DSGVO
Die DSGVO (Datenschutz-Grundverordnung) ist die EU-weit geltende Verordnung, die den Umgang mit personenbezogenen Daten regelt. Sie schreibt vor, auf welcher Rechtsgrundlage, zu welchem Zweck und wie lange Unternehmen Daten von Kunden, Lieferanten und Mitarbeitern verarbeiten dürfen.
Die DSGVO (Datenschutz-Grundverordnung, englisch GDPR) ist die zentrale europäische Verordnung zum Schutz personenbezogener Daten. Sie gilt seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten und regelt, unter welchen Bedingungen Unternehmen und Behörden Daten verarbeiten dürfen, die sich auf eine identifizierbare natürliche Person beziehen – also Namen, Adressen, Bankverbindungen, Bestellhistorien oder Standortdaten. Kern der Verordnung ist ein Verbot mit Erlaubnisvorbehalt: Die Verarbeitung personenbezogener Daten ist grundsätzlich untersagt, es sei denn, es liegt eine Rechtsgrundlage vor, etwa eine Einwilligung, ein Vertrag oder eine gesetzliche Pflicht.
Die DSGVO betrifft praktisch jedes Unternehmen, das Waren oder Dienstleistungen an Personen in der EU anbietet – unabhängig davon, wo das Unternehmen selbst sitzt (Marktortprinzip). Für ERP- und Warenwirtschaftssysteme ist sie besonders relevant, weil dort große Mengen personenbezogener Daten aus Vertrieb, Einkauf und Personalwesen zusammenlaufen. Verstöße können mit Bußgeldern von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist.
Auf einen Blick
- EU-weit geltende Verordnung, unmittelbar anwendbar seit 25. Mai 2018
- Verbot mit Erlaubnisvorbehalt: Verarbeitung nur mit Rechtsgrundlage
- Sechs Grundsätze u. a. Zweckbindung, Datenminimierung, Speicherbegrenzung
- Umfangreiche Betroffenenrechte: Auskunft, Berichtigung, Löschung, Datenübertragbarkeit
- Bußgelder bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes
Was die DSGVO regelt und für wen sie gilt
Die DSGVO schützt personenbezogene Daten – jede Information, die sich einer identifizierten oder identifizierbaren natürlichen Person zuordnen lässt. Dazu zählen offensichtliche Angaben wie Name und E-Mail-Adresse, aber auch Kundennummern, IP-Adressen oder das Kaufverhalten, sofern es einer Person zugeordnet werden kann. Reine Unternehmensdaten (etwa eine Firmen-Rechnungsanschrift ohne Ansprechpartner) fallen nicht darunter; sobald jedoch ein konkreter Mensch dahintersteht, greift die Verordnung.
Der räumliche Anwendungsbereich ist weit gefasst. Nach dem Marktortprinzip gilt die DSGVO für alle Unternehmen, die Personen in der EU Waren oder Dienstleistungen anbieten oder ihr Verhalten beobachten – auch für Anbieter aus Drittländern. Ein Onlinehändler mit Sitz außerhalb der EU, der an deutsche Kunden liefert, unterliegt damit ebenso der DSGVO wie ein rein national tätiger Mittelständler.
Die Grundsätze der Datenverarbeitung
Artikel 5 der DSGVO formuliert sechs zentrale Grundsätze, an denen sich jede Verarbeitung messen lassen muss. Sie bilden den Maßstab, ob ein Datenprozess rechtmäßig aufgesetzt ist – und sind zugleich die Kriterien, an denen Aufsichtsbehörden prüfen.
Rechtmäßigkeit, Zweckbindung und Datenminimierung
Daten dürfen nur auf einer der in Artikel 6 genannten Rechtsgrundlagen verarbeitet werden – am häufigsten Vertragserfüllung, Einwilligung, gesetzliche Pflicht oder berechtigtes Interesse. Der Grundsatz der Zweckbindung verlangt, dass Daten nur für den festgelegten Zweck genutzt werden: Eine für die Bestellabwicklung erhobene Adresse darf nicht ohne Weiteres für Werbung verwendet werden. Datenminimierung bedeutet, nur die Daten zu erheben, die für den Zweck tatsächlich erforderlich sind.
Speicherbegrenzung und Rechenschaftspflicht
Personenbezogene Daten sind zu löschen, sobald der Zweck entfällt und keine gesetzliche Aufbewahrungspflicht mehr besteht. Hier entsteht ein Spannungsfeld: Handels- und steuerrechtliche Aufbewahrungspflichten (etwa aus HGB und AO) verlangen, Rechnungen und Buchungsbelege bis zu zehn Jahre aufzubewahren – erst danach greift die Löschpflicht. Die Rechenschaftspflicht (Accountability) schließlich verpflichtet Unternehmen, die Einhaltung aller Grundsätze nachweisen zu können, etwa über ein Verzeichnis von Verarbeitungstätigkeiten.
Betroffenenrechte und Pflichten der Unternehmen
Die DSGVO stattet betroffene Personen mit durchsetzbaren Rechten aus. Dazu gehören das Recht auf Auskunft über die gespeicherten Daten, auf Berichtigung falscher Angaben, auf Löschung („Recht auf Vergessenwerden"), auf Einschränkung der Verarbeitung, auf Datenübertragbarkeit in einem gängigen Format sowie das Widerspruchsrecht gegen bestimmte Verarbeitungen. Auf einen Antrag muss das Unternehmen grundsätzlich innerhalb eines Monats reagieren.
Dem stehen konkrete Pflichten gegenüber. Unternehmen müssen ein Verzeichnis von Verarbeitungstätigkeiten führen, technische und organisatorische Maßnahmen (TOM) zum Schutz der Daten umsetzen und Datenschutzverletzungen in der Regel binnen 72 Stunden an die Aufsichtsbehörde melden. Wird eine Verarbeitung durch einen externen Dienstleister übernommen – etwa ein Cloud-ERP-Anbieter oder ein Fulfillment-Partner – ist ein Vertrag zur Auftragsverarbeitung (AVV) nach Artikel 28 abzuschließen. Ab bestimmten Schwellen ist zudem ein Datenschutzbeauftragter zu benennen.
DSGVO im ERP-System
Ein ERP-System ist einer der größten Sammelpunkte personenbezogener Daten im Unternehmen: Kundenstamm, Lieferantenkontakte, Bestellhistorien und häufig auch Personaldaten liegen hier zusammen. Damit wird das ERP zum zentralen Schauplatz der DSGVO-Umsetzung. Praktisch heißt das, dass sich die Verordnung in Funktionen und Prozessen des Systems widerspiegeln muss – von der Erhebung bis zur Löschung.
Zentrale Anforderungen sind ein Berechtigungskonzept (nur befugte Mitarbeiter sehen personenbezogene Daten), eine revisionssichere Protokollierung von Zugriffen sowie Funktionen, um Auskunfts- und Löschanfragen effizient zu bedienen. Weil steuerrechtliche Aufbewahrungspflichten und die DSGVO-Löschpflicht kollidieren können, arbeiten viele Systeme mit einem Löschkonzept aus Sperren und Anonymisieren: Belege bleiben für die gesetzliche Frist erhalten, personenbezogene Merkmale werden aber gesperrt oder pseudonymisiert. Bei Cloud-ERP kommt die Frage des Serverstandorts hinzu – Verarbeitung außerhalb der EU erfordert zusätzliche Garantien (etwa Standardvertragsklauseln).
Abgrenzung: DSGVO, BDSG, GoBD und Datensicherheit
Die DSGVO wird in Deutschland durch das Bundesdatenschutzgesetz (BDSG) ergänzt, das nationale Öffnungsklauseln ausfüllt – etwa Details zum Datenschutzbeauftragten oder zum Beschäftigtendatenschutz. Die DSGVO hat dabei Vorrang; das BDSG regelt nur, was die Verordnung den Mitgliedstaaten ausdrücklich überlässt.
Von den GoBD (Grundsätze zur ordnungsmäßigen Buchführung) ist die DSGVO klar zu trennen: GoBD zielen auf die Nachvollziehbarkeit und Unveränderbarkeit steuerrelevanter Daten, die DSGVO auf den Schutz personenbezogener Daten. Beide können sich überschneiden, verfolgen aber unterschiedliche Zwecke. Ebenso ist Datenschutz nicht mit Datensicherheit gleichzusetzen: Datensicherheit (Verschlüsselung, Zugriffsschutz, Backups) ist ein Mittel, um Datenschutz umzusetzen, aber nicht dasselbe. Die DSGVO fordert Datensicherheit als eine von mehreren Pflichten ein.
DACH-Besonderheiten
Innerhalb des DACH-Raums gilt die DSGVO in Deutschland und Österreich unmittelbar, jeweils ergänzt durch nationales Recht – in Österreich durch das Datenschutzgesetz (DSG). Ein Unterschied liegt in der Aufsichtsstruktur: In Deutschland sind die Datenschutzbehörden föderal organisiert (Bund und 16 Länder), in Österreich gibt es eine zentrale Datenschutzbehörde.
Die Schweiz ist als Nicht-EU-Land nicht an die DSGVO gebunden, hat aber mit dem revidierten Datenschutzgesetz (revDSG, in Kraft seit September 2023) ein weitgehend gleichwertiges Schutzniveau geschaffen. Für den Datenaustausch mit der Schweiz erkennt die EU-Kommission ein angemessenes Datenschutzniveau an, sodass Transfers ohne zusätzliche Garantien möglich sind. Wer grenzüberschreitend im DACH-Raum tätig ist, sollte dennoch prüfen, welche nationalen Sonderregeln greifen. Dieser Artikel gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung im Einzelfall.
Praxisbeispiel
Beispiel: Onlinehändler bearbeitet eine Löschanfrage
Ein mittelständischer Onlinehändler erhält von einem ehemaligen Kunden die Aufforderung, dessen Daten zu löschen. Im ERP-System ist der Kunde mit Adresse, Bestellhistorie und mehreren bezahlten Rechnungen hinterlegt. Eine vollständige Löschung ist nicht möglich, weil die Rechnungen der zehnjährigen steuerlichen Aufbewahrungspflicht unterliegen.
Der Händler nutzt daher das Löschkonzept seines Systems: Das Kundenkonto wird für aktive Prozesse (Marketing, Vertrieb) gesperrt und die Kontaktdaten werden anonymisiert, während die Buchungsbelege bis zum Ablauf der Frist revisionssicher erhalten bleiben. Der Vorgang wird protokolliert, und der Kunde erhält innerhalb eines Monats eine Rückmeldung, welche Daten aus welchem Grund noch aufbewahrt werden. So werden DSGVO-Löschpflicht und steuerliche Aufbewahrungspflicht rechtssicher in Einklang gebracht.
Häufige Fragen
Passende ERP-Systeme
Passende Leistungen
Quellen
Fragen zu DSGVO in deinem ERP-Projekt?
Wir beraten herstellerunabhängig – und setzen es auf Wunsch selbst um.