Wer DSGVO-Bußgelder vermeiden will, sollte zuerst die Verarbeitung verstehen und anschließend die entscheidenden Kontrollen nachweisbar betreiben. Ein Verzeichnis allein verhindert keinen Rechtsverstoß; ein gekauftes Tool ebenso wenig. Wirksam wird Prävention, wenn für jeden wichtigen Prozess klar ist, welche Daten zu welchem Zweck auf welcher Grundlage verarbeitet werden, wer den Zugriff erhält, wann gelöscht wird und wer auf Anfragen oder Vorfälle reagiert. Dieser Leitfaden übersetzt die Pflichten in Prüfungen, Verantwortlichkeiten und Auswahlkriterien für Werkzeuge. Den gesetzlichen Bußgeldrahmen und einzelne Entscheidungen erläutert der Überblick zu DSGVO-Bußgeldern.
Was ein Bußgeld auslöst – und was nicht
Art. 83 DSGVO nennt zwei gesetzliche Obergrenzen: Bei bestimmten Verstößen bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes und bei anderen bis zu 20 Millionen Euro oder vier Prozent, jeweils der höhere Betrag. Das sind Höchstgrenzen, keine Standardpreise für einen Fehler. Die Aufsicht muss im Einzelfall eine wirksame, verhältnismäßige und abschreckende Geldbuße festsetzen. Sie betrachtet unter anderem Art, Schwere und Dauer, Vorsatz oder Fahrlässigkeit, getroffene Maßnahmen, frühere Verstöße, Zusammenarbeit und die Kategorien der betroffenen Daten. Die Leitlinien des Europäischen Datenschutzausschusses zur Bußgeldberechnung erklären dieses Vorgehen.
Ein vollständiger Ordner oder ein Software-Abonnement garantiert daher weder das Ausbleiben noch die Minderung einer Geldbuße. Entscheidend ist, ob Maßnahmen zum konkreten Risiko passten und tatsächlich funktionierten. Umgekehrt ist nicht jeder Vorfall automatisch ein Bußgeldfall: Die Behörde verfügt nach Art. 58 Abs. 2 DSGVO auch über Warnungen, Verwarnungen, Anweisungen und Beschränkungen. Selbst wenn sie keine Geldbuße verhängt, können Abhilfe, Benachrichtigung und interne Untersuchung erheblichen Aufwand verursachen. Prävention sollte deshalb auf Schäden für betroffene Personen und auf belastbare Nachweise zielen.
Der H&M-Fall illustriert die Bedeutung der Organisation: Die Hamburger Aufsicht verhängte 2020 ein Bußgeld von 35,3 Millionen Euro wegen umfangreicher Erfassung privater Beschäftigteninformationen. Aus dem Fall folgt keine allgemeine Rangliste der „häufigsten“ Bußgeldursachen. Er zeigt vielmehr, dass übermäßige Datensammlung und fehlende Grenzen für interne Nutzung selbst ohne spektakulären Angriff gravierend sein können. Die Hamburger Behörde dokumentiert das Verfahren.
Vier Kontrollen, mit denen ein Team beginnen kann
1. Rechtsgrundlage und Zweck vor der Einführung prüfen
Art. 6 DSGVO verlangt für jede Verarbeitung mindestens eine passende Rechtsgrundlage. Bei Beschäftigten, Gesundheitsdaten, Werbung oder Profilbildung können zusätzliche Regeln hinzukommen. Ein Pflichtfeld in einer Datenbank genügt nicht, wenn dort „berechtigtes Interesse“ ohne Zweck, Erforderlichkeit und Interessenabwägung steht. Bevor ein Fachbereich ein neues CRM-Feld oder eine Analysefunktion aktiviert, sollte er einen kurzen Prüfvermerk anlegen: Zweck, Datenkategorien, betroffene Personen, Empfänger, Speicherfrist und Rechtsgrundlage. Bei Art. 6 Abs. 1 lit. f gehören das konkrete Interesse und die Abwägung dazu; bei Einwilligung der Nachweis und eine praktikable Widerrufsmöglichkeit.
Ein Werkzeug kann Pflichtangaben, Freigaben und Versionen erzwingen. Es kann keine unzutreffende rechtliche Begründung richtig machen. Sinnvoll ist ein Freigabeschritt, in dem Fachverantwortliche den Nutzen erklären und Datenschutz oder Recht die gewählte Grundlage prüft. Ändert sich der Zweck später, beginnt diese Prüfung erneut. Das Verzeichnis von Verarbeitungstätigkeiten dient dabei als Ausgangspunkt und als Wegweiser zu den zugehörigen Dokumenten.
2. Sicherheit am Risiko der Verarbeitung messen
Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen unter Berücksichtigung von Risiko, Stand der Technik, Kosten und Art der Verarbeitung. Deshalb ist eine einzige TOM-Checkliste für alle Systeme zu grob. Ein öffentliches Kontaktformular, eine Personalakte und ein Archiv mit Gesundheitsdaten brauchen unterschiedliche Zugriffs- und Wiederherstellungsregeln. Die zuständigen Teams sollten je System mindestens Berechtigungen, Authentisierung, Verschlüsselung, Protokollierung, Backups, Wiederherstellung, Dienstleisterzugriff und die Wirksamkeitsprüfung erfassen.
Der Nachweis sollte aus mehr bestehen als einer Richtlinie. Hilfreich sind beispielsweise dokumentierte Berechtigungsreviews, ein protokollierter Restore-Test, ein Ticket zur Behebung einer festgestellten Schwachstelle und ein Datum für die nächste Überprüfung. Ein Tool kann diese Artefakte einer Verarbeitung zuordnen und überfällige Prüfungen anzeigen. Ob die Maßnahme geeignet ist, bleibt eine fachliche Entscheidung. Der Leitfaden zu Art. 32 vertieft die risikobezogene Auswahl.
3. Betroffenenrechte mit einem klaren Eingangskanal bearbeiten
Nach Art. 12 Abs. 3 DSGVO ist über Maßnahmen auf einen Antrag grundsätzlich unverzüglich und jedenfalls innerhalb eines Monats zu informieren. Unter den gesetzlichen Voraussetzungen kann die Frist wegen Komplexität oder Zahl der Anträge um zwei Monate verlängert werden; darüber muss innerhalb des ersten Monats mit Gründen informiert werden. Eine pauschale „Drei-Monats-Frist“ ist also falsch. Anträge können über verschiedene Kanäle eingehen und müssen nicht das Wort „DSGVO“ enthalten. Ein Helpdesk-Ticket kann eine Auskunftsanfrage ebenso auslösen wie ein Brief.
Ein gutes Verfahren erfasst Eingang und Inhalt, prüft gegebenenfalls die Identität, ordnet betroffene Systeme und Empfänger zu und dokumentiert die Antwort. Besonders wichtig ist die letzte Qualitätskontrolle: Stimmen die Auszüge, wurden Rechte Dritter bedacht, und ist die Rechtsgrundlage einer Ablehnung dokumentiert? Erinnerungen verhindern Fristversäumnisse, ersetzen aber weder Datensuche noch rechtliche Prüfung. Das Auskunftsrecht nach Art. 15 verdient einen eigenen Arbeitsablauf, weil eine unvollständige Antwort auch ohne verspätete Frist problematisch bleibt.
4. Verzeichnis und Dienstleisterbestand aktuell halten
Art. 30 DSGVO nennt Mindestangaben für das Verarbeitungsverzeichnis. Die Ausnahme für Einrichtungen mit weniger als 250 Beschäftigten ist eingeschränkt: Sie greift nicht pauschal, etwa bei nicht nur gelegentlicher Verarbeitung, risikobehafteten Vorgängen oder besonderen Datenkategorien. Der praktische Start ist eine Liste realer Prozesse mit Fachverantwortlichen, Systemen und Dienstleistern. Ein einmaliges Tabellenprojekt verliert schnell seinen Wert, wenn neue Produkte oder Datenflüsse ohne Änderungsprozess eingeführt werden.
Verbinden Sie die Freigabe neuer Dienstleister und IT-Systeme mit einer Verzeichnisprüfung. Sobald ein Vertrag geändert wird, sollte jemand prüfen, ob Empfänger, Aufbewahrung, Drittlandbezug, TOM oder Informationshinweise betroffen sind. Automatische Synchronisation ist angenehm, aber keineswegs erforderlich oder stets zuverlässig. Auch eine einfache monatliche Änderungsrunde kann funktionieren, wenn Änderungen nachvollziehbar erfasst werden. Für die Behördenprüfung hilft die DSGVO-Prüfungscheckliste, Lücken sichtbar zu machen.
Weitere Risiken, die die vier Basiskontrollen ergänzen
Löschung gehört zur Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO. Ein Löschkonzept sollte für jede Kategorie den Zweck, den Fristbeginn, die gesetzliche Aufbewahrung und den technischen Löschweg festhalten. Ein „automatisches“ Datum kann falsch sein, wenn ein Rechtsstreit oder eine andere Pflicht die Frist beeinflusst. Umgekehrt rechtfertigt eine mögliche spätere Prüfung keine unbegrenzte Aufbewahrung. Testen Sie Löschung an einem echten Beispieldatensatz einschließlich Archiv, Export und Dienstleisterkopie; dokumentieren Sie Ausnahmen und deren Enddatum.
Bei Auftragsverarbeitern verlangt Art. 28 DSGVO geeignete Garantien und einen Vertrag mit den vorgeschriebenen Inhalten. Die Auswahl sollte Sicherheitsnachweise, Unterauftragsverarbeiter, Weisungen, Löschung bei Vertragsende und Unterstützung bei Betroffenenrechten oder Datenpannen einschließen. Eine unterschriebene Vorlage ohne laufende Kontrolle löst das Risiko nicht. Prüfen Sie bei kritischen Diensten, ob vertragliche Zusagen und tatsächliche Konfiguration übereinstimmen. Der AVV-Leitfaden hilft beim Vertragsinventar.
Eine Datenschutzverletzung muss nach Art. 33 Abs. 1 DSGVO an die zuständige Aufsicht gemeldet werden, sofern sie voraussichtlich zu einem Risiko für Rechte und Freiheiten führt; dann unverzüglich und möglichst binnen 72 Stunden ab Bekanntwerden. Bei hohem Risiko kann zusätzlich die Benachrichtigung der betroffenen Personen nach Art. 34 nötig sein. Jeder Vorfall ist nach Art. 33 Abs. 5 zu dokumentieren, auch wenn keine Behördenmeldung erfolgt. Der Incident-Prozess braucht deshalb einen Eingang, Risikobewertung, Entscheidungsprotokoll, Zuständigkeit und vorbereitete Kontaktwege. Die Anleitung zur Datenpannenmeldung erläutert den Ablauf.
Eine Ursache-Kontrolle-Nachweis-Matrix
| Risiko | Laufende Kontrolle | Nachweis im Prüfungsfall |
|---|---|---|
| Unklare Rechtsgrundlage | Freigabe vor neuer Verarbeitung und bei Zweckänderung | Versionierter Prüfvermerk und Informationshinweis |
| Übermäßige Daten | Feld- und Berechtigungsprüfung | Entscheidung über Erforderlichkeit, Änderungsprotokoll |
| Unzureichende Sicherheit | Risikobezogene TOM und Wirksamkeitstest | Review, Testprotokoll, Abhilfeticket |
| Unvollständige Auskunft | Zentrale Anfrageerfassung und Qualitätssicherung | Eingangsdatum, Suchschritte, Antwortkopie |
| Veraltetes Verzeichnis | Änderungsprozess mit Fachbereichen | Verantwortliche, Versionen, letzte Freigabe |
| Überlange Aufbewahrung | Fristenkatalog und Löschtest | Löschprotokoll und begründete Ausnahme |
| Unkontrollierter Dienstleister | Auswahl und regelmäßige Überprüfung | Vertrag, Nachweise, Maßnahmen und Exit-Plan |
Die Spalte „Nachweis“ sollte zeigen, was tatsächlich geschah. Nachträglich ausgefüllte Formulare sind schwächer als datierte Entscheidungen und Testbelege. Bewahren Sie die Nachweise so auf, dass sie im Vorfall verfügbar sind, aber begrenzen Sie selbst dort Zugriffe und Aufbewahrung. Das Kontrollsystem verarbeitet ebenfalls personenbezogene Daten, etwa Namen von Beschäftigten in Protokollen.
So prüfen Sie ein Präventionswerkzeug
Starten Sie mit einem konkreten Szenario: Ein neuer Dienstleister verarbeitet Bewerberdaten, ein Betroffener verlangt Auskunft und kurz darauf fällt ein Konto durch unbefugten Zugriff auf. Lassen Sie einen Anbieter zeigen, wie er die drei Fälle von Eingang bis Entscheidung unterstützt. Kann das System eine Verarbeitung mit Zweck und Grundlage erfassen? Lassen sich Dienstleister, Vertrag und TOM zuordnen? Entstehen für Auskunft und Vorfall getrennte Fristen und Verantwortlichkeiten? Können Sie die Entscheidung samt Belegen exportieren? Ein Demo-Dashboard beantwortet diese Fragen nicht.
Achten Sie auf Rollen und Mandantentrennung. Personal- und Gesundheitsdaten sollen nicht für jedes Compliance-Team-Mitglied sichtbar sein. Prüfen Sie außerdem, ob Änderungen protokolliert werden, ob Dokumente außerhalb des Systems lesbar bleiben und wie eine vollständige Datenmigration beim Anbieterwechsel funktioniert. Ein offenes Exportformat senkt Abhängigkeit. Hostingort, Unterauftragsverarbeiter und internationale Zugriffe müssen anhand der tatsächlichen Architektur bewertet werden; ein EU-Rechenzentrum allein beantwortet nicht jede Drittlandfrage. Die DSGVO-Software-Vergleichskriterien vertiefen die Auswahl.
Für kleine Organisationen können ein gepflegtes Register, Tickets und Kalender genügen. Bei vielen Standorten und Dienstleistern spart eine passende Plattform Koordinationsaufwand. Die Grenze ist keine feste Mitarbeiterzahl: Entscheidend sind Zahl und Risiko der Verarbeitungen, beteiligte Teams und die Häufigkeit von Änderungen. Eine Plattform sollte Arbeit sichtbar machen und Belege zusammenführen; sie darf keine rechtliche Prüfung versprechen, die sie nicht leistet. Produktfunktionen sollten in einer Demo gegen schriftliche Anforderungen belegt werden, bevor sie in die Risikobewertung eingehen.
Ein praktikabler 30-Tage-Start
In der ersten Woche sammeln Sie die zehn wichtigsten Verarbeitungen aus Personal, Vertrieb, Kundenservice und IT. Fragen Sie je Prozess nach Zweck, Daten, Rechtsgrundlage und tatsächlichem System. Priorisieren Sie nicht nach behaupteten nationalen Bußgeldhäufigkeiten, sondern nach Schadenpotenzial, Datenumfang und bekannten Lücken. Halten Sie Entscheidungen offen, die ohne Fachbereich oder Rechtsprüfung nicht seriös getroffen werden können.
In Woche zwei prüfen Sie zwei besonders risikoreiche Prozesse genauer: Wer hat Zugriff, welche externen Stellen erhalten Daten, welche Löschfrist gilt und wann wurde die letzte Wirksamkeitsprüfung durchgeführt? Schließen Sie konkrete Lücken mit Verantwortlichen und Termin. In Woche drei spielen Sie eine Auskunftsanfrage und eine Datenpanne als Übung durch. Messen Sie, wie schnell Daten gefunden und Entscheidungen dokumentiert werden. In Woche vier wiederholen Sie die Prüfung an einem neuen Projekt und verankern die Freigabe im normalen Einkaufs- oder Produktprozess. Nach 30 Tagen ist kein Unternehmen „bußgeldsicher“; es hat jedoch einen überprüfbaren Prozess und eine belastbare Liste offener Risiken.
Mehrere Regelwerke und Aufsichten im selben Vorfall
Ein Sicherheitsvorfall kann zugleich Datenschutz, IT-Sicherheit und einen Branchenvertrag berühren. Die erste Triage sollte daher getrennte Fragen stellen: Waren personenbezogene Daten betroffen? Entstand voraussichtlich ein Risiko für Rechte natürlicher Personen? Ist die Organisation einem weiteren Melde- oder Aufsichtsregime unterworfen? Die Antworten dürfen nicht aus einer einzigen „72-Stunden-Uhr“ abgeleitet werden. Die NIS2-Bußgeldübersicht für Deutschland beschreibt ein anderes Regelwerk mit eigenem Anwendungsbereich. Wer mehreren Pflichten unterliegt, braucht eine gemeinsame Sachverhaltsakte und getrennte Entscheidungen über Empfänger und Fristen.
Auch die zuständige Datenschutzaufsicht muss konkret bestimmt werden. Eine Firma mit Sitz in Bayern prüft etwa, ob das BayLDA für nichtöffentliche Stellen zuständig ist; bei mehreren EU-Niederlassungen können die Regeln zur federführenden Aufsichtsbehörde einschlägig sein. Die Zuständigkeit ergibt sich nicht aus dem Ort des Rechenzentrums. Bewahren Sie deshalb eine aktuelle Kontaktliste mit Stellvertretung auf und testen Sie sie in einer Vorfallübung. Ein generischer Softwareknopf „Behörde melden“ sollte erst genutzt werden, nachdem die zuständige Stelle und die rechtliche Schwelle geprüft wurden.
Wann ein Tool mehr Arbeit schafft
Automatisierung kann die Nachweisqualität verschlechtern, wenn sie ungeprüfte Standardtexte in jede DSFA kopiert oder Rechtsgrundlagen beim Import errät. Prüfen Sie stichprobenweise, ob exportierte Angaben mit Verträgen, Informationshinweisen und der tatsächlichen Systemkonfiguration übereinstimmen. Wenn ein neues Tool die Daten an fünf Stellen dupliziert, fehlt oft ein klarer Eigentümer für die Stammdaten. Legen Sie fest, welches System die maßgebliche Information hält und welche Stelle eine Änderung freigibt. Erst dann sind Erinnerungen und Verknüpfungen nützlich.
Ein zweiter Fehler ist die Gleichsetzung von „offen“ und „rechtswidrig“. Eine DSFA kann rechtmäßig in Bearbeitung sein, solange der risikoreiche Vorgang noch nicht startet. Ein Vorfall kann dokumentiert und begründet nicht meldepflichtig sein. Gute Software erlaubt solche Entscheidungen mit Datum, Verantwortlichen und Begründung; sie meldet nicht automatisch jeden roten Status als Verstoß. Das verringert Alarmmüdigkeit und macht die tatsächlich kritischen Fälle sichtbarer.
Dokumentation unter realen Bedingungen testen
Ein Nachweisverfahren sollte auch bei Urlaub, Dienstleisterwechsel und einem laufenden Sicherheitsvorfall funktionieren. Lassen Sie eine andere Person als den ursprünglichen Bearbeiter eine Verarbeitung aus dem Verzeichnis auswählen und die zugehörige Rechtsgrundlage, Information, Löschregel und Sicherheitsprüfung finden. Wenn die Suche nur über private E-Mails oder Erinnerung funktioniert, ist das System nicht ausreichend übergabefähig. Eine kurze Arbeitsanweisung mit Zuständigkeit, Stellvertretung und Ablageort löst oft mehr als ein zusätzliches Modul.
Prüfen Sie außerdem die Qualität der Daten nach einer Änderung. Wird ein Dienstleister gekündigt, müssen seine Zugänge, Verträge, möglichen Kopien und Empfängereinträge überprüft werden. Ein „geschlossenes“ Lieferantenticket ohne Nachweis der Datenrückgabe oder Löschung lässt eine wichtige Frage offen. Wählen Sie für solche Stichproben wenige risikoreiche Prozesse und wiederholen Sie sie regelmäßig. So wird sichtbar, ob die Kontrolle auch nach dem ersten Rollout noch wirkt.
Häufige Fragen
Senkt eine Software automatisch die Geldbuße?
Nein. Art. 83 Abs. 2 berücksichtigt Umstände des konkreten Falls. Nachweise über geeignete, tatsächlich umgesetzte Maßnahmen und Zusammenarbeit können relevant sein. Eine Lizenzrechnung ohne gelebte Kontrolle belegt wenig. Auch ein gut dokumentiertes Unternehmen kann bei einem schweren Verstoß eine Geldbuße erhalten.
Gibt es eine gesetzliche Pflicht, Compliance-Software zu kaufen?
Nein. Die DSGVO verlangt Ergebnisse und Nachweise, kein bestimmtes Produkt. Das Verfahren muss zur Größe und zum Risiko passen. Ein kleiner Betrieb kann die Pflichten mit einfachen Werkzeugen erfüllen; bei vielen Verarbeitungstätigkeiten werden Rollen, Fristen und Versionen schwerer manuell zu steuern.
Welche Kontrolle sollte zuerst kommen?
Beginnen Sie mit den risikoreichsten realen Verarbeitungen und einer verlässlichen Erfassung von Betroffenenanfragen und Vorfällen. Parallel muss die Rechtsgrundlage jeder aktiven Verarbeitung nachvollziehbar sein. Eine starre Reihenfolge für alle Branchen wäre irreführend. Das DSGVO-Checklistenverfahren hilft bei der Bestandsaufnahme.
Was verlangt die Aufsicht bei einer Prüfung?
Das hängt vom Gegenstand der Prüfung ab. Mögliche Unterlagen sind Verzeichnis, Informationshinweise, AV-Verträge, DSFA, TOM, Auskunftsvorgänge und Vorfallprotokolle. Bereiten Sie die Unterlagen auf Anfrage bezogen vor; behaupten Sie keine generelle Pflicht, jeden Ordner sofort zu exportieren. Die Antwort sollte sachlich, vollständig und fristgerecht sein.
Fazit
Bußgeldprävention bedeutet, Risiken für betroffene Personen zu senken und Entscheidungen vor einem Vorfall nachvollziehbar zu dokumentieren. Rechtsgrundlagen, angemessene Sicherheit, Betroffenenrechte, Verzeichnis, Löschung und Dienstleisterkontrolle greifen zusammen. Werkzeuge helfen bei Zuständigkeiten, Fristen und Belegen; die rechtliche und technische Beurteilung bleibt Aufgabe des Unternehmens. Maßstab sind die DSGVO im Volltext und die tatsächliche Wirksamkeit der Kontrollen.