DSGVO in der Praxis: Grundlagen für Unternehmen und Behörden

Ob in der Vergabestelle, im IT-Einkauf oder im Fachbereich, du arbeitest täglich mit personenbezogenen Daten. Die DSGVO läuft dabei immer mit, auch wenn gerade niemand „Datenschutz“ auf dem Bildschirm hat. In diesem Beitrag fassen wir die zentralen Grundlagen so zusammen, dass du sie in deinem Alltag als öffentliche Stelle oder Unternehmen anwenden kannst.

1. Zentrale Grundsätze der DSGVO

Die Grundsätze aus Art. 5 DSGVO sind die Leitplanken für jede Verarbeitung. Wenn du diese im Blick behältst, bist du fachlich meist auf der sicheren Seite.

Die wichtigsten Grundsätze:

1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz Es muss eine Rechtsgrundlage geben, die Verarbeitung darf Betroffene nicht unangemessen überraschen und muss verständlich erklärt werden, etwa in Datenschutzhinweisen.

2. Zweckbindung Du erhebst Daten für einen klar bestimmten, legitimen Zweck, etwa „Durchführung eines Vergabeverfahrens nach GWB/VgV“ oder „Vertragsabwicklung mit Lieferanten“. Eine spätere Nutzung für andere Zwecke ist nur unter engen Voraussetzungen zulässig.

3. Datenminimierung Nur die Daten, die du wirklich brauchst. Beispiel: Für die Teilnahme an einer Ausschreibung reicht in der Regel die geschäftliche Erreichbarkeit, nicht das Privatgeburtsdatum der Geschäftsführung.

4. Richtigkeit Daten müssen sachlich richtig und aktuell sein. Du brauchst Verfahren, um unzutreffende Daten zu berichtigen oder zu löschen.

5. Speicherbegrenzung Daten nur so lange speichern, wie du sie für den Zweck brauchst oder rechtliche Aufbewahrungsfristen es erfordern. Danach löschen oder zumindest wirksam anonymisieren.

6. Integrität und Vertraulichkeit Technische und organisatorische Maßnahmen nach Art. 32 DSGVO, also etwa Zugriffsrechte, Verschlüsselung, Protokollierung, Backups.

7. Rechenschaftspflicht Du musst nachweisen können, dass du diese Grundsätze einhältst. Das ist der Kern von Dokumentation, Verzeichnis, Richtlinien und Schulungen.

Praktischer Tipp: Halte die Grundsätze in einer kurzen, verständlichen Datenschutzrichtlinie fest und verweise in Projekten immer wieder darauf. So wird Datenschutz zur Routine und nicht zur Sonderaufgabe.

2. Rechtsgrundlagen der Verarbeitung: Was ist erlaubt?

Jede Verarbeitung braucht eine Rechtsgrundlage. In der Praxis unterscheiden sich Behörden und Unternehmen hier etwas.

2.1 Behörden und öffentliche Stellen

Für Behörden ist Art. 6 Abs. 1 lit. e DSGVO zentral: Verarbeitung ist erlaubt, wenn sie für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt. Grundlage ist dann meist ein Fachgesetz, z. B. Kommunalrecht, Haushaltsrecht, Vergaberecht.

Typische Beispiele:

• Durchführung von Vergabeverfahren nach GWB, VgV, UVgO, VOB
• Bearbeitung von Anträgen oder Verwaltungsverfahren
• Erfüllung von Aufbewahrungs- und Dokumentationspflichten

Daneben kommen Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) und in Einzelfällen lit. a (Einwilligung) oder lit. f (berechtigtes Interesse, je nach Landesrecht für öffentliche Stellen teils eingeschränkt) in Betracht.

2.2 Unternehmen

Für Unternehmen sind vor allem diese Rechtsgrundlagen wichtig:

• Vertrag und vorvertragliche Maßnahmen: Art. 6 Abs. 1 lit. b DSGVO, z. B. bei Kundenverträgen, Lieferantenbeziehungen, Vergabeunterlagen, Supportleistungen.
• Rechtliche Verpflichtung: Art. 6 Abs. 1 lit. c DSGVO, z. B. steuerliche Aufbewahrungspflichten.
• Berechtigtes Interesse: Art. 6 Abs. 1 lit. f DSGVO, z. B. IT-Sicherheit, Missbrauchsvermeidung, begründete Direktwerbung. Immer mit Interessenabwägung.
• Einwilligung: Art. 6 Abs. 1 lit. a DSGVO, z. B. Newsletter ohne Bestandskundenbeziehung, bestimmte Trackingtechnologien.

Wichtig: Einwilligungen sind nur sinnvoll, wenn sie freiwillig, informiert, spezifisch und widerruflich sind. In Abhängigkeitssituationen, etwa bei Beschäftigten, ist das heikel. Im Beschäftigungsverhältnis spielt zudem § 26 BDSG eine wichtige Rolle.

3. Verzeichnis von Verarbeitungstätigkeiten: Pflicht und Chance

Das Verzeichnis nach Art. 30 DSGVO wirkt sperrig, ist aber in der Praxis eines der wichtigsten Werkzeuge, um Ordnung in die Datenverarbeitung zu bringen.

3.1 Wer braucht ein Verzeichnis?

Grundsätzlich alle Verantwortlichen und Auftragsverarbeiter. Die in Art. 30 Abs. 5 DSGVO genannten Ausnahmen für kleinere Unternehmen greifen in der Praxis selten, weil Datenverarbeitungen im Behörden- und Unternehmenskontext fast immer ein Risiko für Rechte und Freiheiten der Betroffenen darstellen oder nicht nur gelegentlich stattfinden.

Kurz gesagt: Wenn du in einer Behörde oder einem Unternehmen arbeitest, solltest du ein Verzeichnis führen.

3.2 Was gehört hinein?

Für jede Verarbeitungstätigkeit erfasst du mindestens:

• Name und Kontaktdaten des Verantwortlichen
• Zweck der Verarbeitung
• Kategorien betroffener Personen
• Kategorien personenbezogener Daten
• Kategorien von Empfängern
• ggf. Übermittlungen in Drittländer
• geplante Fristen für die Löschung
• allgemeine Beschreibung der technischen und organisatorischen Maßnahmen

Typische Verarbeitungstätigkeiten im öffentlichen und unternehmerischen Umfeld:

• Durchführung von Vergabeverfahren
• Vertragsverwaltung mit Dienstleistern und Lieferanten
• Personalverwaltung und Bewerbermanagement
• Finanzbuchhaltung und Controlling
• IT-Betrieb, Protokollierung, Zugangsverwaltung
• Newsletter und Veranstaltungen

3.3 Praktische Umsetzung

Bewährt hat sich eine einfache Tabelle, die du zentral pflegst, etwa im Datenschutzmanagementsystem oder in einem strukturierten Dokument. Beispielhafte Struktur:

Feld	Beispiel
Bezeichnung der Tätigkeit	Durchführung von IT-Vergabeverfahren
Zweck	Anbahnung und Abschluss von Verträgen mit IT-Dienstleistern
Betroffene Personengruppen	Ansprechpartner bei Bietern, interne Projektmitglieder
Datenkategorien	Kontaktdaten, Kommunikationsinhalte, Angebotsdaten
Empfänger	Fachbereiche, Vergabestelle, ggf. externe Berater
Löschfristen	10 Jahre nach Abschluss des Verfahrens nach Haushaltsrecht
TOM	Rollen- und Rechtemanagement, Protokollierung, Verschlüsselung

Wichtig ist, dass du das Verzeichnis aktuell hältst. Neue Projekte, neue Software, neue Prozesse, z. B. Einführung eines E-Vergabesystems, gehören hinein, bevor sie produktiv gehen.

4. Betroffenenrechte in der Praxis

Betroffene haben umfassende Rechte nach Art. 12 ff. DSGVO. Für dich bedeutet das: Du brauchst klare Prozesse, um Anfragen rechtzeitig und rechtssicher zu bearbeiten.

Die wichtigsten Rechte:

• Auskunft nach Art. 15 DSGVO
• Berichtigung nach Art. 16 DSGVO
• Löschung nach Art. 17 DSGVO
• Einschränkung der Verarbeitung nach Art. 18 DSGVO
• Datenübertragbarkeit nach Art. 20 DSGVO
• Widerspruch nach Art. 21 DSGVO

4.1 Umgang mit Auskunftsersuchen

Auskunftsanfragen sind in der Praxis am häufigsten. Du musst innerhalb eines Monats reagieren, in komplexen Fällen sind Verlängerungen möglich, diese musst du aber begründen.

Praktische Schritte:

1. Eingang dokumentieren und Identität des Anfragenden prüfen.
2. Prüfen, ob und in welchen Systemen Daten zur Person verarbeitet werden.
3. Inhalte der Auskunft nach Art. 15 DSGVO zusammenstellen:

• verarbeitete Datenkategorien
• Zwecke
• Empfänger
• Speicherdauer oder Kriterien
• Herkunft der Daten, wenn nicht bei der betroffenen Person erhoben
• Hinweis auf Rechte und Beschwerdemöglichkeit bei der Aufsicht.

4. Antwort in klarer, verständlicher Sprache formulieren.

Wichtig: Du musst keine Geschäftsgeheimnisse oder Rechte Dritter offenlegen. In bestimmten Konstellationen können gesetzliche Beschränkungen greifen, etwa spezialgesetzliche Vertraulichkeitspflichten bei Behörden. Das ist dann eine Einzelfallprüfung.

4.2 Löschung und Aufbewahrungsfristen

Betroffene können Löschung verlangen, wenn kein Zweck mehr besteht oder eine Einwilligung widerrufen wurde. Häufig stehen dem aber Aufbewahrungsfristen entgegen, z. B. nach Handels- oder Steuerrecht, im öffentlichen Bereich nach Haushaltsrecht oder speziellen Archivgesetzen.

In der Praxis bedeutet das:

• Wenn eine Pflicht zur Aufbewahrung besteht, wird nicht gelöscht, sondern die Verarbeitung eingeschränkt.
• Du dokumentierst, warum eine Löschung aktuell nicht möglich ist.

Hilfreich ist ein Löschkonzept, das Fachbereiche, IT und Datenschutz gemeinsam erarbeiten.

4.3 Widerspruchsrechte

Beim berechtigten Interesse nach Art. 6 Abs. 1 lit. f DSGVO und bei bestimmten Aufgaben im öffentlichen Interesse können Betroffene Widerspruch einlegen. Du musst dann prüfen, ob zwingende schutzwürdige Gründe auf deiner Seite überwiegen. Bei Direktwerbung ist der Widerspruch praktisch immer wirksam.

Du brauchst klare Zuständigkeiten: Wer prüft Widersprüche, wer dokumentiert die Entscheidung, wer setzt sie technisch um?

5. Meldepflichten bei Datenpannen

Datenpannen lassen sich nicht komplett vermeiden, du kannst sie aber professionell managen. Art. 33 und 34 DSGVO regeln die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen.

5.1 Was ist eine Datenpanne?

Eine „Verletzung des Schutzes personenbezogener Daten“ liegt vor, wenn es zu einer Verletzung der Sicherheit kommt, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt.

Typische Beispiele:

• E Mail mit personenbezogenen Daten an den falschen Empfänger
• Verlust eines unverschlüsselten Laptops mit Vergabeunterlagen
• Ransomware-Angriff auf Server mit Bewerberdaten
• Fehlkonfiguration eines Cloud-Dienstes, der Daten ungeschützt im Netz erreichbar macht

5.2 Meldepflicht an die Aufsichtsbehörde

Du musst eine Datenpanne grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde melden, sofern ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht.

Inhalt der Meldung nach Art. 33 DSGVO:

• Art der Verletzung
• Kategorien und Anzahl betroffener Personen und Datensätze
• Name und Kontaktdaten des Datenschutzbeauftragten oder Ansprechpartners
• wahrscheinliche Folgen
• ergriffene oder vorgeschlagene Maßnahmen

Wenn noch nicht alle Informationen vorliegen, kannst du nachmelden. Wichtig ist, dass du die 72 Stunden einhältst oder begründest, warum das nicht möglich war.

5.3 Benachrichtigung der Betroffenen

Bei hohem Risiko für die Rechte und Freiheiten der Betroffenen musst du zusätzlich die Betroffenen unverzüglich informieren, Art. 34 DSGVO. Das ist etwa bei sensiblen Daten oder hoher Missbrauchsgefahr der Fall.

Die Benachrichtigung muss in klarer Sprache erklären:

• was passiert ist
• welche Folgen drohen können
• welche Maßnahmen du ergriffen hast
• was Betroffene selbst tun können, um sich zu schützen

5.4 Interner Notfallplan

Ein praktischer DSGVO-Notfallplan sollte mindestens enthalten:

• klare Meldewege für Mitarbeitende, etwa „Datenpanne sofort an IT und Datenschutz melden“
• eine Checkliste zur Erstbewertung des Risikos
• Standardvorlagen für Meldungen an die Aufsicht und Informationen an Betroffene
• dokumentierte Entscheidungen, warum eine Meldung erfolgt ist oder nicht

So vermeidest du hektische Ad-hoc-Entscheidungen und kannst auch gegenüber Aufsichtsbehörden nachvollziehbar argumentieren.

6. Kurze Checkliste für deinen Alltag

Zum Abschluss eine kompakte Checkliste, mit der du in deinem Bereich prüfen kannst, wo du stehst:

• Grundsätze

• Sind Zweck, Datenminimierung und Löschfristen in deinen Prozessen definiert?

• Gibt es eine verständliche Datenschutzrichtlinie, die tatsächlich genutzt wird?

• Rechtsgrundlagen

• Ist für jede wesentliche Verarbeitung klar dokumentiert, auf welcher Rechtsgrundlage sie beruht?

• Werden Einwilligungen nur dort eingesetzt, wo sie wirklich passen?

• Verzeichnis von Verarbeitungstätigkeiten

• Gibt es ein aktuelles, zentrales Verzeichnis?

• Werden neue Projekte, Tools und IT-Systeme vor dem Start aufgenommen?

• Betroffenenrechte

• Weißt du, wie im Haus mit Auskunfts- oder Löschanfragen umgegangen wird?

• Gibt es Fristen- und Zuständigkeitsregelungen, die auch gelebt werden?

• Datenpannen

• Kennen Mitarbeitende die internen Meldewege bei Datenpannen?

• Gibt es einen dokumentierten Prozess mit Checkliste und Vorlagen?

Wenn du diese Punkte systematisch angehst, wird DSGVO-Compliance kalkulierbar. Vertiefende Hintergründe, aktuelle Rechtsprechung und praktische Umsetzungsschritte behandeln wir ausführlich in unseren Seminaren, passende Formate findest du bei uns auf cmt.de.

Datenschutz bleibt ein Dauerprojekt, aber mit klaren Grundlagen, sauberer Dokumentation und geübten Abläufen kannst du Risiko und Aufwand deutlich reduzieren.