Datenschutzmanagement 1

Datenschutzmanagement 2026: Warum Unternehmen ohne System nicht mehr weiterkommen -1

Stand: September 2026

Der Datenschutz ist in den vergangenen zwölf Monaten spürbar anspruchsvoller geworden, und zwar nicht wegen der DSGVO selbst, sondern wegen allem, was um sie herum entstanden ist. NIS2 gilt in Deutschland seit Dezember 2025, die KI-Verordnung ist seit dem 2. August 2026 in weiten Teilen anwendbar, und die EU arbeitet parallel an einer Vereinfachung der DSGVO, die noch nicht abgeschlossen ist. Wer in dieser Lage improvisiert, verliert schnell den Überblick. Ein strukturiertes Datenschutzmanagement ist deshalb weniger eine Pflichtübung als eine Frage der Handlungsfähigkeit.

Was Datenschutzmanagement bedeutet

Datenschutzmanagement (DSM) heißt: planvoll vorgehen statt reagieren. Es geht darum, sämtliche Verarbeitungsvorgänge zu erfassen, sie rechtlich zu bewerten, Lücken zu erkennen und Maßnahmen abzuleiten, die man auch belegen kann.

Je nach Komplexität gehören dazu:

Sensibilisierung von Führungsebene und Mitarbeitenden
Handbücher, Leitlinien und Handlungsanweisungen
klar benannte Verantwortlichkeiten im Unternehmen
Erfassung aller datenschutzrelevanten Vorgänge
Datenschutzdokumentation und Dokumentenmanagement
Risikoabschätzungen, gegebenenfalls Datenschutz-Folgenabschätzungen
Überprüfung und Etablierung technisch-organisatorischer Maßnahmen (TOM)
Prozesse für Meldungen an Aufsichtsbehörden und für Betroffenenrechte
Management datenschutzrechtlicher Verträge

Ein Datenschutzmanagementsystem (DSMS) ist die systematisierte Form davon. Es folgt üblicherweise dem PDCA-Zyklus, wird also fortlaufend geprüft und angepasst, und die Verantwortung dafür liegt bei der Geschäftsleitung, nicht beim Datenschutzbeauftragten.¹

Die rechtliche Grundlage: viele Pflichten, kein ausdrückliches Gebot

Die DSGVO verlangt kein Datenschutzmanagementsystem als solches. Sie verlangt aber eine ganze Reihe von Dingen, die sich ohne ein solches System kaum nachweisen lassen:

Verzeichnis der Verarbeitungstätigkeiten, Art. 30 DSGVO: von Bewerbermanagement über Webauftritt und Newsletter bis Zahlungsabwicklung. Auf Verlangen ist es der Aufsichtsbehörde vorzulegen.
Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO: Der Verantwortliche muss die Einhaltung der Grundsätze belegen können. Das setzt strukturierte Dokumentation voraus.
Technisch-organisatorische Maßnahmen, Art. 32 DSGVO: risikobasiert, dokumentiert, und im Rahmen von Auftragsverarbeitungsverträgen auch gegenüber Vertragspartnern darstellbar.
Datenschutz-Folgenabschätzung, Art. 35 DSGVO, bei Verarbeitungen mit voraussichtlich hohem Risiko.
Informationspflichten, Art. 13 DSGVO: dafür braucht es einen Überblick über Rechtsgrundlagen und Übermittlungen an Dritte.
Dokumentation von Datenschutzverletzungen, Art. 33 Abs. 5 DSGVO, unabhängig davon, ob der Vorfall meldepflichtig war.

Wer ein DSMS an einem Standard ausrichten will, findet in ISO/IEC 27701 als Erweiterung von ISO/IEC 27001 einen anerkannten Rahmen, der auch eine spätere Zertifizierung vorbereitet.²

Fortsetzung folgt