DSGVO-Checklisten gibt es viele – die meisten stammen aus dem Panikjahr 2018 und wurden nie aktualisiert. Diese hier folgt der bewährten Fünf-Bereiche-Logik, ist aber auf den heutigen Stand gebracht. Die Reihenfolge ist kein Zufall: Erst wissen, was Sie verarbeiten. Dann Lücken finden. Dann Rollen und Verträge klären.
Warum sich der Aufwand lohnt, ist schnell erzählt: Art. 83 sieht bei schwerwiegenden Verstößen Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor (bei geringfügigen Verstößen 10 Millionen bzw. 2 %) – jeweils der höhere Betrag. In die Bemessung fließen aber auch ein, welche technischen und organisatorischen Maßnahmen Sie ergriffen haben. Wer nachweisen kann, dass er das Thema ernst genommen hat, steht deutlich besser da.
1. Verarbeitungsverzeichnis erstellen (Art. 30 DSGVO)
Der Startpunkt. Denn nur wer weiß, bei welchen Prozessen und auf welche Weise personenbezogene Daten verarbeitet werden, kann überhaupt beurteilen, was zu ändern ist. Zugleich erfüllen Sie damit die Rechenschaftspflicht aus Art. 5 Abs. 2.
Ein kurzer Begriffshinweis: Viele (auch ältere cobra Unterlagen) sprechen vom „Verfahrensverzeichnis" – das ist der alte Begriff aus dem BDSG. Die DSGVO nennt es Verzeichnis von Verarbeitungstätigkeiten.
Die sieben Pflichtangaben je Verarbeitungstätigkeit:
- Name und Kontaktdaten des Verantwortlichen, ggf. gemeinsam Verantwortlicher, Vertreter und Datenschutzbeauftragter
- Zwecke der Verarbeitung
- Kategorien betroffener Personen und Kategorien personenbezogener Daten
- Kategorien von Empfängern, gegenüber denen die Daten offengelegt wurden oder werden – auch in Drittländern
- Ggf. Übermittlungen an ein Drittland, inklusive dokumentierter Garantien
- Wenn möglich: Löschfristen je Datenkategorie
- Wenn möglich: allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOM)
Tipp aus der Praxis: Unterteilen Sie nach Rechtsräumen – Deutschland, EU-Mitgliedstaaten, Drittländer –, weil dort unterschiedliche Zusatzregeln greifen.
2. Abweichungen feststellen (Gap-Analyse)
Erst wenn die Dokumentation steht, lässt sich vergleichen. Sieben Felder gehören auf den Prüfstand:
- Grundsätze und Rechtmäßigkeit der Verarbeitung (Art. 5, 6)
- Einwilligungsprozess (Art. 7, 8)
- Betroffenenrechte, Informationspflichten, Datenschutzerklärung (Art. 12 ff.)
- Privacy by Design und Privacy by Default (Art. 25)
- Technische und organisatorische Maßnahmen (Art. 32)
- Meldepflichten bei Datenpannen (Art. 33, 34) – die 72-Stunden-Frist ist kurz, wenn der Ablauf nicht vorher feststeht; eine spätere Meldung müssen Sie begründen. Bei voraussichtlich hohem Risiko sind zusätzlich die Betroffenen zu benachrichtigen
- Datenschutz-Folgenabschätzung (Art. 35, 36) – bei einem CRM-System mit umfangreichen Kundendaten sprechen Fachjuristen sich regelmäßig dafür aus, eine durchzuführen
Aktualitätshinweis 1: Ältere Checklisten nennen hier TMG und TKG. Beide sind für den Datenschutz überholt: Seit Dezember 2021 gilt das TTDSG, das seit Mai 2024 TDDDG heißt.
3. Datenschutzbeauftragten klären (Art. 37–39, § 38 BDSG)
Aktualitätshinweis 2 – der wichtigste: Fast alle kursierenden Checklisten nennen eine Schwelle von zehn Personen. Das ist seit dem 26. November 2019 falsch: § 38 Abs. 1 BDSG wurde auf in der Regel mindestens 20 Personen angehoben, die ständig mit der automatisierten Verarbeitung beschäftigt sind.
Ein Datenschutzbeauftragter ist zu benennen, wenn einer dieser Fälle zutrifft:
- Mindestens 20 Personen sind ständig mit automatisierter Datenverarbeitung beschäftigt (jeder CRM-Arbeitsplatz zählt mit!)
- Die Kerntätigkeit erfordert umfangreiche regelmäßige und systematische Überwachung von Personen
- Die Kerntätigkeit ist die umfangreiche Verarbeitung besonderer Datenkategorien (Art. 9) oder von Daten zu Straftaten (Art. 10)
- Es finden Verarbeitungen statt, die eine Datenschutz-Folgenabschätzung erfordern
- Daten werden geschäftsmäßig zur Übermittlung oder für Markt- und Meinungsforschung verarbeitet – dieser Punkt trifft Adresshändler und Marktforscher unabhängig von der Mitarbeiterzahl
Kleiner Praxishinweis: Für mehrere Niederlassungen eines Unternehmens genügt nach Art. 37 Abs. 2 ein gemeinsamer Datenschutzbeauftragter – relevant für Unternehmen mit mehreren Standorten. Und die freiwillige Bestellung steht jedem offen.
4. Auftragsverarbeitung prüfen (Art. 28)
Immer dann relevant, wenn jemand in Ihrem Auftrag personenbezogene Daten verarbeitet: Outsourcing, Cloud Computing, Hosting, IT-Support – und ja, auch Ihr CRM-Hosting.
- Alle Dienstleister erfasst, die Zugriff auf personenbezogene Daten haben (inklusive Fernwartung!)
- Für jeden ein Auftragsverarbeitungsvertrag (AVV) – alte „ADV-Verträge" nach BDSG müssen überarbeitet oder zumindest umbenannt werden
- Garantien für geeignete TOM vertraglich zugesichert
- Der Auftragsverarbeiter führt sein eigenes Verarbeitungsverzeichnis (Art. 30 Abs. 2)
- Ggf. Vertreter in der Union benannt (Art. 27)
Das ist der Punkt, an dem On-Premise-Betrieb glänzt: Wer sein cobra auf dem eigenen Server betreibt, hat an dieser Stelle schlicht weniger Vertragskette – ein Argument, das in Cloud-oder-On-Premise-Entscheidungen oft den Ausschlag gibt.
5. Drittlandübermittlung absichern (Art. 44 ff.)
Sobald Daten die EU verlassen – Cloud-Dienste, Konzernkommunikation, Newsletter-Tools mit US-Bezug:
- Angemessenheitsbeschluss der EU-Kommission liegt vor, oder
- Standardvertragsklauseln in der Fassung von 2021 sind vereinbart, oder
- sonstige geeignete Garantien bzw. Zertifizierungen (Art. 42) liegen vor
- Bei US-Anbietern: Ist der Empfänger unter dem EU-US Data Privacy Framework zertifiziert?
- Transfer Impact Assessment durchgeführt und dokumentiert
Aktualitätshinweis 3: Unterlagen aus 2018 verweisen hier auf das Privacy Shield. Das wurde vom EuGH im Juli 2020 („Schrems II") gekippt. Seit Juli 2023 gilt der Angemessenheitsbeschluss zum EU-US Data Privacy Framework – und der verlangt, dass der konkrete Empfänger dort zertifiziert ist.
Und was hat das mit Ihrem CRM zu tun?
Sehr viel – denn sechs dieser Anforderungen landen direkt in der Datenbank: Datenkategorien müssen trennbar sein, Empfänger von Datenweitergaben protokolliert, Löschfristen je Datenkategorie hinterlegt, alles nachweisbar. Genau dafür bringt cobra fertige Funktionen mit – vom Löschplan über die Sperrliste bis zur Auskunftsdatei. Wie das konkret aussieht, zeigt die Seite DSGVO im CRM.
Bei der technischen Umsetzung im CRM unterstützen wir Sie gern: von der Datenschutz-Einrichtung in cobra bis zum Löschkonzept. Sprechen Sie uns an.