Bibliothek zum Datenschutzrecht

DSGVO

Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtli…

EuGH, C-413/23 P

Der EuGH (4. September 2025, C-413/23 P, Rn. 86) hat entschieden, dass pseudonymisierte Daten nicht in jedem Fall und für jede Person als personenbezogene Daten zu betrachten sind; die Maßnahmen können andere Personen…

Anonymisierung und Pseudonymisierung: wann Daten noch personenbezogen sind

Anonymisierung nimmt den Personenbezug, Pseudonymisierung nicht: Art. 4 Nr. 1 und Nr. 5 DSGVO, Erwägungsgrund 26 und EuGH C-413/23 P (4. September 2025) — mit Entscheidungstabelle für die DSB-Prüfung.

Haushaltsausnahme DSGVO: wann private Chats und Video unter Art. 2 fallen

Haushaltsausnahme DSGVO (Art. 2 Abs. 2 Buchst. c): wann private Chats und Video am Eigenheim unter die DSGVO fallen. EuGH Ryneš und Jehovan todistajat, offene BGH-Verfahren I ZR 256/25 und I ZR 289/25 — mit Entscheidu…

DSGVO

Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtli…

EuGH, C-446/21

Im Urteil vom 04.10.2024 (Rechtssache C-446/21) hat der EuGH entschieden, dass ein soziales Netzwerk personenbezogene Daten nicht „zeitlich unbegrenzt und ohne Unterscheidung nach ihrer Art" für zielgerichtete Werbung…

Einwilligung nach DSGVO (Art. 7): Voraussetzungen und Koppelungsverbot

Einwilligung nach Art. 7 DSGVO: Voraussetzungen für eine wirksame Einwilligung, Freiwilligkeit, Koppelungsverbot, Widerruf und die besonderen Regeln für Kinder nach Art. 8 DSGVO.

Besondere Kategorien personenbezogener Daten: Art. 9 DSGVO und das EuGH-Urteil Schrems/Meta

Art. 9 DSGVO verbietet die Verarbeitung besonderer Kategorien personenbezogener Daten (Gesundheit, Ethnie, Religion, sexuelle Orientierung u.a.) grundsätzlich. Alle zehn Ausnahmen nach Abs. 2, die BDSG-Ergänzung in §…

Rechtsgrundlagen der Verarbeitung: die sechs Erlaubnistatbestände nach Art. 6 DSGVO

Das Verbotsprinzip mit Erlaubnisvorbehalt, die sechs Tatbestände des Art. 6 Abs. 1 lit. a–f, die Einwilligungsbedingungen des Art. 7, die besonderen Datenkategorien des Art. 9 und die Zweckänderung nach Art. 6 Abs. 4…

DSGVO

Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtli…

EuGH, C-526/24

Der EuGH hat im Urteil vom 19.03.2026 (C-526/24, Brillen Rottler) klargestellt, dass auch ein erster Antrag auf Auskunft nach Art. 15 DSGVO als exzessiv im Sinne von Art. 12 Abs. 5 DSGVO gelten kann.

Art. 16 DSGVO: Recht auf Berichtigung unrichtiger Daten

Art. 16 DSGVO Recht auf Berichtigung: unrichtige vs. unvollständige Daten, Frist unverzüglich vs. Art. 12 Abs. 3, Abgrenzung zu Art. 18 und Art. 17, EuGH C-247/23 — mit Entscheidungstabelle.

Art. 18 DSGVO: Einschränkung der Verarbeitung statt Löschung

Art. 18 DSGVO: wann Einschränkung der Verarbeitung statt Löschung greift, Abgrenzung zu Art. 17 und Art. 21 DSGVO, technische Umsetzung nach Erwägungsgrund 67 und die Ergänzung durch § 35 BDSG — mit Entscheidungstabelle.

Art. 22 DSGVO: Automatisierte Entscheidungen, Profiling & SCHUFA-Urteil

Art. 22 DSGVO: Verbot ausschließlich automatisierter Entscheidungen, drei Ausnahmen mit Garantien, und das EuGH-SCHUFA-Urteil C-634/21 zum Scoring.

Art. 20 DSGVO: Recht auf Datenübertragbarkeit — Voraussetzungen & Abgrenzung

Art. 20 DSGVO: Datenübertragbarkeit nur bei Einwilligung/Vertrag und automatisierter Verarbeitung. Frist 1 Monat. Abgrenzung zu Art. 15 und Art. 17.

Art. 13 und Art. 14 DSGVO: Unterschiede, Inhalte, Fristen

Art. 13 vs. Art. 14 DSGVO: Unterschiede, Pflichtangaben, Fristen und Ausnahmen mit prüfungsreifer Vergleichstabelle.

Art. 21 DSGVO: Widerspruchsrecht — relativ vs. absolut bei Direktwerbung

Art. 21 DSGVO: relatives Widerspruchsrecht (Abs. 1, mit Abwägung) vs. absolutes Widerspruchsrecht bei Direktwerbung (Abs. 2, ohne Begründung).

Recht auf Löschung (Art. 17 DSGVO): Prüfungsschema & Löschkonzept

Das Recht auf Löschung (Art. 17 DSGVO) in der Praxis: Prüfungsschema für DSB, Löschgründe vs. Aufbewahrungspflichten und der Aufbau eines Löschkonzepts.

Wann ist ein Auskunftsantrag nach Art. 15 DSGVO rechtsmissbräuchlich? Das EuGH-Urteil Brillen Rottler

Der EuGH hat am 19.03.2026 in der Rechtssache C-526/24 (Brillen Rottler) entschieden: Schon ein erster Auskunftsantrag nach Art. 15 DSGVO kann rechtsmissbräuchlich sein, wenn er allein auf Schadensersatz zielt. Die vo…

Betroffenenrechte nach Art. 15–22 DSGVO im Überblick

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und automatisierte Entscheidungen — jedes Recht mit Fundstelle und Fristen nach Art. 12 DSGVO.

DSGVO

Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtli…

EuGH, C-311/18

Der EU-US Privacy Shield wurde am 16. Juli 2020 durch den EuGH (Urteil „Schrems II", C-311/18) für ungültig erklärt, weil er keinen ausreichenden Schutz vor US-Geheimdienstzugriffen bot.

Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO: Abgrenzung & Pflichten

Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO (Joint Controllership): Abgrenzung zur Auftragsverarbeitung (Art. 28), Pflichtinhalte der Vereinbarung, EuGH-Leitsätze (C-683/21) und Betroffenenrechte — mit Entscheidu…

Datentransfer in Drittländer: Art. 44–49 DSGVO und EU-US Data Privacy Framework

Das dreistufige System für Übermittlungen außerhalb des EWR: Angemessenheitsbeschlüsse (EU-US DPF), Standardvertragsklauseln (SCCs), verbindliche interne Vorschriften (BCRs) und die Ausnahmen nach Art. 49 DSGVO — jede…

Auftragsverarbeitung nach Art. 28 DSGVO: der Auftragsverarbeitungsvertrag (AVV)

Wann ein AVV Pflicht ist, welche acht Punkte er nach Art. 28 Abs. 3 DSGVO regeln muss, die Regeln für Unterauftragsverarbeiter und die Bußgeldfolgen nach Art. 83 Abs. 4 — jede Aussage mit Fundstelle.

Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO

Welche sieben Angaben das Verzeichnis des Verantwortlichen (Abs. 1) und welche vier das des Auftragsverarbeiters (Abs. 2) enthalten muss, Form und Vorlage bei der Aufsichtsbehörde sowie warum die 250-Mitarbeiter-Ausna…

DSGVO

Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtli…

Datenschutz durch Technikgestaltung nach Art. 25 DSGVO: Privacy by Design & by Default

Art. 25 DSGVO verpflichtet den Verantwortlichen zu Datenschutz durch Technikgestaltung (Privacy by Design, Abs. 1) und durch datenschutzfreundliche Voreinstellungen (Privacy by Default, Abs. 2). Zwei Zeitpunkte, vier…

Technische und organisatorische Maßnahmen nach Art. 32 DSGVO: risikobasiert, keine Pflichtenliste

Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter zu geeigneten TOMs — kein fester Pflichtenkatalog, sondern vier Abwägungskriterien und vier Regelbeispiele (lit. a–d). Beweislast nach EuGH C-340/21,…

DSGVO

Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtli…

Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO

Wann eine DSFA bei voraussichtlich hohem Risiko Pflicht ist, die drei Regelbeispiele in Art. 35 Abs. 3 lit. a–c, der Mindestinhalt nach Abs. 7 sowie die vorherige Konsultation der Aufsichtsbehörde nach Art. 36 mit der…

DSGVO

Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtli…

Datenpanne melden: Meldepflichten nach Art. 33 & 34 DSGVO

Die 72-Stunden-Meldefrist an die Aufsichtsbehörde, die Benachrichtigung betroffener Personen bei hohem Risiko, Meldeinhalt, Ausnahmen und Dokumentationspflicht — belegt aus der DSGVO.

BDSG

Bundesdatenschutzgesetz

DSGVO

Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtli…

BAG, 8 AZR 209/21

Das Bundesarbeitsgericht (BAG) übertrug diese Wertung in seinem Urteil vom 8. Mai 2025 (8 AZR 209/21) explizit auf § 26 Abs. 1 BDSG und erklärte ihn für unanwendbar.

EuGH, C-34/21

Der EuGH erklärte: Nationale Generalklauseln im Beschäftigungskontext, die lediglich die allgemeinen Rechtmäßigkeitsbedingungen der DSGVO wiederholen, ohne die von Art. 88 Abs. 2 DSGVO verlangten „geeigneten und beson…

Kündigungsschutz und Abberufung Datenschutzbeauftragter (BDSG & DSGVO)

Kündigungsschutz und Abberufung des Datenschutzbeauftragten: Wann greift ein wichtiger Grund nach DSGVO und BDSG? Unterschiede intern vs. extern klar erklärt.

Interessenkonflikt beim Datenschutzbeauftragten: Welche Rollen sind unvereinbar?

Darf der Geschäftsführer, die IT-Leitung oder die Personalabteilung gleichzeitig Datenschutzbeauftragter sein? Art. 38 Abs. 6 DSGVO, die EuGH-Auslegungsentscheidung C-453/21 (09.02.2023) und die darauf folgende BAG-En…

Beschäftigtendatenschutz: § 26 BDSG nach EuGH C-34/21 und BAG 8 AZR 209/21

Beschäftigtendatenschutz nach § 26 BDSG: Arbeitgeber dürfen Mitarbeiterdaten nur verarbeiten, wenn dies erforderlich ist — doch nach EuGH C-34/21 (30.03.2023) und BAG 8 AZR 209/21 (08.05.2025) gilt § 26 Abs. 1 Satz 1…

Datenschutzbeauftragter werden: Fachkunde nach Art. 37 DSGVO & § 38 BDSG

Wann ein Datenschutzbeauftragter benannt werden muss, welches Fachwissen die DSGVO verlangt, sowie Stellung und Aufgaben — belegt aus DSGVO und BDSG. Kein staatliches Examen.

BDSG

Bundesdatenschutzgesetz

DSGVO

Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtli…

TDDDG

Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei digitalen Diensten

Cookie-Banner nach TDDDG und DSGVO: Anforderungen und Regeln

Cookie-Banner und Einwilligung: Die rechtlichen Anforderungen aus § 25 TDDDG und Art. 7 DSGVO. Opt-in, Ablehnen-Button, Widerruf und Ausnahmen für erforderliche Cookies — mit Fundstellen belegt.

BDSG

Bundesdatenschutzgesetz

DSGVO

Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtli…

EuGH, C-414/24

Der EuGH hat am 18.06.2026 entschieden, dass eine Aufsichtsbehörde eine Beschwerde nach Art. 77 DSGVO nicht allein deshalb zurückweisen darf, weil zuvor eine Klage nach Art. 79 DSGVO mit demselben Gegenstand erhoben w…

EuGH, C-484/24

Der EuGH hat im Urteil vom 18.06.2026 (C-484/24, NTH Haustechnik) klargestellt, dass Art. 6 Abs. 1 Unterabsatz 1 Buchstabe c und Abs. 3 DSGVO einer nationalen Regelung nicht entgegensteht, die kein pauschales Verwertu…

EuGH, C-340/21

Die bloße begründete Befürchtung, dass personenbezogene Daten durch Dritte missbraucht werden könnten, kann einen immateriellen Schaden darstellen (EuGH C-340/21, 14. Dezember 2023).

EuGH, C-300/21

Der EuGH hat in C-300/21 (4. Mai 2023) klargestellt, dass Art. 82 Abs. 1 DSGVO drei kumulative Voraussetzungen verlangt: einen Verstoß gegen die DSGVO, einen tatsächlichen materiellen oder immateriellen Schaden und ei…

Führt ein DSGVO-Verstoß zum Beweisverwertungsverbot? Das EuGH-Urteil C-484/24

Der EuGH hat am 18.06.2026 in der Rechtssache C-484/24 (NTH Haustechnik) entschieden: Ein DSGVO-Verstoß bei der Datenerhebung führt nicht automatisch zu einem Beweisverwertungsverbot vor Gericht. Welche fünf Vorausset…

DSGVO-Bußgelder: das Zweistufenmodell nach Art. 83 DSGVO

Art. 83 DSGVO regelt zwei Bußgeldstufen: bis zu 10 Mio. EUR / 2 % Jahresumsatz für technisch-organisatorische Pflichten (Art. 25–39) und bis zu 20 Mio. EUR / 4 % für Grundsatz- und Betroffenenrechtsverstöße — mit 11 Z…

Immaterieller Schadensersatz nach Art. 82 DSGVO: EuGH und BGH seit 2023

Drei kumulative Voraussetzungen, keine Erheblichkeitsschwelle, Befürchtung als Schaden — EuGH C-300/21 (2023) und C-340/21 (2023) sowie BGH VI ZR 10/24 (2024) zur Haftung nach Art. 82 DSGVO, jede Aussage mit Primärque…

DSGVO-Beschwerde oder Klage? EuGH C-414/24 | DSGVO-Quiz