Was ist Datenschutz?

Was ist Datenschutz?

Datenschutz umfasst die rechtlichen Regeln, technischen Maßnahmen und Arbeitsgewohnheiten, die dafür sorgen, dass personenbezogene Daten rechtmäßig, begrenzt und sicher erhoben, genutzt, gespeichert und gelöscht werden. Im Mittelpunkt stehen Menschen: was eine Organisation mit Informationen über sie tun darf und wie sie diese schützen muss. Diese Seite ist allgemeine Hintergrundinformation, keine Rechtsberatung.

So funktioniert Datenschutz

Er beruht auf drei Ebenen, die aufeinander aufbauen. Regeln legen fest, was erlaubt ist, etwa die DSGVO der EU. Technische Maßnahmen machen sie durchsetzbar: Verschlüsselung, rollenbasierte Zugriffskontrolle, Protokollierung und Datenbanksicherheit. Organisatorische Gewohnheiten halten alles am Laufen: wissen, welche Daten man hat, Mitarbeitende schulen, Dienstleister prüfen und einen Plan für Datenpannen haben.

Der EDSA (EDPB) definiert personenbezogene Daten als jegliche Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Dazu gehören offensichtliche Angaben wie Name und E-Mail-Adresse, aber auch alles, was eine Person indirekt identifizierbar macht.

Die Grundsätze dahinter

Der Leitfaden des EDSA für kleine Unternehmen nennt sechs Grundsätze, die viele moderne Datenschutzgesetze aufgreifen:

• Rechtmäßigkeit, Fairness und Transparenz: eine gültige Rechtsgrundlage und keine Überraschungen für die betroffene Person.
• Zweckbindung: Daten nur für festgelegte, eindeutige und legitime Zwecke erheben.
• Datenminimierung: nur verarbeiten, was notwendig und angemessen ist.
• Richtigkeit: Daten korrekt und aktuell halten.
• Speicherbegrenzung: Daten löschen oder anonymisieren, sobald sie nicht mehr gebraucht werden.
• Sicherheit: unbeabsichtigte, unbefugte oder unrechtmäßige Offenlegung, Verlust, Zerstörung oder Schädigung verhindern.

Rechte der Betroffenen

Nach der DSGVO können Menschen Information verlangen, Auskunft über ihre Daten erhalten, Berichtigung oder Löschung fordern, die Verarbeitung einschränken oder ihr widersprechen, ihre Daten mitnehmen (Datenübertragbarkeit) und verlangen, keiner ausschließlich automatisierten Entscheidung unterworfen zu sein. Laut EDSA muss der Verantwortliche innerhalb eines Monats auf einen Antrag antworten; bei komplexen Fällen ist eine Verlängerung möglich, wenn die Person rechtzeitig informiert wird.

Ein praktisches Beispiel

Ein SaaS-Team erhält einen Löschantrag. Den Nutzerdatensatz zu löschen reicht nicht: Dieselbe E-Mail-Adresse kann in Backups, Analyse-Exporten, Support-Tools und Logs stehen. Teams, die das gut lösen, führen ein Datenverzeichnis, wissen, wo jede Kopie liegt, und haben eine getestete Löschroutine, statt unter Zeitdruck zu suchen.

Häufige Fehler

• Datenschutz als einmalige Prüfung. Datenflüsse ändern sich mit jedem Sprint, daher brauchen Verzeichnisse und Richtlinien regelmäßige Überprüfung.
• Daten auf Vorrat sammeln. Was nie erhoben wurde, kann nicht abfließen und muss später nicht gerechtfertigt werden.
• Kopien vergessen. Auch Backups, Logs, Testdatenbanken und Drittanbieter-Tools enthalten personenbezogene Daten.
• Echtdaten in Testumgebungen. Für Staging und Lasttests maskierte oder synthetische Daten verwenden.
• Gleichsetzung mit IT-Sicherheit. Sicherheit schützt vor Angreifern; Datenschutz begrenzt auch, was die Organisation selbst mit Daten tut.
• Zu weite Zugriffsrechte. Das Prinzip der minimalen Rechte über Identitäts- und Zugriffsverwaltung umsetzen.

Datenschutz, APIs und Tests

Die meisten personenbezogenen Daten laufen heute über APIs, daher ist API-Sicherheit ein großer Teil der Aufgabe. Tests helfen dabei auf bescheidene, praktische Weise. LoadFocus API Monitoring kann nach Zeitplan prüfen, ob Endpunkte die erwarteten Statuscodes und Felder liefern, auch die hinter Auskunfts- und Löschanfragen. Lasttests zeigen, ob diese Endpunkte auch bei hohem Verkehr antworten, am besten mit synthetischen Daten. Diese Prüfungen verifizieren Verhalten. LoadFocus ist kein Compliance-Werkzeug und bescheinigt keine Einhaltung von Gesetzen. Mehr zur Sicherheitspraxis im Leitfaden zur Sicherheit beim Cloud-Testing.

Häufige Fragen: Datenschutz

Was ist der Unterschied zwischen Datenschutz und Privatsphäre?

Die Begriffe überschneiden sich und werden oft gleich verwendet. Privatsphäre meint meist die Erwartungen und Rechte der Menschen an ihre Informationen. Datenschutz ist die praktische Seite: Regeln, Maßnahmen und Prozesse, die diese Rechte sichern, einschließlich Sicherheit.

Was zählt als personenbezogene Daten?

Alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen, direkt oder indirekt. Name und E-Mail sind offensichtlich, aber auch IP-Adressen, Gerätekennungen und Standortdaten können dazu zählen, wenn sie einer Person zuordenbar sind.

Ist Datenschutz dasselbe wie Datensicherheit?

Nein. Datensicherheit schützt Daten vor Verlust und unbefugtem Zugriff. Datenschutz schließt Sicherheit ein, umfasst aber auch rechtmäßige Nutzung, Datensparsamkeit, Aufbewahrungsdauer und die Rechte der betroffenen Personen.

Wie lange dürfen personenbezogene Daten gespeichert werden?

Nur so lange, wie sie für den Zweck der Erhebung gebraucht werden. Speicherbegrenzung heißt: Aufbewahrungsfristen je Datenart festlegen und planmäßig löschen oder anonymisieren.

Brauche ich einen Anwalt dafür?

Für rechtliche Fragen zu Ihrer Situation ja: wenden Sie sich an eine qualifizierte Fachperson oder Ihre Datenschutzaufsichtsbehörde. Dieses Glossar erklärt nur die Konzepte.