Datenschutz bedeutet nicht nur, Daten sicher zu verarbeiten. Unternehmen müssen auch nachweisen können, dass sie die Vorgaben der DSGVO einhalten. Doch welche Dokumente sind tatsächlich Pflicht? Und welche Unterlagen sind zwar sinnvoll, aber rechtlich nicht zwingend vorgeschrieben?
Dieser Artikel trennt klar zwischen gesetzlichen Dokumentationspflichten und empfehlenswerten Maßnahmen.
Das Wichtigste auf den ersten Blick
- Die DSGVO verpflichtet Unternehmen zur Dokumentation (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO).
- Das Verzeichnis von Verarbeitungstätigkeiten ist in der Regel verpflichtend (Art. 30 DSGVO).
- Technische und organisatorische Maßnahmen müssen dokumentiert werden (Art. 32 DSGVO).
- Auftragsverarbeitungsverträge sind zwingend erforderlich, wenn Dienstleister Daten verarbeiten (Art. 28 DSGVO).
- Weitere Dokumente sind abhängig vom Risiko und der Art der Datenverarbeitung.
Welche Dokumente sind gesetzlich verpflichtend?
Verzeichnis von Verarbeitungstätigkeiten (VVT)
Das Verzeichnis von Verarbeitungstätigkeiten ist eines der zentralen Pflichtdokumente nach Art. 30 DSGVO.
Darin müssen Unternehmen sämtliche Prozesse dokumentieren, bei denen personenbezogene Daten verarbeitet werden. Dazu gehören unter anderem Zweck der Verarbeitung, Rechtsgrundlage, Kategorien betroffener Personen, Datenarten und Speicherfristen.
Eine Ausnahme gilt nur für sehr kleine Unternehmen unter 250 Mitarbeitenden – allerdings entfällt diese Ausnahme, sobald regelmäßig Daten verarbeitet werden oder besondere Risiken bestehen. In der Praxis ist das VVT daher für nahezu jedes Unternehmen verpflichtend.
Dokumentation technischer und organisatorischer Maßnahmen (TOMs)
Art. 32 DSGVO verpflichtet Unternehmen, geeignete Sicherheitsmaßnahmen umzusetzen. Diese Maßnahmen müssen dokumentiert werden.
Die Dokumentation sollte nachvollziehbar darstellen, wie personenbezogene Daten geschützt werden. Dazu gehören etwa Zugriffskonzepte, Verschlüsselung, Backup-Strategien oder Berechtigungssysteme.
Ohne schriftliche Darstellung fehlt der Nachweis der Umsetzung.
Auftragsverarbeiterverträge (AVV)
Sobald ein externer Dienstleister personenbezogene Daten im Auftrag verarbeitet, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zwingend erforderlich.
Das betrifft beispielsweise IT-Dienstleister, Cloud-Anbieter oder externe Lohnbuchhalter.
Ohne AVV ist die Datenweitergabe unzulässig.
Dokumentation von Datenschutzverletzungen
Nach Art. 33 Abs. 5 DSGVO müssen alle Datenschutzverletzungen dokumentiert werden – auch dann, wenn keine Meldepflicht an die Behörde besteht.
Diese Dokumentation muss Art der Verletzung, betroffene Daten, Risiken und getroffene Maßnahmen enthalten.
Nachweis von Einwilligungen
Wenn Daten auf Basis einer Einwilligung verarbeitet werden, muss diese nachweisbar sein. Unternehmen müssen dokumentieren können, wann und wie die Einwilligung erteilt wurde.
Ohne Nachweis gilt die Verarbeitung als unzulässig.
Welche Dokumente sind nur unter bestimmten Voraussetzungen verpflichtend?
Datenschutz-Folgenabschätzung (DSFA)
Eine Datenschutz-Folgenabschätzung ist nur dann verpflichtend, wenn eine Verarbeitung ein hohes Risiko für die Rechte und Freiheiten betroffener Personen darstellt (Art. 35 DSGVO).
Ob eine DSFA erforderlich ist, hängt vom Einzelfall ab, etwa bei umfangreicher Überwachung oder sensiblen Datenverarbeitungen.
Bestellung eines Datenschutzbeauftragten
Die Bestellung eines Datenschutzbeauftragten ist nur unter bestimmten Voraussetzungen verpflichtend, etwa bei umfangreicher Datenverarbeitung oder in Deutschland ab regelmäßig 20 Personen mit automatisierter Datenverarbeitung (§ 38 BDSG).
Die Bestellung selbst muss dokumentiert sein.
Welche Dokumente sind nicht gesetzlich verpflichtend, aber empfehlenswert?
Neben den gesetzlichen Mindestanforderungen gibt es Dokumente, die nicht ausdrücklich vorgeschrieben sind, aber zur Rechtssicherheit beitragen.
Dazu zählen:
- Interne Datenschutzrichtlinien
- Schulungsnachweise
- Löschkonzepte
- Berechtigungskonzepte
- Richtlinien zum Umgang mit Betroffenenanfragen
Diese Unterlagen helfen, Prozesse zu standardisieren und im Prüfungsfall strukturiert reagieren zu können.
Was liegt in der Verantwortung des Unternehmens?
Die Gesamtverantwortung für die Datenschutzdokumentation liegt bei der Geschäftsleitung. Auch wenn ein Datenschutzbeauftragter bestellt ist, bleibt die Organisationsverantwortung beim Unternehmen.
Ein externer Datenschutzbeauftragter kann bei der Erstellung und Pflege der Dokumentation unterstützen, übernimmt jedoch nicht die rechtliche Gesamtverantwortung.
Datenschutz klären, bevor es teuer wird
Datenschutz ist Pflicht, die richtige Umsetzung entscheidet. Mit ComplyDeal findest du geprüfte Datenschutz-Experten, die zu deiner Unternehmensgröße, Branche und Datenverarbeitung passen.
Fazit: Pflichtdokumente sind Mindeststandard – Struktur schafft Sicherheit
Unternehmen müssen die gesetzlich vorgeschriebenen Dokumente zwingend führen. Darüber hinaus ist es sinnvoll, zusätzliche Strukturen aufzubauen, um Datenschutzprozesse transparent und nachvollziehbar zu organisieren.
Wer nur das Minimum erfüllt, erfüllt die Pflicht. Wer strukturiert dokumentiert, reduziert Risiken.