¶ Rechtsgrundlagenkataster
Beispielregister: Diese Seite ist ein Musterentwurf für die fiktive „Muster GmbH“. Sie enthält keine freigegebene rechtliche Bewertung realer Verarbeitungen. Rechtsgrundlagen, Erforderlichkeit, Interessenabwägungen und ergänzende Normen müssen für jeden konkreten Zweck fachlich und rechtlich geprüft werden.
Keine Artikel-Sammlung: Die Nennung von „Artikel 6 DSGVO“ oder mehrerer vorsorglicher Rechtsgrundlagen macht eine Verarbeitung nicht rechtmäßig. Maßgeblich sind der konkrete Zweck, die tatsächlich erforderlichen Verarbeitungsschritte und sämtliche Voraussetzungen der gewählten Grundlage.
Mehrstufige Prüfung: Bei besonderen Kategorien personenbezogener Daten, Strafdaten, Beschäftigtendaten, Endgerätezugriffen, automatisierten Entscheidungen oder Drittlandtransfers sind zusätzliche Voraussetzungen zu prüfen. Artikel 6 DSGVO allein genügt hierfür regelmäßig nicht.
Rechtsprüfung: Das Kataster unterstützt Dokumentation und Rechenschaftspflicht. Es ersetzt keine Prüfung des Einzelfalls durch die zuständigen Datenschutz- und Rechtsrollen.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-REG-02-02 |
| Dokumentenart | Registerverfahren / Rechtsgrundlagenkataster |
| Wiki.js-Pfad | /DSGVO/02-Verarbeitungen-und-Rechtsgrundlagen/Rechtsgrundlagenkataster |
| Verantwortlich | Geschäftsführung als Verantwortlicher / festzulegende Datenschutzkoordination |
| Fachlich geprüft durch | Rechtsfunktion, Datenschutzbeauftragte/r, sofern benannt, Prozesseigner und betroffene Fachrollen |
| Freigabe durch | Geschäftsführung beziehungsweise dokumentierte befugte Leitung |
| Status | Entwurf – keine organisationsbezogenen Rechtsgrundlagen oder Interessenabwägungen freigegeben |
| Version | 0.2 |
| Stand | 09.08.2026 |
| Gültig ab | Nach vollständiger Erhebung, fachlicher Prüfung und formaler Freigabe |
| Nächste Prüfung | Spätestens zwölf Monate nach Freigabe sowie anlassbezogen je Verarbeitung |
| Schutzklasse | Intern; rechtliche Bewertungen, Nachweise und Einzelfälle nach Inhalt geschützt |
| DSGVO-Bezug | Insbesondere Artikel 5 Absatz 1 Buchstabe a und b sowie Absatz 2, Artikel 6 bis 10, 13, 14, 21, 22 und 24 DSGVO |
| Nationaler Bezug | Insbesondere BDSG und TDDDG; weitere fach-, arbeits-, steuer-, handels-, sozial- und branchenspezifische Normen je Zweck prüfen |
| Schnittstellen | VVT, Einwilligungsmanagement, Informationspflichten, Zweckänderung, Löschung, Auftragsverarbeitung, Drittlandtransfers, DSFA und TOM |
Vom konkreten Zweck über die passende Rechtsnorm und ihre Voraussetzungen zur nachvollziehbaren Entscheidung. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck
Das Rechtsgrundlagenkataster stellt sicher, dass:
- jeder Verarbeitung und jedem eigenständigen Zweck eine geprüfte Erlaubnisgrundlage zugeordnet wird,
- Voraussetzungen, Erforderlichkeit und Grenzen nachvollziehbar dokumentiert sind,
- ergänzende Rechtsanforderungen nicht hinter einer pauschalen Artikelangabe verschwinden,
- VVT, Datenschutzhinweise, Einwilligungen, Verträge und tatsächliche Prozesse übereinstimmen,
- Änderungen, Widerrufe, Widersprüche und Zweckänderungen kontrolliert behandelt werden,
- offene oder abgelehnte Bewertungen sichtbar bleiben,
- Nachweise geschützt, versioniert und für Reviews auffindbar sind.
¶ 2. Verhältnis zum VVT
Das Verzeichnis von Verarbeitungstätigkeiten bleibt das führende Register der Verarbeitungstätigkeiten. Das Rechtsgrundlagenkataster vertieft die dort dokumentierte Rechtmäßigkeitsprüfung.
| VVT | Rechtsgrundlagenkataster |
|---|---|
| beschreibt Verarbeitung, Zwecke, Betroffene, Daten, Empfänger, Systeme, Fristen und TOM | begründet die Zulässigkeit jedes Zwecks und der erforderlichen Verarbeitungsschritte |
| führt die gültige Rechtsgrundlage als Steuerungsfeld | dokumentiert Voraussetzungen, Prüfung, Quellen, Nachweise, Freigabe und Review |
| zeigt Zusammenhänge zur gesamten Verarbeitung | kann mehrere Prüfdatensätze pro Verarbeitung enthalten |
Eine Verarbeitung mit mehreren unterscheidbaren Zwecken kann mehrere Rechtsgrundlagenprüfungen benötigen. Umgekehrt darf das Kataster keine Verarbeitung enthalten, die im führenden VVT nicht nachvollziehbar zugeordnet ist.
¶ 3. Grundsätze der Prüfung
- Zuerst wird der konkrete Zweck beschrieben, danach die mögliche Rechtsgrundlage gewählt.
- Die Verarbeitung muss für den Zweck erforderlich sein; bloße Nützlichkeit oder Bequemlichkeit genügt nicht.
- Jede Tatbestandsvoraussetzung wird anhand tatsächlicher Fakten geprüft.
- Rechtsgrundlagen werden nicht beliebig als gegenseitige Reserve gesammelt.
- Die betroffene Person, Vertragsbeziehung, gesetzliche Pflicht und tatsächliche Rolle werden korrekt abgegrenzt.
- Für besondere Daten und besondere Verarbeitungssituationen werden zusätzliche Erlaubnisse dokumentiert.
- Transparenz, Datenminimierung, Speicherbegrenzung, Sicherheit und Betroffenenrechte gelten unabhängig von der Rechtsgrundlage.
- Die gewählte Grundlage muss mit Datenschutzhinweisen, Einwilligungstexten, Verträgen und tatsächlicher Nutzung übereinstimmen.
- Offene Rechtsfragen werden als offen geführt und nicht als freigegebene Entscheidung dargestellt.
- Rechtsänderungen und veränderte Sachverhalte lösen eine erneute Prüfung aus.
¶ 4. Prüfablauf
- VVT-ID, Prozesseigner und Verantwortlichen bestätigen.
- Zweck konkret und verständlich beschreiben.
- Einzelne Verarbeitungsschritte und erforderliche Daten bestimmen.
- Betroffene Personen, Erhebungssituation und vernünftige Erwartungen bewerten.
- mögliche Rechtsgrundlage nach Artikel 6 Absatz 1 DSGVO auswählen.
- sämtliche Voraussetzungen und die Erforderlichkeit dokumentieren.
- zusätzliche Normen für besondere Daten oder Situationen prüfen.
- Transparenz, Rechte, Löschung, Empfänger, TOM und Transfers zuordnen.
- Nachweise und Rechtsquellen referenzieren.
- fachliche Prüfung, offene Punkte und formale Entscheidung dokumentieren.
- VVT, Informationspflichten und operative Systeme konsistent aktualisieren.
¶ 4.1 Die fünf Nachweisstufen
Eine belastbare Entscheidung entsteht aus einer geschlossenen Nachweiskette. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
| Nachweisstufe | Leitfrage | Mindestnachweis | Abbruch- oder Eskalationssignal |
|---|---|---|---|
| Zweck und Sachverhalt | Was geschieht tatsächlich, für wen und wozu? | bestätigte Prozessbeschreibung, VVT-ID, Datenfluss und Owner | Zweck ist abstrakt, nachträglich formuliert oder umfasst mehrere ungetrennte Ziele |
| Tatbestand | Welche konkrete Norm deckt genau diesen Zweck und diese Verarbeitungsschritte? | Tatbestandsprüfung mit aktueller Quelle und Sachverhaltsbezug | nur Artikelnummer, Alternativsammlung oder falsche Vertragspartei |
| Erforderlichkeit | Ist die Verarbeitung objektiv geeignet und gibt es ein gleich wirksames milderes Mittel? | dokumentierter Alternativenvergleich sowie Daten-, Empfänger- und Fristbegrenzung | bloße Nützlichkeit, Bequemlichkeit oder unbelegte Branchenpraxis |
| Zusatzregeln | Welche weiteren Erlaubnisse, Verbote oder Garantien gelten? | Artikel-9-/10-/22-Prüfung, BDSG, TDDDG, Fachrecht, Transfer- und Rollenprüfung | besondere Daten oder Endgerätezugriff werden nur unter Artikel 6 geführt |
| Umsetzung und Review | Werden Bedingungen im Prozess, System und Betroffenenkontakt tatsächlich eingehalten? | freigegebene Texte, Konfiguration, Rechteprozess, Kontrollnachweis und Termin | Rechtsgrundlage ist dokumentiert, aber technisch oder organisatorisch nicht umgesetzt |
Die Stufen sind nicht austauschbar. Eine gute Interessenabwägung heilt beispielsweise weder einen unklaren Zweck noch eine fehlende Zusatzgrundlage für besondere Kategorien personenbezogener Daten.
¶ 5. Rechtsgrundlagen nach Artikel 6 Absatz 1 DSGVO
| Grundlage | Kernvoraussetzungen | Erforderliche Dokumentation |
|---|---|---|
| Buchstabe a – Einwilligung | freiwillig, für bestimmte Zwecke, informiert, unmissverständlich und nachweisbar; jederzeit widerruflich | Einwilligungsfassung, Information, Erklärung, Zeitpunkt, Geltungsbereich, Widerrufsweg und Widerrufsstatus |
| Buchstabe b – Vertrag / vorvertragliche Maßnahme | betroffene Person ist Vertragspartei; Verarbeitung für Vertragserfüllung erforderlich oder erfolgt auf ihre Anfrage vor Vertragsschluss | Vertragszweck, konkrete Leistung, Erforderlichkeitsprüfung und Abgrenzung optionaler Zwecke |
| Buchstabe c – rechtliche Verpflichtung | konkrete unions- oder mitgliedstaatliche Pflicht trifft den Verantwortlichen und erfordert die Verarbeitung | genaue Norm, Pflichtinhalt, Adressat, erforderliche Daten, Frist und aktuelle Fassung |
| Buchstabe d – lebenswichtige Interessen | Verarbeitung ist zum Schutz lebenswichtiger Interessen erforderlich; Ausnahmecharakter beachten | konkrete Gefahrenlage, betroffene Person, Erforderlichkeit, Zeitpunkt und Entscheidung |
| Buchstabe e – öffentliche Aufgabe / öffentliche Gewalt | Aufgabe beruht auf Unions- oder Mitgliedstaatenrecht; Verarbeitung ist dafür erforderlich | Aufgabennorm, Zuständigkeit, Zweck, Erforderlichkeit und Grenzen |
| Buchstabe f – berechtigte Interessen | legitimes Interesse des Verantwortlichen oder Dritten, Erforderlichkeit und kein Überwiegen entgegenstehender Interessen oder Grundrechte | dokumentierter Interessen-, Erforderlichkeits- und Abwägungstest, Erwartungen, Schutzmaßnahmen und Widerspruch |
Behörden können sich bei der Erfüllung ihrer Aufgaben nicht auf Artikel 6 Absatz 1 Buchstabe f stützen. Ob eine Organisation als Behörde beziehungsweise im Rahmen einer öffentlichen Aufgabe handelt, wird anhand der konkreten Rechts- und Aufgabenlage geprüft.
¶ 5.1 Interaktiver Rechtsgrundlagen-Erstzuordnungs-Navigator
Nur Arbeitshilfe: Der Navigator strukturiert die Erstaufnahme. Er wählt keine Rechtsgrundlage aus, nimmt keine Abwägung vor und speichert keine Eingaben. „Zur fachlichen Prüfung vorbereitet“ bedeutet nicht „rechtmäßig“ oder „freigegeben“.
Ohne JavaScript bleiben die folgenden Abschnitte, Tabellen und Prüffragen vollständig nutzbar. Der Navigator ist eine zusätzliche Orientierungshilfe und kein Registersystem.
¶ 6. Einwilligung nach Artikel 6 Absatz 1 Buchstabe a
Vor Nutzung einer Einwilligung wird geprüft:
- Ist der Zweck konkret, verständlich und von anderen Zwecken getrennt?
- Ist die Entscheidung tatsächlich freiwillig und ohne unangemessenen Nachteil möglich?
- Sind Verantwortlicher, Daten, Handlungen, Empfänger und gegebenenfalls Transfers verständlich beschrieben?
- Wird eine ausdrückliche Erklärung benötigt, insbesondere bei Artikel-9-Daten?
- Kann die Erklärung eindeutig einer Fassung und Person zugeordnet werden?
- Ist der Widerruf ebenso einfach wie die Erteilung?
- Welche Verarbeitung endet nach Widerruf und welche Daten müssen noch rechtmäßig aufbewahrt werden?
- Wird eine erneute Einwilligung bei wesentlichen Zweck-, Empfänger- oder Verfahrensänderungen benötigt?
Eine Einwilligung wird nicht als bequeme Auffanglösung verwendet, wenn tatsächliche Abhängigkeit, Kopplung, Unklarheit oder fehlende Wahlmöglichkeit ihre Wirksamkeit gefährden.
¶ 7. Vertrag und vorvertragliche Maßnahmen
Artikel 6 Absatz 1 Buchstabe b wird nur verwendet, wenn:
- die betroffene Person selbst Vertragspartei ist oder werden möchte,
- der konkrete Verarbeitungsschritt objektiv für die Leistung oder die auf Anfrage erfolgende vorvertragliche Maßnahme erforderlich ist,
- der Zweck nicht nur für interne Optimierung, Werbung, Profilbildung oder eine fremde Vertragsbeziehung nützlich ist,
- optionale Leistungen und Zusatzverarbeitungen getrennt geprüft werden.
Geschäftliche Ansprechpartner einer juristischen Person sind nicht allein deshalb selbst Vertragspartei. Für ihre Kontaktdaten ist eine eigene Prüfung erforderlich.
¶ 8. Rechtliche Verpflichtung und öffentliche Aufgabe
Eine gesetzliche Rechtsgrundlage wird nicht nur mit „gesetzliche Pflicht“ bezeichnet. Dokumentiert werden:
- genaue Fundstelle und aktuelle Fassung,
- verpflichteter Rechtsträger,
- Inhalt, Zweck und Reichweite der Pflicht,
- notwendige Daten und Empfänger,
- Beginn, Dauer und Aufbewahrungsfrist,
- mögliche Wahlräume oder mildere Mittel,
- zuständige Fachrolle und Review bei Rechtsänderung.
Eine interne Regel, Kundenanforderung oder vertragliche Pflicht ist nicht automatisch eine rechtliche Verpflichtung im Sinne von Artikel 6 Absatz 1 Buchstabe c.
¶ 9. Berechtigte Interessen nach Artikel 6 Absatz 1 Buchstabe f
Die Interessenabwägung wird mindestens in drei Stufen dokumentiert:
¶ 9.1 Interessenprüfung
- Welches konkrete, gegenwärtige und rechtmäßige Interesse verfolgt der Verantwortliche oder ein Dritter?
- Wer profitiert von der Verarbeitung?
- Ist das Interesse mit Recht, Vertrag und eigenen Erklärungen vereinbar?
¶ 9.2 Erforderlichkeitsprüfung
- Trägt die Verarbeitung tatsächlich zur Zielerreichung bei?
- Gibt es ein gleich wirksames, weniger eingriffsintensives Mittel?
- Sind Datenumfang, Personenkreis, Empfänger und Dauer auf das notwendige Maß begrenzt?
¶ 9.3 Abwägungsprüfung
- Welche Art von Daten und Verarbeitung ist betroffen?
- In welchem Verhältnis steht die betroffene Person zum Verantwortlichen?
- Welche vernünftigen Erwartungen bestehen in der konkreten Situation?
- Welche Folgen, Risiken, Kontrollverluste oder Überraschungen sind möglich?
- Sind Kinder oder besonders schutzbedürftige Personen betroffen?
- Welche Schutzmaßnahmen, Wahlmöglichkeiten und Widerspruchswege verringern den Eingriff?
Ergebnis, Gegenargumente, Schutzmaßnahmen, Restunsicherheit, Freigabe und Review werden festgehalten. Ein alleiniger Hinweis auf Erwägungsgrund 47 oder ein wirtschaftliches Interesse ersetzt die Prüfung nicht.
¶ 10. Besondere Kategorien nach Artikel 9 DSGVO
Für Daten nach Artikel 9 Absatz 1 wird zusätzlich zu Artikel 6 eine passende Ausnahme nach Artikel 9 Absatz 2 und gegebenenfalls eine konkretisierende unions- oder mitgliedstaatliche Vorschrift benötigt.
| Prüfgruppe | Typische zusätzliche Fragen |
|---|---|
| ausdrückliche Einwilligung | Ist die Erklärung ausdrücklich, freiwillig und für die konkreten besonderen Daten und Zwecke erteilt? |
| Arbeits-, Sozialschutz- und Sozialrecht | Welche konkrete Rechtsgrundlage und welche angemessenen Garantien gelten? |
| lebenswichtige Interessen | Ist die Person tatsächlich außerstande, eine Einwilligung zu erteilen? |
| Organisationen mit politischem, weltanschaulichem, religiösem oder gewerkschaftlichem Zweck | Sind Tätigkeit, Personenkreis, Garantien und Offenlegungsgrenzen erfüllt? |
| offensichtlich öffentlich gemachte Daten | Hat die betroffene Person die konkreten Daten offensichtlich selbst öffentlich gemacht und deckt dies den Zweck? |
| Rechtsansprüche und Gerichte | Ist die Verarbeitung für Geltendmachung, Ausübung oder Verteidigung erforderlich? |
| erhebliches öffentliches Interesse | Welche gesetzliche Grundlage und verhältnismäßigen Schutzmaßnahmen gelten? |
| Gesundheit, Versorgung und öffentliche Gesundheit | Welche Fachnorm, Geheimhaltung und weiteren Garantien sind erforderlich? |
| Forschung, Statistik und Archiv | Welche Rechtsgrundlage, Erforderlichkeit und Garantien nach Artikel 89 gelten? |
Die Ausnahme wird exakt dokumentiert. Eine bloße Bezeichnung als „Gesundheitsdaten“ oder „öffentlich“ genügt nicht.
¶ 11. Strafdaten nach Artikel 10 DSGVO
Daten über strafrechtliche Verurteilungen und Straftaten dürfen nur unter behördlicher Aufsicht oder aufgrund geeigneter unions- oder mitgliedstaatlicher Rechtsvorschriften mit angemessenen Garantien verarbeitet werden. Geprüft werden insbesondere:
- genaue gesetzliche Befugnis,
- zulässiger Zweck und Personenkreis,
- Erforderlichkeit und Verhältnismäßigkeit,
- Zugriffs-, Offenlegungs- und Speicherbegrenzung,
- Richtigkeit, Aktualität und Löschung,
- Trennung von Verdacht, Verfahren und rechtskräftiger Verurteilung.
Ein allgemeines berechtigtes Interesse allein ist keine ausreichende Artikel-10-Grundlage.
¶ 12. Beschäftigtendaten
Bei Beschäftigtendaten werden insbesondere § 26 BDSG, Artikel 6, gegebenenfalls Artikel 9 DSGVO sowie anwendbares Arbeits-, Kollektiv- und Mitbestimmungsrecht geprüft.
Die Bewertung dokumentiert:
- konkrete Phase und Zweck des Beschäftigungsverhältnisses,
- Erforderlichkeit für Begründung, Durchführung oder Beendigung,
- besondere Voraussetzungen bei Einwilligung im Abhängigkeitsverhältnis,
- besondere Kategorien und zusätzliche Garantien,
- Beteiligungsrechte der Arbeitnehmervertretung,
- Trennung von Personalverwaltung, Sicherheit, Leistung und Verhalten,
- zulässige Zugriffe, Aufbewahrung und Löschung.
¶ 13. Endgerätezugriffe und digitale Dienste
Bei Speicherung von Informationen in Endeinrichtungen oder Zugriff auf bereits gespeicherte Informationen wird § 25 TDDDG eigenständig geprüft. Das gilt unabhängig davon, ob die Information personenbezogen ist.
Dokumentiert werden:
- konkrete Speicher- oder Zugriffshandlung,
- Anbieter und Zweck,
- erforderliche Information und gegebenenfalls Einwilligung,
- mögliche Ausnahme für Nachrichtenübertragung oder unbedingt erforderlichen ausdrücklich gewünschten digitalen Dienst,
- nachgelagerte Verarbeitung personenbezogener Daten und deren DSGVO-Rechtsgrundlage,
- Empfänger, Drittanbieter, Laufzeit und Widerruf.
Eine Einstufung als „technisch notwendig“ wird nicht allein aus der Bezeichnung eines Cookies, SDK oder Dienstes abgeleitet.
¶ 14. Automatisierte Entscheidungen und Profiling
Zusätzlich zur allgemeinen Rechtsgrundlage wird geprüft, ob Artikel 22 DSGVO betroffen ist. Das Kataster verweist auf:
- Zweck, Logik und verwendete Daten,
- rechtliche oder ähnlich erhebliche Wirkung,
- mögliche gesetzliche, vertragliche oder ausdrückliche Einwilligungsgrundlage,
- besondere Daten und zusätzliche Voraussetzungen,
- menschliches Eingreifen, Darlegung des Standpunkts und Anfechtung,
- Transparenz, Tests, Fehlerfolgen, Diskriminierungs- und DSFA-Prüfung.
Die bloße Bezeichnung „KI-Unterstützung“ oder „keine Vollautomatisierung“ ersetzt keine Prüfung des tatsächlichen Entscheidungsprozesses.
¶ 15. Zweckänderung
Soll eine Verarbeitung für einen neuen Zweck fortgeführt werden, wird vorab geprüft:
- Deckt die ursprüngliche Rechtsgrundlage den neuen Zweck bereits ab?
- Liegt eine neue Einwilligung oder eine besondere gesetzliche Regelung vor?
- Falls Artikel 6 Absatz 4 einschlägig ist: Wie verhalten sich ursprünglicher und neuer Zweck zueinander?
- In welchem Erhebungskontext wurden die Daten gewonnen?
- Welche Art von Daten und welche möglichen Folgen sind betroffen?
- Welche Garantien, insbesondere Verschlüsselung oder Pseudonymisierung, bestehen?
- Welche Information und Rechte sind neu auszulösen?
Das Ergebnis wird in der Seite Zweckänderung und Kompatibilitätsprüfung vertieft und im VVT nachgeführt.
¶ 16. Weitere Zulässigkeitsprüfungen
Eine bestätigte Rechtsgrundlage ersetzt nicht:
- Einhaltung der Datenschutzgrundsätze nach Artikel 5,
- Informationspflichten nach Artikel 13 und 14,
- Betroffenenrechte einschließlich Widerspruch nach Artikel 21,
- Auftragsverarbeitungs- und Rollenprüfung,
- Drittlandtransferprüfung,
- Lösch- und Aufbewahrungsregeln,
- angemessene TOM und Wirksamkeitsnachweise,
- Risikobewertung und gegebenenfalls DSFA,
- sektorspezifische Kommunikations-, Berufsgeheimnis- oder Wettbewerbsregeln.
Rechtmäßigkeit wird als Gesamtsystem geprüft und nicht aus einem einzelnen Katasterfeld abgeleitet.
¶ 17. Pflichtfelder des Rechtsgrundlagenkatasters
| Feld | Inhalt |
|---|---|
| Prüf-ID | eindeutige Referenz |
| VVT-ID / Verarbeitung | Verbindung zum führenden VVT |
| Verantwortlicher / Rolle | rechtlich verantworteter Kontext |
| konkreter Zweck | verständliche, abgegrenzte Zielsetzung |
| Verarbeitungsschritte | Erhebung, Speicherung, Nutzung, Offenlegung und Löschung |
| Betroffene / Daten | Personengruppen und Datenkategorien |
| mögliche Rechtsgrundlage | Artikel, Buchstabe und konkrete ergänzende Norm |
| Tatbestandsprüfung | Voraussetzungen und tatsächliche Fakten |
| Erforderlichkeit | Beitrag, Alternativen und Datenminimierung |
| Zusatzprüfung | Artikel 9, 10, 22, BDSG, TDDDG, Transfer oder Fachrecht |
| Transparenz / Rechte | Informationspflicht, Einwilligung, Widerruf, Widerspruch und weitere Rechte |
| Nachweise / Quellen | geschützte Referenzen und amtliche Quellen |
| Ergebnis | freigegeben, abgelehnt, offen oder Überarbeitung erforderlich |
| Owner / Prüfende | fachliche und rechtliche Verantwortung |
| Stand / Review | Version, Entscheidung und nächster Prüftermin |
¶ 17.1 Sechs getrennte Steuerungsobjekte
Eine belastbare Prüfakte trennt die folgenden Objekte. Dadurch bleiben Änderungen gezielt nachführbar und es entsteht nicht ein einziges unlesbares Freitextfeld.
| Steuerungsobjekt | Inhalt | Führende Stelle oder Ablage |
|---|---|---|
| Sachverhaltsakte | tatsächlicher Prozess, Datenfluss, Systeme, Personen, Empfänger und Rollen | Prozesseigner mit VVT- und Systemreferenz |
| Rechtsgrundlagenprüfung | Artikel-6-Tatbestand, Fakten, Erforderlichkeit, Quelle und Ergebnis | Rechts- beziehungsweise befugte Datenschutzrolle |
| Vertiefungsnachweis | Einwilligungsprüfung, Interessenabwägung, Vertragsnotwendigkeit oder gesetzliche Pflicht | geschützte Prüfakte mit eigener Version |
| Zusatzrechtsprüfung | Artikel 9, 10 und 22, BDSG, TDDDG, Fach- und Transferrecht | Rechtsfunktion und zuständige Spezialrollen |
| Umsetzungsnachweis | Hinweise, Einwilligungssteuerung, Widerspruch, Zugriffe, Löschung, Konfiguration und Tests | Fachbereich, IT, Datenschutz- und ISMS-Schnittstelle |
| Entscheidungs- und Reviewprotokoll | Freigabe, Auflagen, Ablehnung, Restfragen, Frist, Trigger und Wirksamkeitskontrolle | befugte Freigaberolle und Datenschutzkoordination |
¶ 17.2 Mindestinhalt einer Entscheidung
Jede Entscheidung enthält mindestens Prüf-ID, VVT-ID, abgegrenzten Zweck, gewählte oder verworfene Grundlage, tragende Fakten, Rechtsquelle mit Abruf- oder Fassungsstand, Erforderlichkeitsurteil, Zusatzprüfungen, umzusetzende Bedingungen, verbleibende Unsicherheiten, fachlich Prüfende, Freigaberolle und nächsten Review. Auch eine Ablehnung wird dokumentiert; sie darf nicht durch Löschen des Prüfdatensatzes unsichtbar werden.
¶ 18. Leeres Registermuster
Strukturmuster: Die Tabelle enthält keine freigegebenen Rechtsgrundlagen. Reale rechtliche Bewertungen und Nachweise werden in einer geschützten, gelenkten Ablage geführt.
| Prüf-ID | VVT-ID | Zweck | mögliche Grundlage | Zusatzprüfung | Owner | Ergebnis | nächster Review | Nachweisreferenz |
|---|---|---|---|---|---|---|---|---|
[RB-XXX] |
[VVT-XXX] |
[konkreter Zweck] |
[Artikel / Norm] |
[Art. 9/10/22, BDSG, TDDDG usw.] |
[Rolle] |
Offen |
[Datum] |
[geschützte Referenz] |
¶ 19. Unbewertete Musterprüffälle
Keine Rechtsentscheidung: Die folgenden Zeilen zeigen nur, welche Prüffragen ein Kataster auslösen kann. Sie bestätigen keine Zulässigkeit und dürfen nicht ungeprüft übernommen werden.
| Musterfall | mögliche Ausgangsprüfung | zusätzlich zu klären | Status |
|---|---|---|---|
| Vertragsabwicklung mit natürlicher Person | Artikel 6 Absatz 1 Buchstabe b | tatsächliche Vertragspartei, Erforderlichkeit, optionale Zwecke, Fristen | Offen |
| geschäftliche Ansprechpartner eines Firmenkunden | Artikel 6 Absatz 1 Buchstabe f oder andere konkrete Grundlage | Erwartungen, Interessenabwägung, Widerspruch, Empfänger | Offen |
| Bewerbungsmanagement | § 26 BDSG und Artikel 6 | Prozessphase, erforderliche Daten, Einwilligungsausnahmen, Löschung | Offen |
| krankheitsbezogene Personalverwaltung | Artikel 9 Absatz 2 plus konkrete Rechtsgrundlage | Geheimhaltung, Zugriffe, Erforderlichkeit, Fristen | Offen |
| Sicherheitsprotokollierung | Artikel 6 Absatz 1 Buchstabe f oder konkrete Pflicht | Interessenabwägung, Beschäftigtenbezug, Speicherfrist, Zweckgrenze | Offen |
| nicht unbedingt erforderliche Website-Technologie | § 25 Absatz 1 TDDDG plus DSGVO-Grundlage | Information, Einwilligung, Anbieter, Widerruf, Drittlandzugriff | Offen |
¶ 20. Status- und Entscheidungsmodell
| Status | Bedeutung |
|---|---|
| Erhebung offen | Zweck, Fakten oder Datenflüsse sind unvollständig |
| In fachlicher Prüfung | Prozesseigner bestätigt Zweck und tatsächliche Verarbeitung |
| In rechtlicher Prüfung | Voraussetzungen und Rechtsquellen werden bewertet |
| Rückfrage / Nachweis fehlt | Entscheidung ist wegen offener Fakten nicht möglich |
| Freigegeben | konkrete Grundlage und Voraussetzungen wurden befugt bestätigt |
| Freigegeben mit Auflagen | Zulässigkeit setzt dokumentierte Maßnahmen oder Grenzen voraus |
| Abgelehnt | vorgesehene Verarbeitung ist auf dieser Grundlage nicht zulässig |
| Überarbeitung erforderlich | Sachverhalt, Recht oder Maßnahme hat sich wesentlich geändert |
| Beendet / archiviert | Zweck beziehungsweise Verarbeitung ist beendet; historische Entscheidung geschützt |
Ein freigegebener Katastereintrag belegt die dokumentierte Rechtsprüfung, nicht automatisch die tatsächliche Einhaltung aller Bedingungen im Betrieb.
¶ 21. Änderungs- und Reviewauslöser
Eine erneute Prüfung erfolgt insbesondere bei:
- neuem oder geändertem Zweck,
- neuen Daten, Betroffenengruppen oder Verarbeitungsschritten,
- neuem Empfänger, Dienstleister oder Drittlandzugriff,
- geändertem Vertrag, Gesetz oder Behördenhinweis,
- Widerrufsmustern, Widersprüchen oder Beschwerden,
- neuer Profilbildung oder automatisierter Entscheidung,
- geänderter Interessenabwägung oder Schutzmaßnahme,
- Vorfällen, Audits oder festgestellter Zwecküberschreitung,
- Wechsel von Verantwortlichkeit oder Rollenmodell,
- Beendigung der Verarbeitung.
¶ 21.1 Anlassbezogene Steuerung
| Ereignis | Sofortmaßnahme | zu prüfende Artefakte | Freigabepunkt |
|---|---|---|---|
| neuer Zweck oder neue Datenverwendung | Nutzung bis zur Bewertung nicht produktiv ausweiten | Kataster, VVT, Zweckänderungsprüfung, Hinweise und DSFA-Schwelle | Entscheidung vor Beginn |
| neue Software, KI-Funktion oder Tracking-Komponente | Datenfluss und Konfiguration erfassen; Voreinstellung begrenzen | Artikel 6, 22, TDDDG, Dienstleister, Transfer, TOM und Transparenz | Datenschutz-/Rechts- und Systemfreigabe |
| neue Rechtsnorm oder Behördenhinweis | betroffene Prüfdatensätze identifizieren und priorisieren | Quellenstand, Tatbestand, Auflagen, Hinweise und Verträge | dokumentierte Neubewertung |
| Widerruf, Widerspruch oder Beschwerdemuster | operative Verarbeitung und Sperrlogik kontrollieren | Rechtsgrundlage, Wahlmöglichkeit, Rechteprozess, Empfänger und Löschung | Abweichungsentscheidung und Maßnahme |
| Auditabweichung oder Datenschutzverletzung | betroffene Zwecke, Daten und Schutzmaßnahmen sichern | Kataster, VVT, Risiken, TOM, Nachweise und Lessons Learned | Wirksamkeitsprüfung vor Abschluss |
| Verarbeitung wird beendet | Nutzung stoppen, Aufbewahrung und Löschung steuern | Katasterstatus, Löschregeln, Systeme, Dienstleister und Archiv | Abschluss- und Löschbestätigung |
Ein Review wird erst abgeschlossen, wenn notwendige Änderungen in den verbundenen Artefakten nachweisbar umgesetzt sind. Eine neue Jahreszahl im Kataster allein ist keine inhaltliche Prüfung.
¶ 22. Rollen und Freigabe
| Aufgabe | Verantwortung |
|---|---|
| Zweck und tatsächlichen Prozess beschreiben | Prozesseigner / Fachbereich |
| Datenflüsse, Systeme und Empfänger bestätigen | System-, Service- und Prozessverantwortliche |
| Rechtsquellen und Tatbestand prüfen | Rechtsfunktion / befugte Datenschutzrolle |
| beraten und Einhaltung überwachen | Datenschutzbeauftragte/r, sofern benannt |
| Interessenabwägung fachlich vorbereiten | Prozesseigner und Datenschutzkoordination |
| Maßnahmen, Rechte und technische Grenzen umsetzen | Fachbereich, IT, ISMS und Dienstleistersteuerung |
| formale Entscheidung und Ressourcen | Geschäftsführung oder dokumentierte Freigaberolle |
| Kataster, Termine und Konsistenz pflegen | Datenschutzkoordination |
Die Datenschutzbeauftragtenrolle berät und überwacht unabhängig. Die Verantwortung für die Rechtmäßigkeit der Verarbeitung verbleibt beim Verantwortlichen.
¶ 23. Schutz und Nachweisführung
Geschützt geführt werden insbesondere:
- vollständige Interessenabwägungen,
- Vertrags- und Gesetzesanalysen,
- Einwilligungs- und Widerrufsnachweise,
- Einzelfallbewertungen zu Beschäftigten-, Gesundheits- oder Strafdaten,
- interne Rechtsauskünfte und vertrauliche Sachverhalte,
- Freigaben, Auflagen, Ablehnungen und abweichende Entscheidungen,
- Prüf- und Wirksamkeitsnachweise der auferlegten Schutzmaßnahmen.
Das öffentliche Wiki enthält Methodik, leere Struktur und offene Mustersachverhalte. Es veröffentlicht keine vertraulichen Rechtsbewertungen oder realen Einzelfälle.
¶ 23.1 Kontrollen und Kennzahlen
| Kontrolle oder Kennzahl | Aussage | Mindestnachweis | Warnsignal |
|---|---|---|---|
| Anteil VVT-Zwecke mit freigegebener Prüf-ID | Abdeckung des Katasters | VVT-/Katasterabgleich | Zweck ohne oder mit mehrfach widersprüchlicher Grundlage |
| überfällige Reviews und offene Auflagen | Aktualität und Steuerung | Termin- und Maßnahmenliste | produktive Verarbeitung trotz abgelaufener oder offener Entscheidung |
| Konsistenzstichprobe | Übereinstimmung von VVT, Kataster, Hinweis, Vertrag und System | dokumentierte Stichprobe mit Abweichungen | andere Zwecke oder Empfänger im System als in der Freigabe |
| Widerrufs- und Widerspruchstest | tatsächliche Durchsetzung von Wahlrechten | Ende-zu-Ende-Test einschließlich Empfänger und Folgesysteme | Verarbeitung läuft nach wirksamem Widerruf oder Widerspruch weiter |
| Einhaltung von Auflagen | Wirksamkeit kompensierender Maßnahmen | Konfigurations-, Zugriffs-, Lösch- oder Schulungsnachweis | Auflage steht nur im Prüftext |
| Änderungsfrüherkennung | Einbindung des Datenschutzes in Changes und Einkauf | Stichprobe aus Projekten, Beschaffungen und Releases | neue Funktion ohne Kataster- und VVT-Review |
Kennzahlen dienen der Steuerung. Ein hoher Abdeckungswert beweist keine richtige Rechtsgrundlage; Stichproben müssen Inhalt und tatsächliche Umsetzung prüfen.
¶ 24. Verknüpfte Seiten
| Seite | Funktion |
|---|---|
| DSGVO-Startseite | Navigation und dokumentierter Gesamtstatus |
| Geltungsbereich und Verantwortliche | Rechtsträger, Rollen und Scope |
| Verzeichnis von Verarbeitungstätigkeiten | führende Verarbeitungstätigkeiten und Zwecke |
| VVT-Explorer | Demonstration mit ausschließlich erfundenen Musterdaten |
| Dokumenten- und Nachweislenkung | Freigabe, Versionierung, Schutz und Aufbewahrung |
| Rollen und Verantwortlichkeiten | Befugnisse, Prüfung und Eskalation |
Weitere vorhandene Vertiefungen:
- Einwilligungsmanagement – Erteilung, Nachweis, technische Steuerung und Widerruf
- Informationspflichten
- Zweckänderung und Kompatibilitätsprüfung
- Besondere Kategorien und Strafdaten
- Kinder und Schutzbedürftige
/DSGVO/04-Auftragsverarbeitung-und-Drittland/Drittlandtransfers
¶ 25. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei VVT, Rechtsgrundlagen, Interessenabwägungen und nachvollziehbarer Datenschutzdokumentation
| SMCT-Information | Beschreibung |
|---|---|
| Datenschutzmanagement | Verarbeitungen, Zwecke, Rechtsgrundlagen, Risiken und Nachweise verbinden |
| Datenschutz-Leistungen | Unterstützung bei Aufbau und Weiterentwicklung der Datenschutzorganisation |
| Pflichten von Verantwortlichen und Auftragsverarbeitern | Verantwortung und Rechenschaftspflicht einordnen |
Erstgespräch unter info@smct-management.de vereinbaren
Die SMCT-Links sind ergänzende Fach- und Leistungsinformationen. Maßgeblich bleiben die amtlichen Rechtsquellen und die Prüfung des tatsächlichen Einzelfalls.
¶ 26. Offizielle Quellen
- Datenschutz-Grundverordnung bei EUR-Lex
- Bundesdatenschutzgesetz
- § 26 BDSG – Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses
- § 25 TDDDG – Schutz der Privatsphäre bei Endeinrichtungen
- Datenschutzkonferenz – Orientierungshilfen der deutschen Aufsichtsbehörden
¶ 26.1 Typische Fehlentscheidungen
| Fehlentscheidung | Warum sie problematisch ist | Korrektur |
|---|---|---|
| „Artikel 6 DSGVO“ ohne Buchstabe und Tatbestand | keine überprüfbare Erlaubnisentscheidung | Zweckbezogene Grundlage und Voraussetzungen dokumentieren |
| mehrere Grundlagen „vorsorglich“ ankreuzen | verdeckt fehlende Entscheidung und unterschiedliche Rechtefolgen | tragende Grundlage je Zweck bestimmen; Alternativen begründet verwerfen |
| Vertrag für jede Kundenverarbeitung | Artikel 6 Absatz 1 Buchstabe b verlangt Erforderlichkeit und die betroffene Person als Vertragspartei | Leistung, Partei und notwendigen Verarbeitungsschritt konkret prüfen |
| Einwilligung trotz Abhängigkeit oder ohne Widerrufsprozess | Freiwilligkeit und tatsächliche Kontrolle können fehlen | Wahlmöglichkeit, Kopplung, Nachweis und Ende-zu-Ende-Widerruf prüfen |
| berechtigtes Interesse nur benennen | Interesse, Erforderlichkeit und Abwägung bleiben unbelegt | dreistufige Prüfung mit Gegenargumenten und Schutzmaßnahmen durchführen |
| besondere Daten nur mit Artikel 6 führen | das Verbot nach Artikel 9 Absatz 1 bleibt unberücksichtigt | zusätzliche Ausnahme und gegebenenfalls nationale Norm exakt prüfen |
| Cookie-Einwilligung mit DSGVO-Rechtsgrundlage gleichsetzen | Endgerätezugriff und nachgelagerte Verarbeitung sind getrennte Prüfungen | § 25 TDDDG und DSGVO je Verarbeitungsschritt dokumentieren |
| Jahresreview ohne Prozessabgleich | formale Aktualität verdeckt reale Änderungen | VVT, Hinweise, System, Vertrag und Nachweise stichprobenartig vergleichen |
¶ 26.2 Noch organisationsbezogen festzulegen
In diesem Muster bleiben bewusst offen:
- verbindliches Registersystem und geschützte Ablage für Prüfakten,
- Freigabegrenzen zwischen Fachbereich, Rechtsfunktion, Datenschutzkoordination und Geschäftsführung,
- Pflichtbeteiligung bei Artikel 9, 10, 22, Beschäftigtendaten, Tracking, KI und Drittlandbezug,
- Fristen, Eskalationsstufen und Stopprechte bei fehlender oder abgelehnter Grundlage,
- verantwortliche Rollen für Rechtsmonitoring und die Zuordnung betroffener Einträge,
- Mindestumfang von Stichproben, Widerrufs-, Widerspruchs- und Systemtests,
- verbindliche Schnittstelle zu Projekt-, Beschaffungs-, Change- und Löschprozessen.
Bis zur Festlegung und Freigabe dürfen diese Punkte nicht als umgesetzt dargestellt werden.
¶ 27. Freigabeprüfung
- Ist jeder Prüfdatensatz einer vorhandenen VVT-ID und einem konkreten Zweck zugeordnet?
- Sind Verantwortlicher, betroffene Personen, Daten und Verarbeitungsschritte korrekt abgegrenzt?
- Wurde die Rechtsgrundlage erst nach Beschreibung des tatsächlichen Zwecks ausgewählt?
- Sind sämtliche Tatbestandsvoraussetzungen und die Erforderlichkeit nachvollziehbar geprüft?
- Sind bei Artikel 6 Absatz 1 Buchstabe f Interesse, Erforderlichkeit, Abwägung und Schutzmaßnahmen dokumentiert?
- Sind Artikel 9, Artikel 10, Beschäftigtendaten, TDDDG, automatisierte Entscheidungen und Transfers zusätzlich geprüft?
- Stimmen Kataster, VVT, Datenschutzhinweise, Einwilligungen, Verträge und operative Systeme überein?
- Sind Widerruf, Widerspruch, Zweckänderung, Löschung und Betroffenenrechte umsetzbar?
- Sind Rechtsquellen, Prüfende, Freigabe, Auflagen und Reviewtermin dokumentiert?
- Werden vertrauliche Bewertungen und Nachweise geschützt geführt?
Eine gespeicherte oder freigegebene Katasterzeile bestätigt nicht automatisch, dass die tatsächliche Verarbeitung alle dokumentierten Voraussetzungen dauerhaft einhält. Dies muss durch Prozess-, System- und Kontrollnachweise belegt werden.
¶ 28. Änderungshistorie und Freigabe
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.2 | 09.08.2026 | Operative Überarbeitung mit fünfstufiger Nachweiskette, zweiter SVG-Grafik, interaktivem Erstzuordnungs-Navigator, getrennten Steuerungsobjekten, Mindestinhalt der Entscheidung, Anlassmatrix, Kontrollen, Kennzahlen, Fehlentscheidungen, offenen Organisationsfestlegungen und extern öffnenden amtlichen Quellen | Datenschutzkoordination / Musterrolle | Ausstehend | – |
| 0.1 | 08.08.2026 | Erste Musterfassung mit Artikel-6-Prüfung, Einwilligung, Vertrag, gesetzlichen Pflichten, Interessenabwägung, Artikel-9-/10-Daten, Beschäftigtendaten, TDDDG, automatisierten Entscheidungen, Zweckänderung, leerem Register, offenen Musterfällen, SEO-Beschreibung, SVG sowie amtlichen und SMCT-Links | Datenschutzkoordination / Musterrolle | Ausstehend | – |