¶ Geltungsbereich und Verantwortliche
Beispieldokument: Diese Seite beschreibt eine Methode zur Festlegung des datenschutzrechtlichen Geltungsbereichs für die fiktive „Muster GmbH“. Sie enthält keine abschließende Rechtsprüfung und keine freigegebene Festlegung für ein reales Unternehmen.
Aussagegrenze: Ein technisch veröffentlichter Wiki-Eintrag, eine Unternehmenszugehörigkeit oder die Nutzung eines gemeinsamen Systems begründet allein weder eine Verantwortlichkeit noch eine Auftragsverarbeitung oder gemeinsame Verantwortlichkeit. Maßgeblich sind die tatsächlichen Zwecke, Mittel, Entscheidungsbefugnisse und Verarbeitungsabläufe.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-SCP-00-01 |
| Dokumentenart | Geltungsbereichs- und Rollenfestlegung |
| Wiki.js-Pfad | /DSGVO/00-Start-und-Navigation/Geltungsbereich-und-Verantwortliche |
| Verantwortlich | Geschäftsführung als verantwortliche Stelle / Datenschutzkoordination |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, sofern benannt oder erforderlich, Rechtsfunktion und betroffene Prozesseigner |
| Freigabe durch | Geschäftsführung beziehungsweise dokumentierte befugte Leitung des jeweiligen Rechtsträgers |
| Status | Entwurf – Rechtsträger, Standorte, Verarbeitungen und Rollen nicht organisationsbezogen bestätigt |
| Version | 0.1 |
| Stand | 08.08.2026 |
| Gültig ab | Nach fachlicher Prüfung und formaler Freigabe |
| Nächste Prüfung | Spätestens zwölf Monate nach Freigabe sowie anlassbezogen |
| Schutzklasse | Intern; veröffentlichte Musterseite enthält keine vertraulichen Unternehmens- oder Kontaktdaten |
| DSGVO-Bezug | Artikel 3, Artikel 4 Nummer 7 und 8, Artikel 5 Absatz 2, Artikel 24, 26 bis 30 sowie 37 bis 39 DSGVO |
| Nationaler Bezug | Insbesondere § 38 BDSG; weitere nationale und bereichsspezifische Vorschriften sind sachverhaltsbezogen zu prüfen |
| Schnittstellen | VVT, ISMS-Geltungsbereich, Asset-Inventar, Lieferantenregister, NIS2-Einstufung, Vertrags- und Rechtskataster |
Vom tatsächlichen Verarbeitungskontext zur geprüften Geltungsbereichs- und Rollenfestlegung. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck
Die Seite legt fest, wie der datenschutzrechtliche Geltungsbereich ermittelt, dokumentiert, geprüft und aktuell gehalten wird. Sie soll insbesondere sicherstellen, dass:
- die betroffenen Rechtsträger und Niederlassungen eindeutig bestimmt werden,
- tatsächliche Verarbeitungen personenbezogener Daten vollständig einbezogen werden,
- Verantwortlicher, Auftragsverarbeiter, gemeinsam Verantwortliche und weitere Rollen korrekt abgegrenzt werden,
- Standorte, mobile Arbeit, Cloud-Dienste, Papierakten und externe Zugriffe berücksichtigt werden,
- Schnittstellen zu ISMS, NIS2, Verträgen und dem Verzeichnis von Verarbeitungstätigkeiten nachvollziehbar bleiben,
- Ausschlüsse nicht pauschal, sondern sachlich begründet, geprüft und freigegeben werden.
Der Geltungsbereich ist keine einmalige Projektentscheidung. Er wird bei organisatorischen, rechtlichen, technischen oder prozessualen Änderungen erneut geprüft.
¶ 2. Grundprinzipien
- Tatsächlichkeit vor Organigramm: Entscheidend ist, wer Zwecke und wesentliche Mittel einer Verarbeitung tatsächlich bestimmt.
- Rechtsträger statt Markenname: Eine Marke, Unternehmensgruppe oder gemeinsame Website ersetzt nicht die Prüfung der beteiligten juristischen Personen.
- Verarbeitung statt System: Ein System kann mehrere Verarbeitungen unterstützen; eine Verarbeitung kann mehrere Systeme, Standorte und Dienstleister umfassen.
- Rollen je Verarbeitung: Dieselbe Organisation kann je nach Vorgang Verantwortlicher, Auftragsverarbeiter oder Empfänger sein.
- Nachvollziehbare Entscheidung: Festlegung, Abgrenzung, Annahmen, offene Punkte, Prüfer und Freigabe werden dokumentiert.
- Keine stillschweigenden Ausschlüsse: Ein Bereich wird nicht allein deshalb ausgeschlossen, weil er extern, klein, selten genutzt oder technisch getrennt ist.
¶ 3. Dimensionen des Geltungsbereichs
| Dimension | Leitfrage | Mindestens zu erfassen |
|---|---|---|
| Rechtlich | Welche Rechtsträger und gesetzlichen Rahmenbedingungen sind betroffen? | Firma, Rechtsform, Sitz, Niederlassungen, Vertretung, Aufsichtsbezug |
| Räumlich | Wo finden Verarbeitung und Zugriff statt? | Standorte, Außenstellen, Homeoffice, mobile Arbeit, Rechenzentren, Drittländer |
| Organisatorisch | Welche Bereiche und Personen wirken mit? | Prozesse, Abteilungen, Beschäftigte, Leihkräfte, externe Rollen, Konzerneinheiten |
| Sachlich | Welche personenbezogenen Daten und Zwecke sind betroffen? | Verarbeitungen, Zwecke, Betroffenengruppen, Datenarten, besondere Kategorien, Artikel-10-Daten |
| Technisch | Welche Systeme und Medien werden eingesetzt? | Anwendungen, Cloud-Dienste, Endgeräte, Schnittstellen, Papierakten, Archive, Backups |
| Vertraglich | Welche Dritten und Rollenbeziehungen bestehen? | Auftragsverarbeiter, gemeinsam Verantwortliche, Empfänger, Unterauftragnehmer, Vereinbarungen |
| Zeitlich | Für welchen Zeitraum besteht die Verarbeitung? | Beginn, Änderungen, Beendigung, Löschung, gesetzliche Aufbewahrung, Archivierung |
¶ 4. Räumlicher und sachlicher Anwendungsbereich
¶ 4.1 Räumliche Prüfung
Artikel 3 DSGVO wird für jeden betroffenen Rechtsträger geprüft. Zu berücksichtigen sind insbesondere:
- Verarbeitungen im Rahmen der Tätigkeiten einer Niederlassung in der Europäischen Union,
- außereuropäische Verarbeitungsvorgänge, die mit einer EU-Niederlassung verbunden sind,
- Angebote von Waren oder Dienstleistungen an Personen in der Union,
- Beobachtung des Verhaltens von Personen in der Union,
- gegebenenfalls die Pflicht zur schriftlichen Benennung einer Vertretung in der Union.
Die bloße technische Speicherung außerhalb der EU entscheidet nicht allein über den räumlichen Anwendungsbereich. Drittlandübermittlungen und internationale Zugriffe werden zusätzlich gesondert bewertet.
¶ 4.2 Sachliche Prüfung
Einbezogen werden automatisierte Verarbeitungen personenbezogener Daten sowie nichtautomatisierte Verarbeitungen, sofern die Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Die Erhebung umfasst deshalb nicht nur zentrale IT-Systeme, sondern beispielsweise auch:
- Personal-, Bewerbungs- und Abrechnungsprozesse,
- Kunden-, Interessenten- und Lieferantenkontakte,
- E-Mail, Kollaboration, Telefonie und Videokonferenzen,
- Website, Formulare, Newsletter, Analyse- und Trackingdienste,
- Zutrittskontrolle, Videoüberwachung und Besucherlisten,
- Support-, Protokollierungs- und Sicherheitsdaten,
- Papierakten, lokale Dateien, mobile Endgeräte und externe Speichermedien,
- Cloud-Dienste, Fernwartung und administrative Zugriffe von Dienstleistern.
¶ 5. Rechtsträger- und Standortregister
Nur Strukturmuster: Die nachfolgenden Felder sind organisationsbezogen auszufüllen. Es werden keine realen Standorte oder Gesellschaften unterstellt.
| Feld | Inhalt beziehungsweise Prüffrage |
|---|---|
| Rechtsträger-ID | eindeutige Kennung |
| Firma und Rechtsform | vollständige juristische Bezeichnung |
| Sitz und Niederlassungen | Hauptsitz, Außenstellen und relevante Betriebsstätten |
| Vertretungsberechtigte Leitung | aktuell bestätigte Funktion; Veröffentlichung personenbezogener Daten vermeiden |
| Verarbeitungsrollen | Verantwortlicher, gemeinsam Verantwortlicher, Auftragsverarbeiter oder weitere Rolle je Verarbeitung |
| Zuständige Datenschutzkoordination | Funktion und geschützter Kontaktweg |
| Datenschutzbeauftragte/r | Benennungspflicht, Benennungsstatus, Meldung und veröffentlichte Kontaktdaten getrennt dokumentieren |
| Zuständige Aufsichtsbehörde | anhand Rechtsträger, Sitz, Verarbeitung und Zuständigkeit prüfen |
| Relevante Verarbeitungen | Verweise auf freigegebene VVT-Einträge |
| Systeme und Standorte | Verweise auf Asset-, System- und Standortregister |
| Drittlandbezug | Länder, Empfänger, Zugriffe und Transferprüfung referenzieren |
| Status und Freigabe | Arbeitsstand, Prüfer, Entscheidung, Datum und nächste Prüfung |
¶ 6. Datenschutzrechtliche Rollen
| Rolle | Abgrenzung | Wesentliche Steuerungsanforderung |
|---|---|---|
| Verantwortlicher | entscheidet allein oder maßgeblich über Zwecke und wesentliche Mittel der Verarbeitung | Rechtmäßigkeit, Transparenz, Betroffenenrechte, Sicherheit und Rechenschaftspflicht sicherstellen |
| Gemeinsam Verantwortliche | zwei oder mehr Stellen bestimmen Zwecke und Mittel gemeinsam | tatsächliche Funktionen prüfen und transparente Vereinbarung nach Artikel 26 dokumentieren |
| Auftragsverarbeiter | verarbeitet personenbezogene Daten im Auftrag und nach dokumentierter Weisung | Vertrag nach Artikel 28, Weisungen, TOM, Unterauftragnehmer und Kontrollen dokumentieren |
| Empfänger / eigenständig Verantwortlicher | erhält Daten für eigene Zwecke und Verantwortung | Rechtsgrundlage, Transparenz, Zweckbindung und Übermittlung prüfen |
| Vertreter in der Union | vertritt einen nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiter in den Fällen des Artikels 27 | Benennung, Mandat, Erreichbarkeit und Registerführung dokumentieren |
| Datenschutzbeauftragte/r | unabhängige Beratungs- und Überwachungsfunktion | frühzeitig einbinden, Ressourcen und Zugang sicherstellen, Interessenkonflikte vermeiden |
| Datenschutzkoordination | interne Organisation, Pflege und Nachverfolgung | ersetzt weder die Verantwortung der Geschäftsführung noch die unabhängige Stellung des DSB |
| Prozesseigner | bestätigt tatsächlichen Zweck, Ablauf, Systeme, Empfänger und Änderungen | VVT-Eintrag und Prüfpunkte fachlich aktuell halten |
¶ 7. Prüfschema zur Rollenbestimmung
Für jede Verarbeitung werden mindestens folgende Fragen beantwortet:
- Wer entscheidet, ob und warum personenbezogene Daten verarbeitet werden?
- Wer legt die wesentlichen Mittel, Datenarten, Betroffenengruppen, Empfänger und Dauer fest?
- Handelt ein Dienstleister ausschließlich im dokumentierten Auftrag oder verfolgt er eigene Zwecke?
- Besteht tatsächlicher gemeinsamer Einfluss mehrerer Stellen auf Zwecke und Mittel?
- Welche gesetzlichen oder vertraglichen Befugnisse begrenzen die Entscheidungsspielräume?
- Wer erfüllt Informationspflichten und bearbeitet Betroffenenrechte?
- Wer entscheidet über Datenschutzverletzungen, Meldungen und Abhilfemaßnahmen?
- Welche Verträge, Vereinbarungen, Weisungen und Nachweise bestätigen die Einstufung?
Die Rollenentscheidung wird pro Verarbeitung dokumentiert. Eine pauschale Einstufung eines Dienstleisters für sämtliche Leistungen reicht nicht aus.
¶ 8. Datenschutzbeauftragte und weitere Kontaktrollen
Die Benennungspflicht wird anhand von Artikel 37 DSGVO und ergänzend § 38 BDSG geprüft. Für nichtöffentliche Stellen in Deutschland ist dabei insbesondere zu dokumentieren:
- wie viele Personen in der Regel ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind,
- ob Kerntätigkeiten eine umfangreiche regelmäßige und systematische Überwachung umfassen,
- ob besondere Kategorien personenbezogener Daten oder Artikel-10-Daten umfangreich verarbeitet werden,
- ob Verarbeitungen durchgeführt werden, die einer Datenschutz-Folgenabschätzung unterliegen,
- ob weitere gesetzliche Benennungstatbestände vorliegen,
- ob bei freiwilliger Benennung dieselben Anforderungen an Stellung und Unabhängigkeit eingehalten werden.
Die Prüfung wird auch bei einem negativen Ergebnis nachvollziehbar dokumentiert. Eine interne Datenschutzkoordination kann unabhängig von einer gesetzlichen Benennungspflicht sinnvoll sein, darf aber nicht irreführend als Datenschutzbeauftragte/r bezeichnet werden.
¶ 9. Festlegungsverfahren
- Rechtsträger, Beteiligungen und Niederlassungen erheben.
- Tätigkeiten, Produkte, Dienstleistungen und betroffene Personengruppen bestimmen.
- Vorhandene VVT-Einträge, Prozesse, Systeme, Standorte und Dienstleister abgleichen.
- Räumlichen und sachlichen Anwendungsbereich prüfen.
- Rollen je Verarbeitung anhand der tatsächlichen Entscheidungsbefugnisse bestimmen.
- Auftragsverarbeitungen, gemeinsame Verantwortungen und eigenständige Empfänger abgrenzen.
- Drittlandbezug, Vertretung in der Union und Aufsichtsbezug prüfen.
- Pflicht zur Benennung einer oder eines Datenschutzbeauftragten bewerten.
- Schnittstellen, Annahmen, Lücken und Prüfpunkte dokumentieren.
- Fachprüfung durch Datenschutz-, Rechts- und Prozessrollen durchführen.
- Geltungsbereich und Rollen durch die befugte Leitung freigeben.
- VVT, Verträge, Informationspflichten, TOM und Register konsistent aktualisieren.
¶ 10. Beispiel einer Geltungsbereichsmatrix
Nicht freigegebenes Muster – keine Aussage über ein reales Unternehmen.
| Prüfeinheit | Vorläufige Einordnung | Offener Prüfpunkt | Erforderlicher Nachweis |
|---|---|---|---|
| Hauptstandort | grundsätzlich einzubeziehen, sofern personenbezogene Daten verarbeitet werden | tatsächliche Prozesse und Systeme bestätigen | Standort- und Prozessfreigabe |
| Außenstelle | nicht allein wegen geringer Größe ausschließen | Zugriff, Papierakten, lokale Geräte und Dienstleister erheben | Standorterhebung und Asset-Abgleich |
| Homeoffice / mobile Arbeit | als Verarbeitungskontext berücksichtigen | Geräte, Zugriffe, Ausdrucke und Aufbewahrung prüfen | Regelung, TOM und Schulungsnachweis |
| Cloud-Dienst | Rolle und Transfer gesondert prüfen | Anbieter, Unterauftragnehmer, Zugriffe und Drittlandbezug | Vertrag, TOM, Transfer- und Risikoprüfung |
| Konzernservice | keine automatische Auftragsverarbeitung unterstellen | Zwecke, Mittel, Weisungen und Eigeninteressen klären | Rollenentscheidung und Vereinbarung |
| beendeter Prozess | bis zum Abschluss von Löschung und Aufbewahrung nachführen | Restbestände, Sperrung und Fristen prüfen | Abschluss- und Löschungsnachweis |
¶ 11. Zulässige Ausschlüsse
Ein Ausschluss aus der dokumentierten Datenschutzorganisation ist nur belastbar, wenn mindestens festgehalten werden:
- der konkret geprüfte Bereich oder Sachverhalt,
- die tatsächlichen Verarbeitungen und Datenbestände,
- die angewendeten rechtlichen und fachlichen Kriterien,
- die Begründung des Ergebnisses,
- bestehende Restpflichten, etwa Aufbewahrung, Löschung oder Auskunft,
- die prüfende und entscheidende Rolle,
- Freigabe, Datum und erneuter Prüfauslöser.
„Keine personenbezogenen Daten bekannt“, „extern betrieben“ oder „nur Papier“ sind ohne dokumentierte Erhebung keine ausreichenden Ausschlussgründe.
¶ 12. Schnittstellen und führende Informationen
| Information | Führende Stelle | Nutzung auf dieser Seite |
|---|---|---|
| Verarbeitungen, Zwecke und Betroffenengruppen | Verzeichnis von Verarbeitungstätigkeiten | Vollständigkeit und Rollen je Verarbeitung prüfen |
| Status- und Verbindlichkeitsregeln | Lesehilfe und Dokumentenstatus | Entwurf, Prüfung, Freigabe und Fachstatus trennen |
| Systeme und Informationswerte | ISMS-Asset-Inventar | technische Reichweite und Owner abgleichen |
| Standorte und Sicherheitsbereiche | ISMS-Standorte und Sicherheitsbereiche | physische und organisatorische Abgrenzung referenzieren |
| Lieferanten und Dienste | ISMS-Lieferanten und Dienstleister | Dienstleisterbestand als Ausgangspunkt verwenden; Datenschutzrolle gesondert bewerten |
| Rechts- und Vertragspflichten | ISMS-Rechts- und Vertragskataster | einschlägige Anforderungen referenzieren, ohne die Datenschutzprüfung zu ersetzen |
Verknüpfte DSGVO-Seiten:
- Rollen und Verantwortlichkeiten
- Datenschutzbeauftragte und Kontakte
- Auftragsverarbeiterregister
- Gemeinsame Verantwortung
Auftragsverarbeitung und gemeinsame Verantwortung werden für jeden Verarbeitungsschritt anhand der tatsächlichen Entscheidungs- und Weisungsbeziehungen getrennt bewertet.
¶ 13. Review- und Änderungsanlässe
Eine anlassbezogene Prüfung erfolgt insbesondere bei:
- Gründung, Erwerb, Verschmelzung, Verkauf oder Auflösung eines Rechtsträgers,
- neuen oder geschlossenen Standorten,
- neuen Produkten, Dienstleistungen oder Geschäftsmodellen,
- Einführung oder wesentlicher Änderung von Cloud-Diensten, KI-Systemen oder Plattformen,
- neuen Verarbeitungszwecken, Datenarten oder Betroffenengruppen,
- neuen gemeinsam Verantwortlichen, Auftragsverarbeitern oder Unterauftragnehmern,
- internationalen Datenzugriffen oder Drittlandtransfers,
- Änderungen von Rechtsgrundlagen oder behördlichen Vorgaben,
- Datenschutzverletzungen, Beschwerden, Prüfungen oder Rechtsstreitigkeiten,
- Wechsel der Geschäftsleitung, Datenschutzrollen oder wesentlicher Prozesseigner.
¶ 14. Freigabeprüfung
- Sind alle Rechtsträger und relevanten Niederlassungen eindeutig bezeichnet?
- Ist der räumliche und sachliche Anwendungsbereich dokumentiert?
- Sind tatsächliche Verarbeitungen mit dem VVT abgeglichen?
- Sind Systeme, Papierbestände, Cloud-Dienste, mobile Arbeit und externe Zugriffe berücksichtigt?
- Sind Rollen je Verarbeitung fachlich und rechtlich geprüft?
- Sind Auftragsverarbeitung und gemeinsame Verantwortlichkeit durch passende Vereinbarungen belegt?
- Ist die Benennungspflicht einer oder eines Datenschutzbeauftragten dokumentiert bewertet?
- Sind Vertretung in der Union, Aufsichtsbezug und Drittlandthemen geprüft?
- Sind Ausschlüsse, Annahmen und offene Punkte transparent?
- Sind Owner, Fachprüfung, Freigabe und nächster Prüftermin festgelegt?
Ein positiver Prüfhaken dokumentiert nur den bearbeiteten Prüfpunkt. Die Seite gilt erst mit einer nachvollziehbaren fachlichen Prüfung und formalen Freigabe als verbindlich.
¶ 15. Nachweise und geschützte Ablage
Die öffentliche Musterseite enthält keine vertraulichen Originalunterlagen. Organisationsbezogene Nachweise werden geschützt abgelegt, beispielsweise:
- Handelsregister- und Organigrammreferenzen,
- Rechtsträger- und Standortlisten,
- freigegebene VVT-Auszüge,
- Rollenentscheidungen und Vertragsbewertungen,
- Vereinbarungen nach Artikel 26 und Verträge nach Artikel 28 DSGVO,
- Benennungs-, Melde- und Tätigkeitsnachweise des Datenschutzbeauftragten,
- Drittland- und Vertretungsprüfungen,
- Freigabeprotokolle und Änderungshistorien.
Im Wiki werden nur erforderliche Metadaten, Statusangaben und kontrollierte Referenzen veröffentlicht.
¶ 16. Weiterführende Informationen von SMCT MANAGEMENT
SMCT MANAGEMENT
Unterstützung beim Aufbau einer nachvollziehbaren Datenschutzorganisation und bei der Abgrenzung von Rollen und Verantwortlichkeiten
Unterstützung beim Aufbau einer nachvollziehbaren Datenschutzorganisation und bei der Abgrenzung von Rollen und Verantwortlichkeiten
| SMCT-Information | Beschreibung |
|---|---|
| Datenschutz-Beratung und Leistungen | Aufbau und Weiterentwicklung eines Datenschutzmanagements nach DSGVO und BDSG |
| Pflichten von Verantwortlichen und Auftragsverarbeitern | Praxisorientierte Einordnung der unterschiedlichen Datenschutzrollen |
| Datenschutzbeauftragter | Hinweise zur Benennung, Stellung und organisatorischen Einbindung |
| Datenschutzmanagement | Verbindung von Organisation, Prozessen, Risiken, Maßnahmen und Kontrollen |
Erstgespräch unter info@smct-management.de vereinbaren
Die SMCT-Links sind ergänzende Fach- und Leistungsinformationen. Für rechtliche Bewertungen bleiben die amtlichen Rechtsquellen und die sachverhaltsbezogene Prüfung maßgeblich.
¶ 17. Offizielle Quellen
- Datenschutz-Grundverordnung – konsolidierter Text bei EUR-Lex
- Bundesdatenschutzgesetz
- § 38 BDSG – Datenschutzbeauftragte nichtöffentlicher Stellen
- EDSA-Leitlinien 07/2020 zu den Begriffen Verantwortlicher und Auftragsverarbeiter
- BfDI – DSGVO und BDSG
¶ 18. Änderungshistorie und Freigabe
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.1 | 08.08.2026 | Erste Musterfassung mit Geltungsbereichsdimensionen, Rollenprüfung, Rechtsträger- und Standortstruktur, Schnittstellen, SEO-Beschreibung, SVG sowie amtlichen und SMCT-Links | Datenschutzkoordination | Ausstehend | – |