Die 7 Datenschutzdokumente, die alle haben – aber kaum jemand aktuell hält

1. Verzeichnis der Verarbeitungstätigkeiten

Das Verzeichnis der Verarbeitungstätigkeiten, kurz VVT, ist eines der zentralen DSGVO-Dokumente. Es soll zeigen, welche personenbezogenen Daten im Unternehmen zu welchen Zwecken verarbeitet werden.

In der Praxis ist es aber oft ein Dokument aus der Vergangenheit.

Typische Aktualitätsprobleme:

• neue Software wird nicht eingetragen
• geänderte Datenkategorien werden nicht ergänzt
• neue Empfänger oder Dienstleister bleiben unerwähnt
• alte Verarbeitungstätigkeiten werden nicht gelöscht
• internationale Datenübermittlungen sind nicht korrekt dokumentiert

Besonders kritisch wird es, wenn das VVT nicht mehr mit der tatsächlichen IT- und Prozesslandschaft übereinstimmt. Dann entsteht schnell der Eindruck: Die Datenschutzorganisation kennt ihre eigenen Datenflüsse nicht genau genug.

Quick-Check:
Wann wurde das VVT zuletzt mit Einkauf, IT, HR, Marketing und Fachabteilungen abgeglichen?

Automatisierungsimpuls:
Ein regelmäßiger Workflow kann Fachabteilungen automatisch daran erinnern, neue Tools, Prozesse oder Dienstleister zu melden.

2. Technische und organisatorische Maßnahmen

Die technischen und organisatorischen Maßnahmen, kurz TOMs, beschreiben, wie personenbezogene Daten geschützt werden. Dazu gehören unter anderem Zugriffskontrollen, Verschlüsselung, Backup-Prozesse, Berechtigungskonzepte und Maßnahmen zur Verfügbarkeit.

Allerdings werden TOMs oft einmalig mit der IT aufgesetzt und dann jahrelang nicht wieder angefasst.

Typische Aktualitätsprobleme:

• neue Cloud-Dienste und dafür nötige Sicherheitsverfahren sind nicht berücksichtigt
• veraltete Zugriffskonzepte werden weiter beschrieben
• neue Authentifizierungsverfahren fehlen
• Backup- und Notfallprozesse sind nicht angepasst
• Homeoffice- und Mobile-Work-Regelungen fehlen oder sind überholt
• Maßnahmen externer Dienstleister werden nicht aktualisiert

TOMs sind kein statisches Pflichtdokument. Sie müssen mit der tatsächlichen Sicherheitsarchitektur mitwachsen.

Quick-Check:
Stimmen die dokumentierten TOMs noch mit dem überein, was IT und Informationssicherheit tatsächlich umgesetzt haben?

3. Datenschutzhinweise

Datenschutzhinweise sind oft öffentlich sichtbar: auf der Website, in Bewerbungsportalen, in Kundenformularen, in Apps oder in Vertragsunterlagen. Gerade deshalb sind sie besonders heikel, wenn sie veraltet sind.

Das Problem: Datenschutzhinweise werden häufig einmal juristisch geprüft und danach kaum noch angefasst.

Typische Aktualitätsprobleme:

• neue Tracking- oder Analyse-Tools fehlen
• geänderte Zwecke der Datenverarbeitung werden nicht ergänzt
• neue Empfänger oder Dienstleister sind nicht genannt
• Speicherdauern stimmen nicht mehr
• Kontaktinformationen sind veraltet
• Rechtsgrundlagen passen nicht mehr zum tatsächlichen Prozess
• internationale Datenübermittlungen werden unvollständig beschrieben

Besonders riskant: Wenn Datenschutzhinweise nach außen etwas anderes versprechen, als intern tatsächlich passiert.

Quick-Check:
Wurde jeder neue digitale Touchpoint der letzten zwölf Monate auch datenschutzrechtlich in den Hinweisen abgebildet?

4. Auftragsverarbeitungsverträge

Auftragsverarbeitungsverträge, kurz AV-Verträge, regeln die Zusammenarbeit mit Dienstleistern, die personenbezogene Daten im Auftrag verarbeiten. Dazu zählen beispielsweise Hosting-Anbieter, Newsletter-Tools, HR-Software, CRM-Systeme, IT-Dienstleister oder externe Supportanbieter.

AV-Verträge werden zwar oft eingeholt – aber selten konsequent gepflegt.

Typische Aktualitätsprobleme:

• neue Dienstleister starten ohne abgeschlossenen AV-Vertrag
• alte Verträge liegen in veralteten Versionen vor
• Unterauftragnehmerlisten werden nicht geprüft
• internationale Datenübermittlungen sind nicht sauber dokumentiert
• Leistungsänderungen werden nicht nachvollzogen
• gekündigte Dienstleister bleiben in der Dokumentation stehen

Quick-Check:
Ist jeder Dienstleister mit den Leistungen dokumentiert, die er erbringt? Gibt es für jeden aktiven Dienstleister mit Zugriff auf personenbezogene Daten einen aktuellen AV-Vertrag?

Automatisierungsimpuls:
Das Lieferantenmanagement sollte mit der Datenschutzdokumentation verbunden sein. Wird ein neuer Anbieter angelegt, startet automatisch die Prüfung: Werden personenbezogene Daten verarbeitet? Ist ein AV-Vertrag nötig? Gibt es Drittlandbezug? Diese werden in der Verarbeitung verlinkt. So müssen Sie bei Änderungen nicht alle Verarbeitungen aktualisieren, sondern nur die Dienstleisterdokumentation.

5. Löschkonzept

Das Löschkonzept gehört zu den Dokumenten, die viele Unternehmen zwar haben – aber nur wenige wirklich leben.

Ein gutes Löschkonzept beschreibt, welche personenbezogenen Daten wann gelöscht, anonymisiert oder archiviert werden. In der Realität existiert oft ein abstraktes Konzept, während Daten in Systemen weiterhin jahrelang liegen bleiben.

Typische Aktualitätsprobleme:

• neue Systeme sind nicht im Löschkonzept enthalten
• Löschfristen sind nicht konkret genug
• Verantwortlichkeiten sind unklar
• technische Löschroutinen fehlen
• Archivierungs- und Aufbewahrungspflichten sind nicht sauber abgegrenzt
• Datenkopien in Backups, Exporten oder Schattenlisten werden nicht berücksichtigt

Das Risiko: Unternehmen können zwar erklären, dass sie ein Löschkonzept haben – aber nicht nachweisen, dass tatsächlich gelöscht wird.

Quick-Check:
Kann das Unternehmen für zentrale Datenarten konkret zeigen, wann und wie sie gelöscht werden?

Automatisierungsimpuls:
Löschfristen sollten möglichst direkt mit Systemen verbunden werden. Automatische Erinnerungen an Fachverantwortliche helfen, Löschprüfungen nicht zu vergessen.

6. Datenschutz-Folgenabschätzungen

Datenschutz-Folgenabschätzungen, kurz DSFA, sind erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen mit sich bringt.

Viele Unternehmen erstellen eine DSFA bei Einführung eines kritischen Prozesses – aktualisieren sie danach aber nicht mehr.

Typische Aktualitätsprobleme:

• neue Funktionen eines Tools werden nicht bewertet
• geänderte Datenkategorien erhöhen das Risiko
• neue Nutzergruppen oder Betroffenengruppen kommen hinzu
• KI- oder Profiling-Komponenten werden ergänzt
• Schutzmaßnahmen ändern sich
• Risikobewertungen bleiben auf altem Stand

Eine DSFA ist kein einmaliges Projektabschlussdokument. Sie muss aktualisiert werden, wenn sich die Verarbeitung oder das Risiko verändert.

Quick-Check:
Gab es seit der letzten DSFA wesentliche Änderungen am Prozess, Tool, Zweck, Datenumfang oder Risikoniveau?

Automatisierungsimpuls:
Änderungen an risikobehafteten Verarbeitungstätigkeiten können automatisch einen DSFA-Review auslösen. So wird nicht erst im Nachhinein erkannt, dass eine Neubewertung nötig gewesen wäre.

7. Berechtigungskonzepte

Berechtigungskonzepte dokumentieren, wer Zugriff auf welche personenbezogenen Daten hat – und warum. Sie sind besonders wichtig für Vertraulichkeit, Zugriffskontrolle und interne Rechenschaftspflichten.

In vielen Unternehmen sind sie jedoch nicht aktuell genug.

Typische Aktualitätsprobleme:

• ausgeschiedene Mitarbeitende bleiben in Systemen aktiv
• Rollenwechsel werden nicht nachvollzogen
• Sammelaccounts erschweren Kontrolle
• Adminrechte sind zu weit vergeben
• externe Dienstleister haben mehr Zugriff als nötig
• Berechtigungen werden nicht regelmäßig überprüft

Berechtigungskonzepte sind besonders dynamisch, weil sich Teams, Rollen und Tools ständig verändern. Genau deshalb veralten sie schnell.

Quick-Check:
Gibt es eine Richtlinie, wer welche Berechtigungen erhält und wann entzogen bekommt? Gibt es regelmäßige Prüfungen von Zugriffsrechten – und werden sie dokumentiert?

Automatisierungsimpuls:
Berechtigungsprüfungen lassen sich mit HR-Prozessen verbinden. Eintritt, Rollenwechsel und Austritt von Mitarbeitenden sollten automatisch IT-Sicherheitsprozesse anstoßen.

Warum diese Dokumente so schnell veralten

Datenschutzdokumentation scheitert selten daran, dass Unternehmen gar nichts dokumentieren. Das eigentliche Problem ist meist ein anderes: Die Dokumentation ist nicht mit den operativen Prozessen verbunden.

• Neue Tools werden im Einkauf eingeführt.
• Neue Kampagnen entstehen im Marketing.
• Neue Datenflüsse entstehen in der IT.
• Neue Dienstleister werden von Fachbereichen beauftragt.
• Neue Mitarbeitende erhalten Zugriff auf Systeme.

Wenn Datenschutz erst am Ende informiert wird, ist die Dokumentation immer einen Schritt zu spät.

Die eigentliche Frage lautet nicht: „Haben wir das Dokument?“

Sondern:

Ist das Dokument noch wahr?

Das ist der entscheidende Unterschied. Ein vorhandenes, aber veraltetes Datenschutzdokument vermittelt Sicherheit, die im Ernstfall nicht trägt.

Deshalb sollten Unternehmen ihre Datenschutzdokumentation nicht als Ablage verstehen, sondern als lebendes System.