Datenschutzkonzept: Inhalte, Pflicht und DSGVO-Anforderungen

Eine Datenpanne. Die Datenschutzbehörde meldet sich. Die erste Frage: „Können Sie nachweisen, welche technischen und organisatorischen Maßnahmen Sie zum Schutz personenbezogener Daten getroffen haben?" Viele Geschäftsführer zeigen in diesem Moment auf ihre IT-Dokumentation und hoffen, das reicht. Meistens reicht es nicht.

Ein Datenschutzkonzept ist kein Synonym für IT-Sicherheit. Es ist ein eigenständiges Dokument, das die DSGVO in vielen Unternehmen faktisch voraussetzt, ohne es so zu nennen.

Was genau hineingehört, wen es betrifft und wie es sich vom IT-Sicherheitskonzept abgrenzt, lesen Sie hier.

Was ist ein Datenschutzkonzept?

Ein Datenschutzkonzept ist ein strukturiertes Dokument, das beschreibt, wie ein Unternehmen personenbezogene Daten erhebt, verarbeitet, speichert und schützt. Es bildet die Grundlage dafür, dass Datenschutz im Betrieb nicht als Absichtserklärung existiert, sondern als nachweisbarer Prozess.

Die rechtliche Basis liefern Artikel 24 und Artikel 32 der DSGVO. Artikel 24 verpflichtet Verantwortliche dazu, geeignete technische und organisatorische Maßnahmen umzusetzen und deren Wirksamkeit nachweisen zu können. Ein Datenschutzkonzept ist genau dieser schriftliche Nachweis.

Der Begriff taucht in der DSGVO selbst nicht wörtlich auf. Das bedeutet aber nicht, dass er optional ist. Wer im Fall einer Prüfung oder eines Vorfalls keine dokumentierte Grundlage vorweisen kann, trägt die volle Beweislast, und die liegt nach DSGVO beim Unternehmen, nicht bei der Behörde.

Was gehört in ein Datenschutzkonzept?

Ein vollständiges Datenschutzkonzept deckt mehr ab als die reine IT. Es umfasst rechtliche, organisatorische und technische Ebenen gleichzeitig. Die folgenden Bestandteile gehören in jedes Datenschutzkonzept, das einer Prüfung standhalten soll.

Wer muss ein Datenschutzkonzept erstellen?

Jedes Unternehmen, das personenbezogene Daten verarbeitet. Das trifft in der Praxis auf alle zu, die Mitarbeiter beschäftigen, Kunden haben oder Lieferanten bezahlen. Eine Ausnahme gibt es nicht.

Einige Erleichterungen gelten für Unternehmen unter 250 Mitarbeitern beim formalen Verarbeitungsverzeichnis, aber die Pflicht zu geeigneten Schutzmaßnahmen und deren Nachweis gilt unabhängig von der Unternehmensgröße. Wer im Fall einer Prüfung kein Konzept vorweisen kann, riskiert Bußgelder nach Art. 83 DSGVO, die sich nach Umsatz richten und keine Untergrenze für kleine Unternehmen kennen.

Für Unternehmen, die einen Datenschutzbeauftragten bestellen müssen oder dies freiwillig tun, ist ein formales Datenschutzkonzept besonders relevant. Der Datenschutzbeauftragte braucht eine dokumentierte Grundlage, auf der er arbeiten und berichten kann. Wer sich fragt, ob ein Datenschutzbeauftragter Pflicht ist und wie sich diese Rolle vom IT-Sicherheitsbeauftragten unterscheidet, findet die Antwort in unserem Artikel zu Datenschutzbeauftragter und IT-Sicherheitsbeauftragter im Vergleich.

Datenschutzkonzept und IT-Sicherheitskonzept: Die Unterschiede

Beide Dokumente schützen Informationen, verfolgen aber unterschiedliche Ziele und stützen sich auf unterschiedliche Rechtsgrundlagen. In der Praxis werden sie häufig verwechselt oder fälschlicherweise als dasselbe behandelt.

Wie Datenschutzkonzept und IT-Sicherheitskonzept zusammenwirken

Die beiden Konzepte überschneiden sich dort, wo es um technische Schutzmaßnahmen geht. Verschlüsselung, Zugriffskontrollen, sichere Löschverfahren, Backup-Konzepte: Diese Maßnahmen tauchen in beiden Dokumenten auf, weil sie sowohl datenschutzrechtlich geboten als auch IT-sicherheitstechnisch notwendig sind.

Trotzdem sind es getrennte Dokumente mit getrennter Logik. Das Datenschutzkonzept argumentiert vom Recht zur Technik: Eine Verarbeitung ist nur zulässig, wenn die richtigen Maßnahmen getroffen sind. Das IT-Sicherheitskonzept argumentiert von der Technik zum Risiko: Welche Systeme haben welche Schwachstellen, und wie werden diese adressiert. Welche konkreten DSGVO-Anforderungen an die IT-Sicherheit sich daraus für Unternehmen ergeben, haben wir gesondert zusammengefasst.

Fazit: Beide Konzepte brauchen sich gegenseitig

Ein Datenschutzkonzept ersetzt kein IT-Sicherheitskonzept, und umgekehrt. Wer nur eines von beiden hat, hat eine Lücke: rechtlich durch Bußgelder und Haftungsrisiken beim Datenschutzkonzept, operativ durch Ausfälle und Angriffe beim IT-Sicherheitskonzept.

Der sinnvolle Einstieg ist eine strukturierte Bestandsaufnahme, die beide Ebenen gleichzeitig in den Blick nimmt: Was verarbeiten wir, wie ist unsere IT aufgestellt, und wo klaffen Schutzmaßnahmen und tatsächlicher Bedarf auseinander?