Anwendungsbereich der GDPR: Schutz personenbezogener Daten, nicht Cybersicherheit

Bei der GDPR geht es in erster Linie um den Schutz personenbezogener Daten und um die Rechte, die Einzelpersonen (betroffene Personen) an diesen Daten haben. Sie regelt, wie Organisationen personenbezogene Daten erheben, speichern, verarbeiten und weitergeben, und gewährt den Menschen Rechte wie Auskunft, Berichtigung und Löschung. Ein konkreter Gegensatz: Die GDPR ist kein allgemeines Cybersicherheitsgesetz – sie schreibt weder Firewalls noch Antivirensoftware vor –, verlangt jedoch geeignete Sicherheitsmaßnahmen zum Schutz personenbezogener Daten. Ebenso wenig ist sie ein Gesetz über Plattforminhalte wie der Digital Services Act (DSA), der sich auf illegale Inhalte und die Rechenschaftspflicht von Plattformen konzentriert. Wenn in einem Prüfungsszenario also Hackerangriffe oder Inhaltsmoderation erwähnt werden, prüfen Sie, ob es im Kern um den Missbrauch personenbezogener Daten oder um etwas anderes geht.

Um Fallen zu vermeiden, merken Sie sich drei Ausschlusstricks. Erstens: Geht es in der Frage um den Schutz von Geschäftsgeheimnissen oder geistigem Eigentum eines Unternehmens, findet die GDPR keine Anwendung – dies ist ein anderer Rechtsbereich. Zweitens: Bei einer Datenschutzverletzung greift die GDPR nur, wenn personenbezogene Daten (z. B. Namen, E-Mail-Adressen oder Gesundheitsdaten) betroffen sind; eine Verletzung der Sicherheit anonymisierter oder nicht personenbezogener Daten fällt nicht in ihren Anwendungsbereich. Drittens gilt die GDPR für jede Organisation, die personenbezogene Daten von in der EU ansässigen Personen verarbeitet, unabhängig vom Sitz der Organisation – somit fällt auch ein US-Unternehmen darunter, das sich an Nutzer in der EU richtet. Wenn Sie in einer Frage „personenbezogene Daten“ und „Rechte von Einzelpersonen“ sehen, ist dies Ihr Hinweis auf die GDPR; bei „Cybersicherheit“ oder „Plattforminhalten“ müssen Sie sich nach anderen Rechtsvorschriften richten.

Eine schnelle Selbstprüfung lautet: „Geht es hier hauptsächlich um die personenbezogenen Informationen einer Person und ihre Kontrolle darüber?“ Falls ja, denken Sie an die GDPR. Geht es um Systemsicherheit oder schädliche Inhalte, denken Sie an andere Rechtsvorschriften. Eine Merkhilfe: GDPR = „Give Data Protection Rights“ – konzentrieren Sie sich auf die Aspekte „personenbezogen“ und „Rechte“, nicht auf technische Sicherheitsdetails.