Ein praktischer Leitfaden zu DSGVO-Checkliste

Rechenschaftspflicht ist der Kern: Eine DSGVO-Checkliste zwingt Sie, für jede Verarbeitung Zweck, Rechtsgrundlage, Schutzmaßnahmen und Dauer belegen zu können.

Eine GDPR-Checkliste ist kein Ersatz für Rechtsberatung, aber sie ist eine praktische Möglichkeit, Lücken zu finden, bevor Kunden, Aufsichtsbehörden oder Vorfälle dies tun. Der GDPR basiert auf Rechenschaftspflicht: Organisationen müssen nachweisen können, was sie verarbeiten, warum, auf welcher Rechtsgrundlage, mit welchen Schutzmaßnahmen und für wie lange.

Verwenden Sie diese Checkliste als Betriebsüberprüfung für Websites, SaaS-Produkte, Marketingsysteme und interne Tools.

1. Ordnen Sie Ihre Daten zu

Erstellen Sie ein Verzeichnis der von Ihnen verarbeiteten personenbezogenen Daten. Enthalten:

• Kontaktformulare.
• Analysetools.
• CRM Datensätze.
• E-Mail-Marketinglisten.
• Unterstützen Sie Gespräche.
• Abrechnungsdaten.
• Produktnutzungsereignisse.
• Serverprotokolle.
• Authentifizierungssysteme.
• Skripte und Pixel von Drittanbietern.

Erfassen Sie für jede Verarbeitungstätigkeit die Datenkategorien, den Zweck, die Rechtsgrundlage, die Aufbewahrung, die Empfänger, den Speicherort und den Verantwortlichen. GDPR Artikel 30 verlangt für viele Organisationen Aufzeichnungen über Verarbeitungstätigkeiten, und selbst wenn eine formelle Aufzeichnung nach Artikel 30 nicht erforderlich ist, ist die Durchführung unerlässlich.

2. Identifizieren Sie eine Rechtsgrundlage

Für jede Verarbeitungstätigkeit ist eine der sechs Rechtsgrundlagen gemäß Artikel 6 erforderlich: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigte Interessen. Siehe den Text von GDPR Artikel 6.

Geben Sie Ihre Zustimmung nicht vor. Die Einwilligung muss freiwillig erteilt und widerrufbar sein. Der Vertrag kommt nur dann zustande, wenn die Verarbeitung für die Vertragsabwicklung erforderlich ist. Berechtigte Interessen bedürfen einer Abwägung und dürfen die Rechte der Menschen nicht außer Kraft setzen.

Für die Analyse öffentlicher Websites verlassen sich viele Teams entweder auf die Zustimmung zu Cookie-basierten Tools oder entscheiden sich für Analysen ohne Cookies, die personenbezogene Daten minimieren und Gerätespeicherung vermeiden.

3. Lesen Sie die Cookie- und Tracking-Regeln

GDPR ist nur ein Teil des Bildes. In Europa regeln ePrivacy-Regeln das Speichern von oder den Zugriff auf Informationen auf dem Gerät eines Benutzers. Analyse-Cookies, Werbepixel, lokale Speicherkennungen und einige Tracking-Links können eine Einwilligung erfordern.

Überprüfen Sie Ihre Website in einem sauberen Browserprofil:

• Welche Skripte werden vor der Einwilligung geladen?
• Welche Cookies werden vor der Einwilligung gesetzt?
• Funktioniert die Ablehnung aller nicht wesentlichen Nachverfolgungen?
• Werden Analytics-Ereignisse nach einer Ablehnung weiterhin gesendet?
• Werden Formularwerte oder personenbezogene Daten an Analyseanbieter gesendet?

Wenn Sie Geschäftsanforderungen mit aggregierten Analysen ohne Cookies erfüllen können, können Sie möglicherweise eine Hauptursache für die Komplexität der Einwilligung beseitigen.

4. Machen Sie Datenschutzhinweise korrekt

GDPR Artikel 13 und 14 erfordern transparente Informationen über die Verarbeitung. In Ihrer Datenschutzerklärung sollte Folgendes erläutert werden:

• Wer ist der Verantwortliche?
• Welche Daten werden erhoben.
• Warum es gesammelt wird.
• Rechtsgrundlagen.
• Empfänger und Lieferanten.
• Internationale Überweisungen.
• Aufbewahrungsfristen.
• Rechte und wie man sie ausübt.
• Beschwerderechte.
• Kontaktdaten für Datenschutzanfragen.

Der Hinweis muss der Realität entsprechen. Wenn Ihre Website Google Analytics, Meta Pixel, ein Heatmap-Tool, ein Chat-Widget und einen CRM-Formularhandler lädt, muss die Richtlinie dies widerspiegeln. Besser noch: Entfernen Sie Werkzeuge, die Sie nicht benötigen.

5. Bereiten Sie sich auf die Rechte der betroffenen Person vor

Personen können Zugriff, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Einspruch oder Widerruf der Einwilligung beantragen. Erstellen Sie einen Workflow, bevor die erste Anfrage eintrifft.

Checkliste:

• Aufnahme per E-Mail oder Formular.
• Regeln zur Identitätsprüfung.
• Schritte zur Systemsuche.
• Schritte zur Lieferantenanfrage.
• Antwortvorlagen.
• Terminverfolgung.
• Aufzeichnung des Ergebnisses.

Bei richtiger Gestaltung ist es oft schwierig, Analysedaten einer Person zuzuordnen. Das ist ein Vorteil. Wenn Ihr Analysetool Besucher nicht identifizieren kann, werden viele Rechteanfragen einfacher, da kein Analyseprofil auf Personenebene abgerufen werden kann.

6. Sichern Sie die Daten

GDPR Artikel 32 erfordert geeignete technische und organisatorische Maßnahmen. Für die meisten Teams bedeutet das:

• Multi-Faktor-Authentifizierung.
• Zugriff mit den geringsten Privilegien.
• Verschlüsselung während der Übertragung und gegebenenfalls im Ruhezustand.
• Protokollierung und Audit-Trails.
• Zugangskontrollen für Lieferanten.
• Backup-Schutz.
• Pläne zur Reaktion auf Vorfälle.
• Mitarbeiterschulung.

Exporte nicht vergessen. CSV-Dateien, Dashboard-Screenshots und BI-Extrakte werden oft zum schwächsten Punkt für den Datenschutz.

7. Überprüfen Sie Anbieter und Verträge

Geben Sie für jeden Anbieter, der personenbezogene Daten verarbeitet, an, ob es sich um einen Auftragsverarbeiter, einen Verantwortlichen oder einen gemeinsamen Verantwortlichen handelt. Auftragsverarbeiter benötigen die Datenverarbeitungsbedingungen gemäß Artikel 28. Überprüfen Sie Unterauftragsverarbeiter, Übertragungsmechanismen, Löschfristen, Sicherheitsmaßnahmen und Prüfrechte.

Analytics-Anbieter verdienen besondere Aufmerksamkeit, da sie sich auf öffentlichen Seiten befinden und möglicherweise IP-Adressen, Benutzeragenten, URLs, Kampagnendaten und Ereignisdetails von jedem Besucher erhalten.

8. Überprüfen Sie internationale Überweisungen

Für Übermittlungen außerhalb des EWR ist ein rechtlicher Mechanismus erforderlich, beispielsweise eine Angemessenheitsentscheidung, Standardvertragsklauseln, verbindliche Unternehmensregeln oder ein anderer GDPR Kapitel V-Weg. Das EU-US-Datenschutzrahmenwerk hat die Übertragungsoptionen für teilnehmende US-Organisationen geändert, es beseitigt jedoch nicht die Notwendigkeit, die Beteiligung des Anbieters, den Umfang, die Weiterübertragungen und die Produktkonfiguration zu verstehen.

9. Minimieren und löschen

Legen Sie die Aufbewahrung nach Zweck fest. Für die Website-Analyse sind möglicherweise keine jahrelangen rohen Ereignisdaten erforderlich. Serverprotokolle benötigen möglicherweise nur Wochen oder Monate, sofern sie nicht aus Sicherheitsgründen erforderlich sind. Alte Leadlisten sollten bereinigt werden. Ruhende Konten sollten überprüft werden.

Datenminimierung ist einer der Grundsätze von Artikel 5. Dies ist auch die einfachste Möglichkeit, die Auswirkungen von Sicherheitsverletzungen zu reduzieren.

10. Entscheidungen dokumentieren

Beweise aufbewahren:

• Datenkarten.
• Beurteilung berechtigter Interessen.
• Einwilligungsunterlagen.
• Bewertungen von Anbietern.
• DPIAs, sofern erforderlich.
• Sicherheitskontrollen.
• Aufbewahrungspläne.
• Versionen der Datenschutzhinweise.

Die ausgereiftesten Datenschutzprogramme sind nicht diejenigen mit dem meisten Papierkram. Dabei handelt es sich um diejenigen, bei denen die Datenerfassung beabsichtigt und leicht zu erklären ist.

Wann diese Checkliste ausgeführt werden sollte

Führen Sie die Checkliste durch, bevor Sie eine neue Website starten, ein Tracking-Tool hinzufügen, CRM oder E-Mail-Plattformen ändern, einen neuen EU-Markt betreten oder Analysen mit Werbung verbinden. Führen Sie es auch nach Vorfällen aus: Eine durchgesickerte Tabelle, ein defektes Einwilligungsbanner, eine überraschende Lieferantenintegration oder eine Kundenbeschwerde offenbaren in der Regel eine Prozesslücke, die es zu beheben lohnt.

Endgültige Startprüfung

Bevor Sie ein neues Tracking-Setup starten, notieren Sie jedes erfasste Ereignis, die Entscheidung, die jedes Ereignis unterstützt, ob es Speicher oder Kennungen verwendet, welche Anbieter es erhalten und wann die Rohdatensätze ablaufen. Testen Sie dann die Seite in einem sauberen Browserprofil und vergleichen Sie den Ladevorgang mit der Datenschutzerklärung.

Wenn der Browser weiterhin ungeplante Anrufe Dritter, persistente Identifikatoren oder personenbezogene Daten in URLs anzeigt, ist die Checkliste noch nicht vollständig. Korrigieren Sie zuerst die Implementierung und aktualisieren Sie dann den Papierkram.

Häufig gestellte Fragen

Wofür dient eine DSGVO-Checkliste?

Eine DSGVO-Checkliste deckt Lücken auf, bevor Kunden, Behörden oder Vorfälle sie aufdecken: was Sie verarbeiten, warum und auf welcher Rechtsgrundlage. Sie ersetzt keine Rechtsberatung. Nutzen Sie sie als operative Überprüfung für Websites, SaaS-Produkte, Marketingsysteme und interne Tools.

Welche sechs Rechtsgrundlagen kennt Artikel 6 der DSGVO?

Artikel 6 der DSGVO nennt sechs Rechtsgrundlagen: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe und berechtigte Interessen. Jede Verarbeitungstätigkeit braucht eine davon, und die richtige Wahl zählt mehr als reflexhaft immer dieselbe zu nehmen. Ein Vertrag greift nur, wenn die Verarbeitung dafür notwendig ist, und berechtigte Interessen verlangen eine Abwägung, die die Rechte der betroffenen Personen nicht aushebeln darf.

Braucht Website-Analytics nach der DSGVO eine Einwilligung?

Nicht zwangsläufig. Cookie-basierte Analysetools brauchen in der Regel eine Einwilligung, weil sie Informationen auf einem Gerät speichern oder darauf zugreifen, was unter die ePrivacy-Regeln fällt. Teams, die auf cookielose Analytics ohne Gerätespeicherung und mit minimierten personenbezogenen Daten umsteigen, können einen Großteil dieses Einwilligungsaufwands umgehen.

Was unterscheidet DSGVO und ePrivacy-Regeln bei Cookies?

Die DSGVO regelt, wie personenbezogene Daten verarbeitet werden, sobald sie existieren. Die ePrivacy-Regeln betreffen eine engere Frage: ob Sie überhaupt Informationen auf dem Gerät einer Person speichern oder darauf zugreifen dürfen, weshalb Analyse-Cookies, Werbepixel, lokale Speicher-Identifikatoren und manche Tracking-Links eine eigene Einwilligung brauchen können. Eine Seite kann bei der DSGVO sauber sein und trotzdem gegen die ePrivacy-Regeln verstoßen, wenn sie Cookies setzt, bevor ein Besucher überhaupt entschieden hat.

Was muss ein DSGVO-konformer Datenschutzhinweis enthalten?

Ein DSGVO-konformer Datenschutzhinweis muss den Verantwortlichen benennen, beschreiben, welche Daten erhoben werden und warum, die Rechtsgrundlagen nennen, Empfänger und Anbieter auflisten, internationale Übermittlungen offenlegen und Aufbewahrungsfristen angeben. Er muss außerdem Rechte und deren Ausübung erklären, Beschwerderechte abdecken und Kontaktdaten für Datenschutzanfragen bereitstellen. Die Artikel 13 und 14 verlangen, dass all das transparent ist. Der Hinweis muss außerdem der Realität entsprechen, bis hin zu jedem Analysetool, Pixel und Chat-Widget, das die Seite lädt.

Wie bereitet man sich auf Anfragen zu Betroffenenrechten vor?

Bauen Sie den Ablauf auf, bevor die erste Anfrage eintrifft, nicht danach. Dazu gehören ein Intake per E-Mail oder Formular, Regeln zur Identitätsprüfung, Schritte für die Systemsuche und die Anfrage bei Anbietern, Antwortvorlagen, Fristenverfolgung und eine Dokumentation des Ergebnisses. Personen können Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch oder Widerruf der Einwilligung verlangen, der Ablauf muss also alle diese Fälle abdecken, nicht nur die Löschung.

Welche Sicherheitsmaßnahmen verlangt Artikel 32 der DSGVO?

Artikel 32 fordert geeignete technische und organisatorische Maßnahmen. In der Praxis bedeutet das Multi-Faktor-Authentifizierung, Zugriff nach dem Least-Privilege-Prinzip, Verschlüsselung bei Übertragung und Speicherung, wo angemessen, Protokollierung und Audit-Trails, Zugriffskontrollen für Anbieter, Backup-Schutz, Notfallpläne und Mitarbeiterschulungen. Exporte sind ein leicht übersehener blinder Fleck. CSV-Dateien, Dashboard-Screenshots und BI-Exporte werden oft zum schwächsten Punkt in einem sonst soliden Setup.

Wann braucht ein Anbieter einen Auftragsverarbeitungsvertrag nach der DSGVO?

Jeder Anbieter, der als Auftragsverarbeiter agiert, braucht Vertragsbedingungen nach Artikel 28. Klären Sie vor der Unterschrift, ob der Anbieter Auftragsverarbeiter, Verantwortlicher oder gemeinsam Verantwortlicher ist, und prüfen Sie dann Unterauftragsverarbeiter, Übermittlungsmechanismen, Löschfristen, Sicherheitsmaßnahmen und Prüfrechte. Analyseanbieter verdienen besondere Aufmerksamkeit, weil sie auf öffentlichen Seiten sitzen und von jedem Besucher IP-Adressen, User-Agents, URLs, Kampagnendaten und Event-Details erhalten können.

Was braucht man für internationale Datenübertragungen außerhalb des EWR?

Übermittlungen außerhalb des EWR brauchen einen rechtlichen Mechanismus wie einen Angemessenheitsbeschluss, Standardvertragsklauseln, verbindliche interne Vorschriften oder einen anderen Weg nach Kapitel V der DSGVO. Das EU-US Data Privacy Framework gibt teilnehmenden US-Unternehmen eine weitere Option, ändert aber nichts daran, dass Sie prüfen müssen, ob ein bestimmter Anbieter tatsächlich teilnimmt, welchen Umfang das abdeckt und wie das Produkt Weiterübermittlungen handhabt. Schauen Sie sich die Konfiguration des Anbieters an, nicht nur seine Marketingseite.

Wann sollte man die DSGVO-Checkliste erneut durchgehen?

Führen Sie sie vor dem Start einer neuen Website, dem Hinzufügen eines Tracking-Tools, einem Wechsel von CRM oder E-Mail-Plattform, dem Eintritt in einen neuen EU-Markt oder der Verknüpfung von Analytics mit Werbung durch. Wiederholen Sie sie auch nach allem, was auf eine Prozesslücke hindeutet: eine geleakte Tabelle, ein defektes Consent-Banner, eine überraschende Anbieter-Integration oder eine Kundenbeschwerde. Solche Momente bringen meist genau die Art von Lücke ans Licht, die die Checkliste findet.