Zum Inhalt springen
SimpleAct Logo

Ratgeber · DSGVO-Pflichten

Stand: 6. Oktober 2026

DSGVO-Compliance im Unternehmen: Pflichten-Übersicht & Fahrplan

Welche Pflichten stellt die DSGVO, wer muss sie erfüllen und womit fangen Sie an? Hier finden Sie alle wichtigen Artikel als Tabelle mit Verweis auf unsere Leitfäden, einen Fahrplan in neun Schritten, die Fristen, die Regeln zum Datenschutzbeauftragten, die Bußgeldrahmen – und einen Selbstcheck mit Lückenliste.

Selbstcheck startenZur Pflichten-Tabelle
  • 22 Pflichten mit Artikel und Zuständigkeit
  • Fahrplan in neun Schritten
  • Selbstcheck mit Lückenliste zum Kopieren
  • Bußgeldstufen nach Art. 83 im Überblick
app.simpleact.de

DSGVO-Selbstcheck

Beispielergebnis · 16 Fragen

A

Stand nach Bereich

  • Grundlagen & Transparenz3/4
  • Dienstleister & Drittland1/2
  • Sicherheit & Risiko2/3
  • Prozesse & Fristen1/3
  • Organisation & KI2/4

Lückenliste

  • Prozess für Datenpannen fehltArt. 33
  • Löschfristen nicht festgelegtArt. 5 Abs. 1 lit. e
  • Drittlandtransfer ohne GrundlageArt. 44 ff.

Jede Lücke mit Leitfaden und Bußgeldrahmen

Kurz gesagt

DSGVO-Compliance heißt: Sie verarbeiten personenbezogene Daten nach den Grundsätzen des Art. 5 und können das nachweisen. Kern sind Verarbeitungsverzeichnis, Rechtsgrundlagen, Informationspflichten, Verträge mit Auftragsverarbeitern, TOM, Prozesse für Betroffenenanfragen und Datenpannen, Löschfristen und – wo nötig – DSFA und Datenschutzbeauftragter. Das gilt für Unternehmen jeder Größe.

Grundlagen

Was DSGVO-Compliance eigentlich bedeutet

Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) gilt seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten (Art. 99 Abs. 2). In Deutschland ergänzt sie das Bundesdatenschutzgesetz (BDSG), etwa bei der Pflicht zur Benennung eines Datenschutzbeauftragten. Sie betrifft jede Organisation, die personenbezogene Daten verarbeitet – vom Handwerksbetrieb mit Kundenkartei bis zum Konzern. Eine Mindestgröße, unterhalb derer die DSGVO nicht gilt, gibt es nicht; einzelne Pflichten wie das Verarbeitungsverzeichnis kennen nur enge Ausnahmen.

Der Maßstab steht in Art. 5 Abs. 1: Daten müssen rechtmäßig, nach Treu und Glauben und transparent verarbeitet werden, zweckgebunden, auf das Notwendige beschränkt, richtig, nicht länger als nötig gespeichert und angemessen geschützt. Art. 5 Abs. 2 fügt die Rechenschaftspflicht hinzu: Der Verantwortliche ist für die Einhaltung verantwortlich und muss sie nachweisen können. Genau dieser zweite Teil macht aus Datenschutz eine Dokumentationsaufgabe.

Art. 24 Abs. 1 konkretisiert das: Der Verantwortliche setzt geeignete technische und organisatorische Maßnahmen um, „um sicherzustellen und den Nachweis dafür erbringen zu können“, dass die Verarbeitung der Verordnung entspricht – unter Berücksichtigung von Art, Umfang, Umständen und Zwecken der Verarbeitung und der Risiken für die Betroffenen. Satz 2 verlangt, dass diese Maßnahmen erforderlichenfalls überprüft und aktualisiert werden. Compliance ist damit kein Projekt mit Enddatum, sondern ein Kreislauf.

Viele Pflichten treffen den Verantwortlichen, also die Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet. Einige treffen auch den Auftragsverarbeiter, der Daten im Auftrag verarbeitet – etwa das eigene Verarbeitungsverzeichnis (Art. 30 Abs. 2), die Sicherheit der Verarbeitung (Art. 32) und die Pflicht, den Verantwortlichen unverzüglich über eine Datenpanne zu informieren (Art. 33 Abs. 2). In der Pflichten-Tabelle unten sehen Sie zu jeder Pflicht, wen sie betrifft.

Diese Seite ist ein Ratgeber: Sie ordnet die Pflichten, gibt eine Reihenfolge vor und zeigt Lücken. Für jedes Thema verweisen wir auf einen eigenen Leitfaden mit Vorlage. Wenn Sie Register und Fristen später in einer Software führen möchten, beschreibt die Seite DSGVO-Software, wie das in SimpleAct aussieht. Diese Seite ersetzt keine Rechtsberatung.

Geltungsbeginn der DSGVO (Art. 99 Abs. 2)
25.05.2018
Geltungsbeginn der DSGVO (Art. 99 Abs. 2)
Antwortfrist bei Betroffenenanfragen (Art. 12 Abs. 3)
1 Monat
Antwortfrist bei Betroffenenanfragen (Art. 12 Abs. 3)
Meldung von Datenpannen, wenn möglich (Art. 33 Abs. 1)
72 h
Meldung von Datenpannen, wenn möglich (Art. 33 Abs. 1)

Art. 5 DSGVO

Die sieben Grundsätze als Prüfmaßstab

Jede einzelne Pflicht der DSGVO lässt sich auf einen dieser Grundsätze zurückführen. Verstöße gegen Art. 5 fallen in die höhere Bußgeldstufe nach Art. 83 Abs. 5.

Rechtmäßigkeit, Treu und Glauben, Transparenz
Was er verlangtJede Verarbeitung braucht eine Rechtsgrundlage und ist für die Betroffenen nachvollziehbar.
Woran man es im Alltag siehtRechtsgrundlage im VVT, verständliche Datenschutzhinweise
FundstelleArt. 5 Abs. 1 lit. a
Zweckbindung
Was er verlangtDaten werden für festgelegte, eindeutige und legitime Zwecke erhoben und nicht unvereinbar weiterverarbeitet.
Woran man es im Alltag siehtZweck je Verarbeitung dokumentiert; neue Zwecke werden geprüft
FundstelleArt. 5 Abs. 1 lit. b
Datenminimierung
Was er verlangtNur Daten, die für den Zweck angemessen, erheblich und notwendig sind.
Woran man es im Alltag siehtFormulare ohne Pflichtfelder „auf Vorrat“; Prompts ohne unnötige Personendaten
FundstelleArt. 5 Abs. 1 lit. c
Richtigkeit
Was er verlangtDaten sind sachlich richtig und erforderlichenfalls aktuell; falsche werden berichtigt oder gelöscht.
Woran man es im Alltag siehtProzess für Berichtigungsanfragen, Pflege von Stammdaten
FundstelleArt. 5 Abs. 1 lit. d
Speicherbegrenzung
Was er verlangtDaten werden nur so lange personenbezogen gespeichert, wie es für den Zweck erforderlich ist.
Woran man es im Alltag siehtLöschfristen je Datenkategorie, Löschprotokoll
FundstelleArt. 5 Abs. 1 lit. e
Integrität und Vertraulichkeit
Was er verlangtAngemessene Sicherheit, Schutz vor unbefugter Verarbeitung, Verlust und Zerstörung.
Woran man es im Alltag siehtTOM nach Art. 32, Berechtigungskonzept, Backups
FundstelleArt. 5 Abs. 1 lit. f
Rechenschaftspflicht
Was er verlangtDer Verantwortliche ist für die Einhaltung verantwortlich und muss sie nachweisen können.
Woran man es im Alltag siehtAktuelle Register, Freigaben, Schulungsnachweise, Änderungshistorie
FundstelleArt. 5 Abs. 2

Pflichten-Übersicht

Die wichtigsten DSGVO-Pflichten auf einen Blick

Artikel, Pflicht, wen sie trifft und wo Sie weiterlesen. V = Verantwortlicher, AV = Auftragsverarbeiter. Die Tabelle ist eine Auswahl der Pflichten, die in Unternehmen am häufigsten relevant werden.

Tabelle seitlich scrollen →

Die wichtigsten DSGVO-Pflichten auf einen Blick
ArtikelPflichtWerRessource
Art. 5 Abs. 1Grundsätze einhalten: Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und VertraulichkeitVGrundsätze-Tabelle
Art. 5 Abs. 2, Art. 24Einhaltung nachweisen; geeignete TOM umsetzen und erforderlichenfalls überprüfen und aktualisierenVFahrplan
Art. 6Für jede Verarbeitung eine der sechs Rechtsgrundlagen festlegen (Einwilligung, Vertrag, rechtliche Pflicht, lebenswichtige Interessen, öffentliche Aufgabe, berechtigtes Interesse)VVerarbeitungsverzeichnis
Art. 7Einwilligungen nachweisen können; Widerruf jederzeit ermöglichenVEinwilligungsmanagement
Art. 9Besondere Kategorien (z. B. Gesundheitsdaten) nur auf Grundlage einer Ausnahme nach Abs. 2 verarbeitenVDSFA
Art. 12Transparent kommunizieren; auf Anträge unverzüglich, spätestens innerhalb eines Monats reagierenVBetroffenenrechte
Art. 13, 14Betroffene über Zwecke, Rechtsgrundlage, Empfänger, Speicherdauer und Rechte informierenVBetroffenenrechte
Art. 15–21Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch erfüllenVBetroffenenrechte
Art. 17, Art. 5 Abs. 1 lit. eDaten löschen, wenn der Zweck entfällt; Löschfristen festlegen und Löschungen nachweisenVLöschkonzept
Art. 22Keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung ohne Ausnahme und SchutzmaßnahmenVDSFA
Art. 25Datenschutz durch Technikgestaltung und datenschutzfreundliche VoreinstellungenVTOM
Art. 26Bei gemeinsamer Verantwortung die Pflichtenverteilung in einer Vereinbarung festlegenV (gemeinsam)Auftragsverarbeitung
Art. 28Auftragsverarbeiter sorgfältig auswählen und per Vertrag mit den Inhalten aus Abs. 3 lit. a–h bindenV, AVAVV nach Art. 28
Art. 30Verzeichnis von Verarbeitungstätigkeiten führen und der Aufsichtsbehörde auf Anfrage vorlegenV, AVVerarbeitungsverzeichnis
Art. 32Ein dem Risiko angemessenes Schutzniveau durch TOM gewährleisten und regelmäßig überprüfenV, AVTOM nach Art. 32
Art. 33Datenpannen unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde melden und dokumentieren; AV informiert den V unverzüglichV, AVDatenpanne melden
Art. 34Betroffene bei voraussichtlich hohem Risiko unverzüglich benachrichtigenVDatenpanne melden
Art. 35Vor Verarbeitungen mit voraussichtlich hohem Risiko eine Datenschutz-Folgenabschätzung durchführenVDSFA
Art. 36Aufsichtsbehörde vorab konsultieren, wenn die DSFA ein hohes Risiko ergibt, das nicht eingedämmt wirdVDSFA
Art. 37–39, § 38 BDSGDatenschutzbeauftragten benennen, wenn die Voraussetzungen vorliegen; Kontaktdaten veröffentlichen und der Behörde mitteilenV, AVDatenschutzbeauftragter
Art. 44–49Übermittlungen in Drittländer nur mit Angemessenheitsbeschluss, geeigneten Garantien oder AusnahmeV, AVDrittlandtransfer
Art. 82, 83Haftung für Schäden; Geldbußen je nach verletzter Pflicht bis 10 Mio. € / 2 % oder 20 Mio. € / 4 %V, AVBußgelder

V = Verantwortlicher · AV = Auftragsverarbeiter

Für Cookies und ähnliche Technologien gilt in Deutschland zusätzlich § 25 TDDDG: Speichern und Auslesen von Informationen auf Endgeräten braucht grundsätzlich eine Einwilligung, außer es ist für einen ausdrücklich gewünschten Dienst unbedingt erforderlich.

Fahrplan

DSGVO-Compliance in neun Schritten

Eine Reihenfolge, die sich in der Praxis bewährt hat – als Empfehlung, nicht als Vorgabe des Gesetzes. Wer schon Teile hat, steigt beim ersten fehlenden Schritt ein.

  1. 1

    Zuständigkeiten klären

    Wer verantwortet Datenschutz in der Geschäftsführung, wer koordiniert? Prüfen Sie früh, ob ein Datenschutzbeauftragter benannt werden muss (Art. 37, § 38 BDSG) – er berät bei allen weiteren Schritten.

  2. 2

    Verarbeitungen erfassen

    Alle Prozesse mit personenbezogenen Daten sammeln – Personal, Kunden, Lieferanten, Website, IT, KI-Tools – und im Verarbeitungsverzeichnis nach Art. 30 dokumentieren.

  3. 3

    Rechtsgrundlagen festlegen

    Für jede Verarbeitung die Rechtsgrundlage nach Art. 6 (und bei besonderen Kategorien nach Art. 9) bestimmen. Wo Einwilligungen nötig sind, den Nachweis nach Art. 7 sicherstellen.

  4. 4

    Informieren

    Datenschutzhinweise nach Art. 13 und 14 für Website, Kunden, Bewerber und Beschäftigte erstellen. Inhalt aus dem VVT ableiten, damit beides übereinstimmt.

  5. 5

    Dienstleister prüfen

    Auftragsverarbeiter identifizieren, AVV nach Art. 28 Abs. 3 abschließen, Drittlandtransfers nach Art. 44 ff. absichern. KI-Anbieter nicht vergessen.

  6. 6

    Sicherheit dokumentieren

    TOM nach Art. 32 beschreiben und mit Nachweisen hinterlegen; bei neuen Systemen Datenschutz durch Technikgestaltung (Art. 25) einplanen.

  7. 7

    Risiken bewerten

    Für jede Verarbeitung prüfen, ob eine DSFA nach Art. 35 erforderlich ist, und die Entscheidung dokumentieren – auch wenn sie „nicht erforderlich“ lautet.

  8. 8

    Prozesse einrichten

    Abläufe für Betroffenenanfragen (Monatsfrist), Datenpannen (72 Stunden) und Löschung festlegen, mit Zuständigkeiten und Vertretung. Mitarbeitende schulen.

  9. 9

    Überprüfen und nachweisen

    Feste Termine für die Überprüfung setzen, wie Art. 24 Abs. 1 S. 2 und Art. 32 Abs. 1 lit. d es verlangen. Bewährt hat sich ein jährlicher Durchgang plus Anlässe wie neue Systeme oder Vorfälle.

Selbstcheck

Wo steht Ihr Unternehmen?

Beantworten Sie 16 Fragen. Rechts sehen Sie Ihren Stand je Bereich und eine Lückenliste mit Artikel, Bußgeldrahmen und Leitfaden – zum Kopieren für Ihren Maßnahmenplan. Ihre Antworten verlassen den Browser nicht.

Grundlagen & Transparenz

  • Gibt es ein aktuelles Verzeichnis von Verarbeitungstätigkeiten?

    Art. 30 · Alle Prozesse mit personenbezogenen Daten, zuletzt in den letzten zwölf Monaten geprüft

  • Ist für jede Verarbeitung die Rechtsgrundlage festgelegt?

    Art. 6, 9 · Art. 6 Abs. 1 lit. a–f, bei Gesundheitsdaten u. Ä. zusätzlich Art. 9

  • Werden Betroffene mit Datenschutzhinweisen informiert?

    Art. 13, 14 · Website, Kunden, Bewerber, Beschäftigte – bei Erhebung bzw. spätestens nach einem Monat

  • Können Sie Einwilligungen nachweisen, auch für Cookies?

    Art. 7, § 25 TDDDG · Wer, wann, wofür – und Widerruf jederzeit möglich

Dienstleister & Drittland

  • Bestehen AVV mit allen Auftragsverarbeitern?

    Art. 28 · Cloud, Hosting, Lohn, Support, Newsletter, KI-Dienste

  • Sind Übermittlungen in Drittländer abgesichert?

    Art. 44–49 · Angemessenheitsbeschluss, Standardvertragsklauseln oder Ausnahme – je Empfänger

Sicherheit & Risiko

  • Sind die TOM dokumentiert und mit Nachweisen hinterlegt?

    Art. 32 · Verschlüsselung, Zugriffskontrolle, Backups, Wiederherstellung, Überprüfung

  • Wird Datenschutz bei neuen Systemen von Anfang an berücksichtigt?

    Art. 25 · Datenschutzfreundliche Voreinstellungen, Prüfung vor der Einführung

  • Wird geprüft und dokumentiert, ob eine DSFA nötig ist?

    Art. 35 · Besonders bei KI, Profiling, sensiblen Daten, Überwachung

Prozesse & Fristen

  • Gibt es einen Ablauf für Betroffenenanfragen mit Fristüberwachung?

    Art. 12, 15–22 · Eingangskanal, Identitätsprüfung, Antwort innerhalb eines Monats

  • Gibt es einen Ablauf für Datenpannen, der die 72 Stunden einhält?

    Art. 33, 34 · Meldeweg intern, Bewertung, Meldung, Dokumentation aller Pannen

  • Sind Löschfristen festgelegt und werden Löschungen nachgewiesen?

    Art. 5 Abs. 1 lit. e, 17 · Je Datenkategorie, mit Auslöser und Verantwortlichen

Organisation & KI

  • Ist geprüft, ob ein Datenschutzbeauftragter benannt werden muss?

    Art. 37, § 38 BDSG · In Deutschland u. a. ab in der Regel 20 Personen mit ständiger automatisierter Verarbeitung

  • Werden Mitarbeitende geschult und ist das dokumentiert?

    Art. 24, 39 Abs. 1 lit. b · Grundlagen, Umgang mit Anfragen und Pannen, KI-Tools

  • Werden Dokumentation und Maßnahmen regelmäßig überprüft?

    Art. 5 Abs. 2, 24 Abs. 1 · Fester Termin plus Anlässe wie neue Systeme oder Vorfälle

  • Sind KI-Tools mit personenbezogenen Daten im VVT erfasst?

    Art. 30, 28, 35 · Mit Anbieter als Auftragsverarbeiter, ggf. Drittland und DSFA-Prüfung

app.simpleact.de

Ihr Stand

0 von 16 beantwortet

A
0%der beantworteten Punkte erfüllt
  • Grundlagen & Transparenz0/4
  • Dienstleister & Drittland0/2
  • Sicherheit & Risiko0/3
  • Prozesse & Fristen0/3
  • Organisation & KI0/4

Beantworten Sie die Fragen links – das Ergebnis erscheint hier.

Selbsteinschätzung zur Orientierung, keine Rechtsberatung und kein Audit. „Weiß nicht“ zählt als Lücke, weil sich ein nicht bekannter Stand nicht nachweisen lässt.

Fristen

Die Fristen der DSGVO, die Sie kennen müssen

Die meisten DSGVO-Pflichten laufen dauerhaft. Einige haben feste Fristen, die mit einem Ereignis beginnen – für sie braucht es einen eingeübten Ablauf.

Antrag einer betroffenen Person (Auskunft, Löschung …)
FristUnverzüglich, spätestens 1 Monat nach Eingang
HinweisVerlängerung um weitere zwei Monate bei Komplexität oder Anzahl möglich; darüber innerhalb des ersten Monats mit Gründen informieren
FundstelleArt. 12 Abs. 3
Datenpanne mit Risiko
FristUnverzüglich und möglichst binnen 72 Stunden, nachdem sie bekannt wurde
HinweisBei späterer Meldung die Verzögerung begründen; Meldung ist nicht nötig, wenn voraussichtlich kein Risiko besteht
FundstelleArt. 33 Abs. 1
Datenpanne beim Auftragsverarbeiter
FristUnverzüglich an den Verantwortlichen
HinweisIm AVV sinnvoll konkretisieren
FundstelleArt. 33 Abs. 2
Datenpanne mit voraussichtlich hohem Risiko
FristUnverzüglich an die Betroffenen
HinweisAusnahmen nach Abs. 3, z. B. wenn die Daten wirksam verschlüsselt waren
FundstelleArt. 34 Abs. 1
Erhebung bei der betroffenen Person
FristZum Zeitpunkt der Erhebung
HinweisDatenschutzhinweis muss vorliegen, bevor Daten erhoben werden
FundstelleArt. 13 Abs. 1
Erhebung nicht bei der betroffenen Person
FristAngemessene Frist, längstens 1 Monat
HinweisFrüher, wenn die Daten zur Kommunikation genutzt oder offengelegt werden
FundstelleArt. 14 Abs. 3
Verarbeitung mit voraussichtlich hohem Risiko
FristVorab, also vor Beginn der Verarbeitung
HinweisErgibt die DSFA ein hohes Risiko ohne Eindämmung: vorherige Konsultation nach Art. 36
FundstelleArt. 35 Abs. 1

Fristen nach der KI-Verordnung (z. B. für schwerwiegende Vorfälle) laufen getrennt davon. Die Termine des EU AI Act finden Sie auf unserer Fristen-Seite.

Datenschutzbeauftragter

Wann ein Datenschutzbeauftragter Pflicht ist

Die DSGVO nennt drei Fälle, das BDSG ergänzt sie für Deutschland. Es genügt, wenn einer davon zutrifft.

Öffentliche Stelle
VoraussetzungVerarbeitung durch eine Behörde oder öffentliche Stelle (außer Gerichte im Rahmen ihrer justiziellen Tätigkeit)
FundstelleArt. 37 Abs. 1 lit. a DSGVO
Überwachung als Kerntätigkeit
VoraussetzungKerntätigkeit besteht in Verarbeitungen, die eine umfangreiche regelmäßige und systematische Überwachung von Personen erfordern
FundstelleArt. 37 Abs. 1 lit. b DSGVO
Sensible Daten als Kerntätigkeit
VoraussetzungKerntätigkeit besteht in der umfangreichen Verarbeitung besonderer Kategorien nach Art. 9 oder von Daten über Straftaten nach Art. 10
FundstelleArt. 37 Abs. 1 lit. c DSGVO
20-Personen-Schwelle
VoraussetzungIn der Regel mindestens 20 Personen sind ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt
Fundstelle§ 38 Abs. 1 S. 1 BDSG
Bestimmte Verarbeitungen, unabhängig von der Zahl
VoraussetzungVerarbeitungen, die einer DSFA nach Art. 35 unterliegen, oder geschäftsmäßige Verarbeitung zur Übermittlung, anonymisierten Übermittlung oder für Markt- oder Meinungsforschung
Fundstelle§ 38 Abs. 1 S. 2 BDSG

Ist ein Datenschutzbeauftragter (DSB) benannt, sind seine Kontaktdaten zu veröffentlichen und der Aufsichtsbehörde mitzuteilen (Art. 37 Abs. 7). Er kann Beschäftigter oder externer Dienstleister sein und wird auf Grundlage seiner Fachkunde benannt (Art. 37 Abs. 5, 6). Bei der Erfüllung seiner Aufgaben erhält er keine Anweisungen (Art. 38 Abs. 3). Er darf andere Aufgaben wahrnehmen, solange diese nicht zu einem Interessenkonflikt führen (Art. 38 Abs. 6) – deshalb ist etwa die Geschäftsführung oder die IT-Leitung in der Regel keine gute Wahl.

Seine Aufgaben stehen in Art. 39 Abs. 1: unterrichten und beraten, die Einhaltung überwachen – einschließlich Sensibilisierung und Schulung der Mitarbeitenden –, auf Anfrage zur DSFA beraten, mit der Aufsichtsbehörde zusammenarbeiten und ihr als Anlaufstelle dienen. Verantwortlich für die Einhaltung der DSGVO bleibt aber das Unternehmen, nicht der DSB.

Auch ohne Pflicht kann eine freiwillige Benennung sinnvoll sein (Art. 37 Abs. 4). Wer keinen DSB braucht, sollte trotzdem eine Person festlegen, die Datenschutz koordiniert – die Pflichten in der Tabelle oben gelten unabhängig davon.

Bußgelder

Was bei Verstößen droht: die zwei Stufen des Art. 83

Art. 83 kennt zwei Obergrenzen. Welche gilt, hängt davon ab, welche Pflicht verletzt wurde. Bei Unternehmen gilt jeweils der höhere Betrag aus Festbetrag und Prozentsatz des weltweiten Jahresumsatzes.

Art. 83 Abs. 4
HöchstbetragBis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
Verstöße gegen (Auswahl)Pflichten des Verantwortlichen und Auftragsverarbeiters nach Art. 8, 11, 25 bis 39, 42 und 43 – also u. a. Privacy by Design, AVV, Verarbeitungsverzeichnis, TOM, Meldung von Datenpannen, DSFA und Datenschutzbeauftragter
Art. 83 Abs. 5
HöchstbetragBis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes
Verstöße gegen (Auswahl)Grundsätze einschließlich der Bedingungen für die Einwilligung (Art. 5, 6, 7, 9), Rechte der Betroffenen (Art. 12 bis 22), Übermittlungen in Drittländer (Art. 44 bis 49), Nichtbefolgung von Anweisungen der Aufsichtsbehörde

Die Beträge sind Obergrenzen, keine Regelsätze. Die Aufsichtsbehörde entscheidet im Einzelfall und berücksichtigt nach Art. 83 Abs. 2 unter anderem Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, Maßnahmen zur Minderung des Schadens und die Zusammenarbeit mit der Behörde. Eine gute Dokumentation hilft hier doppelt: Sie verhindert Verstöße und zeigt im Ernstfall, was getan wurde.

Unabhängig von Bußgeldern hat jede Person, der wegen eines Verstoßes ein materieller oder immaterieller Schaden entstanden ist, nach Art. 82 Abs. 1 Anspruch auf Schadenersatz gegen den Verantwortlichen oder den Auftragsverarbeiter.

DSGVO und KI

Was sich ändert, wenn KI personenbezogene Daten verarbeitet

Die KI-Verordnung ersetzt die DSGVO nicht. Wo ein KI-System personenbezogene Daten verarbeitet, gelten beide Regelwerke nebeneinander. Typische Berührungspunkte:

Art. 30

Eintrag im Verarbeitungsverzeichnis

Das KI-Tool selbst ist keine Verarbeitungstätigkeit – der Zweck, für den Sie es nutzen, schon. Eingetragen wird z. B. „Bewerbervorauswahl“ mit dem KI-Anbieter als Empfänger.

Art. 28

Anbieter als Auftragsverarbeiter

Cloud-KI-Dienste verarbeiten Prompts und Dokumente meist im Auftrag. Dann braucht es einen AVV; prüfen Sie besonders, ob der Anbieter Ihre Daten für eigene Zwecke wie Training nutzt.

Art. 44–49

Drittland

Viele KI-Anbieter sitzen in den USA oder nutzen dort Rechenzentren. Die Übermittlung braucht eine Grundlage nach Art. 44 ff., etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln.

Art. 35

DSFA bei neuen Technologien

Art. 35 Abs. 1 nennt ausdrücklich die Verwendung neuer Technologien. Bei KI mit Profiling, sensiblen Daten oder Bewertungen von Personen liegt eine DSFA nahe. Betreiber von Hochrisiko-KI nutzen dafür auch die Informationen des Anbieters (Art. 26 Abs. 9 KI-VO).

Art. 22

Automatisierte Entscheidungen

Ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung sind nach Art. 22 nur in Ausnahmen zulässig. Planen Sie bei KI-gestützten Entscheidungen eine echte menschliche Prüfung ein.

Art. 5

Datenminimierung im Prompt

Nicht jede Aufgabe braucht Klarnamen. Richtlinien, welche Daten in KI-Tools eingegeben werden dürfen, setzen Art. 5 Abs. 1 lit. c praktisch um.

Für Hochrisiko-KI nach Anhang III gelten die Betreiberpflichten der KI-Verordnung nach dem Digital Omnibus ab dem 2. Dezember 2027. Die DSGVO-Pflichten gelten schon heute.

Häufige Fehler

Woran DSGVO-Compliance in der Praxis scheitert

Einmal dokumentiert, nie wieder angesehen

Ein VVT von 2018 beschreibt oft Systeme, die es nicht mehr gibt. Art. 24 Abs. 1 S. 2 verlangt Überprüfung und Aktualisierung.

Muster ohne Bezug zum Unternehmen

Kopierte Vorlagen mit Maßnahmen, die es nicht gibt, fallen bei der ersten Nachfrage auf. Vorlagen sind ein Start, keine Dokumentation.

Kein Ablauf für den Ernstfall

Wer erst bei der Datenpanne überlegt, wer entscheidet, verliert die 72 Stunden. Meldeweg, Vertretung und Vorlagen gehören vorher geklärt.

Dienstleister vergessen

Newsletter-Tool, Videokonferenz, KI-Assistent: Jeder Dienst mit Personendaten braucht eine Prüfung, meist einen AVV und gegebenenfalls eine Drittlandgrundlage.

Löschen bleibt Theorie

Löschfristen im Konzept nützen wenig, wenn niemand löscht. Ohne Protokoll lässt sich Speicherbegrenzung nicht nachweisen.

Datenschutz als Ein-Personen-Thema

Ohne Zuständige in den Fachbereichen erfährt der Datenschutz von neuen Verarbeitungen erst, wenn sie längst laufen.

Mit SimpleAct

Vom Fahrplan zum laufenden Betrieb

Die Leitfäden auf dieser Seite funktionieren auch ohne Software. Wenn Register zusammenwachsen und Fristen laufen sollen, führt das DSGVO-Modul von SimpleAct (ab Professional) die Bereiche aus der Tabelle in einem System – verknüpft mit dem KI-Inventar für den EU AI Act.

  • Verarbeitungsverzeichnis, DSFA, TOM, AVV
  • Betroffenenanfragen und Datenpannen mit berechneter Frist
  • Löschprotokoll, Einwilligungen, Datenschutzhinweise
  • Pflicht-Checkliste und Register-Export

DSGVO-Software ansehen

Welche Bereiche es gibt, wie sie mit dem KI-Inventar verknüpft sind und welcher Plan passt, zeigt die Produktseite.

Zur DSGVO-Software

Open-Source Framework

simpleact-gdpr-compliance-workspace

Die drei DSGVO-Grundlagen offen dokumentiert: Verarbeitungsverzeichnis, Rechtsgrundlagen und Betroffenenrechte.

Auf GitHub ansehen

FAQ

Häufige Fragen zur DSGVO-Compliance

Für jede Organisation, die personenbezogene Daten verarbeitet und in der EU niedergelassen ist, sowie unter bestimmten Voraussetzungen für Organisationen außerhalb der EU, die Personen in der EU Waren oder Dienstleistungen anbieten oder ihr Verhalten beobachten. Eine Mindestgröße gibt es nicht. Ausgenommen sind etwa rein persönliche oder familiäre Tätigkeiten.
Verarbeitungsverzeichnis (Art. 30), Rechtsgrundlagen (Art. 6), Informationspflichten (Art. 13, 14), Betroffenenrechte (Art. 12–22), Verträge mit Auftragsverarbeitern (Art. 28), technische und organisatorische Maßnahmen (Art. 32), Meldung von Datenpannen (Art. 33, 34), Löschfristen (Art. 5 Abs. 1 lit. e, Art. 17) und – wenn nötig – DSFA (Art. 35) und Datenschutzbeauftragter (Art. 37, § 38 BDSG).
Nach Art. 5 Abs. 2 ist der Verantwortliche für die Einhaltung der Grundsätze verantwortlich und muss sie nachweisen können. Art. 24 Abs. 1 verlangt geeignete Maßnahmen, um die Einhaltung sicherzustellen und nachweisen zu können, und deren Überprüfung und Aktualisierung. Praktisch heißt das: aktuelle Register, dokumentierte Entscheidungen und Nachweise.
In aller Regel ja. Art. 30 Abs. 5 nimmt Unternehmen mit weniger als 250 Mitarbeitern nur aus, wenn die Verarbeitung kein Risiko birgt, nur gelegentlich erfolgt und keine besonderen Kategorien oder Strafdaten betrifft. Lohnabrechnung oder Kundenverwaltung erfolgen aber nicht nur gelegentlich – die Ausnahme greift daher selten.
Nach Art. 37 Abs. 1 DSGVO bei öffentlichen Stellen und wenn die Kerntätigkeit in umfangreicher systematischer Überwachung oder umfangreicher Verarbeitung sensibler Daten besteht. In Deutschland zusätzlich nach § 38 BDSG, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, oder bei DSFA-pflichtigen Verarbeitungen und geschäftsmäßiger Datenübermittlung oder Markt- und Meinungsforschung.
Unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde, an die zuständige Aufsichtsbehörde (Art. 33 Abs. 1) – außer sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Jede Panne ist unabhängig davon zu dokumentieren (Abs. 5). Bei voraussichtlich hohem Risiko sind zusätzlich die Betroffenen unverzüglich zu benachrichtigen (Art. 34).
Art. 12 Abs. 3 verlangt eine Reaktion unverzüglich, spätestens innerhalb eines Monats nach Eingang. Bei komplexen Anträgen oder vielen Anfragen ist eine Verlängerung um weitere zwei Monate möglich; darüber informieren Sie die Person innerhalb des ersten Monats mit Gründen. Grundsätzlich ist die Auskunft unentgeltlich (Art. 12 Abs. 5).
Art. 83 kennt zwei Obergrenzen: bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, etwa für Verstöße gegen Art. 25 bis 39 (AVV, VVT, TOM, Datenpannen, DSFA, DSB), und bis 20 Mio. € oder 4 % für Verstöße gegen die Grundsätze, Rechtsgrundlagen, Einwilligungsbedingungen, Betroffenenrechte und Drittlandregeln. Bei Unternehmen gilt jeweils der höhere Betrag; die konkrete Höhe bestimmt die Behörde im Einzelfall.
Das hängt vom Ausgangspunkt ab: der Zahl der Verarbeitungen, Dienstleister und Standorte und davon, wie viel schon dokumentiert ist. Eine Frist im Gesetz gibt es nicht – die DSGVO gilt seit dem 25. Mai 2018. Wichtig ist, mit den Grundlagen zu beginnen (VVT, Rechtsgrundlagen, AVV, Prozesse für Fristen) und den Stand danach regelmäßig zu überprüfen.
Ja, sobald personenbezogene Daten verarbeitet werden – etwa in Prompts, hochgeladenen Dokumenten oder Ergebnissen. Dann braucht es einen VVT-Eintrag, eine Rechtsgrundlage, meist einen AVV mit dem Anbieter, gegebenenfalls eine Drittlandgrundlage und eine DSFA-Prüfung. Die KI-Verordnung gilt zusätzlich und ändert die DSGVO-Pflichten nicht.
Verantwortlicher ist, wer über Zwecke und Mittel der Verarbeitung entscheidet. Auftragsverarbeiter verarbeitet Daten im Auftrag und nach Weisung des Verantwortlichen, etwa ein Hosting- oder Lohnabrechnungsdienstleister. Entscheiden mehrere gemeinsam über Zwecke und Mittel, sind sie gemeinsam Verantwortliche nach Art. 26 und brauchen eine Vereinbarung über die Pflichtenverteilung.
Für das Speichern und Auslesen von Informationen auf Endgeräten grundsätzlich ja, nach § 25 Abs. 1 TDDDG. Ausgenommen ist, was unbedingt erforderlich ist, um einen ausdrücklich gewünschten Dienst bereitzustellen (§ 25 Abs. 2). Für die anschließende Verarbeitung personenbezogener Daten gilt die DSGVO, und die Einwilligung muss nach Art. 7 nachweisbar und jederzeit widerrufbar sein.

Noch Fragen? Wir helfen gerne weiter. E-Mail schreiben · 7 Tage testen (Kreditkarte nötig)

Quellen und Stand

Zuletzt geprüft am · Redaktion SimpleAct

Diese Seite und der Selbstcheck dienen der Orientierung und ersetzen keine Rechtsberatung. Maßgeblich ist der Wortlaut der DSGVO im Amtsblatt der EU und des BDSG. Fahrplan, Reihenfolge und Prüfintervalle sind Empfehlungen.

Änderungen an dieser Seite

  • 6. Oktober 2026 – Neu aufgebaut als Ratgeber: Grundsätze nach Art. 5 als Tabelle, Pflichten-Übersicht mit 22 Zeilen, Fahrplan in neun Schritten, interaktiver Selbstcheck mit Lückenliste, Fristen-Tabelle, Abschnitt zum Datenschutzbeauftragten (Art. 37–39, § 38 BDSG), Bußgeldstufen nach Art. 83 Abs. 4 und 5. Die Produktbeschreibung steht jetzt auf der Seite DSGVO-Software.
  • 13. Juni 2026 – Erste Fassung mit Pflichten im Überblick.

Leitfäden zu den Pflichten

Fahrplan umsetzen – mit einem System für DSGVO und EU AI Act

In 30 Minuten zeigen wir, wie Verarbeitungsverzeichnis, Fristen und Nachweise in SimpleAct zusammenlaufen – entlang Ihrer Lückenliste.

Demo buchen7 Tage testen (Kreditkarte nötig)