Datenschutzmanagement

Das Verarbeitungsverzeichnis

Das ist das Herzstück. Achte darauf, dass du Verarbeitungstätigkeiten nicht nur anlegen, sondern auch verknüpfen kannst, etwa mit den beteiligten Systemen, den Dienstleistern und den Löschfristen. Wenn jede Angabe isoliert in einem Formular steht, hast du am Ende doppelte Pflege und Widersprüche.

Verwaltung der Auftragsverarbeitung

Du brauchst einen Überblick über alle Dienstleister, die für dich Daten verarbeiten, und über den Stand der Verträge. Nützlich ist, wenn die Software dich erinnert, bevor ein Vertrag ausläuft oder wenn ein Dienstleister neu dazukommt, ohne dass ein Vertrag hinterlegt ist.

Aufgaben und Fristen

Datenschutz ist kein einmaliges Projekt, sondern laufende Arbeit. Eine Software, die Aufgaben verteilen und Fristen überwachen kann, nimmt dir das ständige Nachhalten ab. Prüf in der Demo, ob Aufgaben an konkrete Personen gehen und ob diese eine Erinnerung bekommen, ohne dass du sie manuell anstößt.

Umgang mit Betroffenenanfragen

Wenn jemand Auskunft über seine Daten verlangt, läuft eine Frist. Die Software sollte solche Anfragen erfassen, den Bearbeitungsstand festhalten und die Frist im Blick behalten. Das klingt banal, aber genau hier verlieren Betriebe im Alltag den Überblick.

Meldung von Datenpannen

Es gibt eine kurze Frist, in der du eine Datenpanne melden musst. Eine Vorlage und ein geführter Prozess helfen, im Stress nichts zu vergessen. Achte darauf, dass die Software dokumentiert, wer wann was entschieden hat, denn diese Nachvollziehbarkeit ist im Ernstfall Gold wert.

Schulungen und Nachweise

Mitarbeitende müssen für das Thema sensibilisiert werden. Manche Tools bringen Schulungsinhalte mit, andere dokumentieren nur, wer wann geschult wurde. Beides ist legitim, du solltest nur wissen, was du bekommst, bevor du unterschreibst.

Größe und Reifegrad deines Betriebs

Ein Betrieb mit fünf Leuten braucht etwas anderes als ein Betrieb mit dreihundert. Wenn ihr gerade erst anfangt, ist eine schlanke Lösung mit klaren Vorlagen mehr wert als ein System mit tausend Einstellmöglichkeiten, das euch überfordert. Umgekehrt stößt eine zu einfache Lösung schnell an Grenzen, wenn ihr wachst.

Wer bedient das Tool später

Lass die Software in der Demo von der Person bedienen, die später täglich damit arbeitet, nicht vom Chef und nicht vom Vertrieb des Anbieters. Gib dieser Person eine echte Aufgabe, etwa eine Verarbeitungstätigkeit anzulegen, und schau zu, wo sie stockt. Was in der Demo hakt, wird im Alltag zum Ärgernis.

Integration in eure vorhandene Landschaft

Frag früh, ob und wie die Software mit den Systemen zusammenarbeitet, die ihr schon nutzt. Wenn du alles doppelt pflegen musst, weil nichts zusammenspielt, sinkt die Bereitschaft, das Tool überhaupt zu benutzen. Und ein Tool, das keiner benutzt, ist teurer als kein Tool.

Wo liegen die Daten

Es wirkt paradox, aber gerade eine Datenschutz-Software sollte selbst sauber mit Daten umgehen. Frag nach dem Serverstandort und danach, ob der Anbieter selbst als Auftragsverarbeiter für dich auftritt. Lass dir den entsprechenden Vertrag zeigen, bevor du dich bindest.

Exportierbarkeit

Überleg dir vor dem Einstieg, wie du wieder rauskommst. Kannst du deine Daten in einem brauchbaren Format exportieren, wenn du den Anbieter wechselst? Wenn ein Anbieter darauf ausweichend antwortet, ist das ein Warnsignal.

Beim Preis lohnt es sich, genauer hinzuschauen als auf die Zahl auf der Startseite. Die üblichen Modelle unterscheiden sich stärker, als sie auf den ersten Blick wirken.

Häufige Abrechnungsmodelle

Verbreitet ist eine Abrechnung pro Monat oder pro Jahr, oft gestaffelt nach der Betriebsgröße oder nach der Zahl der Nutzerinnen und Nutzer. Manche Anbieter rechnen nach der Zahl der Mitarbeitenden im Betrieb ab, andere nach der Zahl der Personen, die aktiv mit der Software arbeiten. Das kann einen erheblichen Unterschied machen, wenn viele Leute nur gelegentlich reinschauen.

Die Kosten, die nicht auf der Preisliste stehen

Der Grundpreis ist selten der ganze Preis. Achte auf einmalige Einrichtungskosten, auf Kosten für die Datenübernahme aus deinen alten Tabellen und auf Aufpreise für einzelne Funktionsbereiche. Häufig kostet der Basisumfang wenig, aber genau die Funktion, die du eigentlich brauchst, liegt im teureren Paket.

Rechne außerdem die interne Zeit ein. Jemand muss die Software einrichten, die Daten einpflegen und sich einarbeiten. Diese Arbeitszeit taucht in keinem Angebot auf, ist aber real. Bei manchen Tools ist die Ersteinrichtung in wenigen Tagen erledigt, bei anderen zieht sie sich über Wochen.

Support und Beratung

Manche Anbieter verkaufen reine Software, andere bündeln Beratung dazu, etwa Zugang zu einer Rechtsberatung oder zu einem externen Datenschutzbeauftragten. Das kann sinnvoll sein, treibt aber den Preis. Überleg dir, ob du diese Leistung wirklich brauchst oder ob du sie anderswo günstiger bekommst.

Die Software wird gekauft und dann nicht gepflegt

Der häufigste Fall: Ein Betrieb kauft ein Tool, füllt es in den ersten Wochen mit Begeisterung, und nach drei Monaten schaut keiner mehr rein. Die Daten veralten, neue Dienstleister werden nicht erfasst, Verträge laufen aus. Im Ernstfall ist das schlimmer als gar keine Software, weil ihr euch in Sicherheit gewiegt habt.

Niemand ist wirklich zuständig

Wenn das Thema "irgendwie allen" gehört, gehört es am Ende niemandem. Ich habe Betriebe gesehen, in denen drei Leute glaubten, die anderen kümmern sich. Leg eine Person fest, die verantwortlich ist, auch wenn sie nicht alles selbst macht.

Die Auswahl trifft der Falsche

Die Geschäftsführung wählt das Tool nach dem Preis und der Optik der Verkaufsseite aus, ohne die Leute zu fragen, die damit arbeiten. Dann kommt das Tool an, und niemand versteht es. Bezieh die spätere Anwenderin früh ein.

Alte Tabellen werden ungeprüft übernommen

Beim Umzug in die neue Software übernehmen viele einfach ihre alten Excel-Listen, samt der Fehler, die dort schon drinstanden. Der Wechsel ist eine gute Gelegenheit, einmal aufzuräumen und zu prüfen, was tatsächlich stimmt.

Zu groß gekauft

Ein kleiner Betrieb kauft ein System, das für Konzerne gebaut ist, weil es "alles kann". In der Praxis lähmt die Komplexität den Betrieb, und die meisten Funktionen bleiben ungenutzt. Kauf für den Betrieb, den du hast, nicht für den, den du in zehn Jahren vielleicht hast.

Die zentrale Grundlage ist in allen drei Ländern die europäische Datenschutz-Grundverordnung, kurz DSGVO. Sie gilt in Deutschland, in Österreich und über das entsprechende Abkommen auch in der Schweiz beeinflusst sie die Praxis, wobei die Schweiz zusätzlich ein eigenes Datenschutzgesetz hat. Verlass dich hier nicht auf mich, sondern hol dir für deinen konkreten Fall rechtlichen Rat, denn die Details unterscheiden sich.

Deutschland

Neben der DSGVO gilt das Bundesdatenschutzgesetz, und die einzelnen Bundesländer haben eigene Aufsichtsbehörden. Wichtig ist die Frage, ob dein Betrieb einen Datenschutzbeauftragten benennen muss. Das hängt unter anderem von der Zahl der Personen ab, die regelmäßig mit personenbezogenen Daten arbeiten. Prüf das für deinen Fall, statt dich auf eine pauschale Aussage zu verlassen.

Österreich

Hier gilt die DSGVO zusammen mit dem österreichischen Datenschutzgesetz, und die Datenschutzbehörde ist die zentrale Aufsicht. Die Grundpflichten ähneln denen in Deutschland, im Detail gibt es aber Unterschiede, etwa bei den Schwellenwerten.

Schweiz

Die Schweiz ist nicht in der EU, hat ihr Datenschutzrecht aber überarbeitet, sodass es der europäischen Linie nahekommt. Wenn du Daten von Personen aus der EU verarbeitest, kann die DSGVO trotzdem für dich gelten. Die Zuständigkeit liegt beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten.

Eine Software kann dir helfen, diese Anforderungen zu dokumentieren, sie ersetzt aber keine rechtliche Prüfung. Was rechtlich für deinen Betrieb gilt, klärst du mit jemandem, der die Verantwortung dafür trägt.

Schritt 1: Bestandsaufnahme

Bevor du irgendein Tool anschaust, mach eine Liste: Welche Daten verarbeitet ihr, welche Dienstleister sind beteiligt, wo liegt das Wissen aktuell. Diese Liste zeigt dir, was du überhaupt brauchst. Ohne sie kaufst du blind.

Schritt 2: Anforderungen priorisieren

Trenn zwischen "muss" und "wäre nett". Schreib maximal fünf Muss-Kriterien auf. Wenn deine Liste zwanzig Punkte hat, hast du nicht priorisiert, sondern nur Wünsche gesammelt.

Schritt 3: Zwei bis drei Anbieter in die Demo

Hol dir nicht acht Angebote, das erschlägt dich. Wähl zwei, maximal drei Kandidaten und lass sie dir zeigen. Gib in jeder Demo dieselbe echte Aufgabe vor, damit du die Tools vergleichen kannst und nicht nur die Verkaufsshow.

Schritt 4: Die spätere Anwenderin testet

Lass die Person, die später damit arbeitet, jedes Tool selbst anfassen. Frag danach nicht "wie fandest du es", sondern "wo hast du dich verloren". Die Antwort sagt dir mehr als jede Feature-Liste.

Schritt 5: Ausstieg klären

Frag vor der Unterschrift, wie du deine Daten wieder herausbekommst und welche Kündigungsfristen gelten. Diese Fragen stellst du am besten, solange der Anbieter dich noch gewinnen will.

Schritt 6: Klein starten, dann ausbauen

Fang mit dem Kernbereich an, meist dem Verarbeitungsverzeichnis, und bau erst aus, wenn das läuft. Wer alles auf einmal einführen will, führt am Ende nichts richtig ein. Setz dir feste Termine, an denen du die Pflege überprüfst, sonst schläft das Thema wieder ein.