4.2 Wie Datenschutzgesetze strukturiert sind

Datenschutzgesetze mögen auf den ersten Blick komplex wirken — doch ihre Struktur folgt einem erkennbaren Muster. Wer dieses Muster kennt, kann jedes Datenschutzgesetz der Welt analysieren, egal ob es aus der EU, Kanada, Brasilien oder Japan stammt.

Die fünf gemeinsamen Bausteine

Praktisch alle modernen Datenschutzgesetze enthalten dieselben Grundelemente:

1. Anwendungsbereich: Für wen und welche Daten gilt das Gesetz? Die DSGVO gilt für alle Personen in der EU — unabhängig davon, wo das verarbeitende Unternehmen seinen Sitz hat. US-Sektoralgesetze gelten oft nur für bestimmte Branchen oder Unternehmen ab einer bestimmten Größe.

2. Grundsätze: Die Kernprinzipien der Datenverarbeitung. Dazu zählen typischerweise: Zweckbindung (Daten nur für den festgelegten Zweck nutzen), Datensparsamkeit (nur das erheben, was wirklich nötig ist), Richtigkeit (Daten aktuell halten), Speicherbegrenzung (nicht länger als nötig aufbewahren) und Integrität und Vertraulichkeit (technische und organisatorische Schutzmaßnahmen).

3. Betroffenenrechte: Welche Rechte haben Einzelpersonen? Typisch sind: Auskunftsrecht, Recht auf Berichtigung, Recht auf Löschung, Recht auf Datenübertragbarkeit, Widerspruchsrecht.

4. Pflichten für Verantwortliche: Was müssen Unternehmen tun? Dazu gehören Dokumentationspflichten, Datenschutz-Folgenabschätzungen, Meldepflichten bei Datenpannen und ggf. die Bestellung eines Datenschutzbeauftragten.

5. Durchsetzungsmechanismen: Wer kontrolliert die Einhaltung? Wie werden Verstöße sanktioniert? Dazu zählen Datenschutzbehörden, Bußgelder und individuelle Klagerechte.

Querschnittsgesetze vs. Sektoralgesetze

Hier liegt ein zentraler struktureller Unterschied zwischen Rechtssystemen weltweit.

Querschnittsgesetze wie die DSGVO gelten branchenübergreifend für alle Verarbeitungen personenbezogener Daten — gleichgültig, ob es sich um ein Krankenhaus, eine Bank, einen Online-Shop oder eine NGO handelt. Der Vorteil: lückenloser Schutz, einheitliche Standards.

Sektoralgesetze regeln spezifische Bereiche getrennt. In den USA gibt es kein allgemeines Bundesdatenschutzgesetz. Stattdessen: HIPAA (Gesundheit), FERPA (Bildung), COPPA (Kinder unter 13), Gramm-Leach-Bliley Act (Finanzen). Das Ergebnis ist ein Flickenteppich — wer zwischen den Sektoren fällt, ist unter Umständen gar nicht geschützt.

Kurzvergleich: DSGVO vs. US-Patchwork

Fazit

Das Wissen über die Struktur von Datenschutzgesetzen hilft, konkrete Fragen zu stellen: Bin ich durch dieses Gesetz geschützt? Welche Rechte habe ich? An wen kann ich mich wenden? Diese Fragen lassen sich nur beantworten, wenn man weiß, wie ein Datenschutzgesetz aufgebaut ist.