Datenschutz-Compliance: Pflichten und Umsetzung

Datenschutz-Compliance bezeichnet die verbindliche Einhaltung aller datenschutzrechtlichen Vorgaben durch Unternehmen und Organisationen, allen voran der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG-neu). Wer personenbezogene Daten verarbeitet, bewegt sich in einem Haftungs- und Sanktionsumfeld, das organisatorische Schwächen schonungslos offenlegt. Kein Unternehmen kann sich heute darauf verlassen, dass guter Wille allein vor Bußgeldern schützt.

Die zentralen Bausteine der Compliance im Datenschutz sind:

• Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO als Kerndokument aller Datenverarbeitungsprozesse
• Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO zum Schutz personenbezogener Daten
• Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO bei risikoreichen Verarbeitungen
• Meldepflicht bei Datenschutzverletzungen innerhalb von 72 Stunden nach Art. 33 DSGVO
• Bestellung eines Datenschutzbeauftragten (DSB) ab 20 Personen, die regelmäßig personenbezogene Daten verarbeiten
• Auftragsverarbeitungsverträge nach Art. 28 DSGVO mit jedem externen Dienstleister
• Wahrung der Betroffenenrechte auf Auskunft, Löschung und Widerspruch

Compliance ist keine Option. Sie ist Pflicht, und die Verantwortung der Geschäftsführung liegt bei der Geschäftsführung, nicht beim Datenschutzbeauftragten.

Welche gesetzlichen Grundlagen gelten für die Datenschutz-Compliance?

Die DSGVO bildet seit Mai 2018 den verbindlichen Rechtsrahmen für alle Organisationen, die personenbezogene Daten von Personen in der EU verarbeiten. Ergänzt wird sie durch das BDSG-neu, das nationale Spielräume ausfüllt, etwa bei der Bestellung von Datenschutzbeauftragten oder bei Beschäftigtendatenschutz.

Folgende Kernartikel der DSGVO prägen die tägliche Compliance-Arbeit:

• Art. 5 DSGVO: Grundsätze der Verarbeitung (Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit)
• Art. 24 DSGVO: Verantwortlichkeit des Verantwortlichen, geeignete technische und organisatorische Maßnahmen umzusetzen und nachzuweisen
• Art. 25 DSGVO: Privacy by Design und Privacy by Default als Konstruktionsprinzipien
• Art. 28 DSGVO: Pflicht zum Abschluss von Auftragsverarbeitungsverträgen
• Art. 30 DSGVO: Führung eines Verzeichnisses von Verarbeitungstätigkeiten
• Art. 32 DSGVO: Technische und organisatorische Maßnahmen zur Datensicherheit
• Art. 33 DSGVO: Meldefrist für Datenschutzvorfälle ist gesetzlich definiert bei Datenschutzverletzungen gegenüber der Aufsichtsbehörde
• Art. 35 DSGVO: Datenschutz-Folgenabschätzung bei risikoreichen Verarbeitungen
• § 38 BDSG-neu: Pflicht zur Bestellung eines DSB ab 20 regelmäßig mit Daten befassten Personen

Der EuGH hat in seiner Entscheidung C-129/21 (Proximus) vom 27. Oktober 2022 ausdrücklich formuliert, dass Verantwortliche geeignete Maßnahmen ergreifen müssen, um Verstößen gegen die DSGVO vorzubeugen. Compliance beginnt also nicht erst mit der Anfrage der Aufsichtsbehörde, sondern in der Organisationsentscheidung des Unternehmens selbst.

Wer trägt die Verantwortung? Datenschutzbeauftragter und Compliance Officer im Vergleich

Die Frage der Verantwortung ist rechtlich klar beantwortet: Die Geschäftsführung haftet persönlich für Datenschutzverstöße, auch mit Privatvermögen. Eine Delegation der rechtlichen Verantwortung auf den DSB ist ausgeschlossen.

Trotzdem verwechseln viele Unternehmen die Rollen von DSB und Compliance Officer, oder sie versuchen, beide Funktionen in einer Person zu bündeln. Das ist problematisch.

Datenschutzbeauftragter (DSB):

• Rechtliche Grundlage: Art. 38 DSGVO, § 38 BDSG-neu
• Weisungsfrei und mit besonderem Abberufungsschutz nach § 38 Abs. 2 BDSG i.V.m. § 6 Abs. 4 BDSG
• Aufgabe: Schutz der Rechte und Freiheiten betroffener Personen, Beratung und Überwachung
• Unterliegt der Verschwiegenheitspflicht gegenüber der Identität von Betroffenen
• Kann intern oder extern bestellt werden; externe DSB bringen oft mehr Unabhängigkeit mit

Compliance Officer:

• Keine gesetzliche Bestellpflicht (Ausnahme: Wertpapierdienstleistungs- und Versicherungsunternehmen)
• Weisungsgebunden gegenüber der Geschäftsführung, kein vergleichbarer Kündigungsschutz
• Aufgabe: Überwachung der Einhaltung aller gesetzlichen Vorgaben und internen Richtlinien unternehmensweit
• Befugt, auch personenbezogene Daten für Untersuchungen zu nutzen, was beim DSB zum Interessenkonflikt führt

Die Trennung beider Rollen ist aus gutem Grund empfohlen: Der Compliance Officer muss investigativ prüfen dürfen, während der DSB datenschutzrechtliche Verschwiegenheit einhalten muss. Wer beides in einer Person vereint, schafft einen Interessenkonflikt, der im Ernstfall zur zwangsweisen Abberufung durch die Aufsichtsbehörde führen kann.

Profi-Tipp: Integrieren Sie den DSB in die Compliance-Organisation, aber wahren Sie seine Weisungsfreiheit. Gemeinsame Schulungen und Audits schaffen Synergien, ohne die rechtliche Unabhängigkeit zu gefährden.

Welche technischen und organisatorischen Maßnahmen braucht Ihr Unternehmen?

Technische und organisatorische Maßnahmen nach Art. 32 DSGVO sind kein einmaliges Projekt, sondern ein laufender Prozess. Sie müssen dem Stand der Technik entsprechen und regelmäßig überprüft werden.

Technische Maßnahmen:

• Zugriffskontrollen und Berechtigungsmanagement (Prinzip der minimalen Rechtevergabe)
• Verschlüsselung von Daten bei Übertragung und Speicherung
• Firewalls, Intrusion-Detection-Systeme und Antivirensoftware
• Pseudonymisierung personenbezogener Daten wo möglich
• Protokollierung von Zugriffen auf sensible Daten

Organisatorische Maßnahmen:

• Klare Zugriffsrechte und Rollenkonzepte
• Verpflichtung aller Mitarbeiter auf das Datengeheimnis
• Strukturiertes Incident-Management mit definierten Eskalationswegen
• Regelmäßige interne Kontrollen und Audits
• Auftragsverarbeitungsverträge nach Art. 28 DSGVO mit jedem Dienstleister, der personenbezogene Daten verarbeitet

Privacy by Design bedeutet: Datenschutz wird von Anfang an in Systeme und Prozesse eingebaut, nicht nachträglich aufgesetzt. Privacy by Default ergänzt dies: Voreinstellungen müssen so gewählt sein, dass standardmäßig so wenig Daten wie möglich verarbeitet werden. Beide Prinzipien folgen aus Art. 25 DSGVO und sind keine Kür, sondern Pflicht.

Bei risikoreichen Verarbeitungen, etwa beim Einsatz neuer Technologien oder bei der Verarbeitung besonderer Datenkategorien, ist vor dem Start eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO durchzuführen. Wer das überspringt, riskiert nicht nur Bußgelder, sondern auch eine Untersagung der Verarbeitung durch die Aufsichtsbehörde.

Wie stärken Schulungen und klare Prozesse die Datenschutz-Compliance?

Der häufigste Ausgangspunkt für Datenschutzverletzungen ist menschliches Versagen. Phishing-Mails, falsch adressierte E-Mails, ungesicherte Laptops. Regelmäßige Mitarbeiterschulungen sind deshalb keine Zusatzleistung, sondern Teil der Rechenschaftspflicht nach Art. 5 und 32 DSGVO.

Folgende Prozesse müssen im Unternehmen klar definiert und dokumentiert sein:

• Betroffenenanfragen: Wer bearbeitet Auskunfts-, Löschungs- und Widerspruchsanfragen? Welche Systeme sind betroffen? Wie werden Fristen (in der Regel einen Monat nach Art. 12 DSGVO) überwacht?
• Incident-Management: Klare Eskalationswege bei Datenpannen, damit die 72-Stunden-Meldefrist nach Art. 33 DSGVO eingehalten werden kann
• Verpflichtungserklärungen: Alle Mitarbeiter, die personenbezogene Daten verarbeiten, müssen schriftlich auf das Datengeheimnis verpflichtet werden
• Kommunikationswege: Wer informiert wen bei einem Datenschutzvorfall? Wer entscheidet über die Meldung an die Aufsichtsbehörde?

Schulungen sollten nicht als einmalige Pflichtveranstaltung behandelt werden. Wer sie jährlich wiederholt und auf konkrete Szenarien aus dem eigenen Unternehmensalltag zuschneidet, erzielt deutlich mehr Wirkung als mit generischen Präsentationen.

Wie dokumentieren und verbessern Sie Ihre Datenschutz-Compliance nachhaltig?

Datenschutz-Compliance erfordert Nachweise: ein aktuelles Verzeichnis von Verarbeitungstätigkeiten, Dokumentation der TOM und Datenschutz-Folgenabschätzungen. Aufsichtsbehörden prüfen nicht nur, ob Maßnahmen existieren, sondern ob sie belegt werden können.

Das VVT ist dabei kein statisches Dokument. Es muss laufend aktualisiert werden, wenn neue Verarbeitungen hinzukommen, Dienstleister wechseln oder Prozesse sich ändern. Veraltete Dokumentation führt bei Prüfungen zu erheblichen Problemen.

Ein Datenschutzmanagementsystem (DSMS) schafft den strukturellen Rahmen für all das. Es macht sichtbar, wo welche Verarbeitung stattfindet, welche Risiken bestehen und wer Entscheidungen trifft. Wer ein DSMS betreibt, kann auf Anfragen von Behörden oder Betroffenen strukturiert reagieren, statt zu improvisieren. Die Rechtsprechung verlangt genau das: eine nachvollziehbare, risikoorientierte und wirksame Datenschutzorganisation, keine abstrakte Perfektion.

Regelmäßige interne Audits decken Lücken auf, bevor es die Aufsichtsbehörde tut. Ein Datenschutzmanagement-Handbuch, das Zuständigkeiten, Prozesse und Maßnahmen beschreibt, ist dabei kein bürokratischer Selbstzweck, sondern ein Verteidigungsdokument im Ernstfall.

Welche Rechte haben Betroffene, und wie setzen Unternehmen sie um?

Die DSGVO räumt betroffenen Personen weitreichende Rechte ein. Unternehmen müssen diese nicht nur kennen, sondern intern so organisieren, dass sie fristgerecht und vollständig erfüllt werden können.

Auskunftsrecht (Art. 15 DSGVO): Betroffene können jederzeit Auskunft darüber verlangen, welche Daten über sie verarbeitet werden, zu welchem Zweck und an wen sie weitergegeben wurden. Die Antwort muss in der Regel innerhalb eines Monats erfolgen.

Recht auf Löschung (Art. 17 DSGVO): Das sogenannte „Recht auf Vergessenwerden“ greift, wenn der Verarbeitungszweck entfallen ist, die Einwilligung widerrufen wurde oder die Verarbeitung unrechtmäßig war. Kritisch: Eine erklärte Löschung darf nicht durch nachgelagerte Prozesse oder Backup-Systeme unterlaufen werden.

Widerspruchsrecht (Art. 21 DSGVO): Betroffene können der Verarbeitung ihrer Daten widersprechen, insbesondere bei Direktwerbung. Der Widerspruch muss sofort und ohne Prüfung einer Begründung umgesetzt werden.

Weitere Rechte: Recht auf Berichtigung (Art. 16), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerruf einer Einwilligung (Art. 7 Abs. 3).

Wer intern keine klaren Abläufe für Betroffenenanfragen definiert hat, wird diese Rechte nicht zuverlässig wahren können. Welche Systeme sind betroffen? Welche Dienstleister müssen eingebunden werden? Wie werden Fristen überwacht? Genau an diesen Schnittstellen entscheidet sich, ob Rechenschaftspflicht gelebt wird oder nur auf dem Papier existiert.

Was gilt bei der Übermittlung von Daten in Drittländer?

Datenübermittlungen in Länder außerhalb des Europäischen Wirtschaftsraums (EWR) sind nur unter strengen Voraussetzungen zulässig. Die DSGVO erlaubt sie grundsätzlich nur, wenn ein angemessenes Schutzniveau gewährleistet ist.

Zulässige Übermittlungsgrundlagen sind:

• Angemessenheitsbeschluss der EU-Kommission: Für bestimmte Länder (z.B. die USA auf Basis des EU-U.S. Data Privacy Framework) hat die Kommission ein angemessenes Schutzniveau festgestellt.
• Standardvertragsklauseln (SCC): Von der EU-Kommission genehmigte Vertragsklauseln, die zwischen Verantwortlichem und Empfänger vereinbart werden müssen.
• Verbindliche interne Datenschutzvorschriften (Binding Corporate Rules): Für konzerninterne Übermittlungen, müssen von der Aufsichtsbehörde genehmigt werden.
• Ausnahmen nach Art. 49 DSGVO: Nur für Einzelfälle, etwa ausdrückliche Einwilligung der betroffenen Person oder Vertragserfüllung.

Allein der Abschluss von Standardvertragsklauseln reicht nicht aus. Unternehmen müssen zusätzlich prüfen, ob das Recht des Empfängerlandes die vereinbarten Garantien untergräbt, und gegebenenfalls ergänzende Schutzmaßnahmen treffen. Der EuGH hat dies mit dem Schrems-II-Urteil (C-311/18) unmissverständlich klargestellt. Wer Cloud-Dienste oder externe Dienstleister mit Sitz außerhalb des EWR einsetzt, muss diese Prüfung dokumentiert durchführen, nicht nur einmalig, sondern bei jeder wesentlichen Änderung.

Welche Sanktionen drohen bei Verstößen gegen die DSGVO?

Die Bußgeldrahmen der DSGVO sind erheblich. Art. 83 DSGVO sieht zwei Stufen vor:

• Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes bei Verstößen gegen grundlegende Pflichten (z.B. fehlende Auftragsverarbeitungsverträge, kein VVT)
• Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes bei schwerwiegenden Verstößen (z.B. Verletzung der Grundsätze nach Art. 5, unzulässige Drittlandübermittlungen)

Aufsichtsbehörden haben in den vergangenen Jahren Bußgelder in Millionenhöhe gegen Unternehmen aller Größen verhängt. Kleine und mittlere Unternehmen sind keineswegs ausgenommen.

Neben Bußgeldern drohen weitere Konsequenzen: Untersagung der Datenverarbeitung durch die Aufsichtsbehörde, Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO und strafrechtliche Konsequenzen nach § 42 BDSG-neu bei besonders schwerwiegenden Verstößen, etwa der unbefugten Weitergabe von Daten gegen Entgelt. Die persönliche Haftung der Geschäftsführung schließt dabei auch das Privatvermögen ein. Wer das unterschätzt, hat die Rechtslage nicht verstanden.

Häufige Fehler bei der Umsetzung und was Sie daraus lernen können

Aus der Praxis zeigen sich immer wieder dieselben Schwachstellen:

Fehlendes oder veraltetes VVT: Viele Unternehmen haben ein Verzeichnis von Verarbeitungstätigkeiten erstellt, es aber nie aktualisiert. Bei einer Prüfung durch die Aufsichtsbehörde ist ein veraltetes VVT kaum besser als gar keines.

Auftragsverarbeitungsverträge vergessen: Wer einen Dienstleister personenbezogene Daten verarbeiten lässt, ohne einen Vertrag nach Art. 28 DSGVO abgeschlossen zu haben, hat bereits einen Datenschutzverstoß begangen, unabhängig davon, ob ein Schaden entstanden ist.

Datenpannen zu spät gemeldet: Die 72-Stunden-Frist nach Art. 33 DSGVO ist absolut. Wer keine internen Eskalationswege definiert hat, schafft es in der Praxis kaum, diese Frist einzuhalten.

Rollen falsch besetzt: Ein IT-Leiter als DSB ist in vielen Fällen problematisch, weil er über die Mittel der Datenverarbeitung mitentscheidet und damit in einem Interessenkonflikt steht, den Art. 38 Abs. 6 DSGVO ausdrücklich verbietet.

Schulungen als Einmalaktion: Wer Mitarbeiter einmalig schult und dann jahrelang nichts tut, erfüllt die Anforderungen aus Art. 32 DSGVO nicht. Datenschutz ist kein Projekt mit Abschlussdatum.

Drittlandübermittlungen nicht geprüft: Viele Unternehmen nutzen US-amerikanische Cloud-Dienste, ohne die erforderliche Prüfung nach dem Schrems-II-Urteil durchgeführt zu haben. Das ist ein verbreitetes und ernstes Compliance-Risiko.

Datenschutz-Compliance in Zeitarbeitsunternehmen: Was Sie wissen müssen

Zeitarbeitsunternehmen verarbeiten täglich große Mengen personenbezogener Daten: Bewerbungsunterlagen, Lohndaten, Sozialversicherungsinformationen, Gesundheitsdaten bei bestimmten Tätigkeiten. Dazu kommen Datenflüsse zwischen Zeitarbeitsunternehmen und Entleihbetrieben, die eine sorgfältige Abgrenzung der Verantwortlichkeiten nach Art. 4 Nr. 7 DSGVO erfordern. Wer ist Verantwortlicher, wer Auftragsverarbeiter? Diese Frage ist in der Zeitarbeit oft nicht trivial.

Der Europäische Datenschutzausschuss (EDPB) hat in seinen Leitlinien 07/2020 klargestellt, dass gemeinsame Verantwortlichkeit vorliegt, wenn zwei oder mehr Stellen gemeinsam über Zwecke und Mittel einer Verarbeitung entscheiden. In der Zeitarbeit kann das zwischen Verleiher und Entleiher der Fall sein, etwa bei der Verarbeitung von Anwesenheitsdaten oder Leistungsbeurteilungen.

Für Compliance in der Zeitarbeit gilt: Die Geschäftsführung haftet persönlich, auch wenn ein DSB bestellt ist. Zeitarbeitsunternehmen, die Datenschutz und DSGVO konsequent umsetzen, schützen sich vor Bußgeldern und sichern gleichzeitig das Vertrauen ihrer Mitarbeiter und Kundenunternehmen.

Profi-Tipp: Führen Sie einen strukturierten Datenschutz-Check für Zeitarbeit durch, der speziell die Datenflüsse zwischen Verleiher und Entleiher, die Vertragsgestaltung nach Art. 28 DSGVO und die Bestellung des DSB prüft. Allgemeine Checklisten greifen hier zu kurz.

Wer Zeitarbeitnehmer einsetzt und dabei die datenschutzrechtlichen Anforderungen nicht kennt, riskiert nicht nur Bußgelder, sondern auch Haftungsansprüche der betroffenen Personen. Nanzka & Bödeker berät Zeitarbeitsunternehmen seit über 20 Jahren zu genau diesen Schnittstellen zwischen Arbeitsrecht und Datenschutz-Compliance.

Nanzka & Bödeker unterstützt Sie bei der rechtssicheren Umsetzung Ihrer Datenschutz-Compliance, von der Rollenklärung über die Vertragsgestaltung bis zur Vorbereitung auf Prüfungen durch die Aufsichtsbehörde. Rechtssichere Beratung für Zeitarbeit erhalten Sie direkt bei uns.

Datenschutz-Compliance ist eine Führungsaufgabe, die ein funktionierendes System aus Dokumentation, Prozessen und klaren Verantwortlichkeiten erfordert, kein einmaliges Projekt.

Empfehlungen

• Datenschutz-Check Zeitarbeit: Rechtssichere Prüfung 2026
• Compliance in der Zeitarbeit: Schutz vor Haftung
• Warum Personalvermittler Compliance beachten müssen