Bei einer aufsichtsbehördlichen Prüfung zählt nicht allein, ob Datenschutzdokumente vorhanden sind. Es ist entscheidend, ob das Unternehmen nachvollziehbar belegen kann, dass seine Datenschutzorganisation aktuell ist, die festgelegten Prozesse funktionieren und die zuständigen Personen ihre Aufgaben kennen.
In vielen Unternehmen ist die Datenschutzdokumentation über Jahre gewachsen. In einem zentralen Ordner finden sich Schulungsprotokolle, verschiedene Fassungen von Datenschutzerklärungen, Vereinbarungen zur Auftragsverarbeitung, Richtlinien und zahlreiche Vorlagen.
Eine umfangreiche Ablage vermittelt zunächst den Eindruck, dass Datenschutz umfassend dokumentiert ist. Bei genauerer Prüfung zeigt sich jedoch: Das aktuelle Löschkonzept ist nicht auffindbar. Bei den technischen und organisatorischen Maßnahmen ist unklar, wer sie zuletzt geprüft oder freigegeben hat. Neue Software oder KI-Tools wurden nicht in das Verzeichnis von Verarbeitungstätigkeiten aufgenommen, Verarbeitungen nicht aktualisiert.
Die entscheidende Frage ist also nicht: „Haben wir Datenschutzdokumente?“
Die Frage ist: „Haben wir die richtigen Dokumente und können wir nachweisen, dass die Prozesse im Unternehmen tatsächlich funktionieren?“
Datenschutz muss nicht nur umgesetzt, sondern auch nachgewiesen werden
Nach dem Grundsatz der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) müssen Unternehmen die Einhaltung der datenschutzrechtlichen Anforderungen nachweisen können. Art. 32 DSGVO verlangt zudem geeignete technische und organisatorische Maßnahmen (Sicherheit der Verarbeitung), die regelmäßig überprüft und bei Bedarf aktualisiert werden müssen.
Im Rahmen ihrer gesetzlichen Befugnisse können Datenschutzaufsichtsbehörden Informationen und Dokumente anfordern. Aber auch Kunden und potenzielle Interessenten, verlangen etwa im Rahmen von Ausschreibungen, Vertragsverhandlungen oder Lieferantenprüfungen, Einsicht in die Datenschutzdokumentationen und entsprechende Nachweise. Die Unternehmen müssen daher in der Lage sein, ihre Datenschutzorganisation nachvollziehbar darzustellen und die Wirksamkeit der getroffenen Maßnahmen plausibel zu belegen. Die erforderlichen Informationen sollten nicht erst unter Zeitdruck aus verschiedenen Abteilungen, E-Mail-Postfächern und Dateiablagen zusammengetragen und dokumentiert werden müssen.
Es genügt dabei nicht, lediglich das Verzeichnis von Verarbeitungstätigkeiten, ein Löschkonzept oder die Vereinbarungen zur Auftragsverarbeitung vorzuhalten. Die Dokumente und Nachweise müssen den tatsächlichen Stand im Unternehmen abbilden, mit den betrieblichen Abläufen übereinstimmen und einer fachlichen Prüfung standhalten.
Dazu gehört insbesondere, dass
- Verantwortlichkeiten eindeutig geregelt sind,
- Freigaben und Entscheidungen dokumentiert werden,
- Aktualisierungen nachvollziehbar sind,
- die relevanten Prozesse im Unternehmen bekannt sind und
- die tatsächliche Umsetzung überprüft wird.
Viele Dokumente sind noch kein Datenschutzmanagement
In der Praxis entsteht Datenschutzorganisation häufig nicht nach einem einheitlichen Konzept, sondern anlassbezogen. Neue Anwendungen werden eingeführt, Fachbereiche erstellen eigene Vorlagen, Zuständigkeiten verändern sich und Dokumente werden an unterschiedlichen Orten abgelegt. Über die Jahre entsteht auf diese Weise eine umfangreiche Dokumentensammlung. Ihr Nachweiswert bleibt jedoch begrenzt, wenn nicht mehr erkennbar ist,
- welche Fassung aktuell gilt (Dokumentenlenkung),
- wer für den Inhalt verantwortlich ist (Process Owner),
- wann die letzte Prüfung erfolgte (Audits),
- wer eine Regelung freigegeben hat,
- welche Fachbereiche betroffen sind und
- ob der beschriebene Prozess tatsächlich umgesetzt wird.
Auch eine fachlich richtige Richtlinie besitzt nur einen begrenzten praktischen Wert, wenn sie im Unternehmen nicht bekannt ist und gelebt wird. Eine Richtlinie zur Bearbeitung von Betroffenenanfragen hilft beispielsweise nur dann, wenn die Beschäftigten wissen, woran sie eine solche Anfrage erkennen und an wen sie diese weiterleiten müssen. Ein Löschkonzept erfüllt seinen Zweck nicht, wenn Löschfristen zwar dokumentiert, in den eingesetzten Systemen aber nicht umgesetzt werden. Ein Verzeichnis von Verarbeitungstätigkeiten ist nicht aktuell, wenn neue Anwendungen, Dienstleister oder KI-Systeme nicht gemeldet und dokumentiert werden.
Der Nachweis besteht deshalb nicht aus einem einzelnen Dokument. Er ergibt sich aus dem Zusammenspiel von: Vorgabe, Verantwortlichkeit, Umsetzung, Kommunikation und Kontrolle.
Prozesse müssen im Unternehmen bekannt sein
Datenschutz findet nicht allein im Datenschutzordner oder beim Datenschutzbeauftragten statt. Die relevanten Prozesse müssen dort bekannt sein, wo personenbezogene Daten tatsächlich verarbeitet werden. Das betrifft insbesondere Bereiche wie:
- Personal,
- Vertrieb,
- Marketing,
- IT,
- Einkauf,
- Kundenservice und
- Geschäftsleitung.
Die Beschäftigten und Führungskräfte müssen wissen, welche Abläufe bei datenschutzrelevanten Sachverhalten gelten. Dazu gehören insbesondere klare Antworten auf Fragen wie:
- Wer informiert über neue Anwendungen und Verarbeitungstätigkeiten?
- Wer prüft externe Dienstleister und Auftragsverarbeitungsverträge?
- Wie werden Betroffenenanfragen erkannt und weitergeleitet?
- Was ist bei einer möglichen Datenschutzverletzung zu tun?
- Wer kontrolliert Löschfristen und deren technische Umsetzung?
- Wann muss der Datenschutzbeauftragte einbezogen werden?
- Wie werden Prüfungen, Freigaben und Entscheidungen dokumentiert?
Nur wenn diese Abläufe festgelegt, kommuniziert und praktisch anwendbar sind, kann ein Unternehmen nachvollziehbar darlegen, dass Datenschutz organisatorisch verankert ist.
Welche Nachweise wirklich weiterhelfen
Ein belastbarer Nachweis muss nicht zwangsläufig umfangreich sein. Er muss jedoch eindeutig, aktuell und nachvollziehbar sein. Zu einer strukturierten Datenschutzdokumentation gehören insbesondere:
- ein aktuelles und vollständiges Verzeichnis von Verarbeitungstätigkeiten,
- dokumentierte Zuständigkeiten und Freigaben,
- aktuelle technische und organisatorische Maßnahmen,
- Vereinbarungen zur Auftragsverarbeitung, einschließlich der dazugehörigen Prüfungen,
- ein umsetzbares Lösch- und Aufbewahrungskonzept,
- dokumentierte Vorprüfungen und Datenschutz-Folgenabschätzungen,
- Schulungs- und Unterweisungsnachweise,
- geregelte Verfahren für Betroffenenrechte,
- ein Prozess für Datenschutzverletzungen sowie
- Nachweise über regelmäßige Kontrollen und Aktualisierungen.
Wichtig ist nicht, möglichst viele Unterlagen zu produzieren. Entscheidend ist, dass die vorhandenen Nachweise zusammenpassen und die tatsächlichen Abläufe im Unternehmen widerspiegeln.
Der Datenschutzbeauftragte muss frühzeitig einbezogen werden
Der Datenschutzbeauftragte unterstützt das Unternehmen beim Aufbau, bei der Überprüfung und bei der Weiterentwicklung der Datenschutzorganisation. Zu seinen Aufgaben gehören insbesondere die Information und Beratung des Verantwortlichen und der Beschäftigten, die Überwachung der Einhaltung der datenschutzrechtlichen Vorgaben sowie die Zusammenarbeit mit der Aufsichtsbehörde.
Damit der Datenschutzbeauftragte seine Aufgaben sachgemäß erfüllen kann, muss er frühzeitig und ordnungsgemäß in alle Fragen, die den Schutz von personenbezogenen Daten betreffen, eingebunden werden. Das gilt insbesondere bei:
- der Einführung neuer IT- und KI-Anwendungen,
- Änderungen bestehender Geschäftsprozesse,
- der Beauftragung neuer Dienstleister,
- der Verarbeitung neuer Datenkategorien,
- der Erstellung oder Überarbeitung interner Richtlinien,
- Datenschutz-Folgenabschätzungen sowie
- wesentlichen Änderungen der technischen und organisatorischen Maßnahmen.
Die Einbindung des Datenschutzbeauftragten sollte selbst als verbindlicher Prozess ausgestaltet sein. Dabei ist festzulegen:
- Wer informiert den Datenschutzbeauftragten?
- Zu welchem Zeitpunkt erfolgt die Beteiligung?
- Welche Unterlagen sind bereitzustellen?
- Wie werden seine Hinweise dokumentiert?
- Wer entscheidet über die Umsetzung der empfohlenen Maßnahmen?
Der Datenschutzbeauftragte berät, überwacht und weist auf Risiken oder Dokumentationslücken hin. Die Verantwortung für die Umsetzung verbleibt jedoch beim Unternehmen beziehungsweise bei der obersten Unternehmensleitung. Datenschutzorganisation kann daher nicht einfach an den Datenschutzbeauftragten delegiert werden. Er benötigt feste Ansprechpartner, klare Zuständigkeiten und rechtzeitige Informationen aus den Fachbereichen.
Der Nachweis-Check für Unternehmen
Eine erste Einschätzung der eigenen Datenschutzorganisation lässt sich anhand von vier Fragen vornehmen.
1. Vollständigkeit
Sind die wesentlichen Datenschutzunterlagen vorhanden und bilden sie alle aktuellen Verarbeitungstätigkeiten, Systeme und Dienstleister ab?
Praxis-Hinweis: Erstellen Sie eine zentrale Übersicht der erforderlichen Dokumente. Unterlagen, die nicht kurzfristig auffindbar sind, haben im Prüfungsfall nur einen eingeschränkten Nachweiswert.
2. Zuständigkeit
Ist für jedes Dokument und jeden Datenschutzprozess festgelegt, wer für Erstellung, Prüfung, Freigabe und Aktualisierung verantwortlich ist?
Praxis-Hinweis: Die Angabe einer Abteilung allein reicht häufig nicht aus. Für die operative Umsetzung sollte eine konkrete Funktion oder verantwortliche Person benannt werden.
3. Umsetzung und Bekanntheit
Kann nachgewiesen werden, dass die beschriebenen Verfahren tatsächlich angewendet werden und den betroffenen Beschäftigten bekannt sind?
Praxis-Hinweis: Prüfen Sie stichprobenartig, ob Beschäftigte wissen, was bei einer Betroffenenanfrage, einer möglichen Datenschutzverletzung oder der Einführung eines neuen Tools zu tun ist.
4. Aktualität und Kontrolle
Bestehen feste Prüfzyklen und nachvollziehbare Wiedervorlagen?
Praxis-Hinweis: Dokumentieren Sie für wesentliche Unterlagen den Bearbeitungsstand, das Freigabedatum, die verantwortliche Person und den nächsten Prüftermin.
Nachweisfähigkeit schafft Steuerungsfähigkeit
Eine belastbare Datenschutzdokumentation dient nicht nur der Vorbereitung auf eine mögliche aufsichtsbehördliche Prüfung. Sie schafft auch intern Klarheit:
- Welche Verarbeitungstätigkeiten bestehen?
- Wer trägt welche Verantwortung?
- Wo fehlen Regelungen?
- Welche Maßnahmen wurden umgesetzt?
- Wann müssen Dokumente und Prozesse erneut geprüft werden?
Unternehmen mit klaren Zuständigkeiten und bekannten Prozessen können schneller und sicherer auf Betroffenenanfragen, Datenschutzverletzungen, Personalwechsel, neue Technologien sowie Anforderungen von Kunden und Geschäftspartnern reagieren.
Der entscheidende Nachweis besteht daher nicht darin, dass irgendwann einmal eine Richtlinie erstellt wurde. Nachweisbar sein muss, dass die darin beschriebenen Strukturen weiterhin aktuell sind, im Unternehmen verstanden werden und in der Praxis funktionieren.
Am Ende zählt nicht die schönste Richtlinie. Sondern ob Verantwortlichkeiten, Dokumentation und Prozesse im Unternehmen funktionieren und ob sich das im entscheidenden Moment belegen lässt.
Unterstützung bei der Überprüfung Ihrer Datenschutzorganisation
Sie möchten prüfen, ob Ihre Datenschutzdokumentation vollständig, aktuell und belastbar ist? Oder benötigen Sie Unterstützung beim Aufbau klarer Zuständigkeiten, geregelter Prozesse und nachvollziehbarer Nachweise? Wir unterstützen Sie bei der Überprüfung und Weiterentwicklung Ihrer Datenschutzorganisation – von der Bestandsaufnahme über die Dokumentation bis zur praktischen Verankerung in den Fachbereichen.
Kontaktieren Sie uns gerne. Wir stehen Ihnen für eine erste Einschätzung und die weitere Umsetzung zur Verfügung.
Rechtliche Grundlagen
- Art. 5 Abs. 2 DSGVO – Rechenschaftspflicht
- Art. 24 DSGVO – Verantwortung des Verantwortlichen
- Art. 30 DSGVO – Verzeichnis von Verarbeitungstätigkeiten
- Art. 32 DSGVO – Sicherheit der Verarbeitung
- Art. 35 DSGVO – Datenschutz-Folgenabschätzung
- Art. 38 DSGVO – Stellung des Datenschutzbeauftragten
- Art. 39 DSGVO – Aufgaben des Datenschutzbeauftragten
- Art. 58 DSGVO – Befugnisse der Aufsichtsbehörden
