklauseln der DSGVO. § 26 BDSG regelt den Beschäftigtendatenschutz: Verarbeitung von Beschäftigtendaten ist erlaubt, soweit sie für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Eine Einwilligung ist nur unter strengen Voraussetzungen wirksam, da die Freiwilligkeit im Arbeitsverhältnis fragwürdig ist.

Bewerberdaten dürfen typischerweise sechs Monate nach Absage gespeichert werden, um AGG-Klagen begegnen zu können (§ 15 Abs. 4 AGG, Klagefrist zwei Monate plus Beweispuffer). Längere Aufbewahrung erfordert die ausdrückliche Einwilligung des Bewerbers, etwa für einen Talent-Pool.

Videoüberwachung nach § 4 BDSG ist nur bei berechtigtem Interesse und unter Beachtung der Verhältnismäßigkeit zulässig. Öffentlich zugängliche Bereiche müssen mit Hinweisschildern gekennzeichnet sein, die Aufzeichnungsdauer sollte 48 bis 72 Stunden nicht überschreiten, sofern kein konkreter Anlass besteht. Die DSK-Orientierungshilfe Videoüberwachung (Stand 2020) gibt den Rahmen.

Cookies und Tracking unterliegen seit dem 01.12.2021 dem TTDSG (§ 25 TTDSG). Vor jedem nicht-essenziellen Cookie ist die informierte, freiwillige und widerrufliche Einwilligung einzuholen. Pre-ticked Boxes und Dark Patterns sind unzulässig (EuGH C-673/17 "Planet49" vom 01.10.2019). Die Aufsichtsbehörden prüfen seit 2024 verstärkt Consent-Banner.

Für den DSB heißt das: Personalakten, Bewerbungsprozesse, Videoanlagen und Consent-Management gehören in das VVT, jede Maßnahme braucht eine Rechtsgrundlage und einen Löschplan. CIVAC bietet Vorlagen für Beschäftigtendatenschutz-Konzepte, Videoüberwachungs-Verzeichnisse und Consent-Audits.

Wer die BDSG-Spezifika unterschätzt, sieht sich häufiger Beschwerden ausgesetzt als bei DSGVO-Grundsatzfragen. Beschäftigte, Bewerber und Besucher kennen ihre Rechte zunehmend, und ein Anwalt formuliert die Beschwerde in 30 Minuten.

Das Datenschutzgesetz ist kein Dokument, sondern ein Pflichtenheft. Bestellung, Verzeichnis, Meldung, Drittlandtransfers, Betroffenenrechte, BDSG-Spezifika, jede Pflicht erzeugt Vorlagen, Workflows und Nachweise. Wer das mit Word und Excel führt, verliert Zeit, Versionsstand und Beweiskraft.

CIVAC ist die Compliance-Plattform und Officer-as-a-Service, die genau diese Pflichten in Software übersetzt. 490 einsatzbereite Audit-Vorlagen, 25 Beauftragten-Rollen, EU-Datenresidenz, ISO 27001:2022-ISMS im Hintergrund. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Sie haben die Wahl zwischen zwei Modellen. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Varianten liefern die Bestellurkunde, die Berichtslinie an die Geschäftsführung und den dokumentierten Nachweis für jede Aufsichtsanfrage.

Der Onboarding-Pfad startet mit der Schwellenwertprüfung nach § 38 BDSG, der VVT-Aufnahme und der Meldepfad-Definition nach Art. 33 DSGVO. Die SLA für die externe Bestellung liegt bei zwei Werktagen, statt zwei bis sechs Wochen im klassischen Modell. Der FAQ-Bereich beantwortet die häufigsten Onboarding-Fragen.

Wenn Sie unsicher sind, ob Ihre Organisation bestellpflichtig ist, ob Ihr VVT auditfest ist oder ob Ihr Meldepfad das 72-Stunden-Fenster hält, schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Eine kurze Bestandsaufnahme dauert 30 Minuten, der Befund liegt am selben Tag vor.

Aus dem Lesen einen Auftrag machen. Wer die Pflichten kennt, hat den ersten Schritt getan. Wer sie auditfest dokumentiert, hat das Risiko reduziert. CIVAC begleitet beide Schritte und übernimmt auf Wunsch die Rolle selbst.