Auch genannt: DSGVO, GDPR (General Data Protection Regulation)
Die Datenschutz-Grundverordnung ist eine Verordnung der Europäischen Union zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr. Sie gilt seit dem 25. Mai 2018. Ihr amtlicher Name lautet Verordnung (EU) 2016/679. Die DSGVO ist kein allgemeines „Datenverbot“: Sie setzt einen Rechtsrahmen dafür, wann und wie Organisationen Daten verarbeiten dürfen und welche Rechte betroffene Menschen haben.
Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen können. Das kann ein Name sein, aber je nach Zusammenhang auch eine Kennung, ein Standortdatum oder eine Kombination von Angaben. Was genau darunter fällt, erläutert der Eintrag Personenbezogene Daten.
Die DSGVO beantwortet im Kern drei Fragen: Wer entscheidet über Zweck und Mittel einer Verarbeitung? Auf welcher Grundlage darf sie stattfinden? Und welche Kontroll- und Schutzrechte haben die betroffenen Personen? Sie richtet sich vor allem an Verantwortliche, also etwa Unternehmen, Behörden oder Vereine, die diese Entscheidungen treffen. Dienstleister können als Auftragsverarbeiter eingebunden sein; ihre Rolle und die vertragliche Ausgestaltung bleiben trotzdem zu prüfen.
Die Verordnung schützt nicht Informationen als abstraktes Gut, sondern Menschen in ihrer Beziehung zu Daten. Deshalb kommt es auf den konkreten Verarbeitungsvorgang an: Eine E-Mail-Adresse kann für die Abwicklung eines Vertrags erforderlich sein, für einen Newsletter aber regelmäßig eine andere Rechtsgrundlage verlangen. Die Europäische Kommission ordnet die DSGVO als Teil des EU-Datenschutzrechts ein und verweist darauf, dass sie Regeln für Unternehmen und öffentliche Stellen im digitalen Binnenmarkt vereinheitlichen soll.
Die DSGVO ist unmittelbar geltendes EU-Recht. Sie enthält Grundsätze, Rechte und Pflichten, die beim einzelnen Verarbeitungsvorgang zusammengeführt werden müssen. Artikel 5 nennt unter anderem Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Verantwortliche müssen diese Grundsätze nicht nur beachten, sondern ihre Einhaltung auch nachweisen können. Das wird häufig als Rechenschaftspflicht bezeichnet.
Praktisch beginnt die Prüfung damit, den Zweck klar zu benennen: Soll ein Kundenkonto geführt, eine Rechnung verschickt oder ein Newsletter versendet werden? Danach ist die passende Rechtsgrundlage zu bestimmen. Die DSGVO kennt beispielsweise die Einwilligung, die Erforderlichkeit für einen Vertrag, rechtliche Pflichten und bestimmte berechtigte Interessen. Eine Einwilligung ist daher nicht automatisch für jede Datenverarbeitung nötig und auch nicht stets die belastbarste Wahl.
Anschließend gehören Information der Betroffenen, angemessene technische und organisatorische Schutzmaßnahmen sowie klare Zuständigkeiten zum Prozess. Je nach Risiko können weitere Pflichten hinzukommen, etwa ein Verzeichnis von Verarbeitungstätigkeiten, eine Datenschutz-Folgenabschätzung oder Regeln für die Übermittlung in Drittländer. Die Details hängen von Art, Umfang, Umständen und Zwecken der Verarbeitung ab; eine kurze Website-Checkliste kann diese Bewertung nicht ersetzen.
Die Verordnung wurde am 24. Mai 2016 wirksam und ist seit dem 25. Mai 2018 anwendbar. Sie ist außerdem in das EWR-Abkommen aufgenommen worden. Für die verbindliche Auslegung sind der amtliche Verordnungstext, Rechtsprechung und die zuständigen Aufsichtsbehörden maßgeblich.
Ein kleiner Onlinehändler verarbeitet eine Lieferadresse, um die bestellte Ware zu versenden. Dafür muss er nachvollziehbar festlegen, welche Daten für Bestellung, Versand und Rechnung benötigt werden, wer Zugriff erhält und wie lange einzelne Unterlagen aufzubewahren sind. Für die Vertragserfüllung kann die Verarbeitung der Lieferdaten erforderlich sein; das ist etwas anderes als die Nutzung derselben Adresse für Werbe-E-Mails.
Möchte der Händler einen Newsletter anbieten, sollte er Zweck, Rechtsgrundlage und Widerrufsmöglichkeit getrennt betrachten. Die Datenschutzhinweise müssen verständlich erklären, wer verarbeitet, welche Daten betroffen sind, warum dies geschieht und welche Rechte bestehen. Setzt der Händler einen externen Versanddienst ein, ist außerdem die Rolle dieses Dienstleisters und die erforderliche Vereinbarung zu prüfen.
Das Beispiel zeigt einen wichtigen Punkt: DSGVO-Konformität entsteht nicht allein durch einen Text im Footer. Sie betrifft die tatsächliche Datenverarbeitung, ihre Dokumentation, Zugriffsrechte und die Auswahl eingesetzter Dienste.
Die DSGVO bildet den Rechtsrahmen für viele alltägliche digitale und nicht digitale Prozesse: Kundenverwaltung, Beschäftigtendaten, Bewerbungen, Support-Anfragen, Terminbuchungen, Videoüberwachung oder die Verwaltung von Nutzerkonten. Sie verlangt nicht, dass jede Organisation dieselben Maßnahmen ergreift. Angemessenheit und Risiko sind entscheidend.
Für betroffene Personen schafft die Verordnung Rechte, darunter Auskunft, Berichtigung, Löschung unter den gesetzlichen Voraussetzungen, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch in bestimmten Fällen. Organisationen brauchen Verfahren, um solche Anfragen fristgerecht und nachvollziehbar zu bearbeiten.
Auch digitale Systeme werden durch die DSGVO berührt: Zugriffssteuerung, Protokollierung, Löschkonzepte und die Auswahl von Cloud- oder Analysewerkzeugen können datenschutzrechtlich relevant sein. Bei KI-Systemen überschneiden sich Datenschutzfragen teilweise mit anderen Vorgaben. Der EU AI Act ist jedoch ein eigener Rechtsakt mit anderem Regelungsgegenstand; er ersetzt die DSGVO nicht.
Ein verbreitetes Missverständnis lautet, die DSGVO verbiete das Speichern personenbezogener Daten grundsätzlich. Tatsächlich erlaubt sie Verarbeitung unter Voraussetzungen und verpflichtet zur Begrenzung auf einen klaren Zweck, eine Rechtsgrundlage und angemessene Schutzmaßnahmen. Umgekehrt macht eine eingeholte Einwilligung nicht jede Verarbeitung automatisch zulässig: Sie muss die gesetzlichen Anforderungen erfüllen und zum jeweiligen Zweck passen.
Die DSGVO gilt nicht nur für große Plattformen. Auch kleine Unternehmen, Vereine oder Selbstständige können Verantwortliche sein. Welche konkreten Pflichten greifen, lässt sich aber nicht allein aus der Größe ableiten. Eine risikoreiche, umfangreiche oder besonders sensible Verarbeitung kann weitergehende Anforderungen auslösen.
Nicht jede Frage lässt sich direkt aus der Verordnung ohne Kontext beantworten. Nationale Gesetze können Öffnungsklauseln ausfüllen; Gerichtsentscheidungen und Leitlinien präzisieren die Anwendung. Dieser Artikel erklärt deshalb den Rahmen für die EU und den EWR, nicht die Bewertung eines einzelnen Falls und keine individuelle Rechtsberatung.
Die DSGVO ist nicht mit einer Datenschutzerklärung gleichzusetzen. Eine Datenschutzerklärung informiert über Verarbeitungsvorgänge; sie schafft aber keine fehlende Rechtsgrundlage und ersetzt keine Sicherheitsmaßnahmen.
Sie ist auch nicht dasselbe wie die ePrivacy-Regeln, die insbesondere für elektronische Kommunikation und bestimmte Endgerätezugriffe wichtig sein können. Bei Cookies oder vergleichbaren Technologien können beide Regelungsbereiche relevant werden. Schließlich ist Datenschutz von Informationssicherheit zu unterscheiden: Sicherheit schützt Vertraulichkeit, Integrität und Verfügbarkeit von Informationen; Datenschutz richtet den Blick zusätzlich auf die Rechte natürlicher Personen und die Rechtmäßigkeit der Verarbeitung.
Rechtsraum: Europäische Union und Europäischer Wirtschaftsraum. Fachlicher Stand: 13. September 2026. Für den verbindlichen Wortlaut ist der konsolidierte Text der Verordnung (EU) 2016/679 auf EUR-Lex maßgeblich. Die Europäische Kommission zum Rechtsrahmen des EU-Datenschutzes erläutert Einordnung, Anwendungsbeginn und Geltung im EWR.