DSGVO-Werkzeuge für den Betriebsalltag

Datenschutz ist in vielen kleinen Betrieben kein eigener Arbeitsbereich, sondern eine Aufgabe, die nebenbei mitläuft. Die Geschäftsführung unterschreibt Auftragsverarbeitungsverträge, jemand aus dem Büro pflegt eine Liste der eingesetzten Dienste, und wenn eine Auskunftsanfrage eintrifft, beginnt die Suche nach den betroffenen Daten. Das funktioniert, solange der Betrieb überschaubar bleibt. Sobald mehr Systeme, mehr Beschäftigte und mehr Dienstleister ins Spiel kommen, wird die Sache unübersichtlich. Softwarewerkzeuge können hier entlasten, aber sie nehmen keine Entscheidungen ab. Dieser Beitrag ordnet ein, welche Werkzeugkategorien es gibt, wofür sie sinnvoll sind und wo der Aufwand den Nutzen übersteigt. Die Ausführungen sind eine allgemeine Einordnung und ersetzen keine Rechtsberatung im Einzelfall.

Was die Verordnung an Dokumentation verlangt

Bevor man über Werkzeuge nachdenkt, lohnt ein Blick auf die Pflichten, die tatsächlich anfallen. Die Datenschutz-Grundverordnung verlangt kein bestimmtes Werkzeug und keine bestimmte Softwarekategorie. Sie verlangt Nachweisbarkeit. Der Verantwortliche muss belegen können, dass er die Grundsätze der Verarbeitung einhält.

Konkret sind für die meisten Betriebe folgende Punkte relevant:

• Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30. Die Ausnahme für Unternehmen unter 250 Beschäftigten greift in der Praxis selten, weil sie an Bedingungen geknüpft ist, die bei regelmäßiger Verarbeitung von Beschäftigten- oder Kundendaten fast immer erfüllt sind.
• Auftragsverarbeitungsverträge mit allen Dienstleistern, die im Auftrag personenbezogene Daten verarbeiten. Das betrifft Hosting, Newsletter, Buchhaltung, Lohnabrechnung und viele Cloud-Dienste.
• Informationspflichten nach Artikel 13 und 14, also Datenschutzerklärung auf der Website und Hinweise bei Formularen und im Beschäftigungsverhältnis.
• Bearbeitung von Betroffenenrechten, insbesondere Auskunft, Berichtigung und Löschung, in der Regel innerhalb eines Monats.
• Meldewege für Datenschutzverletzungen, mit der bekannten Frist von 72 Stunden gegenüber der Aufsichtsbehörde bei meldepflichtigen Vorfällen.
• Technische und organisatorische Maßnahmen, dokumentiert und regelmäßig überprüft.

Wer diese Liste einmal sauber abgearbeitet hat, stellt fest: Der Aufwand liegt weniger im Erstellen als im Aktuellhalten. Genau dort setzen Werkzeuge an.

Werkzeugkategorien im Überblick

Der Markt lässt sich grob in fünf Gruppen einteilen. Die Übergänge sind fließend, viele Anbieter decken mehrere Bereiche ab.

Kategorie	Typischer Funktionsumfang	Geeignet für
Dokumentationsplattformen	Verarbeitungsverzeichnis, TOM-Katalog, Vertragsverwaltung, Erinnerungen	Betriebe mit mehreren Standorten oder vielen Dienstleistern
Consent-Management	Einwilligungsbanner, Protokollierung, Blockieren von Skripten vor Einwilligung	Alle Websites mit Analyse- oder Marketingdiensten
Betroffenenanfragen-Verwaltung	Eingangskanal, Fristenüberwachung, Vorlagen, Protokoll	Betriebe mit regelmäßigen Anfragen, etwa im Handel
Löschkonzept und Datenhaltung	Aufbewahrungsfristen, automatisierte Löschläufe, Archivierung	Betriebe mit gewachsenen Datenbeständen
Schulung und Awareness	Kurse, Nachweise, Wiederholungsintervalle	Betriebe ab etwa zehn Beschäftigten

Für einen Handwerksbetrieb mit acht Beschäftigten und einer einfachen Website ist eine ausgewachsene Dokumentationsplattform überdimensioniert. Ein sorgfältig geführtes Tabellendokument plus ein sauberes Consent-Management deckt den Bedarf. Ab etwa 30 bis 50 Beschäftigten, mehreren Fachanwendungen und einem nennenswerten Dienstleisterportfolio kippt das Verhältnis, weil das manuelle Nachhalten mehr Zeit kostet als eine Software.

Das Verarbeitungsverzeichnis pragmatisch führen

Das Verzeichnis ist der zentrale Nachweis. Es beschreibt je Verarbeitungstätigkeit den Zweck, die Kategorien betroffener Personen und Daten, die Empfänger, Drittlandtransfers, Löschfristen und die Maßnahmen zum Schutz.

Der häufigste Fehler besteht darin, das Verzeichnis zu fein zu schneiden. Wer für jeden einzelnen Vorgang einen Eintrag anlegt, produziert ein Dokument, das niemand pflegt. Sinnvoller ist ein Zuschnitt entlang von Geschäftsprozessen: Personalverwaltung, Bewerbermanagement, Kundenverwaltung, Rechnungsstellung, Website und Marketing, Videoüberwachung, IT-Betrieb. Für die meisten kleinen Betriebe ergeben sich so zwischen acht und zwanzig Einträge.

Was Werkzeuge hier leisten

Dokumentationsplattformen bringen Vorlagen mit, die branchentypische Verarbeitungen bereits enthalten. Das beschleunigt den Einstieg erheblich, birgt aber ein Risiko: Vorlagen werden übernommen, ohne dass jemand prüft, ob sie zum Betrieb passen. Ein Verzeichnis, das Verarbeitungen beschreibt, die es gar nicht gibt, und solche auslässt, die stattfinden, ist im Zweifel schlechter als gar keines, weil es Sorgfalt suggeriert.

Nützlicher als die Vorlagen sind meist die Verknüpfungen. Wenn ein Dienstleister im System hinterlegt ist und automatisch bei allen Verarbeitungen erscheint, an denen er beteiligt ist, spart das bei jeder Änderung Zeit. Ebenso hilfreich sind Wiedervorlagen, die an die jährliche Prüfung erinnern.

Consent-Management und die Frage der Notwendigkeit

Beim Thema Einwilligung auf Websites wird oft zu schnell zum Banner gegriffen. Die Reihenfolge sollte umgekehrt sein: Erst prüfen, welche Dienste tatsächlich gebraucht werden, dann entscheiden, ob ein Banner nötig ist.

Eine Website, die keine Analyse-, Marketing- oder Einbettungsdienste von Dritten nutzt, benötigt kein Einwilligungsbanner. Schriftarten lokal ausliefern statt extern einbinden, Videos erst nach Klick nachladen, auf serverseitige Zugriffsstatistik statt auf externe Analysewerkzeuge setzen: Jede dieser Entscheidungen reduziert den Dokumentations- und Einwilligungsaufwand.

Wenn ein Banner erforderlich ist, sollte das Werkzeug drei Dinge zuverlässig können: Skripte vor der Einwilligung tatsächlich blockieren, die Ablehnung genauso einfach machen wie die Zustimmung, und Einwilligungen so protokollieren, dass sie später nachweisbar sind. Viele Banner scheitern am ersten Punkt, weil Dienste trotz Ablehnung geladen werden. Ein Blick in die Netzwerkanalyse des Browsers zeigt das schnell.

Betroffenenanfragen und Löschfristen

Auskunftsersuchen kommen selten, aber wenn sie kommen, kosten sie Zeit. Die Frist von einem Monat wirkt großzügig, bis man feststellt, dass Daten derselben Person in der Warenwirtschaft, im Newsletter-System, im Ticketsystem und in alten E-Mail-Postfächern liegen.

Werkzeuge zur Anfragenverwaltung lösen das Grundproblem nicht: Sie wissen nicht, wo die Daten liegen. Ihr Nutzen liegt in der Prozessführung, also Eingang dokumentieren, Identität prüfen, Zuständige benachrichtigen, Frist überwachen, Antwort protokollieren. Der eigentliche Hebel liegt woanders, nämlich in einer aktuellen Systemübersicht. Wer weiß, welche Systeme personenbezogene Daten führen, kann eine Anfrage in überschaubarer Zeit beantworten.

Ähnlich beim Löschkonzept. Automatisierte Löschläufe sind in Standardsoftware selten vorgesehen und in gewachsenen Systemlandschaften schwer umzusetzen. Realistischer ist ein dokumentiertes Konzept mit definierten Fristen je Datenkategorie und einem festen Termin, an dem die Löschungen durchgeführt und protokolliert werden. Handelsrechtliche und steuerliche Aufbewahrungspflichten gehen dabei vor, sie begründen aber keine unbegrenzte Speicherung zu anderen Zwecken.

Aufwand und Nutzen realistisch abwägen

Die Einführung eines Datenschutzwerkzeugs ist kein Wochenendprojekt. Die Software ist schnell eingerichtet, die inhaltliche Arbeit bleibt. Wer die Prozesse nicht kennt, kann sie auch nicht dokumentieren, und kein Werkzeug ermittelt sie selbstständig.

Ein pragmatischer Weg für kleinere Betriebe:

1. Bestandsaufnahme aller eingesetzten Systeme und Dienstleister, zunächst in einer einfachen Tabelle.
2. Verträge zur Auftragsverarbeitung prüfen und fehlende nachfordern.
3. Verarbeitungsverzeichnis entlang der Geschäftsprozesse anlegen.
4. Website auf verzichtbare Drittdienste durchsehen, Datenschutzerklärung anpassen.
5. Zuständigkeit benennen und einen jährlichen Prüftermin setzen.
6. Erst danach entscheiden, ob ein Werkzeug den verbleibenden Aufwand rechtfertigt.

Diese Reihenfolge verhindert, dass Software gekauft wird, um eine Aufgabe zu vermeiden, die ohnehin erledigt werden muss. Die Pflicht zur Bestellung eines Datenschutzbeauftragten richtet sich in Deutschland unter anderem nach der Zahl der Personen, die ständig mit automatisierter Verarbeitung befasst sind, sowie nach der Art der Verarbeitung. Ob sie im konkreten Fall besteht, sollte fachkundig geprüft werden.

Häufige Fragen

Reicht eine Tabellenkalkulation für das Verarbeitungsverzeichnis aus?

Rechtlich gibt es keine Formvorgabe, die Textform genügt. Eine Tabelle ist damit zulässig und für kleine Betriebe oft ausreichend. Die Grenze liegt in der Pflege: Sobald mehrere Personen daran arbeiten, Versionen kursieren oder Verknüpfungen zu Dienstleistern und Systemen nötig werden, wird eine Tabelle fehleranfällig. Entscheidend ist nicht das Format, sondern ob das Verzeichnis den tatsächlichen Zustand abbildet.

Löst ein Consent-Banner das Thema Website-Datenschutz?

Nein. Ein Banner regelt nur die Einwilligung für Dienste, die einer Einwilligung bedürfen. Datenschutzerklärung, Impressum, Verträge mit Hosting- und Analyseanbietern, Datenübermittlungen in Drittländer und die Absicherung von Formularen bleiben davon unberührt. Ein Banner, das Dienste trotz Ablehnung lädt, verschlechtert die Lage sogar, weil dann ein dokumentierter Widerspruch gegen eine tatsächlich stattfindende Verarbeitung vorliegt.

Wie oft sollte die Dokumentation überprüft werden?

Ein fester jährlicher Termin hat sich als praktikabel erwiesen, ergänzt um anlassbezogene Prüfungen. Anlässe sind die Einführung neuer Software, ein Wechsel von Dienstleistern, neue Geschäftsfelder, größere Personalveränderungen in relevanten Bereichen und Sicherheitsvorfälle. Wichtiger als das Intervall ist, dass die Prüfung tatsächlich stattfindet und ihr Ergebnis festgehalten wird, auch wenn sie keine Änderungen ergibt.