Die Rechenschaftspflicht verlangt, dass ein Verantwortlicher die Datenschutzgrundsätze einhält und dies nachweisen kann. Für den Arbeitsalltag bedeutet das: Eine Entscheidung braucht einen nachvollziehbaren Grund, eine umgesetzte Maßnahme und einen Beleg dafür, dass sie im betroffenen Verfahren funktioniert. Ein unterschriebenes Konzept allein beantwortet diese drei Fragen selten.
Dieser Leitfaden führt zu einem Nachweisverzeichnis für eine konkrete Verarbeitung. Es verbindet Rechtsgrundlagen, Zuständigkeiten und tatsächliche Kontrollergebnisse. Das Beispiel einer fiktiven Kundendienstorganisation zeigt auch offene Mängel. Es beschreibt keine Feststellungen über ein reales Unternehmen und setzt keinen bestimmten Softwareeinsatz voraus.
1. Was Artikel 5 Absatz 2 und Artikel 24 verlangen
Artikel 5 Absatz 2 DSGVO ordnet dem Verantwortlichen die Verantwortung für die Grundsätze aus Absatz 1 und den Nachweis ihrer Einhaltung zu. Dazu gehören beispielsweise Zweckbindung, Datenminimierung, Speicherbegrenzung und angemessene Sicherheit. Artikel 24 verlangt unter Berücksichtigung der konkreten Verarbeitung und ihrer Risiken geeignete technische und organisatorische Maßnahmen, die erforderlichenfalls überprüft und aktualisiert werden. Maßstab ist die DSGVO im amtlichen Wortlaut.
Es gibt deshalb keinen universellen Ordner, dessen Vollständigkeit automatisch die Rechtmäßigkeit aller Verarbeitungen bestätigt. Umfang und Tiefe müssen zum Verfahren passen. Ein kleiner Verein kann ein überschaubares Verzeichnis führen; eine Plattform mit umfangreicher Profilbildung benötigt wesentlich differenziertere Entscheidungen und Kontrollen. Geringe Unternehmensgröße beseitigt die Verantwortung nicht.
Der Europäische Datenschutzausschuss zur Rechenschaftspflicht hebt die Dokumentation der Datenschutzpraxis und der getroffenen Entscheidungen hervor. Das ist ein sinnvoller Ausgangspunkt für das eigene Register: Es muss erklären, was entschieden wurde, auf welcher Grundlage und wie sich diese Entscheidung im Betrieb wiederfindet.
2. Mit einem klar abgegrenzten Verfahren beginnen
Wählen Sie zuerst eine Verarbeitung mit einem fachlich verständlichen Anfang und Ende. „Alle Kundendaten“ ist meist zu weit. „Bearbeitung einer technischen Kundenanfrage vom Eingang bis zur Löschung des Vorgangs“ lässt sich dagegen untersuchen. Legen Sie fest, welche Organisation verantwortlich ist, welche Personen betroffen sind und welche Anwendungen, Dienstleister und Datenexporte dazugehören.
Die Kartierung der IT-Systemlandschaft liefert hierfür die technischen Stationen. Die Abgrenzung zwischen Verantwortlichem und Auftragsverarbeiter klärt, wessen Entscheidung und Vertrag Sie überhaupt prüfen. Eine zentrale Konzernrichtlinie ersetzt diese Zuordnung zwischen rechtlich eigenständigen Gesellschaften nicht.
Erfassen Sie anschließend die Behauptungen, die Sie belegen wollen. „Nur das Serviceteam hat Zugriff“ lässt sich durch eine konkrete Rollenprüfung untersuchen. „Wir verarbeiten datenschutzkonform“ lässt keinen abgegrenzten Nachweis zu. Je präziser die Aussage, desto leichter kann ein Kollege sie bestätigen oder widerlegen.
3. Ein ausgefülltes Nachweisverzeichnis
Die fiktive Hafenservice GmbH bearbeitet Reparaturanfragen. Ihr Nachweisverzeichnis verwendet die folgenden Einträge. Die angegebenen Prüftermine und Ergebnisse sind bewusst erfundene Arbeitsbeispiele, keine gesetzlichen Prüfintervalle.
| Aussage und Gegenstand | Verantwortliche Funktion | Nachweis und Ergebnis | Nächster Schritt |
|---|---|---|---|
| Das Formular erhebt nur erforderliche Kontaktdaten | Serviceleitung | Feldprüfung vom 2. September: Geburtsdatum ohne Zweck entdeckt | Feld entfernen; Produktverantwortliche prüft die neue Version am 10. September |
| Nur aktive Servicemitarbeiter sehen offene Vorgänge | IT-Betrieb | Rollenexport vom 3. September: ein ausgeschiedenes Konto noch berechtigt | Konto gesperrt; Ursache im Austrittsprozess bis 12. September klären |
| Der externe Speicher handelt als Auftragsverarbeiter | Einkauf und Datenschutzkoordination | Unterzeichneter Vertrag, aktuelle Unterauftragnehmerliste und Rollenvermerk vorhanden | Neue Supportregion vor Aktivierung gesondert prüfen |
| Abgeschlossene Vorgänge werden nach dem beschlossenen Fristenmodell gelöscht | Anwendungsverantwortliche | Löschlauf geprüft: Haupttabelle bereinigt, Suchindex enthält Resttreffer | Indexbereinigung bis 15. September; Wiederholungsprüfung dokumentieren |
| Betroffene erhalten passende Informationen | Serviceleitung | Formularhinweis Version 3 im veröffentlichten Formular sichtbar | Aktualisierung bei Änderung des Empfängerkreises |
| Auskunftsanfragen erreichen die zuständige Stelle | Kundenservice | Simulierter Eingang über allgemeines Postfach wurde am selben Arbeitstag weitergeleitet | Schulungsunterlagen an tatsächlichen Weiterleitungsweg anpassen |
Die Tabelle ist ein Wegweiser. Personenbezogene Rohdaten, vollständige Tickets und sensible Sicherheitskonfigurationen gehören nicht automatisch hinein. Verlinken Sie geschützte Nachweise mit angemessenen Zugriffsrechten. Ein Prüfer muss erkennen können, auf welchen Zeitraum, welches System und welche Version sich das Ergebnis bezieht.
Ein roter Eintrag ist kein Grund, das Register zu bereinigen, bis es ausschließlich Erfolge zeigt. Die Abweichung und ihre Bearbeitung gehören zusammen. Zugleich macht eine dokumentierte Abweichung eine unzulässige Verarbeitung nicht zulässig: Bei einem nicht vertretbaren Risiko muss der betroffene Vorgang gegebenenfalls sofort eingeschränkt werden.
4. Entscheidung, Umsetzung und Wirksamkeit getrennt belegen
Für jede wesentliche Aussage sind drei Belege besonders hilfreich. Der Entscheidungsbeleg erklärt den Sollzustand. Der Umsetzungsbeleg zeigt, was eingerichtet wurde. Der Wirksamkeitsbeleg untersucht das tatsächliche Ergebnis. Diese Trennung verhindert, dass ein freigegebenes Dokument als Nachweis einer noch nicht umgesetzten Maßnahme behandelt wird.
Beim Beispiel der Löschung enthält die Entscheidung die sachliche Begründung des Fristenmodells einschließlich einschlägiger Aufbewahrungspflichten. Die Umsetzung besteht aus der konfigurierten Routine und ihrer Systemabdeckung. Die Wirksamkeitsprüfung untersucht geeignete Vorgänge nach einem Lauf einschließlich relevanter Nebenbestände. Ein Protokoll „Job erfolgreich“ kann genügen, um die technische Ausführung zu belegen, beantwortet aber allein nicht, ob der Suchindex bereinigt wurde.
Für die Sicherheit verbindet eine Informationssicherheitsrichtlinie das Ziel mit Zuständigkeiten. Das Protokollierungskonzept legt geeignete Ereignisse und Auswertungen fest. Sammeln Sie nicht vorsorglich sämtliche Nutzungsdaten als vermeintlichen Datenschutzbeweis; auch Kontrollinformationen unterliegen Zweckbindung, Zugriffsschutz und Speicherbegrenzung.
5. Rechtsgrundlagen und Pflichten verfahrensbezogen zuordnen
Beruht eine Entscheidung auf einer behördlichen Auslegung, sollte der Nachweis auch die verwendete EDSA-Leitlinie und ihren Status enthalten. Dokumentieren Sie, warum gerade diese Fassung und ihr Anwendungsbereich zur geprüften Verarbeitung passen.
Das Nachweisverzeichnis sollte auf eine begründete Rechtsgrundlagenentscheidung verweisen. Bei berechtigten Interessen sind insbesondere Interesse, Erforderlichkeit und Abwägung nachvollziehbar zu behandeln. Bei Einwilligung muss der Verantwortliche deren Erteilung nachweisen können; Artikel 7 Absatz 1 enthält hierzu eine ausdrückliche Pflicht. Ein allgemeines Kennzeichen „Einwilligung vorhanden“ reicht nicht, wenn unklar bleibt, welcher Erklärung die Person wann zugestimmt hat.
Besondere Kategorien personenbezogener Daten erfordern zusätzlich die Prüfung von Artikel 9; strafrechtliche Informationen betreffen Artikel 10. Ein Vertrag mit einem Dienstleister löst diese Fragen nicht. Ebenso ersetzen Standardvertragsklauseln für einen Drittlandtransfer keine Rechtsgrundlage für die ursprüngliche Erhebung.
Das Verzeichnis der Verarbeitungstätigkeiten kann als fachlicher Einstieg dienen. Seine gesetzlich vorgesehenen Angaben decken jedoch nicht jede Entscheidungsbegründung oder jeden Kontrollnachweis ab. Prüfen Sie seine Anwendungsvoraussetzungen und Ausnahmen anhand von Artikel 30; eine angekündigte Vereinfachung ist keine bereits geltende Befreiung.
Weitere Nachweise entstehen nur, soweit die jeweilige Pflicht einschlägig ist: etwa eine Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko, die Dokumentation von Datenschutzverletzungen nach Artikel 33 Absatz 5 oder ein Transfer Impact Assessment bei einer entsprechenden Übermittlungsgrundlage und Konstellation. Das Register sollte Pflicht, Anwendbarkeit und Fundstelle verbinden, statt wahllos Muster auszufüllen. Bei geldwäscherechtlich verpflichteten Stellen müssen auch spezielle Erhebungs-, Aufbewahrungs- und Informationsregeln nachvollziehbar zugeordnet werden. Der Leitfaden zu Geldwäschepflichten und Datenschutz zeigt, welche Konflikte ein allgemeines Nachweisregister allein nicht löst.
6. Zuständigkeit bleibt bei der verantwortlichen Organisation
Die Leitung muss Entscheidungen und Ressourcen so organisieren, dass die Maßnahmen tatsächlich umgesetzt werden. Fachbereiche kennen die Zwecke, IT kennt die Systeme, Einkauf kennt die Lieferanten. Jede wesentliche Nachweisposition braucht eine Person oder Funktion, die sie aktuell halten und Rückfragen beantworten kann.
Der Datenschutzbeauftragte berät und überwacht im Rahmen seiner gesetzlichen Aufgaben. Seine Beteiligung ersetzt keine Entscheidung des Verantwortlichen und macht ihn nicht zum Eigentümer sämtlicher Risiken. Eine organisatorische Regel „Der Datenschutzbeauftragte ist für die Rechtmäßigkeit aller Verfahren zuständig“ verdeckt die Verantwortung und kann seine unabhängige Beratungs- und Kontrollrolle beeinträchtigen.
Für externe Unterstützung bestimmen Sie deshalb den Auftrag konkret: Soll sie Unterlagen strukturieren, technische Kontrollen ausführen oder rechtliche Fragen beurteilen? Das Vergleichen von Datenschutzqualifikationen hilft, passende Kenntnisse zuzuordnen. Ein Zertifikat des Beraters bestätigt nicht automatisch die Konformität des geprüften Verfahrens.
7. Aktualisierung an Änderungen und Ergebnissen ausrichten
Legen Sie einen angemessenen Prüfplan fest und ergänzen Sie Auslöser für außerplanmäßige Überprüfungen. Neue Zwecke, zusätzliche Felder, veränderte Empfänger, Unternehmensübernahmen und ein fehlgeschlagener Wiederherstellungstest können vorhandene Annahmen entkräften. Die DSGVO schreibt für sämtliche Nachweise keinen einheitlichen jährlichen Erneuerungstermin vor.
Im Beispiel löst die neue Supportregion eine Prüfung aus, bevor der Zugriff freigeschaltet wird. Der offene Suchindexbefund erhält einen zeitnahen Nachweis der Behebung. Dagegen muss ein weiterhin zutreffender Rollenvermerk nicht nur deshalb umgeschrieben werden, weil das Kalenderjahr gewechselt hat. Dokumentieren Sie die Prüfung und ihr Ergebnis, auch wenn keine inhaltliche Änderung nötig war.
Versionen müssen den historischen Zustand erkennen lassen. Wird eine Informationserklärung geändert, kann es erforderlich sein, ihre vorherige Fassung einem vergangenen Erhebungsvorgang zuordnen zu können. Bewahren Sie solche Nachweise angemessen begründet auf und begrenzen Sie enthaltene personenbezogene Angaben. Rechenschaftspflicht ist keine unbegrenzte Aufbewahrungserlaubnis.
8. Aus dem Register eine überprüfbare Auskunft machen
Bei einer internen Rückfrage oder einer behördlichen Anforderung wählen Sie zunächst den relevanten Umfang. Stellen Sie eine kurze Erklärung des Verfahrens, das passende Register und die dazugehörigen Belege zusammen. Eine große unsortierte Dokumentenmenge erschwert die Bewertung und kann unnötig Daten über unbeteiligte Personen offenlegen.
Für eine systematische Überprüfung bietet das Vorgehen beim Datenschutz-Audit einen eigenen Ablauf. Das laufende Nachweisverzeichnis erleichtert diese Prüfung, weil Entscheidungen, Ergebnisse und offene Maßnahmen bereits zusammenhängen. Entscheidend bleibt die inhaltliche Belastbarkeit: Ein grüner Status ohne überprüfbaren Beleg ist eine Behauptung; ein klar abgegrenztes Ergebnis mit Zuständigkeit und Nachprüfung ist eine brauchbare Arbeitsgrundlage.