Die Datenschutz-Grundverordnung (DSGVO, englisch: GDPR – General Data Protection Regulation) ist die seit Mai 2018 EU-weit geltende Datenschutzverordnung, die einheitliche Regeln für die Erhebung, Verarbeitung und Speicherung personenbezogener Daten von EU-Bürgern festlegt. Die DSGVO gilt für alle Unternehmen, die personenbezogene Daten von Personen in der EU verarbeiten – unabhängig davon, wo das Unternehmen seinen Sitz hat. Ein US-amerikanisches SaaS-Unternehmen, das deutschen Endkunden dient, unterliegt der DSGVO genauso wie ein Münchner Mittelständler.
Für Automatisierungsprojekte ist die DSGVO allgegenwärtig: Jeder Workflow, der Kundendaten, Mitarbeiterdaten oder andere personenbezogene Informationen verarbeitet, muss DSGVO-konform gestaltet sein. Das beginnt bei der Frage der Rechtsgrundlage, geht über die Datensparsamkeit bis zur Löschfrist und zum Auftragsverarbeitungsvertrag mit jedem externen Dienstleister.
Betroffenenrechte nach DSGVO
Auskunft (Art. 15)
Recht zu erfahren, welche Daten über sie gespeichert sind und zu welchem Zweck.
Berichtigung (Art. 16)
Unrichtige oder unvollständige Daten müssen korrigiert werden.
Löschung (Art. 17)
„Recht auf Vergessenwerden“ – Daten löschen wenn Zweck entfallen ist.
Einschränkung (Art. 18)
Verarbeitung vorübergehend einschränken lassen – z. B. während einer Berichtigung.
Portabilität (Art. 20)
Daten in maschinenlesbarem Format erhalten und zu anderem Anbieter mitnehmen.
Widerspruch (Art. 21)
Gegen Verarbeitung auf Basis berechtigten Interesses widersprechen.
Sanktionen und praktische Konsequenzen
Verstöße gegen die DSGVO können mit Bußgeldern bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden (je nachdem, was höher ist). Neben Bußgeldern drohen Abmahnungen, Schadensersatzansprüche Betroffener und erheblicher Reputationsschaden. In der Praxis sind besonders häufige Verstöße in Automatisierungsprojekten: fehlende Rechtsgrundlage für die Datenverarbeitung, kein AVV mit externen Dienstleistern, fehlende Datenschutzhinweise, unzureichende Sicherheitsmaßnahmen und fehlende Löschkonzepte.
Praxisbeispiel
Ein mittelständisches Unternehmen erhält eine DSGVO-Auskunftsanfrage eines Kunden (Art. 15) für alle gespeicherten Daten. Ohne Automatisierung: Mitarbeiter suchen manuell in ERP, CRM, E-Mail-Archiv, Support-System – typisch 6–8 Stunden Aufwand, hohes Fehlerpotenzial, Frist (1 Monat) kaum einzuhalten. Mit strukturierten Daten und Automatisierung: Alle Systeme sind über die Kunden-ID verknüpft. Automatisierter Query-Workflow zieht alle Daten aus allen Systemen, aggregiert sie in einen strukturierten Bericht, der dem Datenschutzbeauftragten zur Prüfung vorgelegt wird. Aufwand: 20 Minuten. Frist: komfortabel eingehalten. DSGVO-Compliance ist auch eine Frage der operativen Fähigkeit – gut strukturierte, automatisierungsfähige Datenlandschaften sind Compliance-Enabler.
