Datenschutz
Datenschutz regelt den rechtmäßigen Umgang mit personenbezogenen Daten und schützt das Recht natürlicher Personen auf informationelle Selbstbestimmung. Seit Mai 2018 gilt in der EU die Datenschutz-Grundverordnung (DSGVO) als zentrale Rechtsgrundlage.
Ausführliche Erklärung
Die Datenschutz-Grundverordnung (DSGVO) schuf ein EU-weit einheitliches Regelwerk, das seit dem 25. Mai 2018 in allen Mitgliedstaaten unmittelbar gilt. Sie schützt natürliche Personen bei der Verarbeitung personenbezogener Daten und fördert gleichzeitig den freien Datenverkehr innerhalb der Union. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierbare lebende Person beziehen – von Namen und Adressen über E-Mails bis zu Zahlungsdaten oder Website-Analysen.
Für kleine und mittlere Unternehmen bedeutet Datenschutz konkrete Pflichten, die unabhängig von der Unternehmensgröße gelten. Jedes Unternehmen, das personenbezogene Daten verarbeitet – sei es bei der Lohnabrechnung, im Newsletter-Versand oder in der Kundenverwaltung – muss die DSGVO einhalten. Zentrale Anforderungen sind: ein Verzeichnis von Verarbeitungstätigkeiten führen, Betroffenenrechte gewährleisten, Datenschutzinformationen bereitstellen, technisch-organisatorische Maßnahmen umsetzen und unter bestimmten Voraussetzungen einen Datenschutzbeauftragten benennen. In Deutschland ist dies etwa ab 20 Personen Pflicht, die ständig mit automatisierter Verarbeitung beschäftigt sind.
Die DSGVO verlangt nicht Perfektion, sondern ein nachweisbar angemessenes Datenschutzniveau. Verstöße können allerdings empfindliche Sanktionen nach sich ziehen: Die Aufsichtsbehörden können Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes verhängen. In Österreich ist die Datenschutzbehörde die zuständige Aufsichtsstelle, in Deutschland sind es die Landesdatenschutzbeauftragten. Mit strukturierter Dokumentation, klaren Prozessen und Mitarbeiterschulungen lässt sich Datenschutz auch in KMU effizient umsetzen.
Im Kontext von Künstlicher Intelligenz gewinnt Datenschutz zusätzlich an Komplexität: Sobald KI-Systeme personenbezogene Daten verarbeiten, gelten alle DSGVO-Grundsätze wie Transparenz, Zweckbindung und Datenminimierung unverändert. Das Unternehmen bleibt Verantwortlicher und muss nachweisen, dass KI-gestützte Prozesse rechtskonform eingebettet sind. Besondere Herausforderungen entstehen bei automatisierten Entscheidungen, beim Training von Modellen oder bei der Nutzung cloudbasierter KI-Dienste mit Sitz außerhalb der EU.
Praxisbeispiel
Eine Steuerberatungskanzlei mit 12 Mitarbeitenden in Graz verarbeitet täglich sensible Mandantendaten. Sie führt ein Verzeichnis aller Verarbeitungstätigkeiten (Mandatsverwaltung, Lohnbuchhaltung, E-Mail-Verkehr), hat mit dem Cloud-Buchhaltungsanbieter einen Auftragsverarbeitungsvertrag geschlossen und schult das Team jährlich zu Datenschutzgrundsätzen. Auf der Website ist die Datenschutzerklärung hinterlegt, in der die Mandanten über Zweck und Rechtsgrundlage der Datenverarbeitung informiert werden.