RGPD-Express
Strukturieren Sie Ihre DSGVO-Konformität
Die Schlüsselartikel der DSGVO
Die DSGVO (Verordnung (EU) 2016/679) strukturiert die RGPD-Express-Vorgehensweise
Art. 30 - Verzeichnis von Verarbeitungstätigkeiten
Pflicht zur Führung eines Verzeichnisses, sowohl für den Verantwortlichen als auch für den Auftragsverarbeiter. Die in 30.5 vorgesehene Ausnahme für Organisationen mit weniger als 250 Beschäftigten gilt nur für gelegentliche Verarbeitungen.
Art. 28 - Auftragsverarbeiter
Vertragliche Einbindung jedes Auftragsverarbeiters, der Daten in Ihrem Auftrag verarbeitet: hinreichende Garantien, verpflichtende Klauseln, nachgelagerte Auftragsverarbeitung nur mit vorheriger schriftlicher Genehmigung.
Art. 32 - Sicherheit der Verarbeitung
Dem Risiko angemessene technische und organisatorische Maßnahmen: Pseudonymisierung, Verschlüsselung, Mittel zur Gewährleistung von Vertraulichkeit und Verfügbarkeit, Verfahren zur regelmäßigen Überprüfung und Bewertung.
Art. 35 - Datenschutz-Folgenabschätzung (DSFA)
Nur verpflichtend, wenn die Verarbeitung voraussichtlich ein hohes Risiko birgt: systematische Bewertung mit Rechtswirkung, sensible Daten in großem Umfang, oder systematische Überwachung eines öffentlich zugänglichen Bereichs.
Regulatorische Beobachtung - offizielle Quellen
Was der Text wirklich sagt, in einfache Worte übersetzt. Jeder Punkt verweist auf den offiziellen Text.
Was ist die DSGVO eigentlich?
Das ist der europäische Rechtstext, der die Erhebung und Nutzung personenbezogener Daten regelt (Kunden, Mitarbeiter, Interessenten...). Sie wurde am 27. April 2016 verabschiedet und am 4. Mai 2016 im Amtsblatt der Europäischen Union veröffentlicht.
Seit wann sie gilt
Die Verordnung trat zwanzig Tage nach ihrer Veröffentlichung in Kraft, ist aber erst seit dem 25. Mai 2018 tatsächlich anwendbar. Dieses Datum zählt für Ihre konkreten Pflichten.
Das Verzeichnis von Verarbeitungstätigkeiten: das Basisdokument
Sie müssen eine Liste dessen führen, was Sie mit personenbezogenen Daten tun: wofür, mit wem, wie lange Sie sie aufbewahren, wie Sie sie schützen. Für Strukturen mit weniger als 250 Beschäftigten gibt es eine Ausnahme, allerdings nur bei gelegentlicher Verarbeitung; eine regelmäßige Geschäftstätigkeit profitiert nicht davon.
Muss ein Datenschutzbeauftragter (DSB) benannt werden?
Das ist nur in drei genau festgelegten Fällen verpflichtend: Sie sind eine öffentliche Stelle, oder Ihre Haupttätigkeit besteht in der regelmäßigen und umfangreichen Überwachung von Personen, oder in der umfangreichen Verarbeitung sensibler Daten. Außerhalb dieser Fälle bleibt die Benennung eines DSB freiwillig.
Bei einer Datenpanne: 72 Stunden, um die Behörde zu benachrichtigen
Wenn personenbezogene Daten verloren gehen, gestohlen oder offengelegt werden, müssen Sie die CNIL (oder die zuständige Behörde) spätestens 72 Stunden nach Kenntnisnahme informieren, außer wenn das Risiko für die betroffenen Personen vernachlässigbar ist. Sie müssen außerdem jeden Vorfall schriftlich dokumentieren.
Bei hohem Risiko müssen auch Ihre Kunden oder Mitarbeiter informiert werden
Wenn eine Datenpanne ein hohes Risiko für die betroffenen Personen mit sich bringt, müssen Sie diese direkt und in klarer, einfacher Sprache informieren. Von dieser Benachrichtigung können Sie befreit sein, wenn die Daten verschlüsselt waren oder Sie das Risiko bereits neutralisiert haben.
Die Sanktionen im Klartext
Bei einem Verstoß kann die Geldbuße bis zu 10 Millionen Euro (oder 2% des weltweiten Jahresumsatzes des Unternehmens) für die häufigsten Verstöße betragen und bis zu 20 Millionen Euro (oder 4% des weltweiten Jahresumsatzes) für die schwerwiegendsten Verletzungen der Rechte betroffener Personen; maßgeblich ist stets der höhere Betrag. Die tatsächliche Höhe hängt von der Schwere, dem vorsätzlichen oder fahrlässigen Charakter des Verstoßes und der Kooperation mit der Behörde ab.
Wer ist von der DSGVO betroffen?
Die Frage, die uns am häufigsten gestellt wird: "Betrifft mich das wirklich, als kleines Unternehmen?" Kurze, quellenbelegte Antwort: ja, fast immer.
Der wahre Auslöser: die Verarbeitung personenbezogener Daten
Die DSGVO gilt, sobald eine Organisation, und sei es nur teilweise, auf automatisierte Weise oder in einer strukturierten Datei, eine Information verarbeitet, die sich auf eine identifizierte oder identifizierbare Person bezieht: Name, E-Mail, Telefonnummer, IP-Adresse, Standortdaten...
Konkret betrifft das eine Kundendatei, die Lohnabrechnung der Mitarbeiter, eingegangene Bewerbungen, eine Videoüberwachungskamera, einen Newsletter, ein CRM oder Reichweiten-Messcookies.
Die seltenen Ausnahmen
Die DSGVO gilt in vier genau festgelegten Fällen nicht:
- eine rein persönliche oder häusliche Nutzung (Ihr privates Adressbuch zum Beispiel)
- Tätigkeiten außerhalb des Anwendungsbereichs des Unionsrechts
- Tätigkeiten der Mitgliedstaaten im Rahmen der gemeinsamen Außenpolitik
- Verarbeitungen der Behörden zur Verhütung von Straftaten (eigene Regelung)
Unabhängig davon, wo Sie ansässig sind
Die DSGVO gilt, sobald Ihr Unternehmen eine Niederlassung in der Europäischen Union hat, oder sobald Sie Personen ansprechen, die sich dort befinden: indem Sie ihnen Waren oder Dienstleistungen anbieten (auch kostenlose), oder indem Sie ihr Verhalten verfolgen (Profiling, Tracking-Cookies).
Die CNIL nennt zwei anschauliche Beispiele: Ein französisches Unternehmen, das ausschließlich nach Marokko exportiert, unterliegt weiterhin der DSGVO, sobald es Daten von Personen in der EU verarbeitet; eine chinesische E-Commerce-Website, die nach Frankreich liefert, muss sie ebenfalls einhalten.
Zwei mögliche Rollen, zwei Pflichtenstufen
Verantwortlicher: die Stelle, die entscheidet, warum und wie die Daten genutzt werden (Ihr Unternehmen, eine Gemeinde, ein Verein). Das sind in der Regel Sie.
Auftragsverarbeiter: der Dienstleister, der diese Daten in Ihrem Auftrag verarbeitet (Hosting-Anbieter, Lohnbuchhaltungssoftware, Marketing-Agentur...). Auch er hat eigene Pflichten, die sich von den Ihren unterscheiden.
Privatunternehmen
vom Kleinstunternehmen bis zum Großkonzern, ab der ersten Kundendatei oder der ersten Gehaltsabrechnung
Öffentlicher Sektor
Gemeinden, Gebietskörperschaften, Verwaltungen, Gesundheitseinrichtungen
Vereine, Handwerker, Selbstständige
freie Berufe, Einzelhändler, Start-ups: keine Befreiung aufgrund des Status
Die Fragen, die sich Unternehmer wirklich stellen
Kein Rechtsjargon: die 7 häufigsten Fragen, eine einfache Antwort, und der offizielle Text hinter jeder Antwort.
Klicken Sie auf eine Frage, um die Antwort und ihre Quelle zu sehen.
Nein. Die Einwilligung ist nur eine von sechs Optionen. Die DSGVO (Artikel 6) erlaubt die Verarbeitung auch, wenn sie zur Erfüllung eines Vertrags, zur Erfüllung einer rechtlichen Verpflichtung, zum Schutz lebenswichtiger Interessen, zur Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe oder zur Wahrung berechtigter Interessen Ihres Unternehmens erforderlich ist (zum Beispiel die Verwaltung der Beziehung zu einem bestehenden Kunden), solange die Rechte der betroffenen Person nicht überwiegen.
Das hängt davon ab, wen Sie kontaktieren:
- Privatpersonen (B2C): vorherige Einwilligung erforderlich (Kontrollkästchen, niemals vorangekreuzt), außer um einem bereits bestehenden Kunden ein ähnliches Produkt erneut anzubieten.
- Geschäftskunden (B2B): ohne vorherige Einwilligung möglich, wenn die Nachricht ihre Tätigkeit betrifft, vorausgesetzt sie wurden informiert und erhalten eine einfache Möglichkeit zum Widerspruch.
In jedem Fall gilt: identifizierbarer Absender und ein einfacher Abmeldelink.
Im Allgemeinen ja, insbesondere wenn die Daten nicht mehr benötigt werden, wenn die Person ihre Einwilligung widerruft, oder wenn sie ohne entgegenstehenden berechtigten Grund Ihrerseits widerspricht. Sie können dies jedoch ablehnen, wenn Sie die Daten aufgrund einer rechtlichen Verpflichtung aufbewahren müssen, zum Beispiel eine Rechnung, die 10 Jahre lang aus buchhalterischen Gründen aufbewahrt werden muss, oder um sich vor Gericht zu verteidigen.
1 Monat ab Erhalt der Anfrage. Diese Frist kann bei komplexen Anfragen oder hohem Anfrageaufkommen um 2 Monate verlängert werden, Sie müssen die betroffene Person jedoch innerhalb des ersten Monats über diese Verlängerung informieren.
Ja, aber nicht ohne Vorsichtsmaßnahmen. Drei mögliche Fälle: das Land profitiert von einem offiziellen Angemessenheitsbeschluss der Europäischen Kommission; andernfalls muss Ihr Dienstleister geeignete Garantien bieten (meist Standardvertragsklauseln); oder, nur für punktuelle Fälle, gilt eine genau festgelegte Ausnahme (ausdrückliche Einwilligung, Vertragserfüllung...).
Ja. Die meisten Cookies (personalisierte Werbung, Social-Media-Schaltflächen...) erfordern die vorherige Einwilligung Ihres Besuchers, die freiwillig und ebenso leicht widerrufbar wie erteilbar sein muss. Die Annahme allgemeiner Geschäftsbedingungen gilt nicht als gültige Einwilligung. Einige technisch notwendige Cookies (Warenkorb, Authentifizierung, Spracheinstellung) sind von dieser Einwilligung befreit.
Die CNIL beginnt im Allgemeinen mit einer Kontrolle (vor Ort oder online), gefolgt von einer förmlichen Aufforderung, sich innerhalb einer bestimmten Frist in Konformität zu bringen. Finanzielle Sanktionen existieren, bleiben aber verhältnismäßig zur Größe der Struktur: die CNIL hat beispielsweise kleine Unternehmen mit Beträgen zwischen 2.000 und 20.000 Euro für Verstöße bei Sicherheit, Cookies oder Auskunftsrecht sanktioniert, weit entfernt von den Höchstgrenzen (bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes für die schwerwiegendsten Verstöße).
Der DSGVO-Zeitplan, klar erklärt
Die DSGVO ist nicht erst 2018 entstanden und seitdem auch nicht unverändert geblieben. Hier ist, der Reihe nach, was bereits geschehen ist (und heute weiterhin die geltende Regel ist) und was in Brüssel noch diskutiert wird - mit dem offiziellen Text, der jede Etappe belegt.
Bereits heute in Kraft
- Die DSGVO gilt vollumfänglich seit dem 25. Mai 2018 - das ist DAS Datum, das für Ihre Pflichten zählt.
- Das französische Gesetz "Informatique et Libertés" wurde entsprechend aktualisiert (2018).
- Die neuen Standardvertragsklauseln für Datenübermittlungen außerhalb der EU gelten seit Ende 2022.
- Der Rahmen für die Datenübermittlung in die Vereinigten Staaten (Data Privacy Framework) ist seit Juli 2023 in Kraft.
Noch in Diskussion, noch nicht verpflichtend
- Eine Erleichterung des Verzeichnisses von Verarbeitungstätigkeiten (Art. 30) für Strukturen mit weniger als 750 Beschäftigten, von der Kommission im Mai 2025 vorgeschlagen - noch kein geltendes Recht.
- Eine Verordnung zur Harmonisierung der Verfahren zwischen nationalen Aufsichtsbehörden bei grenzüberschreitenden Untersuchungen - politische Einigung im Juni 2025, formale Annahme bislang nicht bestätigt.
- Verlassen Sie sich nicht auf diese Ankündigungen, um Ihre Konformität aufzuschieben: die Grundlage von 2018 bleibt die Regel, solange nichts im Amtsblatt veröffentlicht ist.
Der Text wird verabschiedet
Das Europäische Parlament und der Rat verabschieden die Verordnung (EU) 2016/679, die DSGVO. Quelle EUR-Lex ↗
Offizielle Veröffentlichung
Der Text wird im Amtsblatt der Europäischen Union veröffentlicht (ABl. L 119, Seiten 1 bis 88). Quelle EUR-Lex ↗
Rechtliches Inkrafttreten
Die Verordnung "tritt am zwanzigsten Tag nach ihrer Veröffentlichung in Kraft" (Art. 99). Sie besteht damit rechtlich, ihre tatsächliche Anwendung auf Unternehmen wird jedoch noch um zwei Jahre verschoben - Zeit, um sich zu organisieren. Quelle CNIL, Art. 99 ↗
Die DSGVO gilt vollumfänglich
Ab diesem Datum müssen alle Organisationen, die personenbezogene Daten von Einwohnern der EU verarbeiten, tatsächlich konform sein, nicht nur "auf dem Papier". Das ist das Datum, das man sich merken muss. Quelle CNIL, Art. 99 ↗
Das französische Gesetz wird aktualisiert
Das Gesetz Nr. 2018-493 passt das französische Recht an die DSGVO an und setzt die Richtlinie "Polizei-Justiz" (2016/680) um, aufbauend auf dem Gesetz "Informatique et Libertés" von 1978. Quelle Légifrance ↗
Das Gesetz von 1978 wird vollständig neu gefasst
Die Verordnung Nr. 2018-1125 vollendet die Angleichung des Gesetzes "Informatique et Libertés" an die DSGVO und die Richtlinie 2016/680. Quelle Légifrance ↗
1. Bilanz der Europäischen Kommission
Zwei Jahre nach ihrem Anwendungsbeginn veröffentlicht die Kommission ihren ersten Bericht: die DSGVO erreicht ihre Ziele, doch Verbesserungen sind notwendig (Harmonisierung zwischen den Ländern, Zusammenarbeit der Behörden). Quelle EUR-Lex (COM 2020) ↗
Urteil "Schrems II"
Der Gerichtshof der Europäischen Union erklärt den "Privacy Shield", der die Datenübermittlungen in die Vereinigten Staaten regelte, für ungültig: die amerikanischen Garantien zum Zugriff der Behörden auf die Daten werden als nicht ausreichend erachtet. Quelle EUR-Lex ↗
Neue Standardvertragsklauseln
Neue Klauselmodelle zur Regelung von Datenübermittlungen außerhalb der EU treten in Kraft, mit einer Übergangsfrist von 15 Monaten, um bereits unterzeichnete alte Verträge zu ersetzen. Quelle EUR-Lex (2021/914) ↗
Neuer Rahmen EU - Vereinigte Staaten
Die Kommission verabschiedet den Angemessenheitsbeschluss "EU-US Data Privacy Framework", der den 2020 für ungültig erklärten Privacy Shield ersetzt und die Datenübermittlungen an amerikanische Unternehmen wieder absichert. Quelle EUR-Lex (2023/1795) ↗
2. Bilanz der Europäischen Kommission
Deutlicher Anstieg der Sanktionen gegen große Technologieunternehmen, doch zwischen den nationalen Behörden bestehen weiterhin Unterschiede. Die Kommission empfiehlt, KMU besser zu begleiten. Quelle EUR-Lex (COM 2024) ↗
Vorschlag zur Erleichterung für KMU
Die Kommission schlägt in ihrem Vereinfachungspaket für den Binnenmarkt vor, die Ausnahme von der vollständigen Führung des Verzeichnisses von Verarbeitungstätigkeiten (Art. 30) auf 750 Beschäftigte (statt 250) auszuweiten, begrenzt auf "risikoreiche" Verarbeitungen. Das ist ein Vorschlag, noch kein geltendes Recht. Quelle Europäische Kommission ↗
Einigung auf gemeinsame Verfahrensregeln
Rat und Europäisches Parlament einigen sich politisch auf zusätzliche Verfahrensregeln zur Harmonisierung der Zusammenarbeit nationaler Aufsichtsbehörden bei grenzüberschreitenden Untersuchungen. Die formale Annahme und Veröffentlichung im Amtsblatt stehen noch aus. Quelle Europäische Kommission ↗
Zeitplan erstellt anhand offizieller Quellen (EUR-Lex, CNIL, Légifrance, Europäische Kommission), abgerufen am 18. Juli 2026. Die letzten beiden Etappen sind Vorschläge oder politische Einigungen im laufenden Verfahren. Dies ist eine didaktische Zusammenfassung und stellt keine Rechtsberatung dar.
Die DSGVO-Sanktionen im Klartext
Die Zahl, die Angst macht - "20 Millionen Euro" - kursiert überall, sagt aber nicht, wie das wirklich funktioniert. Hier ist, gestützt auf offizielle Quellen, wer sanktioniert, wie, und mit welchen tatsächlichen Beträgen.
oder bis zu 2 % des weltweiten Jahresumsatzes des Unternehmens (maßgeblich ist der höhere der beiden Beträge).
Diese Stufe gilt für "gängige" Verstöße: Verzeichnis von Verarbeitungstätigkeiten, Datensicherheit, Pflichten des Auftragsverarbeiters, fehlende Folgenabschätzung...
oder bis zu 4 % des weltweiten Jahresumsatzes (auch hier ist der höhere der beiden Beträge maßgeblich).
Diese Stufe gilt für die schwerwiegendsten Verstöße: fehlende Rechtsgrundlage, Verletzung der Rechte betroffener Personen, unrechtmäßige Übermittlungen außerhalb der EU...
Wer entscheidet? Die Sanktionskammer der CNIL
Es ist nicht die CNIL im "allgemeinen" Sinne, die sanktioniert, sondern ein eigenständiges, unabhängiges Gremium: die formation restreinte (Sanktionskammer), bestehend aus 5 Mitgliedern und einem eigenen Vorsitzenden, der nicht mit dem Präsidenten der CNIL identisch ist. Sie allein prüft die Vorgänge und verhängt die Sanktionen. Die wichtigsten Entscheidungen werden veröffentlicht.
Was den tatsächlichen Betrag beeinflusst
Artikel 83 der DSGVO verpflichtet die CNIL, vor der Festlegung einer Geldbuße mehrere Kriterien zu berücksichtigen, insbesondere:
- die Schwere, Art und Dauer des Verstoßes
- vorsätzliches Handeln oder bloße Fahrlässigkeit
- bereits ergriffene Maßnahmen zur Schadensminderung
- die Kooperation mit der CNIL und frühere Verstöße
- die Kategorien der betroffenen Daten
Vor der Geldbuße: eine abgestufte Reaktion (Artikel 58 der DSGVO)
- Verwarnung
- Ermahnung
- Förmliche Aufforderung
- Anordnung zur Konformität
- Bußgeld (Art. 83)
| Datum | Organisation | Betrag | Grund |
|---|---|---|---|
| 21.01.2019 | Google LLC | 50 Mio. € | Mangelnde Transparenz, fehlende gültige Einwilligung für personalisierte Werbung |
| 07.12.2020 | Amazon Europe Core | 35 Mio. € | Cookies ohne vorherige Einwilligung gesetzt |
| 31.12.2021 | Google LLC / Google Ireland | 150 Mio. € | Ablehnung von Cookies komplizierter als Annahme |
| 31.12.2021 | Facebook Ireland (Meta) | 60 Mio. € | Gleicher Grund: Ablehnung von Cookies zu erschwert |
| 17.10.2022 | Clearview AI | 20 Mio. € | Gesichtserkennung ohne Rechtsgrundlage, Verweigerung der Zusammenarbeit |
| 10.11.2022 | Discord Inc. | 800.000 € | Übermäßige Datenspeicherung, unzureichende Sicherheit und Information |
| 15.06.2023 | Criteo | 40 Mio. € | Verstöße gegen die Cookie-Einwilligung und die Rechte betroffener Personen |
Und bei einer kleineren Struktur? Verhältnismäßige Beträge
Die CNIL sanktioniert auch kleine und mittlere Strukturen, jedoch mit Beträgen, die in keinem Verhältnis zu internationalen Konzernen stehen. Allein bei den Entscheidungen vom Dezember 2025 finden sich beispielsweise: 5.000 € für eine Hotelverwaltungsgesellschaft (nicht konforme Videoüberwachung), 7.000 € und 5.000 € für zwei Zeitungsverlage (ungültige Cookies), 10.000 € für ein Flughafen-Frachtunternehmen (unrechtmäßige Videoüberwachung), oder auch 20.000 € für eine Universität (Zweckentfremdung). Am anderen Ende der Skala wurde ein Unternehmen aus dem Dienstleistungssektor im selben Monat mit 3,5 Mio. € für eine Anhäufung schwerer Verstöße sanktioniert (Sicherheit, Transparenz, Cookies). Der Betrag folgt der Schwere und der Größe, nicht umgekehrt.
Ihre Aufsichtsbehörde, je nach Land
In Europa hat jedes Land seine eigenen Behörden. Hier finden Sie, für die 30 Länder des Europäischen Wirtschaftsraums, die Datenschutzbehörde (Ihr Ansprechpartner für die DSGVO) und die nationale Cybersicherheitsbehörde. Jeder Name verweist auf die offizielle Website.
Quellen: offizielle Websites der Behörden und Mitgliederliste der EDPB (edpb.europa.eu), abgerufen am 18. Juli 2026. Datenschutzbehörden bestätigt: 30/30. Cybersicherheitsbehörden bestätigt: 28/30. Die Angaben "à confirmer" (noch zu bestätigen) kennzeichnen eine bislang nicht stabilisierte offizielle Quelle.
Ihr eigenes Microsoft 365: der kostenlose Score
SYAGA Audit liest die Sicherheitskonfiguration Ihres Microsoft 365 und liefert Ihnen einen kostenlosen Score, Punkt für Punkt. Es wird nur gelesen: im Rahmen der Rechte, die Microsoft für reines Lesen zu erteilen erlaubt, und selbst dort, wo ein Recht Handeln erlauben würde, lesen wir nur. Dieser Score ersetzt keine Prüfung durch eine unabhängige Fachperson.