Was ist die Datenschutz-Grundverordnung (DSGVO)?

Die Datenschutz-Grundverordnung (DSGVO) regelt den Umgang mit personenbezogenen Daten. Die Verordnung gilt seit 2018 unmittelbar in allen Mitgliedstaaten der Europäischen Union. Durch die DSGVO wurde das Datenschutzrecht in der EU vereinheitlicht.

Im Gegensatz zu einer Richtlinie ist die DSGVO direkt anwendbar. Sie verpflichtet Unternehmen, Behörden und Organisationen, die Verarbeitung von Daten sicher und transparent zu gestalten.

DSGVO Bedeutung und Definitionen

Die DSGVO schützt die Grundrechte und Freiheiten natürlicher Personen und stellt den freien Verkehr personenbezogener Daten sicher. Als Kernstück der Verordnung sind wichtige Definitionen festgelegt.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Dazu gehören Namen, Standortdaten, Online-Kennungen und weitere Informationen.

Verarbeitung umfasst alle Vorgänge mit diesen Daten – von der Erhebung über das Speichern bis hin zum Übermitteln und Löschen. Die Bundesbeauftragte für den Datenschutz erläutert im BfDI‑Datenschutzportal die Rechte nach der DSGVO.

Rechte von betroffenen Personen

Eine zentrale Aufgabe der DSGVO ist die Stärkung der Rechte von Bürgerinnen und Bürgern. Zu dieser Aufgabe gehören:

Auskunftsrecht und Informationspflicht: Betroffene können erfahren, ob und welche ihrer Daten verarbeitet werden, und erhalten eine Kopie der verarbeiteten Daten.
Recht auf Löschung ("Recht auf Vergessenwerden"): Daten müssen gelöscht werden, wenn sie für den ursprünglichen Zweck nicht mehr notwendig sind oder die Einwilligung widerrufen wurde.
Recht auf Berichtigung und Datenübertragbarkeit: Ungenaue Daten sind zu korrigieren, und Betroffene können ihre Daten zu einem anderen Anbieter übertragen lassen.
Recht auf Widerspruch und auf Einschränkung der Verarbeitung: Unter bestimmten Voraussetzungen dürfen Betroffene der Verarbeitung widersprechen bzw. deren Umfang beschränken.
Rechte bei automatisierten Entscheidungen: Entscheidungen, die allein auf automatisierter Verarbeitung beruhen (z. B. Profiling), müssen überprüfbar sein. Betroffene können eine menschliche Überprüfung automatisierter Entscheidungen verlangen.

Ziele der DSGVO

In Artikel 1 der DSGVO werden zwei übergeordnete Ziele definiert, welche den Schutz personenbezogener Daten und deren freien Verkehr sicherstellen:

Schutz der Grundrechte und Freiheiten natürlicher Personen, insbesondere des Rechts auf Schutz personenbezogener Daten.
Gewährleistung des freien Verkehrs personenbezogener Daten innerhalb der Union. Nationale Datenschutzgesetze dürfen die grenzüberschreitende Verarbeitung nicht ungerechtfertigt einschränken.

Die wichtigsten DSGVO-Artikel

Für die Auswahl der wichtigsten Artikel der Datenschutz-Grundverordnung wurden Beispiele herangezogen, die in der Praxis die zentralen Anforderungen an eine datenschutzkonforme Verarbeitung definieren. Sie bilden die Grundlage für Rechtmäßigkeit, Transparenz, den Umgang mit sensiblen Daten sowie für geeignete technische und organisatorische Maßnahmen (TOMs).

Artikel 5: Grundsätze der Verarbeitung

In Artikel 5 der DSGVO sind die grundlegenden Prinzipien jeder Verarbeitung festgehalten, die jede Art der Datenverarbeitung erfüllen muss. Die Prinzipien bilden die Grundlage des europäischen Datenschutzrechts und verlangen, dass Organisationen eine Rechenschaftspflicht (z. B. durch ein Verzeichnis der Verarbeitungstätigkeiten) einführen.

Art. 5 DSGVO enthält sieben Grundsätze:

Rechtmäßigkeit/Transparenz, Verarbeitung nach Treu und Glauben,
Zweckbindung,
Datenminimierung,
Richtigkeit,
Speicherbegrenzung,
Integrität und Vertraulichkeit sowie
Rechenschaftspflicht.

Artikel 6: Rechtmäßigkeit der Verarbeitung

Die Verarbeitung von Daten ist laut Artikel 6 DSGVO nur dann zulässig, wenn mindestens eine der in Artikel 6 genannten Bedingungen erfüllt ist. Um die Vorgaben nach DSGVO zu erfüllen, müssen Organisationen den treffenden Rechtsgrund dokumentieren und den Zweck der Verarbeitung klar definieren.

Zu den Bedingungen für Rechtmäßigkeit aus Artikel 6 DSGVO gehören:

Einwilligung der betroffenen Person für einen bestimmten Zweck.
Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen.
Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen.
Schutz lebenswichtiger Interessen der Betroffenen oder einer anderen Person.
Aufgaben im öffentlichen Interesse oder Ausübung öffentlicher Gewalt.
Berechtigte Interessen des Verantwortlichen oder Dritter, sofern die Interessen der betroffenen Person nicht überwiegen.

Artikel 9: Besondere Kategorien personenbezogener Daten

Besondere Kategorien personenbezogener Daten sind laut Artikel 9 DSGVO Informationen über Herkunft, politische Meinung, religiöse Überzeugung, Gewerkschaftszugehörigkeit, genetische und biometrische Daten, Gesundheitsdaten und Daten zur sexuellen Orientierung.

Verantwortliche müssen zusätzliche technische und organisatorische Maßnahmen treffen, wenn Daten aus besonderen Kategorien verarbeitet werden.

Die Verarbeitung der Daten ist nur unter strengen Voraussetzungen erlaubt. Zu diesen gehören:

Ausdrückliche Einwilligung der betroffenen Person.
Arbeitsrechtliche oder sozialrechtliche Verpflichtungen, z. B. bei Gesundheitsdaten im Rahmen des Beschäftigungsverhältnisses.
Schutz lebenswichtiger Interessen, wenn die betroffene Person nicht einwilligen kann.
Verarbeitung durch nicht‑kommerzielle Vereine oder Organisationen mit religiösen, sozialen oder politischen Zielen.
Öffentliches Interesse im Bereich der öffentlichen Gesundheit oder für Forschungs‑ und Statistikzwecke.

Artikel 13: Informationspflicht bei Datenerhebung

Die Erhebung personenbezogener Daten muss laut Artikel 13 der DSGVO mit der Transparenz der Verarbeitung einhergehen. Artikel 13 verpflichtet Organisationen insbesondere dazu, folgende Informationen bereitzustellen:

Identität und Kontaktdaten des Verantwortlichen sowie ggf. des Datenschutzbeauftragten.
Zweck und Rechtsgrundlage der Verarbeitung; bei berechtigten Interessen auch deren Erläuterung.
Empfänger oder Kategorien von Empfängern und ggf. geplante Datenübermittlungen in Drittländer.
Speicherdauer oder Kriterien zur Festlegung der Dauer.
Rechte der betroffenen Personen, einschließlich Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit.
Widerrufsrecht der Einwilligung, Beschwerderecht bei der Aufsichtsbehörde sowie die Frage, ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben ist.
Informationen über automatisierte Entscheidungsfindung und die zugrunde liegende Logik.

Artikel 32: Sicherheit der Verarbeitung

Nach Artikel 32 werden Verantwortliche dazu verpflichtet, ein angemessenes Schutzniveau für personenbezogene Daten zu gewährleisten. Diese Anforderungen machen deutlich, dass Datenschutz und Informationssicherheit untrennbar miteinander verbunden sind.

Zu den empfohlenen technischen und organisatorischen Maßnahmen (TOMs) gehören unter anderem:

Pseudonymisierung und Verschlüsselung der Daten.
Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme.
Rasche Wiederherstellung der Datenverfügbarkeit nach physischen oder technischen Zwischenfällen.
Regelmäßige Überprüfung der Wirksamkeit der Sicherheitsmaßnahmen.
Sicherstellen, dass Mitarbeitende Daten nur auf Weisung des Verantwortlichen verarbeiten (in Ergänzung aus Art. 29 DSGVO).

So hilft Imprivata die DSGVO einzuhalten

Eine DSGVO‑konforme Organisation benötigt eine Reihe von Sicherheitsmaßnahmen wie ein zuverlässiges Identity‑ und Access‑Management (IAM). Laut Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt IAM sicher, dass nur autorisierte Personen Zugriff auf geschützte IT‑Ressourcen haben.

Dazu gehört die eindeutige Identifikation und Authentifizierung von Nutzern sowie die Zuweisung angemessener Berechtigungen.

Lösungen für DSGVO‑Compliance

Imprivata bietet eine Reihe von IAM- und Sicherheitsmaßnahmen, die Unternehmen bei der Einhaltung der DSGVO unterstützen:

Single‑Sign‑On (SSO): Mitarbeitende melden sich einmalig an und erhalten sicheren, automatisierten Zugriff auf alle benötigten Anwendungen. Dies reduziert Passwortmüdigkeit und unterstützt das Prinzip der Datenminimierung. Weitere Informationen finden Sie in unserem Beitrag „Single Sign‑On (SSO)“.
Starke Mehrfaktorauthentifizierung (MFA): Die Kombination aus Biometrie, Tokens oder Smartcards stellt sicher, dass nur berechtigte Nutzer Zugang erhalten; dies ist entscheidend für Integrität und Vertraulichkeit.
Zentralisierte Zugriffskontrolle und Auditing: Lösungen wie Imprivata Identity Governance & Administration dokumentieren, welche Benutzer wann auf welche Daten zugreifen. Unternehmen erfüllen dadurch die Rechenschaftspflicht der DSGVO.
Automatisierte Provisionierung und De‑Provisionierung: Benutzerkonten werden entlang des User Lifecycles provisioniert. Bei Eintritt, Positionswechsel oder Austritt werden Zugriffsrechte automatisch eingerichtet oder entfernt, sodass überflüssige Zugriffe vermieden und eine unterbrechungsfreie Arbeitsfähigkeit eingehalten werden.
Unterstützung bei Pseudonymisierung und Privileged Access Management: Durch separate administrative Konten, feingranulare Rechte und optional verschlüsselte Identitäten können sensible Daten verschleiert und geschützt werden – ein wichtiger Baustein bei der Verarbeitung besonderer Kategorien nach Artikel 9.

IAM & DSGVO

Ein IAM‑System trägt dazu bei, die Anforderungen von Artikel 32 DSGVO zu erfüllen, indem es Vertraulichkeit, Integrität und Verfügbarkeit sicherstellt. Die Benutzer‑ und Rechteverwaltung setzt das Least‑Privilege‑Prinzip durch und unterstützt Audits. Automatisierte Prozesse reduzieren Fehler und ermöglichen die pflichtgemäße Meldung von Datenschutzverletzungen innerhalb von 72 Stunden.

Imprivata bietet branchenspezifische Anwendungen wie Single Sign-On (SSO) für das Gesundheitswesen und Imprivata Enterprise Access Management für Unternehmen an. Diese Plattformen ermöglichen es, sowohl moderne Cloud‑Anwendungen als auch Legacy‑Systeme zentral zu verwalten. Anwendungen werden auf die Anforderungen des Datenschutzes und besondere Richtlinien in der Organisation zugeschnitten.

Europaweite Richtlinien für Datenverarbeitung dank DSGVO

Die DSGVO schafft klare Regeln für die Verarbeitung personenbezogener Daten und verlangt Transparenz, Sicherheit und Rechenschaft.

Für IT‑ und Datensicherheit in Organisationen bedeutet dies, Datenminimierung, Zweckbindung, Transparenz und den Schutz sensibler Datenkategorien in Prozesse zu integrieren. Eine starke Identity‑ & Access‑Management‑Infrastruktur ist dabei essenziell.

IAM sorgt für sichere Authentifizierung, verhindert unbefugten Zugriff, unterstützt Protokollierung und erleichtert den Nachweis gegenüber Aufsichtsbehörden.

Mit Lösungen wie Imprivata OneSign, Imprivata Identity Governance und Enterprise Access Management erhalten Unternehmen praxisnahe Werkzeuge, um die Compliance‑Anforderungen der DSGVO zu erfüllen und Prozesse zu optimieren.