Was ist Datenschutz?
Der wichtigste Satz zuerst: Datenschutz schützt Menschen, nicht Daten. Es geht um Informationen, die sich einer Person zuordnen lassen — Name, E-Mail-Adresse, IP-Adresse, Kaufhistorie, Standort. Die Datenschutz-Grundverordnung nennt sie personenbezogene Daten.
Die Idee dahinter hat in Deutschland einen Geburtstag. Am 15. Dezember 1983 entschied das Bundesverfassungsgericht im Volkszählungsurteil: Jeder darf grundsätzlich selbst bestimmen, wer was über ihn weiß und was damit passiert. Das ist die informationelle Selbstbestimmung.
Firmendaten ohne Personenbezug, echte anonyme Statistiken oder dein Lagerbestand fallen nicht darunter. Sobald aber eine Person dahintersteht — auch nur über eine Kundennummer —, gilt der Datenschutz.
Welche Regeln gelten?
Das Kerngesetz ist die DSGVO, seit dem 25. Mai 2018 in der ganzen EU anwendbar. Ergänzt wird sie in Deutschland durch das Bundesdatenschutzgesetz. Fürs Marketing kommen zwei weitere Gesetze dazu, die oft vergessen werden:
- TDDDG § 25: Cookies und ähnliche Techniken auf dem Gerät des Nutzers nur mit Einwilligung — außer sie sind für den gewünschten Dienst unbedingt erforderlich.
- UWG § 7: Werbe-E-Mails nur mit vorheriger ausdrücklicher Einwilligung. Die enge Ausnahme für Bestandskunden greift nur, wenn alle vier Bedingungen erfüllt sind.
Artikel 5 der DSGVO fasst die Grundsätze zusammen. Wer sie verstanden hat, kann die meisten Alltagsfragen selbst einordnen:
Grundsatz
Heißt für dich
Rechtmäßigkeit, Transparenz
Du brauchst eine Rechtsgrundlage und sagst offen, was du tust.
Zweckbindung
Daten fürs Gewinnspiel sind nicht automatisch Daten für den Newsletter.
Datenminimierung
Nur abfragen, was du wirklich brauchst.
Richtigkeit
Falsche Daten berichtigen oder löschen.
Speicherbegrenzung
Nicht ewig aufheben, Löschfristen festlegen.
Integrität, Vertraulichkeit
Daten technisch sicher aufbewahren.
Dazu kommt die Rechenschaftspflicht: Du musst nachweisen können, dass du dich an all das hältst. „Machen wir schon richtig“ reicht nicht, es muss dokumentiert sein.
Datenschutz oder Datensicherheit?
Die beiden werden ständig verwechselt. Datensicherheit schützt alle Daten technisch vor Verlust, Diebstahl und fremdem Zugriff — auch deine Buchhaltung. Datenschutz fragt vorher: Darfst du diese personenbezogenen Daten überhaupt haben und nutzen?
Die Schnittmenge ist der letzte Grundsatz aus der Tabelle. Eine verschlüsselte, gut gesicherte Kundenliste, die du ohne Einwilligung für Werbung nutzt, ist sicher — aber trotzdem ein Datenschutzverstoß.
Was passiert, wenn es schiefgeht?
Artikel 83 DSGVO sieht Bußgelder bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor, je nachdem, was höher ist. Laut EU-Kommission haben die Aufsichtsbehörden bis Anfang 2024 über 6.680 Bußgelder mit zusammen rund 4,2 Milliarden Euro verhängt — Deutschland lag mit 2.106 Bußgeldern vorn. Zwei aktuelle Fälle:
Fall A · Deutschland
Bundesbeauftragter gegen Vodafone, Juni 2025
45 Mio. €
Bußgeld gesamt
15 Mio. €
davon für Partneragenturen
Dienstleister nicht ausreichend geprüft und überwacht, dazu Lücken beim Log-in
Lehre für jedes KMU: Wer Agenturen oder Tools Kundendaten gibt, bleibt verantwortlich.
Fall B · Frankreich
CNIL gegen Google, September 2025
325 Mio. €
Bußgeld
53 Mio.
Personen sahen die Werbung
Werbung im Gmail-Posteingang ohne Einwilligung, Ablehnen von Werbe-Cookies schwerer als Annehmen
Genau die Muster, die auch in vielen Cookie-Bannern kleiner Seiten stecken.
Viel häufiger als ein Bußgeld ist für kleine Firmen aber die Beschwerde. Beim Bundesbeauftragten gingen 2025 rund 11.800 Beschwerden und Anfragen ein, fast so viele wie im Rekordjahr 2018. Dazu kommen die Landesbehörden, die getrennt zählen.
Häufige Fehler
Fehler 1 · Das Cookie-Banner als Deko behandeln
„Alle akzeptieren“ groß und bunt, „Ablehnen“ klein in der zweiten Ebene: Genau dieses Muster hat die CNIL bei Google beanstandet. Ablehnen muss so leicht sein wie Annehmen.
Fehler 2 · Bestandskunden einfach anschreiben
„Die haben ja schon gekauft.“ Die Ausnahme in § 7 Abs. 3 UWG gilt nur für eigene ähnliche Produkte, nur ohne Widerspruch und nur mit Hinweis auf das Widerspruchsrecht — schon beim Erheben der Adresse und in jeder Mail.
Fehler 3 · Dienstleister nicht prüfen
Newsletter-Tool, CRM, Agentur: Wer für dich Kundendaten verarbeitet, braucht einen Vertrag zur Auftragsverarbeitung. Und du musst prüfen, ob er sich daran hält. Vodafone hat das 15 Millionen Euro gekostet.
So fängst du an
- Bestandsaufnahme: Welche Tools sammeln auf deiner Seite Daten? Formulare, Analytics, Pixel, eingebettete Videos.
- Einwilligung sauber holen: ein Consent-Manager wie Borlabs Cookie, Usercentrics oder Cookiebot, dazu Google Consent Mode v2.
- Newsletter nur mit Double-Opt-in und protokollierter Einwilligung.
- Verträge zur Auftragsverarbeitung mit allen Tool-Anbietern ablegen.
- Datenschutzerklärung an die echten Tools anpassen, nicht an eine Vorlage von 2018.
Häufige Fragen
Gilt Datenschutz auch für kleine Unternehmen und Solopreneure?
Ja. Die DSGVO kennt keine Mindestgröße. Sobald du geschäftlich personenbezogene Daten verarbeitest — Kundenliste, Kontaktformular, Analytics —, gelten die Regeln. Manche Pflichten sind für kleine Betriebe leichter, die Grundsätze aber nicht.
Brauche ich für Google Analytics eine Einwilligung?
In aller Regel ja. Analytics setzt Cookies oder liest Daten vom Gerät, und das ist laut § 25 TDDDG nur mit Einwilligung erlaubt, wenn es für den gewünschten Dienst nicht unbedingt nötig ist. Reichweitenmessung gilt dabei nicht als unbedingt nötig.
Wie hoch können Bußgelder werden?
Bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist. Bei kleineren Verstößen liegt der Rahmen bei 10 Millionen Euro oder 2 %. Behörden berücksichtigen Größe, Schwere und Mitwirkung — kleine Firmen zahlen meist deutlich weniger.
Was ist der Unterschied zwischen DSGVO und Datenschutz?
Datenschutz ist das Ziel, die DSGVO das wichtigste Gesetz dafür. Daneben regeln BDSG, TDDDG und UWG Teile, die fürs Marketing wichtig sind.
Quellen
- Bundesverfassungsgericht: Volkszählungsurteil (1983)
- EUR-Lex: Datenschutz-Grundverordnung (EU) 2016/679
- Gesetze im Internet: § 25 TDDDG
- Gesetze im Internet: § 7 UWG
- EU-Kommission: Zweiter Bericht zur DSGVO (2024)
- Deutscher Bundestag: Tätigkeitsbericht der BfDI 2025
- BfDI: Geldbuße gegen Vodafone (2025)
- CNIL: Sanktion gegen Google (2025)
