Die DSGVO regelt, wann und wie personenbezogene Daten verarbeitet werden dürfen. Personenbezogen sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, etwa Name, E-Mail-Adresse, Telefonnummer, Online-Kennungen oder Chatverläufe. Jede Verarbeitung braucht eine Rechtsgrundlage, zum Beispiel einen Vertrag, eine Einwilligung, eine gesetzliche Pflicht oder ein berechtigtes Interesse. In Österreich ergänzt das Datenschutzgesetz (DSG) die Verordnung; zuständige Aufsichtsbehörde ist die Datenschutzbehörde.
Art. 5 der Verordnung nennt die Grundsätze: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Praktisch heißt das für KMU: nur Daten erheben, die gebraucht werden, über die Verarbeitung informieren, etwa in einer Datenschutzerklärung, Daten sicher speichern und löschen, wenn sie nicht mehr nötig sind. Betroffene Personen haben unter anderem Rechte auf Auskunft, Berichtigung und Löschung.
Für digitale Werkzeuge sind zwei Punkte besonders wichtig. Wer externe Dienstleister wie Cloud-, Chatbot- oder KI-Anbieter einsetzt, braucht mit ihnen einen Auftragsverarbeitungsvertrag nach Art. 28. Werden Daten in Länder außerhalb der EU übermittelt, etwa in die USA, gelten die Regeln von Kapitel V zu Drittlandübermittlungen. Bei schweren Verstößen sind Geldbußen von bis zu 20 Mio. Euro oder 4 Prozent des weltweiten Jahresumsatzes möglich. Dieser Eintrag ist eine allgemeine Information und ersetzt keine Rechtsberatung.
