DSGVO-Readiness-Check
Wie datenschutz-fit sind Sie?
20 Fragen, 5 Kategorien, 3 Minuten. Erkennen Sie, wo Ihr Unternehmen die DSGVO schon lebt und wo noch Lücken lauern.
Datenschutz ist mehr als eine Datenschutzerklärung
Die DSGVO gilt seit Mai 2018 – und trotzdem scheitern Unternehmen im Ernstfall selten an der Website, sondern an den Nachweisen. Denn die Verordnung verlangt Rechenschaftspflicht (Art. 5 Abs. 2): Sie müssen belegen können, dass Sie datenschutzkonform arbeiten. Nicht behaupten – belegen. Der Check oben prüft genau diese Nachweisfähigkeit.
Die Pflichten, die wirklich zählen
| Pflicht | Artikel | Was oft fehlt |
|---|---|---|
| Verzeichnis von Verarbeitungstätigkeiten (VVT) | Art. 30 | existiert, ist aber Jahre alt und bildet neue Tools nicht ab |
| Technische und organisatorische Maßnahmen (TOM) | Art. 32 | allgemein formuliert statt konkret und überprüfbar |
| Auftragsverarbeitung (AVV) | Art. 28 | fehlt bei Cloud-Diensten, die „nebenbei" eingeführt wurden |
| Betroffenenrechte | Art. 15–22 | kein definierter Prozess – die Monatsfrist läuft trotzdem |
| Meldung von Datenpannen | Art. 33 | keine Meldekette; 72 Stunden sind schnell vorbei |
| Datenschutz-Folgenabschätzung (DSFA) | Art. 35 | bei riskanten Verarbeitungen schlicht nicht gemacht |
Der unterschätzte Klassiker: das Löschkonzept. Die DSGVO verlangt Speicherbegrenzung – Daten dürfen nur so lange aufbewahrt werden, wie es den Zweck erfüllt. In der Praxis löscht fast niemand systematisch. Genau danach fragen Aufsichtsbehörden gern, weil es sich leicht prüfen lässt.
Brauchen Sie einen Datenschutzbeauftragten?
Nach Art. 37 DSGVO und § 38 BDSG gilt vereinfacht: Sie benötigen einen DSB, wenn
- in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, oder
- Sie Verarbeitungen durchführen, die einer DSFA unterliegen, oder
- Sie Daten geschäftsmäßig zum Zweck der Übermittlung verarbeiten oder umfangreich besondere Kategorien (Gesundheit, Biometrie, …) verarbeiten.
„20 Personen" meint nicht 20 IT-Mitarbeitende – jede Person zählt, die regelmäßig am Rechner personenbezogene Daten verarbeitet. Das erreichen kleine Unternehmen schneller als gedacht.
Wie Sie Ihr Check-Ergebnis lesen
- Erheblicher Handlungsbedarf – Grundlagen wie VVT oder AVV fehlen. Das ist im Prüfungsfall unmittelbar bußgeldrelevant, weil es objektiv feststellbar ist.
- Solide Basis mit Lücken – Die Dokumente existieren, sind aber nicht aktuell oder es fehlen Prozesse für Betroffenenrechte und Datenpannen.
- Gut aufgestellt – Nachweise sind vorhanden und gepflegt. Feinschliff liegt meist bei Löschkonzept, Schulungen und regelmäßiger Überprüfung.
Der Check ist eine Selbsteinschätzung und ersetzt keine Rechtsberatung.
Der pragmatische Weg
Datenschutz und Informationssicherheit überschneiden sich stark: Die TOM nach Art. 32 sind faktisch das, was ein ISMS ohnehin steuert – Zugriffskontrolle, Verschlüsselung, Verfügbarkeit, Belastbarkeit, regelmäßige Überprüfung. Wer beides getrennt in Excel-Dateien pflegt, macht die Arbeit doppelt. Sinnvoller ist ein gemeinsames System: ein Verzeichnis der Assets und Dienstleister, aus dem sich VVT, AVV-Übersicht und TOM-Nachweis speisen.
Häufige Fragen zur DSGVO
Ab wann brauchen wir einen Datenschutzbeauftragten?
In der Regel ab 20 Personen, die ständig automatisiert personenbezogene Daten verarbeiten. Unabhängig von dieser Zahl auch dann, wenn Sie DSFA-pflichtige Verarbeitungen durchführen, umfangreich besondere Kategorien verarbeiten oder Daten geschäftsmäßig zur Übermittlung verarbeiten.
Wie hoch können Bußgelder ausfallen?
Bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Für bestimmte Verstöße liegt der Rahmen bei 10 Mio. € oder 2 %. In der Praxis sind fehlende Rechtsgrundlagen, unzureichende TOM und Verstöße gegen Betroffenenrechte die häufigsten Anlässe.
Was muss bei einer Datenpanne passieren?
Meldung an die Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden, sofern ein Risiko für Betroffene besteht. Bei hohem Risiko müssen zusätzlich die Betroffenen informiert werden. Entscheidend ist, dass Ihre Mitarbeitenden wissen, wem sie einen Verdacht sofort melden – sonst ist die Frist verstrichen, bevor jemand reagiert.
Brauchen wir für jedes Tool eine AVV?
Immer dann, wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet – das trifft auf die meisten Cloud-Dienste zu, von Newsletter-Tools bis zur Personalsoftware. Ohne AVV ist die Verarbeitung formal unzulässig.
Reicht ein Muster-VVT aus dem Internet?
Als Startpunkt ja, als Nachweis nein. Das VVT muss Ihre tatsächlichen Verarbeitungen abbilden – mit Zwecken, Rechtsgrundlagen, Empfängern, Löschfristen. Ein generisches Muster fällt im Prüfungsfall sofort auf.
Wie hängen DSGVO und ISO 27001 zusammen?
Die ISO 27001 ist kein Datenschutznachweis, liefert aber die Struktur für die TOM nach Art. 32 und für die Rechenschaftspflicht. Viele Unternehmen nutzen das ISMS als gemeinsames Fundament und ergänzen die datenschutzspezifischen Dokumente.