DSGVO: Diese Pflichten gelten für Ihr Unternehmen.

Jede Stelle, die personenbezogene Daten ganz oder teilweise automatisiert verarbeitet (Art. 2 DSGVO) — ohne Größen- oder Branchenschwelle. Verantwortlich ist, wer über Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7). In der Praxis heißt das: Die DSGVO gilt ab dem ersten Kundendatensatz, der ersten Bewerbung und dem ersten Newsletter-Abonnenten. Ausgenommen ist nur die rein persönliche oder familiäre Nutzung (Art. 2 Abs. 2 lit. c).

Ja, grundsätzlich jeder Verantwortliche und jeder Auftragsverarbeiter (Art. 30 Abs. 1 und 2 DSGVO). Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten (Art. 30 Abs. 5) greift in der Praxis kaum: Sie entfällt bereits, wenn die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko für die Betroffenen birgt oder besondere Datenkategorien umfasst — Kunden-, Personal- und Website-Daten laufen aber dauerhaft. Das Verzeichnis ist der Aufsichtsbehörde auf Anfrage vorzulegen (Art. 30 Abs. 4).

Nach § 38 Abs. 1 BDSG ergänzend zu Art. 37 DSGVO: wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Personenzahl gilt die Pflicht außerdem, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen oder personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung verarbeitet werden.

Der Aufsichtsbehörde ist die Verletzung unverzüglich und möglichst binnen 72 Stunden zu melden — die Frist läuft ab Bekanntwerden, nicht ab Beginn des Vorfalls (Art. 33 Abs. 1 DSGVO). Die Meldung muss Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen enthalten (Art. 33 Abs. 3). Besteht für die Betroffenen ein hohes Risiko, sind zusätzlich sie selbst unverzüglich zu benachrichtigen (Art. 34). Jede Panne ist zu dokumentieren — auch die nicht gemeldeten (Art. 33 Abs. 5).

Zwei Klassen nach Art. 83 DSGVO, jeweils der höhere Betrag: bis zu 20 Millionen Euro oder 4 Prozent des weltweit erzielten Jahresumsatzes — unter anderem bei Verstößen gegen die Grundsätze (Art. 5), die Rechtsgrundlagen (Art. 6) und die Betroffenenrechte (Art. 12 bis 22). Bis zu 10 Millionen Euro oder 2 Prozent drohen bei Verstößen gegen die Pflichten der Art. 25 bis 39 — also genau bei fehlenden TOM, fehlendem Verzeichnis, fehlendem AV-Vertrag, versäumter Meldung, fehlender DSFA oder fehlendem Datenschutzbeauftragten.

Die DSGVO gilt als EU-Verordnung unmittelbar in Deutschland. Das BDSG ergänzt sie dort, wo die Verordnung Öffnungsklauseln enthält — etwa bei der Datenschutzbeauftragten-Schwelle (§ 38 BDSG) und beim Beschäftigtendatenschutz (§ 26 BDSG). Das TDDDG regelt davor gelagert den Zugriff auf Endgeräte: Das Setzen und Auslesen von Cookies und ähnlichen Technologien ist nur mit Einwilligung zulässig (§ 25 Abs. 1 TDDDG); Verstöße sind bußgeldbewehrt (§ 28 TDDDG).

Nein. Die Datenschutzerklärung erfüllt nur die Informationspflichten der Art. 13 und 14 DSGVO — eine Pflicht unter vielen. Verzeichnis der Verarbeitungstätigkeiten (Art. 30), technische und organisatorische Maßnahmen (Art. 32), Auftragsverarbeitungsverträge (Art. 28), ein Prozess für Betroffenenanfragen binnen eines Monats (Art. 12 Abs. 3) und die Meldebereitschaft für Datenpannen (Art. 33) bleiben davon unberührt.

Bei nichtöffentlichen Stellen — also Unternehmen — überwachen die nach Landesrecht zuständigen Aufsichtsbehörden die Einhaltung (§ 40 Abs. 1 BDSG); für öffentliche Stellen des Bundes ist die oder der Bundesbeauftragte für den Datenschutz zuständig (§ 16 BDSG). Jede betroffene Person hat ein Beschwerderecht bei der Aufsichtsbehörde (Art. 77 DSGVO) und kann Schadensersatz verlangen (Art. 82 DSGVO).