So läuft es heute: DSGVO-Compliance als Ordnerstruktur
In vielen Unternehmen sieht die Datenschutz-Dokumentation ähnlich aus. Auf dem Laufwerk liegt ein Ordner „Datenschutz" mit Unterordnern wie „01_VVT", „02_TOM", „03_Löschkonzept", „04_DSFA" und „05_Datenpannen". Jeder Ordner ist zu einem anderen Zeitpunkt entstanden: das Verzeichnis kurz nach Inkrafttreten der DSGVO, die TOM für die erste Kundenanfrage, das Löschkonzept nach einem Hinweis des externen Datenschutzbeauftragten, die Folgenabschätzung, als das neue Bewerbermanagement eingeführt wurde.
Jedes dieser Dokumente ist für sich genommen ordentlich. Das Problem liegt dazwischen. Das Löschkonzept nennt Datenkategorien, die im Verzeichnis anders heißen. Die TOM beschreiben das Unternehmen als Ganzes, aber nicht, welche Maßnahme für welche Verarbeitung gilt. Die Folgenabschätzung bezieht sich auf eine Fassung des Verzeichnisses, die inzwischen zweimal überarbeitet wurde. Wer welches Dokument zuletzt geändert hat, steht bestenfalls im Dateinamen: „Loeschkonzept_v3_final_MK.docx".
Die laufenden Vorgänge haben gar keinen festen Ort. Eine Auskunftsanfrage nach Art. 15 DSGVO kommt über „info@" herein und wird an die Personalabteilung weitergeleitet, mit dem Satz „Kannst du mal schauen, was wir über die Person gespeichert haben?". Ein verlorenes Notebook wird am Freitagnachmittag telefonisch gemeldet, und am Montag fragt jemand, ob man das melden muss. Löschungen finden statt, wenn jemand daran denkt – nachgewiesen wird keine.
In kleineren Organisationen und Vereinen ist das Bild ähnlich, nur kleiner: ein Ordner statt fünf, eine ehrenamtliche oder nebenamtliche Zuständigkeit und oft die Annahme, das Verzeichnis sei erst ab einer bestimmten Größe Pflicht. Das trifft in der Regel nicht zu. Die Ausnahme in Art. 30 Abs. 5 DSGVO für Unternehmen und Einrichtungen mit weniger als 250 Beschäftigten greift nicht, sobald Verarbeitungen nicht nur gelegentlich erfolgen – und die Lohnabrechnung oder die Mitgliederverwaltung erfolgt regelmäßig.
Irgendwann fällt die Entscheidung, die Dokumentation in eine Software zu überführen. Häufig wird dann das Verzeichnis übertragen, und die übrigen Ordner bleiben, wo sie sind. Damit ist das Werkzeug neu, die Struktur aber dieselbe: einzelne Dokumente ohne Bezug zueinander.
Der Moment, in dem es auffällt
Auffällig wird das selten im Alltag, sondern dann, wenn mehrere Dokumente gleichzeitig gebraucht werden. Ein Kunde schickt im Rahmen einer Lieferantenprüfung einen Fragebogen: Welche Verarbeitungen betreffen unsere Daten, welche Maßnahmen schützen sie, wann werden sie gelöscht, und wie läuft Ihr Meldeprozess bei einer Datenpanne? Oder die Aufsichtsbehörde fragt nach einem konkreten Vorfall, und es muss belegt werden, wann das Unternehmen davon Kenntnis hatte.
In beiden Fällen beginnt eine Suche durch fünf Ordner. Die Antworten existieren, aber sie passen nicht zusammen: Das Verzeichnis nennt ein System, das im Löschkonzept fehlt, die TOM sind zwei Jahre alt, und für den Meldeweg gibt es nur eine Notiz im Intranet. Spätestens jetzt zeigt sich, dass DSGVO-Compliance für Unternehmen kein Satz einzelner Dokumente ist, sondern ein zusammenhängender Prozess.
Die Analyse
Fünf Lücken zwischen den Dokumenten
Sie entstehen nicht durch mangelnde Sorgfalt, sondern weil jedes Dokument für sich erstellt wurde und keines vom anderen weiß.
Verarbeitungstätigkeiten in preeco ansehenDas Verzeichnis ist nicht der Ausgangspunkt
Löschkonzept und Folgenabschätzung beziehen sich auf Verarbeitungen, die im Verzeichnis anders benannt oder gar nicht enthalten sind. Fragt jemand nach einer konkreten Verarbeitung, passen die Antworten nicht zusammen.
Löschfristen stehen im Konzept, nicht im Ablauf
Das Löschkonzept legt Fristen fest, aber niemand wird an fällige Löschungen erinnert. Ob tatsächlich gelöscht wurde, lässt sich später nicht belegen.
TOM gelten für alles und für nichts
Ein allgemeines Dokument zu technischen und organisatorischen Maßnahmen sagt nicht, welche Maßnahme welche Verarbeitung schützt. Ändert sich ein System, bleibt offen, welche Angaben betroffen sind.
Der Meldeweg existiert nur auf dem Papier
Ohne festen Eingang für Datenpannen erreicht ein Hinweis die zuständige Person oft erst nach Tagen. Für die Bewertung innerhalb von 72 Stunden nach Art. 33 DSGVO bleibt dann kaum Zeit.
Kein Stand ist belegbar
Art. 5 Abs. 2 DSGVO verlangt, die Einhaltung der Grundsätze nachweisen zu können. Dateien ohne Freigabe und Versionsverlauf zeigen nur den letzten Stand, nicht, wer ihn wann verantwortet hat.
Der Soll-Prozess in sechs Schritten
Die Reihenfolge ist entscheidend. Jedes Dokument baut auf dem vorherigen auf, und das Verzeichnis von Verarbeitungstätigkeiten ist das Fundament, auf das sich alle anderen beziehen.
1. Das Verzeichnis als Fundament anlegen. Ein vorhandenes Verzeichnis wird nicht abgetippt. In preeco | datenschutz laden Sie es als DOCX oder XLSX hoch; optional erkennt die KI die enthaltenen Verarbeitungstätigkeiten. Gibt es noch keines, leitet die KI aus einer Organisation und einer freien Beschreibung ihrer Aufgaben passende Verarbeitungstätigkeiten ab. In beiden Fällen prüfen Sie eine Vorschau und übernehmen die Einträge als Entwurf.
2. Systeme und TOM einmal erfassen. Jedes Datenverarbeitungssystem wird einmal angelegt, technische und organisatorische Maßnahmen nach Art. 32 DSGVO werden nach Kategorien wie Zugangs-, Zugriffs- oder Weitergabekontrolle dokumentiert. Verknüpft mit den Verarbeitungstätigkeiten zeigt das System, welche Maßnahmen für welche Verarbeitung umgesetzt sind.
3. Das Löschkonzept aus dem Verzeichnis ableiten. Löschklassen verweisen auf die Verarbeitungstätigkeiten und übernehmen zahlreiche Angaben daraus. Löschregeln beschreiben den konkreten Löschvorgang; Löschfristen berücksichtigen gesetzliche Aufbewahrungspflichten, etwa aus HGB und AO. Aufgaben zu den Löschregeln lösen manuelle Löschungen aus oder prüfen automatische, und ihr Protokoll belegt die Durchführung.
4. Betroffenenrechte an das Verzeichnis anbinden. Anfragen gehen über ein Webformular auf Ihrer Website als Vorgang ein, die Monatsfrist nach Art. 12 Abs. 3 DSGVO wird überwacht. Verknüpfen Sie eine Auskunftsanfrage mit den betroffenen Verarbeitungstätigkeiten, zeigt das System die zugehörigen Datenverarbeitungssysteme und Datenfelder – das Verzeichnis wird zur Landkarte für die Antwort nach Art. 15 DSGVO.
5. Risiken vor neuen Verarbeitungen bewerten. Die Schwellwert-Analyse in der Verarbeitungstätigkeit unterstützt die Vorprüfung, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist. Die DSFA übernimmt Angaben aus den verknüpften Verarbeitungstätigkeiten; die KI schlägt auf Wunsch einen Risikokatalog und Gegenmaßnahmen vor. Das Ergebnis halten Sie als Status fest: akzeptabel, Handeln/Prüfen oder inakzeptabel.
6. Den Meldeprozess vorbereiten, bevor er gebraucht wird. Hinweise auf Datenpannen gehen über ein Meldeformular in Website oder Intranet ein. Das System überwacht die 72-Stunden-Frist nach Art. 33 DSGVO und zeigt je Meldung, ob die Frist noch läuft, ob fristgerecht oder verspätet gemeldet wurde. Neun mitgelieferte Meldevorlagen decken unter anderem die Meldung an die Aufsichtsbehörde und die Benachrichtigung Betroffener nach Art. 34 DSGVO ab.
Woran Sie eine passende Datenschutz-Software erkennen
Drei Eigenschaften tragen diesen Ablauf im Alltag. Benutzerfreundlichkeit: Wer den Datenschutz neben einer anderen Rolle betreut, muss ohne lange Einarbeitung zurechtkommen. Audit-Sicherheit: Jede Freigabe sollte einen unveränderlichen Stand erzeugen; in preeco | datenschutz entsteht dabei automatisch eine Revision, und das Aktivitätenprotokoll hält fest, wer wann was geändert hat. Skalierbarkeit: Mehrere Organisationen lassen sich in einem Team verwalten, sodass auch eine externe Datenschutzbeauftragte oder ein externer Datenschutzbeauftragter mehrere Mandanten betreut. Ausführliche Prüffragen enthält der Artikel DSGVO-Software für KMU auswählen.
Vorher und nachher im direkten Vergleich
| Kriterium | Vorher: Ordnerstruktur | Nachher: verknüpfte Dokumentation |
|---|---|---|
| Pflegeaufwand | Jedes Dokument einzeln, Angaben mehrfach erfasst | Angaben einmal erfasst, über Verknüpfungen übernommen |
| Aktualität | Stand je Ordner unterschiedlich | Wiedervorlagen erinnern an die Überprüfung |
| Vollständigkeit | Lücken zwischen den Dokumenten bleiben unbemerkt | Verknüpfungen je Dokument sichtbar |
| Nachweisfähigkeit | Letzter Dateistand, Version im Dateinamen | Revision bei jeder Freigabe, Aktivitätenprotokoll |
| Fristen | Monatsfrist und 72 Stunden im Kopf | Überwachte Fristen mit Status je Meldung |
| Löschung | Konzept ohne Nachweis der Durchführung | Aufgabenprotokoll der Löschregeln |
| Zusammenarbeit | Weitergeleitete Mails und Dateikopien | Aufgaben, Kommentare und Datenerfassungs-Formulare |
| Ausfallrisiko | Wissen bei einer Person | Prozess und Historie im System |
In der Praxis
So sieht das in preeco | datenschutz aus
Die drei Bausteine, auf denen der beschriebene Ablauf aufbaut.
Verarbeitungstätigkeiten und Systeme
Import bestehender Verzeichnisse als DOCX oder XLSX, KI-Vorschläge für einzelne Abschnitte inklusive Schwellwert-Analyse und zentrale Systemverwaltung als Grundlage für alle weiteren Dokumente.
Löschkonzept
Löschklassen verknüpft mit Verarbeitungstätigkeiten, Löschregeln mit Aufgaben, Wiedervorlagen für fällige Prüfungen und Export mit Aufgabenprotokoll als Nachweis der Durchführung.
Auskünfte und Vorfälle
Betroffenenanfragen und Datenpannen mit überwachten Fristen, Webformularen, eindeutigem Meldefrist-Status und neun mitgelieferten Meldevorlagen.
Was der Umstieg praktisch bedeutet
Der Aufbau folgt derselben Reihenfolge wie der Soll-Prozess. Wer mit dem Verzeichnis beginnt, hat für jeden weiteren Schritt bereits die Grundlage: Löschklassen, Folgenabschätzungen und Vorfälle verweisen auf Verarbeitungstätigkeiten, die es schon gibt. Die Lücken, die dabei sichtbar werden – eine Verarbeitung ohne Löschfrist, ein System ohne Maßnahmen –, sind kein Rückschlag, sondern genau die Arbeit, die vorher unbemerkt liegen geblieben ist. Für die einzelnen Schritte gibt es eigene Ratgeber-Artikel: Verarbeitungsverzeichnis, Löschkonzept, Betroffenenanfragen, Risikoanalyse und DSFA und Datenschutzvorfall.
Eine Cloud-Umgebung von preeco | datenschutz steht innerhalb von 48 Stunden an Werktagen bereit. Zum Onboarding gehören das Einrichten der Organisationsstruktur, der Benutzergruppen und Berechtigungen sowie Online-Schulungen für Administratoren und Anwender. Mehr Zeit braucht die inhaltliche Klärung: Wer verantwortet welche Verarbeitung, und wer gibt Dokumente frei?
Drei Fehler, die den Aufbau unnötig schwer machen
Mit dem dringendsten Dokument beginnen. Wer nach einer Datenpanne zuerst den Meldeprozess digitalisiert, hat keine Verarbeitungstätigkeiten, mit denen er den Vorfall verknüpfen kann. Das Verzeichnis zuerst, der Rest baut darauf auf.
Die alten Ordner parallel weiterführen. Solange das Löschkonzept zusätzlich als Word-Datei gepflegt wird, gibt es zwei Stände, und im Zweifel gilt der falsche. Legen Sie fest, ab wann das System die einzige Quelle ist.
Den Meldeweg nur beschreiben. Eine Richtlinie im Intranet ersetzt kein Meldeformular. Wissen Beschäftigte nicht, wo sie ein verlorenes Notebook melden, vergeht Zeit, die für die Bewertung innerhalb von 72 Stunden fehlt.
Woran Sie erkennen, dass es Zeit ist
Eine Ordnerstruktur ist für den Anfang kein Fehler. Zum Risiko wird sie, wenn mindestens einer dieser Punkte zutrifft:
- Löschkonzept und Verzeichnis nennen unterschiedliche Datenkategorien.
- Sie können nicht belegen, dass Löschungen tatsächlich durchgeführt wurden.
- Niemand weiß, wer eine Datenpanne am Wochenende entgegennimmt.
- Folgenabschätzungen beziehen sich auf eine veraltete Fassung des Verzeichnisses.
- Kunden fragen in Lieferantenprüfungen regelmäßig nach Ihrer Datenschutz-Dokumentation.
Trifft davon nichts zu, reicht die bisherige Struktur. Trifft mehr als einer zu, kostet sie bereits mehr Zeit, als sie spart.
FAQ
Häufige Fragen zur digitalen DSGVO-Compliance
Eine Software, die Datenpannen strukturiert erfasst, mit den betroffenen Verarbeitungstätigkeiten verknüpft und die 72-Stunden-Frist nach Art. 33 DSGVO überwacht. In preeco | datenschutz zeigt jede Meldung, ob die Frist noch läuft, ob fristgerecht oder verspätet gemeldet wurde. Neun mitgelieferte Meldevorlagen decken die Meldung an die Aufsichtsbehörde, die Benachrichtigung betroffener Personen nach Art. 34 DSGVO sowie Meldungen an das BSI ab.
In der Regel ja. Art. 30 Abs. 5 DSGVO nimmt Unternehmen und Einrichtungen mit weniger als 250 Beschäftigten nur dann aus, wenn die Verarbeitung lediglich gelegentlich erfolgt, voraussichtlich kein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt und weder besondere Kategorien personenbezogener Daten noch Daten über strafrechtliche Verurteilungen umfasst. Lohnabrechnung oder Mitgliederverwaltung finden regelmäßig statt, deshalb ist ein Verzeichnis fast immer erforderlich.
Sie leiten es aus dem Verzeichnis ab. In preeco | datenschutz verweisen Löschklassen auf Verarbeitungstätigkeiten und übernehmen zahlreiche Angaben daraus. Löschregeln beschreiben den konkreten Löschvorgang, Löschfristen berücksichtigen gesetzliche Aufbewahrungspflichten etwa aus HGB und AO. Wiedervorlagen erinnern an fällige Prüfungen, und das Aufgabenprotokoll der Löschregeln wird im Export als Nachweis der Durchführung ausgegeben.
Ein Tool, das die DSFA als geführten Prozess nach Art. 35 DSGVO abbildet und Angaben aus dem Verzeichnis übernimmt. In preeco | datenschutz unterstützt die Schwellwert-Analyse in der Verarbeitungstätigkeit die Vorprüfung, ob eine DSFA erforderlich ist. Die KI schlägt auf Wunsch einen Risikokatalog und Gegenmaßnahmen vor; die Bewertung bleibt bei Ihrem Team. Jede Speicherung in den Status Akzeptabel, Handeln/Prüfen oder Inakzeptabel erzeugt eine Revision.
Ja. preeco | datenschutz ist mandantenfähig: Mehrere Organisationen werden in einem Team verwaltet, ein Organisations-Selektor wechselt zwischen ihnen, und Berechtigungen legen fest, wer welche Organisation sieht. Eine externe Datenschutzbeauftragte oder ein externer Datenschutzbeauftragter betreut so mehrere Mandanten, während Fachbereiche über Datenerfassungs-Formulare zuliefern.
Ihre Dokumentation gemeinsam durchgehen
Bringen Sie Ihr Verzeichnis und Ihr Löschkonzept mit. In 30 Minuten zeigen wir, wie beide in preeco | datenschutz zusammenhängen und wo die Lücken liegen.