Datenschutz ist keine einmalige Pflichtübung
Die Datenschutz-Grundverordnung ist seit 2018 anwendbar. Trotzdem bleibt Datenschutz für viele Unternehmen eine laufende organisatorische Herausforderung. Neue Software, wechselnde Dienstleister, digitale Geschäftsprozesse und der zunehmende Einsatz von KI-Werkzeugen verändern fortlaufend, welche personenbezogenen Daten verarbeitet werden und welche Risiken daraus entstehen.
Entscheidend ist daher nicht, ob ein Unternehmen irgendwann einmal Datenschutzhinweise, Verträge und Verzeichnisse erstellt hat. Entscheidend ist, ob diese Unterlagen noch zur tatsächlichen Arbeitsweise passen.
Die DSGVO verlangt unter anderem rechtmäßige, transparente und zweckgebundene Datenverarbeitung, angemessene Sicherheitsmaßnahmen sowie den Nachweis, dass diese Anforderungen eingehalten werden.
1. Verarbeitungstätigkeiten regelmäßig überprüfen
Das Verzeichnis von Verarbeitungstätigkeiten bildet die Grundlage einer belastbaren Datenschutzorganisation. Es sollte nicht nur die offensichtlichen Prozesse wie Personalverwaltung, Kundenbetreuung oder Buchhaltung enthalten.
Auch folgende Vorgänge werden häufig übersehen:
- Cloud-Dienste und Kollaborationsplattformen
- Newsletter- und CRM-Systeme
- Videokonferenzen
- Bewerbungsportale
- Analyse- und Tracking-Werkzeuge
- externe Supportzugriffe
- KI-Anwendungen
- Softwaretests mit realen Daten
Eine regelmäßige Überprüfung zeigt, ob neue Systeme oder geänderte Abläufe korrekt dokumentiert wurden. Dabei sollte für jede Verarbeitung klar sein, welche Daten betroffen sind, zu welchem Zweck sie verarbeitet werden, auf welcher Rechtsgrundlage dies geschieht und wann sie gelöscht werden.
2. Rechtsgrundlagen nicht pauschal festlegen
Nicht jede Datenverarbeitung lässt sich mit einer Einwilligung begründen. Ebenso wenig sollte pauschal auf ein „berechtigtes Interesse“ verwiesen werden.
Die passende Rechtsgrundlage hängt vom konkreten Zweck ab. Möglich sind beispielsweise:
- die Erfüllung eines Vertrags
- eine gesetzliche Verpflichtung
- ein berechtigtes Interesse
- eine wirksame Einwilligung
Beim berechtigten Interesse ist eine nachvollziehbare Interessenabwägung erforderlich. Bei Einwilligungen muss insbesondere geprüft werden, ob sie freiwillig, informiert, eindeutig und jederzeit widerrufbar sind.
In der Praxis entstehen Probleme häufig dadurch, dass alte Formulare, Datenschutzhinweise oder interne Abläufe unverändert weiterverwendet werden, obwohl sich der Verarbeitungszweck längst verändert hat.
3. Dienstleister und Auftragsverarbeitung kontrollieren
Viele personenbezogene Daten werden heute nicht mehr ausschließlich im eigenen Unternehmen verarbeitet. Hostinganbieter, Cloudplattformen, Newsletterdienste, IT-Betreuer und Softwareanbieter greifen regelmäßig auf personenbezogene Daten zu.
Unternehmen sollten daher prüfen:
- Liegt ein Vertrag zur Auftragsverarbeitung vor?
- Beschreibt der Vertrag die tatsächliche Leistung?
- Sind technische und organisatorische Maßnahmen dokumentiert?
- Werden weitere Unterauftragnehmer eingesetzt?
- Wo werden die Daten gespeichert und verarbeitet?
- Gibt es geregelte Lösch- und Rückgabeprozesse?
Ein unterschriebener Vertrag allein reicht nicht aus. Der Verantwortliche muss sich vergewissern, dass der Dienstleister ausreichende Garantien für eine datenschutzkonforme Verarbeitung bietet.
4. Internationale Datenübermittlungen transparent machen
Besondere Aufmerksamkeit ist erforderlich, wenn Anbieter oder deren Unterauftragnehmer personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten.
Das betrifft nicht nur die offensichtliche Speicherung auf ausländischen Servern. Auch Fernwartung, Support, Analysefunktionen oder konzerninterne Zugriffe können eine Drittlandübermittlung darstellen.
Der Europäische Datenschutzausschuss hat 2025 seine Leitlinien zu Datenübermittlungen an Behörden in Drittländern abgeschlossen. Sie verdeutlichen, dass Unternehmen Übermittlungswege und Zugriffsmöglichkeiten genau bewerten und dokumentieren müssen.
In der Praxis sollten insbesondere folgende Fragen geklärt werden:
- Welche Länder sind beteiligt?
- Welche Übermittlungsgrundlage wird genutzt?
- Sind Standardvertragsklauseln erforderlich?
- Wurde das Schutzniveau im Empfängerland bewertet?
- Sind ergänzende technische oder organisatorische Maßnahmen notwendig?
5. KI-Werkzeuge nicht ungeprüft einsetzen
Generative KI wird zunehmend für Texte, Recherchen, Auswertungen, Kundenkommunikation und interne Dokumente eingesetzt. Dabei können unbeabsichtigt personenbezogene oder vertrauliche Informationen an externe Anbieter übertragen werden.
Vor der Einführung eines KI-Werkzeugs sollte deshalb geklärt werden:
- Welche Eingaben dürfen Beschäftigte vornehmen?
- Werden Eingaben gespeichert oder zum Training genutzt?
- Wo findet die Verarbeitung statt?
- Welche Anbieter und Unterauftragnehmer sind beteiligt?
- Können betroffene Personen ihre Rechte wahrnehmen?
- Ist eine Datenschutz-Folgenabschätzung erforderlich?
Der Europäische Datenschutzausschuss weist darauf hin, dass beim Einsatz von KI-Modellen unter anderem Anonymität, Rechtsgrundlage, Transparenz und die Folgen möglicherweise rechtswidrig erhobener Trainingsdaten bewertet werden müssen.
Auch die BfDI betont, dass Datenschutz bereits bei Auswahl, Entwicklung und Einführung von KI-Systemen berücksichtigt werden sollte.
6. Datenschutz-Folgenabschätzungen frühzeitig prüfen
Eine Datenschutz-Folgenabschätzung ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen verursacht.
Das kann beispielsweise relevant sein bei:
- umfangreicher Überwachung
- systematischer Bewertung von Personen
- Verarbeitung besonders sensibler Daten
- neuen Technologien
- groß angelegter Zusammenführung verschiedener Datenbestände
Die Datenschutz-Folgenabschätzung sollte vor Beginn der Verarbeitung durchgeführt werden. Sie ist keine nachträgliche Begründung, sondern eine strukturierte Risikoanalyse, mit der Risiken erkannt und geeignete Schutzmaßnahmen festgelegt werden.
7. Betroffenenrechte organisatorisch absichern
Auskunfts-, Löschungs-, Berichtigungs- oder Widerspruchsanfragen dürfen nicht erst dann organisatorisch geklärt werden, wenn eine Anfrage eingeht.
Unternehmen benötigen einen nachvollziehbaren Ablauf:
- Anfrage erkennen und dokumentieren
- Identität der anfragenden Person prüfen
- betroffene Systeme und Fachbereiche ermitteln
- Fristen überwachen
- Antwort vollständig und verständlich bereitstellen
Die DSGVO gibt betroffenen Personen mehrere Möglichkeiten, Informationen über die Verarbeitung ihrer Daten zu erhalten oder deren Verarbeitung einzuschränken beziehungsweise zu beenden.
8. Löschfristen tatsächlich umsetzen
Löschkonzepte scheitern häufig nicht an der Theorie, sondern an der technischen Umsetzung.
Typische Schwachstellen sind:
- Daten verbleiben unbegrenzt in E-Mail-Postfächern.
- ehemalige Beschäftigte bleiben in Systemen angelegt.
- Backups und Archivsysteme werden nicht berücksichtigt.
- Test- und Exportdateien werden vergessen.
- personenbezogene Daten werden lokal gespeichert.
- mehrere Systeme besitzen unterschiedliche Löschfristen.
Löschfristen sollten daher nicht nur dokumentiert, sondern Verantwortlichkeiten und technische Abläufe verbindlich festgelegt werden.
9. Technische und organisatorische Maßnahmen aktualisieren
Sicherheitsmaßnahmen müssen zum jeweiligen Risiko passen. Ein Maßnahmenkatalog, der vor mehreren Jahren erstellt wurde, bildet aktuelle Systeme und Bedrohungen häufig nicht mehr ab.
Regelmäßig zu prüfen sind beispielsweise:
- Zugriffs- und Berechtigungskonzepte
- Mehrfaktor-Authentifizierung
- Verschlüsselung
- Protokollierung
- Backup- und Wiederherstellungsverfahren
- Patch- und Schwachstellenmanagement
- mobile Geräte
- Homeoffice-Arbeitsplätze
- Meldewege für Datenschutzverletzungen
Datenschutz und Informationssicherheit sollten dabei nicht getrennt voneinander behandelt werden. Beide Bereiche greifen organisatorisch und technisch ineinander.
Eine praktikable Datenschutzorganisation lebt von Aktualität
Datenschutz wird belastbar, wenn Prozesse, Verantwortlichkeiten und Nachweise regelmäßig überprüft werden. Unternehmen benötigen dafür nicht zwingend immer mehr Dokumente. Sie benötigen vor allem Unterlagen, die verständlich sind und der tatsächlichen Arbeitsweise entsprechen.
Ein sinnvoller Praxischeck beginnt daher mit wenigen Fragen:
- Welche Prozesse haben sich verändert?
- Welche neuen Systeme und Dienstleister werden eingesetzt?
- Wo entstehen neue Datenflüsse?
- Welche Unterlagen sind veraltet?
- Welche Risiken wurden bisher nicht bewertet?
- Wer ist intern für die Umsetzung verantwortlich?
Wer diese Fragen regelmäßig beantwortet, reduziert nicht nur rechtliche Risiken. Klare Datenschutzstrukturen verbessern zugleich Zuständigkeiten, IT-Sicherheit und die Nachvollziehbarkeit betrieblicher Prozesse.
In diesem Beitrag