Antworten auf wichtige DSGVO-Fragen für Unternehmen: Datenschutzbeauftragter, Datenpannen, Auftragsverarbeitung, TOM, Löschfristen, KI und mehr.

DSGVO im Unternehmen: Häufige Fragen – klar beantwortet

Datenschutz muss im Unternehmen nicht kompliziert sein. Entscheidend ist, die eigenen Datenverarbeitungen zu kennen, Verantwortlichkeiten festzulegen und geeignete Maßnahmen konsequent umzusetzen.

Hier beantworten wir häufige Fragen zur DSGVO verständlich und praxisnah. Die Antworten bieten eine erste Orientierung – die konkrete Umsetzung hängt immer von Branche, Größe, eingesetzten Systemen und den tatsächlich verarbeiteten Daten ab.

Wer ist im Unternehmen für Datenschutz verantwortlich?

Die Gesamtverantwortung für den Datenschutz liegt immer bei der Geschäftsleitung. Sie entscheidet über Zwecke und Mittel der Datenverarbeitung und muss nachweisen können, dass die Vorgaben der DSGVO im Unternehmen umgesetzt werden.

Ein Datenschutzbeauftragter berät und überwacht die Umsetzung, übernimmt aber nicht die Verantwortung der Geschäftsleitung. In der Praxis bewährt sich zusätzlich ein interner Datenschutzkoordinator. Er oder sie bündelt Fragen aus den Fachabteilungen, hält den Kontakt zum Datenschutzbeauftragten und sorgt dafür, dass Datenschutz im Arbeitsalltag nicht untergeht.

Wann braucht ein Unternehmen einen Datenschutzbeauftragten?

Viele Unternehmen müssen einen Datenschutzbeauftragten benennen. Für nichtöffentliche Stellen in Deutschland gilt dies in der Regel, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Dabei zählen nicht nur Mitarbeitende in der IT oder Personalabteilung, sondern zum Beispiel auch Beschäftigte mit E-Mail, CRM, Buchhaltung oder digitaler Zeiterfassung.

Unabhängig von der Personenzahl kann eine Benennung auch erforderlich sein, wenn eine Datenschutz-Folgenabschätzung notwendig ist oder personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, anonymisierten Übermittlung sowie Markt- oder Meinungsforschung verarbeitet werden. Auch wenn keine Pflicht besteht, kann ein externer Datenschutzbeauftragter eine sinnvolle und wirtschaftliche Unterstützung sein.

Was macht ein externer Datenschutzbeauftragter?

Ein externer Datenschutzbeauftragter berät die Geschäftsleitung und die Beschäftigten, überwacht die Einhaltung datenschutzrechtlicher Vorgaben und begleitet neue Projekte. Dazu gehören zum Beispiel die Prüfung von Verträgen, die Erstellung von Datenschutzdokumentationen, Schulungen, Unterstützung bei Datenpannen und die Kommunikation mit Aufsichtsbehörden.

Der Vorteil: Unternehmen erhalten spezialisiertes Fachwissen, ohne eine eigene Stelle aufbauen zu müssen. Ein guter externer Datenschutzbeauftragter kennt dabei nicht nur die gesetzlichen Anforderungen, sondern auch die betriebliche Realität und entwickelt Lösungen, die im Alltag funktionieren.

Was ist ein Verzeichnis von Verarbeitungstätigkeiten?

Das Verzeichnis von Verarbeitungstätigkeiten, kurz VVT, ist die zentrale Übersicht über die Datenverarbeitungen eines Unternehmens. Es beschreibt zum Beispiel, wie Beschäftigtendaten, Kundendaten, Bewerbungen, Newsletter-Anmeldungen oder Website-Daten verarbeitet werden.

Zu jeder Verarbeitung gehören unter anderem Zweck, Rechtsgrundlage, betroffene Personengruppen, Datenkategorien, Empfänger, Speicherfristen und Schutzmaßnahmen. Das VVT ist keine reine Formalität: Es ist die Grundlage für Datenschutzinformationen, Löschkonzepte, Risikoanalysen und die Prüfung neuer Systeme. Kleine Unternehmen sind nicht pauschal davon befreit.

Braucht jedes Unternehmen ein Datenschutzkonzept?

Jedes Unternehmen braucht nachvollziehbare Regeln dafür, wie es mit personenbezogenen Daten umgeht. Ob dies als umfassendes Datenschutzkonzept, Richtlinie oder praxistaugliche Sammlung einzelner Regelungen geführt wird, hängt von Größe und Struktur des Unternehmens ab.

Wichtig ist, dass Verantwortlichkeiten, Prozesse und Maßnahmen dokumentiert sind. Dazu gehören beispielsweise Regeln für Auskunftsersuchen, Datenschutzvorfälle, den Einsatz von Dienstleistern, Löschfristen und die Einführung neuer Software. Ein gutes Konzept ist kein Ordner für die Schublade, sondern wird regelmäßig überprüft und weiterentwickelt.

Was sind technische und organisatorische Maßnahmen, kurz TOM?

TOM sind Schutzmaßnahmen, mit denen Unternehmen personenbezogene Daten vor Verlust, unbefugtem Zugriff, Veränderung und unzulässiger Weitergabe schützen. Dazu gehören technische Maßnahmen wie sichere Passwörter, Mehr-Faktor-Anmeldung, Berechtigungskonzepte, Verschlüsselung, Backups und aktuelle Software.

Organisatorische Maßnahmen sind zum Beispiel klare Zuständigkeiten, Schulungen, Regelungen für mobiles Arbeiten, ein Verfahren für Datenschutzvorfälle und die regelmäßige Überprüfung von Dienstleistern. Welche TOM erforderlich sind, hängt immer vom Risiko ab. Gesundheitsdaten benötigen beispielsweise ein höheres Schutzniveau als eine öffentlich verfügbare allgemeine Kontaktadresse.

Müssen Mitarbeitende zum Datenschutz verpflichtet und geschult werden?

Mitarbeitende dürfen personenbezogene Daten nur im Rahmen ihrer Aufgaben und nach den Weisungen des Unternehmens verarbeiten. Deshalb müssen sie vor Beginn ihrer Tätigkeit über Vertraulichkeit, sichere Arbeitsweisen und die wichtigsten Datenschutzregeln informiert werden.

Eine einmalige Unterschrift reicht in der Praxis nicht aus. Datenschutzschulungen sollten regelmäßig stattfinden und verständlich auf die jeweilige Tätigkeit zugeschnitten sein. Besonders wichtig sind Themen wie Phishing, sichere Passwörter, der Umgang mit E-Mails, mobile Arbeit, Auskunftsersuchen und das richtige Verhalten bei Datenpannen.

Wann ist ein Auftragsverarbeitungsvertrag erforderlich?

Ein Auftragsverarbeitungsvertrag, kurz AV-Vertrag, ist erforderlich, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung des Unternehmens verarbeitet. Typische Beispiele sind Hosting-Anbieter, Lohnbüros, Cloud-Dienste, Newsletter-Software, externe IT-Betreuung oder Aktenvernichtungsdienste.

Nicht jeder externe Kontakt ist automatisch Auftragsverarbeitung. Ein Steuerberater, eine Bank oder ein Rechtsanwalt verarbeitet Daten häufig in eigener Verantwortung. Deshalb sollte vor Vertragsabschluss geprüft werden, welche Rolle der Dienstleister tatsächlich hat. Bei einer Auftragsverarbeitung müssen insbesondere Weisungsrechte, Sicherheitsmaßnahmen, Unterauftragnehmer und Löschpflichten geregelt werden.

Was muss bei Cloud-Diensten und Datenübermittlungen ins Ausland beachtet werden?

Cloud-Dienste können datenschutzkonform eingesetzt werden, wenn sie sorgfältig ausgewählt und vertraglich abgesichert sind. Entscheidend sind unter anderem der Verarbeitungsort, mögliche Zugriffe aus Drittstaaten, der Auftragsverarbeitungsvertrag, technische Schutzmaßnahmen und die Transparenz gegenüber den betroffenen Personen.

Ein Serverstandort in der EU ist ein wichtiger Faktor, aber nicht die einzige Prüfung. Auch Zugriffsrechte, Supportzugriffe, Unterauftragnehmer und die vertraglichen Regelungen des Anbieters müssen berücksichtigt werden. Vor der Einführung sollte dokumentiert werden, welche Daten verarbeitet werden, warum der Dienst benötigt wird und welche Risiken sowie Schutzmaßnahmen bestehen.

Wann müssen Betroffene über eine Datenverarbeitung informiert werden?

Wer personenbezogene Daten erhebt, muss die betroffene Person grundsätzlich spätestens zum Zeitpunkt der Erhebung informieren. Das betrifft beispielsweise Beschäftigte, Bewerber, Kunden, Lieferanten, Interessenten und Websitebesucher.

Die Information muss klar und verständlich erläutern, wer Daten verarbeitet, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange die Daten gespeichert werden und welche Rechte die betroffene Person hat. Auf einer Website geschieht dies in der Datenschutzerklärung; bei Beschäftigten oder Bewerbern meist über gesonderte Datenschutzinformationen. Wichtig ist auch, nachvollziehen zu können, wie und wann informiert wurde.

Was muss eine Datenschutzerklärung auf der Website leisten?

Eine Datenschutzerklärung muss erklären, welche personenbezogenen Daten beim Besuch der Website verarbeitet werden. Dazu zählen etwa Server-Logdaten, Kontaktformulare, Cookies, Analyse- und Marketingdienste, eingebundene Karten, Videos, Schriftarten oder externe Inhalte.

Sie muss zu den tatsächlich eingesetzten Diensten passen. Eine kopierte Standarderklärung ist daher keine sichere Lösung. Ändert sich die Website, etwa durch ein neues Kontaktformular, einen Newsletter oder ein Analysewerkzeug, muss die Datenschutzerklärung geprüft und angepasst werden. Für einwilligungspflichtige Dienste braucht es zusätzlich eine wirksame Einwilligungslösung.

Wie muss ein Unternehmen auf ein Auskunftsersuchen reagieren?

Jede Person kann Auskunft darüber verlangen, ob und welche personenbezogenen Daten über sie verarbeitet werden. Unternehmen müssen dafür einen klaren Prozess haben: Anfrage erfassen, Identität angemessen prüfen, zuständige Stellen einbeziehen, Daten zusammentragen und fristgerecht antworten.

Die Auskunft muss grundsätzlich innerhalb eines Monats erfolgen. Sie umfasst unter anderem Verarbeitungszwecke, Datenkategorien, Empfänger, Speicherdauer oder die Kriterien dafür sowie Informationen über die Rechte der betroffenen Person. Bevor Daten herausgegeben werden, muss sorgfältig geprüft werden, ob die anfragende Person tatsächlich berechtigt ist, die Auskunft zu erhalten.

Was ist eine Datenschutzverletzung oder Datenpanne?

Eine Datenschutzverletzung liegt vor, wenn personenbezogene Daten unbeabsichtigt oder unrechtmäßig verloren gehen, verändert werden, unbefugten Personen zugänglich werden oder nicht mehr verfügbar sind. Das kann ein Hackerangriff sein, aber auch ein falsch adressierter E-Mail-Anhang, ein verlorenes Smartphone, ein offener Verteiler, ein gestohlener Laptop oder ein fehlerhaft eingerichtetes Zugriffsrecht.

Wichtig ist: Nicht jede Datenpanne muss an die Aufsichtsbehörde gemeldet werden. Jeder Vorfall muss aber ernst genommen, dokumentiert und bewertet werden. Schnelles Handeln begrenzt Schäden und sorgt dafür, dass gesetzliche Fristen eingehalten werden können.

Wann muss eine Datenpanne innerhalb von 72 Stunden gemeldet werden?

Eine Datenschutzverletzung muss grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet werden, wenn sie voraussichtlich zu einem Risiko für die Rechte und Freiheiten betroffener Personen führt.

Besteht voraussichtlich ein hohes Risiko, müssen in der Regel auch die betroffenen Personen unverzüglich und in klarer Sprache informiert werden. Ob eine Meldepflicht besteht, hängt vom Einzelfall ab. Deshalb braucht jedes Unternehmen ein festgelegtes Verfahren: Vorfall sofort intern melden, Schaden begrenzen, Fakten sichern, Risiko bewerten, Entscheidung dokumentieren und gegebenenfalls fristgerecht melden.

Was bedeutet Datenschutz durch Technikgestaltung?

Datenschutz durch Technikgestaltung – häufig auch „Privacy by Design“ genannt – bedeutet: Datenschutz wird bereits bei der Planung neuer Prozesse, Software oder Dienstleistungen berücksichtigt und nicht erst nachträglich ergänzt.

Vor der Einführung sollte geprüft werden, welche Daten wirklich erforderlich sind, wer Zugriff benötigt, wie lange Daten gespeichert werden, welche Einstellungen datenschutzfreundlich gewählt werden können und wie Auskunft, Löschung oder Berichtigung technisch umgesetzt werden. Datenschutzfreundliche Voreinstellungen helfen, unnötige Datenverarbeitungen von Anfang an zu vermeiden.

Wann ist eine Datenschutz-Folgenabschätzung erforderlich?

Eine Datenschutz-Folgenabschätzung, kurz DSFA, ist erforderlich, wenn eine geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen verursacht. Das kann etwa bei umfangreicher Verarbeitung sensibler Daten, systematischer Überwachung öffentlich zugänglicher Bereiche oder bestimmten automatisierten Bewertungen und Entscheidungen der Fall sein.

Eine DSFA beschreibt die Verarbeitung, bewertet Notwendigkeit und Verhältnismäßigkeit, ermittelt Risiken und legt geeignete Schutzmaßnahmen fest. Sie muss vor Beginn der Verarbeitung durchgeführt werden. Bei Zweifeln ist eine strukturierte Vorprüfung sinnvoll; der Datenschutzbeauftragte sollte frühzeitig eingebunden werden.

Was muss vor der Einführung neuer Software, Cloud-Dienste oder KI-Anwendungen geprüft werden?

Bevor neue Systeme eingesetzt werden, sollte nicht nur auf Funktionen und Preis geschaut werden. Unternehmen müssen auch prüfen, welche personenbezogenen Daten verarbeitet werden, ob diese Daten wirklich benötigt werden, wer Zugriff erhält, wo Daten verarbeitet werden und ob der Anbieter die erforderlichen Datenschutz- und Sicherheitsstandards erfüllt.

Bei KI-Anwendungen ist besondere Vorsicht geboten: Personenbezogene, vertrauliche oder geschäftskritische Daten sollten nicht ungeprüft in frei nutzbare Systeme eingegeben werden. Vor dem Einsatz sind insbesondere Zweck, Rechtsgrundlage, Datenflüsse, Trainingsnutzung, Vertragslage, Speicherfristen, Zugriffskontrollen und mögliche Risiken zu bewerten. Klare interne Regeln helfen Beschäftigten, KI sicher und sinnvoll einzusetzen.

Wie werden personenbezogene Daten datenschutzkonform gelöscht?

Personenbezogene Daten müssen gelöscht werden, sobald sie für den ursprünglichen Zweck nicht mehr benötigt werden und keine gesetzliche Aufbewahrungspflicht entgegensteht. Unternehmen brauchen deshalb klare Löschfristen – zum Beispiel für Bewerbungen, Kundendaten, Vertragsunterlagen, E-Mails, Backups und Papierakten.

Ein Löschkonzept beantwortet drei Fragen: Welche Daten werden wo verarbeitet? Wie lange müssen oder dürfen sie gespeichert werden? Wer sorgt anschließend für eine sichere Löschung oder Anonymisierung? Dabei müssen gesetzliche Aufbewahrungsfristen berücksichtigt werden. Löschung bedeutet außerdem mehr als das Entfernen einer Datei vom Desktop: Auch Ablagen, Fachanwendungen, Papierunterlagen und gegebenenfalls Backups müssen einbezogen werden.

Was sollten Unternehmen beim Thema Videoüberwachung beachten?

Videoüberwachung ist nur zulässig, wenn es einen konkreten, nachvollziehbaren Zweck gibt und die Überwachung erforderlich sowie verhältnismäßig ist. Allgemeine Aussagen wie „zur Sicherheit“ reichen nicht aus. Der überwachte Bereich, Kamerawinkel, Speicherfrist, Zugriffsberechtigungen und die Auswertung müssen auf das notwendige Maß begrenzt sein.

Bei öffentlich zugänglichen Bereichen gelten besondere Anforderungen. Betroffene müssen frühzeitig erkennen können, dass sie überwacht werden und wer verantwortlich ist. Aufzeichnungen sind zu löschen, sobald sie nicht mehr benötigt werden. Vor der Einführung sollten Zweck, Rechtsgrundlage, Risiko, Beschilderung, Datenschutzinformation, Speicherfrist und Berechtigungskonzept dokumentiert werden.

Wie fängt ein Unternehmen mit der DSGVO-Umsetzung sinnvoll an?

Der beste Einstieg ist eine strukturierte Bestandsaufnahme. Zuerst werden die Datenverarbeitungen, Systeme, Dienstleister und Verantwortlichkeiten erfasst. Danach werden die wichtigsten Lücken priorisiert: fehlende Datenschutzinformationen, fehlende AV-Verträge, nicht dokumentierte Prozesse, unklare Löschfristen, technische Risiken oder fehlende Schulungen.

Datenschutz muss nicht an einem Tag vollständig fertig sein. Entscheidend ist ein realistischer Plan, der Risiken reduziert und die Umsetzung nachvollziehbar macht. Eine fachkundige Begleitung hilft dabei, die Maßnahmen passend zur Unternehmensgröße und Branche zu priorisieren.