Stand: 8. Oktober 2026 — Die DSGVO gilt unmittelbar in allen Mitgliedstaaten und verlangt für jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage nach Artikel 6, bei besonderen Kategorien zusätzlich Artikel 9. Auftragsverarbeitung ist nach Artikel 28 schriftlich zu regeln, und ein Datenschutzbeauftragter ist nach Artikel 37 zu benennen, wenn die Kerntätigkeit eine regelmäßige systematische umfangreiche Überwachung oder umfangreiche Verarbeitung besonderer Daten umfasst. Für die betriebliche Entscheidung reicht es nicht, diese Aussage zu kennen. Zuerst muss geklärt werden, für welche Einheit und welchen Vorgang sie gilt, über welchen Mechanismus sie wirkt und welcher Nachweis eine Umsetzung rechtfertigt.
Gesicherte Fakten und Anwendungsbereich
Die DSGVO gilt unmittelbar in allen Mitgliedstaaten und verlangt für jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage nach Artikel 6, bei besonderen Kategorien zusätzlich Artikel 9. Auftragsverarbeitung ist nach Artikel 28 schriftlich zu regeln, und ein Datenschutzbeauftragter ist nach Artikel 37 zu benennen, wenn die Kerntätigkeit eine regelmäßige systematische umfangreiche Überwachung oder umfangreiche Verarbeitung besonderer Daten umfasst.
Betroffen sind Unternehmen, die beim Markteintritt Kundendaten, Bewerberdaten oder Beschäftigtendaten in Deutschland verarbeiten, sowie Konzerne mit zentralen IT- und Marketingfunktionen. Vorab zu klären: Datenkategorien, Verarbeitungszwecke, Serverstandorte, eingesetzte Dienstleister, Rollen als Verantwortlicher oder Auftragsverarbeiter und bestehende Konzernrichtlinien.
Auswirkungen auf den Betrieb
Die DSGVO knüpft Pflichten an die Verarbeitung, nicht an den Sitz des Unternehmens. Daraus folgt: Zweckbindung, Datenminimierung, Löschkonzept und Betroffenenrechte müssen sich in Prozessen und Systemen wiederfinden; die Benennung eines Datenschutzbeauftragten ist an konkrete Tätigkeitsmerkmale gekoppelt, nicht an eine freiwillige Entscheidung.
Häufig wird angenommen, eine Einwilligung genüge für alle Zwecke, oder ein Auftragsverarbeitungsvertrag sei mit der Beauftragung erledigt. Ebenso unterschätzt werden Löschfristen, Übermittlungen in Drittländer ohne geeignete Garantien sowie die Dokumentationspflicht, wenn ein Datenschutzbeauftragter trotz Erforderlichkeit nicht benannt wird.
Bei „DSGVO beim Deutschlandstart: FAQ zu Rechtsgrundlage, Auftragsverarbeitung und Datenschutzbeauftragtem“ werden amtliche Vorgaben oder Statistiken, eigene Vertrags- und Prozessdaten sowie noch ungeprüfte Annahmen getrennt dokumentiert. Eine allgemeine Quelle beschreibt den äußeren Rahmen, ersetzt aber weder Belege zum konkreten Unternehmen noch einen Test des tatsächlichen Ablaufs.
Entscheidung
Prüfen Sie zuerst Zwecke, Datenarten und Dienstleister und leiten Sie daraus die Rechtsgrundlagen ab. Benennen Sie einen Datenschutzbeauftragten, wenn die Kerntätigkeit die gesetzlichen Merkmale erfüllt; andernfalls dokumentieren Sie die Begründung. Drittlandtransfers nur mit geeigneten Garantien und dokumentierter Transfer-Folgenabschätzung.
Umsetzungsplan
- Verarbeitungsverzeichnis mit Zweck, Rechtsgrundlage, Empfängern und Löschfrist anlegen.
- Auftragsverarbeitungsverträge mit allen Dienstleistern vor Produktivstart abschließen.
- Prüfung der Pflicht zur Benennung eines Datenschutzbeauftragten schriftlich dokumentieren.
- Für „DSGVO beim Deutschlandstart: FAQ zu Rechtsgrundlage, Auftragsverarbeitung und Datenschutzbeauftragtem“ jeweils eine entscheidende und eine ausführende Person sowie einen festen Prüftermin benennen.
- Für „DSGVO beim Deutschlandstart: FAQ zu Rechtsgrundlage, Auftragsverarbeitung und Datenschutzbeauftragtem“ Quellenseite, Abrufdatum, betroffene Einheit und interne Belege für und gegen die aktuelle Entscheidung gemeinsam ablegen.
- Bei einer Änderung von Vorschrift, Preis, Vertrag oder Praxisergebnis nur den betroffenen Prüfungspunkt zu „DSGVO beim Deutschlandstart: FAQ zu Rechtsgrundlage, Auftragsverarbeitung und Datenschutzbeauftragtem“ erneut öffnen.
Nachweis und Kontrolle
Für „DSGVO beim Deutschlandstart: FAQ zu Rechtsgrundlage, Auftragsverarbeitung und Datenschutzbeauftragtem“ beginnt die Kontrolle mit einem echten Vorgang und nicht mit einer abstrakten Checkliste. Dokumentiert werden Ausgangsdaten, verantwortliche Person, Beginn, Ergebnis und Abbruchkriterium. Wenn der Schritt „Verarbeitungsverzeichnis mit Zweck, Rechtsgrundlage, Empfängern und Löschfrist anlegen.“ nicht mit aktuellen Unterlagen belegt werden kann, darf der Prozess nicht auf weitere Gesellschaften, Produkte oder Fälle ausgeweitet werden.
Die zweite Prüfung folgt dem Schritt „Auftragsverarbeitungsverträge mit allen Dienstleistern vor Produktivstart abschließen.“. Quelle, Abrufdatum, betroffene Einheit, Frist, Kostenwirkung und Zuständigkeit gehören in dieselbe Akte. Eine reine Formulierungsfrage löst keine Neufassung aus. Wiederholt sich derselbe Fehler oder betrifft er eine gesetzliche Pflicht, wird gezielt korrigiert und die Freigabe bis zum Nachweis ausgesetzt.
Nach „Prüfung der Pflicht zur Benennung eines Datenschutzbeauftragten schriftlich dokumentieren.“ werden Soll und tatsächliches Ergebnis verglichen. Für jede weitere Ausbaustufe gelten dieselben Erfolgskriterien. Ändert sich später nur eine Zahl, Frist oder Zuständigkeit, wird genau dieser Teil aktualisiert; bereits bestätigte Nachweise bleiben erhalten. So bleibt der Vorgang prüfbar, ohne Zeit und Budget durch vollständige Wiederholungen zu verbrauchen.
Grenzen der Einordnung
Diese FAQ gibt einen allgemeinen Überblick zur DSGVO und stellt keine datenschutzrechtliche Beratung dar; die konkrete Einordnung hängt von Verarbeitungstätigkeiten, Unternehmensgröße und Aufsichtspraxis ab.
