Datenschutz bezeichnet den Schutz natürlicher Personen vor der missbräuchlichen Verarbeitung ihrer personenbezogenen Daten – und damit den Schutz des Rechts auf informationelle Selbstbestimmung: Jede Person soll grundsätzlich selbst entscheiden können, welche Daten über sie erhoben, gespeichert, verarbeitet und weitergegeben werden. Datenschutz ist in Deutschland und der EU grundrechtlich verankert und durch die DSGVO als geltendes Recht ausgestaltet.
Für Automatisierungsprojekte ist Datenschutz keine optionale Ergänzung, sondern eine Grundvoraussetzung für den rechtmäßigen Betrieb. Jeder Workflow, der personenbezogene Daten verarbeitet – und das sind in der Unternehmenspraxis sehr viele – unterliegt den Anforderungen der DSGVO. Privacy by Design und Privacy by Default (DSGVO Art. 25) verlangen, dass Datenschutz von Anfang an in die Systemarchitektur integriert wird, nicht nachträglich aufgepfropft.
Datenschutz vs. Datensicherheit vs. Informationssicherheit
Datenschutz (wer darf was mit personenbezogenen Daten tun?) ist ein rechtliches Konzept – DSGVO, Bundesdatenschutzgesetz. Datensicherheit (technische Schutzmaßnahmen für Daten jeder Art) ist ein technisches Konzept – Verschlüsselung, Zugriffskontrollen. Informationssicherheit (Schutz aller Informationen, organisatorisch und technisch) ist das übergeordnete Managementkonzept. Datenschutz braucht Datensicherheit als technische Grundlage – aber Datensicherheit allein genügt nicht für Datenschutz-Compliance.
Datenschutz-Grundsätze nach DSGVO (Art. 5)
- Rechtmäßigkeit: Jede Datenverarbeitung braucht eine Rechtsgrundlage – Einwilligung, Vertragserfüllung, berechtigtes Interesse, gesetzliche Pflicht
- Zweckbindung: Daten dürfen nur für den Zweck genutzt werden, für den sie erhoben wurden – keine Zweckentfremdung
- Datensparsamkeit: Nur so viele Daten erheben wie für den Zweck notwendig – kein „vielleicht brauchen wir das mal“
- Richtigkeit: Daten müssen aktuell und korrekt sein – veraltete Daten müssen gelöscht oder berichtigt werden
- Speicherbegrenzung: Daten dürfen nicht länger aufbewahrt werden als notwendig – aktive Löschpflicht
- Integrität und Vertraulichkeit: Angemessene technische und organisatorische Sicherheitsmaßnahmen sind Pflicht
Praxisbeispiel
Ein Unternehmen implementiert einen Automationsworkflow für Kunden-Onboarding. Datenschutz-Check vor Go-Live: Welche personenbezogenen Daten werden verarbeitet? Name, E-Mail, Adresse, ggf. Zahlungsdaten. Rechtsgrundlage? Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Zweckbindung sichergestellt? Daten werden nur für Onboarding und Vertragsabwicklung genutzt, nicht für Marketing (separate Einwilligung nötig). Datensparsamkeit? Workflow fragt nur Pflichtfelder ab, keine unnötigen Zusatzdaten. Aufbewahrungsfrist? Kundendaten: Vertragslaufzeit + 6 Monate, dann automatisches Lösch-Ticket. Externe Systeme involviert? CRM-Anbieter (US-basiert) → AVV prüfen, Datenübermittlung in Drittland nach Art. 46 DSGVO absichern. Dieser Check vor jedem Workflow-Go-Live verhindert kostspielige Nachkorrekturen.
