DSGVO-Checkup: Die häufigsten Fehler kleiner Unternehmen vermeiden

Ein Datenschutz-Check sollte die tatsächlichen Verarbeitungen eines Unternehmens abbilden: Welche personenbezogenen Daten werden wofür verarbeitet, wer erhält sie, wie lange werden sie benötigt und wie werden sie geschützt? Die DSGVO verlangt keine identische Maßnahmenliste für jedes Unternehmen, sondern eine Prüfung nach Zweck, Rolle und Risiko. Dieser Überblick ersetzt keine Rechtsberatung.

Rechtsgrundlage statt pauschaler Einwilligung

Nicht jede Verarbeitung braucht eine Einwilligung. Artikel 6 DSGVO nennt mehrere mögliche Rechtsgrundlagen, darunter Vertrag, rechtliche Verpflichtung und berechtigtes Interesse. Welche Grundlage passt, muss für den konkreten Zweck festgelegt und dokumentiert werden. Wird eine Einwilligung genutzt, muss sie freiwillig, informiert, eindeutig und widerrufbar sein; vorangekreuzte Felder genügen nicht.

Ein häufiger Fehler ist, Daten zunächst zu sammeln und die Rechtsgrundlage erst später zu suchen. Besser ist eine Zweckprüfung vor Einführung eines Formulars, Tools oder Prozesses.

Verzeichnis und Informationen aktuell halten

Das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 beschreibt unter anderem Zwecke, Daten- und Empfängerkategorien, Übermittlungen, Löschfristen und Sicherheitsmaßnahmen. Die Ausnahmen des Artikels 30 Absatz 5 sind eng: Auch kleinere Organisationen können ein Verzeichnis benötigen, etwa wenn eine Verarbeitung nicht nur gelegentlich erfolgt oder besondere Datenkategorien beziehungsweise Risiken betrifft.

Datenschutzhinweise müssen zur tatsächlichen Verarbeitung passen. Kopierte Muster helfen nur als Ausgangspunkt. Hosting, Kontaktformulare, Newsletter, eingebettete Medien und eingesetzte Dienstleister sollten anhand der aktiven Konfiguration geprüft werden.

Dienstleister und Datenflüsse prüfen

Bei externen Diensten ist zuerst die Rollenverteilung zu klären. Verarbeitet ein Anbieter personenbezogene Daten im Auftrag, enthält Artikel 28 Anforderungen an den Vertrag und die Auswahl des Auftragsverarbeiters. Nicht jeder Dienstleister ist automatisch Auftragsverarbeiter. Auch Unterauftragnehmer, Speicherorte, Löschoptionen und mögliche Drittlandübermittlungen gehören in die Prüfung.

Pauschale Aussagen wie „es werden keine Daten erhoben“ sind riskant. Selbst wenn eine Anwendung Formulareingaben nur lokal verarbeitet, können Hosting und CDN technisch notwendige Verbindungsdaten erhalten.

Löschung und Betroffenenrechte operationalisieren

Speicherfristen sollten nach Zweck, Rechtsgrundlage und gesetzlichen Aufbewahrungspflichten festgelegt werden. „Unbegrenzt“ oder „bis es nicht mehr gebraucht wird“ genügt als interner Prozess meist nicht. Verantwortliche brauchen außerdem einen Ablauf für Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch, soweit das jeweilige Recht anwendbar ist.

Datensicherheit nach Risiko

Artikel 32 verlangt geeignete technische und organisatorische Maßnahmen unter Berücksichtigung von Risiko, Stand der Technik, Implementierungskosten und Umständen der Verarbeitung. Verschlüsselung, Zugriffskontrolle, Backups, Wiederherstellungstests, Protokollierung und Schulung können dazugehören; welche Maßnahmen angemessen sind, hängt vom Fall ab. Ein einzelnes Tool oder Zertifikat beweist keine vollständige DSGVO-Erfüllung.

Datenpannen richtig bewerten

Nicht jede Sicherheitsstörung ist eine meldepflichtige Datenschutzverletzung. Sind personenbezogene Daten betroffen, ist das Risiko für die Rechte und Freiheiten natürlicher Personen zu bewerten und zu dokumentieren. Nach Artikel 33 DSGVO ist eine Meldung an die Aufsichtsbehörde grundsätzlich erforderlich, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko. Ist sie erforderlich, soll sie möglichst binnen 72 Stunden nach Bekanntwerden erfolgen. Artikel 34 regelt zusätzlich die Benachrichtigung betroffener Personen bei voraussichtlich hohem Risiko.

Ein vorbereiteter Meldeprozess verbindet technische Eindämmung, Datenschutzbewertung, Zeitstempel und nachvollziehbare Entscheidungen.

Praktischer Check

• Stimmen Verzeichnis und Datenschutzhinweise mit den realen Datenflüssen überein?
• Ist für jeden Zweck eine Rechtsgrundlage festgelegt?
• Sind Rollen, Verträge und Unterauftragnehmer externer Dienste geprüft?
• Gibt es umsetzbare Löschfristen und Prozesse für Betroffenenrechte?
• Werden Sicherheitsmaßnahmen regelmäßig getestet und angepasst?
• Kann ein möglicher Datenschutzvorfall innerhalb weniger Stunden bewertet und eskaliert werden?

Der Check liefert Orientierung. Komplexe Verarbeitungen, besondere Datenkategorien oder grenzüberschreitende Datenflüsse sollten fachlich und gegebenenfalls rechtlich geprüft werden.