Datenschutz nachweisen statt nur dokumentieren: Rechenschaftspflicht Art. 5 DSGVO
· Sandra Straub
Du hast eine Datenschutzerklärung auf der Website. Du hast irgendwann ein Verarbeitungsverzeichnis angelegt. Du hast AVVs unterschrieben. Das Gefühl: erledigt.
Dieses Gefühl ist verständlich. Und es ist der häufigste Denkfehler beim Thema Datenschutz.
Art. 5 Abs. 2 DSGVO, die sogenannte Rechenschaftspflicht, fordert nämlich nicht nur, dass du Datenschutzmaßnahmen umsetzt. Er fordert, dass du deren Einhaltung nachweisen kannst. Dokumente zu besitzen und Wirksamkeit nachzuweisen sind zwei verschiedene Dinge. Wer das verwechselt, sitzt im Ernstfall auf der falschen Seite der Beweislast.
Was fordert die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO?
Die Rechenschaftspflicht ist kurz formuliert. Art. 5 Abs. 2 DSGVO lautet sinngemäß: Der Verantwortliche ist für die Einhaltung der Datenschutzgrundsätze verantwortlich und muss deren Einhaltung nachweisen können.
Zwei Teile, ein großer Unterschied.
Der erste Teil, die Einhaltung der Grundsätze, ist das, was die meisten kennen: Zweckbindung, Datensparsamkeit, Richtigkeit, Speicherbegrenzung. Das sind die Grundsätze aus Art. 5 Abs. 1 DSGVO, die du umsetzen musst.
Der zweite Teil ist das, was viele übersehen: Du musst die Einhaltung nachweisen können. Nicht einmal irgendwann. Sondern im Moment der Prüfung, also heute.
Die Beweislast liegt vollständig bei dir als Verantwortlicher. Nicht bei der Aufsichtsbehörde. Wenn eine Behörde prüft, ob du die DSGVO einhältst, musst du zeigen, dass deine Maßnahmen tatsächlich funktionieren. Das ist ein grundlegender Unterschied zu vielen anderen Rechtsbereichen, wo die Behörde zunächst beweisen muss, dass etwas falsch läuft.
Was bedeutet Wirksamkeitsnachweis in der Praxis?
Hier entsteht der häufigste Denkfehler: Viele sehen Datenschutz als einmaliges Projekt. Einmal aufgesetzt, dann abgehakt. Das reicht nicht.
Art. 24 DSGVO, der Art. 5 Abs. 2 ergänzt, macht das deutlich. Er spricht von geeigneten technischen und organisatorischen Maßnahmen, die unter Berücksichtigung der aktuellen Umstände umzusetzen und auf ihre Wirksamkeit hin zu überprüfen sind. Das Wort „überprüfen” ist zentral. Es geht um einen laufenden Prozess, nicht um ein Einmaldokument.
Was das konkret bedeutet:
Ein Verzeichnis von Verarbeitungstätigkeiten, das 2022 angelegt und seitdem nicht aktualisiert wurde, ist kein Wirksamkeitsnachweis. Es ist ein veraltetes Dokument.
Eine Datenschutzerklärung, die neue Tools oder neue Verarbeitungen nicht erwähnt, ist keine Entsprechung der Realität. Sie ist eine Fehldarstellung.
Ein AVV, der für ein Tool gilt, das du nicht mehr nutzt, hilft dir nicht bei den Tools, die du aktuell einsetzt.
Kurz: Deine Datenschutzmaßnahmen müssen zum Stand heute passen, nicht zum Stand damals.
Warum ist das besonders wichtig für kleine Onlineunternehmen?
Kleine Unternehmen ohne Datenschutzbeauftragten haben keine separate Instanz, die diese Prüfungen im Blick behält. Das bedeutet, die Verantwortung liegt vollständig bei dir.
Das klingt belastend. Es ist tatsächlich beherrschbar. Weil du als Solopreneurin oder kleine Unternehmerin in der Regel überschaubare Verarbeitungen hast. Du weißt, welche Tools du nutzt. Du weißt, welche Daten du erhebst. Was fehlt, ist oft nur die systematische Überprüfung und Dokumentation, dass diese Maßnahmen noch stimmen.
Dazu kommt: Die Rechenschaftspflicht schützt nicht nur vor Behördensanktionen. Sie gibt dir auch eine klare Verteidigungsposition bei wettbewerbsrechtlichen Abmahnungen durch Mitbewerber. Wer zeigen kann, dass die eigene Datenschutzdokumentation aktuell und gepflegt ist, steht deutlich besser da als jemand, der auf ein PDF von vor vier Jahren verweist.
Messbarkeit ist kein Konzernthema. Es ist dein persönlicher Schutzschild.
Drei konkrete Prüfbereiche für dein Business
Du brauchst kein aufwendiges System. Du brauchst drei ehrliche Antworten.
Prüfbereich 1: Dein Verarbeitungsverzeichnis
Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist die zentrale Dokumentation, welche Daten du wie und zu welchem Zweck verarbeitest.
Prüffrage: Wann hast du es zuletzt aktualisiert?
Was du prüfen solltest: Sind alle Tools drin, die du aktuell nutzt? Auch neue KI-Tools, die du in den letzten zwölf Monaten eingesetzt hast? Sind die Zwecke korrekt beschrieben? Stimmen die Empfänger noch?
Ein VVT, das bei Bedarf vorgelegt werden kann und den aktuellen Stand abbildet, ist der wichtigste einzelne Nachweis im Prüfungsfall.
Prüfbereich 2: Deine AVV-Sammlung
Für jedes externe Tool, das in deinem Auftrag personenbezogene Daten verarbeitet, brauchst du einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Das gilt für Newsletter-Anbieter, CRM-Systeme, Buchungstools, Zahlungsanbieter und, wenn du Kundendaten eingibst, auch für KI-Tools.
Prüffrage: Hast du für jedes dieser Tools einen AVV abgeschlossen? Und kannst du ihn finden?
Was du prüfen solltest: Liste alle Tools auf, mit denen du arbeitest. Prüfe für jedes davon, ob ein AVV vorliegt. Bei KI-Tools ist besonders zu beachten, dass viele AVVs nur in höheren Tarifen erhältlich sind. Nutzt du Standard-Tarife, hast du häufig keinen AVV und solltest keine Kundendaten eingeben.
Prüfbereich 3: Deine Datenschutztexte
Deine Datenschutzerklärung ist nicht einmal für immer. Sie muss aktuell sein und die tatsächlichen Verarbeitungen abbilden.
Prüffrage: Wann hast du deine Datenschutzerklärung zuletzt auf Aktualität geprüft?
Was du prüfen solltest: Enthält sie alle Tools, die du aktuell nutzt? Spiegelt sie neue Angebote oder neue Verarbeitungen wider, die du in den letzten zwölf Monaten aufgenommen hast? Ist ein Datum oder ein Stand angegeben?
Eine Datenschutzerklärung, die nicht zur Realität deines Business passt, ist keine Erklärung. Sie ist ein Risiko.
Wie oft solltest du prüfen?
Es gibt keine gesetzlich festgelegte Frequenz. Was verlangt wird, ist ein anlassbezogener und regelmäßiger Überblick.
Als Faustregel gilt: Prüfe deine Datenschutzdokumentation einmal jährlich vollständig. Und sofort, wenn sich etwas ändert: neues Tool, neues Angebot, neue Dienstleisterin, neuer Kundenkreis.
Wer das systematisch tut, kann im Prüfungsfall zeigen, wann er geprüft hat und was er gefunden hat. Das ist der Kern des Wirksamkeitsnachweises.
Häufige Fragen
Gilt die Rechenschaftspflicht auch für mich als Einzelunternehmerin?
Ja. Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO gilt für jeden Verantwortlichen im Sinne der DSGVO. Das ist jede Person oder Organisation, die allein oder gemeinsam über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Als Einzelunternehmerin, die Kundendaten verarbeitet, bist du Verantwortliche.
Brauche ich einen Datenschutzbeauftragten, um die Rechenschaftspflicht zu erfüllen?
Nicht zwingend. Die Pflicht zur Bestellung eines Datenschutzbeauftragten hängt von anderen Kriterien ab, unter anderem der Art der Verarbeitung und der Anzahl der damit befassten Personen. Viele kleine Onlineunternehmen haben keine Pflicht dazu. Die Rechenschaftspflicht selbst müssen sie trotzdem erfüllen, nur ohne separate Instanz, also selbst.
Was passiert, wenn ich die Rechenschaftspflicht nicht erfülle?
Bei einer Behördenprüfung trägst du die volle Beweislast. Wer keine Nachweise erbringen kann, hat keine Möglichkeit, sich zu entlasten. Das kann zu Bußgeldern führen. Die Höhe ist verhältnismäßig und hängt von Schwere und Umfang des Verstoßes ab. Für Kleinstunternehmen mit kooperativem Verhalten fallen Behördenreaktionen in der Regel moderater aus als für systematisch handelnde große Unternehmen.
Welche Dokumente brauche ich mindestens?
Als Basispaket: ein aktuelles Verarbeitungsverzeichnis, AVVs für alle relevanten Tools, eine aktuelle Datenschutzerklärung und Nachweise über Schulungen oder Überprüfungen, sofern Mitarbeitende beteiligt sind. Wer diese vier Bereiche gepflegt hat und zeigen kann, wann die letzte Prüfung stattfand, hat eine solide Ausgangslage.
Du brauchst Unterstützung bei der Erstellung oder Aktualisierung deiner Datenschutzdokumentation? Dann melde dich gerne bei mir: info@lss-anwaltskanzlei.de
Dieser Beitrag ersetzt keine fallbezogene Rechtsberatung. Angaben beziehen sich auf den Stand September 2026.
Wo stehst du gerade?
Der kostenlose KI-Rechtsrisiko-Check gibt dir in 2 Minuten eine erste Orientierung.
Check starten