DSGVO

Die Datenschutz-Grundverordnung (DSGVO) ist die zentrale Rechtsvorschrift der Europäischen Union zum Schutz personenbezogener Daten. Sie trat am 25. Mai 2018 in Kraft und hat das Ziel, den Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten zu gewährleisten und den freien Datenverkehr innerhalb des EU-Binnenmarktes zu regeln. Die Verordnung (EU) 2016/679 ersetzt die zuvor geltende Datenschutzrichtlinie 95/46/EG und vereinheitlicht das Datenschutzrecht in allen Mitgliedstaaten der EU. Für Betreiber von Onlinelexika, Webseiten und digitalen Diensten ist die DSGVO das maßgebliche Regelwerk, das bei der Erhebung, Speicherung und Nutzung von Daten strikt beachtet werden muss.

Historischer Kontext und Ziele

Von der Richtlinie zur Verordnung

Vor der Einführung der DSGVO galt in der EU die Datenschutzrichtlinie von 1995. Da Richtlinien von den Mitgliedstaaten erst in nationales Recht umgesetzt werden müssen, entstanden in den verschiedenen EU-Ländern unterschiedliche Auslegungen und Schutzstandards. Dies führte zu einem Flickenteppich an Regelungen, der den digitalen Binnenmarkt behinderte und Unternehmen den grenzüberschreitenden Handel erschwerte. Die DSGVO als „Verordnung“ gilt hingegen unmittelbar in jedem Mitgliedstaat, ohne dass ein nationales Umsetzungsgesetz notwendig ist (obwohl es Öffnungsklauseln für bestimmte Bereiche gibt).

Die Hauptziele der Verordnung

Die Verfolgung der DSGVO lässt sich in zwei primäre Ziele unterteilen:

1. Schutz der Grundrechte: Stärkung des Rechts auf informationelle Selbstbestimmung jedes Einzelnen. Jeder Bürger soll die Kontrolle über seine eigenen Daten behalten.
2. Wirtschaftliche Harmonisierung: Schaffung eines einheitlichen Rechtsrahmens für Unternehmen, um Wettbewerbsverzerrungen zu vermeiden und Rechtssicherheit im digitalen Raum zu gewährleisten.

Räumlicher und sachlicher Anwendungsbereich

Wer muss die DSGVO beachten?

Der Anwendungsbereich der DSGVO ist extrem weit gefasst. Sie gilt für:

• Niedergelassene Stellen: Jede Verarbeitung personenbezogener Daten durch eine Stelle, die in der EU niedergelassen ist, unabhängig davon, ob die Verarbeitung selbst in der EU stattfindet.
• Außereuropäische Anbieter (Marktortprinzip): Auch Unternehmen außerhalb der EU müssen die DSGVO einhalten, wenn sie Waren oder Dienstleistungen an Personen in der EU anbieten (auch kostenlose Dienste wie Social Media) oder das Verhalten von Personen in der EU beobachten (z. B. durch Tracking oder Profiling).

Was sind personenbezogene Daten?

Der Begriff der „personenbezogenen Daten“ ist der Schlüssel zur DSGVO. Darunter fallen alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

• Klassische Beispiele: Name, Anschrift, E-Mail-Adresse, Telefonnummer, Geburtsdatum.
• Online-Identifikatoren: IP-Adressen, Cookie-IDs, Standortdaten, Werbe-IDs. Auch eine IP-Adresse gilt als personenbezogen, da sie theoretisch einem Anschlussinhaber zugeordnet werden kann.
• Besondere Kategorien (sensibel): Daten, die Rückschlüsse auf die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten, Gesundheitsdaten oder Daten zum Sexualleben zulassen. Diese unterliegen einem noch strengeren Schutzverbot mit engen Ausnahmen.

Die sieben Grundprinzipien der Datenverarbeitung

Artikel 5 der DSGVO legt die fundamentalen Prinzipien fest, an die sich jede Datenverarbeitung halten muss. Diese Prinzipien sind die „Verfassung“ des Datenschutzes.

1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz

Daten dürfen nur verarbeitet werden, wenn es eine gesetzliche Erlaubnis gibt. Der Prozess muss für die betroffene Person nachvollziehbar sein (Transparenz). „Treu und Glauben“ bedeutet, dass keine versteckten Absichten verfolgt werden dürfen.

2. Zweckbindung

Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden. Eine spätere Verarbeitung für andere Zwecke ist nur unter sehr engen Voraussetzungen zulässig. Ein Beispiel: E-Mail-Adressen, die für den Newsletter-Versand gesammelt wurden, dürfen nicht plötzlich für Werbung Dritter verkauft werden.

3. Datenminimierung

Es dürfen nur so viele Daten verarbeitet werden, wie für den Zweck unbedingt notwendig sind („So viel wie nötig, so wenig wie möglich“). Ein Onlinelexikon sollte beispielsweise nicht das Geburtsdatum eines Lesers abfragen, wenn dies für die Bereitstellung des Inhalts nicht erforderlich ist.

4. Richtigkeit

Die Daten müssen sachlich richtig und auf dem neuesten Stand sein. Unrichtige Daten sind unverzüglich zu berichtigen oder zu löschen.

5. Speicherbegrenzung

Daten dürfen nur so lange gespeichert werden, wie es der Zweck erfordert. Sobald der Zweck wegfällt (z. B. Ende des Vertragsverhältnisses oder Widerruf der Einwilligung), müssen die Daten gelöscht oder anonymisiert werden.

6. Integrität und Vertraulichkeit

Der Verantwortliche muss durch technische und organisatorische Maßnahmen (TOMs) sicherstellen, dass die Daten sicher sind. Dazu gehören Verschlüsselung, Zugangskontrollen, Backups und Schulung der Mitarbeiter, um Daten vor Verlust, Zerstörung oder unbefugtem Zugriff zu schützen.

7. Rechenschaftspflicht

Dies ist ein neues, zentrales Prinzip. Der Verantwortliche (z. B. der Betreiber des Onlinelexikons) muss nicht nur die Regeln einhalten, sondern auch nachweisen können, dass er sie einhält. Dies erfordert Dokumentation, Verzeichnisse von Verarbeitungstätigkeiten und Datenschutz-Folgenabschätzungen.

Rechtsgrundlagen für die Datenverarbeitung

Eine Verarbeitung ist nur erlaubt, wenn sie auf mindestens einer der sechs Rechtsgrundlagen des Artikels 6 Abs. 1 DSGVO fußt.

1. Einwilligung (Art. 6 Abs. 1 lit. a)

Die betroffene Person hat ihre freiwillige, spezifische, informierte und unmissverständliche Einwilligung gegeben. Dies ist oft die Grundlage für Newsletter oder Cookies. Die Einwilligung muss aktiv erfolgen (kein vorangekreuztes Kästchen) und jederzeit widerrufbar sein.

2. Vertragserfüllung (Art. 6 Abs. 1 lit. b)

Die Verarbeitung ist zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen erforderlich. Beispiel: Die Speicherung der Lieferadresse beim Kauf eines Buches im Online-Shop.

3. Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c)

Der Verantwortliche ist gesetzlich zur Verarbeitung verpflichtet. Beispiel: Die Aufbewahrung von Rechnungen für das Finanzamt gemäß Handelsgesetzbuch (HGB) oder Abführung von Lohnsteuerdaten.

4. Schutz lebenswichtiger Interessen (Art. 6 Abs. 1 lit. d)

Dies betrifft Notsituationen, z. B. die Weitergabe von Gesundheitsdaten an einen Arzt nach einem Unfall, wenn die Person nicht einwilligen kann.

5. Wahrnehmung einer Aufgabe im öffentlichen Interesse (Art. 6 Abs. 1 lit. e)

Gilt vor allem für Behörden und staatliche Stellen bei der Ausübung ihrer Hoheitsgewalt.

6. Berechtigte Interessen (Art. 6 Abs. 1 lit. f)

Dies ist die „Auffangklausel“ für viele Unternehmen. Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen der betroffenen Person überwiegen. Beispiele: Betrugsprävention, IT-Sicherheit (Logfiles), Direktwerbung an Bestandskunden (unter bestimmten Bedingungen) oder Videoüberwachung zum Schutz des Eigentums. Hier ist immer eine Interessenabwägung notwendig.

Die Rechte der betroffenen Personen

Die DSGVO stärkt die Position der Bürger erheblich und gewährt ihnen umfassende Rechte gegenüber den Datenverarbeitern.

Auskunftsrecht (Art. 15)

Jede Person kann vom Betreiber eines Dienstes (z. B. des Onlinelexikons) eine Bestätigung verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Wenn ja, hat sie Recht auf Auskunft über diese Daten sowie auf Kopie der Daten (Datenkopie).

Recht auf Berichtigung (Art. 16)

Sind Daten falsch oder unvollständig, kann die betroffene Person deren unverzügliche Berichtigung oder Vervollständigung verlangen.

Recht auf Löschung („Recht auf Vergessenwerden“, Art. 17)

Unter bestimmten Voraussetzungen (z. B. wenn die Daten für den ursprünglichen Zweck nicht mehr benötigt werden, die Einwilligung widerrufen wurde oder die Daten unrechtmäßig verarbeitet wurden) kann die Löschung der Daten verlangt werden. Dieses Recht ist nicht absolut und stößt an Grenzen, wenn gesetzliche Aufbewahrungspflichten bestehen.

Recht auf Einschränkung der Verarbeitung (Art. 18)

In bestimmten Fällen (z. B. wenn die Richtigkeit der Daten bestritten wird) kann der Nutzer verlangen, dass die Daten zwar gespeichert, aber nicht weiter verarbeitet werden.

Recht auf Datenübertragbarkeit (Art. 20)

Nutzer haben das Recht, die sie betreffenden Daten, die sie einem Verantwortlichen bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese Daten einem anderen Verantwortlichen zu übermitteln (z. B. Wechsel des Cloud-Anbieters).

Widerspruchsrecht (Art. 21)

Betroffene können der Verarbeitung ihrer Daten widersprechen, insbesondere wenn diese auf berechtigten Interessen (Art. 6 Abs. 1 lit. f) oder für Direktwerbung beruht. Bei Widerspruch gegen Direktwerbung müssen die Daten sofort für diesen Zweck gesperrt werden.

Pflichten für Verantwortliche und Auftragsverarbeiter

Verantwortlicher vs. Auftragsverarbeiter

• Verantwortlicher: Die Stelle (Person, Behörde, Unternehmen), die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet (z. B. der Betreiber des Onlinelexikons).
• Auftragsverarbeiter: Eine Stelle, die Daten im Auftrag des Verantwortlichen verarbeitet (z. B. der Hosting-Provider, der E-Mail-Versanddienstleister oder der Cloud-Speicher-Anbieter).

Pflichten des Verantwortlichen

Der Verantwortliche trägt die Hauptlast der Compliance. Dazu gehören:

• Informationspflichten (Art. 13, 14): Nutzer müssen bei Datenerhebung umfassend informiert werden (Wer verarbeitet? Warum? Wie lange? Welche Rechte?). Dies geschieht meist über die Datenschutzerklärung.
• Datenschutz-Freundliche Voreinstellungen (Privacy by Default): Standardmäßig dürfen nur die Daten verarbeitet werden, die für den spezifischen Verarbeitungszweck notwendig sind.
• Integrierter Datenschutz (Privacy by Design): Technische Systeme müssen schon bei der Entwicklung so gestaltet sein, dass sie Datenschutzprinzipien einhalten (z. B. Pseudonymisierung).
• Meldepflicht bei Verletzungen des Schutzes personenbezogener Daten (Art. 33, 34): Bei einem Datenleck (Hack, Verlust von Datenträgern) muss die Aufsichtsbehörde innerhalb von 72 Stunden informiert werden. Sind die Risiken für die Nutzer hoch, müssen auch diese informiert werden.
• Datenschutz-Folgenabschätzung (Art. 35): Bei risikoreichen Verarbeitungen (z. B. umfangreiches Profiling, Verarbeitung sensibler Daten) muss vorab eine Abschätzung der Risiken für die Rechte der Nutzer durchgeführt werden.
• Benennung eines Datenschutzbeauftragten: Unter bestimmten Bedingungen (z. B. bei umfangreicher regelmäßiger Überwachung oder Verarbeitung sensibler Daten) muss ein interner oder externer Datenschutzbeauftragter bestellt werden.

Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter darf nur nach Weisung des Verantwortlichen handeln. Ein zentrales Instrument ist der Auftragsverarbeitungsvertrag (AVV), der schriftlich (oder elektronisch) geschlossen werden muss. Darin werden Gegenstand, Dauer, Zweck und Art der Verarbeitung sowie die Pflichten zur Sicherheit geregelt.

Internationale Datenübermittlung

Ein komplexes Thema der DSGVO ist die Übermittlung von Daten in Drittländer (Länder außerhalb der EU/EWR).

Angemessenheitsbeschlüsse

Die EU-Kommission kann entscheiden, dass ein Drittland ein der EU gleichwertiges Datenschutzniveau bietet. In diese Länder (z. B. Schweiz, Japan, Großbritannien, teilweise Kanada) dürfen Daten frei fließen.

Geeignete Garantien

Fehlt ein Angemessenheitsbeschluss (wie lange Zeit bei den USA), müssen geeignete Garantien geschaffen werden. Das wichtigste Instrument sind die Standardvertragsklauseln (SCC) der EU-Kommission. Dies sind vorgefertigte Verträge, die der Datenexporteur und der Datenimporteur unterzeichnen müssen, um das Schutzniveau vertraglich zu sichern.

Das „Schrems II“-Urteil

Der Europäische Gerichtshof (EuGH) hat im Jahr 2020 das „Privacy Shield“-Abkommen mit den USA für ungültig erklärt. Seitdem reicht die Unterzeichnung von Standardvertragsklauseln allein nicht mehr aus. Der Datenexporteur muss zusätzlich prüfen, ob das Recht des Drittlandes (z. B. US-Überwachungsgesetze) die Wirksamkeit der Klauseln untergräbt. Ist dies der Fall, müssen zusätzliche technische Maßnahmen (z. B. Ende-zu-Ende-Verschlüsselung, bei der der Empfänger keinen Schlüssel hat) ergriffen werden.

Sanktionen und Bußgelder

Die DSGVO ist bekannt für ihre hohen Strafandrohungen, die als abschreckend wirken sollen. Die Aufsichtsbehörden in den Mitgliedstaaten (in Deutschland die Landesdatenschutzbehörden) können bei Verstößen empfindliche Bußgelder verhängen.

Die Bußgeldkategorien

Je nach Schwere des Verstoßes unterscheiden sich die Obergrenzen:

1. Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes: Für Verstöße gegen Pflichten von Verantwortlichen und Auftragsverarbeitern (z. B. unzureichende Sicherheit, fehlende Verzeichnisse, keine Meldung von Datenlecks).
2. Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes: Für Verstöße gegen die Grundprinzipien der Verarbeitung, die Rechte der betroffenen Personen (z. B. Verweigerung von Auskunft oder Löschung) oder die Regeln zur internationalen Datenübermittlung.

Der jeweils höhere Betrag ist maßgeblich. In der Praxis orientieren sich die Behörden bei der Bemessung an der Schwere, der Dauer, dem Verschulden, den ergriffenen Abhilfemaßnahmen und der Kooperationsbereitschaft des Unternehmens.

Besonderheiten für Onlinelexika und digitale Inhalte

Für Ihr Projekt eines Onlinelexikons im PC-Bereich sind folgende Aspekte der DSGVO besonders relevant:

Kommentarfunktionen und Nutzerkonten

Wenn Nutzer Kommentare verfassen oder Konten erstellen, werden personenbezogene Daten (Name, E-Mail, ggf. IP-Adresse) verarbeitet.

• Rechtsgrundlage: Meist Vertragserfüllung (Nutzungsbedingungen) oder berechtigtes Interesse (Schutz vor Spam).
• Pflicht: Sie müssen in den AGB und der Datenschutzerklärung klarstellen, welche Daten gespeichert werden und wie lange (z. B. IP-Adressen von Kommentaren oft für 7 Tage zur Verfolgung von Beleidigungen).

Analyse-Tools und Tracking

Die Nutzung von Tools wie Google Analytics, Matomo oder Social-Media-Plugins fällt unter strenge Regeln.

• Einwilligung: Für nicht-notwendige Cookies und Tracking-Tools ist in der EU eine aktive Einwilligung (Opt-In) über ein Cookie-Banner zwingend erforderlich. Ein „Weiter surfen“ gilt nicht als Einwilligung.
• IP-Anonymisierung: Wenn Analyse-Tools genutzt werden, muss die IP-Adresse der Nutzer meist anonymisiert werden, bevor sie gespeichert wird.

Server-Logfiles

Jeder Webserver speichert automatisch Zugriffsdaten (IP, Uhrzeit, Browser-Typ), um die Sicherheit zu gewährleisten und Störungen zu beheben.

• Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f).
• Löschfrist: Diese Daten müssen in der Regel nach 7 Tagen gelöscht oder anonymisiert werden, sofern kein konkreter Sicherheitsvorfall vorliegt.

Recht am eigenen Bild und Zitate

Auch wenn die DSGVO primär Daten schützt, spielt im Kontext eines Lexikons das Urheberrecht und das Recht am eigenen Bild eine Rolle. Das Veröffentlichen von Fotos realer Personen ohne Einwilligung ist datenschutzrechtlich und zivilrechtlich problematisch, es sei denn, es handelt sich um Personen der Zeitgeschichte.

Fazit und Ausblick

Die DSGVO hat das Internet nachhaltig verändert. Sie hat Transparenz zum Standard gemacht und Nutzern Werkzeuge an die Hand gegeben, um über ihre digitalen Spuren zu bestimmen. Für Betreiber von Webseiten und Diensten bedeutet sie einen höheren administrativen Aufwand, schafft aber gleichzeitig Vertrauen bei den Nutzern. Ein datenschutzkonformes Onlinelexikon ist nicht nur rechtlich sicher, sondern signalisiert auch Seriosität und Respekt vor der Privatsphäre der Leser. Da sich die Rechtsprechung (insbesondere durch den EuGH) und die Technologien ständig weiterentwickeln, ist Datenschutz als fortlaufender Prozess zu verstehen, der regelmäßige Überprüfungen erfordert.