Datenschutzdokumentation im Unternehmen – Was die DSGVO verlangt

Inhalt in Kürze

• Jedes Unternehmen braucht mindestens sechs Datenschutz-Dokumente – die meisten KMU haben davon höchstens zwei.
• Die DSGVO verlangt nicht nur Datenschutz, sondern den Nachweis. Ohne Dokumentation verstoßen Sie bereits gegen Art. 5 Abs. 2 DSGVO.
• Ein jährlicher Datenschutzbericht ist der beste Weg, die Rechenschaftspflicht gegenüber Aufsichtsbehörden und Geschäftspartnern zu erfüllen.
• Die Dokumentation lässt sich pragmatisch aufbauen – Schritt für Schritt, ohne juristisches Studium.

---

Fragt die Aufsichtsbehörde nach Ihrer Datenschutzdokumentation, haben Sie wenige Tage Zeit. Nicht Wochen. Nicht irgendwann.

In der Praxis sieht es bei vielen kleinen und mittleren Unternehmen so aus: Es gibt eine Datenschutzerklärung auf der Website. Vielleicht ein Verarbeitungsverzeichnis in einer alten Excel-Tabelle. Aber eine vollständige, aktuelle Dokumentation? Fehlanzeige.

Das Problem: Art. 5 Abs. 2 DSGVO – die sogenannte Rechenschaftspflicht – dreht die Beweislast um. Sie müssen belegen, dass Sie die Datenschutzgrundsätze einhalten. Wer das nicht kann, verstößt bereits gegen die DSGVO. Unabhängig davon, ob die Datenverarbeitung selbst korrekt läuft.

Diese Datenschutz-Dokumente braucht jedes Unternehmen

Die DSGVO verteilt ihre Dokumentationspflichten über mehrere Artikel. Für Sie als Geschäftsführer bedeutet das: Ein einzelnes Dokument reicht nicht. Sie brauchen ein System aus aufeinander abgestimmten Unterlagen.

Dokument	Rechtsgrundlage	Pflicht für KMU?
Verarbeitungsverzeichnis (VVT)	Art. 30 DSGVO	Ja, immer
Technisch-organisatorische Maßnahmen (TOM)	Art. 32 DSGVO	Ja, immer
Datenschutzerklärung (Website)	Art. 13, 14 DSGVO	Ja, immer
Auftragsverarbeitungsverträge (AVV)	Art. 28 DSGVO	Ja, bei Dienstleistern
Löschkonzept	Art. 17 DSGVO	Ja, immer
Einwilligungsmanagement	Art. 7 DSGVO	Ja, bei Einwilligungen
Datenschutz-Folgenabschätzung (DSFA)	Art. 35 DSGVO	Bei hohem Risiko
Datenschutzbericht	Art. 5 Abs. 2 DSGVO (Nachweis)	Empfohlen

Der Datenschutzbericht – Ihr jährlicher Pflichtnachweis

Die DSGVO schreibt keinen formellen Datenschutzbericht vor. Trotzdem ist er das wichtigste Instrument, um die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO zu erfüllen. Denn bei einer Prüfung durch die Aufsichtsbehörde zählt nur, was dokumentiert ist.

Ein guter Datenschutzbericht beantwortet drei Fragen:

1. Wo stehen wir? – Aktueller Stand der Datenschutzmaßnahmen, Ergebnisse von Audits und Schulungen.
2. Was ist passiert? – Datenpannen, Auskunftsanfragen, Beschwerden und wie damit umgegangen wurde.
3. Was planen wir? – Maßnahmen für das kommende Jahr, identifizierte Risiken und deren Behandlung.

Der Bericht geht an die Geschäftsleitung. Er zeigt schwarz auf weiß, ob der Datenschutz im Unternehmen funktioniert – oder wo Lücken bestehen. Für Geschäftspartner und Auftraggeber ist er zudem ein starkes Signal: Dieses Unternehmen nimmt Datenschutz ernst.

Schritt für Schritt zur vollständigen Dokumentation

1. Bestandsaufnahme machen

   Erfassen Sie alle Verarbeitungstätigkeiten in Ihrem Unternehmen. Wer verarbeitet welche Daten, zu welchem Zweck, auf welcher Rechtsgrundlage? Das Ergebnis ist Ihr Verarbeitungsverzeichnis – die Basis für alles Weitere.

2. TOM dokumentieren

   Listen Sie Ihre technisch-organisatorischen Maßnahmen auf: Zugangskontrollen, Verschlüsselung, Backup-Konzept, Berechtigungskonzept. Halten Sie für jede Maßnahme fest, wann sie eingeführt wurde und wer verantwortlich ist.

3. Verträge prüfen und AVV abschließen

   Identifizieren Sie alle Dienstleister, die personenbezogene Daten für Sie verarbeiten – von der Cloud-Software bis zum Lohnabrechnungsbüro. Für jeden brauchen Sie einen Auftragsverarbeitungsvertrag.

4. Löschkonzept erstellen

   Definieren Sie für jede Datenkategorie, wann Daten gelöscht werden müssen. Ohne Löschkonzept verstoßen Sie gegen den Grundsatz der Speicherbegrenzung.

5. Jährliches Review und Datenschutzbericht

   Prüfen Sie einmal im Jahr, ob alle Dokumente aktuell sind. Fassen Sie die Ergebnisse in einem Datenschutzbericht zusammen. So schaffen Sie den Nachweis, den Art. 5 Abs. 2 DSGVO verlangt.

Aus der Praxis: Warum Dokumentation Chefsache ist

Viele Geschäftsführer schieben das Thema Datenschutzdokumentation auf die lange Bank. Zu abstrakt, zu bürokratisch. Dabei zeigt die Praxis: Wenn die Geschäftsleitung versteht, was auf dem Spiel steht, ändert sich die Haltung schnell.

Datenschutzdokumentation ist kein Selbstzweck. Sie schützt vor Bußgeldern, stärkt das Vertrauen von Kunden und Geschäftspartnern und gibt Ihnen selbst Klarheit darüber, wie Ihr Unternehmen mit Daten umgeht.

Ein externer Datenschutzbeauftragter bringt dabei einen entscheidenden Vorteil: Er kennt die Anforderungen aus dutzenden Mandaten und baut Ihre Dokumentation nach bewährten Standards auf. Statt bei null anzufangen, profitieren Sie von Vorlagen und Erfahrungswerten.

Häufige Fragen zur Datenschutzdokumentation

Welche Datenschutzdokumente braucht ein Unternehmen?

Mindestens ein Verarbeitungsverzeichnis, TOM-Dokumentation, Datenschutzerklärung, AVV-Vorlagen und Löschkonzept. Je nach Größe und Risiko kommen Datenschutz-Folgenabschätzung und Datenschutzbericht hinzu.

Ist ein Datenschutzbericht Pflicht?

Die DSGVO schreibt keinen formellen Bericht vor. Aber Art. 5 Abs. 2 verlangt, dass Sie die Einhaltung der Datenschutzgrundsätze nachweisen können. Ein jährlicher Datenschutzbericht ist dafür der beste und effizienteste Weg.

Wie oft muss die Datenschutzdokumentation aktualisiert werden?

Bei jeder Änderung an Verarbeitungstätigkeiten – etwa wenn ein neues Tool eingeführt oder ein Dienstleister gewechselt wird. Zusätzlich sollte mindestens einmal jährlich ein vollständiges Review stattfinden.

Was passiert ohne Datenschutzdokumentation?

Bußgelder bis 10 Mio. Euro oder 2 % des Jahresumsatzes nach Art. 83 DSGVO. Aufsichtsbehörden können Nachweise jederzeit anfordern. Ohne Dokumentation fehlt der Nachweis – unabhängig davon, ob Sie den Datenschutz in der Praxis einhalten.

Kann ein externer Datenschutzbeauftragter die Dokumentation erstellen?

Ja. Ein externer DSB erstellt und pflegt die komplette Dokumentation. Das ist oft effizienter als eine interne Lösung, weil er erprobte Vorlagen und Erfahrung aus vielen Mandaten mitbringt.