DSGVO Checkliste für Unternehmen: 12 Punkte, die Aufsichtsbehörden prüfen

Wer die DSGVO einhalten muss und wer prüft

Die Datenschutz-Grundverordnung, Verordnung (EU) 2016/679, gilt unmittelbar für jedes Unternehmen, das personenbezogene Daten verarbeitet. Eine Mindestgröße gibt es nicht: Kundendaten, Bewerbungen, Lohnabrechnung, Newsletter oder die Videoüberwachung am Eingang fallen alle darunter. In Deutschland ergänzt das Bundesdatenschutzgesetz (BDSG) die Verordnung, unter anderem beim Datenschutzbeauftragten und beim Beschäftigtendatenschutz. Für Cookies und ähnliche Technologien gilt zusätzlich das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).

Für Unternehmen der Privatwirtschaft sind grundsätzlich die Datenschutzaufsichtsbehörden der Länder zuständig, für Telekommunikations- und Postdienstleister die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI). Die Behörden werden häufig aufgrund von Beschwerden Betroffener oder nach gemeldeten Datenpannen tätig, führen aber auch anlasslose Prüfungen durch. Bußgelder können nach Art. 83 DSGVO bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes betragen, wobei die Behörden die Höhe nach Schwere, Dauer und Zusammenarbeit im Einzelfall bemessen.

Punkte 1 bis 3: Verarbeitungsverzeichnis, Rechtsgrundlagen, Informationspflichten

Punkt 1 ist das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Es beschreibt für jede Verarbeitung Zweck, Kategorien von Betroffenen und Daten, Empfänger, Drittlandübermittlungen, Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten greift nur, wenn die Verarbeitung gelegentlich erfolgt und kein Risiko birgt. Lohnabrechnung und Kundenverwaltung sind nie gelegentlich, deshalb braucht praktisch jedes Unternehmen ein Verzeichnis. Es ist regelmäßig das erste Dokument, das eine Behörde anfordert.

Punkt 2 sind die Rechtsgrundlagen nach Art. 6 DSGVO. Jede Verarbeitung braucht eine: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigtes Interesse. Ein häufiger Fehler ist, alles auf Einwilligungen zu stützen, obwohl die Verarbeitung für den Vertrag ohnehin erforderlich ist. Wer sich auf berechtigte Interessen beruft, sollte die Interessenabwägung schriftlich festhalten. Bei Einwilligungen muss nachweisbar sein, wann, wie und mit welchem Text sie erteilt wurden.

Punkt 3 sind die Informationspflichten nach Art. 13 und 14. Betroffene müssen bei der Erhebung erfahren, wer verantwortlich ist, zu welchen Zwecken und auf welcher Rechtsgrundlage Daten verarbeitet werden, wer sie erhält, wie lange sie gespeichert werden und welche Rechte bestehen. Das betrifft nicht nur die Datenschutzerklärung der Website, sondern auch Bewerbungsprozesse, Beschäftigte, Kunden im Laden und die Videoüberwachung.

Punkte 4 bis 6: Datenschutzbeauftragter, DSFA, Auftragsverarbeitung

Punkt 4 ist der Datenschutzbeauftragte. Nach Art. 37 DSGVO ist er Pflicht, wenn die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen oder in der umfangreichen Verarbeitung besonderer Kategorien von Daten besteht. In Deutschland verschärft § 38 BDSG die Pflicht: Ein Datenschutzbeauftragter ist zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Personenzahl besteht die Pflicht, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen oder Daten geschäftsmäßig zur Übermittlung oder für Markt- und Meinungsforschung verarbeitet werden. Die Kontaktdaten sind zu veröffentlichen und der Aufsichtsbehörde mitzuteilen.

Punkt 5 ist die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35. Sie ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt, etwa bei umfangreichem Profiling, systematischer Überwachung oder der Verarbeitung sensibler Daten in großem Umfang. Die deutschen Aufsichtsbehörden haben eine Liste von Verarbeitungen veröffentlicht, für die eine DSFA stets durchzuführen ist. Prüfen Sie diese Liste, bevor Sie neue Systeme wie Mitarbeiter-Tracking oder KI-gestützte Auswertungen einführen.

Punkt 6 ist die Auftragsverarbeitung nach Art. 28. Jeder Dienstleister, der personenbezogene Daten im Auftrag verarbeitet, also Cloud-Anbieter, Lohnbuchhaltung, Hosting, CRM, Newsletter-Tool oder IT-Wartung, braucht einen Vertrag mit den Mindestinhalten des Art. 28 Abs. 3. Außerdem muss das Unternehmen den Dienstleister sorgfältig ausgewählt haben und seine Garantien für die Datensicherheit prüfen können. In der Praxis fehlen solche Verträge besonders oft bei kleineren Tools, die einzelne Abteilungen selbst eingeführt haben.

Punkte 7 bis 9: Datenpannen, Betroffenenrechte, Drittlandtransfer

Punkt 7 sind Datenpannen nach Art. 33 und 34. Eine Verletzung des Schutzes personenbezogener Daten muss der zuständigen Aufsichtsbehörde möglichst binnen 72 Stunden nach Bekanntwerden gemeldet werden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Bei hohem Risiko sind auch die Betroffenen selbst zu benachrichtigen. Jede Panne, auch eine nicht meldepflichtige, ist intern zu dokumentieren. Ohne vorab festgelegten Ablauf mit Zuständigkeiten und Bewertungskriterien ist die 72-Stunden-Frist kaum einzuhalten.

Punkt 8 sind die Betroffenenrechte nach Art. 15 bis 22: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Anfragen sind grundsätzlich innerhalb eines Monats zu beantworten, eine Verlängerung ist nur in begründeten Fällen möglich. Viele Beschwerden bei den Aufsichtsbehörden entstehen, weil eine Auskunftsanfrage unbeantwortet blieb oder unvollständig war. Ein klarer Eingangskanal, ein Verfahren zur Identitätsprüfung und eine Übersicht, in welchen Systemen Daten liegen, verhindern das.

Punkt 9 ist der Drittlandtransfer nach Kapitel V. Werden Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet oder ist ein Zugriff von dort möglich, braucht es eine Grundlage: einen Angemessenheitsbeschluss der EU-Kommission, für US-Anbieter etwa die Zertifizierung nach dem EU-US Data Privacy Framework, oder Standardvertragsklauseln mit einer Bewertung des Transfers. Unternehmen sollten wissen, welche Dienste Daten in Drittländer übermitteln und auf welcher Grundlage.

Punkte 10 bis 12: TOM, Löschkonzept, Rechenschaftspflicht

Punkt 10 sind die technischen und organisatorischen Maßnahmen (TOM) nach Art. 32. Die DSGVO verlangt ein dem Risiko angemessenes Schutzniveau und nennt beispielhaft Verschlüsselung, Pseudonymisierung, Verfügbarkeit, Belastbarkeit, Wiederherstellbarkeit und regelmäßige Überprüfung der Wirksamkeit. Nach einer Datenpanne fragen Behörden gezielt, welche Maßnahmen bestanden. Fehlende Mehr-Faktor-Authentifizierung, unverschlüsselte Laptops oder ungetestete Backups sind schwer zu rechtfertigen.

Punkt 11 ist das Löschkonzept. Der Grundsatz der Speicherbegrenzung aus Art. 5 verlangt, dass Daten nicht länger gespeichert werden als nötig. Das bedeutet konkrete Fristen je Datenkategorie, abgestimmt auf gesetzliche Aufbewahrungspflichten aus Handels- und Steuerrecht, und einen Prozess, der die Löschung tatsächlich auslöst. Bewerbungsunterlagen, die Jahre nach dem Verfahren noch im Postfach liegen, sind ein klassischer Befund.

Punkt 12 ist die Rechenschaftspflicht nach Art. 5 Abs. 2 und Art. 24. Das Unternehmen muss die Einhaltung aller Grundsätze nachweisen können. Dazu gehören aktuelle Richtlinien, Schulungen mit Teilnahmenachweisen, Verpflichtungen der Beschäftigten auf die Vertraulichkeit und eine regelmäßige Überprüfung der Dokumentation. Was nicht dokumentiert ist, gilt im Zweifel als nicht umgesetzt.

Typische Befunde in kleinen und mittleren Unternehmen

Die Tätigkeitsberichte der Aufsichtsbehörden zeigen, dass es in KMU selten um vorsätzliche Verstöße geht. Meist fehlt schlicht die Organisation. Häufig tauchen diese Punkte auf:

• Verarbeitungsverzeichnis aus einer Vorlage, das die tatsächlichen Systeme und Prozesse nicht abbildet.
• Kein Vertrag zur Auftragsverarbeitung mit Steuerberatung, Lohnbüro, Hosting oder Software-Anbietern.
• E-Mails an große Verteiler mit offen sichtbaren Empfängeradressen.
• Cookie-Banner, die Tracking bereits vor der Einwilligung auslösen.
• Videoüberwachung ohne Hinweisschild oder mit Erfassung öffentlicher Flächen.
• Auskunftsanfragen, die niemand zuständig bearbeitet.

So gehen Sie die Checkliste pragmatisch an

Beginnen Sie mit dem Verarbeitungsverzeichnis, weil es alle anderen Punkte vorbereitet: Wer weiß, welche Daten wo und wofür verarbeitet werden, kann Rechtsgrundlagen zuordnen, Auftragsverarbeiter identifizieren, Drittlandtransfers erkennen und Löschfristen festlegen. Danach folgen die Prozesse, die unter Zeitdruck funktionieren müssen, also Datenpannen und Betroffenenanfragen. Planen Sie eine jährliche Überprüfung ein, denn mit jedem neuen Tool ändert sich das Bild.

Eine kostenlose Selbstbewertung auf baltum.ai zeigt Ihnen, welche der zwölf Punkte in Ihrem Unternehmen bereits abgedeckt sind und wo Sie zuerst ansetzen sollten.

Dieser Artikel dient der allgemeinen Information und ist keine Rechtsberatung. baltum.ai ist eine unabhängige Software, keine Zertifizierungsstelle.