DSGVO

Die DSGVO (Datenschutz-Grundverordnung, englisch General Data Protection Regulation, GDPR) ist die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr. Das Europäische Parlament und der Rat verabschiedeten sie am 27. April 2016; sie gilt unmittelbar in allen Mitgliedstaaten der Europäischen Union seit dem 25. Mai 2018.

Zusammenfassung

Die DSGVO ersetzte 2018 die Datenschutzrichtlinie 95/46/EG und schuf erstmals ein unmittelbar geltendes, einheitliches Datenschutzrecht für alle Mitgliedstaaten. Sieben Grundsätze in Artikel 5 bilden das Gerüst jeder Verarbeitung, sechs Rechtsgrundlagen in Artikel 6 legitimieren sie im Einzelfall, und besondere Kategorien wie Gesundheits- oder biometrische Daten unterliegen nach Artikel 9 einem grundsätzlichen Verbot mit engen Ausnahmen.

Betroffene Personen erhalten Auskunfts-, Berichtigungs-, Lösch- und Widerspruchsrechte sowie einen Schutz vor rein automatisierten Entscheidungen nach Artikel 22. Verstöße können mit Bußgeldern bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden (Europäisches Parlament und Rat 2016, Artikel 83).

Mit dem EU AI Act von 2024 ist die DSGVO zur Grundlage geworden, auf der ein zweites, KI-spezifisches Regelwerk aufsetzt, ohne sie zu ersetzen.

Begriffsgeschichte

Vorläufer der DSGVO war die Richtlinie 95/46/EG, die als Richtlinie erst durch nationale Umsetzungsgesetze wirkte und dadurch ein uneinheitliches Schutzniveau in der Union erzeugte. Die Europäische Kommission legte im Januar 2012 einen Reformvorschlag vor, der ein direkt geltendes Regelwerk anstrebte.

Nach jahrelangen Trilog-Verhandlungen zwischen Parlament, Rat und Kommission wurde die Verordnung am 27. April 2016 verabschiedet und im Amtsblatt der Europäischen Union veröffentlicht.

Zwischen Verabschiedung und Anwendbarkeit lag eine zweijährige Übergangsfrist, damit Unternehmen und Behörden ihre Prozesse anpassen konnten. Seit dem Anwendungsbeginn am 25. Mai 2018 gilt die DSGVO unmittelbar und ohne nationale Umsetzung – ein deutlicher Unterschied zur Vorgängerrichtlinie.

Artikel 3 erweitert ihre Reichweite zudem extraterritorial: Auch Unternehmen außerhalb der EU müssen sie beachten, sobald sie Waren oder Dienstleistungen für Personen in der Union anbieten oder deren Verhalten beobachten.

Kernprinzipien und Rechtsgrundlagen

Artikel 5 nennt sieben Grundsätze, denen jede Verarbeitung personenbezogener Daten genügen muss. Der erste bündelt drei Anforderungen an das Verhältnis zur betroffenen Person: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben sowie Transparenz. Es folgen Zweckbindung, also Erhebung nur für festgelegte, eindeutige Zwecke, dann Datenminimierung auf das für den Zweck notwendige Maß und Richtigkeit der gespeicherten Angaben.

Hinzu kommen Speicherbegrenzung, die eine Löschung vorsieht, sobald der Zweck entfällt, sowie Integrität und Vertraulichkeit durch angemessene Sicherheitsmaßnahmen. Der siebte Grundsatz ist die Rechenschaftspflicht: Der Verantwortliche muss die Einhaltung der übrigen nachweisen.

Artikel 6 listet sechs Rechtsgrundlagen, von denen mindestens eine für jede Verarbeitung vorliegen muss. Das sind Einwilligung der betroffenen Person, Vertragserfüllung, rechtliche Verpflichtung, Schutz lebenswichtiger Interessen, Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe und berechtigtes Interesse des Verantwortlichen. Die letzte greift nur, sofern die Grundrechte der betroffenen Person nicht überwiegen.

Für besondere Kategorien personenbezogener Daten – etwa zu Gesundheit, ethnischer Herkunft, politischer Meinung, Gewerkschaftszugehörigkeit oder sexueller Orientierung – verschärft Artikel 9 diese Anforderung zu einem grundsätzlichen Verarbeitungsverbot mit abschließend aufgezählten Ausnahmen, etwa ausdrücklicher Einwilligung oder Erforderlichkeit aus Gründen erheblichen öffentlichen Interesses.

Biometrische Daten zur eindeutigen Identifizierung zählen ausdrücklich zu dieser besonderen Kategorie.

Betroffenenrechte

Kapitel III der DSGVO bündelt die Rechte, die betroffenen Personen gegenüber Verantwortlichen zustehen. Dazu zählen Auskunft über die verarbeiteten Daten (Artikel 15), Berichtigung unrichtiger Angaben (Artikel 16), Löschung – umgangssprachlich das „Recht auf Vergessenwerden“ (Artikel 17) – und Einschränkung der Verarbeitung (Artikel 18).

Hinzu kommen die Datenübertragbarkeit (Artikel 20) sowie ein Widerspruchsrecht gegen Verarbeitungen, die auf berechtigtem Interesse oder öffentlicher Aufgabe beruhen (Artikel 21).

Artikel 22 nimmt eine Sonderstellung ein: Er gewährt das Recht, keiner ausschließlich automatisierten Entscheidung – einschließlich Profiling – unterworfen zu werden, die rechtliche Wirkung entfaltet oder die betroffene Person in ähnlich erheblicher Weise beeinträchtigt. Ausnahmen bestehen etwa bei Vertragserfüllung oder ausdrücklicher Einwilligung, verbunden mit Mindestgarantien wie dem Recht auf menschliches Eingreifen.

Gerade dieser Artikel gewinnt mit zunehmend automatisierten Entscheidungssystemen an praktischer Bedeutung, wie das SCHUFA-Urteil des Europäischen Gerichtshofs vom 7. Dezember 2023 zeigte (Rechtssache C-634/21): Bereits die automatisierte Erstellung eines Bonitäts-Wahrscheinlichkeitswerts kann eine automatisierte Entscheidung im Sinne von Artikel 22 sein, wenn ein Dritter sie maßgeblich seiner eigenen Vertragsentscheidung zugrunde legt.

Verhältnis zur KI-Verordnung: Grundlage, nicht Ersatz

Die KI-Verordnung von 2024 baut auf der DSGVO auf, statt sie zu ersetzen. Erwägungsgrund 9 der KI-Verordnung stellt klar, dass ihre harmonisierten Vorschriften „im Einklang mit dem neuen Rechtsrahmen bestehendes Unionsrecht, das durch diese Verordnung ergänzt wird, unberührt lassen [sollten], insbesondere in den Bereichen Datenschutz, Verbraucherschutz, Grundrechte, Beschäftigung, Arbeitnehmerschutz und Produktsicherheit“.

Erwägungsgrund 10 präzisiert, dass die bestehende Anwendung des Datenschutzrechts – DSGVO, die Richtlinie 2016/680 für Strafverfolgungsbehörden, die Verordnung 2018/1725 für EU-Organe und die ePrivacy-Richtlinie – durch die KI-Verordnung nicht beeinträchtigt werden soll.

Mehrere Legaldefinitionen der KI-Verordnung übernehmen deshalb DSGVO-Begriffe unverändert oder nahezu unverändert, statt eigene zu formulieren. Artikel 3 Nummer 50 KI-VO verweist für personenbezogene Daten auf Artikel 4 Nummer 1 DSGVO, Artikel 3 Nummer 52 für Profiling wortgleich auf Artikel 4 Nummer 4 DSGVO. Biometrische Daten definiert Artikel 3 Nummer 34 KI-VO zwar eigenständig, aber inhaltlich an Artikel 4 Nummer 14 DSGVO angelehnt.

Beide Rechtsakte gelten damit kumulativ: Ein KI-System, das personenbezogene Daten verarbeitet, muss sowohl die produktsicherheits- und grundrechtsorientierten Pflichten der KI-Verordnung als auch die datenschutzrechtlichen Anforderungen der DSGVO erfüllen.

Institutionell zeigt sich diese Verzahnung auch daran, dass die Mitgliedstaaten für bestimmte Hochrisiko-Bereiche – Strafverfolgung, Grenzschutz, Justiz, biometrische Kategorisierung – ihre Datenschutzaufsichtsbehörden zugleich als Marktüberwachungsbehörden für die KI-Verordnung benennen.

Bußgelder und Durchsetzung

Artikel 83 sieht zwei Bußgeldstufen vor. Die obere Stufe gilt für Grundpflichten wie die Rechtsgrundlagen der Verarbeitung, die Betroffenenrechte oder die Voraussetzungen für internationale Datenübermittlungen. Verstöße dagegen können mit bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes des Vorjahres geahndet werden (Europäisches Parlament und Rat 2016, Artikel 83). Maßgeblich ist der höhere der beiden Beträge.

Verstöße gegen eher organisatorische Pflichten – etwa Dokumentations- oder Meldepflichten – sind mit bis zu 10 Millionen Euro oder 2 Prozent des Umsatzes bedroht (Europäisches Parlament und Rat 2016, Artikel 83).

Zwei Verfahren gegen KI-Anbieter zeigen die praktische Reichweite dieser Sanktionen – und zugleich, wie angreifbar solche Bescheide vor Gericht sind.

Die italienische Datenschutzbehörde Garante ordnete am 30. März 2023 eine vorläufige Verarbeitungsbeschränkung gegen OpenAI wegen ChatGPT an (Garante 2023) – wegen fehlender Rechtsgrundlage für das Training mit personenbezogenen Daten, unzureichender Information der Nutzer:innen und fehlender Altersverifikation.

Mit dem Provvedimento Nummer 755 vom 2. November 2024 verhängte dieselbe Behörde ein Bußgeld von 15 Millionen Euro gegen OpenAI und ordnete eine sechsmonatige Informationskampagne an (Garante 2024). Öffentlich bekannt gemacht wurde das erst mit der Pressemitteilung vom 20. Dezember 2024. Vorgeworfen waren unter anderem eine nicht gemeldete Datenpanne aus dem März 2023 und dieselbe ungeklärte Rechtsgrundlage für das Training.

Bestand hat dieses Bußgeld nicht. Das Tribunale di Roma gab der Klage OpenAIs mit Urteil Nummer 4153/2026 vom 18. März 2026 statt und hob den Bescheid auf.

Tragend war die Zuständigkeit: Seit OpenAI am 15. Februar 2024 eine Hauptniederlassung in Irland unterhält, greift der One-Stop-Shop-Mechanismus der Artikel 55 und 56 DSGVO, sodass die irische Aufsichtsbehörde federführend gewesen wäre. Über die vorgeworfenen Verstöße selbst hat das Gericht damit nicht entschieden.

Die Garante nahm das Provvedimento daraufhin von ihrer Website; ob sie Kassationsbeschwerde eingelegt hat, war zum Redaktionsschluss am 4. September 2026 nicht öffentlich dokumentiert.

Das zweite Verfahren liegt früher. Am 10. Februar 2022 entschied die Garante gegen Clearview AI wegen des Aufbaus einer Gesichtserkennungsdatenbank aus über zehn Milliarden im Internet gesammelten Bildern (Garante 2022) – ein Verstoß gegen Rechtmäßigkeits- und Zweckbindungsgrundsatz sowie gegen Artikel 9.

Kontroversen und Kritik

Wirtschaftsverbände kritisieren seit Jahren den Umsetzungsaufwand der DSGVO, insbesondere für kleinere Unternehmen, sowie uneinheitliche Auslegungen zwischen den nationalen Aufsichtsbehörden trotz des sogenannten One-Stop-Shop-Mechanismus, der eigentlich eine federführende Behörde je grenzüberschreitendem Fall vorsieht.

Zivilgesellschaftliche Organisationen wenden dagegen ein, dass die Durchsetzung selbst gegenüber großen Technologiekonzernen oft Jahre dauert und die verhängten Bußgelder im Verhältnis zum Umsatz der betroffenen Unternehmen gering ausfallen.

Ein weiteres Spannungsfeld betrifft das Verhältnis zur KI-Verordnung selbst. Offen ist erstens, wie deren Transparenzpflichten mit dem Auskunfts- und Widerspruchsrecht bei automatisierten Entscheidungen nach Artikel 22 DSGVO zusammenwirken. Zweitens ist in der Fachliteratur nicht abschließend geklärt, unter welchen Voraussetzungen große Trainingsdatensätze mit personenbezogenen Anteilen überhaupt DSGVO-konform verarbeitet werden dürfen.

Stand 2025/2026

Der am 19. November 2025 vorgelegte Digitale Omnibus der Europäischen Kommission betrifft neben der KI-Verordnung auch die DSGVO. Er zerfällt in zwei getrennte Vorhaben, die unterschiedlich weit gediehen sind.

Der KI-spezifische Teil ist geltendes Recht. Als Verordnung (EU) 2026/1744 trat er am 27. Juli 2026 in Kraft, drei Tage nach der Veröffentlichung im Amtsblatt der Europäischen Union. Er verschiebt vor allem die Übergangsfristen für Hochrisiko-KI-Systeme auf den 2. Dezember 2027 beziehungsweise den 2. August 2028.

Die vorgeschlagenen DSGVO-Änderungen stecken dagegen weiter im Gesetzgebungsverfahren; verabschiedet ist davon zum Redaktionsschluss am 4. September 2026 nichts. Der Vorschlag würde unter Schutzauflagen erstmals die inzidentelle Verarbeitung besonderer Datenkategorien wie Gesundheitsdaten für das Training von KI-Modellen erlauben, dazu eine breitere Nutzung solcher Daten zur Erkennung und Korrektur algorithmischer Verzerrungen.

Datenschutzorganisationen werteten das als Aufweichung zentraler DSGVO-Schutzstandards zugunsten der KI-Industrie, während Wirtschaftsverbände die Vereinfachung begrüßten.

Quellenangaben

Europäische Kommission, 2012. Vorschlag für eine Verordnung zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr. COM(2012) 11 final, 25. Januar 2012.
Europäische Kommission, 2025. Digital Omnibus Package. Vorschlag vom 19. November 2025.
Europäisches Parlament und Rat, 2016. Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung). Amtsblatt der Europäischen Union L 119, 4. Mai 2016.
Europäisches Parlament und Rat, 2024. Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz, Artikel 3 Nummer 34, 50, 52; Erwägungsgründe 9, 10. Amtsblatt der Europäischen Union, 12. Juli 2024.
Europäisches Parlament und Rat, 2026. Verordnung (EU) 2026/1744 zur Änderung der Verordnung (EU) 2024/1689 (Digitaler Omnibus zur künstlichen Intelligenz). Amtsblatt der Europäischen Union, 24. Juli 2026; in Kraft getreten am 27. Juli 2026.
Garante per la protezione dei dati personali, 2022. Provvedimento del 10 febbraio 2022 nei confronti di Clearview AI Inc., Doc-web Nr. 9751362.
Garante per la protezione dei dati personali, 2023. Provvedimento del 30 marzo 2023 nei confronti di OpenAI, L.L.C., Doc-web Nr. 9870832.
Garante per la protezione dei dati personali, 2024. Provvedimento n. 755 del 2 novembre 2024 nei confronti di OpenAI, Doc-web Nr. 10085455 – aufgehoben durch das Urteil des Tribunale di Roma Nr. 4153/2026 und deshalb von der Website des Garante genommen. Pressemitteilung vom 20. Dezember 2024, Doc-web Nr. 10085432.
Gerichtshof der Europäischen Union, 2023. Urteil vom 7. Dezember 2023, SCHUFA Holding u. a. (Scoring), Rechtssache C-634/21. ECLI:EU:C:2023:957.
Tribunale di Roma, 2026. Sentenza n. 4153/2026, veröffentlicht am 18. März 2026 (R.G. Nr. 4785/2025), OpenAI gegen Garante per la protezione dei dati personali.

← Zurück zur Lexikon-Übersicht