Datenschutz: Compliance-Herausforderungen mit Einführung der Europäischen Datenschutzgrundverordnung

Datenschutz Compliance
Datenschutz Compliance

Datenschutz ist längst mehr als eine Frage der Datenschutzerklärung. Unternehmen verarbeiten täglich Kunden-, Mitarbeiter- und Geschäftsdaten. Fehler können Bußgelder, Schadensersatz und erhebliche Reputationsschäden auslösen. Datenschutz-Compliance bedeutet deshalb, Datenverarbeitung rechtlich zu prüfen, Verantwortlichkeiten festzulegen und technische Schutzmaßnahmen regelmäßig zu kontrollieren.

Welche Pflichten gelten nach der DSGVO?

Die Datenschutz-Grundverordnung verlangt vor allem einen rechtmäßigen und transparenten Umgang mit personenbezogenen Daten. Unternehmen müssen für jede Verarbeitung eine tragfähige Rechtsgrundlage haben.

Hinzu kommen organisatorische Pflichten. Dazu gehören insbesondere:

  • klare Zuständigkeiten,
  • Dokumentation von Verarbeitungsvorgängen,
  • Lösch- und Berechtigungskonzepte,
  • Auftragsverarbeitungsverträge,
  • technische und organisatorische Schutzmaßnahmen,
  • Verfahren für Auskunfts- und Löschungsanträge,
  • Abläufe für Datenschutzverletzungen.

Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Art. 33 DSGVO verpflichtet Unternehmen zudem, bestimmte Datenschutzverletzungen möglichst binnen 72 Stunden der Aufsichtsbehörde zu melden.

Bußgelder können sehr hoch ausfallen

Art. 83 DSGVO sieht bei besonders schweren Verstößen Geldbußen bis zu 20 Millionen Euro vor. Bei Unternehmen können bis zu vier Prozent des weltweiten Jahresumsatzes maßgeblich sein, wenn dieser Betrag höher liegt.

Der EuGH, Urteil vom 5. Dezember 2023 (C-807/21 – Deutsche Wohnen), hat die Unternehmenshaftung deutlich geprägt. Eine juristische Person kann als Verantwortliche unmittelbar mit einer Geldbuße belegt werden. Die Behörde muss aber einen vorsätzlichen oder fahrlässigen Verstoß nachweisen.

Der EuGH, Urteil vom 13. Februar 2025 (C-383/23 – ILVA), hat die Bedeutung des Konzernumsatzes zusätzlich hervorgehoben. Bei der Bemessung einer Geldbuße kann deshalb der Umsatz der wirtschaftlichen Unternehmenseinheit erhebliches Gewicht erhalten.

Beschäftigtendaten sind besonders sensibel

Unternehmen verarbeiten täglich Daten ihrer Mitarbeiter. § 26 BDSG erlaubt dies nur unter bestimmten Voraussetzungen. Bei internen Ermittlungen gelten zusätzliche Grenzen. Zur Aufdeckung von Straftaten müssen dokumentierte tatsächliche Anhaltspunkte vorliegen. Die Datenverarbeitung muss erforderlich und verhältnismäßig bleiben. Das BAG, Urteil vom 25. Juli 2024 (8 AZR 225/23), hat dies deutlich gezeigt. Ein Arbeitgeber ließ einen Mitarbeiter durch eine Detektei überwachen. Dabei entstanden Gesundheitsdaten. Das BAG wertete die Verarbeitung als unzulässig und sprach dem Arbeitnehmer Schadensersatz zu.

Interne Compliance-Berichte sind kein Freibrief

Auch interne Untersuchungen erzeugen sensible Daten. Unternehmen sollten deshalb vor Beginn festlegen, wer welche Informationen erhält und wie lange sie gespeichert werden. Das BAG, Urteil vom 16. April 2026 (8 AZR 169/25), hat entschieden: Art. 15 DSGVO gibt grundsätzlich keinen Anspruch auf eine vollständige Kopie eines Compliance-Berichts. Der Auskunftsanspruch betrifft vielmehr die darin enthaltenen personenbezogenen Daten. Das erleichtert interne Untersuchungen nicht grenzenlos. Die Datenerhebung selbst muss weiterhin rechtmäßig bleiben.

Datenschutz-Compliance und Strafverfahren

Datenschutzverstöße bleiben nicht immer auf das Aufsichtsrecht beschränkt. Je nach Sachverhalt können weitere Vorschriften hinzukommen.

Denkbar sind beispielsweise:

Außerdem können Datenschutzprobleme bei internen Ermittlungen wichtige Beweise betreffen. Unternehmen sollten Datenschutz und Strafrecht deshalb gemeinsam betrachten.

Wie kann ich Unternehmen unterstützen?

Ich prüfe Datenschutz-Compliance vor allem dort, wo strafrechtliche Risiken entstehen können. Das betrifft insbesondere:

  • interne Ermittlungen,
  • Auswertung von Mitarbeiterdaten,
  • digitale Beweismittel,
  • Geschäftsgeheimnisse,
  • Cybervorfälle,
  • behördliche Ermittlungen.

Bei technisch komplexen Fragen arbeite ich mit ausgewählten IT-Sachverständigen und Analysten zusammen. Datenschutz-Compliance bedeutet heute mehr als Formulare und Einwilligungen. Entscheidend sind klare Prozesse, belastbare Rechtsgrundlagen und eine nachvollziehbare Dokumentation.

Rechtsanwalt Oliver Marson
Fachanwalt für Strafrecht in Berlin
Persönliche Beratung im Wirtschafts- und Unternehmensstrafrecht