Datenschutz als laufende Aufgabe
Die Datenschutz-Grundverordnung betrifft nicht nur eine Erklärung auf der Website. Auch Kundenlisten, Beschäftigtendaten, Mitgliederverwaltung, Newsletter und digitale Dienstleister müssen rechtlich und organisatorisch eingeordnet werden. Entscheidend ist, dass tatsächliche Abläufe, rechtliche Grundlagen und dokumentierte Maßnahmen zusammenpassen.
1. Daten und Zwecke erfassen
Welche personenbezogenen Daten werden verarbeitet, wofür werden sie benötigt und wer erhält Zugriff? Legen Sie die jeweiligen Zwecke fest und beschränken Sie die Verarbeitung auf das Erforderliche. Ein Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 DSGVO kann die Abläufe strukturiert erfassen. Die Ausnahme für Einrichtungen mit weniger als 250 Beschäftigten ist begrenzt; sie ist insbesondere bei nicht nur gelegentlicher Verarbeitung häufig nicht einschlägig.
2. Rechtsgrundlagen passend auswählen
Eine Einwilligung ist nicht für jede Verarbeitung erforderlich. Je nach Zweck kommen etwa Vertragserfüllung, gesetzliche Pflichten oder berechtigte Interessen nach Artikel 6 DSGVO in Betracht. Ein berechtigtes Interesse erfordert eine konkrete Abwägung und kann nicht pauschal angenommen werden. Gesundheitsdaten und andere besondere Kategorien unterliegen zusätzlichen Anforderungen nach Artikel 9 DSGVO. Einwilligungen müssen freiwillig, informiert, nachweisbar und widerruflich sein.
3. Verständlich informieren
Datenschutzhinweise sollen die tatsächlichen Vorgänge abbilden. Betroffene müssen insbesondere erfahren, wer verantwortlich ist, welche Zwecke und Rechtsgrundlagen gelten, an wen Daten weitergegeben werden und wie lange sie gespeichert werden. Artikel 13 und 14 unterscheiden danach, ob Daten direkt bei der Person oder anderweitig erhoben werden. Allgemeine Muster sollten deshalb an den konkreten Betrieb angepasst werden.
4. Dienstleister und Cloud prüfen
Bei weisungsgebundener Verarbeitung durch einen Dienstleister ist regelmäßig ein Vertrag nach Artikel 28 DSGVO erforderlich. Prüfen Sie Leistungsumfang, Unterauftragnehmer, Sicherheitsmaßnahmen und Löschung bei Vertragsende. Nicht jeder externe Empfänger ist automatisch Auftragsverarbeiter; auch eine eigene oder gemeinsame Verantwortlichkeit kann vorliegen. Bei Drittlandübermittlungen sind zusätzlich die Anforderungen der Artikel 44 ff. DSGVO zu beachten.
5. Website, Cookies und Analyse
Die Speicherung oder das Auslesen von Informationen auf Endgeräten unterliegt zusätzlich § 25 TDDDG. Soweit keine gesetzliche Ausnahme greift, ist zuvor eine wirksame Einwilligung erforderlich. Analyse- und Marketingdienste dürfen dann nicht bereits vor der Entscheidung aktiviert werden. Einwilligung und Widerruf sollten technisch zuverlässig umgesetzt werden; anschließend bleibt die Rechtsgrundlage einer personenbezogenen Weiterverarbeitung zu prüfen.
6. Sicherheit und Löschung organisieren
Zugriffsrechte nach Aufgaben, Mehrfaktor-Anmeldung, aktuelle Software, sichere Übertragung, überprüfte Sicherungen und geschulte Beschäftigte helfen, Risiken zu begrenzen. Die Maßnahmen müssen nach Artikel 32 zum Risiko passen. Ein Löschkonzept berücksichtigt Zweckfortfall, gesetzliche Aufbewahrungspflichten und laufende Rechtsstreitigkeiten. Datenschutz-Folgenabschätzung und die Benennung eines Datenschutzbeauftragten sind zu prüfen, wenn die jeweiligen gesetzlichen Voraussetzungen vorliegen.
7. Auskunft und andere Betroffenenrechte bearbeiten
Anfragen zu Auskunft, Berichtigung, Löschung oder Widerspruch brauchen einen klaren internen Ablauf. Prüfen Sie Identität und Berechtigung in angemessenem Umfang und schützen Sie Rechte anderer Personen. Die Bearbeitung muss unverzüglich, grundsätzlich innerhalb eines Monats erfolgen. Bei zulässiger Verlängerung wegen Komplexität oder Anzahl der Anträge muss die betroffene Person innerhalb des ersten Monats über Gründe und Verlängerung informiert werden.
8. Auf Datenpannen vorbereitet sein
Fehlversand, verlorene Geräte oder unbefugte Zugriffe können Datenschutzverletzungen sein. Stoppen Sie den Vorfall, sichern Sie Informationen und bewerten Sie die Risiken. Die zuständige Aufsichtsbehörde muss unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden informiert werden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten natürlicher Personen. Bei voraussichtlich hohem Risiko kann zusätzlich eine Benachrichtigung der betroffenen Personen erforderlich sein. Auch nicht meldepflichtige Vorfälle sind nach Artikel 33 Absatz 5 zu dokumentieren.
Beispiel: Mitgliederliste an den falschen Empfänger
Ein Verein versendet eine Datei mit Kontaktdaten und Bankverbindungen versehentlich an einen fremden Empfänger. Der Versand sollte sofort intern gemeldet und eine Löschung beziehungsweise sichere Rückgabe veranlasst werden. Welche Daten betroffen sind, welche Folgen drohen und ob Melde- oder Benachrichtigungspflichten bestehen, muss zeitnah geprüft und dokumentiert werden. Die bloße Bitte um Löschung ersetzt diese Bewertung nicht.
Ihre nächsten Schritte
- Verantwortlichkeiten und eine erreichbare Anlaufstelle festlegen.
- Datenflüsse, Zwecke, Rechtsgrundlagen und Speicherfristen erfassen.
- Hinweise, Dienstleisterverträge und Website-Einwilligungen abgleichen.
- Zugriffs-, Sicherheits- und Löschmaßnahmen praktisch überprüfen.
- Einen Ablauf für Betroffenenanfragen und Datenpannen festlegen und üben.
Beratung und Schulung
Wir unterstützen Unternehmen und Vereine bei der rechtlichen Prüfung ihrer Abläufe, Datenschutzhinweise und Dienstleisterverträge. Für Schulungen und Vorträge können wir mit Ihnen passende Themen und Umfang vereinbaren. Diese Themenseite ersetzt den früheren Präsentationsdownload.
Datenschutzrecht: weitere Themen · Vorträge und Seminare
Offizielle Grundlagen
Datenschutz-Grundverordnung: insbesondere Artikel 5, 6, 12–22, 28, 30, 32–35 und 44 ff. · Endgeräte und Einwilligung: § 25 TDDDG · Datenschutzbeauftragte: § 38 BDSG
Wir beraten Sie
Wir unterstützen Sie in Jena und Pößneck sowie bei Mandaten aus Thüringen, dem Landgerichtsbezirk Gera und Mitteldeutschland. Die erste Anfrage ist kostenfrei. Über die Kosten einer anschließenden Beratung oder Vertretung informieren wir Sie vorab.
Termin vor Ort oder online vereinbaren · Kontakt zur Kanzlei · Unser Team
Bei laufenden Fristen kontaktieren Sie uns bitte direkt unter 03641 443655. Eine Terminbuchung begründet noch kein Mandat und wahrt keine Frist.
Stand: 2. November 2026. Die Informationen geben eine allgemeine Orientierung; die rechtliche Beurteilung richtet sich nach Ihrem Vertrag und dem konkreten Sachverhalt.