DSGVO-Leitfaden für deutsche Unternehmen: Checkliste und wichtigste Anforderungen

Die Bußgelder nach der DSGVO (GDPR) erreichten 2025 ein Rekordhoch. Da NIS2, der EU AI Act und DORA zusätzliche Anforderungen mit sich bringen, sehen sich deutsche Unternehmen einer immer komplexeren Compliance-Landschaft gegenüber. Hier ist Ihre praktische Checkliste.

Die wichtigsten DSGVO-Pflichten

1. Rechtsgrundlage der Verarbeitung

Jede Datenverarbeitung braucht eine Rechtsgrundlage: Einwilligung, Vertrag, rechtliche Verpflichtung oder berechtigtes Interesse.

2. Datenschutzbeauftragter (DSB)

Pflicht für Unternehmen, in denen mindestens 20 Beschäftigte regelmäßig personenbezogene Daten verarbeiten. Der DSB muss unabhängig sein und direkt an die Geschäftsleitung berichten.

3. Meldung von Datenpannen

72-Stunden-Frist für die Meldung an die Aufsichtsbehörde. Betroffene Personen sind zu benachrichtigen, wenn ein hohes Risiko besteht.

4. Betroffenenrechte

Anfragen sind innerhalb von 1 Monat zu bearbeiten: Auskunft, Berichtigung, Löschung („Recht auf Vergessenwerden“), Datenübertragbarkeit.

5. Verzeichnis von Verarbeitungstätigkeiten

Führen Sie schriftliche Aufzeichnungen, u. a. zu Zweck, Datenkategorien, Empfängern und Aufbewahrungsfristen.

Compliance-Checkliste

• Alle Verarbeitungstätigkeiten mit personenbezogenen Daten erfassen
• Rechtsgrundlage für jede Tätigkeit dokumentieren
• Datenschutzbeauftragten benennen, falls erforderlich (ab 20 Beschäftigten)
• Technische und organisatorische Maßnahmen (TOMs) umsetzen
• Datenschutzerklärungen erstellen und pflegen
• Verfahren zur Meldung von Datenpannen festlegen
• Datenschutz-Folgenabschätzungen (DSFA) für risikoreiche Verarbeitungen durchführen
• Sicherstellen, dass Auftragsverarbeitungsverträge (AVVs) vorliegen
• Alle Beschäftigten im Datenschutz schulen
• Verfahren für Anfragen zu Betroffenenrechten einführen

Sanktionen

Schwere des Verstoßes	Höchstbußgeld
Untere Stufe	10 Mio. EUR oder 2 % des Jahresumsatzes
Obere Stufe	20 Mio. EUR oder 4 % des Jahresumsatzes

Neue Anforderungen

NIS2-Richtlinie (2024–2025)

Erweiterter Anwendungsbereich, verpflichtende Meldung von Sicherheitsvorfällen, Haftung der Geschäftsleitung für Cybersicherheit.

EU AI Act (Durchsetzung ab August 2026)

Risikoklassifizierung von KI-Systemen, Transparenzpflichten, verpflichtende menschliche Aufsicht.

DORA (Finanzsektor, Januar 2025)

Rahmenwerk für das IKT-Risikomanagement, Tests der digitalen operationalen Resilienz.

Compliance-Dokumentation sicher teilen

Nutzen Sie sichere Kanäle, wenn Sie Compliance-Unterlagen teilen – etwa Datenschutz-Folgenabschätzungen, Berichte zu Datenpannen oder Verzeichnisse zur Verarbeitung von Beschäftigtendaten. Mit LOCK.PUB teilen Sie vertrauliche Compliance-Details in passwortgeschützten Memos. Mit Pro lässt sich ein Memo so einstellen, dass es nur einmal geöffnet werden kann – nach dem Zugriff lässt sich der Link nicht mehr öffnen, sodass geteilte Unterlagen nicht zum Datenrisiko werden.

Bewahren Sie Ihre DSGVO-Checklisten und vertraulichen internen Dokumente sicher in passwortgeschützten LOCK.PUB-Links auf, für die Sie ein Ablaufdatum festlegen können (Pro), statt sie als unverschlüsselte E-Mail-Anhänge zu verschicken.

---

DSGVO-Compliance ist nicht optional – sie ist gesetzlich vorgeschrieben. Beginnen Sie mit der obigen Checkliste, benennen Sie bei Bedarf einen Datenschutzbeauftragten und dokumentieren Sie alles.