Datenschutz als Geschäftsrisiko — und als Chance.

DSGVO in der Praxis — wo Unternehmen am häufigsten scheitern

Die häufigsten Datenschutzverstöße, die zu Bußgeldern führen, betreffen nicht spektakuläre Datenlecks, sondern alltägliche Versäumnisse: fehlende oder unvollständige Informationspflichten nach Art. 13 und 14 DSGVO, eine unzureichende Rechtsgrundlage für die Verarbeitung (Art. 6 DSGVO), mangelhafte Einwilligungserklärungen oder schlicht das Fehlen eines Verzeichnisses von Verarbeitungstätigkeiten.

Gerade bei der Nutzung von Cloud-Diensten, Marketing-Tools und KI-Anwendungen wird die datenschutzrechtliche Bewertung komplex. Jede Einbindung eines Drittanbieters, der personenbezogene Daten verarbeitet, erfordert einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Bei Anbietern außerhalb der EU — etwa US-amerikanischen Diensten — müssen zusätzlich die Anforderungen an den internationalen Datentransfer nach Kapitel V DSGVO erfüllt werden. Seit dem EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss der Kommission vom 10. Juli 2023) ist dies für zertifizierte US-Unternehmen wieder möglich, allerdings sollte die Zertifizierung des konkreten Anbieters immer überprüft werden.

Ein weiterer praxisrelevanter Bereich ist das Recht auf Auskunft nach Art. 15 DSGVO. Betroffene — häufig ehemalige Mitarbeiter oder unzufriedene Kunden — können umfassende Auskunft über die zu ihrer Person gespeicherten Daten verlangen. Die Frist beträgt einen Monat (Art. 12 Abs. 3 DSGVO). Unternehmen, die darauf nicht vorbereitet sind, geraten schnell in Verzug und riskieren Beschwerden bei der Aufsichtsbehörde.

Datenschutz und KI — ein wachsendes Spannungsfeld

Der Einsatz von KI-Systemen stellt den Datenschutz vor besondere Herausforderungen. Wenn personenbezogene Daten als Trainingsdaten verwendet werden, müssen die allgemeinen Grundsätze der DSGVO eingehalten werden — insbesondere die Zweckbindung (Art. 5 Abs. 1 lit. b) und die Datenminimierung (Art. 5 Abs. 1 lit. c). Die automatisierte Entscheidungsfindung nach Art. 22 DSGVO gibt betroffenen Personen zudem das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

In der Praxis betrifft dies beispielsweise KI-gestützte Bewerberauswahl, automatisierte Kreditentscheidungen oder personalisierte Preisgestaltung. Unternehmen müssen hier sowohl die DSGVO als auch — ab August 2026 — den EU AI Act beachten, wobei sich die Anforderungen beider Regelwerke teilweise überschneiden, teilweise aber auch ergänzen.