GDPR / DSGVO: Datenschutz-Grundverordnung
Seit 2018 der Referenzrahmen für Datenschutz in der EU: mit Verarbeitungsverzeichnis, Meldepflicht bei Datenschutzverletzungen binnen 72 Stunden, Betroffenenrechten und Bußgeldern von bis zu 4 % des weltweiten Jahresumsatzes.
Der älteste und weiterhin zentrale Baustein der EU-Compliance.
Die Verordnung (EU) 2016/679 („DSGVO“/„GDPR“) regelt die Verarbeitung personenbezogener Daten EU-weit einheitlich und gilt unmittelbar in allen Mitgliedstaaten, für praktisch jede Organisation, die personenbezogene Daten von Personen in der EU verarbeitet, unabhängig vom Sitz.
Zentrale Bausteine sind das Verarbeitungsverzeichnis (Records of Processing Activities, ROPA, Art. 30), die Datenschutz-Folgenabschätzung (DPIA, Art. 35) bei voraussichtlich hohem Risiko, Betroffenenrechte (u. a. Auskunft, Löschung, Datenübertragbarkeit) sowie technische und organisatorische Maßnahmen (TOM, Art. 32).
Anders als NIS2, DORA und AI Act ist die DSGVO seit 2018 vollständig anwendbar; konkretisiert wird sie primär durch Leitlinien des Europäischen Datenschutzausschusses (EDPB) sowie nationaler Aufsichtsbehörden (in Österreich: die Datenschutzbehörde, DSB).
Wichtige Stichtage
DSGVO tritt in Kraft
Verordnung (EU) 2016/679 im Amtsblatt veröffentlicht; zweijährige Übergangsfrist bis zur vollständigen Anwendbarkeit.
DSGVO vollständig anwendbar
Art. 99 Abs. 2: Anwendungsbeginn der Verordnung EU-weit — ohne weitere Übergangsfristen.
Meldung von Datenschutzverletzungen
Art. 33 Abs. 1: Meldung an die Aufsichtsbehörde „ohne unangemessene Verzögerung, wenn möglich binnen 72 Stunden“ nach Bekanntwerden der Verletzung.
Bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes
Art. 83 Abs. 5 (schwerere Verstöße, u. a. Grundprinzipien, Betroffenenrechte); Art. 83 Abs. 4 sieht für andere Verstöße — u. a. bestimmte Meldepflichtverletzungen — einen niedrigeren Rahmen bis 10 Mio. € / 2 % vor.
Was die DSGVO konkret verlangt.
Verarbeitungsverzeichnis (ROPA, Art. 30)
Dokumentation aller Verarbeitungstätigkeiten personenbezogener Daten — Zwecke, Kategorien, Empfänger, Löschfristen, TOM-Verweise.
Datenschutz-Folgenabschätzung (DPIA, Art. 35)
Bei voraussichtlich hohem Risiko für Betroffene: strukturierte Bewertung von Risiko, Notwendigkeit und Verhältnismäßigkeit der Verarbeitung vor deren Beginn.
Meldepflicht bei Datenschutzverletzungen
Meldung an die Aufsichtsbehörde binnen 72 Stunden (Art. 33), bei hohem Risiko zusätzlich Benachrichtigung der betroffenen Personen (Art. 34).
Betroffenenrechte (DSAR)
Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch — grundsätzlich binnen eines Monats zu beantworten (Art. 12 Abs. 3).
ROPA, DPIA und DSAR, mit ISO 27001 verknüpft.
Das Framework-Pack GDPR führt ein Verarbeitungsverzeichnis nach Art. 30, unterstützt Datenschutz-Folgenabschätzungen nach Art. 35 mit KI-gestütztem Entwurf und bietet einen öffentlichen DSAR-Posteingang für Betroffenenanfragen (/dsar/[slug]).
Die TOM-Bewertung nach Art. 32 ist direkt mit dem ISO/IEC 27001-Kontrollkatalog verknüpft; Maßnahmen werden nicht zweifach dokumentiert.
Bei einer meldepflichtigen Datenschutzverletzung belegt die versiegelte Nachweiskette, wann welche Maßnahme in Kraft war, relevant für die 72-Stunden-Frist und die Dokumentationspflicht nach Art. 33 Abs. 5.
Produkt-/Positionierungsaussage, keine Rechtsberatung.
Direkt nachlesen
ReportAct ist kein Beratungsunternehmen. Diese Seite ersetzt keine Rechtsberatung. Der Bußgeldrahmen nach Art. 83 ist zweistufig: Art. 83 Abs. 4 (bis 10 Mio. € / 2 %) und Art. 83 Abs. 5 (bis 20 Mio. € / 4 %) gelten für unterschiedliche Arten von Verstößen — welcher Rahmen im Einzelfall greift, hängt vom konkreten Verstoß ab. Es gelten unsere AGB.
ROPA, DPIA, DSAR — versiegelt statt behauptet.
Starten Sie mit Ihrem Verarbeitungsverzeichnis, inklusive DSAR-Posteingang und TOM-Bewertung.
- Verarbeitungsverzeichnis (ROPA, Art. 30)
- Datenschutz-Folgenabschätzung (DPIA, Art. 35)
- Meldepflicht bei Datenschutzverletzungen