Datenschutzkonzept erstellen – Schritt-für-Schritt-Anleitung für KMU

Inhalt in Kürze

• Ein Datenschutzkonzept ist die zentrale DSGVO-Dokumentation Ihres Unternehmens. Es beschreibt, wie Sie personenbezogene Daten schützen – und ist im Ernstfall Ihr wichtigster Nachweis gegenüber Behörden.
• Die DSGVO verlangt kein bestimmtes Format, aber sie verlangt, dass Sie Ihre Datenschutzmaßnahmen dokumentieren können (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO).
• Für KMU reicht ein pragmatisches Konzept mit 8–12 Kapiteln. Sie brauchen keinen 200-seitigen Ordner – aber Sie brauchen eine saubere Struktur.
• Die häufigsten Fehler: Kein Verarbeitungsverzeichnis, veraltete Datenschutzerklärung, fehlende AVVs, kein Löschkonzept.
• Mit der richtigen Anleitung erstellen Sie ein solides Datenschutzkonzept in 4–6 Wochen.

"Haben Sie ein Datenschutzkonzept?"

Diese Frage bekommen Geschäftsführer immer häufiger gestellt. Von Datenschutzbehörden bei Anfragen oder Beschwerden. Von Großkunden im Rahmen von Lieferantenaudits. Von der eigenen Cyberversicherung bei Vertragsabschluss. Und von Bewerbern, die wissen wollen, wie ihr potenzieller Arbeitgeber mit Daten umgeht.

Die ehrliche Antwort in vielen KMU: "Nicht wirklich."

Es gibt vielleicht eine Datenschutzerklärung auf der Website. Vielleicht ein paar Einwilligungserklärungen. Vielleicht sogar einen bestellten Datenschutzbeauftragten. Aber ein durchdachtes, zusammenhängendes Datenschutzkonzept? Das fehlt.

Dieser Artikel zeigt Ihnen Schritt für Schritt, wie Sie ein Datenschutzkonzept erstellen – praxistauglich, DSGVO-konform und ohne dass Sie dafür Jurist sein müssen.

Was ist ein Datenschutzkonzept nach DSGVO?

Ein Datenschutzkonzept ist ein strukturiertes Dokument, das beschreibt, wie Ihr Unternehmen personenbezogene Daten verarbeitet und schützt. Es dient der Einhaltung der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG). Ein gutes Datenschutzkonzept hilft Ihnen, die Rechenschaftspflichten und Dokumentationspflichten der DSGVO systematisch zu erfüllen. Das Datenschutzkonzept ist kein einzelnes Formular, sondern ein Rahmenwerk aus mehreren zusammenhängenden Dokumenten – eng verknüpft mit dem IT-Sicherheitskonzept Ihres Unternehmens.

Das Datenschutzkonzept bzw. die Datenschutzrichtlinie gehört zu den wichtigsten Dokumenten für die Einhaltung der DSGVO. Ein gutes Datenschutzkonzept hilft Ihnen, die Anforderungen des Datenschutzes strukturiert zu erfüllen und den Stellenwert des Datenschutzes in Ihrem Unternehmen sichtbar zu machen.

Das Konzept beantwortet drei grundlegende Fragen:

1. Welche personenbezogenen Daten verarbeiten wir? (Bestandsaufnahme)
2. Auf welcher Rechtsgrundlage und zu welchem Zweck? (Rechtmäßigkeit)
3. Wie schützen wir diese Daten? (Technische und organisatorische Maßnahmen)

Wer braucht ein Datenschutzkonzept?

Grundsätzlich jedes Unternehmen, das personenbezogene Daten verarbeitet – unabhängig von der Unternehmensgröße. Auch kleine Unternehmen mit wenigen Mitarbeitenden haben eine gesetzliche Pflicht zur Dokumentation. Datenschutz im Unternehmen beginnt mit der systematischen Dokumentation. Die Datenschutz-Grundverordnung verwendet den Begriff "Datenschutzkonzept" zwar nicht explizit, aber sie verlangt in Art. 5 Abs. 2 die Rechenschaftspflicht (Accountability): Sie müssen nachweisen können, dass Sie die Datenschutzgrundsätze einhalten. Und in Art. 24 verlangt sie, dass Sie geeignete technische und organisatorische Maßnahmen umsetzen und dies nachweisen können. Auch das BDSG konkretisiert diese Pflichten für deutsche Unternehmen. Die Einhaltung der DSGVO ist dabei keine einmalige Aufgabe, sondern ein fortlaufender Prozess.

Ein Datenschutzkonzept zu erstellen ist der strukturierte Weg, diese Nachweispflicht zu erfüllen. Die DSGVO fordert dabei, dass Unternehmen jederzeit nachweisen können, wie sie mit personenbezogenen Daten umzugehen haben. Ohne ein solches Konzept stehen Sie bei einer Prüfung durch die Aufsichtsbehörde mit leeren Händen da. Ein Datenschutzbeauftragter – ob intern oder externer Datenschutzbeauftragter – kann Sie bei der Erstellung des Datenschutzkonzeptes maßgeblich unterstützen.

Die Bausteine eines allgemeinen Datenschutzkonzeptes

Ein vollständiges Datenschutzkonzept für ein KMU besteht aus diesen Kerndokumenten. Ein allgemeines Datenschutzkonzept bildet den Rahmen, der dann auf Ihre spezifischen Verantwortlichkeiten und Verarbeitungstätigkeiten angepasst wird. Nutzen Sie diese Übersicht als Vorlage für die strukturierte Erstellung Ihres Datenschutzkonzeptes:

Schritt-für-Schritt-Anleitung: So erstellen Sie Ihr Datenschutzkonzept

Schritt 1: Bestandsaufnahme – Welche Daten verarbeiten Sie?

Bevor Sie irgendetwas dokumentieren können, müssen Sie wissen, was Sie überhaupt tun. Die Bestandsaufnahme ist der wichtigste und oft aufwändigste Schritt.

Befragen Sie alle Abteilungen:

• Personal/HR: Bewerberdaten, Mitarbeiterdaten, Lohn- und Gehaltsabrechnung, Krankmeldungen, BEM-Verfahren
• Vertrieb: Kundendaten, Angebote, CRM-System, Newsletter-Empfänger
• Buchhaltung: Rechnungen, Bankdaten, Steuerunterlagen
• IT: Nutzerdaten, Log-Dateien, E-Mail-Systeme, Cloud-Dienste
• Marketing: Website-Besucher, Social Media, Werbe-Tracking, Event-Teilnehmer
• Geschäftsführung: Verträge, Geschäftspartner-Daten, Gesellschafterdaten

Für jede Verarbeitungstätigkeit notieren Sie:

• Was: Welche Datenkategorien? (Name, Adresse, E-Mail, Bankdaten...)
• Warum: Welcher Zweck? (Vertragserfüllung, Lohnabrechnung, Marketing...)
• Wie lange: Wie lange speichern Sie die Daten? (Aufbewahrungsfristen)
• Wer: Wer hat Zugriff? Welche Dienstleister sind beteiligt?
• Wo: Wo werden die Daten gespeichert? (Server, Cloud, Aktenordner)

Schritt 2: Verzeichnis von Verarbeitungstätigkeiten erstellen (Art. 30 DSGVO)

Das Verzeichnis von Verarbeitungstätigkeiten (auch Verarbeitungsverzeichnis genannt) ist das Herzstück Ihres Datenschutzkonzeptes. Es ist für die meisten Unternehmen gesetzlich vorgeschrieben (ab 250 Mitarbeitende grundsätzlich, aber auch für kleinere Unternehmen bei regelmäßiger Datenverarbeitung personenbezogener Daten – was praktisch immer der Fall ist). Vorlagen und Muster für das Verarbeitungsverzeichnis finden Sie bei den Datenschutzaufsichtsbehörden der Länder.

Für jede Verarbeitungstätigkeit dokumentieren Sie:

• Name und Kontaktdaten des Verantwortlichen (und ggf. des DSB)
• Zweck der Verarbeitung
• Kategorien betroffener Personen (Mitarbeitende, Kunden, Bewerber...)
• Kategorien personenbezogener Daten (Stammdaten, Bankdaten, Gesundheitsdaten...)
• Empfänger (intern und extern)
• Drittlandtransfers (falls Daten außerhalb der EU verarbeitet werden)
• Löschfristen
• Technische und organisatorische Maßnahmen

Praxistipp: Starten Sie mit einer einfachen Excel-Tabelle als Vorlage oder nutzen Sie ein Muster für ein Datenschutzkonzept als Ausgangspunkt. Jede Zeile ist eine Verarbeitungstätigkeit, die Spalten entsprechen den oben genannten Pflichtangaben. 15–30 Verarbeitungstätigkeiten sind für ein typisches KMU normal. Es gibt auch kostenlose Vorlagen und Muster-Vorlagen zum Download, die die Erstellung des Verzeichnisses von Verarbeitungstätigkeiten erleichtern.

Schritt 3: Technisch-organisatorische Maßnahmen dokumentieren (Art. 32 DSGVO)

Die TOMs beschreiben, wie Sie personenbezogene Daten konkret schützen. Die DSGVO nennt in Art. 32 beispielhaft:

Vertraulichkeit:

• Zutrittskontrolle: Wer darf physisch in Ihre Räume? (Schlüsselvergabe, Alarmanlage)
• Zugangskontrolle: Wer darf sich an welchen Systemen anmelden? (Passwort-Policy, MFA)
• Zugriffskontrolle und Zugriffsrechte: Wer darf auf welche Daten zugreifen? (Berechtigungskonzept, Rollenmodell) — Die datenschutzrechtlich korrekte Vergabe von Zugriffsrechten ist ein zentraler Baustein des Datenschutzes.
• Weitergabekontrolle: Wie werden Daten sicher übertragen? (Verschlüsselung, VPN)

Integrität:

• Eingabekontrolle: Wer hat wann welche Daten eingegeben oder verändert? (Audit-Logs)
• Auftragskontrolle: Werden Daten nur gemäß den Weisungen des Auftraggebers verarbeitet?

Verfügbarkeit und Belastbarkeit:

• Backup-Konzept: Wie und wie oft werden Daten gesichert?
• Wiederherstellbarkeit: Wie schnell können Sie Daten nach einem Vorfall wiederherstellen?
• Notfallplan: Was passiert bei einem Systemausfall?

Verfahren zur regelmäßigen Überprüfung:

• Wie und wie oft überprüfen Sie die Wirksamkeit Ihrer Maßnahmen?
• Regelmäßige Audits, Penetrationstests, Schwachstellenscans
• Risikoanalyse für besondere Risiken bei der Datenverarbeitung

Praxistipp: Dokumentieren Sie, was Sie tatsächlich tun – nicht, was Sie gerne tun würden. Ein ehrliches Konzept mit Lücken ist besser als ein perfektes Konzept, das nicht der Realität entspricht. Die Lücken füllen Sie dann mit dem Maßnahmenplan.

Schritt 4: Datenschutzerklärung erstellen oder aktualisieren

Ihre Datenschutzerklärung auf der Website muss vollständig und aktuell sein. Sie informiert Besucher und Kunden darüber, wie Sie deren Daten verarbeiten.

Pflichtinhalte nach Art. 13 DSGVO:

• Name und Kontaktdaten des Verantwortlichen
• Kontaktdaten des Datenschutzbeauftragten (falls vorhanden)
• Zwecke und Rechtsgrundlagen der Verarbeitung
• Berechtigte Interessen (falls relevant)
• Empfänger oder Kategorien von Empfängern
• Drittlandtransfers und deren Absicherung
• Speicherdauer oder Kriterien für die Festlegung
• Rechte der Betroffenen (Auskunft, Löschung, Widerspruch etc.)
• Recht auf Beschwerde bei der Aufsichtsbehörde
• Cookie-Informationen und Tracking (mit Verweis auf Cookie-Banner)

Häufiger Fehler: Die Datenschutzerklärung wurde 2018 erstellt und seitdem nicht aktualisiert. Neue Tools (CRM, Newsletter, Analytics, KI-Tools) wurden eingeführt, aber die Datenschutzerklärung nicht angepasst. Das ist ein typischer Befund bei Audits.

Unser Hugo Check prüft Ihre Website automatisch auf DSGVO- und TDDDG-Konformität – einschließlich der Datenschutzerklärung.

Schritt 5: Auftragsverarbeitungsverträge prüfen und abschließen

Jeder Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet, braucht einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Ohne AV-Verträge ist die Auftragsdatenverarbeitung rechtswidrig. Typische Auftragsverarbeiter sind:

• Cloud-Anbieter (Microsoft 365, Google Workspace, AWS)
• E-Mail-Marketing-Tools (Brevo, Mailchimp, CleverReach)
• CRM-Systeme (Salesforce, HubSpot, Pipedrive)
• Lohnabrechnungs-Dienstleister
• IT-Dienstleister mit Fernzugriff
• Hosting-Provider
• Aktenvernichtungs-Dienstleister
• KI-Tools (ChatGPT Enterprise, Copilot)

Praxistipp: Erstellen Sie eine vollständige Liste aller Dienstleister, die Zugang zu personenbezogenen Daten haben. Prüfen Sie für jeden, ob ein AVV vorhanden ist. Die meisten großen Anbieter stellen standardisierte AVVs/DPAs bereit – Sie müssen sie nur abschließen.

Schritt 6: Löschkonzept erstellen

Die DSGVO verlangt, dass Sie personenbezogene Daten löschen, wenn der Verarbeitungszweck entfällt – es sei denn, gesetzliche Aufbewahrungsfristen stehen dem entgegen. Ein Löschkonzept definiert für jede Datenkategorie:

Schritt 7: Prozess für Betroffenenrechte definieren

Die DSGVO gibt betroffenen Personen umfangreiche Rechte. Sie müssen in der Lage sein, diese Rechte innerhalb der gesetzlichen Fristen (in der Regel ein Monat) zu erfüllen:

• Recht auf Auskunft (Art. 15): Welche Daten speichern Sie über die Person?
• Recht auf Berichtigung (Art. 16): Falsche Daten korrigieren
• Recht auf Löschung (Art. 17): Daten löschen, wenn kein Grund mehr besteht
• Recht auf Einschränkung (Art. 18): Verarbeitung vorübergehend einschränken
• Recht auf Datenübertragbarkeit (Art. 20): Daten in maschinenlesbarem Format bereitstellen
• Widerspruchsrecht (Art. 21): Gegen bestimmte Verarbeitungen widersprechen

Definieren Sie einen klaren Prozess: Wer nimmt Anfragen entgegen? Wie wird die Identität des Anfragenden geprüft? Wer sammelt die Daten zusammen? Wer antwortet innerhalb welcher Frist?

Schritt 8: Meldeprozess für Datenpannen festlegen

Definieren Sie, was bei einer Datenschutzverletzung passiert:

1. Erkennung und Meldung intern Jeder Mitarbeitende muss wissen, was eine Datenpanne ist und an wen er sie melden soll. Die interne Meldekette muss schnell funktionieren.
2. Bewertung durch den Datenschutzbeauftragten Der DSB bewertet, ob eine Meldepflicht an die Aufsichtsbehörde besteht (Art. 33 DSGVO) und ob die betroffenen Personen informiert werden müssen (Art. 34 DSGVO).
3. Meldung an die Aufsichtsbehörde Innerhalb von 72 Stunden, wenn ein Risiko für die Betroffenen besteht. Der DSB übernimmt oder unterstützt die Formulierung.
4. Information der Betroffenen Bei hohem Risiko müssen die betroffenen Personen direkt und unverzüglich informiert werden.
5. Dokumentation und Nachbereitung Jede Datenpanne wird dokumentiert – auch wenn keine Meldepflicht besteht. Maßnahmen zur Verhinderung eines erneuten Vorfalls werden definiert und umgesetzt.

Die 7 häufigsten Fehler beim Datenschutzkonzept erstellen

Aus unserer Beratungspraxis kennen wir die typischen Stolpersteine:

1. Das Verzeichnis von Verarbeitungstätigkeiten fehlt oder ist unvollständig Ohne Verarbeitungsverzeichnis gibt es kein Datenschutzkonzept. Es ist die Grundlage für alles andere und nach der Datenschutz-Grundverordnung vorgeschrieben. Und ja: Fast jedes Unternehmen ist zur Führung verpflichtet – auch nach BDSG.

2. Die Datenschutzerklärung ist veraltet Die meisten Datenschutzerklärungen wurden 2018 erstellt und seitdem nicht aktualisiert. Jedes neue Tool, jeder neue Dienstleister muss berücksichtigt werden.

3. Auftragsverarbeitungsverträge fehlen Cloud-Dienste, Newsletter-Tools, Lohnabrechner – für alle brauchen Sie einen AVV. In vielen Unternehmen fehlen mehrere davon.

4. Kein Löschkonzept vorhanden Daten werden "einfach behalten". Ohne Löschkonzept verstoßen Sie gegen den Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO).

5. Mitarbeitende sind nicht geschult Datenschutz funktioniert nur, wenn alle Mitarbeitenden die Grundlagen kennen. Einmalige Schulung bei der Einstellung reicht nicht – jährliche Auffrischung ist Standard.

6. Einwilligungen sind fehlerhaft Einwilligungen müssen freiwillig, informiert, für den konkreten Fall und unmissverständlich sein. Vorangekreuzte Checkboxen, versteckte Klauseln in AGB oder fehlende Widerrufsmöglichkeiten machen die Einwilligung unwirksam. Der Grundsatz der Datensparsamkeit (auch: Datenminimierung) wird dabei häufig verletzt.

7. Das Konzept existiert nur auf Papier Ein Datenschutzkonzept muss gelebt werden. Wenn der dokumentierte Prozess nicht der Realität entspricht, nützt die schönste Dokumentation nichts. Im Audit fällt das sofort auf.

Datenschutzkonzept: Vorlagen, Muster und Datenschutzrichtlinie

Viele Unternehmen suchen Vorlagen oder eine Muster-Vorlage als Ausgangspunkt für ihr Datenschutzkonzept. Das ist grundsätzlich sinnvoll – eine gute Vorlage spart Zeit bei der Erstellung. Beachten Sie aber: Jedes Datenschutzkonzept muss individuell auf Ihr Unternehmen und Ihre Datenverarbeitung zugeschnitten sein. Eine generische Vorlage zum Download kann immer nur ein Startpunkt sein. Auch der Schutz von Kundendaten muss spezifisch für Ihre Branche und Geschäftsmodelle dokumentiert werden.

Neben dem Datenschutzkonzept empfehlen wir, eine interne Datenschutzrichtlinie zu erstellen. Diese richtet sich an Ihre Mitarbeitenden und definiert verbindliche Regeln und Verantwortlichkeiten für den Umgang mit personenbezogenen Daten im Arbeitsalltag. Der Datenschutzbeauftragte sollte sowohl das Datenschutzkonzept als auch die Datenschutzrichtlinie regelmäßig überprüfen und aktualisiert halten. Die konsequente Einhaltung der Datenschutzrichtlinie stärkt den Schutz des Datenschutzes in Ihrem Unternehmen.

So unterstützen wir Sie

Ein Datenschutzkonzept zu erstellen muss nicht zur Mammutaufgabe werden. Mit professioneller Unterstützung ist ein strukturiertes, solides Konzept in 4–6 Wochen realisierbar.

Datenschutzberatung: Wir begleiten Sie bei der Erstellung Ihres Datenschutzkonzepts – von der Bestandsaufnahme über das Verarbeitungsverzeichnis bis zum fertigen Dokumentenpaket.

Externer Datenschutzbeauftragter: Als Ihr externer DSB erstellen wir das Datenschutzkonzept im Rahmen des Erst-Audits und halten es laufend aktuell. Ab 149 Euro pro Monat.

DSGVO-Audit: Sie haben bereits ein Datenschutzkonzept, sind aber unsicher, ob es vollständig und aktuell ist? Unser Audit prüft systematisch alle Bausteine und liefert einen konkreten Maßnahmenplan.

In unseren Audits sehen wir immer dasselbe Muster: Unternehmen, die sich zum ersten Mal mit ihrem Datenschutzkonzept beschäftigen, sind überrascht, wie viele personenbezogene Daten sie eigentlich verarbeiten. Die Bestandsaufnahme ist der Augenöffner – und der wichtigste Schritt. Wenn Sie wissen, was Sie tun, können Sie es auch schützen.

Nils OehmichenDatenschutzberater bei frag.hugo

Häufige Fragen (FAQ)

Braucht jedes Unternehmen ein Datenschutzkonzept?

Formal verlangt die DSGVO kein Dokument mit dem Titel "Datenschutzkonzept". Aber die Rechenschaftspflicht (Art. 5 Abs. 2) und die Nachweispflicht (Art. 24) verlangen, dass Sie Ihre Datenschutzmaßnahmen dokumentieren können. Ein Datenschutzkonzept ist der strukturierteste Weg, das zu tun. Praktisch gesprochen: Ja, jedes Unternehmen braucht eines.

Wie umfangreich muss ein Datenschutzkonzept sein?

Das hängt von der Größe und Komplexität Ihres Unternehmens und der Art der Datenverarbeitung ab. Für ein KMU mit 20–100 Mitarbeitenden rechnen Sie mit 30–60 Seiten Kernkonzept plus Anhänge (Verzeichnis von Verarbeitungstätigkeiten, TOMs, AVVs). Es geht nicht um Seitenzahlen, sondern um Vollständigkeit und Praxisbezug. Der Datenschutzbeauftragte kann die angemessene Tiefe einschätzen.

Kann ich ein Datenschutzkonzept selbst erstellen?

Grundsätzlich ja. Die DSGVO schreibt nicht vor, dass ein Jurist oder Berater das Konzept erstellt. In der Praxis empfehlen wir aber professionelle Unterstützung – zumindest für die Ersterfassung und das Verarbeitungsverzeichnis. Die rechtlichen Feinheiten (Rechtsgrundlagen, Drittlandtransfers, Folgenabschätzungen) erfordern Fachwissen.

Was kostet die Erstellung eines Datenschutzkonzepts?

Für ein KMU mit 20–100 Mitarbeitenden bewegen sich die Kosten für eine professionelle Erstellung typischerweise im niedrigen bis mittleren vierstelligen Bereich. Als Kunde unseres externen Datenschutzbeauftragten ist die Erstellung des Datenschutzkonzepts im Erst-Audit enthalten – ab 149 Euro monatlich.

Wie oft muss ein Datenschutzkonzept aktualisiert werden?

Eine regelmäßige Überprüfung ist Pflicht: Mindestens jährlich sollte das gesamte Datenschutzkonzept überprüft und bei Bedarf aktualisiert werden. Zusätzlich muss es bei wesentlichen Änderungen der Datenverarbeitung angepasst werden: neue Software, neue Dienstleister, neue Verarbeitungstätigkeiten, organisatorische Veränderungen oder neue gesetzliche Anforderungen nach DSGVO oder BDSG. Ihr Datenschutzbeauftragter sollte die Aktualität laufend überwachen und sicherstellen, dass das Datenschutzkonzept stets den aktuellen Stand der Technik und Rechtslage widerspiegelt.

Was passiert, wenn ich kein Datenschutzkonzept habe und geprüft werde?

Ein fehlendes Datenschutzkonzept ist kein eigener Bußgeldtatbestand. Aber: Wenn die Aufsichtsbehörde prüft und Sie Ihre DSGVO-Konformität nicht nachweisen können, drohen Bußgelder für die einzelnen Verstöße – fehlende TOMs, fehlendes Verarbeitungsverzeichnis, fehlende AVVs. In der Summe kann das schnell im sechsstelligen Bereich liegen. Dazu kommt der Reputationsschaden, wenn Kunden oder Partner von der Prüfung erfahren. Meldepflichtige Datenpannen verschärfen die Lage zusätzlich, weil die Aufsichtsbehörde dann die gesamte Datenschutzorganisation unter die Lupe nimmt.

Muss mein Datenschutzkonzept auch KI-Anwendungen berücksichtigen?

Ja. Seit dem Einsatz von KI-Tools wie ChatGPT, Copilot oder Gemini in Unternehmen müssen diese Verarbeitungstätigkeiten im Datenschutzkonzept dokumentiert werden. Das umfasst die Rechtsgrundlage, die Kategorien verarbeiteter Daten und die Verantwortlichkeiten. Besonders bei KI-Anwendungen, die personenbezogene Daten verarbeiten, ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO zu prüfen. Ihr Datenschutzbeauftragter sollte die KI-Nutzung regelmäßig bewerten.

Was sind die Anforderungen des BDSG an ein Datenschutzkonzept?

Die Anforderungen des BDSG ergänzen die DSGVO für deutsche Unternehmen. Das BDSG fordert unter anderem, dass ein Datenschutzbeauftragter bestellt wird, sobald mindestens 20 Mitarbeitende regelmäßig mit der Auftragsdatenverarbeitung oder der automatisierten Verarbeitung personenbezogener Daten befasst sind. Darüber hinaus konkretisiert das BDSG die Anforderungen der DSGVO in Bereichen wie Videoüberwachung, Beschäftigtendatenschutz und der Zusammenarbeit mit der Aufsichtsbehörde. Ihr Datenschutzkonzept sollte sowohl die Anforderungen der DSGVO als auch die des BDSG abdecken, um datenschutzrechtliche Risiken zu minimieren und mit Daten sicher umzugehen.

Wie hängen Datenschutzkonzept und IT-Sicherheitskonzept zusammen?

Das Datenschutzkonzept und das IT-Sicherheitskonzept ergänzen sich und sollten aufeinander abgestimmt sein. Das Datenschutzkonzept regelt den rechtmäßigen Umgang mit personenbezogenen Daten — einschließlich Rechtsgrundlagen, Löschfristen und Betroffenenrechten. Das IT-Sicherheitskonzept definiert die technischen Schutzmaßnahmen für alle Unternehmensdaten und Systeme. Die technischen und organisatorischen Maßnahmen (TOMs) bilden die Schnittstelle: Sie sind sowohl Bestandteil des Datenschutzkonzeptes nach DSGVO als auch des IT-Sicherheitskonzepts. Wer beide Konzepte gemeinsam erstellt, vermeidet Doppelarbeit und stellt die Einhaltung der DSGVO und des BDSG sicher. Der Grundsatz der Datensparsamkeit — also nur die Daten zu verarbeiten, die tatsächlich benötigt werden — wirkt sich dabei direkt auf beide Bereiche aus.