Was ist die DSGVO?
Die DSGVO beantwortet eine Frage, die bei jedem Formular, jedem Newsletter und jedem Analyse-Werkzeug im Raum steht: Darfst du diese Daten überhaupt haben — und was darfst du damit tun?
Ausgeschrieben heißt sie Datenschutz-Grundverordnung, auf Englisch GDPR. Die EU hat sie 2016 beschlossen. Seit dem 25. Mai 2018 gilt sie unmittelbar in allen Mitgliedstaaten. Sie trifft auch Unternehmen außerhalb der EU, sobald sie Menschen in der EU etwas anbieten oder deren Verhalten beobachten.
Geschützt sind personenbezogene Daten: alles, was sich einem Menschen zuordnen lässt. Name, E-Mail-Adresse, Kundennummer — aber auch Online-Kennungen. Die Verordnung nennt ausdrücklich IP-Adressen und Cookie-Kennungen.
Wann darfst du Daten verarbeiten?
Nur, wenn du eine Rechtsgrundlage hast. Die DSGVO kennt sechs, alle gleichrangig. Im Marketing begegnen dir vor allem drei:
Grundlage
Typischer Fall
Einwilligung
Newsletter, Tracking
Vertrag
Bestellung, Angebot auf Anfrage
Berechtigtes Interesse
Werbung per Post, nach Abwägung
Die anderen drei: eine rechtliche Pflicht, etwa das Aufbewahren von Rechnungen, lebenswichtige Interessen und öffentliche Aufgaben.
Eine Einwilligung zählt nur, wenn sie freiwillig, informiert und aktiv gegeben wird. Ein vorab gesetztes Häkchen reicht nicht — das hat der Europäische Gerichtshof 2019 entschieden. Du musst sie nachweisen können. Und der Widerruf muss so einfach sein wie die Zustimmung.
Was musst du konkret tun?
- Datenschutzerklärung: Sag den Leuten, welche Daten du wozu und auf welcher Grundlage verarbeitest.
- Auftragsverarbeitung: Schließ einen Vertrag mit jedem Dienstleister, der Daten für dich verarbeitet — Hoster, Newsletter-Werkzeug, Analyse.
- Verzeichnis: Führ eine Liste deiner Verarbeitungen. Die Ausnahme für Betriebe unter 250 Mitarbeitern greift praktisch nicht, sobald du regelmäßig Kundendaten verarbeitest.
- Datenpannen: Melde sie binnen 72 Stunden der Aufsichtsbehörde — außer, es besteht voraussichtlich kein Risiko.
- Anfragen: Will jemand Auskunft oder Löschung, hast du einen Monat Zeit.
- Datenschutzbeauftragter: In Deutschland Pflicht, sobald in der Regel 20 Personen ständig mit der automatisierten Verarbeitung von Daten beschäftigt sind.
Bei Verstößen drohen Bußgelder bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. Das höchste bisher: 1,2 Milliarden Euro gegen Meta im Jahr 2023.
Was regelt die DSGVO nicht?
Zwei Regeln schreiben Marketer ständig der DSGVO zu. Sie stehen in anderen Gesetzen:
- Cookies und Tracking: § 25 TDDDG verlangt eine Einwilligung, bevor du etwas auf dem Gerät eines Besuchers speicherst oder ausliest. Ausgenommen ist, was unbedingt erforderlich ist. Daher kommt das Cookie-Banner.
- E-Mail-Werbung: § 7 UWG erlaubt sie nur mit vorheriger ausdrücklicher Einwilligung. Die Ausnahme für Bestandskunden hat vier Bedingungen, die alle erfüllt sein müssen.
Und die USA? Seit Juli 2023 gilt das Data Privacy Framework. Du darfst Daten an US-Anbieter übermitteln, die dort zertifiziert sind. Ein EU-Gericht hat eine Klage dagegen im September 2025 abgewiesen. Das Rechtsmittel beim Europäischen Gerichtshof läuft noch.
Beispiele aus der Praxis
Zwei Zahlenpaare, die mehr über den Alltag sagen als die Milliardenstrafen.
Case A · Fristen
Zwei Uhren, die du kennen musst
72 Std.
Datenpanne melden
1 Monat
Anfrage beantworten
Beide laufen, sobald du davon weißt
Die 72 Stunden gelten gegenüber der Behörde, der Monat gegenüber der Person, die Auskunft oder Löschung verlangt.
Case B · Bußgelder
Datenschutzaufsicht Baden-Württemberg, 2025
101
Bußgeldbescheide
308.850 €
Summe
Im Schnitt rund 3.060 € je Bescheid
Im selben Jahr gingen dort 4.059 Meldungen über Datenpannen ein. Der Alltag der Behörden ist kleiner als die Schlagzeilen — aber nicht folgenlos.
Häufige Irrtümer
Irrtum 1 · „Gilt erst ab 250 Mitarbeitern“
Die DSGVO kennt keine Größenschwelle. Ausgenommen ist nur rein Privates. Die Zahl 250 betrifft allein das Verzeichnis — und selbst dort hilft sie kaum jemandem.
Irrtum 2 · „Ohne Einwilligung geht nichts“
Es gibt sechs Rechtsgrundlagen. Für eine Bestellung brauchst du keine Einwilligung, der Vertrag genügt. Wer überall Häkchen einbaut, macht es sich nicht sicherer: Eine Einwilligung kann jederzeit widerrufen werden.
Irrtum 3 · „B2B-Daten fallen nicht darunter“
Ausgenommen sind nur Daten von Firmen als solchen: Name, Rechtsform, Zentrale. Die Ansprechpartnerin mit Namen und Durchwahl ist ein Mensch — und damit geschützt.
Irrtum 4 · „US-Tools sind verboten“
Nicht pauschal. Entscheidend ist, ob der Anbieter unter dem Data Privacy Framework zertifiziert ist. Das lässt sich in der offiziellen Liste nachschlagen.
Was heißt das für dein Marketing?
- Newsletter: Einwilligung plus Double Opt-in. Das steht nicht im Gesetz, die Datenschutzbehörden halten es aber für geboten — und du musst die Einwilligung beweisen können.
- Tracking: Nicht notwendige Cookies erst nach aktiver Zustimmung. Ablehnen muss so leicht sein wie Zustimmen. Wie die Entscheidung bei Google ankommt, regelt der Consent Mode.
- Kundenlisten in Werbeplattformen: Der Upload für Custom Audiences ist laut bayerischer Datenschutzaufsicht ohne Einwilligung unzulässig. Verschlüsseln ändert daran nichts.
- KI-Werkzeuge: Auch hier brauchst du für jeden Schritt mit Personendaten eine Rechtsgrundlage. Kundendaten gehören nicht in einen Privat-Tarif.
Häufige Fragen
Gilt die DSGVO auch für Solo-Selbstständige?
Ja. Ausgenommen sind nur ausschließlich persönliche oder familiäre Tätigkeiten. Sobald du geschäftlich Daten von Menschen verarbeitest — Kontaktformular, Kundenliste, Newsletter —, gilt sie für dich. Eine Mindestgröße gibt es nicht.
Brauche ich immer eine Einwilligung?
Nein. Die DSGVO nennt sechs gleichrangige Rechtsgrundlagen, darunter Vertrag und berechtigtes Interesse. Zwei andere Gesetze verlangen die Einwilligung aber ausdrücklich: § 7 UWG für E-Mail-Werbung, außer bei Bestandskunden, und § 25 TDDDG für nicht notwendige Cookies.
Darf ich Werkzeuge von US-Anbietern nutzen?
Ja, wenn der Anbieter unter dem Data Privacy Framework zertifiziert ist. Die EU hat das Abkommen 2023 anerkannt, ein EU-Gericht hat es 2025 bestätigt. Ein Rechtsmittel dagegen ist noch nicht entschieden. Den Vertrag zur Auftragsverarbeitung brauchst du trotzdem.
Wird die DSGVO gelockert?
Geplant ist es. Die EU-Kommission hat im November 2025 Änderungen vorgeschlagen, unter anderem bei Cookie-Regeln und Meldefristen. Auch das Verzeichnis soll für kleinere Unternehmen entfallen, und Deutschland will die 20-Personen-Regel beim Datenschutzbeauftragten streichen. Stand Oktober 2026 ist davon nichts in Kraft. Bis dahin gilt das bisherige Recht.
Quellen
- EUR-Lex: Datenschutz-Grundverordnung (EU) 2016/679
- § 38 BDSG: Datenschutzbeauftragte nichtöffentlicher Stellen
- Irische Datenschutzbehörde: Abschluss des Verfahrens gegen Meta Ireland
- § 25 TDDDG: Schutz der Privatsphäre bei Endeinrichtungen
- § 7 UWG: Unzumutbare Belästigungen
- Datenschutzkonferenz: Orientierungshilfe Direktwerbung
