1. Das Verarbeitungsverzeichnis ist formal aktuell, aber praktisch unvollständig

Das Verzeichnis von Verarbeitungstätigkeiten ist häufig der erste Prüfstein.

In vielen Organisationen wurde es seit 2018 aufgebaut und regelmäßig ergänzt. Dennoch bildet es neue Anwendungen und Datenflüsse oft nur verzögert oder zu abstrakt ab. Besonders häufig entstehen Lücken bei neuen SaaS-Anwendungen, Cloud-Diensten, KI-Tools, Kollaborationsplattformen, HR- und CRM-Systemen, Support- und Ticketsystemen, Schnittstellen zwischen Anwendungen, Protokolldaten, Subdienstleistern und internationalen Supportstrukturen.

Die entscheidende Frage lautet deshalb nicht nur, ob ein Verzeichnis vorhanden ist. Entscheidend ist, ob es die tatsächliche Verarbeitung noch realistisch beschreibt.

Ein Verarbeitungsverzeichnis ist kein Archiv. Es sollte an Beschaffung, IT-Freigabe und Projektprozesse angebunden sein. Nur dann wird sichtbar, wann neue Tools, neue Datenflüsse oder neue Dienstleister datenschutzrechtlich bewertet werden müssen.

2. KI-Systeme werden genutzt, bevor ihre Datenflüsse verstanden sind

Besonders deutlich wird die Entwicklung beim Einsatz von KI-Systemen.

Bei klassischen IT-Systemen konnte man häufig relativ linear fragen: Wo werden Daten gespeichert? Wer hat Zugriff? Welche Rechtsgrundlage trägt die Verarbeitung? Wie lange werden Daten gespeichert?

Bei KI-Systemen reicht diese Betrachtung nicht mehr aus. Zusätzlich stellt sich etwa die Frage, ob Eingaben für Training oder Produktverbesserung verwendet werden, welche Eingaben und Ausgaben protokolliert werden, ob externe Dokumentenquellen angebunden sind, ob frühere Eingaben wiederverwendet werden und wo die eigentliche KI-Auswertung stattfindet. Auch Rollen, Berechtigungen, Subdienstleister und Datenschutz-Folgenabschätzungen müssen geprüft werden.

Diese Fragen sind keine reinen IT-Details. Sie betreffen Datenschutz, Informationssicherheit, Vertragsgestaltung, Berechtigungsmanagement und organisatorische Verantwortung.

Die Datenschutzkonferenz hat 2025 Orientierungshilfen zu datenschutzrechtlichen Anforderungen an KI-Systeme sowie zu generativen KI-Systemen mit RAG-Methode veröffentlicht. Auch der AI Act ist inzwischen stufenweise anwendbar. Damit verschiebt sich die Diskussion von der Grundsatzfrage, ob KI eingesetzt werden darf, hin zur konkreten Frage, wie KI-Systeme kontrolliert, dokumentiert und organisatorisch eingebunden werden.

Für Unternehmen bedeutet das: KI-Nutzung sollte nicht isoliert im Fachbereich entstehen. Sie braucht klare Regeln für erlaubte Tools, zulässige Daten, Eingaben, Uploads, Protokollierung, Berechtigungen, Anbieterprüfung und Verantwortlichkeiten.

3. Cloud- und SaaS-Prüfungen bleiben zu stark auf Verträge fokussiert

Viele Datenschutzprüfungen konzentrieren sich bei Cloud- und SaaS-Anbietern auf den Auftragsverarbeitungsvertrag. Das ist wichtig, löst aber nur einen Teil des Problems.

Gerade bei modernen Plattformdiensten müssen Unternehmen genauer verstehen, wie das System tatsächlich arbeitet. Relevant sind nicht nur Vertrag und Speicherort, sondern auch Supportzugriffe, Subdienstleister, Drittlandbezüge, Protokolldaten, Rollen- und Berechtigungskonzepte, Löschung, Exportmöglichkeiten und aktivierte Zusatzfunktionen.

Besonders kritisch wird es, wenn Cloud-Dienste, KI-Funktionen und internationale Supportstrukturen zusammenkommen. Dann entstehen Risiken, die in klassischen Datenschutzdokumenten häufig nicht ausreichend sichtbar werden.

Die praktische Konsequenz: Datenschutz sollte nicht erst prüfen, wenn ein Tool bereits eingeführt ist. Er sollte Teil des Onboarding-Prozesses für neue Cloud-, SaaS- und KI-Anwendungen sein.

4. Datenschutz und Informationssicherheit arbeiten noch zu oft nebeneinander

DSGVO-Compliance kann heute kaum noch ohne Informationssicherheit gedacht werden.

Technische und organisatorische Maßnahmen, Zugriffskontrolle, Protokollierung, Backup, Wiederherstellung, Berechtigungskonzepte, Dienstleistersteuerung, Notfallmanagement und Meldewege betreffen beide Bereiche. Hinzu kommt NIS2: Für betroffene Unternehmen steigen Anforderungen an Cybersicherheit, Risikomanagement, Meldeprozesse und Managementverantwortung. Aber auch Unternehmen, die nicht unmittelbar unter NIS2 fallen, sollten die Entwicklung ernst nehmen. Der Maßstab für organisatorische Sorgfalt in der Informationssicherheit steigt.

Für die Datenschutzorganisation bedeutet das vor allem eines: Datenschutz und Informationssicherheit dürfen nicht in getrennten Silos arbeiten.

Ein Sicherheitsvorfall kann zugleich eine Datenschutzverletzung sein. Eine Cloud-Fehlkonfiguration kann sowohl ein Informationssicherheitsproblem als auch ein Datenschutzproblem darstellen. Ein KI-Vorfall kann technische, rechtliche, organisatorische und reputationsbezogene Risiken gleichzeitig auslösen.

Die praktische Frage lautet daher nicht nur: Wer ist zuständig?

Sondern:

Wie arbeiten Datenschutzbeauftragter, Informationssicherheit, IT, Legal, Geschäftsleitung und Fachbereich im Ernstfall zusammen?

Unternehmen sollten deshalb klären, wer bei Sicherheitsvorfällen die datenschutzrechtliche Bewertung übernimmt, wer über Meldungen entscheidet, welche Informationen in den ersten Stunden verfügbar sein müssen und ob Datenschutz und Informationssicherheit denselben Eskalationsprozess nutzen.

5. Der Datenschutzbeauftragte wird zu spät eingebunden

Ein typisches Bild aus der Praxis:

Ein Fachbereich möchte eine neue KI-Anwendung oder ein neues Cloud-Tool einsetzen. Die IT prüft Integration und Sicherheit. Der Einkauf prüft Vertrag und Kosten. Die Geschäftsleitung erwartet Effizienzgewinne. Der Datenschutzbeauftragte wird kurz vor der Einführung gefragt, ob „datenschutzrechtlich noch etwas zu beachten“ sei.

Zu diesem Zeitpunkt sind Anbieter, Architektur, Datenquellen, Berechtigungen und Supportpfade oft längst entschieden.

Der DSB kann dann häufig nur noch dokumentieren, nicht mehr gestalten.

Genau darin liegt das Problem. Nicht fehlende Kompetenz, sondern ein zu später Einbindungszeitpunkt.

Zeitgemäße Datenschutzorganisation bedeutet, dass Datenschutz frühzeitig in relevante Entscheidungen eingebunden wird. Der Datenschutzbeauftragte entscheidet nicht selbst über Zwecke und Mittel der Verarbeitung. Aber er muss rechtzeitig beraten können, bevor zentrale Projektentscheidungen faktisch feststehen.

Auch Unternehmen ohne verpflichtend benannten Datenschutzbeauftragten sollten diese Frage nicht ignorieren. Dann braucht es zumindest eine klar benannte Datenschutzverantwortung im Unternehmen und einen definierten Prozess, wann externe Beratung hinzugezogen wird.

Was folgt daraus?

Die beschriebenen Lücken zeigen ein gemeinsames Muster: Datenschutz scheitert selten daran, dass überhaupt keine Dokumente vorhanden sind. Er scheitert daran, dass Dokumentation, tatsächliche Systemnutzung und organisatorische Verantwortung auseinanderlaufen.

Der notwendige Wechsel ist deshalb kein Wechsel von „Papier“ zu „mehr Papier“. Es geht um eine andere Funktion des Datenschutzes im Unternehmen.

Datenschutz muss früher in Entscheidungen eingebunden werden. Er muss Datenflüsse realistischer abbilden. Er muss mit IT, Informationssicherheit, Einkauf, Legal und Fachbereichen verbunden sein. Und er muss so organisiert sein, dass im Ernstfall nicht erst Zuständigkeiten geklärt werden müssen.