DSGVO Top-10 Fehler bei KMU 2026

Jeder der zehn Punkte nennt die Pflicht, die Norm, aus der sie folgt, und die Maßnahme. Die Rechtsangaben nennen den jeweiligen Rechtsakt; die im Quellenverzeichnis geführten Volltexte sind dort verlinkt, soweit ein Volltext hinterlegt ist. Für Bußgelder nennt der Artikel die gesetzlichen Rahmen nach Art. 83 DSGVO, keine Durchschnittswerte. Wo deutsches und österreichisches Recht auseinanderlaufen, sind beide Rechtsräume getrennt benannt.

1. VVT als 'einmaliges Excel' behandeln

Das Verarbeitungsverzeichnis ist ein lebendiges Dokument. Praxis-Rhythmus: quartalsweiser Review, zusätzlich bei jeder neuen Verarbeitung (Praxisempfehlung; keine hier belegte gesetzliche Frist).

Die Pflicht folgt aus Art. 30 Abs. 1 DSGVO: Jeder Verantwortliche führt ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen. Art. 30 Abs. 1 lit. a bis g zählt sieben Pflichtangaben auf; weil lit. c zwei Punkte bündelt — Kategorien betroffener Personen und Kategorien personenbezogener Daten —, führt die Praxis daraus acht Pflichtfelder, ergänzt um die Rechtsgrundlage als neuntes:

1. Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des Vertreters und des Datenschutzbeauftragten
2. Zwecke der Verarbeitung
3. Kategorien betroffener Personen
4. Kategorien personenbezogener Daten
5. Kategorien von Empfängern
6. Drittlandübermittlungen samt Garantien
7. geplante Löschfristen
8. allgemeine Beschreibung der technischen und organisatorischen Maßnahmen
9. Rechtsgrundlage — Praxisfeld, in Art. 30 Abs. 1 nicht genannt, abgeleitet aus der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO

Wer im Auftrag verarbeitet, führt zusätzlich das kürzere Verzeichnis nach Art. 30 Abs. 2 lit. a bis d DSGVO: Name und Kontaktdaten des Auftragsverarbeiters und jedes Verantwortlichen, Kategorien der im Auftrag jedes Verantwortlichen durchgeführten Verarbeitungen, gegebenenfalls Drittlandübermittlungen einschließlich Dokumentation geeigneter Garantien und — wenn möglich — eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1 DSGVO.

Die Ausnahme des Art. 30 Abs. 5 DSGVO greift nur kumulativ: weniger als 250 Beschäftigte und kein Risiko für die Rechte und Freiheiten der betroffenen Personen und keine regelmäßige Verarbeitung und keine besonderen Kategorien nach Art. 9 oder strafrechtlichen Daten. Der Wortlaut stellt dabei auf „ein Risiko" ab, nicht auf ein hohes Risiko — die Schwelle „hohes Risiko" gilt allein für die Folgenabschätzung nach Art. 35 Abs. 1 DSGVO. Lohnabrechnung, CRM und Newsletter sind regelmäßige Verarbeitungen; damit entfällt die Ausnahme praktisch ab dem ersten Mitarbeitenden mit Kundenkontakt.

Österreich: Art. 30 DSGVO gilt wortgleich — gleiche Pflichtangaben, keine abweichenden Schwellen oder Fristen. Unterschiedlich ist nur die Aufsicht: zuständig ist allein die Datenschutzbehörde (§ 18 Abs. 1 DSG).

Fix (Praxisempfehlung): Quartalsweiser VVT-Review im Compliance-Kalender, zusätzlich anlassbezogen bei neuen IT-Systemen und Auftragsverarbeitern. Prüfreihenfolge der Aufsicht nach Praxiserfahrung: VVT → AVV → TOM → DSFA.

2. Kein AVV mit Standard-SaaS-Anbietern

Microsoft 365, Salesforce, HubSpot, Mailchimp — alle Auftragsverarbeiter. Ohne AVV: Verstoß Art. 28. Bußgeld bis 10 Mio. EUR / 2%.

Art. 28 Abs. 1 DSGVO erlaubt die Zusammenarbeit nur mit Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Die Verarbeitung muss auf einem Vertrag oder einem anderen Rechtsinstrument beruhen, in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festgelegt sind (Art. 28 Abs. 3 DSGVO). Der Bußgeldrahmen für Verstöße gegen Art. 25 bis 39 DSGVO liegt bei bis zu 10 Mio. EUR oder 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs — je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 DSGVO).

Zwei häufige VVT-Mängel betreffen den AVV unmittelbar: Auftragsverarbeitung wird mit gemeinsamer Verantwortlichkeit nach Art. 26 DSGVO verwechselt, und abgelöste Dienstleister bleiben als Empfänger im Verzeichnis stehen. Deshalb gehört jede AVV-Zeile gegen die Empfängerliste des VVT gespiegelt.

Österreich: Für die Auftragsverarbeitung gibt es keine AT-Sonderregel; es bleibt bei Art. 28 Abs. 1 und Abs. 3 DSGVO. Ergänzend verpflichtet § 6 DSG Verantwortliche, Auftragsverarbeiter und ihre Mitarbeiter zum Datengeheimnis.

Fix (Praxisempfehlung): AVV-Inventar je Tool: Standard-AVV des Anbieters beziehen, gegen den Mindestinhalt des Art. 28 Abs. 3 DSGVO abgleichen (Gegenstand und Dauer, Art und Zweck, Art der personenbezogenen Daten, Kategorien betroffener Personen, Rechte und Pflichten des Verantwortlichen), Unterauftragnehmer-Liste und Drittlandbezug erfassen, Version und Freigabedatum dokumentieren und die Zeile gegen die Empfängerliste des VVT spiegeln.

3. Cookie-Banner ohne Equal-Choice

'Akzeptieren' grün/groß + 'Ablehnen' verlinkt = Dark Pattern. Gesetzlicher Bußgeldrahmen: bis 300.000 EUR für das Speichern oder Auslesen ohne Einwilligung (§ 28 Abs. 1 Nr. 13, Abs. 2 TDDDG), daneben Art. 83 DSGVO.

Rechtlicher Anker in Deutschland ist § 25 Abs. 1 TDDDG: Das Speichern von Informationen in der Endeinrichtung des Endnutzers und der Zugriff auf bereits gespeicherte Informationen sind nur zulässig, wenn der Endnutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat; Information und Einwilligung haben gemäß der DSGVO zu erfolgen. Ohne Einwilligung bleiben nach § 25 Abs. 2 TDDDG zwei Fälle zulässig: wenn der alleinige Zweck die Durchführung der Nachrichtenübertragung ist, und wenn der Zugriff unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann.

Aus dem DSGVO-Maßstab folgen zwei Anforderungen, an denen Banner in der Praxis scheitern: Der Verantwortliche muss nachweisen können, dass eingewilligt wurde (Art. 7 Abs. 1 DSGVO), und der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO). Ein Banner, das mit einem Klick zustimmt, den Widerruf aber in ein Untermenü verlegt, gerät mit diesem Maßstab in Konflikt.

Österreich: Das TDDDG gilt nur in Deutschland. Für Tracking-Cookies verlangt in Österreich § 165 TKG 2021 eine Opt-in-Einwilligung; der Einwilligungsmaßstab bleibt der der DSGVO.

Fix (Praxisempfehlung): Banner-Audit mit gleicher Größe, Farbe, Position für beide Buttons. Praktisch heißt das: Ablehnen auf derselben Ebene wie Annehmen, also ohne zusätzlichen Klick; gleiche Schriftgröße und Buttonfläche; kein Farbkontrast zugunsten einer Option. Dazu ein jederzeit erreichbarer Widerrufspunkt, damit der Widerruf so einfach bleibt wie die Erteilung (Art. 7 Abs. 3 DSGVO).

4. Datenpanne nicht binnen 72h gemeldet

Art. 33 DSGVO: 72h-Meldefrist. Gesetzlicher Bußgeldrahmen bei Verstößen: bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO).

Die Frist läuft ab Kenntnis: Der Verantwortliche meldet unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde — es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Wird die Frist überschritten, ist der Meldung eine Begründung für die Verzögerung beizufügen (Art. 33 Abs. 1 DSGVO). Bei voraussichtlich hohem Risiko kommt die Benachrichtigung der betroffenen Person hinzu, unverzüglich und in klarer, einfacher Sprache (Art. 34 Abs. 1 DSGVO); sie entfällt unter anderem bei wirksamer Verschlüsselung oder wenn das hohe Risiko durch nachfolgende Maßnahmen nicht mehr besteht (Art. 34 Abs. 3 DSGVO).

DE/AT: Die 72-Stunden-Frist gilt EU-einheitlich (Art. 33 Abs. 1 DSGVO). Unterschiedlich ist nur der Meldeadressat — in Deutschland die zuständige Landesdatenschutzbehörde (§ 40 Abs. 1 BDSG), für öffentliche Stellen des Bundes die oder der BfDI (§ 9 Abs. 1 BDSG); in Österreich die Datenschutzbehörde (§ 18 Abs. 1 DSG).

Dokumentiert wird jede Panne, auch die nicht gemeldete: Zeitpunkt von Eintritt und Kenntnisnahme, Beschreibung, Folgen und Risikoabschätzung, Maßnahmen und — falls nicht gemeldet wurde — die Begründung dafür (Art. 33 Abs. 5 DSGVO).

Fix (Praxisempfehlung; gesetzlich maßgeblich ist die Frist aus Art. 33 Abs. 1 DSGVO): Datenpannen-Verfahren mit 24h-Internal-Trigger und 48h-Meldung an die zuständige Aufsichtsbehörde.

5. Keine TIA bei US-Anbietern

Die TIA wird je US-Anbieter geführt und hält die Drittlandübermittlung samt gewählter Garantie fest — als Praxisempfehlung auch unter DPF. Der Hintergrund: Empfänger in Drittländern brauchen eine Garantie — in der Praxis SCC, DPF oder BCR. Bei DPF-Kollaps droht Sofort-Risiko.

Der dokumentarische Ort dafür ist das Verarbeitungsverzeichnis: Art. 30 Abs. 1 DSGVO verlangt die Angabe von Drittlandübermittlungen einschließlich der Dokumentation geeigneter Garantien, für Auftragsverarbeiter gilt dasselbe nach Art. 30 Abs. 2 lit. c DSGVO — geführt in einer eigenen Spalte, nicht als Fußnote (Pflichtfelder siehe Punkt 1). Ein häufiger Befund: US-Tools wie Mailchimp, Google oder Zoom stehen ohne Drittland-Hinweis im Verzeichnis. Unabhängig davon bleibt die Garantie-Prüfung nach Art. 28 Abs. 1 DSGVO — auch ein DPF-zertifizierter Anbieter muss hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Praxisempfehlung: diese Garantie-Prüfung auch bei DPF-zertifizierten Anbietern dokumentieren.

Fix (Praxisempfehlung, Prüfumfang aus der Praxis): Pro US-Anbieter eine TIA dokumentieren und darin festhalten: 1. Anbieter und eingesetzte Unterauftragnehmer, 2. Datenkategorien und betroffene Personengruppen, 3. Zielland und gewählte Garantie (SCC, DPF oder BCR), 4. ergänzende technische Maßnahmen wie Verschlüsselung, 5. Ergebnis und Datum der Prüfung, 6. Fallback-Garantie: bei DPF-gestützten Anbietern vorab festhalten, ob dieselbe Übermittlung ersatzweise auf SCC gestützt werden kann und ob der Anbieter SCC bereits anbietet — so ist bei Wegfall der DPF-Grundlage keine Neuverhandlung nötig.

6. Datenschutzbeauftragter nicht benannt trotz § 38 BDSG-Schwelle

20+ Personen mit automatisierter Verarbeitung (DE, § 38 Abs. 1 BDSG) → Datenschutzbeauftragter Pflicht. Gesetzlicher Bußgeldrahmen: bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO). In Österreich gibt es keine solche Personen-Schwelle: die Benennungspflicht folgt dort unmittelbar aus Art. 37 Abs. 1 DSGVO (ergänzend § 5 DSG). Unabhängig von der Beschäftigtenzahl ist ein Datenschutzbeauftragter in beiden Ländern zu benennen, wenn die Kerntätigkeit eine umfangreiche regelmäßige Überwachung oder die umfangreiche Verarbeitung besonderer Datenkategorien umfasst (Art. 37 Abs. 1 lit. b, c DSGVO).

In Deutschland genügt eine von mehreren Voraussetzungen. § 38 Abs. 1 Satz 1 BDSG greift, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Personenzahl greift § 38 Abs. 1 Satz 2 BDSG, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen oder wenn Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden. Mitgezählt werden auch Werkstudenten, Auszubildende und geringfügig Beschäftigte, sofern sie mit personenbezogenen Daten arbeiten.

DE/AT: Auch beim Kündigungsschutz laufen die Rechtsräume auseinander. In Deutschland gilt § 6 Abs. 4 BDSG — Kündigung nur aus wichtigem Grund — bei nichtöffentlichen Stellen über § 38 Abs. 2 BDSG und nur dann, wenn die Benennung verpflichtend ist. Der EuGH hat zudem entschieden, dass der Kündigungsschutz unabhängig von der Konzernkonstellation greift (C-453/21, X-FAB Dresden, 2023). In Österreich greift Art. 38 Abs. 3 DSGVO unmittelbar: Der Datenschutzbeauftragte darf wegen der Erfüllung seiner Aufgaben nicht abberufen oder benachteiligt werden.

Fix (Praxisempfehlung): Sofort einen externen oder internen Datenschutzbeauftragten benennen und der zuständigen Aufsichtsbehörde melden. Bestellung schriftlich dokumentieren, Kontaktdaten in der Datenschutzerklärung ergänzen.

7. Datenschutzerklärung >12 Monate alt

Pflicht-Update bei jeder Änderung der Verarbeitungen. Stale-Erklärungen sind Indiz.

Die zwölf Monate aus der Überschrift sind ein Praxis-Indiz. Die Informationspflichten nach Art. 13 und Art. 14 DSGVO knüpfen an die Änderung der Verarbeitung an, nicht an einen Kalenderabstand. Zwölf Monate ohne jede Anpassung sind lediglich ein Praxis-Indiz dafür, dass der Abgleich mit dem Verarbeitungsverzeichnis ausgeblieben ist; daher der halbjährliche Rhythmus im Fix.

Die Informationspflichten folgen unmittelbar aus Art. 13 und Art. 14 DSGVO. Zu den Pflichtangaben gehört der Hinweis auf das Beschwerderecht bei einer Aufsichtsbehörde (Art. 13 Abs. 2 lit. d DSGVO) — in der Praxis lohnt eine Kontrolle bei Sitz-, Rechtsform- oder Rechtsraumwechsel. Ist ein Datenschutzbeauftragter benannt, sieht die Checkliste zur Bestellung als Praxisschritt vor, dessen Kontaktdaten in der Erklärung zu ergänzen.

Zweiter Prüfpunkt ist der Gleichlauf mit dem Verarbeitungsverzeichnis. Praxisempfehlung: Empfängerkategorien, Drittlandübermittlungen und Löschfristen in beiden Dokumenten gegeneinander abgleichen. Veraltete Empfängerlisten — etwa ein abgelöstes Newsletter-Tool — und fehlende Löschfristen zählen zu den häufigsten VVT-Fehlern und schlagen unmittelbar auf die Datenschutzerklärung durch.

Österreich: Als Beschwerdestelle ist die österreichische Datenschutzbehörde zu nennen (Art. 13 Abs. 2 lit. d DSGVO), mit Adresse und Beschwerdeweg; AT-typisch sind zudem eigene Empfängerkategorien wie die ÖGK anstelle der gesetzlichen Krankenkasse in Deutschland. Das DSG enthält zu den Informationspflichten keine eigene Norm.

Fix (Praxis-Rhythmus; keine hier belegte gesetzliche Frist): Halbjährlicher Abgleich der Datenschutzerklärung gegen das VVT — Empfängerkategorien, Drittlandübermittlungen, Löschfristen, Kontaktdaten von Verantwortlichem und Datenschutzbeauftragtem sowie die zuständige Aufsichtsbehörde als Beschwerdestelle. Zusätzlich anlassbezogen bei jedem neuen Tool, jedem Sitz- oder Rechtsformwechsel und jedem Wechsel des Rechtsraums.

8. Bewerber-Daten >6 Monate aufbewahrt

BAG 2 AZR 1180/16: 6 Monate nach Absage Pflichtlöschung. Talent-Pool nur mit Einwilligung.

Warum es überhaupt ein Aufbewahrungsfenster braucht, ergibt sich aus dem Antidiskriminierungsrecht. In Deutschland muss ein Anspruch nach § 15 Abs. 1 oder 2 AGG innerhalb von zwei Monaten schriftlich geltend gemacht werden; bei einer Bewerbung beginnt die Frist mit dem Zugang der Ablehnung (§ 15 Abs. 4 AGG). Kommt es zum Streit, greift § 22 AGG: Wer Indizien beweist, die eine Benachteiligung wegen eines Grundes nach § 1 AGG vermuten lassen, verlagert die Beweislast auf die andere Partei. Ohne Auswahlunterlagen im relevanten Zeitfenster lässt sich dieser Gegenbeweis nicht führen — zu frühes Löschen ist damit ebenso ein Risiko wie zu langes Aufbewahren. Aus der Zwei-Monats-Frist allein folgt kein Aufbewahrungsfenster von sechs Monaten — die sechs Monate folgen aus der oben genannten BAG-Entscheidung.

Österreich: Die Frist ist anders konstruiert. Ansprüche wegen der Nichtbegründung eines Arbeitsverhältnisses sind binnen sechs Monaten ab der Ablehnung gerichtlich geltend zu machen (§ 15 bzw. § 29 GlBG). Besteht der Schaden nur in der Nichtberücksichtigung der Bewerbung, gebührt eine Entschädigung bis zu 500 Euro (§ 12 bzw. § 26 GlBG).

Für den Talent-Pool ist die Einwilligung die Rechtsgrundlage — mit den Nachweis- und Widerrufsanforderungen aus Art. 7 Abs. 1 und Abs. 3 DSGVO (siehe Punkt 3).

Fix (DE: Umsetzung der BAG-Vorgabe aus 2 AZR 1180/16; AT-Bemessung als Praxisempfehlung): Automatisierte Löschregel im ATS: DE sechs Monate nach der Absage; AT so bemessen, dass die sechsmonatige gerichtliche Geltendmachungsfrist ab Ablehnung (§ 15 bzw. § 29 GlBG) vollständig abgedeckt ist — als Praxisempfehlung ebenfalls sechs Monate ab Ablehnung, mit Löschsperre, solange ein Verfahren anhängig ist. Talent-Pool nur mit dokumentierter Einwilligung in einem getrennten Datensatz.

9. Keine Schulung in DSGVO + AI-Literacy

DSGVO Art. 32 + AI Act Art. 4 ab 02.02.2025. Schulungspflicht; die jährliche Wiederholung ist Praxis-Rhythmus, keine gesetzliche Frist (siehe Fix).

Auf der Datenschutzseite ist die Schulung Teil der Überwachungsaufgabe des Datenschutzbeauftragten: Art. 39 Abs. 1 lit. b DSGVO nennt ausdrücklich die Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeitenden.

Auf der KI-Seite ist der Zeitplan der KI-VO überwiegend eingetreten: Die Verordnung gilt seit dem 2. August 2026 grundsätzlich, ihre Kapitel I und II bereits seit dem 2. Februar 2025; die Pflichten für Hochrisiko-KI-Systeme (Kapitel III Abschnitte 1 bis 3) gelten in der seit 27. Juli 2026 geltenden Fassung erst ab dem 2. Dezember 2027 für Systeme nach Art. 6 Abs. 2 und Anhang III und ab dem 2. August 2028 für Systeme nach Art. 6 Abs. 1 und Anhang I (Art. 113 KI-VO i. d. F. der Verordnung (EU) 2026/1744). Zwei Inhalte gehören deshalb in jede Schulung, in der KI-Werkzeuge vorkommen: dass Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen zu den verbotenen Praktiken zählt (Art. 5 Abs. 1 KI-VO), und dass Betreiber offenlegen müssen, wenn sie Deepfakes erzeugen oder manipulieren (Art. 50 Abs. 4 KI-VO), während die maschinenlesbare Kennzeichnung synthetischer Audio-, Bild-, Video- oder Textausgaben die Anbieter trifft (Art. 50 Abs. 2 KI-VO).

Fix (Praxisempfehlung — die Jährlichkeit ist ein Praxis-Rhythmus, keine hier belegte gesetzliche Frist): E-Learning-Modul mit Quiz + Wissens-Nachweis, jährlich wiederholt und zusätzlich anlassbezogen bei neuen Verarbeitungen und neuen KI-Werkzeugen. Im Schulungsplan festhalten, wer teilnimmt — eigene Beschäftigte und Dienstleister mit Zugriff auf die eingesetzten KI-Werkzeuge.

10. Kein Verfahren für Betroffenenrechte

Art. 15-22: Antwort binnen 1 Monat Pflicht. Bei Komplexität verlängerbar auf 3 Monate.

Genau formuliert: Der Verantwortliche stellt Informationen über die auf einen Antrag nach Art. 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn Komplexität und Anzahl der Anträge das erfordern; über die Verlängerung ist die betroffene Person innerhalb des ersten Monats unter Angabe der Gründe zu unterrichten (Art. 12 Abs. 3 DSGVO). Die Verlängerung tritt also nicht von selbst ein — sie muss fristgerecht mitgeteilt werden.

Der Bußgeldrahmen ist hier der höhere — bis 20 Mio. EUR oder 4 % (Art. 83 Abs. 5 DSGVO, Rahmen siehe Punkt 2). In Deutschland stellt § 43 Abs. 1 BDSG ergänzend zwei Verstöße aus dem Verbraucherkreditbereich (§ 30 BDSG) als Ordnungswidrigkeit unter Bußgeld — darunter die nicht richtige Behandlung des Auskunftsverlangens eines Darlehensgebers aus einem anderen EU-Mitgliedstaat; der Rahmen beträgt bis zu 50.000 Euro (§ 43 Abs. 2 BDSG).

Österreich: Die Fristen des Art. 12 Abs. 3 DSGVO gelten unverändert. Ergänzend sieht § 11 DSG eine verhältnismäßige Anwendung des Art. 83 DSGVO vor — insbesondere bei erstmaligen Verstößen eine Verwarnung durch die Datenschutzbehörde statt einer Geldbuße.

Fix (Praxisempfehlung): Eingangsdatum jedes Antrags dokumentieren (Tag 0), Identität prüfen, Fristenkalender mit Vorlauf vor Tag 30; Textbausteine für Auskunft, Löschung und Berichtigung sowie ein eigenes Template für die Verlängerungsmitteilung mit Begründung, das innerhalb des ersten Monats hinausgeht (Art. 12 Abs. 3 DSGVO). Eine zentrale Eingangsadresse festlegen, damit Anträge aus Postfächern einzelner Mitarbeitender nicht liegenbleiben.

Pflichten, Auslöser und Fundstellen im Überblick

Die Tabelle bündelt die Normen, auf die sich die zehn Punkte und die FAQ stützen. In der Spalte „Frist / Maßstab" sind Praxisempfehlungen ausdrücklich als solche gekennzeichnet; alle übrigen Angaben dieser Spalte geben den jeweils genannten Rechtsakt wieder. Ein Gedankenstrich steht dort, wo die Pflicht an das Vorliegen des Auslösers anknüpft und die Übersicht keine Frist ausweist.