DSGVO im Unternehmen: Pflichten und Umsetzung im Überblick

Rechtsgrundlage: Verordnung (EU) 2016/679 (DSGVO) und Datenschutzgesetz (DSG), geprüft am 24. Oktober 2026

Die Datenschutz-Grundverordnung (DSGVO) ist die EU-Verordnung, die regelt, wann und wie Unternehmen personenbezogene Daten verarbeiten dürfen. Sie gilt seit 25. Mai 2018 unmittelbar in allen Mitgliedstaaten. In Österreich ergänzt sie das Datenschutzgesetz (DSG), Aufsichtsbehörde ist die Datenschutzbehörde.

Für wen die DSGVO gilt

Die DSGVO gilt für die automatisierte und die geordnete Verarbeitung personenbezogener Daten, also aller Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen: Namen, E-Mail-Adressen, Kundennummern, Gehaltsdaten, IP-Adressen. Damit betrifft sie praktisch jedes Unternehmen, vom Einpersonenbetrieb bis zum Konzern. Ausgenommen ist vor allem die rein persönliche oder familiäre Tätigkeit (Art. 2 Abs. 2).

Die Verordnung unterscheidet zwei Rollen. Der Verantwortliche entscheidet über Zwecke und Mittel der Verarbeitung. Der Auftragsverarbeiter verarbeitet Daten in seinem Auftrag, etwa ein Lohnverrechner oder ein Cloud-Anbieter. Beide haben eigene Pflichten.

Die Grundsätze nach Art. 5

Art. 5 DSGVO legt fest, wie jede Verarbeitung aussehen muss:

• rechtmäßig, nach Treu und Glauben und für die Betroffenen nachvollziehbar
• zweckgebunden: nur für festgelegte, eindeutige Zwecke
• datensparsam: nur so viele Daten wie nötig
• richtig und aktuell
• speicherbegrenzt: nicht länger als nötig
• sicher: geschützt vor unbefugtem Zugriff, Verlust und Zerstörung

Dazu kommt die Rechenschaftspflicht (Art. 5 Abs. 2): Der Verantwortliche muss die Einhaltung nachweisen können. Deshalb ist Dokumentation in der DSGVO keine Formsache, sondern der Nachweis selbst.

Rechtsgrundlagen nach Art. 6

Jede Verarbeitung braucht eine Rechtsgrundlage. Art. 6 Abs. 1 nennt sechs: Einwilligung, Erfüllung eines Vertrags, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe und berechtigtes Interesse. Im Unternehmensalltag tragen meist der Vertrag (Kundendaten, Personal), die rechtliche Pflicht (Buchhaltung, Lohnverrechnung) und das berechtigte Interesse (etwa IT-Sicherheit). Die Einwilligung ist nur eine von sechs Grundlagen und kann jederzeit widerrufen werden.

Dokumentation: Verzeichnis, TOMs, DSFA

Verzeichnis von Verarbeitungstätigkeiten

Verantwortliche und Auftragsverarbeiter führen ein Verzeichnis ihrer Verarbeitungstätigkeiten mit Zwecken, Datenkategorien, Empfängern, Löschfristen und einer Beschreibung der Sicherheitsmaßnahmen (Art. 30). Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten greift nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko birgt oder besondere Datenkategorien betrifft (Art. 30 Abs. 5). Lohnverrechnung und Kundenverwaltung laufen regelmäßig, deshalb brauchen die meisten Betriebe das Verzeichnis. Wie Sie es anlegen, zeigt der Ratgeber Verarbeitungsverzeichnis erstellen.

Technische und organisatorische Maßnahmen

Art. 32 verlangt ein dem Risiko angemessenes Schutzniveau, etwa durch Verschlüsselung, Zugriffskontrolle, Datensicherung und regelmäßige Überprüfung der Maßnahmen. Das ist dieselbe Arbeit wie ein Teil eines ISMS nach ISO 27001. Wer beides zusammen aufbaut, dokumentiert nur einmal.

Datenschutz-Folgenabschätzung

Hat eine Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen, etwa bei umfangreicher Überwachung oder neuen Technologien, ist vorab eine Datenschutz-Folgenabschätzung durchzuführen (Art. 35). Wann das zutrifft, erklärt der Ratgeber Datenschutz-Folgenabschätzung.

Dienstleister und Auftragsverarbeitung

Verarbeitet ein Dienstleister Daten in Ihrem Auftrag, braucht es einen Vertrag nach Art. 28 DSGVO. Er legt Gegenstand, Dauer, Art der Daten, Weisungsbindung und Sicherheitsmaßnahmen fest. Sie dürfen nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für den Datenschutz bieten. Worauf es im Vertrag ankommt, steht im Ratgeber Auftragsverarbeitungsvertrag.

Informationspflichten und Betroffenenrechte

Bei der Erhebung müssen Sie die Betroffenen informieren: wer verarbeitet, wozu, auf welcher Grundlage, wie lange und mit welchen Rechten (Art. 13 und 14). Die Betroffenen haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 22).

Anträge beantworten Sie unverzüglich, spätestens binnen eines Monats. Bei komplexen oder vielen Anträgen ist eine Verlängerung um zwei weitere Monate möglich, wenn Sie das innerhalb des ersten Monats begründet mitteilen (Art. 12 Abs. 3). Ein fester Ablauf mit Identitätsprüfung spart Zeit, siehe Betroffenenrechte: Auskunft richtig geben.

Datenpannen melden

Eine Verletzung des Schutzes personenbezogener Daten melden Sie der Datenschutzbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem sie bekannt wurde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen (Art. 33). Bei hohem Risiko sind auch die Betroffenen zu benachrichtigen (Art. 34). Jede Panne wird dokumentiert, auch wenn keine Meldung nötig ist. Den Ablauf beschreibt der Ratgeber Datenpanne melden.

Datenschutzbeauftragter: wann er Pflicht ist

Ein Datenschutzbeauftragter ist zu benennen bei Behörden und öffentlichen Stellen und wenn die Kerntätigkeit des Unternehmens in einer umfangreichen, regelmäßigen und systematischen Überwachung von Personen oder in der umfangreichen Verarbeitung besonderer Datenkategorien besteht, etwa Gesundheitsdaten (Art. 37 Abs. 1). Er kann Beschäftigter sein oder extern auf Grundlage eines Dienstleistungsvertrags arbeiten (Art. 37 Abs. 6). Seine Kontaktdaten sind zu veröffentlichen und der Datenschutzbehörde mitzuteilen (Art. 37 Abs. 7).

Geldbußen nach Art. 83

Es gilt jeweils der höhere Betrag. Wie hoch eine Geldbuße im Einzelfall ausfällt, richtet sich nach Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, den getroffenen Sicherheitsmaßnahmen und der Zusammenarbeit mit der Behörde (Art. 83 Abs. 2). Quelle: DSGVO auf EUR-Lex.

DSGVO und NIS2 zusammen denken

Ein Cyberangriff ist oft zugleich eine Datenpanne. Dann laufen zwei Meldungen nebeneinander: nach Art. 33 DSGVO an die Datenschutzbehörde und, für betroffene Einrichtungen, nach § 34 NISG 2026 an das zuständige CSIRT. Die Sicherheitsmaßnahmen nach Art. 32 DSGVO und nach § 32 NISG 2026 überschneiden sich stark. Was das NISG 2026 verlangt, steht im Überblick NISG 2026: Fristen und Registrierung.

In sechs Schritten zur DSGVO-Umsetzung

1. Verarbeitungen erfassen und das Verzeichnis anlegen.
2. Für jede Verarbeitung Zweck und Rechtsgrundlage festhalten.
3. Datenschutzerklärung und Informationen für Beschäftigte aktualisieren.
4. Verträge mit Auftragsverarbeitern prüfen und ergänzen.
5. Sicherheitsmaßnahmen nach Art. 32 festlegen und dokumentieren.
6. Abläufe für Betroffenenanfragen und Datenpannen einrichten und üben.

Bei Aufbau und Betrieb unterstützt Sie unsere Datenschutz Beratung, auf Wunsch auch als externer Datenschutzbeauftragter.

Häufig gestellte Fragen

Gilt die DSGVO auch für kleine Unternehmen?

Ja. Die DSGVO kennt keine allgemeine Ausnahme nach Größe. Erleichterungen gibt es nur punktuell, etwa beim Verzeichnis nach Art. 30 Abs. 5, und auch dort nur unter engen Voraussetzungen.

Brauche ich immer eine Einwilligung?

Nein. Die Einwilligung ist eine von sechs Rechtsgrundlagen in Art. 6 Abs. 1. Viele Verarbeitungen stützen sich auf einen Vertrag, eine rechtliche Pflicht oder ein berechtigtes Interesse.

Wie schnell muss ich eine Auskunft geben?

Unverzüglich, spätestens binnen eines Monats. In begründeten Fällen ist eine Verlängerung um zwei Monate möglich (Art. 12 Abs. 3).

Wann muss ich eine Datenpanne melden?

Unverzüglich und möglichst binnen 72 Stunden an die Datenschutzbehörde, außer die Panne führt voraussichtlich nicht zu einem Risiko für die Betroffenen (Art. 33).

Brauche ich einen Datenschutzbeauftragten?

Pflicht ist er für Behörden und für Unternehmen, deren Kerntätigkeit in umfangreicher Überwachung oder der umfangreichen Verarbeitung besonderer Datenkategorien besteht (Art. 37 Abs. 1). Freiwillig benennen kann ihn jedes Unternehmen.

Wer kontrolliert die DSGVO in Österreich?

Die Datenschutzbehörde. Sie prüft Beschwerden, führt Verfahren und kann Geldbußen nach Art. 83 verhängen.

Fazit: Datenschutz ist Nachweisarbeit

Die DSGVO verlangt weniger Papier, als viele fürchten, aber einen belegbaren Überblick: welche Daten, wozu, auf welcher Grundlage und wie geschützt. Wer Verzeichnis, Verträge und Abläufe einmal sauber aufsetzt, hält sie mit wenig Aufwand aktuell. Erstgespräch vereinbaren