Ein ehemaliger Kunde verlangt Auskunft über seine Daten, ein Mitarbeiter beschwert sich bei der Datenschutzbehörde, oder die Aufsicht schreibt Sie nach einer Panne an — und mit einem Mal geht es nicht mehr darum, ob Sie „im Prinzip datenschutzkonform" arbeiten, sondern darum, ob Sie es belegen können. Genau hier liegt die Grundlogik der Datenschutz-Grundverordnung: Sie müssen die Einhaltung nicht nur leben, sondern nachweisen. Wer erst dann anfängt, ein Verarbeitungsverzeichnis, Rechtsgrundlagen und technische Maßnahmen zu dokumentieren, wenn die Anfrage schon auf dem Tisch liegt, ist zu spät dran. Dieser Beitrag zeigt Ihnen, welche Grundpflichten jedes Unternehmen treffen, wo die typischen Fallen liegen und wie Sie sie mit vertretbarem Aufwand erfüllen — bevor jemand nachfragt.
Ein Betroffener will wissen, welche Daten Sie über ihn gespeichert haben. Jetzt zeigt sich, ob Ihr Haus einen Überblick hat: Welche Systeme, welche Zwecke, welche Empfänger, welche Löschfristen? Fehlt das Verarbeitungsverzeichnis, wird aus einer Routineanfrage eine hektische Suche quer durch alle Abteilungen — und aus einer nicht fristgerechten Antwort schnell eine Beschwerde bei der Aufsichtsbehörde.
Marketing will ein neues Tool einführen, das Kundendaten analysiert, anreichert und an einen Dienstleister übermittelt. Die entscheidende Frage stellt niemand vorab: Auf welche Rechtsgrundlage stützen wir das? Ohne saubere Grundlage — Einwilligung, Vertrag oder tragfähiges berechtigtes Interesse — ist die Verarbeitung von Anfang an rechtswidrig, und das lässt sich nachträglich kaum heilen.
Ein E-Mail-Verteiler ging offen heraus, ein Laptop wurde gestohlen, ein Angreifer kam ins System. Die Aufsichtsbehörde fragt nicht nur, was passiert ist, sondern welche technischen und organisatorischen Maßnahmen Sie vorher getroffen hatten. Wer hier nichts dokumentiert vorlegen kann, steht doppelt schlecht da — der Schaden ist das eine, der fehlende Nachweis der Vorsorge das andere.
Am Anfang steht ein Satz, der die gesamte Verordnung trägt: Personenbezogene Daten dürfen Sie nur nach bestimmten Grundsätzen verarbeiten. Diese Grundsätze sind kein abstraktes Beiwerk, sondern der Maßstab, an dem jede einzelne Verarbeitung gemessen wird (Art. 5 Abs. 1 DSGVO). Sie müssen Daten rechtmäßig, nach Treu und Glauben und transparent verarbeiten (lit. a), für festgelegte, eindeutige und legitime Zwecke erheben und nicht zweckwidrig weiterverwenden — die Zweckbindung (lit. b). Sie dürfen nur so viele Daten erheben, wie der Zweck wirklich verlangt — die Datenminimierung (lit. c). Die Daten müssen sachlich richtig und auf dem aktuellen Stand sein (lit. d), dürfen nur so lange gespeichert werden, wie es für den Zweck erforderlich ist — die Speicherbegrenzung (lit. e) —, und sie sind durch angemessene Maßnahmen zu schützen — Integrität und Vertraulichkeit (lit. f).
Der Grundsatz, der die meisten unterschätzen, ist der letzte: die Rechenschaftspflicht. Der Verantwortliche ist nicht nur für die Einhaltung der Grundsätze verantwortlich, er muss deren Einhaltung auch nachweisen können (Art. 5 Abs. 2 DSGVO). Das dreht die Beweislast praktisch um: Im Zweifel müssen nicht die Aufsicht oder der Betroffene beweisen, dass Sie etwas falsch gemacht haben — Sie müssen belegen, dass Sie es richtig gemacht haben. Ein Datenschutzkonzept, das nur im Kopf des Geschäftsführers existiert, ist deshalb wertlos: Was nicht dokumentiert ist, gilt im Ernstfall als nicht vorhanden.
Praxis Die teuerste Falle im Datenschutz ist nicht der spektakuläre Hackerangriff, sondern die fehlende Dokumentation. Fragen Sie sich für jede wesentliche Verarbeitung: Könnte ich morgen einer Aufsichtsbehörde schriftlich belegen, welchen Zweck sie verfolgt, auf welche Rechtsgrundlage sie sich stützt, welche Daten sie erfasst und wie lange sie gespeichert bleiben? Wo Sie zögern, liegt Ihr Handlungsbedarf — und zwar, bevor die Anfrage kommt.
Der Grundsatz der Rechtmäßigkeit hat einen harten Kern: Eine Verarbeitung ist nur erlaubt, wenn sie sich auf mindestens eine gesetzliche Erlaubnis stützt (Art. 6 Abs. 1 DSGVO). Für Unternehmen sind vier davon der Regelfall. Die Einwilligung des Betroffenen (lit. a) — die freiwillig, informiert und jederzeit widerruflich sein muss und deshalb weniger stabil ist, als man denkt. Die Erforderlichkeit zur Erfüllung eines Vertrags oder für vorvertragliche Maßnahmen (lit. b) — die tragende Grundlage für die meisten Kunden- und Bestelldaten. Die Erforderlichkeit zur Erfüllung einer rechtlichen Verpflichtung (lit. c) — etwa steuer- oder handelsrechtliche Aufbewahrungspflichten. Und das berechtigte Interesse Ihres Unternehmens oder eines Dritten (lit. f), das aber nur trägt, wenn die Interessen und Grundrechte des Betroffenen nicht überwiegen — hier ist eine echte, dokumentierte Abwägung nötig, keine Behauptung.
Die zweite große Falle nach der fehlenden Dokumentation: die Verarbeitung ohne Rechtsgrundlage. Sie entsteht fast nie aus bösem Willen, sondern aus Selbstverständlichkeit. Ein neues Tool wird eingeführt, ein Datensatz für einen neuen Zweck weiterverwendet, eine Kundenliste für Werbung genutzt — ohne dass jemand vorab prüft, worauf sich das stützt. Wer die Rechtsgrundlage erst sucht, wenn die Verarbeitung schon läuft, hat oft keine belastbare mehr: Auf die Einwilligung kann man sich nachträglich nicht berufen, und das berechtigte Interesse trägt nicht jede Datensammelei. Die Rechtsgrundlage gehört vor die Verarbeitung, nicht dahinter — und sie gehört, wegen der Rechenschaftspflicht, festgehalten.
Datenschutz ist zu einem guten Teil Transparenz. Wenn Sie Daten bei der betroffenen Person erheben, müssen Sie sie zum Zeitpunkt der Erhebung über eine ganze Reihe von Punkten informieren (Art. 13 DSGVO): wer für die Verarbeitung verantwortlich ist, gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten, die Zwecke und die Rechtsgrundlage der Verarbeitung, bei Stützung auf das berechtigte Interesse dieses Interesse selbst, die Empfänger oder Kategorien von Empfängern, die Speicherdauer oder die Kriterien dafür, die Betroffenenrechte und das Beschwerderecht bei der Aufsichtsbehörde. In der Praxis erfüllen Sie das über eine verständliche Datenschutzerklärung — auf der Website, im Bestellprozess, im Kontaktformular, in der Bewerbung.
Die Informationspflicht ist mehr als eine Formalie: Sie ist Ausdruck des Transparenzgrundsatzes und zugleich der erste Punkt, den Aufsichtsbehörden und abmahnfreudige Dritte prüfen, weil er von außen sichtbar ist. Eine veraltete oder unvollständige Datenschutzerklärung, die neue Verarbeitungen — etwa ein neues Analyse-Tool oder einen neuen Dienstleister — nicht abbildet, ist deshalb ein unnötig offenes Einfallstor.
Wenn ein einziges Dokument im Zentrum der Rechenschaftspflicht steht, dann dieses: das Verzeichnis von Verarbeitungstätigkeiten. Jeder Verantwortliche führt ein Verzeichnis aller Verarbeitungstätigkeiten in seiner Zuständigkeit (Art. 30 Abs. 1 DSGVO). Darin gehören unter anderem: Name und Kontaktdaten des Verantwortlichen und gegebenenfalls des Datenschutzbeauftragten, die Zwecke der Verarbeitung, eine Beschreibung der Kategorien betroffener Personen und Datenkategorien, die Kategorien von Empfängern, gegebenenfalls Übermittlungen in Drittländer, möglichst die Löschfristen und möglichst eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (Art. 30 Abs. 1 lit. a–g DSGVO). Das Verzeichnis ist schriftlich — auch elektronisch — zu führen und der Aufsichtsbehörde auf Anfrage vorzulegen.
Der verbreitetste Irrtum betrifft die Ausnahme für kleine Unternehmen. Zwar gelten die Verzeichnispflichten grundsätzlich nicht für Unternehmen oder Einrichtungen, die weniger als 250 Mitarbeiter beschäftigen (Art. 30 Abs. 5 DSGVO). Diese Ausnahme greift aber nur, wenn keine der drei Rückausnahmen vorliegt: Sie entfällt, sobald die Verarbeitung ein Risiko für die Rechte und Freiheiten der Betroffenen birgt, sobald sie nicht nur gelegentlich erfolgt oder sobald besondere Datenkategorien (etwa Gesundheits- oder Beschäftigtendaten) verarbeitet werden. Da praktisch jedes Unternehmen laufend — also nicht nur gelegentlich — Kunden- und Beschäftigtendaten verarbeitet, läuft die vermeintliche Befreiung in der Realität fast immer leer. Verlassen Sie sich nicht auf die Zahl 250; für die allermeisten Betriebe ist das Verzeichnis Pflicht.
Praxis Behandeln Sie das Verzeichnis nicht als lästige Pflichtübung, sondern als Ihr zentrales Steuerungsinstrument. Wer sauber erfasst, welche Verarbeitung zu welchem Zweck auf welcher Rechtsgrundlage mit welchen Empfängern und Löschfristen läuft, hat damit zugleich die Antwort auf Auskunftsanfragen, die Basis für die Datenschutzerklärung und den Nachweis für die Aufsicht. Ein gepflegtes Verzeichnis ist die günstigste Versicherung im Datenschutz.
Neben den Grundsätzen schulden Sie ein angemessenes Schutzniveau für die Daten. Verantwortliche und Auftragsverarbeiter treffen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 Abs. 1 DSGVO). Die Verordnung nennt beispielhaft die Pseudonymisierung und Verschlüsselung, die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sicherzustellen, die rasche Wiederherstellbarkeit nach einem Zwischenfall und ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit dieser Maßnahmen. Wichtig ist der risikobasierte Ansatz: Es gibt keinen starren Pflichtkatalog, den man abhaken kann. Maßstab sind Stand der Technik, Kosten sowie Art, Umfang und Risiko der Verarbeitung — ein Online-Shop mit Zahlungsdaten schuldet mehr als ein Handwerksbetrieb mit einer kleinen Kundenkartei. Entscheidend ist auch hier: Die getroffenen Maßnahmen gehören dokumentiert, sonst lassen sie sich im Ernstfall nicht nachweisen.
Ob Sie einen Datenschutzbeauftragten benennen müssen, ist keine Frage des Bauchgefühls. Nach der Verordnung ist die Benennung unter anderem dann Pflicht, wenn die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen oder in der umfangreichen Verarbeitung besonderer Datenkategorien besteht (Art. 37 Abs. 1 DSGVO). Für deutsche Unternehmen kommt eine zusätzliche, oft entscheidende Schwelle hinzu: Ergänzend ist ein Datenschutzbeauftragter zu benennen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG); unabhängig von dieser Zahl greift die Pflicht bei bestimmten risikoträchtigen Verarbeitungen. Der Datenschutzbeauftragte kann eigener Beschäftigter oder ein externer Dienstleister sein (Art. 37 Abs. 6 DSGVO). Prüfen Sie diese Schwellen bewusst — eine unterlassene Benennung ist ein eigenständiger, bußgeldbewehrter Verstoß.
Die Grundpflichten haben ihr Gegenstück in den Rechten der Betroffenen — und die richten sich direkt an Sie. Betroffene können Auskunft über die zu ihnen gespeicherten Daten verlangen, deren Berichtigung, unter Voraussetzungen die Löschung, die Einschränkung der Verarbeitung, die Datenübertragbarkeit sowie den Widerspruch gegen bestimmte Verarbeitungen; hinzu kommen Vorgaben für automatisierte Entscheidungen (Art. 12 bis 22 DSGVO). Für die Praxis der Geschäftsführung zählt vor allem eines: Sie müssen organisatorisch reagieren können — Anfragen erkennen, fristgerecht beantworten und die Umsetzung belegen. Ein Unternehmen, das nicht weiß, wo welche Daten liegen, kann diese Rechte nicht bedienen; auch deshalb ist das Verarbeitungsverzeichnis so zentral. Die einzelnen Rechte — insbesondere Auskunft und Löschung — sind je für sich ein eigenes Thema; hier genügt der Überblick, dass Ihre internen Abläufe darauf vorbereitet sein müssen.
Warum das alles kein Papierkram für die Schublade ist, zeigt der Sanktionsrahmen. Die Datenschutz-Grundverordnung kennt zwei Bußgeldstufen, und die Zuordnung ist kein Zufall. Für Verstöße gegen Organisationspflichten — etwa das Verzeichnis von Verarbeitungstätigkeiten (Art. 30), die Datensicherheit (Art. 32) oder die Benennung des Datenschutzbeauftragten (Art. 37) — sieht die Verordnung Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des Vorjahres vor, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 DSGVO).
Für die schwerwiegenderen Verstöße gegen die Grundsätze und die Rechtsgrundlagen der Verarbeitung — also Art. 5 und Art. 6 — sowie gegen die Betroffenenrechte gilt der doppelte Rahmen: bis zu 20 Millionen Euro oder 4 Prozent des gesamten weltweit erzielten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Für umsatzstarke Unternehmen ist der prozentuale Maßstab der bedrohlichere; er knüpft an den Konzernumsatz an, nicht an den Gewinn. Bei der Höhe berücksichtigt die Aufsicht unter anderem Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, die getroffenen technischen und organisatorischen Maßnahmen und die Zusammenarbeit mit der Behörde (Art. 83 Abs. 2 DSGVO) — wer nachweisbar vorgesorgt und kooperiert hat, steht spürbar besser da als wer nichts vorzuweisen hat.
Praxis Der Bußgeldrahmen erklärt, warum sich die Vorsorge rechnet: Die dokumentierten technischen und organisatorischen Maßnahmen fließen ausdrücklich in die Bußgeldbemessung ein. Ein sauber geführtes Datenschutzkonzept senkt also nicht nur das Risiko eines Verstoßes, sondern auch die Höhe einer möglichen Buße, falls doch etwas passiert. Nachweisbare Vorsorge ist bares Geld.
Erfassen Sie systematisch, welche personenbezogenen Daten Ihr Unternehmen zu welchen Zwecken verarbeitet, wer beteiligt ist und wohin die Daten fließen (Art. 30 DSGVO). Dieses Verzeichnis ist die Grundlage für alles Weitere — für Rechtsgrundlagen, Informationspflichten, Auskunftsanfragen und den Nachweis gegenüber der Aufsicht.
Ordnen Sie jeder Verarbeitung eine tragfähige Rechtsgrundlage zu — Einwilligung, Vertrag, rechtliche Verpflichtung oder berechtigtes Interesse (Art. 6 Abs. 1 DSGVO). Beim berechtigten Interesse dokumentieren Sie die Abwägung. Was sich nicht sauber stützen lässt, gehört auf den Prüfstand, bevor die Aufsicht es tut.
Sorgen Sie für eine verständliche, vollständige und aktuelle Datenschutzerklärung an allen Erhebungspunkten — Website, Verträge, Formulare, Bewerbungen (Art. 13 DSGVO). Prüfen Sie sie immer dann neu, wenn eine neue Verarbeitung, ein neues Tool oder ein neuer Dienstleister hinzukommt.
Bestimmen Sie das Schutzniveau nach dem Risiko Ihrer Verarbeitung und dokumentieren Sie die getroffenen Maßnahmen — von Zugriffsrechten über Verschlüsselung bis zu Backup und Wiederherstellung (Art. 32 DSGVO). Die Dokumentation ist Teil der Pflicht, nicht Kür.
Prüfen Sie anhand von Art. 37 DSGVO und § 38 BDSG, ob Sie einen Datenschutzbeauftragten benennen müssen, und legen Sie fest, wer im Haus Anfragen und Pannen bearbeitet. Klare Zuständigkeiten sind der Unterschied zwischen einer souveränen und einer chaotischen Reaktion im Ernstfall.
Der Aufwand richtet sich danach, wo Ihr Unternehmen steht. Ein Betrieb, der noch bei null anfängt — kein Verzeichnis, keine geordneten Rechtsgrundlagen, veraltete Datenschutzerklärung —, hat mehr aufzuholen als eines, das nur einzelne Bausteine nachschärfen muss. Die gute Nachricht: Der weitaus größte Teil ist eine einmalige Aufbauleistung, die anschließend nur noch gepflegt wird. Und die Vorsorge ist fast immer deutlich günstiger als die Reaktion — ein Verfahren mit der Aufsichtsbehörde, ein Bußgeldbescheid oder eine Auseinandersetzung um Schadenersatz bindet ungleich mehr Zeit und Geld als das rechtzeitige Aufsetzen der Grundpflichten.
Feste Paketpreise nennen wir bewusst nicht: Ob es um den Aufbau eines Datenschutzkonzepts für ein junges Unternehmen geht, um die Prüfung einer einzelnen geplanten Verarbeitung oder um die Verteidigung in einem bereits laufenden Aufsichtsverfahren, macht für Aufwand und Vorgehen den entscheidenden Unterschied. Sie erfahren die Größenordnung und eine ehrliche Einschätzung, welcher Weg für Sie sinnvoll ist, sobald wir wissen, wie Ihr Haus aufgestellt ist und worum es konkret geht.
Ja. Die Grundpflichten — Grundsätze (Art. 5 DSGVO), Rechtsgrundlage für jede Verarbeitung (Art. 6 DSGVO), Information der Betroffenen (Art. 13 DSGVO) und angemessene Datensicherheit (Art. 32 DSGVO) — treffen jedes Unternehmen, das personenbezogene Daten verarbeitet, unabhängig von der Größe. Nur einzelne Pflichten wie das Verarbeitungsverzeichnis kennen eine Ausnahme für kleinere Betriebe, und die greift in der Praxis selten (Art. 30 Abs. 5 DSGVO).
In aller Regel ja. Die Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern gilt nur, wenn keine der Rückausnahmen vorliegt (Art. 30 Abs. 5 DSGVO). Sie entfällt bereits, wenn die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko birgt oder besondere Datenkategorien betrifft. Da praktisch jedes Unternehmen laufend Kunden- und Beschäftigtendaten verarbeitet, ist das Verzeichnis für die meisten Betriebe Pflicht.
Sie müssen die Einhaltung der Datenschutzgrundsätze nicht nur gewährleisten, sondern auch nachweisen können (Art. 5 Abs. 2 DSGVO). Praktisch heißt das: Zwecke, Rechtsgrundlagen, Löschfristen und Sicherheitsmaßnahmen gehören dokumentiert. Im Zweifel liegt es an Ihnen zu belegen, dass Sie die Vorgaben eingehalten haben — was nicht dokumentiert ist, gilt im Ernstfall als nicht vorhanden.
Das hängt von Ihrer Tätigkeit und Größe ab. Nach der Verordnung ist die Benennung unter anderem bei umfangreicher systematischer Überwachung oder umfangreicher Verarbeitung besonderer Datenkategorien Pflicht (Art. 37 Abs. 1 DSGVO). In Deutschland kommt hinzu: Ein Datenschutzbeauftragter ist zu benennen, sobald in der Regel mindestens 20 Personen ständig mit automatisierter Datenverarbeitung beschäftigt sind (§ 38 Abs. 1 BDSG), und unabhängig davon bei bestimmten risikoträchtigen Verarbeitungen.
Es gibt zwei Stufen. Verstöße gegen Organisationspflichten wie das Verzeichnis oder die Datensicherheit können mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4 DSGVO). Verstöße gegen die Grundsätze und Rechtsgrundlagen der Verarbeitung liegen im höheren Rahmen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO) — jeweils der höhere Betrag. Nachweisbare Vorsorge wirkt bußgeldmindernd (Art. 83 Abs. 2 DSGVO).
Sie hören von uns, meist innerhalb von 24 Stunden, werktags garantiert innerhalb von 48. Gerade wenn eine Anfrage der Aufsichtsbehörde oder eines Betroffenen im Raum steht, zählt die richtige Reihenfolge — schildern Sie die Lage lieber früh, bevor Fristen laufen.
„Der Datenschutz scheitert selten am fehlenden Willen — er scheitert daran, dass niemand die Pflichten aufschreibt, bevor jemand danach fragt. Wer Verzeichnis, Rechtsgrundlagen und Sicherheitsmaßnahmen einmal sauber aufsetzt und pflegt, nimmt der Aufsichtsbehörde den Angriff, bevor sie ihn führen kann", sagt Rechtsanwalt Sebastian Müller.
Schildern Sie kurz, worum es geht — Sie erhalten eine erste Einschätzung. Sie hören von uns, meist innerhalb von 24 Stunden, werktags garantiert innerhalb von 48.
Anliegen kurz schildern