Ressourcen
Diese DSGVO-Compliance-Checkliste ist eine kostenlose Excel-Arbeitsmappe, die die Datenschutz-Grundverordnung in eine Liste konkreter Aufgaben übersetzt, die Sie tatsächlich abarbeiten können. Ob Sie als Compliance-Verantwortlicher, Datenschutzbeauftragter oder CISO ein Kunden-Security-Review oder eine Anfrage der Aufsichtsbehörde vorbereiten: Die DSGVO-Compliance-Checkliste zeigt Ihnen an einer Stelle, wo Sie stehen. Sie deckt die Pflichten ab, nach denen Einkäufer und Aufsichtsbehörden zuerst fragen: eine Rechtsgrundlage für jede Verarbeitungstätigkeit, Betroffenenrechte, Ihr Verzeichnis von Verarbeitungstätigkeiten (VVT), Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen, internationale Datenübermittlungen und die Frage, ob Sie einen Datenschutzbeauftragten benötigen. Jede der 51 Zeilen hat eine Status- und eine Nachweisspalte, sodass die Datei als lebendes Register funktioniert statt als einmaliges Audit. Laden Sie sie unten herunter und beginnen Sie noch heute mit dem Ausfüllen.
Was die DSGVO-Compliance-Checkliste abdeckt
Die Arbeitsmappe ist ein einzelnes Excel-Blatt mit 51 Punkten, gegliedert in acht Gruppen, die den Kernpflichten der Verordnung entsprechen. Jede Zeile trägt dieselben Spalten, sodass Sie filtern, sortieren und über den Fortschritt berichten können, ohne etwas umzuformatieren:
- Punkt: die konkrete Aufgabe, formuliert als etwas, das sich überprüfen lässt.
- Artikelverweis: der DSGVO-Artikel oder das Kapitel, aus dem die Aufgabe stammt, damit Sie sie bis zum Verordnungstext zurückverfolgen können.
- Status: Nicht begonnen, In Arbeit, Erledigt oder Nicht anwendbar.
- Owner: die Person oder das Team, das für den Punkt verantwortlich ist.
- Nachweis: ein Link oder Vermerk auf das Dokument, den Screenshot oder den Eintrag, der belegt, dass der Punkt erfüllt ist.
- Notizen: Vorbehalte, Termine und offene Punkte.
Die acht Gruppen sind: Rechtsgrundlagen (Artikel 6, plus Artikel 9 für besondere Kategorien personenbezogener Daten), Betroffenenrechte (Artikel 12 bis 23), Verzeichnis von Verarbeitungstätigkeiten (Artikel 30), Sicherheit der Verarbeitung (Artikel 32), Meldung von Datenschutzverletzungen (Artikel 33 und 34), Datenschutz-Folgenabschätzungen (Artikel 35), internationale Datenübermittlungen (Kapitel V) und Governance einschließlich der Frage nach dem Datenschutzbeauftragten (Artikel 37). Die Checkliste ergänzt die tiefergehenden Artefakte. Für das eigentliche Verarbeitungsverzeichnis nutzen Sie die VVT-Vorlage, für risikoreiche Verarbeitungen die DSFA-Vorlage.
DSGVO ehrlich betrachtet: worauf es wirklich ankommt
Die DSGVO ist ein Bündel von Pflichten, von denen jede ihre eigenen Nachweise braucht. Bei allem Lärm darum ist die Verordnung gut geschrieben: Sie benennt Ergebnisse und überlässt es Ihnen, verhältnismäßige Mittel zu wählen. Deshalb können zwei ehrliche Organisationen zu unterschiedlichen Antworten kommen und beide vertretbar sein. Diese Freiheit ist zugleich der Grund, warum sich eine Checkliste bezahlt macht: Sie zwingt Sie, die gewählte Antwort und deren Begründung festzuhalten. Hier ist, was eine DSGVO-Compliance-Checkliste wirklich prüft, Pflicht für Pflicht.
Eine Rechtsgrundlage für jede Verarbeitungstätigkeit (Artikel 6). Alles, was Sie mit personenbezogenen Daten tun, braucht eine Rechtsgrundlage nach Artikel 6, und Sie sollten sie benennen können. Handelt es sich um besondere Kategorien personenbezogener Daten, etwa Gesundheitsdaten oder biometrische Daten, brauchen Sie zusätzlich eine eigene Bedingung nach Artikel 9. Hier verstecken sich die meisten Lücken: Tätigkeiten, die nie einer Rechtsgrundlage zugeordnet wurden. Es ist auch die Gruppe, die am längsten dauert, aus einem banalen Grund: Niemand im Unternehmen betrachtet die eigene Arbeit als Verarbeitungstätigkeit. Sie verbringen also Wochen damit, aus Marketing, HR und Produkt eine klare Antwort darauf zu bekommen, warum sie speichern, was sie speichern. Die Rechtsgrundlage zu benennen dauert Minuten, sobald die Liste existiert. Die Liste aufzubauen ist die eigentliche Arbeit.
Betroffenenrechte (Artikel 12 bis 23). Betroffene können Auskunft, Berichtigung, Löschung und Datenübertragbarkeit verlangen und der Verarbeitung widersprechen. Die Checkliste fragt, ob Sie jedes Recht tatsächlich innerhalb der gesetzlichen Fristen umsetzen können und ob dahinter ein dokumentierter, wiederholbarer Prozess steht.
Verzeichnis von Verarbeitungstätigkeiten (Artikel 30). Das VVT ist das Rückgrat. Es listet, was Sie verarbeiten, warum, auf welcher Grundlage, an wen Sie Daten weitergeben und wie lange Sie sie aufbewahren. Ist Ihr VVT veraltet, ist fast alles, was darauf aufbaut, unzuverlässig. Bauen Sie es mit der VVT-Vorlage auf.
Sicherheit der Verarbeitung (Artikel 32). Artikel 32 verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind. Die Checkliste deckt die praktischen Grundlagen ab: Zugriffskontrolle, Verschlüsselung wo angemessen, Backups und die Fähigkeit zur Wiederherstellung.
Meldung von Datenschutzverletzungen (Artikel 33 und 34). Eine Verletzung des Schutzes personenbezogener Daten muss nach Artikel 33 binnen 72 Stunden nach Bekanntwerden an die Aufsichtsbehörde gemeldet werden, und nach Artikel 34 an die betroffenen Personen, wenn die Verletzung voraussichtlich ein hohes Risiko für deren Rechte mit sich bringt. Die Checkliste prüft, ob Sie einen Prozess haben, der die 72-Stunden-Frist tatsächlich einhalten kann. 72 Stunden klingen großzügig, bis man die Schritte darin zählt. Jemand muss den Vorfall bemerken. Jemand muss entscheiden, dass es sich um eine Verletzung des Schutzes personenbezogener Daten handelt. Die Rechtsabteilung wird eingebunden, und eine Führungskraft will die Formulierung meist lesen, bevor irgendetwas rausgeht. Wenn einer dieser Schritte davon abhängt, dass eine bestimmte Person erreichbar ist, haben Sie noch keinen Prozess. Spielen Sie ihn an einem ruhigen Nachmittag durch und stoppen Sie die Zeit ehrlich.
DSFA für risikoreiche Verarbeitungen (Artikel 35). Wo eine Verarbeitung voraussichtlich ein hohes Risiko zur Folge hat, verlangt Artikel 35 eine Datenschutz-Folgenabschätzung, bevor Sie beginnen. Führen Sie diese mit der DSFA-Vorlage durch.
Internationale Datenübermittlungen (Kapitel V). Wer personenbezogene Daten aus dem EWR hinausbewegt, braucht einen gültigen Übermittlungsmechanismus nach Kapitel V. Die Checkliste fordert Sie auf, Ihre Übermittlungen zu kartieren und für jede einen rechtmäßigen Weg zu bestätigen. Das Kartieren selbst ist unkompliziert. Die Reibung entsteht, weil ein einzelner SaaS-Anbieter Daten auf Wegen bewegen kann, nach denen beim Einkauf niemand gefragt hat. Die Übung wird so zugleich zu einem Audit dessen, was Ihre Architektur wirklich tut. Planen Sie Zeit dafür ein, Anbietern unbequeme Fragen zu stellen, und dafür, einige der Antworten nicht zu mögen.
Ein Datenschutzbeauftragter, wo erforderlich (Artikel 37). Artikel 37 verlangt in bestimmten Fällen einen Datenschutzbeauftragten. Die Checkliste fragt, ob Sie die Pflicht geprüft haben und, falls sie greift, ob die Rolle besetzt und unabhängig ist. Dieser Punkt ist wirklich schnell erledigt. Herauszufinden, ob Artikel 37 Sie erfasst, ist ein Nachmittag Lektüre und ein kurzes schriftliches Fazit. Der Schritt, den alle auslassen, ist das Aufschreiben des Fazits, und genau das ist der einzige Teil, den je jemand anderes sehen kann.
So nutzen Sie die DSGVO-Compliance-Checkliste
- Benennen Sie einen Owner pro Gruppe. Geben Sie die acht Gruppen an die Personen, die den jeweiligen Bereich tatsächlich verantworten, statt alle 51 Punkte selbst abzuarbeiten.
- Setzen Sie den Status ehrlich. Markieren Sie jeden Punkt als Nicht begonnen, In Arbeit, Erledigt oder Nicht anwendbar. Widerstehen Sie dem Drang, etwas ohne Nachweis als Erledigt zu markieren.
- Hängen Sie Nachweise direkt an. Tragen Sie für jeden erledigten Punkt einen Link oder eine Referenz in die Nachweisspalte ein. Wenn Sie auf keinen Beleg zeigen können, ist der Punkt nicht erledigt.
- Arbeiten Sie die Lücken ab. Filtern Sie auf Nicht begonnen und In Arbeit, um Ihr Remediation-Backlog zu erhalten, und priorisieren Sie zuerst die Breach-Readiness, die Rechtsgrundlagen und Ihr VVT.
- Wiederholen Sie die Prüfung regelmäßig. Gehen Sie die Checkliste quartalsweise durch, und sofort nach jedem neuen Produkt, Anbieter oder Transfer, denn Ihre Verarbeitung ändert sich schneller als die Verordnung.
Automatisieren Sie das in Venvera
Die Excel-Datei ist ein starker Ausgangspunkt, aber eine Tabelle veraltet in dem Moment, in dem sich Ihre Verarbeitung ändert. In Venvera wird dieselbe Arbeit zu einem lebenden DSGVO-Framework: Jede Pflicht wird kontinuierlich verfolgt, Nachweise werden einmal angehängt und über die anderen Frameworks hinweg wiederverwendet, die Sie betreiben, und der Status bleibt aktuell statt zwischen den Reviews zu verfallen. Wer Tools vergleicht, schaut an dieser Stelle auch auf eine Alternative zu Vanta für DSGVO-Compliance. Pläne starten ab 399 EUR/Monat. Die Checkliste bleibt in jedem Fall nützlich: Sie ist ein sauberer Weg, die Pflichten zu verstehen, bevor Sie entscheiden, wie Sie sie operationalisieren.
Häufig gestellte Fragen
Reicht diese DSGVO-Compliance-Checkliste aus, um uns compliant zu machen?
Keine einzelne Checkliste macht Sie compliant. Diese Datei gibt Ihnen eine strukturierte, mit Artikelverweisen versehene Sicht auf die DSGVO-Pflichten und einen Ort, an dem Sie Nachweise festhalten - das ist der schnellste Weg, Ihre Lücken zu finden. Compliance entsteht dadurch, dass Sie jede Pflicht tatsächlich erfüllen und das belegen können, und genau dafür ist die Nachweisspalte da.
Ersetzt die Checkliste ein VVT oder eine DSFA?
Nein. Die Checkliste verfolgt, ob diese Artefakte existieren und aktuell sind, aber sie enthält sie nicht. Nutzen Sie die eigene VVT-Vorlage, um Ihr Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 aufzubauen, und die DSFA-Vorlage für risikoreiche Verarbeitungen nach Artikel 35.
Wie oft sollten wir die DSGVO-Compliance-Checkliste aktualisieren?
Prüfen Sie sie mindestens quartalsweise, und aktualisieren Sie sie sofort, wenn Sie ein neues Produkt starten, einen Anbieter hinzunehmen oder eine neue internationale Übermittlung beginnen. Ihre Verarbeitungstätigkeiten ändern sich häufiger als die Verordnung, und eine Checkliste, die nur einmal im Jahr angefasst wird, bildet die Realität schnell nicht mehr ab.
Wer sollte die DSGVO-Compliance-Checkliste verantworten?
Eine einzelne verantwortliche Person, meist der Datenschutzbeauftragte oder der Compliance-Lead, sollte die gesamte Datei verantworten, während die einzelnen Gruppen an die Teams delegiert werden, die sie betreiben. So bleibt eine Person für das Gesamtbild verantwortlich, während die Menschen, die der jeweiligen Pflicht am nächsten sind, die Nachweise liefern.
