Rechenschaftspflicht DSGVO: Dokumentation & Nachweispflichten

Lesezeit: 6 Minuten.

Die DSGVO verlangt von jedem Unternehmen, die Einhaltung sämtlicher Datenschutzgrundsätze nachweisen zu können. Wer diese Nachweise nicht liefert, verstößt gegen die sogenannte Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Die Beweislast liegt vollständig beim Verantwortlichen. Dieser Ratgeber zeigt internen Datenschutzbeauftragten und Unternehmen Schritt für Schritt, welche Dokumente dafür nötig sind, wie sie zusammenspielen und wo die häufigsten Lücken entstehen.

Was bedeutet Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO?

Art. 5 Abs. 1 DSGVO definiert sieben Grundsätze für die Verarbeitung personenbezogener Daten: Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie Transparenz. Art. 5 Abs. 2 DSGVO ergänzt diese Grundsätze um eine eigene Pflicht: Der Verantwortliche muss die Einhaltung aller sieben Grundsätze nachweisen können.

Dieses Prinzip wird oft unterschätzt. Die Rechenschaftspflicht ist keine zusätzliche Dokumentationsempfehlung. Sie dreht die Beweislast um. Nicht die Aufsichtsbehörde muss beweisen, dass ein Unternehmen gegen die DSGVO verstößt. Das Unternehmen selbst muss belegen, dass es alle Vorgaben einhält. Wer keine Nachweise vorlegen kann, verstößt allein dadurch bereits gegen die DSGVO.

Konkret bedeutet das: Selbst wenn Ihr Unternehmen faktisch alle Datenschutzregeln einhält, reicht das nicht aus. Ohne dokumentierte Nachweise fehlt der Beweis. Und ohne Beweis gilt die Pflicht als nicht erfüllt.

Kernaussage: Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verpflichtet den Verantwortlichen, die Einhaltung aller Datenschutzgrundsätze jederzeit nachweisen zu können. Fehlende Dokumentation ist bereits für sich genommen ein Verstoß.

Welche Dokumente erfüllen welche Pflicht?

Viele Unternehmen fragen sich, welche Dokumente die DSGVO konkret verlangt. Die Antwort: Es gibt kein einzelnes Dokument, das die Rechenschaftspflicht erfüllt. Stattdessen entsteht der Nachweis aus dem Zusammenspiel mehrerer Dokumentationsbausteine, die jeweils unterschiedliche Grundsätze absichern. Die folgende Übersicht zeigt, welches Dokument welche Pflicht erfüllt:

Jedes dieser Dokumente deckt einen bestimmten Bereich ab. Fehlt eines, entsteht eine Nachweislücke bei dem entsprechenden Grundsatz. Die folgenden Abschnitte erläutern die wichtigsten Bausteine im Detail.

Das Verarbeitungsverzeichnis: Pflicht, Aufbau und typische Fehler

Das Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO ist das Fundament jeder Datenschutz-Dokumentation. Es erfasst sämtliche Verarbeitungen personenbezogener Daten im Unternehmen und bildet damit die Grundlage, auf der alle weiteren Dokumente aufbauen.

Ausführliche Informationen zu Pflichtinhalten, Vorlagen und der praktischen Umsetzung finden Sie in unserem Detailbeitrag: Verzeichnis von Verarbeitungstätigkeiten: Pflicht & Lösung.

Wer muss ein Verarbeitungsverzeichnis führen?

Die Pflicht zur Führung eines VVT besteht grundsätzlich für jedes Unternehmen, das personenbezogene Daten verarbeitet. Art. 30 Abs. 5 DSGVO sieht zwar eine Ausnahme für Unternehmen mit weniger als 250 Beschäftigten vor. In der Praxis greift diese Ausnahme aber so gut wie nie. Denn sie entfällt bereits dann, wenn die Verarbeitung regelmäßig erfolgt. Die Lohn- und Gehaltsabrechnung, Kundenverwaltung oder auch die E-Mail-Kommunikation mit Geschäftspartnern fallen darunter. Faktisch muss also jedes Unternehmen ein VVT führen.

Das Verarbeitungsverzeichnis als Auftragsverarbeiter

Ein häufig übersehener Punkt: Unternehmen, die als Auftragsverarbeiter im Sinne des Art. 28 DSGVO tätig sind, müssen ein eigenes Verarbeitungsverzeichnis nach Art. 30 Abs. 2 DSGVO führen. Dieses Verzeichnis unterscheidet sich inhaltlich vom VVT des Verantwortlichen.

Während das VVT des Verantwortlichen (Art. 30 Abs. 1) unter anderem Zwecke der Verarbeitung, Kategorien betroffener Personen und Löschfristen enthält, dokumentiert das VVT des Auftragsverarbeiters die Kategorien der Verarbeitungen, die im Auftrag jedes einzelnen Verantwortlichen durchgeführt werden. Dazu gehören Name und Kontaktdaten des jeweiligen Verantwortlichen, die Kategorien der durchgeführten Verarbeitungen sowie Angaben zu Drittlandtransfers und technischen Schutzmaßnahmen.

Viele IT-Dienstleister, Hosting-Anbieter und SaaS-Unternehmen vergessen dieses zweite Verzeichnis, weil sie sich selbst nicht als „Verantwortliche“ betrachten. Die Pflicht nach Art. 30 Abs. 2 DSGVO besteht aber unabhängig davon.

Praxistipp: Prüfen Sie, ob Ihr Unternehmen neben der Rolle als Verantwortlicher auch als Auftragsverarbeiter tätig ist. Wenn ja, benötigen Sie zwei getrennte Verarbeitungsverzeichnisse.

Datenschutz-Folgenabschätzung (DSFA): Wann ist sie erforderlich?

Die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist ein Instrument zur Bewertung besonders risikoreicher Verarbeitungen. Sie ist kein Dokument, das pauschal für jede Datenverarbeitung erstellt werden muss. Die entscheidende Frage für interne Datenschutzbeauftragte lautet: Ab wann ist eine DSFA tatsächlich Pflicht? Einen umfassenden Leitfaden mit Vorlagen und Software-Empfehlungen finden Sie hier: Datenschutz-Folgenabschätzung: Tipps, Vorlagen und Software.

Was gehört in eine DSFA?

Art. 35 Abs. 7 DSGVO legt den Mindestinhalt fest. Eine DSFA muss enthalten: eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Verarbeitungszwecke, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung in Bezug auf den Zweck, eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen sowie die vorgesehenen Abhilfemaßnahmen zur Bewältigung dieser Risiken (einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren).

Auslöser für eine DSFA-Pflicht

Die DSGVO kennt drei Konstellationen, in denen eine DSFA verpflichtend ist:

1. Die Verarbeitung steht auf der Blacklist der zuständigen Aufsichtsbehörde. Jede deutsche Datenschutzaufsichtsbehörde veröffentlicht gemäß Art. 35 Abs. 4 DSGVO eine sogenannte Positivliste (auch „Blacklist“ oder „Muss-Liste“) mit Verarbeitungsvorgängen, für die eine DSFA durchzuführen ist. Die Datenschutzkonferenz (DSK) hat eine gemeinsame Liste verabschiedet. Steht Ihre Verarbeitung auf dieser Liste, ist die Pflicht eindeutig.

2. Ein Regelbeispiel aus Art. 35 Abs. 3 DSGVO ist erfüllt. Art. 35 Abs. 3 DSGVO nennt drei konkrete Fälle, in denen eine DSFA stets erforderlich ist: systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen auf Grundlage automatisierter Verarbeitung (einschließlich Profiling), umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO oder von Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO, sowie systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche (z. B. Videoüberwachung).

3. Die Verarbeitung birgt voraussichtlich ein hohes Risiko. Die allgemeine Regel aus Art. 35 Abs. 1 DSGVO greift, wenn eine Verarbeitungsform voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Die Europäische Datenschutzgruppe (Artikel-29-Datenschutzgruppe, heute EDSA) hat in ihren Leitlinien neun Kriterien definiert, die auf ein solches Risiko hindeuten. Treffen zwei oder mehr dieser Kriterien zu, ist eine DSFA in der Regel erforderlich.

TOM, Löschkonzept und Einwilligungsmanagement

Neben dem VVT und der DSFA gibt es drei Dokumentationsbausteine, die bei Prüfungen durch Aufsichtsbehörden regelmäßig angefragt werden und in vielen Unternehmen trotzdem lückenhaft sind.

Technische und organisatorische Maßnahmen (TOM)

Die TOM nach Art. 32 DSGVO dokumentieren, wie Ihr Unternehmen die Sicherheit personenbezogener Daten gewährleistet. Es reicht nicht, technische Maßnahmen implementiert zu haben. Für die Rechenschaftspflicht müssen Sie belegen, welche Maßnahmen Sie getroffen haben und warum diese dem Risiko angemessen sind. Eine bloße Auflistung von Schlagworten wie „Firewall, Verschlüsselung, Zugangskontrollen“ genügt nicht. Die Dokumentation muss den konkreten Bezug zur jeweiligen Verarbeitung herstellen.

Praxisbeispiele und eine Übersicht über typische Maßnahmen finden Sie in unserem Beitrag: TOM nach der DSGVO: Beispiele für Maßnahmen.

Löschkonzept

Art. 5 Abs. 1 lit. e DSGVO verlangt, dass personenbezogene Daten nur so lange gespeichert werden, wie es für den Verarbeitungszweck erforderlich ist. Ein Löschkonzept dokumentiert, welche Datenarten nach welchen Fristen gelöscht werden und wie der Löschprozess organisiert ist. Ohne ein solches Konzept fehlt der Nachweis für die Einhaltung des Grundsatzes der Speicherbegrenzung.

Wie Sie ein Löschkonzept aufbauen, erfahren Sie hier: Erstellung eines Löschkonzeptes nach DSGVO: So geht es.

Einwilligungsmanagement

Stützt Ihr Unternehmen Verarbeitungen auf die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, muss diese Einwilligung nachweisbar sein. Art. 7 Abs. 1 DSGVO ist hier eindeutig: Der Verantwortliche muss nachweisen können, dass die betroffene Person eingewilligt hat. Das betrifft den Zeitpunkt, den Umfang und die Art der Einholung. Cookie-Consent-Tools, Double-Opt-in-Verfahren im E-Mail-Marketing und Einwilligungsformulare müssen so konfiguriert sein, dass sie prüffähige Nachweise erzeugen und aufbewahren.

Auftragsverarbeitungsverträge (AVV)

Jede Weitergabe personenbezogener Daten an einen Dienstleister, der im Auftrag verarbeitet, erfordert einen AVV nach Art. 28 DSGVO. Dieser Vertrag ist kein optionales Absicherungsinstrument, sondern gesetzliche Pflicht. Für die Rechenschaftspflicht müssen Sie belegen können, dass ein solcher Vertrag besteht und dass er die Mindestinhalte nach Art. 28 Abs. 3 DSGVO enthält.

Alles zu Inhalten, Aufbau und Musterverträgen: Auftragsverarbeitungsvertrag (AVV): Definition, Inhalte & Muster.

So bauen Sie Ihre Datenschutz-Dokumentation systematisch auf

Für interne Datenschutzbeauftragte, die vor der Aufgabe stehen, die Dokumentation ihres Unternehmens aufzubauen oder zu überarbeiten, empfiehlt sich eine klare Reihenfolge. Nicht alle Dokumente müssen gleichzeitig entstehen. Entscheidend ist, mit dem richtigen Fundament zu beginnen.

Schritt 1: Verarbeitungsverzeichnis erstellen. Das VVT ist das Fundament. Es verschafft Ihnen den Überblick über alle Verarbeitungen in Ihrem Unternehmen. Ohne diesen Überblick fehlt die Grundlage für alle weiteren Schritte. Erfassen Sie zunächst die offensichtlichen Verarbeitungen (HR, Kundenmanagement, Buchhaltung) und ergänzen Sie sukzessive.

Schritt 2: TOM dokumentieren. Auf Basis des VVT wissen Sie, welche Daten wie verarbeitet werden. Leiten Sie daraus die passenden technischen und organisatorischen Maßnahmen ab und dokumentieren Sie diese. Achten Sie darauf, den Zusammenhang zwischen Verarbeitung, Risiko und Maßnahme herzustellen.

Schritt 3: DSFA-Pflicht prüfen. Gehen Sie Ihr VVT systematisch durch und prüfen Sie für jede Verarbeitung, ob eine DSFA erforderlich ist. Nutzen Sie die Checkliste aus diesem Beitrag. Dokumentieren Sie sowohl positive als auch negative Ergebnisse.

Schritt 4: AVV-Bestand sichten. Identifizieren Sie alle Auftragsverarbeiter, mit denen Ihr Unternehmen zusammenarbeitet. Prüfen Sie, ob für jeden ein AVV vorliegt und ob dieser den Anforderungen des Art. 28 DSGVO genügt.

Schritt 5: Löschkonzept erstellen. Definieren Sie für jede Datenart die Aufbewahrungsfrist und den Löschmechanismus. Berücksichtigen Sie dabei gesetzliche Aufbewahrungspflichten (z. B. aus HGB oder AO), die einer Löschung entgegenstehen können.

Schritt 6: Gesamtdokumentation in einem DSMS zusammenführen. Einzelne Dokumente in verschiedenen Ordnern und Laufwerken erfüllen formal die Pflicht, sind aber im Alltag schwer zu pflegen. Ein Datenschutz-Managementsystem (DSMS) bündelt alle Nachweise an einem Ort und sorgt dafür, dass Fristen, Zuständigkeiten und Aktualisierungen nicht verloren gehen.

Praxistipp: Ein DSMS muss kein Mammutprojekt sein. Wichtig ist, dass Sie Ihre Dokumentation zentral verwalten und regelmäßig aktualisieren. Ein veraltetes VVT hat vor der Aufsichtsbehörde wenig Wert.

Häufige Fragen zur Rechenschaftspflicht nach DSGVO

Reicht ein Verarbeitungsverzeichnis als Nachweis der Rechenschaftspflicht?

Nein. Das VVT ist ein zentraler Baustein, deckt aber nur einen Teil der Nachweispflichten ab. Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO bezieht sich auf alle sieben Datenschutzgrundsätze. Um diese vollständig nachzuweisen, brauchen Sie ergänzend TOM, ein Löschkonzept, AVV, ggf. DSFAs und weitere Dokumente. Das VVT bildet das Fundament, aber nicht das gesamte Gebäude.

Welche Bußgelder drohen bei fehlender Dokumentation?

Verstöße gegen die Rechenschaftspflicht können nach Art. 83 Abs. 5 lit. a DSGVO mit Bußgeldern von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden. In der Praxis verhängen Aufsichtsbehörden Bußgelder wegen fehlender oder unzureichender Dokumentation. Die Höhe richtet sich unter anderem nach Art, Schwere und Dauer des Verstoßes sowie nach der Bereitschaft des Unternehmens zur Zusammenarbeit.

Muss ich als Auftragsverarbeiter ein eigenes VVT führen?

Ja. Art. 30 Abs. 2 DSGVO verpflichtet Auftragsverarbeiter zur Führung eines eigenen Verarbeitungsverzeichnisses. Dieses dokumentiert die Kategorien der Verarbeitungen, die im Auftrag jedes Verantwortlichen durchgeführt werden. Es unterscheidet sich inhaltlich vom VVT des Verantwortlichen und wird in der Praxis häufig vergessen.

Wie oft muss die Datenschutz-Dokumentation aktualisiert werden?

Die DSGVO nennt keine feste Frist. Die Dokumentation muss aber den aktuellen Stand der Verarbeitungen widerspiegeln. In der Praxis hat sich bewährt, das VVT und die TOM mindestens einmal jährlich zu überprüfen. Bei wesentlichen Änderungen (neue Verarbeitungen, Dienstleisterwechsel, Systemumstellungen) ist eine sofortige Aktualisierung erforderlich.

Wann muss ich eine DSFA durchführen?

Eine DSFA ist nach Art. 35 DSGVO immer dann erforderlich, wenn eine Verarbeitungsform voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Konkrete Auslöser sind: die Blacklist der zuständigen Aufsichtsbehörde, die Regelbeispiele aus Art. 35 Abs. 3 DSGVO (Profiling, besondere Datenkategorien, systematische Überwachung) sowie das Zusammentreffen von mindestens zwei der neun Risikokriterien der EDSA-Leitlinien. Im Zweifel empfiehlt es sich, die Prüfung und deren Ergebnis zu dokumentieren.

Was passiert, wenn die Aufsichtsbehörde prüft und meine Dokumentation unvollständig ist?

Die Aufsichtsbehörde kann verschiedene Maßnahmen ergreifen: eine Verwarnung aussprechen, Anweisungen zur Nachbesserung erteilen, die Verarbeitung einschränken oder ein Bußgeld verhängen. Entscheidend ist, dass die Behörde nicht erst einen materiellen Datenschutzverstoß nachweisen muss. Die fehlende Dokumentation ist bereits der Verstoß.