Warum die Reihenfolge zählt
Diese Checkliste folgt der bewährten Logik in fünf Bereichen, auf den heutigen Stand gebracht. Die Reihenfolge ist kein Zufall: Erst wissen, was Sie verarbeiten. Dann Lücken finden. Dann Rollen und Verträge klären.
Warum sich der Aufwand lohnt, ist schnell erzählt: Art. 83 DSGVO sieht bei schwerwiegenden Verstößen Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor, bei weniger schweren Verstößen bis zu 10 Millionen Euro oder 2 %, jeweils der höhere Betrag. In die Bemessung fließt aber auch ein, welche technischen und organisatorischen Maßnahmen Sie ergriffen haben. Wer nachweisen kann, dass er das Thema ernst genommen hat, steht deutlich besser da.
1. Verarbeitungsverzeichnis erstellen (Art. 30 DSGVO)
Das Verzeichnis ist der Startpunkt, denn nur wer weiß, bei welchen Abläufen und auf welche Weise personenbezogene Daten verarbeitet werden, kann beurteilen, was zu ändern ist. Zugleich erfüllen Sie damit die Rechenschaftspflicht aus Art. 5 Abs. 2.
Ein kurzer Begriffshinweis: Viele Unterlagen, auch ältere von cobra, sprechen vom „Verfahrensverzeichnis“. Das ist der alte Begriff aus dem früheren BDSG. Die DSGVO nennt es Verzeichnis von Verarbeitungstätigkeiten.
Die sieben Pflichtangaben je Verarbeitungstätigkeit:
- Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des gemeinsam Verantwortlichen, des Vertreters und des Datenschutzbeauftragten
- Zwecke der Verarbeitung
- Kategorien betroffener Personen und Kategorien personenbezogener Daten
- Kategorien von Empfängern, gegenüber denen die Daten offengelegt wurden oder werden, auch in Drittländern
- Gegebenenfalls Übermittlungen an ein Drittland, inklusive dokumentierter Garantien
- Wenn möglich: Löschfristen je Datenkategorie
- Wenn möglich: eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOM)
Tipp aus der Praxis: Unterteilen Sie nach Rechtsräumen, also Deutschland, andere EU-Mitgliedstaaten und Drittländer, weil dort unterschiedliche Zusatzregeln greifen.
2. Abweichungen feststellen (Gap-Analyse)
In der Gap-Analyse vergleichen Sie den dokumentierten Ist-Zustand mit den Anforderungen; das geht erst, wenn das Verzeichnis steht. Sieben Felder gehören auf den Prüfstand:
- Grundsätze und Rechtmäßigkeit der Verarbeitung (Art. 5, 6)
- Einwilligungsprozess (Art. 7, 8)
- Betroffenenrechte, Informationspflichten, Datenschutzerklärung (Art. 12 ff.)
- Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen, auch Privacy by Design und Privacy by Default genannt (Art. 25)
- Technische und organisatorische Maßnahmen (Art. 32)
- Meldepflichten bei Datenpannen (Art. 33, 34): Die 72-Stunden-Frist ist kurz, wenn der Ablauf nicht vorher feststeht; eine spätere Meldung müssen Sie begründen. Bei voraussichtlich hohem Risiko sind zusätzlich die Betroffenen zu benachrichtigen.
- Datenschutz-Folgenabschätzung (Art. 35, 36): Prüfen Sie, ob Ihre CRM-Nutzung eine Folgenabschätzung erfordert, etwa bei umfangreichem Profiling oder Scoring. Dokumentieren Sie das Ergebnis der Prüfung in jedem Fall.
Aktualitätshinweis 1: Ältere Checklisten nennen hier TMG und TKG. Beide sind für den Datenschutz überholt: Seit Dezember 2021 gilt das TTDSG, das seit Mai 2024 TDDDG heißt.
3. Datenschutzbeauftragten klären (Art. 37–39, § 38 BDSG)
Ob Sie einen Datenschutzbeauftragten benennen müssen, hängt in Deutschland vor allem von der Zahl der Beschäftigten ab, die ständig mit Daten arbeiten.
Aktualitätshinweis 2, der wichtigste: Fast alle kursierenden Checklisten nennen eine Schwelle von zehn Personen. Das ist seit dem 26. November 2019 falsch: § 38 Abs. 1 BDSG wurde auf in der Regel mindestens 20 Personen angehoben, die ständig mit der automatisierten Verarbeitung beschäftigt sind.
Ein Datenschutzbeauftragter ist zu benennen, wenn einer dieser Fälle zutrifft:
- Mindestens 20 Personen sind ständig mit automatisierter Datenverarbeitung beschäftigt. Jeder CRM-Arbeitsplatz zählt mit.
- Die Kerntätigkeit erfordert eine umfangreiche, regelmäßige und systematische Überwachung von Personen.
- Die Kerntätigkeit ist die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9) oder von Daten über Straftaten (Art. 10).
- Es finden Verarbeitungen statt, die eine Datenschutz-Folgenabschätzung erfordern.
- Daten werden geschäftsmäßig zur Übermittlung oder für Markt- und Meinungsforschung verarbeitet. Dieser Punkt trifft Adresshändler und Marktforschung unabhängig von der Zahl der Beschäftigten.
Ein Praxishinweis für Gruppen mit mehreren Standorten: Eine Unternehmensgruppe darf nach Art. 37 Abs. 2 einen gemeinsamen Datenschutzbeauftragten benennen, wenn er von jeder Niederlassung aus leicht erreichbar ist. Und die freiwillige Benennung steht jedem Unternehmen offen.
4. Auftragsverarbeitung prüfen (Art. 28)
Die Auftragsverarbeitung betrifft Sie immer dann, wenn jemand in Ihrem Auftrag personenbezogene Daten verarbeitet: Outsourcing, Cloud-Dienste, Hosting, IT-Support und auch Ihr CRM-Hosting.
- Alle Dienstleister erfasst, die Zugriff auf personenbezogene Daten haben, inklusive Fernwartung
- Für jeden ein Vertrag zur Auftragsverarbeitung (AV-Vertrag); alte „ADV-Verträge“ nach dem früheren BDSG sind überarbeitet
- Garantien für geeignete TOM vertraglich zugesichert
- Der Auftragsverarbeiter führt ein eigenes Verarbeitungsverzeichnis (Art. 30 Abs. 2)
- Bei Anbietern ohne Niederlassung in der EU: Vertreter in der Union benannt (Art. 27)
An diesem Punkt hat der Betrieb auf dem eigenen Server einen Vorteil: Wer cobra On-Premise betreibt, hat hier schlicht eine kürzere Vertragskette. Dieses Argument gibt in Entscheidungen zwischen Cloud und On-Premise oft den Ausschlag.
5. Drittlandübermittlung absichern (Art. 44 ff.)
Sobald Daten die EU verlassen, brauchen Sie eine eigene Rechtsgrundlage für die Übermittlung, etwa bei Cloud-Diensten, Konzernkommunikation oder Newsletter-Werkzeugen mit US-Bezug:
- Ein Angemessenheitsbeschluss der EU-Kommission liegt vor, oder
- Standardvertragsklauseln in der Fassung von 2021 sind vereinbart, oder
- sonstige geeignete Garantien oder Zertifizierungen (Art. 42) liegen vor
- Bei US-Anbietern geprüft: Ist der konkrete Empfänger unter dem EU-US Data Privacy Framework zertifiziert?
- Bei Standardvertragsklauseln: Transfer Impact Assessment durchgeführt und dokumentiert
Aktualitätshinweis 3: Unterlagen aus 2018 verweisen hier auf das Privacy Shield. Das hat der EuGH im Juli 2020 („Schrems II“) gekippt. Seit Juli 2023 gilt der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, und der verlangt, dass der konkrete Empfänger dort zertifiziert ist.
Was das mit Ihrem CRM zu tun hat
Sechs dieser Anforderungen landen direkt in der Datenbank: Datenkategorien müssen trennbar sein, Empfänger von Datenweitergaben protokolliert, Löschfristen je Datenkategorie hinterlegt und alles nachweisbar. Genau dafür bringt cobra fertige Funktionen mit, vom Löschplan über die Sperrliste bis zur Auskunftsdatei. Wie das konkret aussieht, zeigt die Seite DSGVO im CRM; wie Sie eine Auskunft in wenigen Minuten erstellen, der Beitrag Das Auskunftsersuchen.
Bei der technischen Umsetzung im CRM unterstützen wir Sie: von der Datenschutz-Einrichtung in cobra bis zum Löschkonzept. Rechtsdokumente erstellen wir nicht, die Bewertung bleibt bei Ihrem Datenschutzbeauftragten. Sprechen Sie uns an.
Hinweis
Wichtiger Hinweis: Diese Checkliste gibt einen ersten Überblick über typische Prüfbereiche. Sie stellt keine Rechtsberatung dar und kann eine solche nicht ersetzen. Für die rechtliche Bewertung Ihres Einzelfalls wenden Sie sich bitte an Ihren Datenschutzbeauftragten oder an eine Fachanwältin oder einen Fachanwalt. Stand: Oktober 2026.
Häufige Fragen
Brauchen kleine Unternehmen ein Verarbeitungsverzeichnis?
In aller Regel ja. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten (Art. 30 Abs. 5) greift nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt. Ein CRM nutzen Sie täglich, also gilt die Pflicht. Für den Anfang genügt eine strukturierte Tabelle mit den sieben Pflichtangaben je Verarbeitung; wichtiger als die Form ist, dass sie aktuell bleibt.
Zählen Teilzeitkräfte und Auszubildende bei der 20-Personen-Grenze mit?
Ja. Es zählen Personen, nicht Vollzeitstellen: Teilzeitkräfte, Auszubildende und freie Mitarbeitende werden mitgerechnet, wenn sie ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Wer täglich mit CRM, E-Mail und Kundendaten arbeitet, gehört dazu. Im Zweifel klären Sie die Zählung mit einer externen Datenschutzberatung.
Brauchen wir einen AV-Vertrag mit unserem IT-Dienstleister, wenn er nur Fernwartung macht?
In der Regel ja, sobald sich ein Zugriff auf personenbezogene Daten nicht ausschließen lässt, und bei der Fernwartung eines CRM-Servers ist das kaum möglich. Das gilt auch für Ihren cobra Partner, wenn er per Fernwartung auf Ihre Datenbank zugreift. Nehmen Sie solche Dienstleister deshalb in die Liste unter Punkt 4 auf.
