Datenschutz-Checkliste: 20 wichtige DSGVO-Prüfpunkte
Diese Datenschutz-Checkliste hilft Unternehmen, Kommunen und Vereinen dabei, zentrale DSGVO-Pflichten strukturiert zu prüfen: von Rechtsgrundlagen und Informationspflichten bis zu Löschung, Auftragsverarbeitung und Datenschutzvorfällen. Die Datenschutz-Checkliste bündelt 20 wichtige DSGVO-Prüfpunkte für eine erste strukturierte Bestandsaufnahme.
Kurzantwort
Eine belastbare Datenschutz-Checkliste beginnt bei den tatsächlichen Datenverarbeitungen. Für jeden Vorgang müssen Zweck, Rechtsgrundlage, betroffene Personen, Empfänger, Speicherdauer und Schutzmaßnahmen nachvollziehbar sein.
Zu den wichtigsten Prüffeldern gehören Verzeichnis von Verarbeitungstätigkeiten, Datenschutzhinweise, Betroffenenrechte, Auftragsverarbeitung, Löschfristen, technische und organisatorische Maßnahmen, Datenschutzvorfälle und die Sensibilisierung der Mitarbeitenden.
Die folgenden 20 Prüfpunkte geben eine belastbare erste Orientierung. Sie ersetzen keine Prüfung des konkreten Einzelfalls.
Einordnung
Worum geht es bei einer Datenschutz-Checkliste?
Datenschutz betrifft jede Organisation, die personenbezogene Daten verarbeitet. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören zum Beispiel Name, Adresse, E-Mail-Adresse, Telefonnummer, Beschäftigtendaten, Kundendaten, Bewerberdaten, IP-Adressen, Fotos oder Gesundheitsdaten.
Eine Datenschutz-Checkliste hilft dabei, die wichtigsten Pflichten der DSGVO praktisch zu ordnen. Sie ersetzt aber keine Prüfung des konkreten Falls. Denn die Anforderungen hängen davon ab, welche Daten verarbeitet werden, zu welchem Zweck dies geschieht, welche Risiken bestehen und ob besondere Datenarten oder besonders schutzbedürftige Personen betroffen sind.
Gerade kleine Unternehmen, Vereine und Kommunen profitieren von einer klaren Struktur. Datenschutz wird dadurch nicht zu einem einmaligen Projekt, sondern zu einem beherrschbaren Bestandteil des laufenden Betriebs.
Rechtsgrundlagen
Welche gesetzlichen Grundlagen sind wichtig?
Die Grundsätze der Datenverarbeitung stehen in Art. 5 DSGVO. Personenbezogene Daten müssen insbesondere rechtmäßig, transparent, zweckgebunden, datenminimiert, richtig, speicherbegrenzt und sicher verarbeitet werden. Nach Art. 5 Abs. 2 DSGVO muss der Verantwortliche die Einhaltung dieser Grundsätze nachweisen können.
Art. 6 DSGVO regelt die Rechtsgrundlagen der Verarbeitung. Je nach Fall kommen insbesondere Vertragserfüllung, rechtliche Verpflichtung, berechtigte Interessen, Einwilligung oder die Wahrnehmung einer Aufgabe im öffentlichen Interesse in Betracht. Bei öffentlichen Stellen muss sich die Aufgabe zusätzlich auf eine Rechtsgrundlage im Unionsrecht oder im Recht des Mitgliedstaats stützen.
Art. 12 bis Art. 22 DSGVO regeln die Rechte betroffener Personen, etwa Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Widerspruch. Art. 24 DSGVO verpflichtet Verantwortliche dazu, geeignete technische und organisatorische Maßnahmen umzusetzen, zu überprüfen und erforderlichenfalls zu aktualisieren.
Weitere wichtige Vorschriften sind Art. 28 DSGVO zur Auftragsverarbeitung, Art. 30 DSGVO zum Verzeichnis von Verarbeitungstätigkeiten, Art. 32 DSGVO zur Sicherheit der Verarbeitung, Art. 33 und Art. 34 DSGVO zu Datenschutzverletzungen sowie Art. 35 DSGVO zur Datenschutz-Folgenabschätzung.
Bayerische öffentliche Stellen
Was sagt der BayLfD zur Datenschutzorganisation?
Für bayerische öffentliche Stellen ergeben sich die wesentlichen Prüfpunkte aus den gesetzlichen Vorgaben und den themenbezogenen Orientierungshilfen des Bayerischen Landesbeauftragten für den Datenschutz. Der BayLfD stellt unter anderem Materialien zu Technik und Organisation, Auftragsverarbeitung, Betroffenenrechten, Löschung, Datenschutz-Folgenabschätzung und Datenschutzverletzungen bereit.
Für Kommunen ist dabei entscheidend, Datenschutz dauerhaft organisatorisch zu verankern. Zu prüfen sind deshalb nicht nur einzelne Dokumente, sondern auch Fachverfahren, Zuständigkeiten, Dienstleister, Zugriffsrechte, Löschregeln, Veröffentlichungen, Betroffenenanfragen und der Umgang mit Datenschutzvorfällen.
Der behördliche Datenschutzbeauftragte berät und überwacht. Die Verantwortung für die rechtmäßige Verarbeitung und die erforderlichen organisatorischen Maßnahmen verbleibt bei der jeweiligen öffentlichen Stelle und ihren zuständigen Fachbereichen.
Für Kommunen bedeutet das: Eine Checkliste ist ein guter Einstieg. Sie ersetzt aber nicht ein laufendes Datenschutzmanagement mit gepflegtem Verzeichnis von Verarbeitungstätigkeiten, klaren Zuständigkeiten, Dienstleisterprüfung, Betroffenenrechtsprozess und Vorfallmanagement.
Weitere Auffassungen
Weitere Hinweise der Datenschutzaufsichtsbehörden
Das Bayerische Landesamt für Datenschutzaufsicht stellt für nichtöffentliche Stellen verschiedene Checklisten und Themenübersichten bereit. Dazu gehören Hilfen für kleine Unternehmen sowie Prüfpunkte zu technischen und organisatorischen Maßnahmen, Homeoffice, Cybersicherheit und weiteren Praxisfeldern.
Diese Materialien sind nicht als pauschaler Freibrief zu verstehen. Welche Anforderungen tatsächlich gelten, hängt von Art, Umfang, Zweck und Risiko der jeweiligen Verarbeitung ab.
Ergänzend veröffentlicht die Datenschutzkonferenz Orientierungshilfen und Kurzpapiere, unter anderem zum Verzeichnis von Verarbeitungstätigkeiten, zur Datenschutz-Folgenabschätzung, zu Betroffenenrechten und zur Auftragsverarbeitung. Für die praktische Prüfung sollten stets die aktuelle Fassung und der konkrete Anwendungsbereich des jeweiligen Dokuments beachtet werden.
Schnellüberblick
Datenschutz in 5 Schritten
Erfassen, welche personenbezogenen Daten verarbeitet werden: Kunden, Beschäftigte, Bewerber, Bürger, Mitglieder, Lieferanten oder Website-Nutzer.
Für jede Verarbeitung muss klar sein, warum die Daten verarbeitet werden dürfen und zu welchem Zweck dies geschieht.
Zugriffe, Passwörter, Berechtigungen, Geräte, Unterlagen, E-Mails und Dienstleister müssen angemessen abgesichert sein.
Auskunft, Löschung, Berichtigung, Widerspruch und weitere Betroffenenrechte müssen praktisch bearbeitet werden können.
Datenschutz funktioniert nur, wenn die Personen im Alltag wissen, worauf sie achten müssen.
Kommunale Praxis
Datenschutz-Checkliste für Kommunen
Kommunen verarbeiten in nahezu allen Bereichen personenbezogene Daten: Bürgerbüro, Standesamt, Ordnungsamt, Bauamt, Kämmerei, Personalstelle, Kita, Schule, Feuerwehr, Bauhof, Gremienarbeit und Öffentlichkeitsarbeit.
Eine kommunale Datenschutz-Checkliste sollte deshalb nicht nur auf die Website schauen. Wichtiger sind Fachverfahren, Zugriffsrechte, Aktenführung, E-Mail-Versand, Auftragsverarbeitung, Veröffentlichung von Sitzungsunterlagen, Umgang mit Auskünften, Löschfristen und Datenschutzvorfälle.
Besonders relevant sind Meldedaten, Sozialdaten, Steuerdaten, Gesundheitsdaten, Beschäftigtendaten, Daten von Kindern, Ordnungswidrigkeiten, Bankverbindungen und nichtöffentliche Unterlagen.
In kleineren Gemeinden ist außerdem wichtig, dass Zuständigkeiten klar geregelt sind. Datenschutz darf nicht nur beim Datenschutzbeauftragten „geparkt“ werden. Die Fachbereiche bleiben für ihre Verfahren verantwortlich und müssen den Datenschutzbeauftragten rechtzeitig einbinden.
Unternehmenspraxis
Wichtige Prüfpunkte für Unternehmen
Unternehmen sollten Datenschutz zuerst anhand ihrer tatsächlichen Abläufe prüfen: Kundenkommunikation, Angebote, Rechnungen, Buchhaltung, Personal, Bewerbungen, Website, Newsletter, CRM, Cloud-Dienste, IT-Dienstleister, Social Media und Videoüberwachung.
Besonders häufig fehlen in kleinen Unternehmen saubere Datenschutzhinweise, Auftragsverarbeitungsverträge, Löschregeln, ein Verzeichnis von Verarbeitungstätigkeiten oder ein Ablauf für Auskunftsersuchen und Datenschutzvorfälle.
Datenschutz bedeutet nicht, möglichst viele Formulare zu sammeln. Entscheidend ist, dass die Dokumentation zu den tatsächlichen Abläufen passt und im Alltag eingehalten wird.
Auch ohne Pflicht zur Benennung eines Datenschutzbeauftragten gelten die übrigen DSGVO-Pflichten. Die Frage nach dem Datenschutzbeauftragten ist also nur ein Baustein, nicht der gesamte Datenschutz.
Praxisfehler
Typische Fehler bei der DSGVO-Umsetzung
Ein häufiger Fehler ist die Annahme, Datenschutz bestehe nur aus einer Datenschutzerklärung auf der Website. Tatsächlich betrifft Datenschutz alle personenbezogenen Daten im Unternehmen oder in der Verwaltung.
Ebenso problematisch ist es, Musterunterlagen ungeprüft zu übernehmen. Muster können helfen, müssen aber an die tatsächlichen Verarbeitungen angepasst werden.
Ein weiterer Fehler ist, Rechtsgrundlagen nicht sauber zu trennen. Einwilligung, Vertrag, gesetzliche Pflicht, berechtigtes Interesse und öffentliche Aufgabe haben unterschiedliche Voraussetzungen.
Häufig fehlen auch Löschregeln. Daten werden dann länger gespeichert, als es für den ursprünglichen Zweck erforderlich ist.
Schließlich wird die Rolle von Dienstleistern unterschätzt. Sobald externe Anbieter personenbezogene Daten im Auftrag verarbeiten, muss geprüft werden, ob ein Vertrag zur Auftragsverarbeitung erforderlich ist.
Vorgehen
Datenschutz praktisch prüfen: sinnvolles Vorgehen
Am besten beginnt die Datenschutzprüfung nicht mit juristischen Details, sondern mit einer einfachen Bestandsaufnahme: Welche Daten kommen rein, wo werden sie gespeichert, wer hat Zugriff, an wen werden sie weitergegeben und wann werden sie gelöscht?
Danach sollten die wichtigsten Dokumente geprüft werden: Datenschutzhinweise, Verzeichnis von Verarbeitungstätigkeiten, Auftragsverarbeitungsverträge, TOMs, Löschkonzept, Berechtigungskonzept und Vorfallprozess.
Sinnvoll ist eine Priorisierung. Zuerst sollten Risiken mit sensiblen Daten, vielen betroffenen Personen, externen Dienstleistern, unklaren Zugriffsrechten oder öffentlichen Veröffentlichungen bearbeitet werden.
Die Checkliste sollte regelmäßig aktualisiert werden, etwa bei neuer Software, neuen Dienstleistern, neuen Formularen, Website-Änderungen, Cloud-Diensten, KI-Tools oder geänderten internen Abläufen.
Prüfpunkte
Die vollständige Checkliste: 20 konkrete Prüfpunkte
Welche personenbezogenen Daten werden verarbeitet?
Welche Personengruppen sind betroffen, etwa Kunden, Beschäftigte, Bewerber, Bürger, Mitglieder oder Lieferanten?
Für welche Zwecke werden die Daten verarbeitet?
Gibt es für jede Verarbeitung eine passende Rechtsgrundlage?
Werden besondere Kategorien personenbezogener Daten verarbeitet, etwa Gesundheitsdaten?
Sind die Datenschutzhinweise vollständig, verständlich und aktuell?
Gibt es ein Verzeichnis von Verarbeitungstätigkeiten?
Sind externe Dienstleister und Auftragsverarbeiter erfasst?
Liegen erforderliche Auftragsverarbeitungsverträge vor?
Sind Zugriffsrechte geregelt und auf das Erforderliche beschränkt?
Gibt es angemessene technische und organisatorische Maßnahmen?
Gibt es klare Löschfristen und Löschregeln?
Können Betroffenenrechte fristgerecht bearbeitet werden?
Gibt es einen Ablauf für Datenschutzvorfälle?
Ist geprüft, ob eine Datenschutz-Folgenabschätzung erforderlich ist?
Ist geprüft, ob ein Datenschutzbeauftragter benannt werden muss?
Sind Mitarbeitende sensibilisiert und geschult?
Werden Website, Cookies, Kontaktformulare und Analyse-Tools regelmäßig geprüft?
Gibt es Regeln für E-Mail-Versand, mobile Arbeit, private Geräte und Cloud-Dienste?
Wird die Datenschutzorganisation regelmäßig überprüft und aktualisiert?
Häufige Fragen
Häufige Fragen zur Datenschutz-Checkliste
Reicht eine Datenschutzerklärung für DSGVO-Compliance aus?
Nein. Eine Datenschutzerklärung ist nur ein Teil der Datenschutzpflichten. Zusätzlich müssen unter anderem Rechtsgrundlagen, Verarbeitungsverzeichnis, Dienstleister, TOMs, Löschregeln, Betroffenenrechte und Datenschutzvorfälle geregelt sein.
Braucht jedes kleine Unternehmen ein Verzeichnis von Verarbeitungstätigkeiten?
Art. 30 Abs. 5 DSGVO enthält zwar eine Ausnahme für Organisationen mit weniger als 250 Beschäftigten. Sie greift aber nur unter engen Voraussetzungen. Erfolgt die Verarbeitung nicht nur gelegentlich, birgt sie Risiken oder betrifft sie Daten nach Art. 9 oder Art. 10 DSGVO, ist ein Verzeichnis erforderlich. Bei regelmäßiger Verarbeitung von Kunden-, Beschäftigten- oder Mitgliederdaten ist die Ausnahme daher häufig nicht einschlägig.
Muss jede Verarbeitung auf einer Einwilligung beruhen?
Nein. Eine Einwilligung ist nur eine mögliche Rechtsgrundlage. Häufig kommen auch Vertragserfüllung, rechtliche Verpflichtung, berechtigte Interessen oder im öffentlichen Bereich eine Aufgabe im öffentlichen Interesse in Betracht.
Wie oft sollte eine Datenschutz-Checkliste geprüft werden?
Mindestens regelmäßig und zusätzlich bei relevanten Änderungen, etwa neuer Software, neuen Dienstleistern, Website-Änderungen, neuen Formularen, Cloud-Diensten oder neuen Verarbeitungen.
Gilt Datenschutz auch ohne Datenschutzbeauftragten?
Ja. Die DSGVO-Pflichten gelten unabhängig davon, ob ein Datenschutzbeauftragter benannt werden muss. Der Datenschutzbeauftragte ist nur ein Teil der Datenschutzorganisation.
Was sollte zuerst geprüft werden?
Zuerst sollten die tatsächlichen Verarbeitungen, Rechtsgrundlagen, Datenschutzhinweise, Dienstleister, Zugriffsrechte und mögliche Risiken geprüft werden. Danach kann die Dokumentation gezielt ergänzt werden.
Ergebnis
Fazit: Datenschutz dauerhaft organisieren
Eine Datenschutz-Checkliste ist ein guter Einstieg, wenn sie nicht nur formal abgearbeitet wird. Entscheidend ist, die tatsächlichen Datenverarbeitungen zu verstehen und daraus passende Maßnahmen abzuleiten.
Für Unternehmen, Kommunen und Vereine sind vor allem Datenübersicht, Rechtsgrundlagen, Transparenz, Dienstleister, Sicherheit, Löschung, Betroffenenrechte und Vorfallmanagement wichtig.
Ob einzelne Punkte im konkreten Fall erfüllt sind, hängt von den tatsächlichen Abläufen, Datenarten, Risiken und Zuständigkeiten ab und sollte im Zweifel individuell geprüft werden.
Weiterlesen
Weiterführende Datenschutzthemen
Nachweise
Quellen und weiterführende Hinweise
Datenschutz-Check konkret durchführen?
Eine Checkliste zeigt schnell, wo Lücken bestehen. Entscheidend ist danach die saubere Umsetzung: passende Dokumentation, klare Prozesse, geprüfte Dienstleister und verständliche Maßnahmen für den Alltag.
Datenschutz prüfen lassen