Datenschutz-Grundverordnung

Die Datenschutz-Grundverordnung ist ein Gesetz der Europäischen Union. Es legt fest, was Unternehmen und Behörden mit Daten über einzelne Menschen tun dürfen. Gemeint sind damit alle Angaben, die zu einer bestimmten Person gehören: Name, Adresse, Geburtsdatum, Fotos, Standort, Kaufhistorie oder die Nummer, unter der ein Gerät im Internet erreichbar ist. Das Gesetz gilt seit Mai 2018 und in allen Mitgliedsstaaten gleichzeitig. Abgekürzt wird es meist DSGVO, im Englischen GDPR. Der Grundgedanke ist einfach: Deine Daten gehören dir, und wer sie nutzen will, braucht dafür einen guten Grund.

Warum ein europäisches Gesetz weltweit gilt

Vor 2018 hatte jedes EU-Land eigene Datenschutzregeln. Firmen suchten sich deshalb gern das Land mit den lockersten Vorschriften aus. Die DSGVO beendete dieses Ausweichen, indem sie überall dieselben Regeln setzte. Entscheidend ist außerdem das sogenannte Marktortprinzip. Es besagt: Das Gesetz gilt für jede Firma, die Menschen in Europa als Kunden hat, egal wo ihr Hauptsitz steht.

Deshalb müssen sich auch amerikanische und chinesische Konzerne daran halten. Genau das macht die DSGVO zu einem Thema in Wirtschaftsnachrichten. Die Bußgelder sind hoch genug, um selbst Großkonzerne zu treffen: bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes, je nachdem, was mehr ist. Meta musste 2023 rund 1,2 Milliarden Euro zahlen, weil europäische Nutzerdaten unerlaubt in die USA flossen.

Für KI-Firmen ist die Verordnung besonders heikel. Sprachmodelle werden mit riesigen Textmengen aus dem Internet trainiert, und darin stecken zwangsläufig Angaben über echte Personen. Italien sperrte ChatGPT 2023 vorübergehend genau aus diesem Grund. Die DSGVO ist nicht dasselbe wie der EU AI Act: Die eine schützt personenbezogene Daten, der andere regelt KI-Systeme nach ihrem Risiko. Ein Unternehmen kann gegen beide gleichzeitig verstoßen.

Erlaubnis, Zweck und die Rechte der Betroffenen

Das Gesetz kehrt die übliche Logik um. Datenverarbeitung ist grundsätzlich verboten, außer es gibt eine Erlaubnis. Sechs solcher Erlaubnisse nennt die Verordnung. Die bekannteste ist die Einwilligung, also dein aktives Ja. Andere sind ein Vertrag, eine gesetzliche Pflicht oder ein berechtigtes Interesse der Firma.

Dazu kommen einige Grundprinzipien. Daten dürfen nur für einen vorher festgelegten Zweck erhoben werden. Man darf nicht mehr sammeln, als für diesen Zweck nötig ist. Und man muss sie löschen, sobald der Zweck erfüllt ist. Ein Onlineshop braucht deine Adresse für den Versand, aber nicht deine politische Meinung.

Auf der anderen Seite stehen deine Rechte. Du darfst erfahren, welche Daten eine Firma über dich gespeichert hat. Du darfst falsche Angaben korrigieren und in vielen Fällen die Löschung verlangen. Du darfst deine Daten außerdem in einem üblichen Dateiformat mitnehmen, etwa beim Wechsel zu einem anderen Anbieter. Anfragen dieser Art muss ein Unternehmen normalerweise innerhalb eines Monats beantworten.

Cookie-Banner, Schul-Software und Datenpannen

Am sichtbarsten ist die DSGVO in den Zustimmungsfenstern beim Öffnen einer Webseite. Sie fragen, ob kleine Textdateien namens Cookies dein Verhalten mitverfolgen dürfen. Rechtlich stammen diese Banner aus einer älteren Richtlinie, aber die DSGVO bestimmt, wie eine gültige Einwilligung aussehen muss. Ablehnen muss genauso leicht sein wie Zustimmen. Viele Banner erfüllen das bis heute nicht und werden deshalb von Aufsichtsbehörden beanstandet.

Auch in der Schule taucht das Thema auf. Ob eine Lernplattform oder ein Videokonferenzdienst eingesetzt werden darf, hängt oft davon ab, wo die Daten gespeichert werden. Ein häufiger Irrtum ist übrigens, die DSGVO verbiete es, Daten in die USA zu übertragen. Das stimmt nicht. Solche Übertragungen sind erlaubt, brauchen aber eine zusätzliche rechtliche Absicherung.

In den Nachrichten begegnet dir der Begriff meist bei Datenpannen. Wird eine Kundendatenbank gehackt, muss das Unternehmen die Aufsichtsbehörde innerhalb von 72 Stunden informieren. Bei hohem Risiko müssen auch die Betroffenen benachrichtigt werden. Genau deshalb erfährt die Öffentlichkeit heute von Sicherheitsvorfällen, die früher stillschweigend unter den Tisch gefallen wären.