Datenschutzmanagement Software: worauf es ankommt

Was ist ein Datenschutzmanagementsystem?

Das Wort steht nicht in der DSGVO. Gemeint ist, wie Ihr Unternehmen seine Pflichten aus der DSGVO organisiert und belegt. Der Kern ist die Rechenschaftspflicht: Der Verantwortliche ist für die Einhaltung der Grundsätze verantwortlich und „muss dessen Einhaltung nachweisen können“ (Art. 5 Abs. 2).

Art. 24 Abs. 1 verlangt geeignete technische und organisatorische Maßnahmen, um sicherzustellen und nachweisen zu können, dass die Verarbeitung der DSGVO entspricht. Diese Maßnahmen werden erforderlichenfalls überprüft und aktualisiert. Wo es verhältnismäßig ist, gehören geeignete Datenschutzvorkehrungen dazu (Abs. 2), in der englischen Fassung „data protection policies“.

Eine Software ist ein mögliches Werkzeug dafür, das Gesetz verlangt keine bestimmte. Das Verzeichnis von Verarbeitungstätigkeiten etwa wird schriftlich geführt, was auch elektronisch geschehen kann (Art. 30 Abs. 3).

Art. 5 Abs. 2 · Art. 24 Abs. 1 und 2 · Art. 30 Abs. 3 DSGVO

Welche Pflichten sollte die Software abbilden?

Die Datenschutzkonferenz (DSK) ist die Konferenz der deutschen Aufsichtsbehörden. In ihrem Maßnahmenplan für Unternehmen (Kurzpapier Nr. 8) zählt sie Dokumentationspflichten auf, die zur Rechenschaftspflicht gehören: das Verzeichnis (Art. 30), die Dokumentation von Datenpannen (Art. 33 Abs. 5) und die von Weisungen an Auftragsverarbeiter (Art. 28 Abs. 3 Buchst. a).

Für eine GmbH mit 50 bis 250 Beschäftigten heißt das im Alltag: ein Verzeichnis von Verarbeitungstätigkeiten, eine Beschreibung der TOMs nach Art. 32, die Verträge mit Auftragsverarbeitern nach Art. 28, die Anfragen Betroffener nach Art. 15 bis 22 und eine Liste der Datenpannen. Wo eine Datenschutzfolgenabschätzung nötig ist, kommt ihre Dokumentation dazu (Art. 35 Abs. 7).

Zwei Fristen sollte die Software sichtbar machen. Anfragen Betroffener beantworten Sie unverzüglich, in jedem Fall innerhalb eines Monats, verlängerbar bei komplexen oder vielen Anträgen (Art. 12 Abs. 3). Eine meldepflichtige Datenpanne melden Sie unverzüglich und möglichst binnen 72 Stunden (Art. 33 Abs. 1).

Art. 12 Abs. 3 · Art. 28 · Art. 30 · Art. 33 · Art. 35 Abs. 7 DSGVO

Worauf Sie beim Kauf achten

Die Software sollte den Pflichtangaben aus Art. 30 Abs. 1 folgen und Einträge verknüpfen: einen Dienstleister, seinen Vertrag nach Art. 28 und die Tätigkeiten, für die er arbeitet. Dann tragen Sie eine Änderung einmal ein.

Sie sollte festhalten, wer was wann geändert hat. Für das Verzeichnis empfiehlt die DSK, Änderungen zu dokumentieren und diese Dokumentation ein Jahr aufzubewahren.

Ihr externer Datenschutzbeauftragter braucht Zugang, Prüfer brauchen Lesezugang. Alle Daten sollten sich in einem offenen Format exportieren lassen, damit Sie den Anbieter wechseln können, ohne Unterlagen zu verlieren.

Die Software enthält selbst personenbezogene Daten, etwa Anfragen Betroffener und Datenpannen. Betreibt der Anbieter sie für Sie, verarbeitet er diese Daten in Ihrem Auftrag: Prüfen Sie den Vertrag nach Art. 28 Abs. 3, wo die Daten liegen und welche Unterauftragsverarbeiter beteiligt sind.

Beispiel: eine Auswahl mit einem echten Fall

Die Muster Metall GmbH, ein erfundener Betrieb mit 80 Beschäftigten und externem Datenschutzbeauftragten, führt ihr Verzeichnis bisher in einer Tabelle. Verträge liegen in einem Ordner, Anfragen im Postfach der Geschäftsführung.

Sie spielt in zwei Testzugängen einen Fall durch, den sie im letzten Jahr wirklich hatte: die Auskunftsanfrage eines früheren Mitarbeiters. Sie prüft, ob die Software die Frist zeigt, welche Einträge im Verzeichnis betroffen sind und ob sich die Antwort mit Datum ablegen lässt.

Am Ende exportiert sie alles und öffnet die Datei. Eine Software, deren Daten sich nicht vollständig exportieren lassen, scheidet aus.

Welche Fehler Sie beim Kauf vermeiden sollten

Kaufen Sie keine Software, bevor jemand im Unternehmen zuständig ist. Ohne eine Person, die Einträge pflegt, bleibt sie leer.

Erwarten Sie nicht, dass die Software Pflichten erfüllt. Sie hält fest, was Ihr Unternehmen entschieden und getan hat, und ihre Vorlagen beschreiben einen anderen Betrieb, bis Sie sie anpassen.

Entscheiden Sie nicht ohne Ihren Datenschutzbeauftragten. Er soll seine Aufgaben nach Art. 39 damit erfüllen können, etwa die Überwachung der Einhaltung.

Mit einem KI Assistenten: was eine Software dafür bieten sollte

Ein KI Assistent wie Claude, ChatGPT oder Copilot kann Einträge für das Verzeichnis entwerfen, Verträge mit den Punkten aus Art. 28 Abs. 3 abgleichen und eine Datenschutzfolgenabschätzung nach Art. 35 Abs. 7 gliedern. Bietet die Software einen MCP Server, also eine Schnittstelle nach dem offenen Model Context Protocol, liest und schreibt er direkt darin.

Fragen Sie dann, was der Assistent dort darf: lesen, schreiben, auch löschen? Und ob jeder Eintrag zeigt, dass ein Assistent ihn geschrieben hat. Zwecke, Fristen und Meldungen entscheidet weiter Ihr Unternehmen als Verantwortlicher.

Was der Assistent liest, verarbeitet sein Anbieter mit. Handelt er als Auftragsverarbeiter, braucht es auch mit ihm einen Vertrag nach Art. 28 Abs. 3. Ein DSGVO Durchgang auf nisd2.eu ist in Arbeit, mit demselben MCP Server wie der NIS 2 Durchgang.