Datenschutz-Überblick Ungarn 2026 — Kurzfassung
Der ungarische E-Commerce unterliegt der DSGVO (Verordnung EU 2016/679) + dem Infogesetz von 2011 (Gesetz CXII von 2011 über informationelle Selbstbestimmung und Informationsfreiheit, abgekürzt Infotv.), durchgesetzt von der NAIH (Nemzeti Adatvédelmi és Információszabadság Hatóság). Jeder Webshop benötigt: (1) ein konformes Cookie-Banner mit einer „Alle ablehnen“-Schaltfläche, die genauso prominent ist wie „Alle akzeptieren“, (2) eine Datenschutzerklärung auf Ungarisch (Adatkezelési Tájékoztató) gemäß DSGVO Art. 13–14, (3) Verfahren zur Erfüllung der acht Betroffenenrechte innerhalb eines Monats, (4) einen 72-Stunden-Meldeprozess, der auf das Online-Formular der NAIH abgestimmt ist, und (5) SCC + TIA für jede Datenübermittlung außerhalb der EU/des EWR. NAIH-Bußgelder können 20 Millionen € oder 4 % des weltweiten Jahresumsatzes erreichen.
Die ungarische Datenschutzlandschaft 2026 auf einen Blick
Kein europäisches Land schichtet seine Datenschutzregeln so wie Ungarn. Die folgenden Karten fassen die sechs in diesem Leitfaden behandelten Compliance-Säulen zusammen — behalten Sie sie beim Lesen jedes Detailabschnitts im Hinterkopf.
DSGVO — Verordnung (EU) 2016/679
Unmittelbar anwendbar seit 25. Mai 2018 · 99 Artikel · bindet jeden ungarischen Verantwortlichen und Auftragsverarbeiter
NAIH — Die ungarische Datenschutzbehörde
Gegründet 2012 (ersetzte den Parlamentskommissar) · Sitz: Falk Miksa utca, Budapest
Infogesetz 2011 (Infotv.) — Gesetz CXII von 2011
Ungarische Umsetzung + Informationsfreiheit · letzte größere Novelle Gesetz XXXVIII von 2018
Cookie & ePrivacy — Gesetz C von 2003 (Eht.)
Setzt die EU-ePrivacy-Richtlinie 2002/58/EG um · vorherige Einwilligung für nicht notwendige Cookies erforderlich
Datenschutzerklärung — Adatkezelési Tájékoztató
Verpflichtend gemäß DSGVO Art. 13–14 + Infogesetz 2011 · ungarische Sprache für HU-Kunden
DSB — Datenschutzbeauftragter (DSGVO Art. 37)
Erforderlich für Behörden + umfangreiche Überwachung oder Verarbeitung besonderer Datenkategorien
Bereit, Ihren ungarischen Webshop DSGVO- & NAIH-konform zu machen?
Verbinden Sie Ihren Shop mit Zunapro und erhalten Sie das ungarische Compliance-Paket — CMP-Cookie-Banner, Datenschutzerklärungsgenerator, DSAR-Workflow, Meldevorlage für Verletzungen und SCC-Register — vorkonfiguriert.
1. DSGVO + ungarisches Infogesetz 2011 — Das zweischichtige Fundament
DSGVO — Die pan-europäische Schicht
Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) wurde am 25. Mai 2018 unmittelbar anwendbar und ersetzte den Flickenteppich nationaler Gesetze, den die Datenschutzrichtlinie von 1995 geschaffen hatte. Da die DSGVO eine Verordnung und keine Richtlinie ist, entfaltet sie in Ungarn ohne jede Umsetzung unmittelbare Wirkung — jedes ungarische E-Commerce-Unternehmen ist an ihre 99 Artikel und 173 Erwägungsgründe gebunden.
Für Webshops sind die operativ bedeutsamsten Artikel: Artikel 5 (Grundsätze — Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität, Rechenschaftspflicht), Artikel 6 (Rechtsgrundlagen — Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe, berechtigte Interessen), Artikel 13–14 (den betroffenen Personen bereitzustellende Informationen), Artikel 15–22 (Betroffenenrechte), Artikel 28 (Auftragsverarbeiterverträge), Artikel 30 (Verzeichnis von Verarbeitungstätigkeiten), Artikel 32 (Sicherheit), Artikel 33–34 (Meldung von Verletzungen), Artikel 35 (DSFA) und Artikel 44–49 (internationale Übermittlungen).
Das Infogesetz 2011 — Die ungarische Schicht
Gesetz CXII von 2011 über informationelle Selbstbestimmung und Informationsfreiheit — bekannt unter seiner Abkürzung Infotv. oder schlicht „das Infogesetz“ — ist Ungarns grundlegendes Datenschutzgesetz. Es geht der DSGVO um sieben Jahre voraus, wurde aber 2018 durch Gesetz XXXVIII von 2018 umfassend novelliert, um es an die DSGVO anzupassen und gleichzeitig die ungarischen Besonderheiten zu bewahren, die die DSGVO ausdrücklich den Mitgliedstaaten überlässt.
Die Rolle des Infogesetzes im Jahr 2026 lässt sich zusammenfassen als: (a) es kodifiziert die Struktur, Befugnisse und Verfahren der NAIH — DSGVO Kapitel 6 verlangt von jedem Mitgliedstaat die Benennung einer unabhängigen Aufsichtsbehörde, überlässt die Details aber dem nationalen Recht, (b) es regelt Daten des öffentlichen Sektors und Anträge auf Informationsfreiheit, die außerhalb des Anwendungsbereichs der DSGVO liegen, (c) es sieht die von der DSGVO zugelassenen Ausnahmen für nationale Sicherheit und Strafverfolgung vor und (d) es erlegt Dokumentations- und Meldepflichten in ungarischer Sprache dort auf, wo die DSGVO sprachneutral ist.
Wie beide zusammenwirken
In der Praxis sollten ungarische E-Commerce-Betreiber zuerst die DSGVO für die materiellen Pflichten und danach das Infogesetz für die Verfahrensdetails lesen — wie man eine Beschwerde bei der NAIH einreicht, wie die NAIH Untersuchungen durchführt, wie Bußgelder und Entscheidungen aussehen und wie ungarische Gerichte NAIH-Entscheidungen im Rechtsmittelverfahren überprüfen. Das Infogesetz füllt außerdem die Lücken der DSGVO bei der Verarbeitung zu journalistischen, akademischen, künstlerischen und literarischen Zwecken (Art. 85 DSGVO), der Verarbeitung im Beschäftigungskontext (Art. 88 DSGVO) und dem Alter der digitalen Einwilligung (Ungarn hat dieses auf 16 Jahre nach Art. 8 DSGVO festgelegt).
📜 Die vollständige Referenz zum Infogesetz 2011 lesen
Kommentar Abschnitt für Abschnitt zu Gesetz CXII von 2011, den Novellen von 2018 und wie jede Bestimmung mit der DSGVO für ungarische E-Commerce-Betreiber zusammenwirkt.
2. NAIH — Die ungarische Datenschutzbehörde
Vom Parlamentskommissar zur unabhängigen Behörde
Die NAIH (Nemzeti Adatvédelmi és Információszabadság Hatóság — Nationale Behörde für Datenschutz und Informationsfreiheit) wurde am 1. Januar 2012 durch das Infogesetz 2011 errichtet und ersetzte den früheren Parlamentskommissar für Datenschutz und Informationsfreiheit (Adatvédelmi Biztos). Der Wechsel verlagerte die ungarische Datenschutzaufsicht von einem Ombudsmann-Modell mit einem einzelnen Amtsträger zu einer vollständig institutionellen Behörde mit eigenem Personal, Budget und Entscheidungsbefugnissen.
Die NAIH hat ihren Sitz in Budapest in der Falk Miksa utca und wird von einem Präsidenten geleitet, der vom Präsidenten der Republik auf Vorschlag des Ministerpräsidenten für eine Amtszeit von neun Jahren ernannt wird. Der amtierende Präsident (Dr. Attila Péterfalvi hat das Amt seit der Gründung der Behörde im Jahr 2012 inne und wurde für weitere Amtszeiten wiederernannt) leitet einen Stab von rund 130 Juristen, IT-Spezialisten und Verwaltungsmitarbeitern.
Die Befugnisse der NAIH nach DSGVO + Infogesetz
Die NAIH übt jede in DSGVO Artikel 58 aufgeführte Aufsichtsbefugnis aus, darunter:
- Untersuchungsbefugnisse — jeden Verantwortlichen/Auftragsverarbeiter zur Auskunft anweisen, Vor-Ort-Prüfungen durchführen, Zugang zu allen Räumlichkeiten, Datenverarbeitungsanlagen und -mitteln erhalten
- Abhilfebefugnisse — Verwarnungen, Rügen, Anordnungen zur Erfüllung von Betroffenenanfragen, Anordnungen zur Herstellung der Konformität der Verarbeitung, vorübergehende oder endgültige Beschränkung einschließlich eines Verarbeitungsverbots, Anordnungen zur Berichtigung oder Löschung von Daten sowie die Verhängung von Bußgeldern
- Genehmigungs- und Beratungsbefugnisse — Stellungnahmen zu Gesetzesentwürfen abgeben, Zertifizierungsstellen akkreditieren, verbindliche interne Datenschutzvorschriften (BCR) und Verhaltensregeln genehmigen
Zusätzlich zu den DSGVO-Befugnissen gibt das Infogesetz der NAIH das Recht, Verfahren von Amts wegen einzuleiten (ohne Beschwerde), gerichtliche Anordnungen zur Aussetzung der Verarbeitung zu beantragen und mutmaßliche Straftaten (z. B. unbefugter Zugriff auf besondere Datenkategorien nach § 219 des ungarischen Strafgesetzbuches, Gesetz C von 2012) an die Staatsanwaltschaft zu verweisen.
Eine Beschwerde bei der NAIH einreichen
Jede betroffene Person — ob in Ungarn ansässig oder zu Besuch — kann bei der NAIH eine Beschwerde einreichen, wenn sie der Ansicht ist, dass ihre personenbezogenen Daten rechtswidrig verarbeitet wurden. Das Beschwerdeverfahren ist kostenlos, auf Ungarisch und (begrenzt) auf Englisch unter naih.hu verfügbar, und die NAIH erlässt in der Regel innerhalb von zwei Monaten nach Eingang einer vollständigen Beschwerde eine erstinstanzliche Entscheidung. Die NAIH veröffentlicht anonymisierte Entscheidungen in ihren vierteljährlichen Bulletins und auf ihrer Website, was sie zu einer der transparenteren Datenschutzbehörden der EU macht.
Praktischer NAIH-Tipp: Die NAIH behandelt die Art und Weise, wie Sie auf die erste Anfrage einer betroffenen Person reagieren, als wesentlichen Faktor bei der Bemessung des Bußgeldes. Verkäufer, die spät, ausweichend oder gar nicht geantwortet haben, sehen sich deutlich höheren Bußgeldern gegenüber als jene, die umgehend und vollständig geantwortet haben — selbst wenn der zugrunde liegende Sachverhalt identisch war. Richten Sie den Zunapro-DSAR-Workflow ein →
3. Cookie-Banner — Verpflichtend und streng reguliert
Die Rechtsgrundlage — ePrivacy + DSGVO
Die Cookie-Einwilligung in Ungarn ruht auf zwei Säulen: Artikel 5 Abs. 3 der EU-ePrivacy-Richtlinie (2002/58/EG) in der Umsetzung durch das Gesetz C von 2003 über die elektronische Kommunikation (Eht.) und Artikel 6 Abs. 1 Buchst. a DSGVO, der definiert, wie eine wirksame Einwilligung aussieht. Die kombinierte Regel ist einfach zu formulieren und leicht zu verletzen: bevor ein Cookie oder ein ähnlicher Tracker auf dem Endgerät eines Nutzers gespeichert oder darauf zugegriffen wird, muss der Verantwortliche eine freiwillige, spezifische, informierte und unmissverständliche vorherige Einwilligung einholen. Unbedingt erforderliche Cookies (Sitzung, Warenkorb, Sicherheit, grundlegender Lastausgleich) sind ausgenommen; alles andere — Analyse, Werbung, Social Plug-ins, A/B-Tests, Heatmaps — benötigt eine Einwilligung.
Wie ein konformes Banner 2026 aussieht
Die NAIH hat zahlreiche Vollzugsentscheidungen erlassen, die ihre Erwartungen präzisieren. Das ungarische Mindest-Banner 2026 weist folgende Merkmale auf:
- Ebene 1 (Banner) — erscheint, bevor ein nicht notwendiges Cookie ausgelöst wird, listet Kategorien auf (Notwendig, Funktional, Analyse, Marketing) und bietet drei Optionen von gleicher visueller Prominenz: Alle akzeptieren, Alle ablehnen, Anpassen
- Ebene 2 (Einstellungsdialog) — granulare Schalter pro Kategorie, einzeln ablehnbar; listet jeden Drittanbieter, seinen Zweck, die Speicherdauer und einen Link zu seiner eigenen Datenschutzerklärung auf
- Ebene 3 (Cookie-Richtlinie) — vollständige Tabelle jedes Cookies, Lebensdauer, Typ, Zweck, Partei und ein Link zur umfassenderen Datenschutzerklärung
- Widerruf der Einwilligung — muss „so einfach zu widerrufen wie zu erteilen“ sein (DSGVO Erwägungsgrund 42); eine persistente schwebende Schaltfläche oder ein Fußzeilen-Link ist das typische Muster
- Keine Dark Patterns — vorangekreuzte Kästchen, Farbkontrast-Tricks, Scrollen-als-Einwilligung und Cookie-Walls sind laut NAIH und EDSA-Leitlinien 03/2022 ausdrücklich rechtswidrig
Die Regel der visuellen Parität von „Alle ablehnen“
Der am häufigsten umstrittene Punkt im NAIH-Cookie-Vollzug 2025–2026 ist, ob die Schaltfläche Alle ablehnen wirklich so prominent ist wie Alle akzeptieren. „Gleiche Prominenz“ bedeutet dieselbe Farbintensität, dieselbe Größe, dieselbe Positionsgewichtung und dieselbe Anzahl von Klicks. Ein verbreitetes Dark Pattern vor 2024 — eine leuchtend blaue Schaltfläche „Alle akzeptieren“ neben einem dünnen grauen Textlink „Weitere Optionen“ — wird in Ungarn nun als Verstoß per se behandelt, und die CMP von Zunapro erzwingt die visuelle Parität automatisch.
4. Datenschutzerklärung (Adatkezelési Tájékoztató) — Ein Pflichtdokument
DSGVO Artikel 13 & 14 — Die Informationspflichten
Eine Datenschutzerklärung ist in Ungarn nicht optional. DSGVO Artikel 13 verpflichtet den Verantwortlichen, eine betroffene Person zum Zeitpunkt der Datenerhebung zu informieren über: die Identität und Kontaktdaten des Verantwortlichen (und des DSB, falls vorhanden), die Zwecke und Rechtsgrundlage der Verarbeitung, die Empfänger oder Kategorien von Empfängern, jede Absicht der Übermittlung in ein Drittland und die verwendeten Garantien, die Speicherdauer, die Rechte der betroffenen Person einschließlich des Rechts auf Beschwerde bei der NAIH, ob die Bereitstellung der Daten vertraglich oder gesetzlich vorgeschrieben ist und welche Folgen eine Verweigerung hat, sowie das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling.
Artikel 14 deckt die parallelen Pflichten für Daten ab, die aus anderen Quellen als der betroffenen Person erhoben werden — typischerweise Marktplatz-Bestell-Feeds, Übertragungen aus Treueprogrammen und B2B-Partnerlisten — und fügt eine Pflicht hinzu, die betroffene Person innerhalb eines Monats oder bei der ersten Kommunikation zu informieren, je nachdem, was zuerst eintritt.
Die ungarischen Besonderheiten
Das Infogesetz verlangt, dass die Datenschutzerklärung in einem für die betroffene Person zugänglichen Format und in zugänglicher Sprache bereitgestellt wird — für ungarische Verbraucher bedeutet das Ungarisch. Viele ungarische E-Commerce-Betreiber veröffentlichen eine primär ungarische Erklärung mit einer englischen Zweitversion für grenzüberschreitende Kunden. Bewährte Praxis ist es außerdem, Folgendes aufzunehmen:
- Die NAIH-Registrierungsnummer, wenn Sie eine Datenverarbeitung betreiben, die eine formelle NAIH-Registrierung erfordert (überwiegend Altfälle / öffentlicher Sektor)
- Einen ausdrücklichen Verweis auf das Infogesetz 2011 neben den DSGVO-Artikeln im Abschnitt zur Rechtsgrundlage
- Die vollständige Postanschrift und Kontakt-E-Mail des Verantwortlichen — die NAIH erwartet eine einfache Erreichbarkeit
- Die Speicherdauer in konkreten Jahren — vage Formulierungen wie „so lange wie nötig“ wurden in NAIH-Entscheidungen kritisiert
Gestufter Hinweis — Ein praktisches Muster
Die EDSA-Leitlinien 5/2020 befürworten den „gestuften Hinweis“ — eine kurze, klar formulierte Zusammenfassung, die auf die vollständige, detaillierte Erklärung verweist. Für ungarische Webshops ist das typische gestufte Muster: (1) eine ein Absatz lange, klar ungarische Zusammenfassung am Kassenformular, (2) die vollständige Adatkezelési Tájékoztató, verlinkt aus der Fußzeile jeder Seite, und (3) themenspezifische Hinweise für Newsletter-Anmeldung, Kontoregistrierung und Cookie-Einwilligung. Zunapro erzeugt alle drei Ebenen aus einer einzigen Vorlage der Datenschutzerklärung und synchronisiert sie automatisch über den ungarischen Webshop, die mobile App und die Marktplatz-Storefronts hinweg.
📝 Erzeugen Sie Ihre ungarische Datenschutzerklärung
Der Adatkezelési-Tájékoztató-Generator von Zunapro füllt den Standardtext gemäß DSGVO Art. 13–14 + Infogesetz 2011 vor; Sie passen die Angaben zum Verantwortlichen, die Speicherdauern und die Auftragsverarbeiter in unter 15 Minuten an.
5. Datenschutzbeauftragter (DSB) — Wann Sie einen bestellen müssen
Die drei Auslöser nach DSGVO Artikel 37
Ungarische E-Commerce-Betreiber benötigen nicht automatisch einen Datenschutzbeauftragten. DSGVO Artikel 37 Abs. 1 nennt drei kumulative Auslöser, von denen jeder einzelne ausreicht:
- Behörde oder öffentliche Stelle — gilt für Ministerien, Kommunen, staatliche Unternehmen; für den privaten E-Commerce nicht relevant
- Kerntätigkeiten bestehen in umfangreicher regelmäßiger und systematischer Überwachung betroffener Personen — gilt für Netzwerke für verhaltensbasierte Werbung, Standortverfolgungs-Apps, große Treueprogramme, die Käufer kanalübergreifend profilieren, Ad-Tech-Vermittler
- Kerntätigkeiten bestehen in umfangreicher Verarbeitung besonderer Datenkategorien (Art. 9) oder von Daten über strafrechtliche Verurteilungen (Art. 10) — gilt für Online-Apotheken, Fertilitäts-/Ernährungsspezialisten, Health-Tech, bestimmte politische oder religiöse Affinitätshändler
Reiner transaktionaler E-Commerce — der Verkauf physischer Produkte an Verbraucher, die Verarbeitung ihrer Liefer- und Rechnungsdaten — erreicht diese Schwellen im Allgemeinen nicht. Ein Haushaltswarenshop mit 5.000 Bestellungen/Monat muss keinen DSB bestellen; eine Abonnement-Apotheke mit 50.000 Mitgliedern mit an Sicherheit grenzender Wahrscheinlichkeit schon.
Was „umfangreich“ und „Kerntätigkeit“ bedeuten
Die EDSA-Leitlinien (früher WP29-Stellungnahme 03/2017) empfehlen zu prüfen: (a) die Zahl der betroffenen Personen, (b) das Datenvolumen, (c) die Dauer und Beständigkeit der Verarbeitung und (d) ihre geografische Reichweite. „Kerntätigkeiten“ bedeutet Tätigkeiten, die zur Erreichung der Ziele des Verantwortlichen wesentlich sind — die Gehaltsabrechnung ist selten eine „Kerntätigkeit“; das Profiling von Käufern zur Personalisierung von Werbung schon.
Freiwillige Bestellung eines DSB
Ungarische Einzelhändler, die unter der Schwelle des DSGVO Artikels 37 liegen, können — und viele tun es — freiwillig einen DSB bestellen. Die Vorteile sind erheblich: ein einziger verantwortlicher Ansprechpartner für die NAIH, ein klarer interner Eskalationspunkt für Betroffenenanfragen und Verletzungen sowie ein Glaubwürdigkeitssignal für B2B-Partner. Zunapro kann Ihren internen Justiziar oder einen ausgelagerten DSB-Partner Ihrem ungarischen Mandanten zuweisen; deren Kontaktdaten füllen automatisch die Datenschutzerklärung und die NAIH-Meldefelder.
Die NAIH über den DSB informieren
Wird ein DSB bestellt (verpflichtend oder freiwillig), verlangt DSGVO Artikel 37 Abs. 7 vom Verantwortlichen, die Kontaktdaten des DSB zu veröffentlichen und sie der NAIH mitzuteilen. Die NAIH stellt ein Online-Formular zur DSB-Meldung bereit. Der DSB muss operative Unabhängigkeit genießen, darf wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden und berichtet unmittelbar der höchsten Managementebene.
6. Betroffenenrechte — Die acht DSGVO-Ansprüche
Die acht Rechte auf einen Blick
DSGVO Kapitel 3 verleiht jeder Person acht Rechte. Ungarische Webshops müssen operative Prozesse aufbauen, um jedem davon innerhalb eines Kalendermonats nach Eingang einer verifizierten Anfrage nachzukommen (bei komplexen Anfragen um zwei Monate verlängerbar, mit begründeter Mitteilung an die betroffene Person).
Der DSAR-Workflow — Identität verifizieren
Eine Betroffenenanfrage (DSAR) kann per E-Mail, Webformular, Postbrief oder sogar Social-Media-DM eintreffen. Vor der Antwort muss der Verantwortliche die Identität des Anfragenden angemessen verifizieren — DSGVO Artikel 12 Abs. 6 — ohne mehr Daten als nötig zu erheben. Für einen registrierten Kunden ist die Verifizierung in der Regel eine Bestätigung des angemeldeten Kontos plus eine E-Mail-Schleife; für einen Nicht-Kunden könnte sie einen Hash der nationalen ID oder eine bestehende Bestellreferenz umfassen. Überverifizierung ist selbst ein Verstoß: Die NAIH hat Verantwortliche mit Bußgeldern belegt, weil sie eine Farbfotokopie eines Reisepasses verlangt haben, nur um einen Webshop-Abonnenten zu verifizieren.
Die Antwort — Format, Kanal, Kosten
Die Antwort muss schriftlich erfolgen, in einer „präzisen, transparenten, verständlichen und leicht zugänglichen Form in einer klaren und einfachen Sprache“ (DSGVO Artikel 12 Abs. 1) — auf Ungarisch für ungarische betroffene Personen, sofern sie nicht ausdrücklich eine andere Sprache verlangt haben. Die Antwort ist kostenlos; die Erhebung einer „Verwaltungsgebühr“ ist nur bei offenkundig unbegründeten oder exzessiven Anfragen und nur zu von der NAIH überwachten Sätzen zulässig. Für Übertragbarkeitsanfragen nach Artikel 20 muss das Format strukturiert, gängig und maschinenlesbar sein — CSV oder JSON, nicht ein flaches PDF.
🛂 Automatisieren Sie Ihren DSAR-Workflow
Das DSAR-Modul von Zunapro leitet eingehende Anfragen in eine verifizierte Warteschlange, wendet den 30-Tage-SLA-Timer an, erzeugt den strukturierten CSV/JSON-Export für die Übertragbarkeit und speichert die Antwort mit Prüfprotokoll für NAIH-Inspektionen.
7. Meldung von Datenschutzverletzungen — Die 72-Stunden-Regel
Wann eine Verletzung vorliegt
DSGVO Artikel 4 Nr. 12 definiert eine Verletzung des Schutzes personenbezogener Daten weit: „eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt“. Das umfasst alles von einem Ransomware-Angriff, der Bestelldaten sperrt, über einen falsch konfigurierten Cloud-Speicher, der Kundenadressen offenlegt, bis zu einem Mitarbeiter, der eine Kundenliste an ein privates Gmail-Konto sendet, oder einem Kurier, der einen ausgedruckten Lieferschein verliert.
Meldung an die NAIH (Artikel 33)
Wenn die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, muss der Verantwortliche die NAIH unverzüglich und, sofern möglich, binnen 72 Stunden nach Bekanntwerden der Verletzung benachrichtigen. Die NAIH stellt ein Online-Formular zur Meldung von Verletzungen unter naih.hu auf Ungarisch bereit; das Formular verlangt:
- Art der Verletzung einschließlich, soweit möglich, der Kategorien und der ungefähren Zahl der betroffenen Personen und der betroffenen Datensätze
- Anlaufstelle — typischerweise der DSB oder ein leitender Datenschutz-Ansprechpartner
- Wahrscheinliche Folgen für die betroffenen Personen
- Ergriffene oder vorgeschlagene Maßnahmen zur Bewältigung der Verletzung und zur Abmilderung möglicher nachteiliger Auswirkungen
Sind die vollständigen Informationen nicht binnen 72 Stunden verfügbar, kann die Meldung schrittweise erfolgen — die Erstmeldung muss jedoch fristgerecht erfolgen und ergänzende Informationen sind bereitzustellen, sobald sie bekannt werden.
Benachrichtigung der betroffenen Personen (Artikel 34)
Hat die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, muss der Verantwortliche zusätzlich die betroffenen Personen unmittelbar benachrichtigen, in klarer und einfacher ungarischer Sprache, unter Beschreibung der Art der Verletzung, der wahrscheinlichen Folgen und der ergriffenen Maßnahmen. Die Benachrichtigung der betroffenen Personen ist nicht erforderlich, wenn der Verantwortliche geeignete technische und organisatorische Schutzmaßnahmen umgesetzt hat (z. B. eine Verschlüsselung, die die Daten unverständlich macht), oder nachfolgende Maßnahmen ergriffen hat, die sicherstellen, dass das hohe Risiko nicht mehr eintritt, oder dies mit einem unverhältnismäßigen Aufwand verbunden wäre (in diesem Fall ist eine öffentliche Bekanntmachung zulässig).
Dokumentation (Artikel 33 Abs. 5)
Unabhängig davon, ob eine Verletzung der NAIH oder den betroffenen Personen gemeldet wird, muss der Verantwortliche jede Verletzung dokumentieren — Sachverhalt, Auswirkungen, Abhilfemaßnahmen — in einem internen Verzeichnis von Verletzungen. Die NAIH prüft dieses Verzeichnis routinemäßig bei Audits, und das Fehlen eines Verzeichnisses ist ein Verstoß per se.
Empfehlung zur Notfallübung: Führen Sie mindestens zweimal im Jahr eine Planspiel-Simulation durch. Die 72-Stunden-Uhr beginnt mit dem „Bekanntwerden“, was von der NAIH streng ausgelegt wurde — typischerweise ab dem Moment, in dem das IT-Team einen Vorfall als personendatenbezogen identifiziert, nicht ab dem Moment, in dem das Rechtsteam einbezogen wird. Konfigurieren Sie Ihren Verletzungs-Reaktionsworkflow →
8. Grenzüberschreitende Übermittlungen — SCC nach Schrems II
Der Rahmen von Kapitel V
DSGVO Kapitel V (Artikel 44–49) regelt die Übermittlung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums (EWR — EU + Island, Liechtenstein, Norwegen). Die Grundregel ist einfach: jede Übermittlung in ein „Drittland“ ist verboten, es sei denn, eine der spezifischen Garantien greift. Ungarische E-Commerce-Betreiber nehmen routinemäßig Übermittlungen nach Kapitel V vor — an US-gehostete Analysedienste, an in Großbritannien ansässige Fulfillment-Partner, an türkische oder indische Kundendienstanbieter.
Der Werkzeugkasten der Garantien
Die verfügbaren Mechanismen, in absteigender Reihenfolge des praktischen Nutzens für den E-Commerce:
- Angemessenheitsbeschlüsse (Art. 45) — die Europäische Kommission hat die Rechtsrahmen des Vereinigten Königreichs, der Schweiz, Japans, Südkoreas, Kanadas (kommerziell), Neuseelands, Argentiniens, Israels, der Färöer-Inseln, Guernseys, Jerseys, der Isle of Man, Uruguays und Andorras als angemessenen Schutz bietend eingestuft. Übermittlungen in diese Länder werden wie EU-interne behandelt.
- Standardvertragsklauseln (Art. 46 Abs. 2 Buchst. c) — die modularen SCC der Europäischen Kommission von 2021 sind das Arbeitspferd der grenzüberschreitenden E-Commerce-Compliance. Die Module 1–4 decken Übermittlungen Verantwortlicher-an-Verantwortlichen, Verantwortlicher-an-Auftragsverarbeiter, Auftragsverarbeiter-an-Auftragsverarbeiter und Auftragsverarbeiter-an-Verantwortlichen ab.
- EU-US Data Privacy Framework — für Übermittlungen an US-Empfänger, die unter dem Rahmen zertifiziert sind (veröffentlichte Liste auf der Website des US-Handelsministeriums), werden Übermittlungen als angemessen behandelt; für nicht zertifizierte Empfänger bleiben SCC + Transfer Impact Assessment verpflichtend.
- Verbindliche interne Datenschutzvorschriften (Art. 47) — von multinationalen Konzernen für konzerninterne Übermittlungen genutzt; erfordern die Genehmigung der NAIH (oder einer anderen EU-Datenschutzbehörde).
- Ausnahmen (Art. 49) — ausdrückliche Einwilligung, vertragliche Notwendigkeit, wichtiges öffentliches Interesse. Diese werden eng ausgelegt und können nicht für regelmäßige, umfangreiche Übermittlungen genutzt werden.
Die Schrems-II-Überlagerung
Das Schrems-II-Urteil des EuGH (C-311/18, 16. Juli 2020) erklärte den alten EU-US-Privacy-Shield für ungültig und erlegte den Verantwortlichen eine zusätzliche Pflicht auf: ein Transfer Impact Assessment (TIA), das bewertet, ob das Recht des Empfängerlandes einen „im Wesentlichen gleichwertigen“ Schutz wie die DSGVO bietet — insbesondere im Hinblick auf den staatlichen Überwachungszugriff. Stellt die Bewertung Mängel fest (typisch für US-Übermittlungen ohne Zertifizierung nach dem Data Privacy Framework), muss der Verantwortliche ergänzende Maßnahmen umsetzen — Verschlüsselung mit in der EU gehaltenen Schlüsseln, Pseudonymisierung oder Split-Data-Architekturen — um Abhilfe zu schaffen.
Die Übermittlung dokumentieren
Jede grenzüberschreitende Übermittlung muss im Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 erfasst werden, mit: dem Bestimmungsland, dem Rechtsmechanismus (Angemessenheit, SCC, BCR, Ausnahme), dem Datum der SCC-Unterzeichnung, der verwendeten modularen Konfiguration und dem Ergebnis des TIA. Zunapro führt ein Register für grenzüberschreitende Übermittlungen, das automatisch aus den von Ihrem Mandanten genutzten integrierten Diensten befüllt wird — jeder Zahlungsdienstleister, jeder CRM-Konnektor, jede Marktplatzbrücke protokolliert ihre Übermittlungskette.
9. NAIH-Bußgelder — Wie hoch, wie oft, wie zu vermeiden
Die Bußgeldstufen nach DSGVO Artikel 83
Die DSGVO begrenzt Bußgelder auf zwei Ebenen:
- Stufe 1 — 10 Millionen € oder 2 % des gesamten weltweiten Jahresumsatzes, je nachdem, was höher ist, für Verstöße gegen Pflichten im Zusammenhang mit dem Verzeichnis von Verarbeitungstätigkeiten, Sicherheit, Meldung von Verletzungen, DSFA und Benennung des DSB (Artikel 8, 11, 25–39, 42, 43)
- Stufe 2 — 20 Millionen € oder 4 % des gesamten weltweiten Jahresumsatzes, je nachdem, was höher ist, für Verstöße gegen die Grundsätze (Artikel 5), die Rechtmäßigkeit der Verarbeitung (Artikel 6), die Bedingungen für die Einwilligung (Artikel 7), besondere Kategorien (Artikel 9–10), Betroffenenrechte (Artikel 12–22) und internationale Übermittlungen (Artikel 44–49)
Entscheidend ist: DSGVO-Bußgelder werden am globalen, nicht am lokalen Umsatz bemessen — eine ungarische Tochtergesellschaft eines multinationalen Konzerns kann sich einem Bußgeld gegenübersehen, das am weltweiten Umsatz der Gruppe bemessen wird.
Die 11 Bemessungsfaktoren nach Artikel 83 Abs. 2
Die NAIH muss jedes Bußgeld anhand von elf Faktoren abwägen: Art, Schwere und Dauer des Verstoßes; die Zahl der betroffenen Personen; das Ausmaß des erlittenen Schadens; der vorsätzliche oder fahrlässige Charakter; Minderungsmaßnahmen; der Grad der Verantwortung (technische und organisatorische Maßnahmen); frühere Verstöße; der Grad der Zusammenarbeit mit der NAIH; die Kategorien der betroffenen Daten; wie der Verstoß bekannt wurde (Selbstanzeige zählt); die Einhaltung genehmigter Verhaltensregeln oder Zertifizierungen; sowie jeden anderen erschwerenden oder mildernden Faktor.
Die Vollzugsbilanz der NAIH
Ausgewählte veröffentlichte ungarische Bußgelder (beispielhaft, nicht abschließend):
- DPD Hungary — 250 Mio. HUF (~650 Tsd. €, 2022) für rechtswidrige Sprachanalyse-Verarbeitung bei Kundendienstanrufen — ein wegweisender EU-Präzedenzfall zu KI-/Sprach-Profiling
- Ungarische politische Partei — 11 Mio. HUF (2019) für rechtswidrige Direktmarketing-E-Mails an Nichtmitglieder
- Telekommunikationsbetreiber — 100 Mio. HUF+ (2020) für unzureichende Zugangskontrollen, die zu einer Verletzung führten
- Mehrere KMU-Webshops — je 1–10 Mio. HUF für fehlende oder rechtswidrige Cookie-Banner, fehlende Datenschutzerklärungen, verspätete Verletzungsmeldungen
- Bank — 250 Mio. HUF (2021) für rechtswidriges Profiling von Kunden ohne Rechtsgrundlage
Praktischer Stack zur Bußgeldvermeidung
Die veröffentlichte Begründung von NAIH-Entscheidungen weist auf ein wiederkehrendes Muster des „Minderungsrabatts“ hin. Verantwortliche, die Folgendes vorweisen, erhalten in der Regel Bußgelder 30–70 % unter dem Tarif:
- Funktionierende DSFA für jede risikoreiche Verarbeitung (Treue-Profiling, verhaltensbasierte Werbung, biometrische Kassen)
- Dokumentiertes Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30, aktuell gehalten
- Funktionierender DSAR-Workflow, der tatsächlich genutzt wurde und die 30-Tage-SLA einhält
- Personenbezogene Daten verschlüsselt im Ruhezustand und bei der Übertragung, mit Nachweis der Schlüsselverwaltung
- Jährliche Schulungsnachweise des Personals, aufgefrischt bei Einstellung und nach jedem Vorfall
- Funktionierendes Verletzungsverzeichnis und mindestens eine dokumentierte Notfallübung pro Jahr
- Nachweis der Selbstanzeige binnen 72 Stunden, wenn eine tatsächliche Verletzung eingetreten ist
- Cookie-Banner mit „Alle ablehnen“ visuell gleichwertig zu „Alle akzeptieren“
10. Die DSGVO-Checkliste für den ungarischen E-Commerce 2026
Ein 25-Punkte-Umsetzungsfahrplan
Die folgende Checkliste destilliert die vorangegangenen neun Abschnitte zu einem praktischen, priorisierten Fahrplan. Die meisten ungarischen KMU können ihn in drei bis sechs Wochen Teilzeitaufwand abarbeiten oder in einer fokussierten Woche mit dem automatisch vorkonfigurierten Compliance-Paket von Zunapro.
Grundlage (Wochen 1–2)
- Kartieren Sie jeden Fluss personenbezogener Daten — Eingang, Speicherung, Auftragsverarbeiter, Ausgang, Aufbewahrung
- Erstellen Sie Ihr Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Artikel 30
- Bestimmen Sie die Rechtsgrundlage nach Artikel 6 für jede Verarbeitungstätigkeit
- Identifizieren Sie jegliche besondere Datenkategorien (Artikel 9) und bestätigen Sie die zusätzliche Rechtsgrundlage
- Entscheiden Sie, ob ein DSB verpflichtend oder freiwillig ist; bestellen Sie ihn und melden Sie ihn ggf. der NAIH
- Richten Sie ein internes Datenschutz-Postfach ein (z. B. [email protected])
Dokumentation (Wochen 2–3)
- Veröffentlichen Sie die ungarische Adatkezelési Tájékoztató (DSGVO Artikel 13–14 + Infogesetz-Verweise)
- Veröffentlichen Sie eine separate Cookie-Richtlinie mit jedem aufgeführten Cookie
- Veröffentlichen Sie AGB (Általános Szerződési Feltételek — ÁSZF) im Einklang mit dem ungarischen Zivilgesetzbuch
- Schließen Sie Auftragsverarbeitungsverträge (AVV) nach Artikel 28 mit jedem Auftragsverarbeiter ab — Hosting, E-Mail, Analyse, CRM, Zahlung, Kurier, Marktplatzbrücken
- Unterzeichnen Sie SCC-Module mit jedem Nicht-EWR-Auftragsverarbeiter und führen Sie für jeden ein Transfer Impact Assessment durch
- Dokumentieren Sie einen Aufbewahrungsplan pro Datenkategorie (8 Jahre für Rechnungen, Marketing-Einwilligung + 5 Jahre als Nachweis, Cookies gemäß deklarierter Gültigkeitsdauer)
Cookie-Einwilligungsebene (Woche 3)
- Setzen Sie ein CMP-Cookie-Banner mit visuell gleichwertigem Alle akzeptieren / Alle ablehnen / Anpassen ein
- Blockieren Sie alle nicht notwendigen Cookies, bis die Einwilligung erteilt ist
- Stellen Sie einen persistenten Link „Cookie-Einstellungen“ in der Fußzeile für den Widerruf der Einwilligung bereit
- Protokollieren Sie jedes Einwilligungsereignis mit Zeitstempel, Banner-Version, Auswahl — zur Prüfung durch die NAIH
Operative Workflows (Wochen 4–5)
- Bauen Sie einen DSAR-Workflow mit Identitätsverifizierung und 30-Tage-SLA-Timer auf
- Bauen Sie ein Playbook zur Verletzungsreaktion auf, abgestimmt auf das NAIH-Online-Formular, 72-Stunden-Timer
- Richten Sie ein Verletzungsverzeichnis für jeden Vorfall ein, meldepflichtig oder nicht
- Konfigurieren Sie die Erfassung der Marketing-Einwilligung mit Double-Opt-in für die Newsletter-Anmeldung
- Konfigurieren Sie granulare Einwilligung pro Verarbeitungszweck an der Kasse — keine gebündelte Einwilligung
Verifizierung (Woche 6)
- Führen Sie eine Planspiel-Notfallübung mit IT, Recht, Kundendienst und DSB durch
- Führen Sie ein internes Audit des Cookie-Banners mit den Browser-Entwicklertools durch
- Reichen Sie eine Test-DSAR von einem wohlgesonnenen Kunden ein und validieren Sie den 30-Tage-Workflow durchgängig
- Planen Sie die nächste jährliche DSGVO-Auffrischungsschulung für das gesamte Personal, das personenbezogene Daten verarbeitet
Zentralisieren Sie die ungarische DSGVO- + NAIH-Compliance in einem Panel
Datenschutzerklärungsgenerator + Cookie-Banner + DSAR-Workflow + Verletzungsverzeichnis + SCC-Register + Aufbewahrungsregeln — vorkonfiguriert für das ungarische Infogesetz 2011 und die veröffentlichten Erwartungen der NAIH. 15-Minuten-Einrichtung, automatische Abstimmung auf das NAIH-Formular.
Ungarisches Compliance-Paket aktivieren →Rechtsverweise — Kurzindex
Die vollständige gesetzliche und entscheidungsbezogene Grundlage dieses Leitfadens, zur Referenz durch Berater und DSB:
| Quelle | Referenz | Relevanz |
|---|---|---|
| GDPR | Verordnung (EU) 2016/679 vom 27. April 2016 | Direkte EU-Verordnung — Volltext |
| Info Act 2011 | Act CXII of 2011 (Infotv.) — zuletzt geändert durch Gesetz XXXVIII von 2018 | Ungarisches Umsetzungsgesetz + NAIH-Struktur |
| ePrivacy | Directive 2002/58/EC — ungarische Umsetzung: Act C of 2003 (Eht.) | Cookie-Einwilligung + elektronische Kommunikation |
| Marketing | Act XLVIII of 2008 on Commercial Advertising (Grtv.) | Ungarische Opt-in-Regeln für Marketing |
| Rechnungslegung | Act C of 2000 on Accounting, Section 169 | 8-jährige Aufbewahrung von Rechnungen |
| Zivilgesetzbuch | Act V of 2013 (Polgári Törvénykönyv) | Allgemeine Verjährung + zivilrechtliche Haftung |
| Strafgesetzbuch | Act C of 2012, Section 219 | Rechtswidrige Verarbeitung personenbezogener Daten — Straftat |
| Schrems II | CJEU Case C-311/18 (16 July 2020) | SCC + Transfer-Impact-Assessment-Doktrin |
| SCCs 2021 | Commission Decision (EU) 2021/914 | Modularer Satz der Standardvertragsklauseln |
| EDPB Guidelines | Leitlinien 03/2022 zu Dark Patterns; 5/2020 zur Einwilligung; viele weitere | Maßgebliche Auslegung über die EU-Datenschutzbehörden hinweg |
Die Tabelle lesen: Die DSGVO ist das operative Fundament; das Infogesetz ergänzt das ungarische Verfahren und die NAIH-Struktur; die ePrivacy- und Marketinggesetze regeln die Einwilligungsflüsse für Cookies und E-Mail; das Rechnungslegungs- und das Zivilgesetzbuch legen Aufbewahrungsuntergrenzen fest; das Strafgesetzbuch ist der Rückhalt letzter Instanz für schwerwiegende Verletzungen. Das Compliance-Modul von Zunapro referenziert jede Zeile dieser Tabelle im Hintergrund.
FAQ zu ungarischer DSGVO & NAIH 2026
Gilt die DSGVO 2026 für ungarische E-Commerce-Shops?
Ja — ausnahmslos. Die DSGVO (Verordnung (EU) 2016/679) gilt unmittelbar für jedes ungarische E-Commerce-Unternehmen, das personenbezogene Daten verarbeitet, was in der Praxis jeden Webshop, jeden Marktplatzverkäufer und jede B2B-Vertriebsplattform bedeutet. Ungarns Gesetz CXII von 2011 (das Infogesetz, Infotv.) setzt die DSGVO national um und fügt spezifische Regeln für Daten des öffentlichen Sektors, nationale Sicherheit und Informationsfreiheit hinzu.
Die NAIH (Nemzeti Adatvédelmi és Információszabadság Hatóság) ist die Aufsichtsbehörde, die beide durchsetzt, mit der Befugnis, verbindliche Entscheidungen und Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Umsatzes zu verhängen.
Was ist die NAIH und welche Befugnisse hat sie?
Die NAIH — Nemzeti Adatvédelmi és Információszabadság Hatóság (Nationale Behörde für Datenschutz und Informationsfreiheit) — ist die ungarische Datenschutzbehörde, errichtet nach dem Infogesetz am 1. Januar 2012. Sie ersetzte den früheren Parlamentskommissar für Datenschutz und Informationsfreiheit.
Die NAIH untersucht Beschwerden, führt Vor-Ort-Audits durch, erlässt verbindliche Entscheidungen, ordnet die Aussetzung oder Beendigung der Datenverarbeitung an und kann Bußgelder auf DSGVO-Niveau von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes verhängen. Ihre Entscheidungen werden auf naih.hu veröffentlicht.
Sind Cookie-Banner 2026 in Ungarn verpflichtend?
Ja. Nach der EU-ePrivacy-Richtlinie (2002/58/EG), umgesetzt durch das Gesetz C von 2003 über die elektronische Kommunikation, und DSGVO Artikel 6 muss jede ungarische Website eine vorherige, freiwillige, spezifische, informierte und unmissverständliche Einwilligung einholen, bevor nicht notwendige Cookies auf dem Gerät eines Nutzers gespeichert oder darauf zugegriffen wird.
Die NAIH hat mehrere Vollzugsentscheidungen erlassen, die klarstellen, dass vorangekreuzte Kästchen, Cookie-Walls, „Weitersurfen = Einwilligung“-Muster und visuell zurückgenommene Ablehnen-Schaltflächen rechtswidrig sind. Die Schaltfläche „Alle ablehnen“ muss so prominent sein wie „Alle akzeptieren“.
Brauche ich eine Datenschutzerklärung auf meinem ungarischen Webshop?
Ja — sie ist verpflichtend nach DSGVO Artikel 13 und 14 sowie dem Infogesetz 2011. Ihre Datenschutzerklärung (Adatkezelési Tájékoztató) muss den Verantwortlichen benennen, jeden Verarbeitungszweck und jede Rechtsgrundlage auflisten, alle Auftragsverarbeiter und Drittlandempfänger nennen, die Speicherdauern angeben und die betroffenen Personen über ihre Rechte und das Recht auf Beschwerde bei der NAIH informieren.
Die ungarischsprachige Version ist für ungarische Kunden erforderlich; eine englische Zweitversion daneben ist bewährte Praxis für den grenzüberschreitenden Verkauf.
Wann muss ich einen Datenschutzbeauftragten (DSB) bestellen?
DSGVO Artikel 37 verlangt einen DSB, wenn (a) der Verantwortliche eine Behörde ist, (b) die Kerntätigkeiten in einer umfangreichen regelmäßigen und systematischen Überwachung betroffener Personen bestehen oder (c) die Kerntätigkeiten eine umfangreiche Verarbeitung besonderer Datenkategorien (Gesundheit, Biometrie, Strafrecht) umfassen. Die meisten reinen E-Commerce-KMU benötigen keinen formellen DSB.
Ungarische Einzelhändler, die jedoch große Treueprogramme, verhaltensbasiertes Profiling betreiben oder sensible Produkte (Apotheke, Gesundheit, politische Affinität) verkaufen, sollten einen bestellen und die Kontaktdaten der NAIH melden. Eine freiwillige Bestellung ist als Glaubwürdigkeitssignal verbreitet.
Welche Betroffenenrechte muss mein ungarischer Webshop achten?
DSGVO Kapitel 3 gewährt acht Betroffenenrechte: Information (Art. 13–14), Auskunft (Art. 15), Berichtigung (Art. 16), Löschung / Recht auf Vergessenwerden (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) und Rechte bei automatisierter Entscheidungsfindung und Profiling (Art. 22).
Ungarische Webshops müssen verifizierte Anfragen innerhalb eines Kalendermonats beantworten (bei komplexen Fällen mit begründeter Mitteilung um zwei Monate verlängerbar). Die NAIH erhält jährlich Hunderte von Beschwerden über ignorierte oder verspätete Antworten.
Was ist die 72-Stunden-Meldepflicht bei Datenschutzverletzungen?
DSGVO Artikel 33 verlangt von Verantwortlichen, die zuständige Aufsichtsbehörde — in Ungarn die NAIH — bei Verletzungen des Schutzes personenbezogener Daten unverzüglich und, sofern möglich, binnen 72 Stunden nach Bekanntwerden der Verletzung zu benachrichtigen. Die NAIH stellt ein Online-Formular zur Meldung von Verletzungen unter naih.hu bereit.
Hat die Verletzung voraussichtlich ein hohes Risiko für die betroffenen Personen zur Folge, verlangt DSGVO Artikel 34 zudem die unmittelbare Benachrichtigung der betroffenen Einzelpersonen in klarer, einfacher ungarischer Sprache. Ein Verletzungsverzeichnis, das jeden Vorfall dokumentiert (meldepflichtig oder nicht), ist nach Artikel 33 Abs. 5 verpflichtend.
Darf ich personenbezogene Daten außerhalb der EU übermitteln?
Nur unter den Bedingungen von DSGVO Kapitel 5. Der häufigste Mechanismus für den ungarischen E-Commerce sind die Standardvertragsklauseln (SCC) der Europäischen Kommission — der modulare Satz von 2021 — ergänzt durch ein Transfer Impact Assessment (TIA) nach dem Schrems-II-Urteil (C-311/18).
Angemessenheitsbeschlüsse decken das Vereinigte Königreich, die Schweiz, Japan, Südkorea, Kanada (kommerziell), Israel und weitere ab. Übermittlungen in die USA können zertifizierte Empfänger unter dem EU-US Data Privacy Framework nutzen, doch ungarische Betreiber sollten US-Übermittlungen sorgfältig prüfen und ergänzende Maßnahmen (Verschlüsselung mit in der EU gehaltenen Schlüsseln, Pseudonymisierung) dokumentieren, wo ein Risiko des US-Regierungszugriffs verbleibt.
Wie hoch können NAIH-Bußgelder tatsächlich ausfallen?
DSGVO Artikel 83 begrenzt Bußgelder auf 20 Millionen € oder 4 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, was höher ist, für die schwersten Verstöße (Einwilligung, besondere Kategorien, Betroffenenrechte, internationale Übermittlungen). Eine niedrigere Stufe begrenzt Bußgelder auf 10 Mio. € oder 2 % für Verstöße bei Dokumentation, Sicherheit und Verletzungsmeldung.
Die NAIH hat seit 2018 Bußgelder in Höhe von mehreren Hundert Millionen HUF gegen Telekommunikationsunternehmen, Banken, Einzelhändler und politische Parteien verhängt. Selbst KMU erhalten routinemäßig Bußgelder von 1–10 Mio. HUF für fehlende Datenschutzerklärungen, defekte Cookie-Banner oder unbeantwortete Betroffenenanfragen.
Was ist das ungarische Infogesetz 2011 (Infotv.) und wie verhält es sich zur DSGVO?
Gesetz CXII von 2011 über informationelle Selbstbestimmung und Informationsfreiheit — das Infogesetz, Infotv. — ist Ungarns grundlegendes Datenschutzgesetz. Es geht der DSGVO um sieben Jahre voraus und wurde 2018 durch Gesetz XXXVIII von 2018 umfassend novelliert, um es an die DSGVO anzupassen und gleichzeitig ungarische Besonderheiten zu öffentlichen Daten, Informationsfreiheit und der Struktur der NAIH zu bewahren.
Die DSGVO gilt unmittelbar für den materiellen Datenschutz; das Infogesetz füllt die Lücken, die die DSGVO den Mitgliedstaaten überlässt, und kodifiziert die Untersuchungs-, Abhilfe- und Verfahrensbefugnisse der NAIH. Beide zusammen zu lesen ist für jedes ungarische Compliance-Programm unerlässlich.
Brauche ich eine gesonderte Einwilligung für Marketing-E-Mails?
Ja. Nach dem Gesetz XLVIII von 2008 über Werbung (Grtv.) und DSGVO Artikel 6 Abs. 1 Buchst. a darf der ungarische E-Commerce Marketing-E-Mails nur an Empfänger senden, die eine vorherige, gesondert dokumentierte Opt-in-Einwilligung erteilt haben.
Die B2C-Ausnahme des „Soft-Opt-in“ aus der ePrivacy-Richtlinie wird in Ungarn eng ausgelegt: sie deckt bestehende Kunden, denselben Verantwortlichen, ähnliche Produkte ab und nur, wenn in jeder Nachricht ein klarer Abmeldelink vorhanden ist. Vorangekreuzte Kästchen an der Kasse sind ausdrücklich rechtswidrig. Double-Opt-in (Bestätigungs-E-Mail nach der Anmeldung) ist bewährte Praxis und wird von der NAIH in Entscheidungen nahezu durchgängig durchgesetzt.
Wie lange darf ich Kundendaten nach einem Verkauf aufbewahren?
DSGVO Artikel 5 Abs. 1 Buchst. e verlangt Speicherbegrenzung — Daten dürfen nur so lange aufbewahrt werden, wie es für den ursprünglichen Zweck erforderlich ist. Das ungarische Rechnungslegungsrecht (Gesetz C von 2000 über die Rechnungslegung, § 169) verlangt, dass rechnungsbezogene Daten 8 Jahre aufbewahrt werden. Marketing-Einwilligungsdaten sollten nur so lange aufbewahrt werden, wie die Einwilligung gültig ist, zuzüglich der Verjährungsfrist für den Nachweis (typischerweise 5 Jahre nach dem ungarischen Zivilgesetzbuch, Gesetz V von 2013).
Von ePrivacy erfasste Cookies sollten ihre deklarierte Gültigkeitsdauer beachten. Zunapro wendet Aufbewahrungsregeln automatisch pro Datenkategorie an — Rechnungen 8 Jahre aufbewahrt, Marketingdaten beim Widerruf der Einwilligung gelöscht + 5-Jahres-Nachweispuffer, anonyme Analysedaten gemäß deklarierter Cookie-Lebensdauer aufbewahrt.
In welcher Sprache müssen meine Datenschutzerklärung und mein Cookie-Banner sein?
Ungarisch — zumindest für Kunden in Ungarn. Die DSGVO verlangt, dass Informationen in „klarer und einfacher Sprache“ bereitgestellt werden, die für die betroffene Person zugänglich ist (Artikel 12 Abs. 1). Für in Ungarn ansässige Verbraucher bedeutet das eine ungarischsprachige Adatkezelési Tájékoztató und ungarischen Cookie-Banner-Text.
Bewährte Praxis für grenzüberschreitende Webshops ist eine primär ungarische Version mit Englisch (und weiteren relevanten mitteleuropäischen Sprachen) als alternativ wählbaren Versionen. Die NAIH hat rein englischsprachige Datenschutzerklärungen in mehreren Vollzugsentscheidungen zu ungarischen Verbraucherdaten als Verstoß gewertet.
Hilft Zunapro bei der DSGVO- & NAIH-Compliance für ungarische Webshops?
Ja. Zunapro wird mit einem ungarnspezifischen Compliance-Paket ausgeliefert: einem konfigurierbaren Cookie-Banner (CMP) mit „Alle ablehnen“ visuell gleichwertig zu „Alle akzeptieren“, einem Datenschutzerklärungsgenerator, der mit Verweisen auf das Infogesetz 2011 vorbefüllt ist, einem Workflow für Betroffenenanfragen (DSAR), einer 72-Stunden-Meldevorlage, abgestimmt auf das NAIH-Formular, einem SCC-gestützten Register für Drittlandübermittlungen und automatisierten Aufbewahrungsregeln, die an die ungarische Rechnungslegung (8 Jahre) und das Marketing (Einwilligung + 5 Jahre) gebunden sind.
Die Einrichtung dauert typischerweise 15 Minuten pro Mandant. Das Compliance-Paket ist mit den ungarischen Marktplatz- und Webshop-Integrationen von Zunapro gebündelt — sehen Sie sich den vollständigen ungarischen Hub an →.
Machen Sie Ihren ungarischen Webshop in 15 Minuten NAIH-audit-bereit
Cookie-Banner · Datenschutzerklärung · DSAR-Workflow · Verletzungsverzeichnis · SCC-Register · Aufbewahrungsregeln — alle vorkonfiguriert für DSGVO + Infogesetz 2011 + ePrivacy. Keine Legal-Tech-Expertise erforderlich, NAIH-formularkonforme Vorlagen inklusive.
🇭🇺 Compliance jetzt aktivieren →Brauchen Sie Hilfe dabei?
Passender Dienst: E-Commerce