Diese DSGVO-Checkliste ist ein Arbeitsblatt für Verantwortliche in Unternehmen: Für jeden Prüfpunkt wird ein Ergebnis, eine zuständige Person, ein Nachweis und ein nächster Termin festgehalten. „Erledigt“ bedeutet, dass der Prozess im echten System funktioniert, nicht nur dass eine Vorlage vorhanden ist. Wer zuerst die Rechtsregeln verstehen möchte, liest die DSGVO-Anforderungen. Für eine formelle Prüfung gibt es zusätzlich die Audit-Checkliste und den Ablauf eines Datenschutz-Audits; der vorliegende Ablauf beginnt bei den täglichen Datenflüssen.
Verwenden Sie je Punkt die Felder Status: offen / in Arbeit / geprüft / nicht einschlägig, Verantwortliche Person, Nachweis, letzte Prüfung und nächster Auslöser. „Nicht einschlägig“ braucht eine Begründung. Prüfen Sie bei jedem neuen Zweck, Anbieter, IT-System oder Sicherheitsvorfall erneut. Eine starre jährliche Prüfung ist eine mögliche interne Routine, keine allgemeine gesetzliche DSGVO-Frist.
1. Geltungsbereich und Rollen festhalten
Prüffrage: Welche Niederlassung, Verarbeitung und Personengruppe betrachten Sie? Die DSGVO gilt für ganz oder teilweise automatisierte personenbezogene Verarbeitung und für strukturierte manuelle Dateisysteme. Nach Artikel 3 können auch Anbieter außerhalb der Union erfasst sein, wenn sie Personen in der Union Waren oder Dienstleistungen anbieten oder Verhalten dort beobachten. Die bloße Staatsangehörigkeit eines Kunden entscheidet nicht. Erfassen Sie die konkret betroffenen Tätigkeiten und trennen Sie Verantwortlicher, Auftragsverarbeiter und gegebenenfalls gemeinsame Verantwortlichkeit.
Nachweis: eine kurze Datenfluss-Skizze mit Systemen und entscheidenden Stellen. Aktion bei Lücke: Benennen Sie einen Prozessverantwortlichen, bevor Sie Vertragsmuster wählen. Ein externes Lohnbüro, eine Bank und ein Hoster haben nicht automatisch dieselbe Rolle. Der Anwendungsbereich der DSGVO und die Auftragsverarbeitung helfen bei Grenzfällen.
2. Zwecke, Daten und Rechtsgrundlagen zuordnen
Prüffrage: Ist für jeden Zweck erkennbar, welche Daten wirklich nötig sind und welche Grundlage aus Artikel 6 Absatz 1 trägt? Bestellabwicklung, Rechnung, Betrugsabwehr und Werbung gehören nicht in eine einzige Zeile „Kundendaten“. Bei Vertragsdaten prüfen Sie objektive Erforderlichkeit. Bei berechtigtem Interesse dokumentieren Sie Interesse, Notwendigkeit und Abwägung. Bei Einwilligung prüfen Sie Freiwilligkeit, Information, Nachweis und Widerruf; besondere Datenkategorien können zusätzliche Voraussetzungen nach Artikel 9 auslösen.
Nachweis: eine Stichprobe von drei realen Vorgängen mit Zweck, Datenfeldern und begründeter Grundlage. Aktion bei Lücke: Entfernen Sie unnötige Pflichtfelder oder trennen Sie optionale Zwecke. Eine Datenschutzerklärung darf nicht als Ersatz für diese Entscheidung dienen. Die Rechtsgrundlagen nach Artikel 6 erläutern die Fälle.
3. Informationspflichten am Erhebungspunkt prüfen
Prüffrage: Erhalten Betroffene die nach Artikel 13 oder 14 nötigen Informationen in klarer Sprache und zum passenden Zeitpunkt? Prüfen Sie Verantwortlichen, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer oder Kriterien, Rechte und gegebenenfalls Drittlandübermittlungen. Informationen bei direkter Erhebung gehören in den jeweiligen Ablauf; Daten aus anderer Quelle können andere Zeitpunkte und Ausnahmen betreffen. Ein einziges veraltetes Website-Dokument deckt keine Personalverwaltung und keine Offline-Bewerbung ab.
Nachweis: Screenshots des aktuellen Formulars und Kopien der jeweils gültigen Hinweise, mit Versionsdatum. Aktion bei Lücke: Gleichen Sie Hinweise mit der wirklichen Anbieterliste und den tatsächlichen Löschkriterien ab. Testen Sie den Ablauf aus Sicht eines neuen Kunden ohne Vorwissen. Der Transparenzgrundsatz verlangt Verständlichkeit, nicht möglichst lange Texte.
4. Verzeichnis der Verarbeitungstätigkeiten beurteilen
Prüffrage: Besteht eine Pflicht nach Artikel 30 und ist das Verzeichnis aktuell? Die Ausnahme für Einrichtungen unter 250 Beschäftigten nach Artikel 30 Absatz 5 gilt nur unter Bedingungen; insbesondere häufige oder riskante Verarbeitung kann sie ausschließen. Prüfen Sie die Tätigkeiten und dokumentieren Sie die Ausnahmeentscheidung. Ein Verzeichnis beschreibt unter anderem Zwecke, Kategorien betroffener Personen und Daten, Empfänger, Drittlandübermittlungen sowie, soweit möglich, Löschfristen und eine allgemeine Beschreibung von Schutzmaßnahmen.
Nachweis: eine bearbeitbare Übersicht mit Eigentümer und Datum für jede Tätigkeit. Aktion bei Lücke: Beginnen Sie mit den wichtigsten laufenden Vorgängen, etwa Kundenservice und Personal, und ergänzen Sie fehlende Systeme. Eine VVT-Vorlage ist ein Startpunkt, keine automatisch richtige Bestandsaufnahme. Gleichen Sie bei einem Anbieterwechsel die Empfänger und Zugriffe ab.
5. Dienstleisterrollen und Verträge abgleichen
Prüffrage: Welche Anbieter verarbeiten personenbezogene Daten nach Ihrer Weisung? Dafür verlangt Artikel 28 einen Vertrag oder anderen bindenden Rechtsakt mit den gesetzlichen Mindestinhalten; Absatz 9 erlaubt schriftliche, auch elektronische Form. Prüfen Sie Gegenstand, Dauer, Zwecke, Datenarten, Unterstützung, Sicherheitsmaßnahmen und Unterauftragnehmer. Ein Steuerberater oder Zahlungsdienst kann für bestimmte Tätigkeiten selbst verantwortlich sein. Eine allgemeine Lieferantenliste ist daher noch keine AVV-Liste.
Nachweis: Dienstleisterregister mit Rolle, zugehörigem Vorgang, Vertragsversion und letztem Rollencheck. Aktion bei Lücke: Klären Sie zuerst die tatsächliche Rolle; holen Sie dann fehlende Instrumente ein. Prüfen Sie auch, wie Daten bei Vertragsende zurückgegeben oder gelöscht werden. Ein Muster zur Auftragsverarbeitung darf die konkrete Leistungsbeschreibung nicht ersetzen.
6. Datenschutzbeauftragten und interne Zuständigkeit klären
Prüffrage: Lösen Artikel 37 DSGVO oder § 38 BDSG eine Benennungspflicht aus? § 38 nennt für nichtöffentliche Stellen regelmäßig mindestens 20 Personen, die ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind, sowie weitere Fälle unabhängig von der Zahl, etwa verpflichtende Folgenabschätzungen. Artikel 37 kann bei entsprechenden umfangreichen Kerntätigkeiten ebenfalls greifen. Zählen Sie nicht nur sämtliche Köpfe; beschreiben Sie die Arbeit der betroffenen Personen und die Risikotätigkeiten.
Nachweis: datierte Entscheidung mit Tatsachen, Norm und gegebenenfalls Benennung und Kontaktdaten. Aktion bei Lücke: Lassen Sie eine Grenzfrage fachlich prüfen. Auch ohne Pflicht zur Benennung braucht das Unternehmen jemanden, der Anfragen, Anbieteränderungen und Vorfälle koordiniert. Ein Datenschutzbeauftragter ersetzt nicht die Entscheidungen des Verantwortlichen.
7. Betroffenenanfragen im Probelauf bearbeiten
Prüffrage: Kann eine Anfrage aus E-Mail, Brief oder Kundenservice erkannt und an die richtige Stelle gegeben werden? Artikel 12 Absatz 3 verlangt grundsätzlich Antwort ohne unangemessene Verzögerung, spätestens binnen eines Monats; eine begründete Verlängerung um zwei Monate muss innerhalb des ersten Monats mitgeteilt werden. Identität ist nur bei begründeten Zweifeln mit verhältnismäßigen Zusatzinformationen zu prüfen. Auskunft, Berichtigung, Löschung, Einschränkung, Portabilität und Widerspruch haben verschiedene Voraussetzungen.
Nachweis: ein Testfall mit Eingang, Suchorten, Entscheidung und versandter Antwort, ohne echte fremde Daten offenzulegen. Aktion bei Lücke: Erstellen Sie eine Zuständigkeitskette und einen Vertretungsweg. Ein Löschwunsch kann wegen gesetzlicher Aufbewahrung teilweise abzulehnen sein; erklären Sie dann den Grund und begrenzen Sie die weitere Nutzung. Der Auskunftsleitfaden liefert einen vertieften Fall.
8. Löschregeln pro Datenart testen
Prüffrage: Gibt es für aktive Daten, Kopien, Archive und Backups nachvollziehbare Löschkriterien? Artikel 5 verlangt Speicherbegrenzung. Gesetzliche Pflichten können Aufbewahrung rechtfertigen, aber nicht für jede mit dem Beleg verknüpfte Information. § 147 AO unterscheidet zehn Jahre für Bücher und bestimmte Aufzeichnungen, acht Jahre für Buchungsbelege und oft sechs Jahre für sonstige Unterlagen. § 257 HGB unterscheidet entsprechend Bücher, Buchungsbelege und Handelsbriefe. Fristbeginn ist grundsätzlich das Ende des maßgeblichen Kalenderjahrs; weitere steuerliche Bedeutung kann verlängern.
Nachweis: je Datenklasse Zweck, Dokumentfunktion, Fristbeginn, Lösch- oder Sperraktionen und tatsächliches Testergebnis. Aktion bei Lücke: Trennen Sie Belegarchiv von aktivem Profil und Werbedaten. Wählen Sie einen abgelaufenen Testdatensatz und verfolgen Sie ihn durch Hauptsystem, Export und Backup-Verfahren. Das Recht auf Löschung umfasst Ausnahmen, ist aber kein Grund für pauschale Dauerarchivierung.
9. Technische und organisatorische Maßnahmen belegen
Prüffrage: Passen Schutzmaßnahmen zum Risiko der konkreten Daten und Zugriffe? Artikel 32 nennt als mögliche Elemente Pseudonymisierung, Verschlüsselung, dauerhafte Vertraulichkeit und Verfügbarkeit, Wiederherstellung und Wirksamkeitsprüfung. Er schreibt kein identisches Maßnahmenpaket für jeden Betrieb vor. Prüfen Sie Rollenrechte, Mehrfaktorschutz für besonders mächtige Konten, Updates, Sicherungen und Wiederherstellung. Ebenso wichtig ist, wer einem ausgeschiedenen Mitarbeiter den Zugang entzieht.
Nachweis: aktuelle Berechtigungsliste, Wiederherstellungstest, Sicherheitsentscheidungen und Zuständige. Aktion bei Lücke: Priorisieren Sie die größten Schadensszenarien statt eine lange unverifizierte Maßnahmenliste abzuhaken. Beispielsweise nützt ein verschlüsseltes Laptop wenig, wenn alle Beschäftigten dasselbe Administratorkonto teilen. Dokumentieren Sie eine risikobasierte Abweichung, wenn eine Maßnahme nicht angemessen ist.
10. Folgenabschätzung vor riskanten Vorhaben prüfen
Prüffrage: Ist eine Verarbeitung voraussichtlich mit hohem Risiko für Rechte und Freiheiten verbunden? Artikel 35 verlangt dann vor Beginn eine Datenschutz-Folgenabschätzung. Prüfen Sie Art, Umfang, Umstände und Zwecke sowie gesetzliche Beispiele und die Listen der zuständigen Aufsichtsbehörde. Eine neue Software oder eine einzelne Gesundheitsangabe löst nicht automatisch eine DSFA aus; systematische Überwachung, umfangreiche sensible Daten und neuartige Kombinationen können die Prüfung aber dringlich machen.
Nachweis: begründete Screening-Entscheidung oder vollständige DSFA mit Maßnahmen und verbleibendem Risiko. Aktion bei Lücke: Stoppen Sie die Freigabe des neuen riskanten Verfahrens, bis die Bewertung abgeschlossen ist. Lassen Sie Technik, Fachbereich und gegebenenfalls Datenschutzbeauftragten mitwirken. Der DSFA-Leitfaden erklärt die Schritte.
11. Datenschutzverletzungen üben
Prüffrage: Weiß das Team bei Fehlversand, verlorenen Geräten oder einem Angriff, wer Tatsachen sammelt und das Risiko bewertet? Artikel 33 verlangt eine Behördenmeldung ohne unangemessene Verzögerung und, soweit möglich, binnen 72 Stunden ab Bekanntwerden, sofern ein Risiko für Betroffene nicht unwahrscheinlich ist. Eine spätere Meldung braucht Gründe für die Verzögerung. Bei hohem Risiko kann Artikel 34 zusätzlich die Information Betroffener verlangen. Jede Verletzung personenbezogener Daten ist nach Artikel 33 Absatz 5 zu dokumentieren, auch wenn keine Meldung nötig war.
Nachweis: Protokoll eines kurzen Tabletop-Falls mit Zeitpunkt der Kenntnis, Datenkategorien, Betroffenen, Schutzmaßnahmen, Entscheidung und Verantwortlichen. Aktion bei Lücke: Legen Sie Ersatzkontakte und Zugriff auf Vorfallunterlagen auch bei Systemausfall fest. Nicht jede IT-Störung ist eine meldepflichtige Datenschutzverletzung; die Meldehilfe unterstützt die Einordnung.
12. Drittlandzugriffe und externe Technik untersuchen
Prüffrage: Können Anbieter, Support oder Unterauftragnehmer außerhalb des EWR auf personenbezogene Daten zugreifen? Ein EU-Serverstandort allein beantwortet die Frage nicht. Kapitel V DSGVO nennt unterschiedliche Übermittlungsgrundlagen, etwa einschlägige Angemessenheitsbeschlüsse oder geeignete Garantien wie Standardvertragsklauseln. Bei Garantien kann eine Bewertung des tatsächlichen Schutzniveaus und ergänzender Maßnahmen erforderlich sein. Für jeden Dienst sollte ersichtlich sein, welcher Weg auf welchen Zugriff angewandt wird.
Nachweis: Anbieter, Orte, Empfänger, Instrument, Version und Bewertung in einem Register. Aktion bei Lücke: Fordern Sie aktuelle Angaben statt alte Marketingübersichten an; prüfen Sie Support-Fernzugriff und Backups. Verwechseln Sie einen Angemessenheitsbeschluss für einen bestimmten Empfänger nicht mit einer pauschalen Freigabe sämtlicher Dienstleister in demselben Land.
13. Website, Endgerätezugriffe und Werbung getrennt prüfen
Prüffrage: Welche Informationen speichert oder liest die Website auf Endgeräten aus? § 25 TDDDG verlangt grundsätzlich vorherige informierte Einwilligung, es sei denn, eine enge Ausnahme greift, etwa für eine unbedingt erforderliche Funktion eines ausdrücklich gewünschten Dienstes. Prüfen Sie im Browser den Zustand vor Zustimmung und nach Ablehnung. Bei personenbezogener Weiterverarbeitung braucht es außerdem eine DSGVO-Rechtsgrundlage. Eine leere Bannerhülle ohne tatsächlich optionale Technik ist kein Compliance-Nachweis.
Nachweis: aktuelle Tag-Liste und Testprotokoll für Start-, Formular- und Bestätigungsseite. Aktion bei Lücke: Blockieren Sie optionale Tags bis zur wirksamen Entscheidung. Für Werbe-E-Mails verlangt § 7 UWG grundsätzlich vorherige ausdrückliche Einwilligung; die Bestandskundenausnahme hat vier kumulative Bedingungen. Ein Double-Opt-In kann den Nachweis stützen, ist aber keine im UWG wörtlich vorgeschriebene Technik. Mehr dazu im Cookie-Banner-Leitfaden.
14. Änderungen und Nachweise in eine Routine bringen
Prüffrage: Wann wird ein geprüfter Punkt wieder geöffnet? Geeignete Auslöser sind neue Zwecke, geänderte Dienstleister, neue Datenkategorien, Systemumzug, neue Zugriffsrechte, Vorfälle und neue Rechtslage. Artikel 24 verlangt angemessene Maßnahmen und ihre Überprüfung. Eine jährliche Sammelprüfung kann zusätzlich sinnvoll sein, ersetzt aber die Prüfung vor einem neuen riskanten Verfahren nicht. Legen Sie fest, wer Änderungen aus Fachbereichen meldet und wer die Datenschutzfolgen freigibt.
Nachweis: Änderungsprotokoll mit Entscheidung, Datum und Verweis auf aktualisierte Hinweise, Verträge und Verzeichnis. Aktion bei Lücke: Wählen Sie einen jüngsten Softwarewechsel und verfolgen Sie, ob die betroffenen Dokumente und technischen Einstellungen tatsächlich angepasst wurden. Wenn nur die Datenschutzerklärung ein neues Datum trägt, ist die Checkliste noch nicht abgeschlossen.
Ergebnis auswerten und Prioritäten setzen
Markieren Sie zuerst Risiken, bei denen Daten ohne Grundlage erhoben, optionales Tracking vor Einwilligung ausgelöst oder Vorfälle nicht erkannt würden. Danach bearbeiten Sie fehlende Rollen- und Aufbewahrungsentscheidungen. Ein Verzeichnis mit vielen offenen Feldern ist kein Versagen, wenn Eigentümer und Korrekturtermin feststehen; ein pauschal als „grün“ markiertes Blatt ohne Nachweis verschleiert dagegen Lücken. Halten Sie für jede Maßnahme fest, was bis wann konkret anders funktionieren soll, und prüfen Sie das Ergebnis im betreffenden System.
Für kleinere Betriebe bietet die KMU-Checkliste einen engeren Einstieg. Diese Seite bleibt der allgemeine Kontrollablauf: Sie ersetzt weder die fallbezogene Rechtsprüfung noch die Einordnung besonderer Branchenpflichten. Wer einen Shop betreibt, sollte zusätzlich den Checkout-Datenfluss durchgehen; ein Handwerksbetrieb die Baustellen- und Auftragsakte.
Einen offenen Punkt sauber abschließen
Nehmen Sie als Beispiel einen neuen Newsletter-Dienst. Der Befund „AVV fehlt“ ist noch keine vollständige Aufgabe. Zuerst prüfen Sie die Rolle des Dienstes, die Datenkategorien, Unterauftragnehmer und mögliche Drittlandzugriffe. Danach legen Sie fest, welcher Vertrag oder andere bindende Rechtsakt für eine tatsächliche Auftragsverarbeitung benötigt wird. Parallel kontrollieren Sie Einwilligungsweg, Abmeldung und Datenschutzhinweis. Als Abschlussnachweis dienen nicht nur eine Unterschrift, sondern auch ein Test, ob eine Abmeldung im Versandwerkzeug wirklich greift.
Notieren Sie für jeden offenen Punkt eine Entscheidungsschwelle: Wer darf die Änderung freigeben, wenn noch Nachweise fehlen? Wann wird sie gestoppt? Ein Eintrag mit Eigentümer, Frist und überprüfbarem Ergebnis lässt sich nacharbeiten. Ohne diese Angaben wandert derselbe Befund von einer Prüfung zur nächsten, während das tatsächliche Datenverhalten unverändert bleibt.
Häufige Fragen
Ist diese Checkliste eine gesetzlich vorgeschriebene Form?
Nein. Die DSGVO verlangt Ergebnisse und Nachweisbarkeit, nicht dieses Blatt. Eine Tabelle, ein geeignetes System oder andere dokumentierte Abläufe können funktionieren, wenn sie vollständig genug, zugänglich und aktuell sind. Spezifische Pflichten wie ein Verzeichnis oder eine DSFA sind gesondert zu beurteilen.
Muss ein kleines Unternehmen jeden Punkt erfüllen?
Es muss die anwendbaren materiellen Pflichten erfüllen. Einige Punkte haben Ausnahmen oder Risikoschwellen, etwa Artikel 30 Absatz 5 beim Verzeichnis oder Artikel 35 bei einer DSFA. „Nicht einschlägig“ sollte die konkrete Begründung enthalten. Die Mitarbeiterzahl allein entscheidet nicht über alles.
Wie oft sollte ich prüfen?
Bei wesentlichen Änderungen vor oder bei Einführung und danach angemessen zum Risiko. Eine interne jährliche Wiedervorlage ist oft nützlich, aber keine universelle DSGVO-Frist. Wichtiger ist ein benannter Eigentümer, der Änderungen meldet und offene Befunde verfolgt.
Was tue ich mit einem Löschwunsch bei einer Rechnung?
Prüfen Sie, welche Unterlagen gesetzlich aufzubewahren sind und welche Daten für andere Zwecke gespeichert werden. Beschränken Sie den Zugriff auf aufzubewahrende Belege und löschen Sie entbehrliche Profile und Werbedaten. Erklären Sie der Person eine teilweise Ablehnung samt Grund und den einschlägigen Rechten.
Muss ich jedes Sicherheitsereignis binnen 72 Stunden melden?
Nein. Bewerten und dokumentieren Sie zunächst, ob eine Verletzung personenbezogener Daten vorliegt und welches Risiko sie auslöst. Die Behördenmeldung folgt bei nicht unwahrscheinlichem Risiko ohne unangemessene Verzögerung und soweit möglich binnen 72 Stunden ab Bekanntwerden; eine Verzögerung ist zu begründen.
Primärquellen (geprüft am 27. September 2026): DSGVO, § 38 BDSG, § 25 TDDDG, § 7 UWG, § 147 AO und § 257 HGB.