Den ersten Auftrag überschaubar formulieren
„Wir machen jetzt Datenschutz“ ist als Arbeitsauftrag erstaunlich ungenau. Besser ist ein begrenztes Ziel: die wichtigsten Verarbeitungstätigkeiten verstehen, dringende Risiken erkennen, Verantwortung zuordnen und die nächsten Maßnahmen verbindlich entscheiden. Die Leitung benennt dafür eine koordinierende Rolle, beteiligte Fachbereiche und verfügbare Zeit. Datenschutzbeauftragte werden, soweit vorhanden, rechtzeitig beteiligt. Ein Koordinator ersetzt weder Fachverantwortung noch die gesetzliche Rolle des Datenschutzbeauftragten.
Vor der geplanten Bestandsaufnahme steht ein kurzer Blick auf Dringendes. Gibt es einen aktuellen Datenverlust, öffentlich erreichbare Unterlagen oder eine laufende Betroffenenanfrage? Solche Themen warten nicht auf den Abschluss des Projekts. Für sie gelten eigene Abläufe und gegebenenfalls Fristen. Die Seite Anfragen und Datenpannen ordnet diese Fälle ein. Die übrige Arbeit kann anschließend mit einem realistischen Umfang beginnen.
Ein brauchbares Anfangsergebnis ist keine pauschale Konformitätserklärung. Es ist ein belastbarer Überblick mit benannten Lücken, Verantwortlichen und nächsten Entscheidungen. Unbekannte Sachverhalte werden ausdrücklich als offen markiert. Das ist ehrlicher als eine vollständig ausgefüllte Vorlage, deren Angaben nur deshalb plausibel erscheinen, weil niemand nach ihrer Herkunft gefragt hat.
Prozesse erfassen, nicht nur Programme zählen
Eine Softwareliste hilft, erklärt aber noch keine Verarbeitung. Ausgangspunkt sind Tätigkeiten: Bewerbungen bearbeiten, Beschäftigte abrechnen, Kunden betreuen, Aufträge erfüllen oder die Website betreiben. Für jede Tätigkeit wird festgehalten, welche Personen betroffen sind, welche Daten vorkommen, woher sie stammen und wofür sie benötigt werden. Danach folgen Systeme, Ablagen, interne Zugriffe, externe Empfänger und mögliche Übermittlungen außerhalb des Europäischen Wirtschaftsraums.
Gehen Sie einen repräsentativen Vorgang vom Eingang bis zum Abschluss durch. Dabei werden häufig Nebenwege sichtbar: eine Exportdatei, eine lokale Kopie, eine Weiterleitung an den Steuerberater oder ein zusätzlich genutztes KI-Werkzeug. Fragen an die tatsächlich Beteiligten liefern hier mehr als allein die Betrachtung einer Systemübersicht. Es geht um Abläufe und Kategorien; vollständige Kundenakten müssen dafür normalerweise nicht in die Projektdokumentation kopiert werden.
Zu jedem Verfahren gehören ein fachlicher Ansprechpartner und ein Datum der letzten Bestätigung. Unklare Angaben erhalten eine konkrete Rückfrage, beispielsweise zum Speicherort eines Backups oder zum Zugriff des Herstellersupports. So bleibt erkennbar, was belegt ist und was noch geprüft werden muss. Diese Unterscheidung verhindert, dass eine Vermutung nach mehreren Weitergaben zur vermeintlich gesicherten Tatsache wird.
- 01Eingang und Zweck
Welche Daten kommen von wem, und wofür werden sie benötigt?
- 02Nutzung und Weitergabe
Welche Rollen, Systeme und Empfänger verarbeiten sie?
- 03Abschluss und Aufbewahrung
Was muss bleiben, was wird gesperrt oder gelöscht?
- 04Verantwortung und Prüfung
Wer bestätigt den Ablauf und bearbeitet Änderungen?
Die Blickrichtungen ergänzen sich; Verantwortung und Prüfung begleiten den gesamten Vorgang einschließlich Kopien und Übergaben.
Ein brauchbares Verarbeitungsverzeichnis aufbauen
Das Verzeichnis von Verarbeitungstätigkeiten, kurz VVT, beschreibt die relevanten Verfahren nach Artikel 30 DSGVO. Für Verantwortliche gehören dazu unter anderem Kontaktdaten, Zwecke, Kategorien betroffener Personen und Daten, Empfängerkategorien, gegebenenfalls Drittlandübermittlungen sowie nach Möglichkeit vorgesehene Löschfristen und eine allgemeine Beschreibung der Schutzmaßnahmen. Auftragsverarbeiter führen ein eigenes, anders aufgebautes Verzeichnis für ihre Tätigkeiten im Auftrag.
Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten ist keine pauschale Befreiung. Sie greift für eine Verarbeitung insbesondere nicht, wenn diese nicht nur gelegentlich erfolgt, Risiken für Rechte und Freiheiten birgt oder besondere Datenkategorien beziehungsweise Daten nach Artikel 10 umfasst. Regelmäßige Personalverwaltung ist daher kein überzeugendes Beispiel für einen insgesamt verzeichnisfreien Betrieb. Die konkrete Anwendung der Ausnahme muss verfahrensbezogen geprüft werden.
Praktisch empfiehlt sich, Rechtsgrundlage, fachliche Zuständigkeit und verknüpfte Nachweise ebenfalls nachvollziehbar festzuhalten. Diese Ergänzungen sind nicht sämtlich eigenständige Pflichtfelder aus Artikel 30, erleichtern aber die Organisation. Das VVT ist weder eine Liste jeder einzelnen Datei noch automatisch ein öffentliches Dokument. Es soll verständlich, aktuell und auf Anfrage für die Aufsicht verfügbar sein. Tabellen können genügen, solange Pflege und Zugriffsrechte funktionieren.
Vorrang nach Folgen und Dringlichkeit bestimmen
Eine Bestandsaufnahme erzeugt meist mehr Aufgaben, als gleichzeitig erledigt werden können. Die Reihenfolge sollte sich an konkreten Auswirkungen für betroffene Menschen orientieren. Sensible Inhalte, viele Betroffene, weitreichende Zugriffe, unklare Weitergaben oder Entscheidungen mit erheblichen Folgen verdienen besondere Aufmerksamkeit. Rechtliche Fristen und akute Gefährdungen haben eigenen Vorrang. Eine leicht ausfüllbare Vorlage ist nicht automatisch die wichtigste Aufgabe.
Für jede Lücke werden Sachverhalt, mögliche Folgen, vorhandene Schutzmaßnahmen und eine verantwortliche Rolle notiert. Daraus entstehen begründete Entscheidungen: sofort eindämmen, vor einer geplanten Einführung klären oder mit festem Termin verbessern. Priorisierung schafft keine Erlaubnis, bekannte unzulässige Verarbeitungen beliebig fortzuführen. Bei ernsthaften Zweifeln kann eine Begrenzung oder Unterbrechung erforderlich sein, während die rechtliche und technische Bewertung erfolgt.
Bei voraussichtlich hohem Risiko ist zu prüfen, ob eine Datenschutz-Folgenabschätzung vor Beginn erforderlich ist. Eine einfache Aufgabenliste ersetzt diese Prüfung nicht. Die Seite Risiken und Datenschutz-Folgenabschätzung erklärt den Übergang. Für den Einstieg genügt, solche Verfahren zuverlässig zu erkennen und an die zuständigen Fachleute zu geben. Eine scheinbar genaue Punktzahl darf fehlendes Wissen nicht verdecken.
- 01Dringlichkeit
Laufen Fristen oder besteht eine akute Gefährdung?
- 02Folgen für Menschen
Welche Nachteile sind möglich, wie schwer und wie wahrscheinlich?
- 03Wirksame nächste Maßnahme
Was begrenzt das Problem, wer handelt und bis wann?
Priorisierung organisiert die Bearbeitung, sie setzt Pflichten nicht außer Kraft.
Aufbewahrung und Löschung zusammen planen
Ein Löschkonzept beginnt mit Zwecken und Datenarten. Solange Daten für einen rechtmäßigen Zweck benötigt werden, ist ihre Verarbeitung entsprechend zu begründen. Entfällt die Erforderlichkeit, sind Löschung oder eine andere zulässige Behandlung zu prüfen. Gesetzliche Aufbewahrungspflichten und erforderliche Rechtsverteidigung können eine weitere Speicherung bestimmter Informationen rechtfertigen. Daraus folgt aber nicht, dass sämtliche zugehörigen Daten für jede weitere Nutzung verfügbar bleiben müssen.
Es gibt keine einheitliche DSGVO-Aufbewahrungsfrist für alle Unternehmensdaten. Maßgeblich sind unter anderem Dokumentart, einschlägige Rechtsvorschrift, Fristbeginn und konkrete Umstände. Halten Sie deshalb je Kategorie fest, welche Regel gilt, wodurch die Frist startet, wer Ausnahmen prüft und wie die Löschung ausgelöst wird. Angaben wie „zehn Jahre für alles“ oder „bis der Speicher voll ist“ sind kein belastbares Konzept.
Die Umsetzung muss E-Mails, Exporte, Papier, angeschlossene Systeme und Sicherungen berücksichtigen. Bei Backups sind Zugriffsbeschränkungen, begrenzte Aufbewahrung und der Umgang mit zwischenzeitlich gelöschten Daten nach einer Wiederherstellung zu klären. Technische Schwierigkeiten werden dokumentiert und gelöst; sie machen eine unbegrenzte Speicherung nicht automatisch zulässig. Ein kleiner überprüfter Löschablauf ist ein guter Anfang, sofern die übrigen Bestände mit einem konkreten Arbeitsplan folgen.
Informationen und Dienstleister an den Ablauf anbinden
Informationspflichten nach Artikeln 13 und 14 DSGVO betreffen mehr als die Datenschutzerklärung der Website. Bewerber, Beschäftigte, Kunden und weitere Betroffene brauchen die jeweils passenden Angaben. Zeitpunkt und Inhalt hängen unter anderem davon ab, ob Daten unmittelbar bei der Person oder aus einer anderen Quelle erhoben werden. Die Informationen müssen verständlich, erreichbar und inhaltlich richtig sein. Eine allgemeine Erklärung deckt nicht automatisch jeden betrieblichen Vorgang ab.
Beschreiben Sie tatsächliche Zwecke, Rechtsgrundlagen, Empfänger, Aufbewahrung beziehungsweise ihre Kriterien und die relevanten Rechte. Wenn sich ein Verfahren ändert, werden Informationen und zugrunde liegende Prüfung gemeinsam aktualisiert. Eine Datenschutzerklärung legalisiert keine Verarbeitung, für die eine tragfähige Grundlage fehlt. Ebenso wenig ersetzt ihre Veröffentlichung gegebenenfalls notwendige Einwilligungen oder die Prüfung weiterer Vorschriften für die konkrete Website.
Bei Dienstleistern werden Rolle, Leistungsumfang, Zugriffe, Unterauftragnehmer, Datenorte und Vertragsende betrachtet. Auftragsverarbeitung erfordert die Voraussetzungen und Regelungen des Artikels 28; andere Rollen brauchen eine andere Einordnung. Ein Standortetikett allein beantwortet nicht alle Fragen zu internationalen Übermittlungen. Für Cloud und KI führt die Seite Dienstleister und KI prüfen diese Punkte zusammen. Verzeichnis, Vertrag und Information müssen denselben realen Ablauf beschreiben.
Fiktives Beispiel: Ein Betrieb ordnet seine Bewerbungen
Ein fiktives Unternehmen möchte zunächst ein neues Datenschutzhandbuch schreiben. Im Gespräch mit der Personalverwaltung zeigt sich jedoch ein konkreteres Problem: Bewerbungen kommen über mehrere Kanäle, werden an wechselnde Führungskräfte weitergeleitet und liegen nach Abschluss weiterhin in deren Postfächern. Die Website nennt einen alten Kontakt. Niemand kann zuverlässig erklären, welche Unterlagen noch vorhanden sind.
Das Unternehmen beschreibt zuerst den Bewerbungsprozess und benennt eine fachlich verantwortliche Rolle. Es begrenzt die Zugriffe, ordnet Eingangswege und stimmt Informationen, Rechtsgrundlage und Aufbewahrung ab. Die Löschregel berücksichtigt rechtliche Anforderungen und wird in den verwendeten Ablagen praktisch umgesetzt. Offene Fälle werden gesondert bewertet. Eine Stichprobe prüft anschließend, ob auch die weitergeleiteten Kopien erfasst werden.
Das Ergebnis ist kein vollständiges Datenschutzprogramm für den gesamten Betrieb. Es ist ein beherrschbarer Prozess mit nachvollziehbaren Entscheidungen. Andere Verfahren folgen nach der begründeten Priorität. Die Methode lässt sich übertragen, die konkrete Rechtsgrundlage und Aufbewahrungsdauer nicht automatisch. Gerade diese Trennung macht einen pragmatischen Einstieg verlässlich.
Einen Rhythmus einrichten, der Veränderungen bemerkt
Datenschutzunterlagen altern, sobald Abläufe sich verändern. Neue Werkzeuge, weitere Empfänger, veränderte Zwecke und neue Datenkategorien sollten deshalb vor ihrer Einführung eine passende Prüfung auslösen. Dazu kommen regelmäßige, am Risiko orientierte Kontrollen. Ein kurzer Termin mit zuständigen Personen ist häufig hilfreicher als eine jährliche Komplettabfrage, bei der alle dieselben alten Antworten bestätigen.
Prüfen Sie stichprobenartig tatsächliche Berechtigungen, Löschungen und die Erreichbarkeit der Meldewege. Halten Sie Abweichung, Maßnahme und Abschluss fest. Schulungen knüpfen an reale Tätigkeiten an: eine Anfrage erkennen, einen Fehlversand melden oder ein neues Werkzeug vor der Nutzung prüfen lassen. Das verbindet Datenschutz mit dem kontinuierlichen Verbesserungsprinzip der Informationssicherheit.
Für KI-Vorhaben hilft zusätzlich die strukturierte Einführung von KI, weil sich Datenflüsse und Funktionen dort schnell verändern können. Der Maßstab bleibt derselbe: Ist der Ablauf verstanden, rechtlich eingeordnet und im Alltag beherrschbar? Diese Seite gibt allgemeine organisatorische Orientierung für Unternehmen in Deutschland. Einzelfälle und branchenspezifische Anforderungen benötigen ihre eigene Prüfung.
Häufige Fragen
Brauchen wir zuerst eine Datenschutzsoftware?
Nicht zwingend. Eine nachvollziehbare, gepflegte Tabelle kann für einen überschaubaren Betrieb zunächst genügen. Wichtig sind Zuständigkeiten, konsistente Angaben, geeignete Zugriffsrechte und Verknüpfungen zu Nachweisen. Software kann die Pflege unterstützen, nimmt aber niemandem die Bewertung des tatsächlichen Ablaufs ab. Wählen Sie ein Werkzeug, nachdem klar ist, welche Prozesse und Beteiligten es unterstützen soll.
Sind Betriebe unter 250 Beschäftigten vom VVT befreit?
Nicht pauschal. Artikel 30 Absatz 5 enthält Bedingungen, unter denen die Ausnahme nicht greift. Dazu gehören insbesondere nicht nur gelegentliche Verarbeitungen, Risiken für Betroffene und bestimmte besonders geschützte Daten. Regelmäßige betriebliche Prozesse müssen deshalb gesondert betrachtet werden. Die Beschäftigtenzahl allein reicht nicht, um auf ein Verzeichnis zu verzichten.
Ist eine Liste unserer Programme schon ein Verarbeitungsverzeichnis?
Nein. Das Verzeichnis orientiert sich an Verarbeitungstätigkeiten und ihren Zwecken. Ein Programm kann mehrere Tätigkeiten unterstützen, eine Tätigkeit kann mehrere Systeme und Papierablagen umfassen. Eine Systemliste ist eine hilfreiche Ergänzung. Sie ersetzt jedoch nicht die Angaben zu Betroffenen, Daten, Empfängern und weiteren gesetzlich vorgesehenen Merkmalen des jeweiligen Verfahrens.
Wie lange dürfen wir personenbezogene Daten aufbewahren?
Eine allgemeine Frist für sämtliche personenbezogenen Daten gibt es nicht. Entscheidend sind der konkrete Zweck, die Erforderlichkeit und einschlägige Aufbewahrungspflichten oder weitere rechtliche Gründe. Dokumentart und Fristbeginn müssen geklärt werden. Eine fortbestehende Aufbewahrungspflicht rechtfertigt nicht automatisch jede weitere Nutzung. Legen Sie deshalb Regeln je Datenkategorie fest und prüfen Sie Ausnahmen nachvollziehbar.
Kann die Datenschutzerklärung der Website alles abdecken?
Sie kann verschiedene Informationen bündeln, muss aber für die jeweiligen Betroffenen passend, vollständig und rechtzeitig verfügbar sein. Beschäftigte oder Bewerber benötigen häufig eigene Informationen zu ihren Verfahren. Ein Link im Seitenfuß allein löst nicht jede Informationspflicht. Maßgeblich sind die tatsächliche Erhebung, die Verarbeitung und die Anforderungen der Artikel 13 beziehungsweise 14 DSGVO.
Woran erkennen wir einen brauchbaren ersten Fortschritt?
An überprüfbaren Veränderungen: Verantwortliche kennen ihre Verfahren, wichtige offene Fragen werden bearbeitet, Zugriffe passen zu Aufgaben und ein beschlossener Löschablauf funktioniert. Dazu kommen aktuelle Informationen und erreichbare Wege für Anfragen und Vorfälle. Die Anzahl ausgefüllter Vorlagen ist weniger aussagekräftig. Ein Fortschritt bleibt begrenzt auf den tatsächlich geprüften Umfang und sollte auch so dokumentiert werden.
Quellen und weitere Informationen
Diese Seite erläutert Grundlagen und ersetzt keine rechtliche oder datenschutzrechtliche Prüfung des Einzelfalls.
Quellenstand: 28. Oktober 2026.