Inhaltsverzeichnis

• Einleitung
• Fotos von Mitarbeitenden sind personenbezogen
• Warum der Arbeitsvertrag nicht ausreicht
• Typische Fälle aus der Praxis
• Statistik: Viele Unternehmen haben Schwierigkeiten mit Bilddaten im Datenschutz
• Was Unternehmen bei Fotos von Mitarbeitenden beachten sollten
• Fazit: Teamseiten sind erlaubt – aber nicht automatisch
• Handlungsempfehlung
• Ausblick

Einleitung

Viele Unternehmen möchten ihr Team auf der Website vorstellen. Teamseiten mit Fotos, Namen und Funktionen wirken persönlich und schaffen Vertrauen bei Kunden. Doch genau hier entsteht häufig ein datenschutzrechtlicher Irrtum. Viele Arbeitgeber gehen davon aus, dass Fotos von Mitarbeitenden automatisch erlaubt sind – schließlich besteht ein Arbeitsverhältnis. Tatsächlich gilt jedoch: Ein Arbeitsvertrag ersetzt keine Einwilligung.

Fotos von Mitarbeitenden sind personenbezogen

Fotos von Mitarbeitenden gehören zu den personenbezogenen Daten im Sinne der DSGVO. Sobald ein Foto auf einer Website, in sozialen Netzwerken oder in einem Blogbeitrag veröffentlicht wird, handelt es sich um eine Verarbeitung personenbezogener Daten. Damit diese Verarbeitung zulässig ist, muss eine rechtliche Grundlage vorliegen. In den meisten Fällen ist das die ausdrückliche Einwilligung der betroffenen Person.

Warum der Arbeitsvertrag nicht ausreicht

Der Einsatz von Tools aus den USA ist grundsätzlich möglich, abDas Arbeitsverhältnis allein stellt in der Regel keine ausreichende Rechtsgrundlage dar, um Mitarbeiterfotos öffentlich zu veröffentlichen. Der Grund dafür ist das sogenannte Abhängigkeitsverhältnis im Arbeitsverhältnis. Mitarbeitende könnten sich unter Druck gesetzt fühlen, einer Veröffentlichung zuzustimmen. Deshalb verlangt der Datenschutz hier eine besonders klare und freiwillige Einwilligung.

Diese Einwilligung muss:

• freiwillig erfolgen
• informiert sein
• konkret formuliert sein
• jederzeit widerrufbar sein

Besonders wichtig: Mitarbeitende können ihre Einwilligung jederzeit zurückziehen.

Typische Fälle aus der Praxis

In Unternehmen tauchen Mitarbeiterfotos an vielen Stellen auf, zum Beispiel:

• Teamseiten auf der Website
• Mitarbeiterporträts im Blog
• Social-Media-Beiträge über das Team
• Vorstellungsbeiträge auf LinkedIn oder Instagram
• Bilder von Events oder Firmenveranstaltungen

Gerade bei Social Media wird häufig vergessen, dass auch hier dieselben Datenschutzregeln gelten.

Statistik: Viele Unternehmen haben Schwierigkeiten mit Bilddaten im Datenschutz

Eine Umfrage mit 350 Kommunikations- und HR-Fachleute zum Umgang mit Bilddaten zeigt, dass viele Organisationen Schwierigkeiten haben, datenschutzrechtliche Anforderungen bei Fotos umzusetzen. Nur etwa 32 % der Organisationen geben an, Anfragen zum Zugriff oder zur Löschung gespeicherter Bilder – etwa Fotos von Mitarbeitenden – schnell und einfach bearbeiten zu können.

Das bedeutet im Umkehrschluss, dass rund 68 % der Befragten Schwierigkeiten haben, solche Anfragen effizient umzusetzen. Gerade deshalb ist ein strukturierter Umgang mit Bilddaten im Unternehmen wichtig.

Quelle: FotoWare – GDPR Report on Images and Employee Data (2024)
https://www.fotoware.com/blog/gdpr-report-images-employees

Was Unternehmen bei Fotos von Mitarbeitenden beachten sollten

Damit Teamseiten und Bilder von Mitarbeitenden datenschutzkonform genutzt werden können, sollten Unternehmen einige Punkte beachten:

• Einwilligung der Mitarbeitenden einholen
• Zweck der Veröffentlichung klar erklären
• Widerruf jederzeit ermöglichen
• Löschung nach Austritt aus dem Unternehmen prüfen
• Bilder regelmäßig überprüfen

Besonders wichtig ist eine klare Dokumentation der Einwilligung.

Fazit: Teamseiten sind erlaubt – aber nicht automatisch

Der Mythos „Ich darf alle Mitarbeitenden einfach mit Namen und Foto auf der Website zeigen“ hält sich in vielen Unternehmen. Doch Fotos von Mitarbeitenden dürfen in der Regel nur mit einer ausdrücklichen Einwilligung der betroffenen Person veröffentlicht werden. Unternehmen sollten deshalb sorgfältig prüfen, auf welcher Grundlage Fotos genutzt werden und wie sie mit Widerrufen oder Austritten umgehen. Wer hier klare Prozesse schafft, kann Teamseiten weiterhin sinnvoll nutzen – ohne datenschutzrechtliche Risiken.

Handlungsempfehlung

Überprüfen Sie Ihre Website und Social-Media-Kanäle darauf, ob Fotos von Mitarbeitenden veröffentlicht sind und ob dafür eine dokumentierte Einwilligung vorliegt. Ein klarer Prozess für Einwilligungen und Widerrufe hilft dabei, Datenschutzanforderungen zuverlässig einzuhalten.

Ausblick

Im nächsten Beitrag unserer Serie „Mythen & Irrtümer im Datenschutz“ klären wir eine weitere verbreitete Annahme:

„Ich brauche kein Verzeichnis der Verarbeitungstätigkeiten – wir sind doch nur 3 Leute.“

Warum auch kleine Unternehmen ihre Datenverarbeitung dokumentieren müssen und weshalb diese Pflicht schneller greift als gedacht, erklären wir im nächsten Artikel.

Noch mehr Praxiswissen?
Erfahren Sie in unserem Blogbeitrag, wie Unsere Vorgehensmethodik zur Datenschutz-Grundverordnung (DSGVO) ist – In diesem Blogbeitrag erläutern wir unsere simple Vorgehensmethodik zur Datenschutz-Grundverordnung in drei Phasen: Analysephase, Umsetzungsphase und Integrationsphase.

Der Beitrag Ich darf alle Mitarbeitenden einfach mit Namen und Foto auf der Website zeigen. erschien zuerst auf SIMPLY PM.

Inhaltsverzeichnis

• Einleitung
• Warum US-Tools datenschutzrechtlich problematisch sein können
• Welche Anforderungen gelten bei US-Tools
• Statistik: Viele Unternehmen sehen bei digitalen Tools noch Datenschutzprobleme
• Typische Beispiele für US-Tools im Unternehmensalltag
• Fazit: „Macht doch jeder“ ist keine rechtliche Grundlage
• Handlungsempfehlung
• Ausblick

Einleitung

Viele Unternehmen setzen auf bekannte Tools aus den USA – etwa für Analyse, Marketing oder Kundenmanagement.
Was dabei oft übersehen wird: Der Einsatz dieser Dienste ist datenschutzrechtlich nicht automatisch unproblematisch. Denn gerade bei US-Tools können personenbezogene Daten in sogenannte Drittländer übertragen werden. Dafür gelten nach der DSGVO besondere Anforderungen.

Typische Beispiele sind:

• Google Analytics
• Meta- bzw. Facebook-Tools
• Mailchimp
• Cloud-Dienste
• Marketing- oder CRM-Systeme

Oft hört man in diesem Zusammenhang den Satz:
„Das nutzen doch alle, dann wird es schon erlaubt sein.“

Doch genau hier liegt ein häufiger Irrtum. Denn nur weil ein Tool weit verbreitet ist, bedeutet das noch lange nicht, dass dessen Nutzung automatisch DSGVO-konform ist.

Warum US-Tools datenschutzrechtlich problematisch sein können

UViele bekannte Online-Dienste stammen aus den USA. Bei ihrer Nutzung kann es passieren, dass personenbezogene Daten in sogenannte Drittländer außerhalb der EU bzw. des Europäischen Wirtschaftsraums (EWR) übertragen werden. Genau hier greift die DSGVO. Denn personenbezogene Daten dürfen nur dann in ein Drittland übertragen werden, wenn dort ein angemessenes Datenschutzniveau gewährleistet ist.

Das bedeutet: Unternehmen müssen prüfen, ob zusätzliche Schutzmaßnahmen notwendig sind.

Welche Anforderungen gelten bei US-Tools

Der Einsatz von Tools aus den USA ist grundsätzlich möglich, aber nicht automatisch zulässig. Unternehmen müssen verschiedene Punkte prüfen, zum Beispiel:

• ob ein Angemessenheitsbeschluss besteht
• ob Standardvertragsklauseln (SCC) abgeschlossen wurden
• welche technischen und organisatorischen Maßnahmen (TOMs) umgesetzt sind
• welche Daten überhaupt übertragen werden
• ob Nutzer transparent informiert werden

Fehlen diese Maßnahmen, kann die Nutzung eines Tools schnell zu einem Datenschutzverstoß führen.t oder Qualitätsmanagement.

Statistik: Viele Unternehmen sehen bei digitalen Tools noch Datenschutzprobleme

Eine Untersuchung des Digitalverbands Bitkom zeigt, dass Datenschutz für viele Unternehmen weiterhin eine Herausforderung darstellt. 65 % der Unternehmen in Deutschland geben an, die DSGVO vollständig oder weitgehend umgesetzt zu haben. Gleichzeitig zeigen die Ergebnisse der Studie, dass viele Unternehmen insbesondere bei digitalen Tools und externen Dienstleistern weiterhin Unsicherheiten im Datenschutz sehen.

Die Studie verdeutlicht, dass gerade bei der Nutzung externer Dienste – etwa Marketing-Tools, Analyse-Tools oder Cloud-Services – häufig noch Klärungsbedarf besteht. Das zeigt: Der Einsatz internationaler Tools ist in der Praxis weit verbreitet, erfordert aber eine sorgfältige datenschutzrechtliche Prüfung.

Quelle: Bitkom – „5 Jahre DSGVO: nur Note ausreichend“
https://www.bitkom.org/Presse/Presseinformation/5-Jahre-DS-GVO-nur-Note-ausreichend

Typische Beispiele für US-Tools im Unternehmensalltag

Viele Unternehmen setzen Tools ein, ohne sich bewusst zu sein, dass dabei personenbezogene Daten übertragen werden.

Beispiele sind:

• Website-Analyse über Tracking-Tools
• Newsletter-Software
• Social-Media-Plugins
• Cloud-Speicherlösungen
• Online-Marketing-Plattformen

Sobald personenbezogene Daten verarbeitet oder übertragen werden, greifen die Anforderungen der DSGVO.

Fazit: „Macht doch jeder“ ist keine rechtliche Grundlage

Der Mythos „Ich nutze nur Tools aus den USA – das macht doch jeder“ hält sich hartnäckig. Doch Datenschutz richtet sich nicht danach, was viele Unternehmen tun, sondern danach, was rechtlich zulässig ist. Gerade bei internationalen Diensten müssen Unternehmen prüfen, ob geeignete Datenschutzmaßnahmen bestehen und ob Nutzer transparent informiert werden. Wer Tools bewusst auswählt und datenschutzkonform einsetzt, kann digitale Dienste weiterhin sinnvoll nutzen – ohne rechtliche Risiken einzugehen.

Handlungsempfehlung

Überprüfen Sie regelmäßig, welche Tools in Ihrem Unternehmen eingesetzt werden und ob dabei personenbezogene Daten in Drittländer übertragen werden. Ein kurzer Datenschutzcheck hilft dabei, mögliche Risiken frühzeitig zu erkennen und geeignete Maßnahmen umzusetzen.

Ausblick

Im nächsten Beitrag unserer Serie „Mythen & Irrtümer im Datenschutz“ klären wir eine weitere häufige Annahme:

„Ich darf alle Mitarbeitenden einfach mit Namen und Foto auf der Website zeigen.“

Warum Mitarbeiterfotos nicht automatisch erlaubt sind, weshalb eine Einwilligung erforderlich ist und worauf Unternehmen bei Teamseiten und Social Media achten müssen, erklären wir im nächsten Artikel.

Noch mehr Praxiswissen?
Erfahren Sie in unserem Blogbeitrag, wie Unsere Vorgehensmethodik zur Datenschutz-Grundverordnung (DSGVO) ist – In diesem Blogbeitrag erläutern wir unsere simple Vorgehensmethodik zur Datenschutz-Grundverordnung in drei Phasen: Analysephase, Umsetzungsphase und Integrationsphase.

Der Beitrag US-Tools und DSGVO: Darf ich einfach Dienste aus den USA verwenden? erschien zuerst auf SIMPLY PM.

Inhaltsverzeichnis

• Einleitung
• Datenschutz verändert sich ständig
• Die DSGVO verlangt laufende Überprüfung
• Warum regelmäßige Datenschutzprüfungen sinnvoll sind
• Statistik: Datenschutz bleibt für Unternehmen ein Dauerprozess
• Fazit: Datenschutz ist ein laufender Prozess
• Handlungsempfehlung
• Ausblick

Einleitung

Viele Unternehmen betrachten Datenschutz als einmaliges Projekt.
Es wird eine Datenschutzerklärung erstellt, ein paar Dokumente werden abgelegt – und danach gilt das Thema als abgeschlossen. Doch genau hier liegt ein weit verbreiteter Irrtum.

Denn Datenschutz ist kein einmaliges Projekt, sondern ein laufender Prozess, der regelmäßig überprüft und angepasst werden muss.

Datenschutz verändert sich ständig

Unternehmen entwickeln sich weiter – und damit auch die Verarbeitung personenbezogener Daten.

Folgende Veränderungen im Unternehmen können neue Datenschutzanforderungen auslösen:

• neue Software oder Cloud-Dienste
• neue Marketing-Tools oder Tracking-Technologien
• neue Mitarbeitende
• neue Geschäftsmodelle oder digitale Services
• Änderungen der gesetzlichen Rahmenbedingungen

Jede dieser Veränderungen kann dazu führen, dass bestehende Datenschutzmaßnahmen angepasst oder ergänzt werden müssen.

Die DSGVO verlangt laufende Überprüfung

Die DSGVO basiert auf dem Prinzip der Rechenschaftspflicht (Artikel 5 Abs. 2 DSGVO). Das bedeutet: Unternehmen müssen jederzeit nachweisen können, dass sie die Datenschutzanforderungen einhalten. Dazu gehört auch, dass Maßnahmen regelmäßig überprüft werden.

Typische regelmäßige Datenschutzmaßnahmen sind zum Beispiel:

• interne Datenschutz-Audits
• Aktualisierung von Verarbeitungsverzeichnissen
• Überprüfung von Auftragsverarbeitungsverträgen
• Mitarbeiterschulungen
• Kontrolle technischer und organisatorischer Maßnahmen

Datenschutz muss also aktiv gepflegt werden – ähnlich wie IT-Sicherheit oder Qualitätsmanagement.

Warum regelmäßige Datenschutzprüfungen sinnvoll sind

VEin strukturierter Datenschutzprozess hilft Unternehmen dabei,

• Risiken frühzeitig zu erkennen
• gesetzliche Anforderungen einzuhalten
• Vertrauen bei Kunden und Partnern zu stärken
• Bußgelder oder Abmahnungen zu vermeiden

Gerade bei neuen Tools oder digitalen Services lohnt sich ein kurzer Datenschutzcheck, bevor diese im Unternehmen eingesetzt werden. So lassen sich Probleme vermeiden, bevor sie entstehen.

Statistik: Datenschutz bleibt für Unternehmen ein Dauerprozess

Eine aktuelle Untersuchung zeigt deutlich, dass Unternehmen Datenschutz nicht als einmalige Aufgabe sehen. 84 % der Unternehmen sind der Meinung, dass die Umsetzung der Datenschutzanforderungen nie vollständig abgeschlossen ist. Die Studie zeigt, dass Datenschutz für viele Unternehmen ein dauerhaftes Thema bleibt. Neue digitale Prozesse, gesetzliche Entwicklungen und steigende Anforderungen sorgen dafür, dass Datenschutz regelmäßig überprüft und angepasst werden muss.

Gerade deshalb setzen viele Unternehmen auf regelmäßige Datenschutzprüfungen und interne Audits, um ihre Prozesse aktuell zu halten. Quelle: Zeitung für kommunale Wirtschaft (ZFK) – „Datenschutz: Aufwand für Unternehmen nimmt zu“ 2024 https://www.zfk.de/digitalisierung/datenschutz-aufwand-fuer-unternehmen-nimmt-zu

Fazit: Datenschutz ist ein laufender Prozess

Der Mythos „Ich habe die DSGVO einmal umgesetzt – das Thema ist erledigt“ hält sich in vielen Unternehmen hartnäckig. Doch Datenschutz endet nicht mit einer einmaligen Umsetzung. Neue Technologien, organisatorische Veränderungen und gesetzliche Entwicklungen machen es notwendig, Datenschutzmaßnahmen regelmäßig zu überprüfen und anzupassen. Unternehmen, die Datenschutz als kontinuierlichen Prozess verstehen, sind langfristig besser aufgestellt – rechtlich und organisatorisch.

Handlungsempfehlung

Überprüfen Sie regelmäßig, ob Ihre Datenschutzmaßnahmen noch aktuell sind. Ein jährlicher Datenschutz-Check oder ein internes Audit kann helfen, mögliche Lücken frühzeitig zu erkennen und Prozesse zu verbessern.

Ausblick

Im nächsten Beitrag unserer Serie „Mythen & Irrtümer im Datenschutz“ klären wir eine weitere verbreitete Annahme: „Ich nutze nur Tools aus den USA – das macht doch jeder!“

Warum der Einsatz von US-Tools datenschutzrechtlich problematisch sein kann, welche Anforderungen bei Datenübermittlungen in Drittländer gelten und worauf Unternehmen achten müssen, erklären wir im nächsten Artikel.

Noch mehr Praxiswissen?
Erfahren Sie in unserem Blogbeitrag, wie Unsere Vorgehensmethodik zur Datenschutz-Grundverordnung (DSGVO) ist – In diesem Blogbeitrag erläutern wir unsere simple Vorgehensmethodik zur Datenschutz-Grundverordnung in drei Phasen: Analysephase, Umsetzungsphase und Integrationsphase.

Der Beitrag Ich habe die DSGVO einmal umgesetzt – das Thema ist erledigt. erschien zuerst auf SIMPLY PM.

Inhaltsverzeichnis

• Einleitung
• Datenminimierung ist ein Grundprinzip der DSGVO
• Fehler bei der Datenminimierung
• Warum das Speichern „für später“ problematisch ist
• Statistik: Unternehmen speichern sehr viele Daten
• Löschkonzepte werden immer wichtiger
• Fazit: Datenhorten ist keine gute Strategie
• Handlungsempfehlung
• Ausblick

Einleitung

Viele Unternehmen denken pragmatisch:
„Die Daten können wir doch einfach speichern – vielleicht brauchen wir sie später noch.“ Auf den ersten Blick wirkt das sinnvoll. Schließlich könnten Daten irgendwann noch einmal nützlich sein. Doch genau dieses Vorgehen widerspricht einem zentralen Grundsatz der DSGVO. Denn personenbezogene Daten dürfen nicht unbegrenzt gespeichert werden.

Datenminimierung ist ein Grundprinzip der DSGVO

Eines der zentralen Prinzipien der DSGVO ist die Datenminimierung, nach der nur notwendige Daten gespeichert werden dürfen.

Das bedeutet:
Unternehmen dürfen nur die Daten erheben und speichern, die tatsächlich für einen bestimmten Zweck notwendig sind. Sobald dieser Zweck erfüllt ist, müssen die Daten gelöscht oder anonymisiert werden. Ein „Speichern auf Vorrat“ ist daher nicht erlaubt.

Fehler bei der Datenminimierung

In der Praxis zeigt sich häufig, dass das Prinzip der Datenminimierung nicht korrekt umgesetzt wird:

• fehlende regelmäßige Überprüfung und Löschung unnötiger Daten
• Erhebung von mehr Daten als erforderlich
• Speicherung ohne klaren Zweck
• zu lange Aufbewahrungsfristen

Warum das Speichern „für später“ problematisch ist

Viele Unternehmen behalten Daten aus Gewohnheit oder aus Sicherheitsdenken.

Typische Beispiele sind:

• alte Bewerbungsunterlagen
• ehemalige Kundendaten
• nicht mehr benötigte Kontaktanfragen
• alte Newsletter-Abonnenten
• archivierte Formulare oder Listen

Wenn für diese Daten kein klarer Zweck mehr besteht, fehlt die rechtliche Grundlage für ihre Speicherung. Bei einer Datenschutzprüfung kann genau das zum Problem werden.

Statistik: Unternehmen speichern sehr viele Daten

Eine Untersuchung der Europäischen Kommission zeigt, wie verbreitet Datenspeicherung in Unternehmen tatsächlich ist. Mehr als 90 % der Unternehmen in der EU speichern personenbezogene Daten aus mindestens einer Quelle. Darüber hinaus geben 79 % der Unternehmen an, diese Daten auch auszuwerten oder zu analysieren.

Die Studie zeigt deutlich, wie stark Daten heute Teil wirtschaftlicher Prozesse sind. Gleichzeitig macht sie aber auch deutlich, wie wichtig ein strukturierter Umgang mit Datenspeicherung und Löschfristen ist. Denn je mehr Daten gespeichert werden, desto größer wird auch das Risiko für Datenschutzverstöße.

Quelle: EU-Kommission – Survey of Businesses on the Data Economy 2022 https://digital-strategy.ec.europa.eu/en/library/survey-businesses-data-economy-2022

Löschkonzepte werden immer wichtiger

Um den Anforderungen der DSGVO gerecht zu werden, benötigen Unternehmen klare Regeln für die Speicherung und Löschung von Daten.

Dazu gehört zum Beispiel ein Löschkonzept, das festlegt:

• welche Daten gespeichert werden
• zu welchem Zweck sie gespeichert werden
• wie lange sie gespeichert werden dürfen
• wann sie gelöscht werden müssen

Solche Regelungen helfen Unternehmen dabei, den Überblick über ihre Daten zu behalten und gleichzeitig gesetzliche Vorgaben einzuhalten.sgrundlage im jeweiligen Fall wirklich passend ist.

Fazit: Datenhorten ist keine gute Strategie

Der Mythos „Wir speichern die Daten, falls wir sie später noch brauchen“ widerspricht einem zentralen Prinzip der DSGVO. Unternehmen dürfen personenbezogene Daten nur so lange speichern, wie sie für einen bestimmten Zweck erforderlich sind. Eine klare Struktur für Aufbewahrungsfristen und Löschprozesse hilft dabei, Datenschutzrisiken zu vermeiden und gleichzeitig den Überblick über Unternehmensdaten zu behalten.

Handlungsempfehlung

Überprüfen Sie regelmäßig, welche personenbezogenen Daten in Ihrem Unternehmen gespeichert sind und ob der ursprüngliche Zweck der Speicherung noch besteht. Gerade ältere Datenbestände sollten regelmäßig geprüft und gegebenenfalls gelöscht werden. Ein strukturiertes Löschkonzept hilft Unternehmen dabei, Datenschutzanforderungen einzuhalten und unnötige Risiken zu vermeiden.

Ausblick

Im nächsten Beitrag unserer Serie „Mythen & Irrtümer im Datenschutz“ klären wir eine weitere verbreitete Annahme: „Ich habe die DSGVO einmal umgesetzt – das Thema ist erledigt.“

Warum Datenschutz ein laufender Prozess ist und nicht mit einer einmaligen Umsetzung endet, erfahren Sie im nächsten Artikel.

Noch mehr Praxiswissen?
Erfahren Sie in unserem Blogbeitrag, wie Unsere Vorgehensmethodik zur Datenschutz-Grundverordnung (DSGVO) ist – In diesem Blogbeitrag erläutern wir unsere simple Vorgehensmethodik zur Datenschutz-Grundverordnung in drei Phasen: Analysephase, Umsetzungsphase und Integrationsphase.

Der Beitrag Wir speichern die Daten, falls wir sie später noch brauchen. erschien zuerst auf SIMPLY PM.

Inhaltsverzeichnis

• Einleitung
• Was eine Einwilligung im Datenschutz bedeutet
• Häufige Fehler bei Einwilligungen
• Warum Einwilligungen oft problematisch sind
• Statistik: Viele Unternehmen setzen DSGVO-Grundsätze nicht vollständig um
• Wann eine Einwilligung wirklich sinnvoll ist
• Fazit: Eine Einwilligung ist kein Freifahrtschein
• Handlungsempfehlung
• Ausblick

Einleitung

Viele Unternehmen glauben:
„Wir haben doch eine Einwilligung eingeholt – damit sind wir auf der sicheren Seite.“ Doch so einfach ist es nicht. Denn eine Einwilligung ist im Datenschutz kein Freifahrtschein.
Sie ist nur dann wirksam, wenn sie bestimmte Voraussetzungen erfüllt. Und genau hier passieren in der Praxis viele Fehler.

Was eine Einwilligung im Datenschutz bedeutet

Eine Einwilligung ist eine Zustimmung einer betroffenen Person zur Verarbeitung ihrer personenbezogenen Daten. Damit eine Einwilligung nach der DSGVO gültig ist, muss sie bestimmte Kriterien erfüllen.

Sie muss:

• freiwillig erfolgen
• auf ausreichenden Informationen beruhen
• konkret und eindeutig formuliert sein
• jederzeit widerrufbar sein

Das bedeutet: Betroffene müssen genau wissen, wofür sie ihre Zustimmung geben – und sie müssen diese jederzeit wieder zurückziehen können.

Häufige Fehler bei Einwilligungen

In der Praxis zeigt sich häufig, dass Einwilligungen nicht korrekt umgesetzt oder rechtlich fehlerhaft verwendet werden.

Typische Beispiele sind:

• vorangekreuzte Checkboxen
• unklare oder zu allgemeine Formulierungen
• Einwilligungen ohne echte Wahlmöglichkeit
• fehlende Hinweise zum Widerruf

Auch werden Einwilligungen manchmal für Datenverarbeitungen eingeholt, für die sie gar nicht notwendig wären. Denn nicht jede Datenverarbeitung benötigt automatisch eine Einwilligung. In vielen Fällen können auch andere Rechtsgrundlagen der DSGVO greifen, etwa die Vertragserfüllung oder berechtigte Interessen.

Warum Einwilligungen oft problematisch sind

Wenn personenbezogene Daten über eine Website erhoben werden, ohne dass die entsprechenden Informationspflichten erfüllt Einwilligungen wirken auf den ersten Blick einfach:
Man fragt nach Zustimmung – und darf die Daten dann nutzen. Doch gerade weil sie so einfach erscheinen, werden sie häufig falsch umgesetzt. Wenn eine Einwilligung nicht den gesetzlichen Anforderungen entspricht, gilt sie als unwirksam.

In diesem Fall fehlt eine rechtmäßige Grundlage für die Datenverarbeitung. Das kann dazu führen, dass Unternehmen ihre Prozesse anpassen oder Daten sogar löschen müssen.

Statistik: Viele Unternehmen setzen DSGVO-Grundsätze nicht vollständig um

Eine Auswertung europäischer Datenschutzstudien zeigt, dass viele Unternehmen weiterhin Schwierigkeiten bei der Umsetzung der DSGVO haben.

So geben 48 % der Datenschutz-Fachleute in der EU an, dass Unternehmen zentrale DSGVO-Grundprinzipien nicht vollständig einhalten. Dazu gehören unter anderem Anforderungen an gültige Einwilligungen sowie Transparenz- und Informationspflichten. Diese Einschätzung zeigt, dass die korrekte Umsetzung von Einwilligungen für viele Organisationen weiterhin eine Herausforderung darstellt.

Gerade deshalb ist es wichtig, Einwilligungen sorgfältig zu gestalten und nur dort einzusetzen, wo sie tatsächlich erforderlich sind. Quelle: Statista – Tech Regulations in Europe https://www.statista.com/topics/9651/tech-regulations-in-europe/

Wann eine Einwilligung wirklich sinnvoll ist

Einwilligungen werden typischerweise benötigt bei:

• Newsletter-Anmeldungen
• Marketing-E-Mails
• Cookies und Tracking
• Veröffentlichung von Fotos
• bestimmten Marketingmaßnahmen

In anderen Fällen kann eine Datenverarbeitung auch auf einer anderen Rechtsgrundlage beruhen, zum Beispiel:

• Vertragserfüllung
• gesetzliche Verpflichtungen
• berechtigte Interessen

Deshalb sollte immer geprüft werden, welche Rechtsgrundlage im jeweiligen Fall wirklich passend ist.

Fazit: Eine Einwilligung ist kein Freifahrtschein

Der Mythos „Wenn ich eine Einwilligung habe, darf ich alles“ ist ein gefährlicher Irrtum. Eine Einwilligung ist nur dann wirksam, wenn sie freiwillig, informiert, eindeutig und widerrufbar ist. Unternehmen sollten deshalb sorgfältig prüfen, wann eine Einwilligung tatsächlich notwendig ist – und wie sie rechtssicher gestaltet werden kann.

Handlungsempfehlung

Überprüfen Sie regelmäßig, ob Ihre Einwilligungen den Anforderungen der DSGVO entsprechen. Gerade bei Newsletter-Anmeldungen, Cookies oder Marketingmaßnahmen lohnt sich ein genauer Blick auf Formulierung und Einbindung. Genderneutral: Eine rechtssichere Einwilligung reduziert rechtliche Risiken und stärkt zugleich die Transparenz gegenüber Kunden.

Ausblick

Im nächsten Beitrag unserer Serie „Mythen & Irrtümer im Datenschutz“ klären wir eine weitere verbreitete Annahme: Wir speichern die Daten einfach, falls wir sie später noch brauchen.

Warum Datenminimierung ein zentraler Grundsatz der DSGVO ist und weshalb Datenspeicherung ohne Zweck problematisch sein kann, erfahren Sie im nächsten Artikel.

Noch mehr Praxiswissen?
Erfahren Sie in unserem Blogbeitrag, wie Unsere Vorgehensmethodik zur Datenschutz-Grundverordnung (DSGVO) ist – In diesem Blogbeitrag erläutern wir unsere simple Vorgehensmethodik zur Datenschutz-Grundverordnung in drei Phasen: Analysephase, Umsetzungsphase und Integrationsphase.

Der Beitrag Mit einer Einwilligung ist jede Datenverarbeitung erlaubt. erschien zuerst auf SIMPLY PM.

Inhaltsverzeichnis

• Einleitung
• Warum ein Kontaktformular Datenschutz betrifft
• Die DSGVO verlangt Transparenz
• Fehlende Datenschutzerklärung kann rechtliche Folgen haben
• Statistik: Viele Nutzer lesen Datenschutzerklärungen nicht
• Was in eine Datenschutzerklärung für Kontaktformulare gehört
• Fazit: Ein Kontaktformular allein reicht nicht
• Handlungsempfehlung
• Ausblick

Einleitung

Viele Unternehmen betreiben eine Website mit einem einfachen Kontaktformular.
Name, E-Mail-Adresse und vielleicht eine Nachricht – mehr wird ja nicht abgefragt. Deshalb denken viele: „Das ist doch nur ein Formular. Dafür brauche ich keine besondere Datenschutzerklärung.“

Doch genau hier liegt ein häufiger Irrtum. Denn jedes Kontaktformular erhebt personenbezogene Daten. Und sobald personenbezogene Daten verarbeitet werden, greifen die Informationspflichten der DSGVO.

Warum ein Kontaktformular Datenschutz betrifft

Sobald eine Person ein Formular ausfüllt, werden personenbezogene Daten übermittelt und verarbeitet. Typische Daten sind zum Beispiel:

• Name
• E-Mail-Adresse
• Telefonnummer
• Nachrichtentext
• IP-Adresse

Diese Informationen werden in der Regel über den Webserver übertragen, gespeichert oder per E-Mail weitergeleitet. Damit handelt es sich eindeutig um eine Verarbeitung personenbezogener Daten im Sinne der DSGVO.

Die DSGVO verlangt Transparenz

Die DSGVO verpflichtet Unternehmen dazu, betroffene Personen darüber zu informieren,

• welche Daten erhoben werden
• zu welchem Zweck die Daten verarbeitet werden
• wie lange sie gespeichert werden
• welche Rechte Betroffene haben

Diese Informationen müssen klar und verständlich in einer Datenschutzerklärung bereitgestellt werden. Das gilt für:

• Kontaktformulare
• Newsletter-Anmeldungen
• Tracking-Tools
• Analyse-Tools
• eingebundene Dienste und Plugins

Ohne diese Informationen ist die Datenverarbeitung nicht transparent – und damit nicht DSGVO-konform.sen Unternehmen nachweisen können, dass ihre Datenschutzmaßnahmen den gesetzlichen Anforderungen entsprechen.

Fehlende Datenschutzerklärung kann rechtliche Folgen haben

Wenn personenbezogene Daten über eine Website erhoben werden, ohne dass die entsprechenden Informationspflichten erfüllt sind, kann das rechtliche Konsequenzen haben.

Mögliche Folgen sind zum Beispiel:

• Abmahnungen durch Wettbewerber
• Beschwerden bei Datenschutzbehörden
• Prüfungen durch Aufsichtsbehörden

Gerade Websites gehören zu den häufigsten Ausgangspunkten für Datenschutzprüfungen, weil Verstöße dort öffentlich sichtbar sind.

Statistik: Viele Nutzer lesen Datenschutzerklärungen nicht

Eine europäische Auswertung zeigt, dass Transparenz im Internet besonders wichtig ist. Laut einer aktuellen Eurostat-Erhebung lesen 64 % der Internetnutzer in der EU keine Datenschutzerklärung, bevor sie persönliche Daten angeben. Nur 36 % informieren sich tatsächlich über die Verarbeitung ihrer Daten.

Das bedeutet: Die Mehrheit der Nutzer gibt Daten über Formulare ein, ohne vorher zu prüfen, wie diese Informationen verarbeitet werden. Gerade deshalb schreibt die DSGVO klare Informationspflichten vor. Unternehmen müssen transparent erklären, welche Daten erhoben werden und zu welchem Zweck sie verarbeitet werden – unabhängig davon, ob Nutzer diese Informationen aktiv lesen.

Die Datenschutzerklärung erfüllt dabei eine zentrale Rolle: Sie stellt sicher, dass Betroffene jederzeit nachvollziehen können, was mit ihren Daten geschieht.

Quelle: Euronews – Datensicherheit: Welche EU-Länder schützen sich am besten?

https://de.euronews.com/my-europe/2025/01/28/datensicherheit-welche-eu-lander-schutzen-sich-am-besten

Was in eine Datenschutzerklärung für Kontaktformulare gehört

Damit ein Kontaktformular DSGVO-konform ist, sollten mindestens folgende Informationen enthalten sein:

• Zweck der Datenverarbeitung
• Rechtsgrundlage der Verarbeitung
• Speicherdauer der Daten
• Hinweis auf Betroffenenrechte
• Information über mögliche Datenweitergaben
• Angaben zum Verantwortlichen
• Kontaktmöglichkeit für Datenschutzanfragen

Diese Informationen müssen leicht zugänglich sein – in der Regel über eine Datenschutzerklärung auf der Website.nell zu Problemen führen.

Fazit: Ein Kontaktformular allein reicht nicht

Der Mythos „Ein Kontaktformular auf der Website reicht ohne Datenschutzerklärung“ hält sich hartnäckig. Doch sobald personenbezogene Daten über eine Website erhoben werden, greifen die Informationspflichten der DSGVO. Unternehmen müssen transparent erklären, welche Daten sie erheben und wie diese verarbeitet werden. Eine vollständige und verständliche Datenschutzerklärung ist deshalb kein optionales Extra – sondern eine zentrale Voraussetzung für eine DSGVO-konforme Website.

Handlungsempfehlung

Überprüfen Sie regelmäßig, ob Ihre Website alle datenschutzrechtlichen Anforderungen erfüllt. Gerade Kontaktformulare, Tracking-Tools oder Newsletter-Anmeldungen sollten korrekt in der Datenschutzerklärung beschrieben sein. Eine transparente Datenschutzerklärung schützt nicht nur vor rechtlichen Risiken – sie stärkt auch das Vertrauen Ihrer Nutzer.

Ausblick

Im nächsten Beitrag unserer Serie „Mythen & Irrtümer im Datenschutz“ klären wir eine weitere häufige Annahme: „Wenn ich eine Einwilligung habe, darf ich alles.“

Warum Einwilligungen oft falsch verstanden werden und welche Voraussetzungen wirklich erfüllt sein müssen, erfahren Sie im nächsten Artikel.

Noch mehr Praxiswissen?
Erfahren Sie in unserem Blogbeitrag, wie Unsere Vorgehensmethodik zur Datenschutz-Grundverordnung (DSGVO) ist – In diesem Blogbeitrag erläutern wir unsere simple Vorgehensmethodik zur Datenschutz-Grundverordnung in drei Phasen: Analysephase, Umsetzungsphase und Integrationsphase.

Der Beitrag Kontaktformular auf der Website ohne Datenschutzerklärung? Ein DSGVO-Irrtum erschien zuerst auf SIMPLY PM.

Inhaltsverzeichnis

• Einleitung
• Datenschutz ist keine Reaktion – sondern Vorsorge
• Aufsichtsbehörden können auch ohne Beschwerde prüfen
• Statistik: Datenschutz ist für Unternehmen ein großes Thema – auch ohne Beschwerden
• Was bei einer Datenschutzprüfung wichtig ist
• Fazit: Datenschutz ist ein laufender Prozess
• Handlungsempfehlung
• Ausblick

Einleitung

Viele Unternehmen gehen davon aus:
Solange sich niemand über den Datenschutz beschwert, ist alles in Ordnung. Doch genau dieser Gedanke ist ein weit verbreiteter Irrtum. Denn Datenschutz funktioniert nicht erst dann, wenn ein Problem auftritt. Er soll Probleme verhindern, bevor sie entstehen.

Und genau deshalb verlangt die DSGVO von Unternehmen ein aktives und nachvollziehbares Datenschutzmanagement.

Datenschutz ist keine Reaktion – sondern Vorsorge

Ein häufiger Denkfehler lautet:
„Solange sich niemand beschwert, wird schon alles passen.“

In der Praxis bedeutet das jedoch oft, dass sich Unternehmen erst dann mit Datenschutz beschäftigen, wenn bereits ein Risiko entstanden ist. Die DSGVO verfolgt jedoch einen anderen Ansatz. Sie verpflichtet Unternehmen dazu, Datenschutzmaßnahmen von Anfang an umzusetzen und jederzeit nachweisen zu können, dass personenbezogene Daten geschützt werden. Dieses Prinzip nennt sich Rechenschaftspflicht. Das bedeutet: Unternehmen müssen belegen können, dass sie datenschutzkonform handeln – auch ohne konkrete Beschwerde.d genau das geschieht im Geschäftsalltag ständig.

Aufsichtsbehörden können auch ohne Beschwerde prüfen

Viele denken, Datenschutzprüfungen entstehen nur durch Anzeigen oder Beschwerden von Kunden oder Mitarbeitenden. Tatsächlich können Datenschutzaufsichtsbehörden auch stichprobenartige Kontrollen durchführen.

Das kann zum Beispiel passieren durch:

• Routineprüfungen
• Branchenkontrollen
• Meldungen von Datenschutzverletzungen
• Hinweise aus anderen Verfahren

In solchen Fällen müssen Unternehmen nachweisen können, dass ihre Datenschutzmaßnahmen den gesetzlichen Anforderungen entsprechen.

Statistik: Datenschutz ist für Unternehmen ein großes Thema – auch ohne Beschwerden

Eine aktuelle Studie des Digitalverbands Bitkom zeigt, dass Datenschutz in deutschen Unternehmen weiterhin eine große Rolle spielt – unabhängig davon, ob Beschwerden eingehen oder nicht.

So geben 97 % der Unternehmen an, dass der Aufwand für Datenschutz hoch oder sehr hoch ist. Davon berichten 44 % sogar von einem sehr hohen Aufwand, während weitere 53 % den Aufwand als eher hoch einschätzen. Besonders interessant: Der Aufwand trifft kleinere Unternehmen häufig stärker. In Firmen mit 20 bis 99 Beschäftigten geben 45 % an, einen sehr hohen Datenschutzaufwand zu haben, während dieser Anteil bei größeren Unternehmen etwas geringer ausfällt.

Grundlage der Studie ist eine repräsentative Befragung von über 600 Unternehmen aus verschiedenen Branchen in Deutschland, die im Auftrag des Digitalverbands Bitkom durchgeführt wurde.

Die Ergebnisse zeigen deutlich: Datenschutz ist für Unternehmen ein dauerhaftes Thema – und nicht erst dann relevant, wenn sich jemand beschwert.

Quelle: https://www.bitkom.org/Presse/Presseinformation/Unternehmen-aechzen-unterm-Datenschutz

Was bei einer Datenschutzprüfung wichtig ist

Wenn eine Aufsichtsbehörde Informationen anfordert, müssen Unternehmen bestimmte Dokumente und Prozesse nachweisen können.

Dazu gehören unter anderem:

• Verzeichnis der Verarbeitungstätigkeiten
• Datenschutzerklärung (Website)
• Auftragsverarbeitungsverträge
• technische und organisatorische Maßnahmen
• Schulungen oder Sensibilisierung von Mitarbeitenden

Fehlen diese Unterlagen oder sind sie unvollständig, kann das schnell zu Problemen führen.

Fazit: Datenschutz ist ein laufender Prozess

Der Mythos „Datenschutz ist nur dann ein Problem, wenn sich jemand beschwert“ greift zu kurz. Datenschutz funktioniert nicht reaktiv, sondern präventiv. Unternehmen müssen jederzeit nachweisen können, dass sie personenbezogene Daten rechtmäßig und sicher verarbeiten.

Wer Datenschutz erst dann ernst nimmt, wenn eine Beschwerde oder Prüfung ansteht, handelt meist zu spät. Deshalb lohnt es sich, Datenschutz frühzeitig strukturiert umzusetzen.

Wir unterstützen Unternehmen dabei, Datenschutz verständlich und korrekt umzusetzen, denn Datenschutz wird nicht erst relevant, wenn sich jemand beschwert.

Handlungsempfehlung

Überprüfen Sie regelmäßig, ob Ihre Datenschutzmaßnahmen aktuell und vollständig sind. Ein klar strukturierter Datenschutz hilft nicht nur dabei, rechtliche Anforderungen einzuhalten – er schafft auch Vertrauen bei Kunden, Mitarbeitenden und Geschäftspartnern. Bereiten Sie Ihr Unternehmen lieber frühzeitig auf mögliche Prüfungen vor, statt erst im Ernstfall reagieren zu müssen.

Ausblick

Im nächsten Beitrag unserer Serie „Mythen & Irrtümer im Datenschutz“ [AT1] klären wir eine weitere verbreitete Annahme: Ein Kontaktformular auf der Website reicht ohne Datenschutzerklärung.

Warum gerade Websites ein häufiges Datenschutzrisiko darstellen und welche Informationen unbedingt enthalten sein müssen, erfahren Sie im nächsten Artikel.

Noch mehr Praxiswissen?
Erfahren Sie in unserem Blogbeitrag, wie Unsere Vorgehensmethodik zur Datenschutz-Grundverordnung (DSGVO) ist – In diesem Blogbeitrag erläutern wir unsere simple Vorgehensmethodik zur Datenschutz-Grundverordnung in drei Phasen: Analysephase, Umsetzungsphase und Integrationsphase.

Der Beitrag Datenschutz ist nur dann ein Problem, wenn sich jemand beschwert. erschien zuerst auf SIMPLY PM.

Inhaltsverzeichnis

• Einleitung
• Was sind personenbezogene Daten?
• „Wir speichern doch nichts.“ – Ein Realitätscheck
• Datenschutz hängt nicht von der Datenmenge ab
• Was bedeutet das für kleine Unternehmen?
• Mini-Selbsttest: Betrifft mich die DSGVO?
• Fazit: Datenschutz beginnt früher, als viele denken
• Handlungsempfehlung
• Ausblick

Einleitung

Viele kleine Unternehmen, Selbstständige oder Vereine denken: „Wir speichern doch gar nichts. Also betrifft uns die DSGVO nicht.“ Das klingt zunächst logisch. Ist aber leider falsch.

Denn Datenschutz beginnt nicht erst bei einer großen Kundendatenbank. Er beginnt bereits bei der kleinsten personenbezogenen Information. Und genau hier liegt der Irrtum.

Was sind personenbezogene Daten?

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Dazu gehören unter anderem:

• Name
• E-Mail-Adresse
• Telefonnummer
• IP-Adresse
• Bewerbungsunterlagen
• Fotos
• Kundennummern

Sie müssen diese Daten nicht „klassisch abspeichern“. Es reicht bereits, wenn Sie sie erheben, nutzen, weiterleiten oder anderweitig verarbeiten. Und genau das geschieht im Geschäftsalltag ständig.

„Wir speichern doch nichts.“ – Ein Realitätscheck

Beantworten Sie sich ehrlich folgende Fragen:

Nutzen Sie …

• E-Mail-Kommunikation mit Kunden?
• WhatsApp oder Messenger für Terminabsprachen?
• Ein Kontaktformular auf Ihrer Website?
• Eine Online-Terminbuchung?
• Bewerbungen per E-Mail?
• Analyse- oder Tracking-Tools?

Wenn Sie auch nur eine dieser Fragen mit „Ja“ beantworten, verarbeiten Sie personenbezogene Daten. Und damit gilt die DSGVO.

Datenschutz hängt nicht von der Datenmenge ab

Eine aktuelle europäische Auswertung zeigt: Nur 36 % der Internetnutzer in der EU lesen Datenschutzerklärungen, bevor sie personenbezogene Daten angeben.

Das bedeutet: Die Mehrheit der Nutzer gibt Daten preis, ohne genau zu wissen, wie diese verarbeitet oder gespeichert werden. Gerade deshalb ist Transparenz gesetzlich vorgeschrieben – unabhängig davon, ob Sie Daten „viel“ oder „wenig“ speichern. Quelle: Euronews, EU-Auswertung 2026
https://www.euronews.com/my-europe/2026/02/04/privacy-push-where-do-europeans-restrict-access-to-their-personal-data-the-most

Was bedeutet das für kleine Unternehmen?

Datenschutz ist kein Großkonzern-Thema. Er betrifft:

• Handwerksbetriebe
• Arztpraxen
• Online-Shops
• Coaches
• Fotografen
• Vereine
• Selbstständige

Sobald personenbezogene Daten verarbeitet werden – und das geschieht fast immer – greifen die Pflichten der DSGVO. Dazu gehören unter anderem:

• ggf. Auftragsverarbeitungsverträge
• Eine korrekte Datenschutzerklärung
• Informationspflichten bei Datenerhebung
• Technische und organisatorische Maßnahmen
• Löschkonzepte

Mini-Selbsttest: Betrifft mich die DSGVO?

Beantworten Sie folgende Fragen:

1. Erhalte ich E-Mails von Kunden oder Interessenten?
2. Nutze ich eine Website mit Kontaktmöglichkeit?
3. Speichere ich Telefonnummern oder Namen digital?

Wenn Sie mindestens einmal „Ja“ sagen, betrifft Sie die DSGVO.

Fazit: Datenschutz beginnt früher, als viele denken

Der Mythos „Wenn ich keine Daten speichere, brauche ich keinen Datenschutz“ ist gefährlich, weil er falsche Sicherheit vermittelt. Datenschutz hängt nicht von der Größe Ihres Unternehmens ab. Und er hängt auch nicht davon ab, ob Sie bewusst Daten „auf Vorrat“ speichern. Er beginnt in dem Moment, in dem Sie personenbezogene Daten verarbeiten – und das geschieht schneller, als viele vermuten. Bereits eine einzelne E-Mail-Adresse oder eine Terminvereinbarung kann ausreichen, um die gesetzlichen Pflichten der DSGVO auszulösen.

Wer glaubt, Datenschutz betreffe nur große Unternehmen mit umfangreichen Datenbanken, unterschätzt die Reichweite der gesetzlichen Anforderungen. Und genau deshalb lohnt es sich, die eigene Situation realistisch zu prüfen – bevor aus einem Mythos ein echtes Risiko wird.

Handlungsempfehlung

Wenn Sie beim Selbsttest mit „Ja“ geantwortet haben, sollten Sie Ihre Datenschutzmaßnahmen prüfen – nicht erst, wenn ein Problem auftritt. Datenschutz ist keine Frage der Unternehmensgröße. Er ist eine gesetzliche Pflicht und gleichzeitig ein Vertrauenssignal gegenüber Kunden, Mitarbeitenden und Geschäftspartnern.

Lassen Sie Ihre aktuelle Situation prüfen, bevor eine Anfrage der Aufsichtsbehörde oder eine Beschwerde eingeht. Wer erst reagiert, wenn es brennt, zahlt meist doppelt.

Ausblick

Nächste Woche klären wir einen weiteren Mythos: „Datenschutz ist nur dann ein Problem, wenn sich jemand beschwert.“ Viele Unternehmen handeln erst, wenn eine Beschwerde eingeht.
Doch Aufsichtsbehörden führen auch stichprobenartige Prüfungen durch – ganz ohne konkrete Anzeige.

Warum dieses Denken riskant ist und was im Prüfungsfall wirklich zählt, erfahren Sie im nächsten Beitrag unserer Serie „Mythen & Irrtümer im Datenschutz“.

Noch mehr Praxiswissen?
Erfahren Sie in unserem Blogbeitrag, wie Unsere Vorgehensmethodik zur Datenschutz-Grundverordnung (DSGVO) ist – In diesem Blogbeitrag erläutern wir unsere simple Vorgehensmethodik zur Datenschutz-Grundverordnung in drei Phasen: Analysephase, Umsetzungsphase und Integrationsphase.

Der Beitrag Wenn ich keine Daten speichere, brauche ich keinen Datenschutz.“ – Warum die DSGVO trotzdem gilt. erschien zuerst auf SIMPLY PM.

Inhaltsverzeichnis

• Einleitung
• Warum ist eine Datenschutzerklärung so wichtig?
• Wann wird eine Datenschutzerklärung benötigt?
• Welche Pflichtangaben muss eine Datenschutzerklärung enthalten?
• Was ist bei Websites besonders zu beachten?
• Wie oft sollte eine Datenschutzerklärung überprüft werden?
• Häufige Fehler bei Datenschutzerklärungen
• Fazit: Transparenz ist Pflicht, Aktualität entscheidend
• Ausblick: Sie entscheiden, wie es weitergeht

Einleitung

Die Datenschutzerklärung ist für viele Unternehmen ein Pflichttext, der einmal erstellt und dann vergessen wird. Genau hier liegt jedoch ein großes Risiko. Denn eine unvollständige oder veraltete Datenschutzerklärung zählt zu den häufigsten Beanstandungen bei Prüfungen und Abmahnungen.

Dieser Beitrag zeigt Ihnen, welche Inhalte zwingend erforderlich sind, worauf besonders zu achten ist und warum eine Datenschutzerklärung kein statisches Dokument sein darf.

Warum ist eine Datenschutzerklärung so wichtig?

Die DSGVO verpflichtet Unternehmen zu Transparenz. Betroffene Personen müssen nachvollziehen können,

• welche personenbezogenen Daten verarbeitet werden,
• zu welchem Zweck,
• auf welcher Rechtsgrundlage,
• und welche Rechte ihnen zustehen.

Die Datenschutzerklärung ist dabei das zentrale Informationsinstrument.

Wann wird eine Datenschutzerklärung benötigt?

Eine Datenschutzerklärung ist immer erforderlich, wenn personenbezogene Daten verarbeitet werden. Das betrifft unter anderem:

• Websites und Onlineshops
• Kontaktformulare
• Newsletter
• Bewerbungsverfahren
• Tracking- und Analysetools
• Social-Media-Auftritte

Ohne Verarbeitung personenbezogener Daten kommt kaum ein Unternehmen aus.

Welche Pflichtangaben muss eine Datenschutzerklärung enthalten?

Eine DSGVO-konforme Datenschutzerklärung sollte mindestens folgende Punkte abdecken:

Angaben zur verantwortlichen Stelle
Name, Anschrift und Kontaktdaten des Unternehmens sowie gegebenenfalls der Datenschutzbeauftragten oder des Datenschutzbeauftragten.

Zwecke und Rechtsgrundlagen der Verarbeitung
Klare Beschreibung, warum Daten verarbeitet werden und auf welcher rechtlichen Grundlage dies geschieht.

Kategorien personenbezogener Daten
Welche Daten werden erhoben, zum Beispiel Kontaktdaten, Nutzungsdaten oder Vertragsdaten.

Empfängerinnen und Empfänger der Daten
Angabe, ob Daten an Dienstleisterinnen und Dienstleister oder andere Dritte weitergegeben werden.

Speicherdauer oder Kriterien für die Löschung
Information darüber, wie lange Daten gespeichert werden oder nach welchen Kriterien sie gelöscht werden.

Hinweise auf Betroffenenrechte
Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit.

Widerrufsrecht bei Einwilligungen
Hinweis darauf, dass Einwilligungen jederzeit widerrufen werden können.

Beschwerderecht bei der Aufsichtsbehörde
Angabe der zuständigen Datenschutzaufsichtsbehörde.

Pflicht zur Bereitstellung von Daten
Hinweis, ob die Bereitstellung gesetzlich oder vertraglich erforderlich ist.ufiger Beanstandungspunkt bei Prüfungen.

Was ist bei Websites besonders zu beachten?

Auf Websites müssen zusätzlich Informationen enthalten sein zu:

• Cookies und Tracking-Tools
• Einbindungen externer Dienste
• Social-Media-Plugins
• Hosting und Serverstandorten
• Drittlandübermittlungen, falls relevant

Die Datenschutzerklärung muss leicht auffindbar, verständlich formuliert und jederzeit abrufbar sein.

Wie oft sollte eine Datenschutzerklärung überprüft werden?

Eine Datenschutzerklärung ist kein statisches Dokument. Sie sollte immer dann überprüft und angepasst werden, wenn sich die tatsächliche Datenverarbeitung im Unternehmen ändert.

Das ist insbesondere der Fall, wenn:

• neue personenbezogene Daten erhoben oder verarbeitet werden,
• neue Tools, Dienste oder Softwarelösungen eingesetzt werden, etwa Analyse-, Tracking- oder Marketingtools,
• sich Zwecke oder Rechtsgrundlagen der Datenverarbeitung ändern,
• gesetzliche Vorgaben oder relevante Gerichtsentscheidungen angepasst werden,
• interne Prozesse oder Zuständigkeiten verändert werden.

Eine veraltete Datenschutzerklärung kann datenschutzrechtlich genauso problematisch sein wie eine fehlende. Entscheidend ist, dass die Inhalte jederzeit den tatsächlichen Verarbeitungsprozessen entsprechen.

Häufige Fehler bei Datenschutzerklärungen

In der In der Praxis treten häufig folgende Probleme auf:

• unvollständige Angaben
• pauschale oder unklare Formulierungen
• fehlende Anpassung an tatsächliche Prozesse
• kopierte Texte ohne Bezug zum eigenen Unternehmen
• fehlende Aktualisierung bei Änderungen

Diese Fehler können zu Abmahnungen, Beschwerden oder aufsichtsbehördlichen Maßnahmen führen.

Fazit: Transparenz ist Pflicht, Aktualität entscheidend

Eine DSGVO-konforme Datenschutzerklärung ist mehr als ein formaler Pflichttext. Sie schafft Transparenz, stärkt das Vertrauen von Kundinnen, Kunden und Mitarbeitenden und reduziert rechtliche Risiken.

Wer sie regelmäßig prüft und anpasst, ist auf der sicheren Seite.

Ausblick: Sie entscheiden, wie es weitergeht

Mit diesem Beitrag schließen wir unsere Serie Frag den Datenschutz ab.
Vielen Dank für Ihr Interesse, Ihre Abstimmungen und Ihre Fragen in den letzten Wochen. Wenn Sie einzelne Themen vertiefen möchten oder konkrete Unterstützung bei der Umsetzung benötigen, sprechen Sie uns gern an.

Noch mehr Praxiswissen?
Erfahren Sie in unserem Blogbeitrag, wie Unsere Vorgehensmethodik zur Datenschutz-Grundverordnung (DSGVO) ist – In diesem Blogbeitrag erläutern wir unsere simple Vorgehensmethodik zur Datenschutz-Grundverordnung in drei Phasen: Analysephase, Umsetzungsphase und Integrationsphase.

Der Beitrag Euer Datenschutz-Thema der Woche – Was gehört in eine vollständige, DSGVO-konforme Datenschutzerklärung? erschien zuerst auf SIMPLY PM.

Inhaltsverzeichnis

• Einleitung
• Wann liegt eine Auftragsverarbeitung vor?
• Warum sind AV-Verträge so wichtig?
• Was muss ein AV-Vertrag mindestens enthalten?
• Reicht es, den AV-Vertrag einmal abzuschließen?
• Wie prüfen Sie Dienstleister in der Praxis richtig?
• Häufige Fehler bei der Dienstleisterprüfung
• Mythos: „Ein AV-Vertrag ist nur eine Formalität – Hauptsache, er ist unterschrieben“
• Fazit: Dienstleister prüfen heißt Verantwortung wahrnehmen
• Ausblick: Sie entscheiden, wie es weitergeht

Einleitung

Viele Unternehmen arbeiten mit externen Dienstleisterinnen und Dienstleistern zusammen. Cloud-Anbieter, IT-Support, Lohnabrechnung, Newsletter-Tools oder Agenturen verarbeiten dabei häufig personenbezogene Daten im Auftrag.

Doch genau hier entstehen regelmäßig Datenschutzlücken. Denn nicht jeder Dienstleister darf einfach so eingebunden werden. Die DSGVO stellt klare Anforderungen an die Auswahl, Prüfung und vertragliche Absicherung.

Wann liegt eine Auftragsverarbeitung vor?

Eine Auftragsverarbeitung liegt vor, wenn ein externer Dienstleister personenbezogene Daten ausschließlich im Auftrag und nach Weisung Ihres Unternehmens verarbeitet.

Typische Beispiele sind:

• IT-Dienstleisterinnen und IT-Dienstleister
• Cloud- und Hosting-Anbieter
• Lohn- und Gehaltsabrechnung
• Newsletter- und CRM-Tools
• externe Support- oder Wartungsdienste

Keine Auftragsverarbeitung liegt vor, wenn der Dienstleister eigenständig über Zweck und Mittel der Verarbeitung entscheidet.

Warum sind AV-Verträge so wichtig?

Die DSGVO verpflichtet Unternehmen dazu, Auftragsverarbeitungen vertraglich abzusichern. Der sogenannte Auftragsverarbeitungsvertrag (AV-Vertrag) regelt unter anderem:

• Gegenstand und Dauer der Verarbeitung
• Art der Daten und Kategorien betroffener Personen
• Pflichten und Rechte der Verantwortlichen
• technische und organisatorische Maßnahmen
• Kontroll- und Mitwirkungspflichten

Ohne AV-Vertrag ist die Zusammenarbeit datenschutzrechtlich unzulässig.

Was muss ein AV-Vertrag mindestens enthalten?

Ein wirksamer AV-Vertrag sollte insbesondere regeln:

• dass der Dienstleister nur auf Weisung handelt
• welche Sicherheitsmaßnahmen umgesetzt werden
• wie mit Datenschutzverletzungen umgegangen wird
• ob und wie Subdienstleister eingesetzt werden
• welche Kontrollrechte bestehen

Fehlende oder unvollständige Regelungen sind ein häufiger Beanstandungspunkt bei Prüfungen.

Reicht es, den AV-Vertrag einmal abzuschließen?

Nein. Ein AV-Vertrag ist kein reines Formaldokument.

Unternehmen müssen:

• Dienstleister sorgfältig auswählen
• die getroffenen Sicherheitsmaßnahmen prüfen
• regelmäßig kontrollieren, ob die Vorgaben eingehalten werden

Die Verantwortung für den Datenschutz bleibt immer beim beauftragenden Unternehmen.

Wie prüfen Sie Dienstleister in der Praxis richtig?

Bewährt hat sich ein strukturierter Ablauf:

• Prüfung, ob eine Auftragsverarbeitung vorliegt
• Abschluss eines AV-Vertrags vor Beginn der Verarbeitung
• Dokumentation der technischen und organisatorischen Maßnahmen
• regelmäßige Überprüfung, insbesondere bei Änderungen
• klare Zuständigkeiten für die Dienstleisterverwaltung

So entsteht ein nachvollziehbarer und prüfbarer Prozess.

Häufige Fehler bei der Dienstleisterprüfung

In der Praxis treten immer wieder dieselben Probleme auf:

• fehlende AV-Verträge
• Verwechslung von Auftragsverarbeitung und gemeinsamer Verantwortung
• ungeprüfte Standardverträge
• fehlende Dokumentation der Prüfung
• keine regelmäßige Aktualisierung bei neuen Tools oder Anbietern

Diese Fehler können bei Prüfungen zu erheblichen Beanstandungen führen.

Mythos: „Ein AV-Vertrag ist nur eine Formalität – Hauptsache, er ist unterschrieben“

Das ist falsch.

Dieser Mythos ist weit verbreitet, aber falsch.

Ein Auftragsverarbeitungsvertrag ist keine reine Formsache. Unternehmen sind verpflichtet, Dienstleister sorgfältig auszuwählen, regelmäßig zu prüfen und die Einhaltung der vereinbarten Maßnahmen zu kontrollieren.

Ein unterschriebener AV-Vertrag allein reicht nicht aus, wenn:

• die technischen und organisatorischen Maßnahmen nicht angemessen sind,
• der Dienstleister Weisungen nicht korrekt umsetzt,
• oder keine regelmäßige Überprüfung erfolgt.

Die datenschutzrechtliche Verantwortung bleibt immer beim beauftragenden Unternehmen – auch wenn die Verarbeitung ausgelagert wurde.

Fazit: Dienstleister prüfen heißt Verantwortung wahrnehmen

Die Einbindung externer Dienstleister ist im Unternehmensalltag unverzichtbar. Gleichzeitig bleibt der datenschutzrechtliche Verantwortungsteil immer beim eigenen Unternehmen. Wer AV-Verträge versteht, sauber einsetzt und Dienstleister regelmäßig prüft, reduziert Risiken und sorgt für klare Verhältnisse gegenüber Aufsichtsbehörden und betroffenen Personen.

Ausblick: Sie entscheiden, wie es weitergeht

Welche Frage sollen wir in der nächsten Woche beantworten?
Am Montag stellen wir Ihnen wieder drei Datenschutzthemen zur Auswahl – Sie stimmen ab, welches Thema wir im nächsten Blogbeitrag ausführlich erklären.

Folgen Sie uns auf Instagram, um mitzuentscheiden und kein Thema der Serie zu verpassen.

Noch mehr Praxiswissen?
Erfahren Sie in unserem Blogbeitrag, wie Unsere Vorgehensmethodik zur Datenschutz-Grundverordnung (DSGVO) ist – In diesem Blogbeitrag erläutern wir unsere simple Vorgehensmethodik zur Datenschutz-Grundverordnung in drei Phasen: Analysephase, Umsetzungsphase und Integrationsphase.

Der Beitrag Euer Datenschutz-Thema der Woche – Wie prüfe ich Dienstleister richtig? erschien zuerst auf SIMPLY PM.