Die Datenschutz-Grundverordnung, abgekürzt DSGVO, ist eine Verordnung der Europäischen Union mit der Nummer (EU) 2016/679. Sie gilt seit dem 25.05.2018 [1] und regelt, unter welchen Bedingungen Daten über Menschen verarbeitet werden dürfen. Dieser Eintrag erklärt die wichtigsten Begriffe. Er ersetzt keine Rechtsberatung, und für jede Einzelfrage ist der amtliche Text maßgeblich, den das Amtsblatt der EU auf EUR-Lex veröffentlicht [7].
Die Grundbegriffe
Zwei Definitionen aus Art. 4 tragen fast alles Weitere. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen [2]. Identifizierbar ist jemand auch über Kennnummern, Standortdaten oder eine Online-Kennung [2]. Deshalb fällt auf Websites schon vieles darunter, was harmlos wirkt, etwa eine IP-Adresse oder eine Kennung in einem Cookie. Verarbeitung ist jeder Vorgang mit solchen Daten, mit oder ohne Technik, vom Erheben und Speichern über das Abfragen bis zum Löschen [2].
Wer Daten verarbeitet, braucht dafür eine Rechtsgrundlage. Art. 6 nennt sechs, darunter die Einwilligung der betroffenen Person, die Erfüllung eines Vertrags, eine rechtliche Pflicht und berechtigte Interessen, sofern die Interessen der betroffenen Person nicht überwiegen [3].
Dazu kommen Informationspflichten. Nach Art. 13 muss der Verantwortliche beim Erheben der Daten unter anderem seinen Namen und seine Kontaktdaten nennen, die Zwecke und die Rechtsgrundlage der Verarbeitung, bei berechtigten Interessen auch diese Interessen, die Empfänger der Daten und eine geplante Übermittlung in ein Land außerhalb der EU [4]. Beruht eine Verarbeitung auf einer Einwilligung, gehört auch der Hinweis hinein, dass man sie jederzeit widerrufen kann [4]. Auf Websites steht das in der Datenschutzerklärung.
Für wen die Verordnung gilt
Die DSGVO gilt für Verarbeitungen im Rahmen einer Niederlassung in der Union, egal wo die Server stehen [5]. Sie gilt auch für Anbieter ohne Niederlassung in der EU, wenn diese Menschen in der Union Waren oder Dienstleistungen anbieten oder ihr Verhalten beobachten, soweit es in der Union stattfindet [5]. Ein Shop in der Schweiz, der gezielt an Kunden in Deutschland verkauft, kann also ebenfalls darunter fallen.
Verstöße können teuer werden. Für bestimmte Verstöße sieht Art. 83 Abs. 5 Geldbußen bis zu 20 Millionen Euro oder bei Unternehmen bis zu 4 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist [6].
Noch eine Frage offen?
In der gratis Sprechstunde beantworten wir Fragen zu SEO live, jeden ersten Samstag im Monat um 18 Uhr. Oder du rufst einfach an.
Was das für Websites heißt
Für die Website-Praxis stehen meist dieselben Fragen an: Welche Dienste laden beim Aufruf, welche Daten gehen an wen, und steht das in der Datenschutzerklärung? Für Cookies und andere Zugriffe auf das Endgerät gilt in Deutschland zusätzlich § 25 des TDDDG [8]. Wie beides im SEO-Alltag zusammenspielt, erklärt der Eintrag Datenschutz im SEO-Kontext, die Einwilligung selbst der Eintrag Cookie-Consent. Für Shops gibt es den Beitrag Welche DSGVO-Pflichten hat ein Onlineshop, für die Reichweitenmessung den Ratgeber Cookie-Banner und Reichweitenmessung.
Wenn du wissen willst, welche fremden Dienste deine Website beim Aufruf überhaupt lädt, sprechen wir in der gratis Sprechstunde darüber. Die rechtliche Bewertung bleibt Sache einer Anwältin oder eines Anwalts.
- Gesetz Art. 99 DSGVO: Inkrafttreten und Anwendung. Verordnung (EU) 2016/679, Textfassung dsgvo-gesetz.de (nicht amtlich). Stand ohne Datum. abgerufen am 31.10.2026
- Gesetz Art. 4 DSGVO: Begriffsbestimmungen. Verordnung (EU) 2016/679, Textfassung dsgvo-gesetz.de (nicht amtlich). Stand ohne Datum. abgerufen am 31.10.2026
- Gesetz Art. 6 DSGVO: Rechtmäßigkeit der Verarbeitung. Verordnung (EU) 2016/679, Textfassung dsgvo-gesetz.de (nicht amtlich). Stand ohne Datum. abgerufen am 31.10.2026
- Gesetz Art. 13 DSGVO: Informationspflicht bei Erhebung von personenbezogenen Daten. Verordnung (EU) 2016/679, Textfassung dsgvo-gesetz.de (nicht amtlich). Stand ohne Datum. abgerufen am 31.10.2026
- Gesetz Art. 3 DSGVO: Räumlicher Anwendungsbereich. Verordnung (EU) 2016/679, Textfassung dsgvo-gesetz.de (nicht amtlich). Stand ohne Datum. abgerufen am 31.10.2026
- Gesetz Art. 83 DSGVO: Allgemeine Bedingungen für die Verhängung von Geldbußen. Verordnung (EU) 2016/679, Textfassung dsgvo-gesetz.de (nicht amtlich). Stand ohne Datum. abgerufen am 31.10.2026
- Gesetz Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), amtlicher Text. Amtsblatt der Europäischen Union, EUR-Lex. Stand ohne Datum. abgerufen am 31.10.2026
- Gesetz § 25 TDDDG: Schutz der Privatsphäre bei Endeinrichtungen. Bundesministerium der Justiz, Gesetze im Internet. Stand ohne Datum. abgerufen am 31.10.2026
Häufige Fragen
Seit wann gilt die DSGVO?
Seit dem 25.05.2018. Das legt Art. 99 Abs. 2 der Verordnung fest.
Was sind personenbezogene Daten?
Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu zählen auch Online-Kennungen, deshalb betrifft die DSGVO fast jede Website.
Gilt die DSGVO auch für Unternehmen außerhalb der EU?
Ja, wenn sie Menschen in der Union Waren oder Dienstleistungen anbieten oder deren Verhalten in der Union beobachten. So steht es in Art. 3 Abs. 2.
Wo finde ich den amtlichen Text der DSGVO?
Im Amtsblatt der EU, abrufbar über EUR-Lex. Lesefassungen wie dsgvo-gesetz.de sind praktisch, aber nicht amtlich.
Noch eine Frage offen?
In der gratis Sprechstunde beantworten wir Fragen zu SEO live, jeden ersten Samstag im Monat um 18 Uhr. Oder du rufst einfach an.
Zuletzt geprüft am 03.11.2026, nächste Prüfung spätestens im November 2027. Fehler entdeckt? Schreib uns.
