Viele Unternehmen haben ihre Datenschutzorganisation rund um das Inkrafttreten der DSGVO aufgebaut. Seitdem wurden Datenschutzhinweise aktualisiert, Auftragsverarbeitungsverträge ergänzt, Verarbeitungsverzeichnisse fortgeschrieben und Schulungen durchgeführt.
All das bleibt notwendig. Aber es reicht nicht mehr aus. Personenbezogene Daten laufen heute durch Cloud-Dienste, SaaS-Plattformen, KI-Systeme, Kollaborationstools, externe Supportstrukturen, Protokolldaten, Schnittstellen und internationale Dienstleisterketten.
Die zentrale Frage lautet deshalb nicht mehr nur, ob eine Verarbeitung ausreichend dokumentiert ist. Unternehmen müssen ihre tatsächlichen Datenflüsse, Risiken und Verantwortlichkeiten auch wirksam steuern können.
Dieser Hub-Beitrag zeigt, wo typische Lücken entstehen und wie Unternehmen ihre Datenschutzorganisation an aktuelle Cloud-, KI-, SaaS- und Informationssicherheitsanforderungen anpassen können.
Das Wichtigste in Kürze
- Dokumentation bleibt die Basis. Sie muss aber die tatsächliche Systemlandschaft, Datenflüsse und Verantwortlichkeiten realistisch abbilden.
- Cloud-, SaaS- und KI-Dienste schaffen neue Prüfbedarfe. Dazu gehören insbesondere Protokolldaten, Supportzugriffe, Subdienstleister, Drittlandbezüge und nachträglich aktivierte Funktionen.
- Datenschutz darf nicht isoliert organisiert werden. Datenschutzbeauftragter, IT, Informationssicherheit, Legal, Einkauf, Fachbereiche und Geschäftsleitung benötigen abgestimmte Prozesse.
- Wirksame Datenschutzsteuerung verbindet Inventar, Bewertung, Zuständigkeit und Nachweis. Entscheidend ist, ob diese vier Bausteine im Unternehmensalltag tatsächlich funktionieren.
DSGVO-Themen im Überblick
Von realistischen Verarbeitungsverzeichnissen bis zur Rolle des Datenschutzbeauftragten: Hier finden Sie die zentralen Themen und vertiefende Beiträge im Überblick.
Datenschutz wirksam steuern
Inventar, Risikobewertung, Zuständigkeiten und Nachweise zu einem funktionierenden Steuerungsmodell verbinden.
Dokumentation und Realität abgleichen
Prüfen, ob Verarbeitungsverzeichnis, Verträge und technische Maßnahmen die tatsächliche Systemnutzung abbilden.
LLM- und SaaS-Anbieter prüfen
Training, Protokollierung, Supportzugriffe, Systemarchitektur und strategische Abhängigkeiten bewerten.
Schadensersatz im Bewerbungsverfahren
Risiken, Rechtsprechung und organisatorische Schutzmaßnahmen bei der Verarbeitung von Bewerbungsdaten.
Datenschutz beim Inkasso
Rechtsgrundlagen, Datenminimierung, Rollenverteilung und sichere Prozesse bei der Forderungsdurchsetzung.
Die neue Rolle des Datenschutzbeauftragten
Wie der Datenschutzbeauftragte Beratung, Unabhängigkeit und neue regulatorische Schnittstellen verbindet.
Von der Datenschutzdokumentation zur Steuerung von Datenflüssen
Dokumentation ist ein Kernbestandteil der DSGVO. Ohne Verarbeitungsverzeichnis, Auftragsverarbeitungsverträge, Löschkonzepte, technische und organisatorische Maßnahmen und Nachweise funktioniert Datenschutz nicht.
Das Problem entsteht dort, wo Dokumentation von der tatsächlichen Datenverarbeitung entkoppelt ist.
Ein Verarbeitungsverzeichnis kann formal existieren und trotzdem die reale Systemlandschaft nur unvollständig abbilden. Ein Auftragsverarbeitungsvertrag kann abgeschlossen sein, ohne dass alle Supportpfade, Subdienstleister oder Drittlandbezüge praktisch verstanden wurden. Technische und organisatorische Maßnahmen können dokumentiert sein, ohne mit der tatsächlichen Cloud-, SaaS- oder KI-Nutzung übereinzustimmen.
Ein typisches Beispiel: Ein Unternehmen führt ein neues SaaS-Tool für Kundenkommunikation oder Bewerbermanagement ein. Der Vertrag wird geprüft, das Tool wird technisch angebunden und erste Teams arbeiten damit. Erst später fällt auf, dass personenbezogene Daten in Protokollen gespeichert werden, Supportzugriffe aus Drittstaaten möglich sind oder KI-Funktionen zur Auswertung von Inhalten nachträglich aktiviert wurden. Formal existieren Dokumente. Praktisch ist aber nicht klar, welche Daten wohin fließen und wer welche Kontrolle ausübt.
DSGVO-Compliance bedeutet 2026 deshalb mehr als das Vorhalten von Dokumenten. Unternehmen müssen nachvollziehen können, wo personenbezogene Daten entstehen, wohin sie fließen, wer darauf zugreift, welche Systeme sie auswerten und wer im Ernstfall Verantwortung trägt.
Dokumentation bleibt die Basis. Steuerung entscheidet, ob sie in der Praxis funktioniert.
Fünf typische Lücken in der Datenschutzorganisation
1. Das Verarbeitungsverzeichnis ist formal aktuell, aber praktisch unvollständig
Das Verzeichnis von Verarbeitungstätigkeiten ist häufig der erste Prüfstein.
In vielen Organisationen wurde es seit 2018 aufgebaut und regelmäßig ergänzt. Dennoch bildet es neue Anwendungen und Datenflüsse oft nur verzögert oder zu abstrakt ab. Besonders häufig entstehen Lücken bei neuen SaaS-Anwendungen, Cloud-Diensten, KI-Tools, Kollaborationsplattformen, HR- und CRM-Systemen, Support- und Ticketsystemen, Schnittstellen zwischen Anwendungen, Protokolldaten, Subdienstleistern und internationalen Supportstrukturen.
Die entscheidende Frage lautet deshalb nicht nur, ob ein Verzeichnis vorhanden ist. Entscheidend ist, ob es die tatsächliche Verarbeitung noch realistisch beschreibt.
Ein Verarbeitungsverzeichnis ist kein Archiv. Es sollte an Beschaffung, IT-Freigabe und Projektprozesse angebunden sein. Nur dann wird sichtbar, wann neue Tools, neue Datenflüsse oder neue Dienstleister datenschutzrechtlich bewertet werden müssen.
2. KI-Systeme werden genutzt, bevor ihre Datenflüsse verstanden sind
Besonders deutlich wird die Entwicklung beim Einsatz von KI-Systemen.
Bei klassischen IT-Systemen konnte man häufig relativ linear fragen: Wo werden Daten gespeichert? Wer hat Zugriff? Welche Rechtsgrundlage trägt die Verarbeitung? Wie lange werden Daten gespeichert?
Bei KI-Systemen reicht diese Betrachtung nicht mehr aus. Zusätzlich stellt sich etwa die Frage, ob Eingaben für Training oder Produktverbesserung verwendet werden, welche Eingaben und Ausgaben protokolliert werden, ob externe Dokumentenquellen angebunden sind, ob frühere Eingaben wiederverwendet werden und wo die eigentliche KI-Auswertung stattfindet. Auch Rollen, Berechtigungen, Subdienstleister und Datenschutz-Folgenabschätzungen müssen geprüft werden.
Diese Fragen sind keine reinen IT-Details. Sie betreffen Datenschutz, Informationssicherheit, Vertragsgestaltung, Berechtigungsmanagement und organisatorische Verantwortung.
Die Datenschutzkonferenz hat 2025 Orientierungshilfen zu datenschutzrechtlichen Anforderungen an KI-Systeme sowie zu generativen KI-Systemen mit RAG-Methode veröffentlicht. Auch der AI Act ist inzwischen stufenweise anwendbar. Damit verschiebt sich die Diskussion von der Grundsatzfrage, ob KI eingesetzt werden darf, hin zur konkreten Frage, wie KI-Systeme kontrolliert, dokumentiert und organisatorisch eingebunden werden.
Für Unternehmen bedeutet das: KI-Nutzung sollte nicht isoliert im Fachbereich entstehen. Sie braucht klare Regeln für erlaubte Tools, zulässige Daten, Eingaben, Uploads, Protokollierung, Berechtigungen, Anbieterprüfung und Verantwortlichkeiten.
3. Cloud- und SaaS-Prüfungen bleiben zu stark auf Verträge fokussiert
Viele Datenschutzprüfungen konzentrieren sich bei Cloud- und SaaS-Anbietern auf den Auftragsverarbeitungsvertrag. Das ist wichtig, löst aber nur einen Teil des Problems.
Gerade bei modernen Plattformdiensten müssen Unternehmen genauer verstehen, wie das System tatsächlich arbeitet. Relevant sind nicht nur Vertrag und Speicherort, sondern auch Supportzugriffe, Subdienstleister, Drittlandbezüge, Protokolldaten, Rollen- und Berechtigungskonzepte, Löschung, Exportmöglichkeiten und aktivierte Zusatzfunktionen.
Besonders kritisch wird es, wenn Cloud-Dienste, KI-Funktionen und internationale Supportstrukturen zusammenkommen. Dann entstehen Risiken, die in klassischen Datenschutzdokumenten häufig nicht ausreichend sichtbar werden.
Die praktische Konsequenz: Datenschutz sollte nicht erst prüfen, wenn ein Tool bereits eingeführt ist. Er sollte Teil des Onboarding-Prozesses für neue Cloud-, SaaS- und KI-Anwendungen sein.
4. Datenschutz und Informationssicherheit arbeiten noch zu oft nebeneinander
DSGVO-Compliance kann heute kaum noch ohne Informationssicherheit gedacht werden.
Technische und organisatorische Maßnahmen, Zugriffskontrolle, Protokollierung, Backup, Wiederherstellung, Berechtigungskonzepte, Dienstleistersteuerung, Notfallmanagement und Meldewege betreffen beide Bereiche. Hinzu kommt NIS2: Für betroffene Unternehmen steigen Anforderungen an Cybersicherheit, Risikomanagement, Meldeprozesse und Managementverantwortung. Aber auch Unternehmen, die nicht unmittelbar unter NIS2 fallen, sollten die Entwicklung ernst nehmen. Der Maßstab für organisatorische Sorgfalt in der Informationssicherheit steigt.
Für die Datenschutzorganisation bedeutet das vor allem eines: Datenschutz und Informationssicherheit dürfen nicht in getrennten Silos arbeiten.
Ein Sicherheitsvorfall kann zugleich eine Datenschutzverletzung sein. Eine Cloud-Fehlkonfiguration kann sowohl ein Informationssicherheitsproblem als auch ein Datenschutzproblem darstellen. Ein KI-Vorfall kann technische, rechtliche, organisatorische und reputationsbezogene Risiken gleichzeitig auslösen.
Die praktische Frage lautet daher nicht nur: Wer ist zuständig? Sondern: Wie arbeiten Datenschutzbeauftragter, Informationssicherheit, IT, Legal, Geschäftsleitung und Fachbereich im Ernstfall zusammen?
Unternehmen sollten deshalb klären, wer bei Sicherheitsvorfällen die datenschutzrechtliche Bewertung übernimmt, wer über Meldungen entscheidet, welche Informationen in den ersten Stunden verfügbar sein müssen und ob Datenschutz und Informationssicherheit denselben Eskalationsprozess nutzen.
Eine weiterführende Einordnung der Schnittstelle bietet der Beitrag NIS2 in Deutschland: Was Unternehmen jetzt wissen und umsetzen müssen.
5. Der Datenschutzbeauftragte wird zu spät eingebunden
Ein typisches Bild aus der Praxis: Ein Fachbereich möchte eine neue KI-Anwendung oder ein neues Cloud-Tool einsetzen. Die IT prüft Integration und Sicherheit. Der Einkauf prüft Vertrag und Kosten. Die Geschäftsleitung erwartet Effizienzgewinne. Der Datenschutzbeauftragte wird kurz vor der Einführung gefragt, ob „datenschutzrechtlich noch etwas zu beachten“ sei.
Zu diesem Zeitpunkt sind Anbieter, Architektur, Datenquellen, Berechtigungen und Supportpfade oft längst entschieden. Der Datenschutzbeauftragte kann dann häufig nur noch dokumentieren, nicht mehr gestalten.
Genau darin liegt das Problem: nicht fehlende Kompetenz, sondern ein zu später Einbindungszeitpunkt.
Zeitgemäße Datenschutzorganisation bedeutet, dass Datenschutz frühzeitig in relevante Entscheidungen eingebunden wird. Der Datenschutzbeauftragte entscheidet nicht selbst über Zwecke und Mittel der Verarbeitung. Aber er muss rechtzeitig beraten können, bevor zentrale Projektentscheidungen faktisch feststehen.
Auch Unternehmen ohne verpflichtend benannten Datenschutzbeauftragten sollten diese Frage nicht ignorieren. Dann braucht es zumindest eine klar benannte Datenschutzverantwortung im Unternehmen und einen definierten Prozess, wann externe Beratung hinzugezogen wird.
Was folgt daraus?
Die beschriebenen Lücken zeigen ein gemeinsames Muster: Datenschutz scheitert selten daran, dass überhaupt keine Dokumente vorhanden sind. Er scheitert daran, dass Dokumentation, tatsächliche Systemnutzung und organisatorische Verantwortung auseinanderlaufen.
Der notwendige Wechsel ist deshalb kein Wechsel von „Papier“ zu „mehr Papier“. Es geht um eine andere Funktion des Datenschutzes im Unternehmen.
Datenschutz muss früher in Entscheidungen eingebunden werden. Er muss Datenflüsse realistischer abbilden. Er muss mit IT, Informationssicherheit, Einkauf, Legal und Fachbereichen verbunden sein. Und er muss so organisiert sein, dass im Ernstfall nicht erst Zuständigkeiten geklärt werden müssen.
Was zeitgemäße Datenschutzsteuerung bedeutet
Zeitgemäße Datenschutzsteuerung bedeutet nicht zwingend mehr Bürokratie. Sie bedeutet, dass Datenschutz nicht erst am Ende eines Projekts auftaucht, sondern möglichst früh in Entscheidungen eingebaut wird.
Ein einfaches Zielbild besteht aus vier Bausteinen:
-
Inventar
Welche Systeme, Tools, Dienstleister, Datenflüsse und KI-Anwendungen gibt es tatsächlich? -
Bewertung
Welche Risiken entstehen daraus für Datenschutz, Informationssicherheit, betroffene Personen und Organisation? -
Zuständigkeit
Wer entscheidet, wer berät, wer kontrolliert und wer dokumentiert? -
Nachweis
Kann das Unternehmen im Ernstfall zeigen, warum eine Verarbeitung zulässig ist, welche Risiken geprüft und welche Maßnahmen ergriffen wurden?
Diese vier Bausteine sind oft wirkungsvoller als ein umfangreiches Datenschutzhandbuch, das im Alltag nicht genutzt wird.
Das muss nicht zwingend ein neues Gremium bedeuten. Aber es braucht verbindliche Prüfpunkte, klare Zuständigkeiten und ein gemeinsames Verständnis darüber, wann und wie Datenschutz bei unternehmerischen Entscheidungen einbezogen werden muss.
Praxis-Check: Wo Unternehmen anfangen sollten
Ein erster Datenschutz-Review sollte nicht bei einzelnen Dokumenten stehen bleiben. Sinnvoll ist ein Blick auf die wichtigsten Steuerungsfragen:
- Ist das Verarbeitungsverzeichnis noch realitätsnah oder nur formal aktuell?
- Sind KI-, Cloud- und SaaS-Nutzungen vollständig erfasst?
- Sind Subdienstleister, Supportpfade und Drittlandbezüge transparent?
- Gibt es klare Regeln für Eingaben, Uploads, Protokolldaten und KI-Ausgaben?
- Sind Datenschutz-Folgenabschätzungen auf neue Technologien ausgerichtet?
- Stimmen technische und organisatorische Maßnahmen mit der tatsächlichen IT- und Cloud-Nutzung überein?
- Sind Datenschutz, Informationssicherheit und Incident Response organisatorisch verzahnt?
- Wird der Datenschutzbeauftragte frühzeitig in Digital-, KI- und Cloud-Projekte eingebunden?
- Sind Rollen zwischen Geschäftsleitung, IT, Legal, Datenschutz, Informationssicherheit und Fachbereichen klar geregelt?
- Kann die Organisation im Ernstfall nachweisen, dass sie ihre Datenflüsse beherrscht?
Diese Fragen wirken operativ. In Wahrheit sind sie strategisch. Sie zeigen, ob Datenschutz im Unternehmen nur verwaltet wird oder Teil einer funktionierenden Steuerungsstruktur ist.
Ausblick: Vertiefende Beiträge
Dieser Beitrag setzt den Rahmen. Einzelne Aspekte werden in weiteren Fachbeiträgen vertieft, insbesondere:
- das Verarbeitungsverzeichnis als Steuerungsinstrument,
- Datenschutz bei KI-Systemen,
- Datenschutz-Folgenabschätzungen bei KI, Cloud und SaaS,
- das Zusammenspiel von DSGVO, NIS2 und Informationssicherheit sowie
- die veränderte Rolle des Datenschutzbeauftragten.
So entsteht ein Gesamtbild: DSGVO-Compliance 2026 entscheidet sich nicht allein daran, ob Dokumente vorhanden sind. Entscheidend ist, ob Unternehmen ihre Datenflüsse, Risiken und Verantwortlichkeiten tatsächlich beherrschen.
Fazit: DSGVO-Compliance braucht Steuerung
Datenschutz bleibt wichtig. Aber der Schwerpunkt verschiebt sich.
Die Aufgabe besteht nicht mehr nur darin, DSGVO-Anforderungen formal zu erfüllen. Sie besteht darin, Datenschutz so zu organisieren, dass Datenflüsse, Risiken und Verantwortlichkeiten auch unter modernen technischen Bedingungen steuerbar bleiben.
Unternehmen, die ihre Datenschutzorganisation seit der ersten DSGVO-Umsetzung nicht grundlegend überprüft, weiterentwickelt und angepasst haben, sollten jetzt einen strukturierten Review durchführen. Im Mittelpunkt sollten nicht nur Dokumente stehen, sondern tatsächliche Datenflüsse, Rollen, Schnittstellen, KI-Nutzung, Cloud-Strukturen und Incident-Prozesse.
Die zentrale Prüffrage lautet:
Kann Ihr Unternehmen im Ernstfall erklären, welche personenbezogenen Daten wo verarbeitet werden, wer darauf zugreift, welche Risiken bewertet wurden und wer die Verantwortung trägt?
Wenn diese Frage nicht klar beantwortet werden kann, ist die Datenschutzorganisation wahrscheinlich nicht nur dokumentarisch, sondern strukturell zu überprüfen.
Dokumentation bleibt die Basis. Steuerung entscheidet, ob sie in der Praxis funktioniert.
DSGVO-Compliance und Datenschutzorganisation
Datenschutzorganisation wirksam weiterentwickeln
DataProtected unterstützt Sie bei der Bewertung und Weiterentwicklung Ihrer Datenschutzorganisation – von DSGVO-Compliance-Reviews über Datenschutz-Folgenabschätzungen und KI-/Cloud-Prüfungen bis zur laufenden Datenschutzberatung.
Unverbindlich · Persönliche Ersteinschätzung · Praxisorientierte Handlungsempfehlungen
Häufige Fragen zur DSGVO-Compliance
Reicht ein aktuelles Verarbeitungsverzeichnis für DSGVO-Compliance aus?
Nein. Das Verarbeitungsverzeichnis ist ein zentraler Nachweis, muss aber mit der tatsächlichen Systemlandschaft, den eingesetzten Dienstleistern und den realen Datenflüssen übereinstimmen. Entscheidend ist, ob neue Tools und Änderungen zuverlässig in die Datenschutzprozesse einfließen.
Wann sollte der Datenschutzbeauftragte in ein Projekt eingebunden werden?
Möglichst bevor Anbieter, Architektur, Datenquellen und Berechtigungen festgelegt sind. Der Datenschutzbeauftragte entscheidet nicht selbst über Zwecke und Mittel der Verarbeitung, muss aber rechtzeitig beraten können.
Was sollte bei KI-, Cloud- und SaaS-Diensten geprüft werden?
Neben Vertrag und Speicherort sind insbesondere Datenflüsse, Protokollierung, Supportzugriffe, Subdienstleister, Drittlandbezüge, Rollen und Berechtigungen, Lösch- und Exportmöglichkeiten sowie aktivierte Zusatzfunktionen zu betrachten.
Wie sollten Datenschutz und Informationssicherheit zusammenarbeiten?
Beide Bereiche sollten gemeinsame Freigabe-, Eskalations- und Incident-Prozesse verwenden. Zuständigkeiten, Informationswege und Entscheidungsbefugnisse müssen vor einem Vorfall feststehen und regelmäßig überprüft werden.
Braucht jedes Unternehmen ein umfangreiches Datenschutzmanagementsystem?
Nicht jedes Unternehmen benötigt dieselbe organisatorische Tiefe. Erforderlich sind jedoch Strukturen, die zur tatsächlichen Verarbeitung und zum jeweiligen Risiko passen. Mindestens sollten Inventar, Bewertung, Zuständigkeiten und Nachweise belastbar organisiert sein.
Hinweis
Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine rechtliche oder technische Einzelfallprüfung. Welche Maßnahmen erforderlich sind, hängt insbesondere von den konkreten Verarbeitungstätigkeiten, eingesetzten Systemen, Dienstleistern, Datenkategorien und Risiken ab.
Weitere Informationen zu unseren Leistungen finden Sie unter DSGVO-Compliance.