Datenschutz-Begriffe einfach erklärt
Kompakte, rechtssichere Erklärungen zentraler Begriffe aus DSGVO, Informationssicherheit, Hinweisgeberschutz und EU AI Act.
Was ist die DSGVO?
Die Datenschutz-Grundverordnung (DSGVO) ist die zentrale EU-Verordnung zum Schutz personenbezogener Daten. Sie gilt seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten.
Begriff ansehenWas ist ein externer Datenschutzbeauftragter?
Ein externer Datenschutzbeauftragter (DSB) ist eine unternehmensfremde Person oder Organisation, die die gesetzlich vorgeschriebenen Aufgaben eines Datenschutzbeauftragten übernimmt, ohne beim Unternehmen angestellt zu sein.
Begriff ansehenWas ist ein Auftragsverarbeitungsvertrag (AVV)?
Ein Auftragsverarbeitungsvertrag (AVV) regelt vertraglich, wie ein Dienstleister personenbezogene Daten im Auftrag eines Unternehmens verarbeiten darf.
Begriff ansehenWas ist ein Verzeichnis von Verarbeitungstätigkeiten (VVT)?
Das Verzeichnis von Verarbeitungstätigkeiten (VVT) dokumentiert strukturiert, welche personenbezogenen Daten ein Unternehmen zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange verarbeitet.
Begriff ansehenWas ist eine Datenschutz-Folgenabschätzung (DSFA)?
Die Datenschutz-Folgenabschätzung (DSFA) ist eine verpflichtende Risikoanalyse für Verarbeitungen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen mit sich bringen.
Begriff ansehenWas sind technische und organisatorische Maßnahmen (TOM)?
Technische und organisatorische Maßnahmen (TOM) sind konkrete Schutzvorkehrungen – von Verschlüsselung bis Zutrittskontrolle –, mit denen Unternehmen die Sicherheit personenbezogener Daten gewährleisten.
Begriff ansehenWas ist das Hinweisgeberschutzgesetz (HinSchG)?
Das Hinweisgeberschutzgesetz (HinSchG) schützt Beschäftigte, die Rechtsverstöße im Unternehmen melden, vor Repressalien – und verpflichtet Unternehmen ab 50 Beschäftigten zu einem internen Meldekanal.
Begriff ansehenWas ist der EU AI Act?
Der EU AI Act ist die erste umfassende EU-Verordnung zur Regulierung von Künstlicher Intelligenz. Er teilt KI-Systeme nach Risikoklassen ein und legt davon abhängige Pflichten für Anbieter und Betreiber fest.
Begriff ansehenWas bedeutet KI-Governance?
KI-Governance bezeichnet die internen Strukturen, Prozesse und Verantwortlichkeiten, mit denen ein Unternehmen den Einsatz von Künstlicher Intelligenz rechtssicher, nachvollziehbar und risikobewusst steuert.
Begriff ansehenWas ist das Auskunftsrecht nach Art. 15 DSGVO?
Das Auskunftsrecht gibt jeder Person das Recht zu erfahren, ob und wie ein Unternehmen personenbezogene Daten über sie verarbeitet – inklusive einer Kopie dieser Daten.
Begriff ansehenWas ist ein Löschkonzept?
Ein Löschkonzept legt fest, wann welche personenbezogenen Daten gelöscht oder anonymisiert werden – und setzt damit den Grundsatz der Speicherbegrenzung aus Art. 5 DSGVO praktisch um.
Begriff ansehenWas muss eine Datenschutzerklärung enthalten?
Die Datenschutzerklärung informiert Besucher und Kunden transparent darüber, welche personenbezogenen Daten ein Unternehmen erhebt, zu welchem Zweck und auf welcher Rechtsgrundlage.
Begriff ansehenWann ist eine Cookie-Einwilligung erforderlich?
Für die meisten Cookies und vergleichbaren Technologien, die nicht technisch zwingend erforderlich sind, ist die vorherige, informierte Einwilligung der Nutzer notwendig.
Begriff ansehenWas ist eine Datenschutzverletzung?
Eine Datenschutzverletzung (Data Breach) liegt vor, wenn personenbezogene Daten unbefugt offengelegt, verändert, verloren oder zerstört werden – etwa durch einen Hackerangriff oder eine Fehlversendung.
Begriff ansehenWas unterscheidet Verantwortlichen und Auftragsverarbeiter?
Der Verantwortliche entscheidet über Zwecke und Mittel der Datenverarbeitung, der Auftragsverarbeiter verarbeitet Daten ausschließlich nach dessen Weisung – etwa als IT-Dienstleister.
Begriff ansehenWas ist ein Drittlandtransfer?
Ein Drittlandtransfer liegt vor, wenn personenbezogene Daten in ein Land außerhalb der EU oder des EWR übermittelt werden – etwa an einen Cloud-Anbieter mit Servern in den USA.
Begriff ansehenWas bedeutet Privacy by Design und by Default?
Privacy by Design verlangt, Datenschutz bereits bei der Entwicklung von Produkten, Systemen und Prozessen mitzudenken – Privacy by Default, dass datenschutzfreundliche Voreinstellungen standardmäßig aktiv sind.
Begriff ansehenWas regelt der Beschäftigtendatenschutz?
Der Beschäftigtendatenschutz regelt, unter welchen Voraussetzungen Arbeitgeber personenbezogene Daten ihrer Mitarbeitenden verarbeiten dürfen – von der Bewerbung bis zum Ende des Arbeitsverhältnisses.
Begriff ansehenWie hoch können Bußgelder nach der DSGVO ausfallen?
Bußgelder nach der DSGVO können je nach Verstoß bis zu 20 Millionen Euro oder 4 % des weltweiten Konzernjahresumsatzes betragen – je nachdem, welcher Betrag höher ist.
Begriff ansehenWas ist ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001?
Ein Informationssicherheits-Managementsystem (ISMS) definiert Regeln, Verfahren und Verantwortlichkeiten, mit denen ein Unternehmen die Sicherheit seiner Informationswerte systematisch steuert. ISO 27001 ist der international anerkannte Standard dafür.
Begriff ansehenWas ist die NIS2-Richtlinie?
Die NIS2-Richtlinie ist eine EU-Vorgabe zur Cybersicherheit, die deutlich mehr Unternehmen und Sektoren als bisher zu Risikomanagement-Maßnahmen und Meldepflichten bei Sicherheitsvorfällen verpflichtet.
Begriff ansehenWas ist ein Datenschutz-Management-System (DSMS)?
Ein Datenschutz-Management-System (DSMS) bündelt alle organisatorischen Strukturen, Prozesse und Dokumente, mit denen ein Unternehmen die DSGVO-Anforderungen dauerhaft und nachvollziehbar erfüllt.
Begriff ansehenWas ist gemeinsame Verantwortlichkeit (Joint Controllership)?
Gemeinsame Verantwortlichkeit liegt vor, wenn zwei oder mehr Unternehmen gemeinsam über Zwecke und Mittel einer Datenverarbeitung entscheiden – etwa bei gemeinsam betriebenen Plattformen oder Kooperationen.
Begriff ansehenAb wann besteht eine Bestellpflicht für einen Datenschutzbeauftragten?
Ein Datenschutzbeauftragter muss unter anderem bestellt werden, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind – unabhängig von Unternehmensgröße oder Branche.
Begriff ansehenWas umfasst professionelle Datenschutzberatung?
Datenschutzberatung umfasst die fachkundige Unterstützung von Unternehmen bei der Umsetzung, Bewertung und laufenden Pflege ihrer datenschutzrechtlichen Pflichten – unabhängig davon, ob zusätzlich ein Datenschutzbeauftragter bestellt wird.
Begriff ansehenWas ist ein Datenschutz-Audit?
Ein Datenschutz-Audit ist eine systematische Prüfung, wie gut die tatsächlichen Prozesse, Systeme und Dokumentationen eines Unternehmens den Anforderungen der DSGVO entsprechen.
Begriff ansehenWas bedeutet die DSGVO konkret für kleine und mittlere Unternehmen (KMU)?
Die DSGVO gilt unabhängig von der Unternehmensgröße – für kleine und mittlere Unternehmen bestehen jedoch einzelne Erleichterungen, insbesondere bei der Dokumentation, während die materiellen Pflichten weitgehend unverändert gelten.
Begriff ansehenWas ist AI Literacy (KI-Kompetenz)?
AI Literacy (KI-Kompetenz) bezeichnet die Pflicht von Unternehmen, sicherzustellen, dass Beschäftigte, die mit KI-Systemen arbeiten, über ausreichende Kenntnisse zu deren Funktionsweise, Chancen und Risiken verfügen.
Begriff ansehenWas gehört zu einer wirksamen Datenschutzschulung?
Eine Datenschutzschulung vermittelt Beschäftigten praxisnah, welche Datenschutzregeln in ihrem Arbeitsalltag gelten und wie sie typische Risikosituationen erkennen und richtig handhaben.
Begriff ansehenWelche Rechte haben Betroffene nach der DSGVO?
Betroffenenrechte sind die in Art. 15 bis 22 DSGVO geregelten Ansprüche natürlicher Personen gegenüber Unternehmen, die ihre personenbezogenen Daten verarbeiten – von Auskunft über Berichtigung bis zu Löschung und Widerspruch.
Begriff ansehenWas umfasst das Recht auf Löschung nach Art. 17 DSGVO?
Das Recht auf Löschung – auch "Recht auf Vergessenwerden" genannt – gibt Betroffenen unter bestimmten Voraussetzungen einen Anspruch darauf, dass ein Unternehmen ihre personenbezogenen Daten unverzüglich löscht.
Begriff ansehenWas regelt das Widerspruchsrecht nach Art. 21 DSGVO?
Das Widerspruchsrecht erlaubt es Betroffenen, einer Verarbeitung ihrer Daten zu widersprechen, die auf berechtigtem Interesse oder öffentlichem Interesse beruht – bei Direktwerbung wirkt der Widerspruch absolut und ohne Begründungspflicht.
Begriff ansehenWann ist eine Einwilligung nach der DSGVO wirksam?
Eine Einwilligung ist eine der sechs möglichen Rechtsgrundlagen für die Verarbeitung personenbezogener Daten und muss freiwillig, informiert, für den bestimmten Fall und unmissverständlich abgegeben werden.
Begriff ansehenWelche Rechtsgrundlagen erlaubt die DSGVO für die Datenverarbeitung?
Jede Verarbeitung personenbezogener Daten benötigt eine der sechs in Art. 6 Abs. 1 DSGVO abschließend aufgezählten Rechtsgrundlagen – ohne eine davon ist die Verarbeitung grundsätzlich unrechtmäßig.
Begriff ansehenWas sind besondere Kategorien personenbezogener Daten?
Besondere Kategorien personenbezogener Daten – umgangssprachlich oft "sensible Daten" genannt – umfassen u. a. Gesundheits-, biometrische und genetische Daten sowie Angaben zu ethnischer Herkunft, politischer Meinung oder sexueller Orientierung und unterliegen einem erhöhten Schutzniveau.
Begriff ansehenWas ist ein Hochrisiko-KI-System nach dem EU AI Act?
Ein Hochrisiko-KI-System ist ein KI-System, das der EU AI Act aufgrund seines Einsatzbereichs oder Anwendungszwecks als potenziell besonders risikobehaftet für Gesundheit, Sicherheit oder Grundrechte einstuft – verbunden mit umfangreichen Pflichten für Anbieter und Betreiber.
Begriff ansehenWelche KI-Praktiken verbietet der EU AI Act?
Der EU AI Act verbietet seit dem 2. Februar 2025 bestimmte KI-Praktiken, die als unvertretbares Risiko für Grundrechte gelten – etwa manipulative Systeme, bestimmtes Social Scoring und weitgehend die biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum.
Begriff ansehenWas regelt die Kennzeichnungspflicht für KI-generierte Inhalte?
Ab dem 2. August 2026 müssen bestimmte KI-generierte oder -manipulierte Inhalte – etwa Texte, Bilder, Audio- und Videoinhalte – für Nutzer erkennbar als solche gekennzeichnet werden.
Begriff ansehenWas kostet ein externer Datenschutzbeauftragter?
Die Kosten für einen externen Datenschutzbeauftragten hängen von Unternehmensgröße, Branche, Anzahl und Komplexität der Verarbeitungen sowie dem gewünschten Betreuungsumfang ab – pauschale Festpreise ohne vorherige Analyse sind selten realistisch.
Begriff ansehenInterner oder externer Datenschutzbeauftragter – was ist sinnvoller?
Unternehmen können die Aufgaben des Datenschutzbeauftragten intern durch eigenes Personal oder extern durch eine spezialisierte Person bzw. Organisation besetzen – beide Modelle sind rechtlich gleichwertig zulässig, unterscheiden sich aber deutlich in Aufwand, Kosten und Unabhängigkeit.
Begriff ansehenWelche Pflichten hat ein Auftragsverarbeiter nach Art. 28 DSGVO?
Ein Auftragsverarbeiter verarbeitet personenbezogene Daten weisungsgebunden im Auftrag eines Verantwortlichen und unterliegt eigenen, in Art. 28 DSGVO konkret geregelten Pflichten – von der Weisungsbindung bis zur Unterstützung bei Betroffenenanfragen.
Begriff ansehenWie funktioniert die Meldepflicht gegenüber der Aufsichtsbehörde?
Bei einer Datenschutzverletzung mit voraussichtlichem Risiko für Betroffene muss das Unternehmen die zuständige Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden informieren – mit klar definierten Pflichtangaben.
Begriff ansehenWas bedeutet Informationssicherheit im Unternehmen?
Informationssicherheit umfasst alle Maßnahmen zum Schutz von Vertraulichkeit, Integrität und Verfügbarkeit sämtlicher Informationswerte eines Unternehmens – unabhängig davon, ob personenbezogene Daten betroffen sind.
Begriff ansehenWas ist der Cyber Resilience Act (CRA)?
Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen einführt – von vernetzter Hardware bis zu Software – über deren gesamten Lebenszyklus.
Begriff ansehenKann ein DSGVO-Verstoß eine wettbewerbsrechtliche Abmahnung auslösen?
Neben Bußgeldern der Aufsichtsbehörden können bestimmte DSGVO-Verstöße – etwa fehlerhafte Datenschutzerklärungen oder unzulässiges Tracking – auch wettbewerbsrechtliche Abmahnungen nach sich ziehen, wobei die rechtliche Reichweite je nach Verstoßart und Rechtsprechung unterschiedlich beurteilt wird.
Begriff ansehenHaftet der Datenschutzbeauftragte persönlich für Datenschutzverstöße?
Grundsätzlich haftet nicht der Datenschutzbeauftragte persönlich für Datenschutzverstöße eines Unternehmens, sondern der Verantwortliche selbst – die beratende und überwachende Funktion des Datenschutzbeauftragten begründet keine eigene datenschutzrechtliche Außenhaftung.
Begriff ansehenWelche Fristen gelten für den EU AI Act?
Der EU AI Act tritt nicht auf einen Schlag in Kraft, sondern gestaffelt über mehrere Jahre – von bereits geltenden Verboten und der AI-Literacy-Pflicht bis zu späteren Anforderungen an Hochrisiko-Systeme.
Begriff ansehenWas muss auf einer Unternehmenswebsite datenschutzrechtlich beachtet werden?
Unternehmenswebsites unterliegen einer Reihe datenschutzrechtlicher Anforderungen – von einer vollständigen Datenschutzerklärung über rechtskonformen Cookie-Consent bis zur sicheren Gestaltung von Kontaktformularen.
Begriff ansehen