Der Datenschutz hat in Deutschland traditionell eine lange Tradition und einen hohen Stellenwert. Das hessische Datenschutzgesetz von 1970 gilt als eines der ersten Datenschutzgesetze der Welt. Auf nationaler Ebene regelt seit 1978 das inzwischen mehrfach modifizierte Bundesdatenschutzgesetz (BDSG) diesen Rechtsgegenstand.
In seiner aktuellen Fassung setzt es zugleich die europäische Datenschutzgrundverordnung (EU-DSGVO) um und präzisiert diese in einigen Bereichen, die über sogenannte Öffnungsklauseln weiterhin der nationalen Gesetzgebung überlassen sind.
Das gilt beispielsweise für Fragen des behördlichen Datenschutzes oder zu Altersgrenzen für die Einwilligung in die Speicherung personenbezogener Daten. In der Praxis müssen Sie also beim Datenschutz sowohl die DSGVO beachten als auch die entsprechenden Rechtsvorschriften aus dem BDSG. Aber auch das am Unternehmens- oder Filialstandort geltende Landesdatenschutzgesetz ist für Sie maßgeblich. Es regelt über die Funktion des:der Landesdatenschutzbeauftragen beispielsweise, in welchen Fällen Sie Behörden oder betroffene Personen über Datenschutzverstöße zu informieren haben.
Insgesamt hat Deutschland beim Datenschutz ein sehr hohes Niveau erreicht. In einer Studie des Compliance-Dienstleisters heyData steht die Bundesrepublik innerhalb der EU im Datenschutzranking hinter Irland auf dem zweiten Platz.
Der Dienstleister lobt beispielsweise die Gesetzgebung zum Datenschutz, aber auch die Verfolgung von Verstößen. Gleichzeitig ist die Aufmerksamkeit für Datenschutzthemen in der deutschen Bevölkerung hoch.
Wahrnehmung des Themas Datenschutz in der Gesellschaft
In einer gemeinsamen Umfrage der Meinungsforschungsinstitute Sinus und Yougov erklärten 93 Prozent der befragten Bundesbürger:innen, dass ihnen Datenschutz wichtig oder sogar sehr wichtig sei. Allerdings äußerten auch 56 Prozent von ihnen die Sorge, dass ihre persönlichen Informationen durch Dritte nicht ausreichend geschützt würden.
Dies spiegelt sich auch in der Marktakzeptanz vieler Waren und Dienstleistungen wider, die Datenschutzfragen aufwerfen: Von der elektronischen Gesundheitskarte über smarte Stromzähler bis hin zur Autoversicherung, die das Fahrverhalten dauerhaft protokolliert und danach den Versicherungstarif staffelt – alle diese Produkte wurden aufgrund von Datenschutzbedenken in Deutschland vor dem eigentlichen Vertriebsstart mehrfach modifiziert und schließlich gar nicht oder nur in stark reduzierter Form auf den Markt gebracht.
Ganze zwölf Jahre dauerte es, bis Suchmaschinenbetreiber Google für seinen Kartendienst Google Maps/Street View erstmals wieder aktualisierte Hausansichten aus Deutschland ins Netz stellte, nachdem dort zahlreiche Hausbesitzer:innen und Mieter:innen beim ersten Durchlauf 2010 die Verpixelung ihrer Immobilien durchgesetzt hatten.
Dies alles zeigt: In Deutschland sind die Verbraucher:innen nicht nur äußerst sensibel für Datenschutzthemen. Unternehmen sollten auch im Interesse Ihrer Kund:innen sowie mit Blick auf die eigene Reputation Datenschutz besonders hoch gewichten und Risikofolgen abschätzen. Die DSGVO kennt hierfür ein formalisiertes Verfahren.
Die Datenschutz-Folgenabschätzung – wann Unternehmen Datenschutzrisiken bewerten müssen
Artikel 35 der DSGVO schreibt für die Datenverarbeitung, „insbesondere bei Verwendung neuer Technologien“ immer dann die Durchführung einer sogenannten Datenschutz-Folgenabschätzung vor, wenn sich aus ihr ein „hohes Risiko für die Rechte und Freiheiten natürlicher Personen“ ergibt. Als Beispiele nennt die DSGVO etwa die die systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen (sogenanntes „Profiling“) oder auch die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.
Die Artikel-29-Datenschutzgruppe, ein Expertengremium der Europäischen Kommission und Vorgängerin des Europäischen Datenschutzausschusses, führt weitere Indikatoren für die Notwendigkeit einer Datenschutz-Folgenabschätzung auf:
Innovative Nutzung oder Anwendung neuer technologischer oder organisatorischer Lösungen
Datenverarbeitung in großem Umfang
Verarbeitung vertraulicher oder höchst persönlicher Daten
Gegenüberstellung oder Zusammenführung von Datensätzen
Automatisierte Entscheidungsfindung mit Rechtswirkung oder ähnlich bedeutsamer Wirkung
Hinderung Betroffener an der Ausübung eines Rechts oder an der Nutzung einer Dienstleistung oder deren Durchführung auf Grundlage eines Vertrages
Insbesondere die ersten, sehr allgemein gehaltenen Punkte sind in der Geschäftspraxis selbst kleiner und mittelständischer Unternehmen heute schnell erfüllt. Ist Ihr Geschäftsmodell im Endkundenbereich onlinebasiert oder nutzen Sie Big Data, sind die Bedingungen des Artikels 35 höchstwahrscheinlich gegeben. Sind Sie sich diesbezüglich unsicher, sollten Sie sich von Datenschutzexpert:innen beraten lassen. 
