Es gibt einen Moment, den jeder Datenschutzverantwortliche im Mittelstand kennt. Die Aufsichtsbehörde meldet sich, freundlich, mit einer Frist. Und plötzlich stellt sich heraus, dass die “Dokumentation” aus drei Excel-Tabellen besteht, von denen zwei veraltet sind und eine niemand mehr öffnen kann, weil der Kollege, der sie gepflegt hat, seit einem Jahr im anderen Team sitzt.
Das ist der Normalfall. Nicht die Ausnahme. Die DSGVO verlangt seit Mai 2018 eine ganze Reihe an Nachweisen, und die meisten kleinen und mittleren Unternehmen haben sie nie vollständig aufgebaut. Nicht, weil sie es nicht wollten, sondern weil niemand ihnen eine klare, abarbeitbare Liste gegeben hat. Genau das ist der Zweck dieses Artikels.
Warum “wir sind zu klein dafür” nicht stimmt
Der häufigste Irrtum zuerst: Viele KMU glauben, die Dokumentationspflichten würden sie nicht betreffen, weil sie unter 250 Mitarbeiter haben. Das ist ein Missverständnis von Art. 30 Abs. 5 DSGVO.
Die dort genannte Ausnahme greift nämlich nur, wenn keine der drei Bedingungen erfüllt ist: Die Verarbeitung darf kein Risiko für die Rechte und Freiheiten der Betroffenen bergen, sie darf nicht regelmäßig erfolgen, und sie darf keine besonderen Kategorien nach Art. 9 (Gesundheit, Religion, Gewerkschaft) umfassen.
Sobald Sie regelmäßig Kunden- oder Mitarbeiterdaten verarbeiten – und das tut praktisch jedes Unternehmen mit einer Gehaltsabrechnung und einem CRM – ist die Verarbeitung nicht mehr “gelegentlich”. Die Ausnahme fällt weg. In der Praxis muss so gut wie jedes KMU ein Verzeichnis von Verarbeitungstätigkeiten führen.
Und die Grundpflicht der Rechenschaft aus Art. 5 Abs. 2 DSGVO kennt ohnehin keine Mitarbeitergrenze. Wer nicht nachweisen kann, dass er die Grundsätze der Datenverarbeitung einhält, hat sie im Zweifel nicht eingehalten. So sieht es zumindest die Behörde.
📷 BILD-PLATZHALTER: Ein überfüllter Ordner “Datenschutz” auf einem Bildschirm mit unzähligen veralteten Excel-Dateien, daneben eine leere To-do-Liste mit dem Titel “DSGVO-Dokumentation”.
Die sieben Dokumente, die Sie wirklich brauchen
Vergessen Sie die 40-seitigen Compliance-Handbücher. Für ein typisches KMU reduziert sich die Pflicht auf eine überschaubare Zahl an Bausteinen. Arbeiten Sie diese der Reihe nach ab.
1. Das Verzeichnis von Verarbeitungstätigkeiten (VVT)
Das Herzstück nach Art. 30 DSGVO. Für jede Verarbeitung – Bewerbermanagement, Newsletter, Lohnbuchhaltung, Videoüberwachung – müssen Sie Zweck, Rechtsgrundlage, Datenkategorien, Empfänger, Löschfristen und die technisch-organisatorischen Maßnahmen festhalten. Klingt nach viel, ist aber pro Tätigkeit oft nur eine halbe Seite. Das Problem liegt selten in der Vorlage. Es liegt darin, dass niemand genau weiß, welche personenbezogenen Daten wo tatsächlich liegen. Dazu später mehr.
2. Rechtsgrundlagen je Verarbeitung
Zu jeder Tätigkeit gehört eine saubere Rechtsgrundlage nach Art. 6 Abs. 1 – Einwilligung, Vertragserfüllung, berechtigtes Interesse, gesetzliche Pflicht. Wer “berechtigtes Interesse” ankreuzt, sollte die dazugehörige Abwägung schriftlich dokumentiert haben. Ein leeres Feld ist bei einer Prüfung ein rotes Tuch.
3. Informationspflichten (Datenschutzerklärung)
Art. 13 und 14 verlangen, dass Betroffene wissen, was mit ihren Daten passiert. Das betrifft nicht nur die Website. Auch das Bewerbungsformular, der Aufnahmebogen für Neukunden und der Arbeitsvertrag brauchen ihre Informationstexte. Prüfen Sie, ob Ihre Datenschutzerklärung noch zu dem passt, was Sie tatsächlich verarbeiten.
4. Auftragsverarbeitungsverträge (AVV)
Jeder externe Dienstleister, der in Ihrem Auftrag Daten verarbeitet – der Cloud-Hoster, das Newsletter-Tool, der Lohnabrechnungsdienst – braucht einen Vertrag nach Art. 28 DSGVO. Führen Sie eine Liste. Bei jedem neuen SaaS-Tool, das ein Fachbereich im Alleingang bucht, fehlt dieser Vertrag zunächst. Schatten-IT ist der stille Killer jeder AVV-Liste.
5. Technische und organisatorische Maßnahmen (TOM)
Art. 32 verlangt einen dokumentierten Nachweis Ihrer Sicherheitsmaßnahmen: Zugriffskonzepte, Verschlüsselung, Backup-Strategie, Berechtigungsverwaltung. Kein Roman, sondern eine strukturierte Übersicht, die zeigt, dass Sie sich Gedanken gemacht haben.
6. Löschkonzept und Aufbewahrungsfristen
Art. 5 Abs. 1 lit. e schreibt Speicherbegrenzung vor: Daten dürfen nicht ewig liegen bleiben. Gleichzeitig zwingen Sie §§ 147 AO und 257 HGB, Rechnungen und Handelsbriefe sechs bis zehn Jahre aufzubewahren. Ihr Löschkonzept muss beides zusammenbringen und pro Datenart eine Frist nennen. Wann genau löschen Sie eigentlich die Daten eines abgelehnten Bewerbers?
7. Verfahren für Betroffenenrechte und Datenpannen
Kommt eine Auskunftsanfrage nach Art. 15, läuft eine Frist von einem Monat (Art. 12 Abs. 3). Kommt eine Datenpanne, haben Sie 72 Stunden bis zur Meldung an die Aufsichtsbehörde (Art. 33). Beides braucht einen dokumentierten Ablauf, damit im Ernstfall nicht erst improvisiert wird. Ein Betroffener, der auf seine Auskunft wartet, wartet nicht geduldig.
📷 BILD-PLATZHALTER: Eine strukturierte Checkliste mit sieben Punkten, die ersten fünf grün abgehakt, die letzten beiden noch offen, im Stil einer sauberen Software-Oberfläche.
Der blinde Fleck: Sie dokumentieren, was Sie zu kennen glauben
Hier liegt der eigentliche Bruch. Alle sieben Dokumente setzen eines voraus: dass Sie wissen, welche personenbezogenen Daten in Ihrem Unternehmen existieren und wo. Und genau daran scheitern die meisten VVT-Projekte.
Die typische Vorgehensweise ist ein Workshop, in dem Abteilungsleiter aus dem Gedächtnis aufzählen, welche Daten sie “so haben”. Das Ergebnis ist ein Verzeichnis, das die offiziellen Systeme abbildet – und die halbe Wahrheit verschweigt. Die Kundenliste im geteilten Laufwerk, die Excel-Datei mit Gehaltsdaten auf dem Laptop der Assistenz, die alte Datenbank, die “eigentlich abgeschaltet” ist: Nichts davon taucht im Workshop auf.
Ein Verzeichnis, das nur die bekannten Systeme kennt, ist bei einer Prüfung wertlos. Der Prüfer findet die Lücke schneller, als Ihnen lieb ist. Und er muss nicht einmal besonders gründlich suchen: Es reicht, eine Abteilung zu bitten, kurz ihr geteiltes Laufwerk zu öffnen.
Deshalb dreht sich die sinnvolle Reihenfolge um. Zuerst schauen Sie in die tatsächlichen Datenbestände – Dateien, Datenbanken, Exporte – und lassen sich zeigen, wo Namen, Adressen, IBANs oder Gesundheitsdaten wirklich liegen. Erst dann füllen Sie das Verzeichnis. Aus echten Daten wird ein echter Nachweis.
Genau an diesem Punkt setzt datamastr an: Die Plattform scannt Ihre realen Datenquellen, erkennt automatisch personenbezogene Felder samt DSGVO-Kategorie und leitet daraus einen VVT-Entwurf ab – statt Sie eine leere Excel-Vorlage aus dem Gedächtnis füllen zu lassen. Was in klassischen Projekten Wochen dauert, wird so zur Frage von Minuten. Und weil die Verarbeitung auf deutschen Servern läuft, verlassen die Daten für die Analyse nicht Ihr eigenes Rechtszentrum.
Was eine Verletzung dieser Pflichten kostet
Die Zahlen sind kein leeres Drohgebärde. Verstöße gegen die Dokumentationspflicht aus Art. 30 fallen unter Art. 83 Abs. 4 DSGVO – also bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für die schwerwiegenderen Grundsatzverstöße nach Art. 5 verdoppelt sich der Rahmen auf 20 Mio. Euro beziehungsweise 4 %.
In der Realität greift die Behörde selten sofort zum Maximum. Aber ein fehlendes Verzeichnis ist der erste Dominostein: Es signalisiert dem Prüfer, dass die Organisation ihre Verarbeitung nicht im Griff hat – und öffnet die Tür für ein tieferes Verfahren. Wer die Dokumentation sauber vorlegt, verkürzt jede Prüfung erheblich.
Dazu kommt ein Punkt, den viele unterschätzen: Die Dokumentation ist nicht nur ein Behörden-Thema. Kommt es zu einer Datenpanne, verlangt Art. 33 innerhalb von 72 Stunden eine Meldung, die Angaben zu den betroffenen Datenkategorien und dem wahrscheinlichen Ausmaß enthält. Ohne ein aktuelles Verzeichnis raten Sie in dieser Situation. Und Raten unter Zeitdruck endet selten gut.
📷 BILD-PLATZHALTER: Eine Prüferin am Schreibtisch blättert durch einen sauber strukturierten DSGVO-Ordner, während auf dem Bildschirm ein digitales Verarbeitungsverzeichnis mit farbig markierten Datenkategorien zu sehen ist.
Der pragmatische Startpunkt
Sie müssen nicht alles an einem Tag erledigen. Aber Sie sollten wissen, wo Sie stehen. Nehmen Sie sich die sieben Punkte, gehen Sie sie mit einem ehrlichen Blick durch und markieren Sie jeden als “vorhanden und aktuell”, “veraltet” oder “fehlt komplett”. Die meisten KMU landen bei einer Mischung – und das ist völlig in Ordnung, solange Sie den Überblick zurückgewinnen.
Wenn Sie in zehn Minuten wissen wollen, wo Ihre größten Lücken liegen, machen Sie den kostenlosen DSGVO-Schnellcheck: 12 Fragen, rund 3 Minuten, Sofort-Ergebnis mit den konkreten Baustellen. Ein guter erster Schritt, bevor die Behörde ihn für Sie macht: https://app.datamastr.com/dsgvo-check/