DSGVO 2026: 6 Spar-Tipps für KMU

Sparen lässt sich bei der Art der Umsetzung, nicht am Pflichtenkatalog. Wer den Datenschutzbeauftragten extern vergibt, mit Vorlagen statt Einzelberatung arbeitet und Werkzeuge wechselt, senkt Ausgaben — die Benennungs-, Dokumentations-, Melde- und Auskunftspflichten der DSGVO bleiben davon unberührt. Jeder der sechs Tipps nennt deshalb drei Dinge: den konkreten Schritt, die ehrliche Grenze und die Fundstelle.

Für die Umsetzung empfiehlt sich eine andere Reihenfolge als die Nummerierung, weil die Tipps 3, 4 und 6 an Einträgen des Verarbeitungsverzeichnisses ansetzen:

1. Tipp 2 — Verzeichnis und Vorlagen bilden die Grundlage
2. Tipp 1 — der Datenschutzbeauftragte begleitet die weiteren Schritte beratend (Art. 39 Abs. 1 DSGVO)
3. Tipp 4 — klärt die Empfänger je Verzeichniseintrag
4. Tipp 6 — klärt die Verträge zu diesen Empfängern
5. Tipp 3 — die Webanalyse kommt als eigener Verzeichniseintrag hinzu
6. Tipp 5 — prüft das Ergebnis

Der Kostenvergleich stellt Standardweg, Spar-Weg und Kostentreiber aller sechs Tipps nebeneinander. Welche Pflichten der Pflichtenkatalog unabhängig von Werkzeug-, Anbieter- und Mandatswahl vorgibt — und welche Auslöser von der Konstellation abhängen —, steht gebündelt im Abschnitt Wo die Ersparnis endet.

1. Externer Datenschutzbeauftragter statt interner

Ein externes Mandat verändert die Kosten der Funktion, nicht die Frage, ob Sie einen Datenschutzbeauftragten benennen müssen. Ein intern besetzter Posten kostet die Vollkosten der Stelle; das Honorar für ein externes Mandat hängt von Größe, Branche und Betreuungsumfang ab und ist über Angebote zu klären. Eine Ersparnis entsteht vor allem dort, wo tatsächlich eine Vollzeitstelle ersetzt wird. Ihre eigene Zahl bilden Sie aus den Vollkosten der internen Stelle abzüglich des angebotenen Mandatshonorars (Rechenweg für alle drei Posten: FAQ).

Die Benennungspflicht hat zwei Ebenen, die immer zusammen zu prüfen sind: die drei EU-weiten Tatbestände des Art. 37 Abs. 1 DSGVO und, in Deutschland ergänzend zu Art. 37 Abs. 1 lit. b und c, die Schwelle des § 38 Abs. 1 BDSG: in der Regel mindestens 20 Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind. In Österreich gibt es keine zahlenmäßige Schwelle, dort folgt die Pflicht allein aus Art. 37 DSGVO. Alle Tatbestände beider Ebenen stehen in der Antwort „Können wir uns den Datenschutzbeauftragten ganz sparen?".

Schritt: Pflicht anhand beider Ebenen prüfen, die Person nach beruflicher Qualifikation und Fachkunde auswählen (Art. 37 Abs. 5 DSGVO — eine juristische Ausbildung verlangt die Norm nicht), Mandatsvertrag schließen, Bestellung schriftlich dokumentieren, die zuständige Aufsichtsbehörde formlos informieren (welche das ist, steht am Ende des Abschnitts Wo die Ersparnis endet), Kontaktdaten in die Datenschutzerklärung der Website aufnehmen (Art. 13 DSGVO, siehe Pflichten-Tabelle), Mitarbeitende informieren. Als Praxisempfehlung zur Fachkunde: Bemessen Sie sie am Umfang und Risiko der eigenen Verarbeitungstätigkeiten und legen Sie die Grundlage der Auswahl — Nachweise, Referenzen, Erfahrung mit vergleichbaren Verarbeitungen — zusammen mit der Bestellung mit Datum ab. Grenze: Die Aufgaben nach Art. 39 Abs. 1 lit. a–e DSGVO bleiben identisch — Unterrichtung und Beratung, Überwachung der Einhaltung einschließlich Sensibilisierung und Schulung der beteiligten Mitarbeitenden, Beratung bei der DSFA, Zusammenarbeit mit der Aufsichtsbehörde und Anlaufstelle für sie. Beim intern angestellten Datenschutzbeauftragten kommt hinzu: Der Kündigungsschutz des § 6 Abs. 4 BDSG gilt bei nichtöffentlichen Stellen über § 38 Abs. 2 BDSG und nur dann, wenn die Benennung verpflichtend ist; in Österreich gilt § 6 Abs. 4 BDSG nicht, dort greift unmittelbar das Abberufungs- und Benachteiligungsverbot des Art. 38 Abs. 3 DSGVO. Als Praxishinweis zur Besetzungsentscheidung: Das Konfliktrisiko ist bei interner Besetzung hoch, sobald die Funktion mit einer Doppelrolle verbunden wird — etwa mit der IT-Leitung —, beim externen Mandat niedrig; die Rollenfrage gehört deshalb vor die Bestellung geklärt und dokumentiert.

Fundstellen: Art. 37 Abs. 1 DSGVO § 38 Abs. 1 BDSG (DE) Art. 37 Abs. 5 DSGVO Art. 39 Abs. 1 DSGVO § 6 Abs. 4 BDSG (DE) Art. 38 Abs. 3 DSGVO

2. Vorlagen statt Einzelberatung

Vorlagen sparen die Erstellungszeit, nicht die inhaltliche Entscheidung. Das Honorar für die anwaltliche Erstellung eines Auftragsverarbeitungsvertrags oder einer Datenschutz-Folgenabschätzung von Grund auf hängt von Umfang und Komplexität ab und ist über Angebote zu klären; unser vollständiger Vorlagensatz für die DSGVO-Dokumentation kostet einmalig 990 EUR netto, 12 Monate Rechtsstand-Updates inklusive. Ihre eigene Zahl bilden Sie aus der Zahl der jährlich anfallenden Auftragsverarbeitungsverträge und Folgenabschätzungen mal dem angebotenen Honorar je Dokument, gegengerechnet gegen den einmaligen Satzpreis.

Tragfähig ist eine Vorlage dort, wo das Gesetz die Struktur vorgibt. Beim Verzeichnis der Verarbeitungstätigkeiten sind das neun Felder je Verarbeitungstätigkeit: acht aus den sieben Pflichtangaben des Art. 30 Abs. 1 lit. a–g — lit. c bündelt zwei Punkte —, dazu die Rechtsgrundlage als neuntes Feld, das nicht in Art. 30 Abs. 1 steht, sondern aus der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO folgt:

1. Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des Datenschutzbeauftragten
2. Zwecke der Verarbeitung
3. Beschreibung der Kategorien betroffener Personen
4. Beschreibung der Kategorien personenbezogener Daten
5. Kategorien der Empfänger
6. Drittlandübermittlungen samt Garantien
7. Geplante Löschfristen
8. Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (Verweis auf das TOM-Konzept nach Art. 32 DSGVO)
9. Rechtsgrundlage — Praxisfeld aus Art. 5 Abs. 2 DSGVO, etwa Art. 6 Abs. 1 lit. b bei Vertrag oder lit. f bei berechtigtem Interesse

Für Auftragsverarbeiter gilt ein eigener, kürzerer Katalog mit vier Pflichtangaben nach Art. 30 Abs. 2 lit. a–d:

1. Name und Kontaktdaten des Auftragsverarbeiters und jedes Verantwortlichen, in dessen Auftrag er tätig ist, gegebenenfalls des Vertreters und des Datenschutzbeauftragten
2. Kategorien der im Auftrag jedes Verantwortlichen durchgeführten Verarbeitungen
3. Gegebenenfalls Drittlandübermittlungen einschließlich Dokumentation geeigneter Garantien
4. Wenn möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1 DSGVO

Ebenso vorstrukturierbar ist der Mindestinhalt des Auftragsverarbeitungsvertrags (Art. 28 Abs. 3 DSGVO).

Schritt: Vorlage übernehmen, Felder je Verarbeitungstätigkeit ausfüllen, TOM nicht in jedes Verzeichnis kopieren, sondern zentral verweisen, Versionsstand mit Datum festhalten. Grenze: Die Datenschutz-Folgenabschätzung ist keine Ausfüllübung — sie ist die Abschätzung der Folgen, die der Verantwortliche bei voraussichtlich hohem Risiko vorab durchführt (Art. 35 Abs. 1 DSGVO; die drei Regelfälle des Art. 35 Abs. 3 DSGVO nennt die Pflichten-Tabelle unten). Der Datenschutzbeauftragte berät dabei (Art. 39 Abs. 1 lit. c DSGVO), die Bewertung selbst bleibt beim Verantwortlichen.

Fundstellen: Art. 30 Abs. 1 und Abs. 2 DSGVO Art. 28 Abs. 3 DSGVO Art. 35 Abs. 1 DSGVO Art. 5 Abs. 2 DSGVO

3. Cookieless Analytics statt Cookie-Banner-Tools

Ein Verfahren, das nichts in der Endeinrichtung speichert und nichts von dort ausliest, spart das Einwilligungsbanner, nicht die Rechtsgrundlage. Die Einwilligungspflicht des § 25 Abs. 1 TDDDG knüpft nämlich an genau diesen technischen Vorgang an: an die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder den Zugriff auf bereits dort gespeicherte Informationen. Ob ein konkretes Produkt weder speichert noch zugreift, ist eine Tatsachenfrage, die Sie sich vom Anbieter schriftlich bestätigen lassen sollten. Anbieter cookieloser Webanalyse wie Pirsch werben damit, ohne Banner auszukommen; bei Consent-Management-Werkzeugen wie Cookiebot oder Usercentrics ist zusätzlich die Banner-Konfiguration einzurichten und dauerhaft zu pflegen — in der Praxis heißt das: sämtliche gesetzten Cookies und Skripte kategorisieren, die Kategorien bei jeder Website- oder Werkzeugänderung nachziehen, den Banner nach jeder Änderung erneut testen — dazu kommen Nachweis und Widerruf der Einwilligungen (siehe Grenze). Entfällt der Tatbestand des § 25 Abs. 1 TDDDG, entfällt mit dem Banner auch dessen Konfigurations- und Pflegeaufwand; darin liegt die Ersparnis, nicht im Vergleich der Monatsgebühren. Ihre eigene Zahl bilden Sie aus der Zahl der Website- und Werkzeugänderungen pro Jahr mal dem Aufwand je Nachpflege- und Testdurchlauf.

Ohne Einwilligung zulässig ist die Speicherung oder der Zugriff nach § 25 Abs. 2 TDDDG nur, wenn der alleinige Zweck die Durchführung der Nachrichtenübertragung ist oder der Zugriff unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann. In Österreich regelt § 165 TKG 2021 das Opt-in für Tracking-Cookies.

Schritt: Vom Anbieter dokumentieren lassen, ob Informationen auf der Endeinrichtung gespeichert oder ausgelesen werden; die Webanalyse als eigene Verarbeitungstätigkeit ins Verzeichnis aufnehmen. Als Praxisempfehlung vor der Freigabe: im Browser prüfen, ob nach dem Seitenaufruf Einträge in Cookies, localStorage oder sessionStorage entstehen, und das Ergebnis mit Datum zusammen mit der Anbieterbestätigung ablegen; für die Banner-Seite gibt es den Cookie-Banner-Audit (TDDDG/DSGVO-Prüfung des Banners). Was ein Werkzeugwechsel danach an Nacharbeit auslöst, steht in Tipp 4. Grenze: Die Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO bleibt davon unberührt (Pflichten-Tabelle). Wo weiterhin mit Einwilligung gearbeitet wird, muss der Verantwortliche nachweisen können, dass eingewilligt wurde (Art. 7 Abs. 1 DSGVO), und der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO).

Fundstellen: § 25 Abs. 1 und Abs. 2 TDDDG (DE) § 165 TKG 2021 (AT) Art. 6 Abs. 1 DSGVO Art. 7 Abs. 1 und Abs. 3 DSGVO

4. EU-Anbieter statt US-Anbieter

Ein EU-Anbieter erspart die Drittland-Dokumentation nur, soweit tatsächlich keine Übermittlung in ein Drittland stattfindet — die Vertrags- und Verzeichnispflichten entfallen ohnehin nicht. Der Prüfaufwand für die Drittland-Garantie hängt an Empfängern in Drittländern; ohne Drittlandübermittlung fällt er nicht an. Er besteht je Empfänger im Drittland darin, das Garantie-Instrument auszuwählen und zu prüfen, die Garantie zu dokumentieren, sie in der eigenen Spalte des Verzeichnisses zu führen und bei jedem Anbieterwechsel fortzuschreiben. Ihre eigene Zahl bilden Sie aus der Zahl der dadurch vermiedenen Drittland-Anbieter mal dem Aufwand je Prüfung — interne Arbeitszeit oder Beratungshonorar nach Angebot.

Der Grund für den Aufwand liegt im Verzeichnis: Zu jeder Verarbeitungstätigkeit gehören die Kategorien der Empfänger und — sofern vorhanden — Drittlandübermittlungen samt Dokumentation geeigneter Garantien (Art. 30 Abs. 1 DSGVO). Für Empfänger in Drittländern braucht es eine Garantie (SCC, DPF, BCR), die in einer eigenen Spalte geführt wird; EU-Empfänger werden in der Praxis namentlich aufgelistet. Ist ein Empfänger im Drittland unvermeidbar, bleibt es bei Garantie, Dokumentation und Verzeichniseintrag — der Anbieterwechsel spart nur dort, wo er die Drittlandübermittlung ganz vermeidet. Ein typischer Prüfbefund ist der fehlende Drittland-Hinweis bei US-Werkzeugen wie Mailchimp, Google oder Zoom, ein zweiter die veraltete Empfänger-Liste, in der abgeschaltete Tools stehen geblieben sind.

Schritt: Empfänger-Liste je Verarbeitungstätigkeit aktualisieren, für jeden Empfänger prüfen, ob eine Drittlandübermittlung stattfindet, und die Garantie in der dafür vorgesehenen Spalte dokumentieren. Als Praxisempfehlung für diese Prüfung: Lassen Sie sich vom Anbieter die aktuelle Liste der Unterauftragsverarbeiter mit deren Standorten geben und schriftlich bestätigen, ob Support- oder Administrationszugriffe außerhalb der EU erfolgen. Solange eines von beidem offen ist, lässt sich nicht belegen, dass keine Drittlandübermittlung stattfindet; ein EU-Firmensitz allein belegt das nicht. Beispiele für solche Wechsel sind Brevo statt Mailchimp und Hetzner statt AWS. Nach dem Wechsel fällt Nacharbeit an; als Praxisempfehlung dafür: den Auftragsverarbeitungsvertrag mit dem bisherigen Anbieter beenden und mit Datum ablegen; dort die Löschung oder Rückgabe der Daten nach Wahl des Verantwortlichen verlangen (Art. 28 Abs. 3 lit. g DSGVO) und die Bestätigung dokumentieren; die Datenschutzerklärung auf den neuen Empfänger und, bei einem Werkzeugwechsel, auf das neue Analyse-Verfahren anpassen (Art. 13 DSGVO, siehe Pflichten-Tabelle); den bestehenden Verzeichniseintrag fortschreiben statt einen zweiten anzulegen, mit Versionsstand und Datum. Grenze: Der Anbieterwechsel ändert nichts am AVV nach Art. 28 Abs. 3 DSGVO und nichts an der Auswahlprüfung nach Art. 28 Abs. 1 DSGVO — beides ausformuliert in Tipp 6. Auch ein EU-Anbieter ist ein Empfänger, der ins Verzeichnis gehört.

Fundstellen: Art. 30 Abs. 1 DSGVO Art. 28 Abs. 1 und Abs. 3 DSGVO

5. DSGVO-Selbsttest mit vorhandenen Bordmitteln

Ein Selbsttest zeigt Lücken, ersetzt aber keinen der Nachweise, die eine Aufsichtsbehörde anfordert. Ohne zusätzliche Beratung nutzbar sind die Bordmittel dieser Seite: die DSGVO-Checkliste mit 30 Prüfpunkten, das DSGVO Self-Assessment sowie die im Schwesterartikel 8 kostenlose Einstiegs-Tools beschriebenen Werkzeuge. Die drei unterscheiden sich im Zuschnitt: die Checkliste deckt die Breite ab, das Self-Assessment liefert einen Reifegrad-Score mit Maßnahmen-Roadmap, der Schwesterartikel beschreibt die einzelnen Werkzeuge; als Praxisempfehlung zuerst die Breite prüfen, danach den Reifegrad bestimmen. Der Aufwand der vier Prüfschritte unten hängt an der Zahl der Verarbeitungstätigkeiten — als Erfahrungswert sind für ein KMU 14 typische Verarbeitungstätigkeiten ein realistischer Ausgangswert:

1. Lohnabrechnung
2. Bewerbermanagement
3. Newsletter-Versand
4. CRM-Kunden-Stammdaten
5. Webanalyse
6. Videoüberwachung
7. Kundenkommunikation
8. Auftragsverarbeitung
9. Lieferantenmanagement
10. Beschwerdemanagement
11. Krankheitsfälle und BEM
12. Zeiterfassung
13. Fuhrpark mit GPS-Tracking
14. Arbeitsmittel-Inventar, soweit personenbezogen

Als Praxisempfehlung für die Planung: je Verarbeitungstätigkeit einen eigenen Termin ansetzen — bei 14 Einträgen ist der Durchlauf keine Sitzung, sondern ein Vorhaben mit Verantwortlichem und Enddatum.

Nutzwert bekommt der Selbsttest, wenn er der Reihenfolge folgt, in der geprüft wird:

1. Verzeichnis der Verarbeitungstätigkeiten — Vollständigkeit, Aktualität und Plausibilität
2. Auftragsverarbeitungsverträge — ist jeder im Verzeichnis genannte externe Auftragsverarbeiter auch vertraglich abgebildet?
3. TOM-Konzept — deckt es die Anforderungen des Art. 32 Abs. 1 DSGVO ab (maßgeblich ist der amtliche Wortlaut, verlinkt im Quellen-Block am Ende dieses Artikels) und sind die Maßnahmen den Verarbeitungen mit dem höchsten Risiko zugeordnet?
4. Datenschutz-Folgenabschätzungen — bei den Verarbeitungen mit hohem Risiko durchgeführt? Die drei Regelfälle nennt die Pflichten-Tabelle.

Ist das Verzeichnis unvollständig, halten Sie den Durchlauf an dieser Stelle an — die Schritte 2 bis 4 setzen es voraus.

Schritt: Selbsttest in dieser Reihenfolge abarbeiten, jede Lücke mit Verantwortlichem und Termin hinterlegen, das Ergebnis mit Datum ablegen — die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt den Nachweis der Einhaltung, nicht einen Score. Als Praxisempfehlung für Zuständigkeit und Turnus: den Durchlauf einer benannten Person aus Geschäftsleitung oder Compliance-Funktion zuordnen, das Ergebnis vom Datenschutzbeauftragten kommentieren lassen — Unterrichtung, Beratung und Überwachung der Einhaltung sind seine Aufgaben nach Art. 39 Abs. 1 DSGVO — und den Durchlauf jährlich sowie bei jeder Änderung wiederholen, bei stark wachsenden Unternehmen quartalsweise. Grenze: Das Verzeichnis ist der Aufsichtsbehörde „auf Anfrage" zur Verfügung zu stellen (Art. 30 Abs. 4 DSGVO); eine Frist in Tagen nennt die Norm nicht. Dass Aufsichtsbehörden eine zügige Übermittlung erwarten, ist eine Praxisbeobachtung und keine gesetzliche Frist — halten Sie das Verzeichnis deshalb so aktuell, dass es ohne Nacharbeit übergeben werden kann. Eine gesetzliche Frist gilt dagegen für Anträge betroffener Personen: unverzüglich, in jedem Fall binnen eines Monats, verlängerbar um zwei weitere Monate (Art. 12 Abs. 3 DSGVO). Tipp 5 senkt keine Rechnung unmittelbar — er bereitet die anwaltliche Bewertung vor, weil Verzeichnis, AVV-Abgleich und Lückenliste beim Mandat bereits strukturiert vorliegen (Zeile 5 des Kostenvergleichs).

Fundstellen: Art. 5 Abs. 2 DSGVO Art. 30 Abs. 4 DSGVO Art. 12 Abs. 3 DSGVO

6. Standard-AVV statt individuell verhandeln

Ein Standard-AVV trägt, wenn er den gesetzlichen Mindestinhalt vollständig abdeckt. SaaS-Standard-AVVs sind in der Praxis oft ausreichend; vermieden wird dann die anwaltliche Prüfung und Nachverhandlung eines bereits vorgelegten Standard-AVV je Anbieter — nicht dessen Neuerstellung, die in Tipp 2 behandelt ist. Ihre eigene Zahl bilden Sie aus der Zahl der Anbieter mal dem angebotenen Honorar je Prüfung.

Art. 28 Abs. 3 DSGVO verlangt einen Vertrag oder ein anderes Rechtsinstrument. Sechs Festlegungen nennt bereits der Einleitungssatz der Norm:

1. Gegenstand der Verarbeitung
2. Dauer der Verarbeitung
3. Art und Zweck der Verarbeitung
4. Art der personenbezogenen Daten
5. Kategorien betroffener Personen
6. Pflichten und Rechte des Verantwortlichen

Diese sechs Festlegungen beschreiben die Verarbeitung sowie die Pflichten und Rechte des Verantwortlichen — die Pflichten des Auftragsverarbeiters selbst stehen nicht darunter. Diese Pflichten stehen in Art. 28 Abs. 3 lit. a–h DSGVO; diese acht Punkte muss der Vertrag dem Auftragsverarbeiter jedenfalls auferlegen:

1. Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen, auch bei einer Drittlandübermittlung (lit. a)
2. Vertraulichkeit der zur Verarbeitung befugten Personen (lit. b)
3. Alle Maßnahmen nach Art. 32 DSGVO (lit. c)
4. Einhaltung der Bedingungen des Art. 28 Abs. 2 und Abs. 4 DSGVO für weitere Auftragsverarbeiter (lit. d)
5. Unterstützung des Verantwortlichen bei den Betroffenenrechten nach Kapitel III (lit. e)
6. Unterstützung bei den Pflichten der Art. 32 bis 36 DSGVO (lit. f)
7. Nach Abschluss der Leistungen Löschung oder Rückgabe aller Daten nach Wahl des Verantwortlichen und Löschung vorhandener Kopien, vorbehaltlich gesetzlicher Speicherpflichten (lit. g)
8. Bereitstellung aller Informationen zum Nachweis sowie Ermöglichung von und Beitrag zu Überprüfungen einschließlich Inspektionen (lit. h)

Diese acht Punkte im vorgelegten Muster einzeln suchen: Fehlt einer oder ist er abgeschwächt — etwa Löschung oder Rückgabe als Wahlrecht des Anbieters statt des Verantwortlichen (lit. g) oder eine Nachweisklausel, die Überprüfungen einschließlich Inspektionen ausschließt (lit. h) —, ist das ein Nachverhandlungspunkt. Ob eine vorhandene Klausel im Einzelfall ausreicht, bleibt eine Auslegungsfrage; maßgeblich ist der amtliche Wortlaut des Art. 28 Abs. 3 DSGVO, verlinkt im Quellen-Block am Ende dieses Artikels. Unabhängig vom Vertragstext gilt Art. 28 Abs. 1 DSGVO: Der Verantwortliche arbeitet nur mit Auftragsverarbeitern, die hinreichend Garantien für geeignete technische und organisatorische Maßnahmen bieten — diese Auswahlprüfung nimmt Ihnen kein Muster ab.

Schritt: Muster Punkt für Punkt gegen die sechs Festlegungen und die acht Pflichten oben abgleichen, fehlende oder abgeschwächte Punkte notieren, jeden Auftragsverarbeiter mit dem passenden Eintrag im Verzeichnis verknüpfen. Grenze: Zwei Verwechslungen sind teuer. Erstens die Rollenfrage: Auftragsverarbeitung (Art. 4 Nr. 8 DSGVO) ist etwas anderes als gemeinsame Verantwortlichkeit (Art. 26 DSGVO) — wer hier falsch einordnet, hat den falschen Vertragstyp. Zweitens die Dokumentenfrage: Der AVV ist nicht das Verzeichnis. Auftragsverarbeiter führen zusätzlich ein eigenes Verzeichnis mit vier Pflichtangaben nach Art. 30 Abs. 2 DSGVO.

Fundstellen: Art. 28 Abs. 1 und Abs. 3 DSGVO Art. 26 DSGVO Art. 30 Abs. 2 DSGVO

Kostenvergleich auf einen Blick

Die Tabelle nennt je Maßnahme Standardweg, Spar-Weg und die Grenze der Ersparnis. Nicht in jeder Zeile geht es dabei um zwei Erfüllungswege derselben Pflicht: In Zeile 3 entfällt im Spar-Weg der Tatbestand des § 25 Abs. 1 TDDDG, sofern das Verfahren weder in der Endeinrichtung speichert noch daraus ausliest (siehe Tipp 3), in Zeile 4 die Drittland-Konstellation, und Zeile 5 vergleicht keine Pflichterfüllung.

Die Zeilen haben unterschiedliche Bezugsrahmen und lassen sich deshalb nicht zu einer Gesamtsumme addieren.

Wo die Ersparnis endet: Pflichten ohne Spar-Option

Alle sechs Tipps senken Ausgaben innerhalb eines Rahmens, den sie nicht verschieben. Ob eine der folgenden Pflichten greift, richtet sich allein nach dem gesetzlichen Auslöser in der mittleren Spalte — Werkzeug-, Anbieter- und Mandatswahl ändern die Kosten der Erfüllung, nicht den Pflichtinhalt. Einige Auslöser hängen dabei von der technischen beziehungsweise vertraglichen Konstellation ab: Die Einwilligung nach § 25 Abs. 1 TDDDG setzt voraus, dass überhaupt in der Endeinrichtung gespeichert oder ausgelesen wird (siehe Tipp 3); der Auftragsverarbeitungsvertrag und das eigene Verzeichnis des Auftragsverarbeiters setzen eine Verarbeitung im Auftrag voraus. Die Tabelle nennt je Zeile die Pflicht, den gesetzlichen Auslöser und die Fundstelle. Rein nationale Normen sind mit „DE" beziehungsweise „AT" gekennzeichnet; alle übrigen Fundstellen sind DSGVO-Normen, die in Deutschland und Österreich gleichermaßen unmittelbar gelten.

Aufsicht ist in Deutschland für nichtöffentliche Stellen im Grundsatz die nach Landesrecht zuständige Landesbehörde (§ 40 Abs. 1 BDSG) — eine einheitliche Bundesbehörde gibt es dafür nicht; für die öffentlichen Stellen des Bundes sowie für bestimmte Anbieter von Telekommunikationsdiensten ist die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit zuständig (§ 9 Abs. 1 BDSG). In Österreich ist es für alle Verantwortlichen dieselbe Stelle: die Datenschutzbehörde mit Sitz in Wien (§ 18 Abs. 1 DSG).