Service und Beratung

Datenschutz

Seit dem 25. Mai 2018 gilt die Datenschutz-Grundverordnung (DSGVO) in allen EU-Mitgliedstaaten.
Auf dieser Seite finden Sie Informationen zu den wichtigsten Punkten.
Aktuell: Videoüberwachung von kritischer Infrastruktur - BlnDSG Änderung
Das Gesetz zur Änderung des Berliner Datenschutzgesetzes und weiterer Rechtsvorschriften (GVBl. 2026, Nr. 11, S. 158-160) ist hier verlinkt.
Hier finden Sie auch die Pressemitteilung der Berliner Datenschutzbeauftragten.

Die Datenschutzgrundverordnung

  • Allgemeine Datenschutzgrundsätze (Nr. 3967796)
    Art. 5 DS-GVO beinhaltet die Datenschutzgrundsätze, die bei einer automatisierten Verarbeitung personenbezogener Daten zu beachten sind:
  • Datenschutzmanagement (Nr. 3808436)
    Die EU-Datenschutz-Grundverordnung (DS-GVO) verlangt von den Unternehmen die Erfüllung der Rechenschaftspflicht. Auch in kleineren und mittleren Unternehmen muss ein Mindestmaß an Dokumentation vorhanden sein, um die Einhaltung des Datenschutzes nachweisen zu können.
  • Wann darf man Daten verarbeiten (Nr. 3937916)
    Auch nach dem neuen Datenschutzrecht ist eine Datenverarbeitung nur bei Vorliegen bestimmter Erlaubnistatbestände zulässig.
  • Einwilligung (Nr. 4005120)
    Die Einwilligung bleibt ein bedeutsamer Erlaubnistatbestand für die Datenverarbeitung. Die DS-GVO stellt jedoch deutlich erhöhte Anforderungen an die Wirksamkeit der Einwilligung.
  • Bestellung eines betrieblichen Datenschutzbeauftragten (Nr. 3808486)
    Seit dem 25. Mai 2018 ist zwingend ein betrieblicher Datenschutzbeauftragter zu bestellen, wenn die Kerntätigkeit des Verantwortlichen in Verarbeitungsvorgängen besteht.
  • Datensicherheit nach der DSGVO (Nr. 3808462)
    Die DS-GVO verknüpft Datenschutz und Datensicherheit eng miteinander. Die DS-GVO verlangt Datensicherheitsmaßnahmen, die geeignet sind, das Schutzniveau zu gewährleisten.
  • Meldepflichten (Nr. 4005684)
    Art. 33 DS-GVO schreibt dem Verantwortlichen eine unverzügliche Benachrichtigung der zuständigen Aufsichtsbehörde bei Datenpannen vor.
  • Beschäftigtendatenschutz (Nr. 4005776)
  • Datenschutz für Existenzgründer (Nr. 4065190)
  • Datenschutz für kleine Unternehmen (Nr. 4007546)
    Die DSGVO erhöht zwar die Anforderungen an den Datenschutz, vieles ist aber bisher schon geltende Rechtslage in Deutschland nach dem Bundesdatenschutzgesetz. Nachfolgend soll an einem praktischen Beispiel dargestellt werden, welche Anforderungen sich (neu) aus der DSGVO ergeben.

Allgemeine Regeln für Datentransfers in Drittstaaten

Für Datentransfers in Drittstaaten gelten weiterhin strenge Voraussetzungen. Werden personenbezogene Daten in Drittstaaten übermittelt, müssen die folgenden beiden Voraussetzungen gegeben sein:
  • Rechtsgrundlage für die Datenverarbeitung;
  • Angemessene Garantie für ein gleichwertiges Datenschutzniveau im Drittstaat, z. B. Angemessenheitsbeschluss, Standarddatenschutzklauseln (SCC), verbindliche interne Datenschutzvorschriften („Binding Corporate Rules“ - BCR), Ausnahmen nach Art. 49 Abs. 1 DSGVO.
Aktuell
“Die Übertragung der Daten eines Nutzers eines internationalen sozialen Netzwerks ins Ausland ist für die Erfüllung des Vertrags gemäß Art. 49 Abs. 1 Satz 1 lit. b DSGVO notwendig.”
(LG Bonn, Urteil vom 3. Juni 2025 – 13 O 156/24, 1. Leitsatz)

Nach Auffassung des LG Bonn (unter Bezugnahme auf OLG Köln, Urteil vom 03.11.2023, 6 U 58/23; LG Traunstein, Urteil vom 08.07.24, 9 O 173/24) war und ist die Datenübertragung (hier: die Speicherung von Daten auf verschiedenen Servern durch eine internationale Netzwerkbetreiberin, u.a.) in die USA für den Zeitraum ab dem 10.07.2023 gemäß Art. 45 Abs. 1 DSGVO gerechtfertigt.
“Für den Zeitraum ab Geltung der DSGVO bis zum 09.07.2023 (war die hiesige Datenübertragung) gemäß Art. 49 Abs. 1 S. 1 lit. b DSGVO gerechtfertigt … – denn die Datenübertragung war für die Erfüllung des Vertrags notwendig.”
Derzeit ist unbekannt, ob das Urteil rechtskräftig ist.
Für Berliner Unternehmen, die sich noch in der Gründungsphase befinden, bietet die Berliner Beauftragte für Datenschutz und Informationsfreiheit zwei mal im Monat eine Start-Up Sprechstunde an. Alle Termine und weitere Informationen finden Sie hier.

Mehr Sicherheit für Datentransfers in die USA (EU-USA Data Privacy Framework, “DPF”)


Die EU-Kommission hat am 10. Juli 2023 den neuen Angemessenheitsbeschluss (das sog. EU-US Data Privacy Framework, “DPF”) angenommen. Dieser dient nunmehr als Grundlage für Datenübermittlungen von EU-Unternehmen in die USA unter folgenden Voraussetzungen:
  • Mit dem Angemessenheitsbeschluss können ab sofort global hierauf gestützt personenbezogene Daten aus der EU in die USA übermittelt werden, ohne dass weitere Übermittlungsinstrumente oder zusätzliche Maßnahmen erforderlich sind.
  • Voraussetzung ist jedoch, dass die US-Datenimporteure, an die Daten übermittelt werden sollen, auch unter dem EU-US Data Privacy Framework zertifiziert sind.
  • Im Gegensatz dazu sind Standardvertragsklauseln (sog. „SCC“) für jeden Einzelfall eines Datentransfers gesondert abzuschließen.

Viele große US-Unternehmen haben angekündigt, sich freiwillig nach diesem neuen Angemessenheitsbeschluss zertifizieren zu lassen. Die Federal Trade Commission (FTC) wird diese Zertifizierungen ausstellen und eine Liste der zertifizierten US-Unternehmen im Internet veröffentlichen.
Derzeit ist im Internet nur die Liste der US-Unternehmen abrufbar (unter “www.dataprivacyframework.gov”), welche nach dem EU-US Privacy Shield zertifiziert waren. Dieses hatte der EuGH mit Urteil vom 16. Juli 2020 für unwirksam erklärt.
Update: Pressemitteilung der EU-Kommission vom 15.01.2024: “Laut Kommission kann Austausch personenbezogener Daten aus der EU mit elf Drittländern und Gebieten fortgesetzt werden*”
Update: Erster Bericht des Europäischen Datenschutzausschusses (EDSA) im Rahmen des DPF vom 04.11.2024.