GDPR / DSGVO: Datenschutz-Grundverordnung
Seit 2018 der Referenzrahmen für Datenschutz in der EU — mit Verarbeitungsverzeichnis, Meldepflicht bei Datenschutzverletzungen binnen 72 Stunden, umfassenden Betroffenenrechten und Bußgeldern von bis zu 4 % des weltweiten Jahresumsatzes.
Der älteste, aber weiterhin zentrale Baustein der EU-Compliance-Landschaft.
Die Verordnung (EU) 2016/679 („DSGVO“/„GDPR“) regelt die Verarbeitung personenbezogener Daten EU-weit einheitlich und gilt unmittelbar in allen Mitgliedstaaten — für praktisch jede Organisation, die personenbezogene Daten von Personen in der EU verarbeitet, unabhängig vom eigenen Sitz.
Zentrale Bausteine sind das Verarbeitungsverzeichnis (Records of Processing Activities, ROPA, Art. 30), die Datenschutz-Folgenabschätzung (DPIA, Art. 35) bei voraussichtlich hohem Risiko, umfassende Betroffenenrechte (u. a. Auskunft, Löschung, Datenübertragbarkeit) sowie technische und organisatorische Maßnahmen (TOM, Art. 32).
Verglichen mit NIS2, DORA und dem AI Act ist die DSGVO seit 2018 vollständig anwendbar und wird primär durch Leitlinien des Europäischen Datenschutzausschusses (EDPB) sowie nationaler Aufsichtsbehörden (in Österreich: die Datenschutzbehörde, DSB) konkretisiert.
Wichtige Stichtage
DSGVO tritt in Kraft
Verordnung (EU) 2016/679 im Amtsblatt veröffentlicht; zweijährige Übergangsfrist bis zur vollständigen Anwendbarkeit.
DSGVO vollständig anwendbar
Art. 99 Abs. 2: Anwendungsbeginn der Verordnung EU-weit — bis heute in Kraft, ohne weitere Übergangsfristen.
Meldung von Datenschutzverletzungen
Art. 33 Abs. 1: Meldung an die Aufsichtsbehörde „ohne unangemessene Verzögerung, wenn möglich binnen 72 Stunden“ nach Bekanntwerden der Verletzung.
Bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes
Art. 83 Abs. 5 (schwerere Verstöße, u. a. Grundprinzipien, Betroffenenrechte); Art. 83 Abs. 4 sieht für andere Verstöße — u. a. bestimmte Meldepflichtverletzungen — einen niedrigeren Rahmen bis 10 Mio. € / 2 % vor.
Was die DSGVO konkret verlangt.
Verarbeitungsverzeichnis (ROPA, Art. 30)
Dokumentation aller Verarbeitungstätigkeiten personenbezogener Daten — Zwecke, Kategorien, Empfänger, Löschfristen, TOM-Verweise.
Datenschutz-Folgenabschätzung (DPIA, Art. 35)
Bei voraussichtlich hohem Risiko für Betroffene: strukturierte Bewertung von Risiko, Notwendigkeit und Verhältnismäßigkeit der Verarbeitung vor deren Beginn.
Meldepflicht bei Datenschutzverletzungen
Meldung an die Aufsichtsbehörde binnen 72 Stunden (Art. 33), bei hohem Risiko zusätzlich Benachrichtigung der betroffenen Personen (Art. 34).
Betroffenenrechte (DSAR)
Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch — grundsätzlich binnen eines Monats zu beantworten (Art. 12 Abs. 3).
ROPA, DPIA und DSAR — nahtlos mit ISO 27001 verknüpft.
Das ReportAct Framework-Pack GDPR führt ein Verarbeitungsverzeichnis nach Art. 30, unterstützt Datenschutz-Folgenabschätzungen nach Art. 35 mit KI-gestütztem Entwurf und stellt einen öffentlichen DSAR-Posteingang für Betroffenenanfragen bereit (/dsar/[slug]).
Die TOM-Bewertung nach Art. 32 ist direkt mit dem ISO/IEC 27001-Kontrollkatalog verknüpft — technische und organisatorische Maßnahmen müssen nicht zweifach dokumentiert werden.
Bei einer meldepflichtigen Datenschutzverletzung liefert die versiegelte Nachweiskette den Beleg, wann welche Maßnahme in Kraft war — relevant für die 72-Stunden-Frist und die Dokumentationspflicht nach Art. 33 Abs. 5.
Produkt-/Positionierungsaussage, keine Rechtsberatung.
Direkt nachlesen
ReportAct ist kein Beratungsunternehmen. Diese Seite ersetzt keine Rechtsberatung. Der Bußgeldrahmen nach Art. 83 ist zweistufig: Art. 83 Abs. 4 (bis 10 Mio. € / 2 %) und Art. 83 Abs. 5 (bis 20 Mio. € / 4 %) gelten für unterschiedliche Arten von Verstößen — welcher Rahmen im Einzelfall greift, hängt vom konkreten Verstoß ab. Es gelten unsere AGB.
ROPA, DPIA, DSAR — versiegelt statt behauptet.
Sie starten sofort mit Ihrem Verarbeitungsverzeichnis — inklusive DSAR-Posteingang und TOM-Bewertung.