Das Postfach ist kein Nachweissystem
In vielen Datenschutzorganisationen entstehen Nachweise genau dort, wo im Alltag gearbeitet wird: in E-Mails, Teams-Chats, Laufwerken, Ticketsystemen, Projektordnern oder Einkaufsunterlagen. Entscheidungen werden per E-Mail abgestimmt, Freigaben in Teams bestätigt, technische und organisatorische Maßnahmen in Dateien abgelegt, Dienstleisterprüfungen beim Einkauf dokumentiert und Einschätzungen des Datenschutzbeauftragten in Projektunterlagen gespeichert.
Für den laufenden Betrieb kann das zunächst funktionieren. Die Beteiligten wissen, wo welche Information liegt, und solange dieselben Personen verfügbar sind, lässt sich vieles noch nachvollziehen. Schwierig wird es jedoch dann, wenn ein Audit, eine Kundenprüfung, ein Managementbericht oder eine Anfrage der Aufsichtsbehörde ansteht. Dann reicht es nicht mehr aus, dass irgendwo ein Dokument vorhanden ist.
Entscheidend ist, ob der jeweilige Nachweis dem richtigen Vorgang zugeordnet werden kann. Es muss erkennbar bleiben, auf welche Verarbeitung, welches Risiko, welchen Dienstleister, welche Betroffenenanfrage, welchen KI-Use-Case oder welche Freigabe sich der Nachweis bezieht. Fehlt diese Verbindung, entsteht keine belastbare Dokumentation, sondern eine Sammlung einzelner Informationen, deren Zusammenhang im Prüfungsfall erst wiederhergestellt werden muss.
Datenschutz-Nachweise müssen dem Vorgang zugeordnet sein
Ein Datenschutz-Nachweis ist aber mehr als eine abgelegte Datei. Er zeigt, dass eine Prüfung, Entscheidung, Freigabe oder Maßnahme in einem konkreten fachlichen Zusammenhang stattgefunden hat. Dafür braucht es mehr als den Dateinamen oder den Speicherort. Erforderlich sind insbesondere der betroffene Vorgang, die zuständige Rolle, der Zeitpunkt, die maßgebliche Version, die Entscheidungsgrundlage und der aktuelle Status.
Wird diese Verbindung erst im Audit hergestellt, entsteht vermeidbarer Zusatzaufwand. Dann müssen E-Mails durchsucht, Dateiversionen verglichen, frühere Projektbeteiligte befragt und Aussagen aus verschiedenen Systemen zusammengeführt werden. Das kann im Einzelfall gelingen. Ein verlässliches Nachweissystem ersetzt es aber nicht.
E-Mail, Teams und Laufwerke sind Ablageorte, aber keine Governance-Struktur
E-Mail, Teams, SharePoint und klassische Laufwerksstrukturen sind für Kommunikation und Dateiablage sinnvoll. Sie bilden aber nicht automatisch den datenschutzrechtlichen Kontext einer Verarbeitung ab. Ein Postfach erkennt nicht, ob eine Einschätzung final war, ob aus einer Empfehlung tatsächlich eine Maßnahme wurde, welche Rechtsgrundlage zum Zeitpunkt der Entscheidung galt oder ob eine Freigabe an Bedingungen geknüpft war.
Auch eine gut strukturierte Ablage löst dieses Problem nur teilweise. Ein Ordner kann Dokumente aufnehmen. Er stellt aber nicht sicher, dass Verantwortlichkeiten, Versionen, Freigaben, Wiedervorlagen und Maßnahmenstatus dauerhaft nachvollziehbar bleiben. Datenschutz-Governance beginnt deshalb nicht bei der Frage, wo ein Dokument gespeichert wird, sondern bei der Frage, welchem Vorgang es zugeordnet ist.
Rechenschaftspflicht nach DSGVO verlangt belastbare Nachweise
Art. 5 Abs. 2 DSGVO verpflichtet Verantwortliche, die Einhaltung der Datenschutzgrundsätze nachweisen zu können. Art. 24 DSGVO verlangt darüber hinaus geeignete technische und organisatorische Maßnahmen, mit denen sichergestellt und nachgewiesen werden kann, dass die Verarbeitung im Einklang mit der DSGVO erfolgt. Diese Maßnahmen müssen überprüft und bei Bedarf aktualisiert werden.
Vor diesem Hintergrund genügt es nicht, im Einzelfall erklären zu können, dass eine Verarbeitung geprüft oder eine Maßnahme beschlossen wurde. Unternehmen müssen den Vorgang, die zugrunde liegende Bewertung, die beteiligten Rollen und die spätere Umsetzung nachvollziehbar darstellen können. Die Erinnerung einzelner Personen kann dabei helfen, ist aber kein belastbarer Ersatz für dokumentierte Nachweise.
Dokumentation und Nachweis sind nicht dasselbe
Viele Datenschutzorganisationen verfügen über umfangreiche Dokumentation. Das bedeutet jedoch nicht automatisch, dass diese Dokumentation auch auditfähig ist. Eine Richtlinie beschreibt eine Regelung. Ein Nachweis zeigt, dass diese Regelung freigegeben, kommuniziert, angewendet und überprüft wurde. Eine TOM-Beschreibung hält Maßnahmen fest. Ein Nachweis zeigt, für welche Verarbeitung oder welches System diese Maßnahmen galten, wann sie geprüft wurden und wer dafür verantwortlich war.
Auch eine Einschätzung des Datenschutzbeauftragten ist erst dann operativ belastbar, wenn sie dem konkreten Projekt, der Verarbeitung, dem Risiko oder der Freigabe zugeordnet ist. Ein RoPA-Eintrag gewinnt an Nachweisfunktion, wenn er erkennen lässt, wer eine Verarbeitung gemeldet, geprüft, geändert und freigegeben hat. Genau hier unterscheidet sich eine reine Dokumentenablage von einer Governance-Plattform.
Das RoPA als Ausgangspunkt für Datenschutz-Nachweise
Das Verzeichnis von Verarbeitungstätigkeiten wird in der Praxis häufig noch als Pflichtverzeichnis verstanden. Art. 30 DSGVO verlangt jedoch nicht nur eine formale Liste, sondern strukturierte Angaben zu Zwecken der Verarbeitung, Kategorien betroffener Personen, Kategorien personenbezogener Daten, Empfängern, Drittlandübermittlungen, Löschfristen sowie technischen und organisatorischen Maßnahmen. Das Verzeichnis muss schriftlich oder elektronisch geführt und der Aufsichtsbehörde auf Anfrage bereitgestellt werden können.
Damit enthält das RoPA viele der Informationen, die auch für spätere Prüfungen benötigt werden. Es liegt daher nahe, Nachweise zu Freigaben, Dienstleisterprüfungen, DSFA-Entscheidungen, TOMs, Löschkonzepten, Betroffenenanfragen oder DSB-Einschätzungen nicht isoliert abzulegen, sondern mit der jeweiligen Verarbeitung zu verknüpfen. So wird das RoPA nicht nur als Verzeichnis genutzt, sondern als Ausgangspunkt einer nachvollziehbaren Datenschutzsteuerung.
Beispiel: Dienstleisterprüfung bei einem SaaS-Tool
Ein typischer Vorgang zeigt, warum diese Zuordnung so wichtig ist. Ein Fachbereich möchte ein SaaS-Tool einsetzen, in dem Kundendaten verarbeitet werden. Der Einkauf prüft die vertraglichen Unterlagen, die IT bewertet Integration und Zugriffskonzept, der Datenschutz prüft Auftragsverarbeitung und Datenflüsse, die Informationssicherheit bewertet technische und organisatorische Maßnahmen, und der Fachbereich benötigt eine Entscheidung über den Einsatz.
Werden diese Unterlagen getrennt in Postfächern, Laufwerken, Ticketsystemen und Projektprotokollen abgelegt, muss der Vorgang im Prüfungsfall mühsam rekonstruiert werden. Wird er dagegen objektbezogen geführt, bleiben Dienstleister, Verarbeitung, Prüfungen, Freigabe, Maßnahmen, TOMs und Wiedervorlage in einem fachlichen Zusammenhang. Für eine spätere Prüfung ist dann nicht nur die Datei auffindbar, sondern auch der Entscheidungsweg.
Mit und ohne professionelles Datenschutzmanagementsystem
Der wesentliche Unterschied liegt nicht darin, ob Unterlagen digital gespeichert werden. Entscheidend ist, ob der Zusammenhang zwischen Verarbeitung, Prüfung, Entscheidung, Maßnahme und Nachweis dauerhaft erhalten bleibt.
Ohne professionelles Datenschutzmanagementsystem liegt der Nachweis häufig in einem Postfach, in Teams, auf einem Laufwerk oder bei einer einzelnen Person. Die Suche beginnt bei jedem Vorgang neu. Der Bezug zur betroffenen Verarbeitung muss anhand alter E-Mails, Anhänge oder Protokolle rekonstruiert werden. Oft bleibt unklar, wer tatsächlich entschieden hat, welche Version galt oder ob eine Einschätzung final war.
Mit einem professionellen Datenschutzmanagementsystem ist der Nachweis dem passenden Objekt zugeordnet: einer Verarbeitung, einem Risiko, einem Dienstleister, einer Anfrage, einer Freigabe oder einem KI-Use-Case. Rolle, Zeitpunkt, Entscheidung, Version, Maßnahme, Frist und Status bleiben am Vorgang dokumentiert. Dadurch lässt sich ein Audit nicht nur schneller beantworten. Der gesamte Vorgang wird auch für neue Beteiligte nachvollziehbar.
| Frage im Alltag oder Audit | Ohne professionelles Datenschutzmanagementsystem | Mit professionellem Datenschutzmanagementsystem |
|---|---|---|
| Wo liegt der Nachweis? | Im Postfach, in Teams, auf einem Laufwerk oder bei einer Person, die damals beteiligt war. Die Suche beginnt jedes Mal neu. | Der Nachweis hängt am passenden Objekt: Verarbeitung, Risiko, Dienstleister, Anfrage, Freigabe oder KI-Use-Case. |
| Welche Verarbeitung ist betroffen? | Der Bezug muss rekonstruiert werden. Alte E-Mails und Dateien müssen erneut gelesen und eingeordnet werden. | Der Nachweis ist direkt mit dem RoPA/VVT verknüpft. Zweck, Datenarten, Systeme, Empfänger und Verantwortliche sind sichtbar. |
| Wer hat entschieden? | Die Entscheidung steht irgendwo im Verlauf. Oft bleibt unklar, ob eine finale Freigabe, eine Empfehlung oder nur eine Zwischenmeinung vorlag. | Rolle, Zeitpunkt, Entscheidung und Bedingungen der Freigabe sind am Vorgang dokumentiert. |
| Welche Version galt damals? | Mehrere Dateiversionen, Anhänge oder SharePoint-Stände müssen verglichen werden. | Versionen, Änderungshistorie und Entscheidungsstand sind nachvollziehbar mit dem Objekt verbunden. |
| Was hat der DSB empfohlen? | Die Einschätzung liegt im Postfach einer Person. Bei Personalwechsel oder Abwesenheit wird die Zuordnung schwierig. | Die DSB-Einschätzung ist dem betroffenen Vorgang zugeordnet und bleibt unabhängig von einzelnen Personen auffindbar. |
| Welche Maßnahme wurde abgeleitet? | Die Maßnahme steht vielleicht in einem Ticket, einer Excel-Liste oder einer weiteren E-Mail. Der Bezug zur ursprünglichen Bewertung ist schwach. | Maßnahme, Owner, Frist, Status und Nachweis hängen direkt am Vorgang. |
| Wie schnell kann ein Audit beantwortet werden? | Das Team sucht, fragt nach, sortiert Versionen und baut aus mehreren Quellen eine Antwort. | Der Vorgang wird geöffnet, geprüft und bei Bedarf exportiert oder berichtet. |
| Was passiert bei Wiederholungsfragen? | Die gleiche Datenschutzfrage wird erneut bearbeitet, weil die frühere Antwort nicht sauber mit dem Vorgang verbunden wurde. | Frühere Fragen, Antworten und Entscheidungen bleiben am Objekt sichtbar und können wiederverwendet werden. |
| Wie robust ist das System bei Personalwechsel? | Wissen verschwindet mit Personen, Postfächern oder informellen Erinnerungen. | Wissen bleibt im Prozess und ist für neue Beteiligte nachvollziehbar. |
| Was sieht das Management? | Oft nur eine nachträglich zusammengestellte Momentaufnahme. | Status, offene Risiken, Maßnahmen, Verantwortlichkeiten und Nachweise entstehen aus strukturierten Daten. |
Betroffenenanfragen und wiederverwendbare Nachweise
Auch bei Betroffenenanfragen zeigt sich, ob Datenschutzprozesse nur dokumentiert oder tatsächlich steuerbar sind. Eine Auskunftsanfrage betrifft häufig mehrere Verarbeitungen, Systeme und Fachbereiche. Es muss geklärt werden, welche personenbezogenen Daten verarbeitet werden, welche Systeme zu prüfen sind, ob Ausnahmen zu berücksichtigen sind und wie die Antwort an die betroffene Person zustande kommt.
Wird die Bearbeitung ausschließlich in E-Mail-Verläufen dokumentiert, geht der fachliche Zusammenhang nach Abschluss des Vorgangs leicht verloren. Wird die Anfrage dagegen den betroffenen Verarbeitungen und Systemen zugeordnet, entsteht ein wiederverwendbarer Nachweis. Dieser kann auch spätere Anfragen, interne Prüfungen oder Audits unterstützen.
AI Governance unterliegt derselben Nachweislogik
Die Nachweisproblematik beschränkt sich nicht auf klassische Datenschutzprozesse. Bei AI Governance stellt sich dieselbe Frage in neuer Form. Ein KI-Use-Case kann eine Model Card, eine Datenschutzprüfung, eine Anbieterbewertung, eine Sicherheitsbewertung, eine Risikoklassifikation, Freigaben und Monitoring-Anforderungen betreffen.
Liegen diese Nachweise in verschiedenen Tools, E-Mails und Dateien, entsteht auch hier eine fragmentierte Dokumentation. Für eine belastbare Governance muss erkennbar bleiben, zu welchem Modell, welchem Use Case, welchem Risiko und welcher Freigabe die jeweiligen Nachweise gehören. Datenschutz und AI Governance haben damit denselben operativen Kern: Verarbeitung, Verantwortung, Risiko, Entscheidung und Nachweis müssen zusammengeführt werden.
Externer Datenschutzbeauftragter und Nachweisführung
Ein externer Datenschutzbeauftragter kann die Nachweisfähigkeit eines Unternehmens wesentlich unterstützen. Voraussetzung ist jedoch, dass seine Beratung nicht außerhalb der operativen Struktur verbleibt. Art. 38 DSGVO verlangt, dass der Datenschutzbeauftragte ordnungsgemäß und frühzeitig in alle Fragen eingebunden wird, die den Schutz personenbezogener Daten betreffen. Außerdem muss er Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen erhalten und unmittelbar an die höchste Managementebene berichten können.
In der Praxis bedeutet das: Eine DSB-Einschätzung sollte nicht im Postfach einer einzelnen Person enden. Sie gehört an den Vorgang, auf den sie sich bezieht – also an die Verarbeitung, das Projekt, das Risiko, die Maßnahme oder die Freigabe. Nur dann bleibt nachvollziehbar, welche Empfehlung gegeben wurde, welche Entscheidung daraus folgte und ob die Umsetzung später überprüft werden kann.
Ailance als Plattform für objektbezogene Nachweisführung
Ailance ist auf diese objektbezogene Sichtweise ausgerichtet. Die Plattform dient nicht nur als weiterer Speicherort für Dokumente, sondern verbindet Datenschutzinformationen mit den jeweiligen Governance-Objekten. Eine Verarbeitung kann ihre Nachweise enthalten, ein Risiko seine Maßnahmen, ein Dienstleister seine Prüfungen, ein KI-Use-Case seine Model Card und Freigaben, eine Betroffenenanfrage die jeweils geprüften Verarbeitungen und Systeme.
Dadurch verändert sich die praktische Fragestellung. Maßgeblich ist nicht mehr allein, wo ein Dokument gespeichert wurde. Entscheidend ist, welchem Vorgang es zugeordnet ist. Diese Zuordnung erleichtert Audits, Managementberichte, Kundenanfragen und interne Prüfungen, weil Nachweise nicht nachträglich aus unterschiedlichen Quellen zusammengesetzt werden müssen.
Wirtschaftliche Bedeutung objektbezogener Nachweise
Objektbezogene Nachweisführung ist nicht nur eine Frage formaler Compliance. Sie betrifft auch den Aufwand in Datenschutz-, Rechts-, Sicherheits- und Fachabteilungen. Suchzeiten, Rückfragen, doppelte Prüfungen, manuell erstellte Reports und Abhängigkeiten von einzelnen Personen verursachen über viele Vorgänge hinweg erhebliche Kosten, auch wenn sie selten als eigene Position ausgewiesen werden.
Wenn ein Datenschutzteam im Laufe eines Jahres zahlreiche Freigaben, Prüfungen, Betroffenenanfragen, Dienstleisterbewertungen, DSB-Einschätzungen und Nachweise bearbeitet, macht es einen erheblichen Unterschied, ob jeder Vorgang mit einer Suche beginnt oder ob der relevante Kontext bereits vorhanden ist. Auditfähigkeit ist deshalb nicht nur ein Nachweisthema, sondern auch ein Effizienz- und Steuerungsthema.
Praktische Prüfung des bestehenden Nachweispfads
Unternehmen können ihre Ausgangslage mit einer einfachen Prüfung bewerten. Ausgangspunkt sollte eine wesentliche Verarbeitung sein, etwa ein Kundenportal, ein CRM-System, ein HR-Prozess, eine Videoüberwachung, ein KI-Analyseverfahren, ein Newsletterprozess oder ein Due-Diligence-Vorgang.
Für diese Verarbeitung ist zu prüfen, wo die relevanten Nachweise liegen und ob sie dem Vorgang fachlich zugeordnet sind. Verteilen sich die Nachweise über Postfächer, Teams-Chats, Laufwerke, Ticketsysteme und Personenwissen, besteht regelmäßig Handlungsbedarf. Der nächste Schritt besteht dann nicht darin, einen weiteren Ordner anzulegen. Entscheidend ist, die Nachweise den betroffenen Objekten zuzuordnen und dadurch einen belastbaren Nachweispfad aufzubauen.
Fazit
Das Postfach kann Kommunikation speichern, ersetzt aber kein Nachweissystem für Datenschutzprozesse. Für eine belastbare Datenschutzorganisation müssen Nachweise dort geführt werden, wo der fachliche Zusammenhang entsteht: bei der Verarbeitung, beim Risiko, beim Dienstleister, bei der Freigabe, bei der Betroffenenanfrage, beim KI-Use-Case oder bei der Maßnahme.
Erst durch diese Zuordnung wird erkennbar, welche Verarbeitung betroffen war, welche Bewertung vorgenommen wurde, wer beteiligt war, welche Version galt, welche Entscheidung getroffen wurde und welche Maßnahme daraus folgte. Datenschutz-Nachweise gehören deshalb nicht isoliert in Postfächer und Laufwerke, sondern in eine Struktur, die Rechenschaftspflicht, Auditfähigkeit und operative Steuerung miteinander verbindet.
Fragen und Antworten
Warum sollten Datenschutz-Nachweise nicht nur in E-Mails liegen?
E-Mails speichern Kommunikation, bilden aber den fachlichen Zusammenhang einer Datenschutzentscheidung nur unvollständig ab. Für einen belastbaren Nachweis muss erkennbar sein, zu welcher Verarbeitung, welchem Risiko, welcher Freigabe oder welchem Vorgang eine Information gehört. Diese Zuordnung geht in Postfächern und E-Mail-Verläufen häufig verloren.
Was bedeutet objektbezogene Nachweisführung im Datenschutz?
Objektbezogene Nachweisführung bedeutet, dass Nachweise unmittelbar mit dem betroffenen Governance-Objekt verbunden werden. Das kann eine Verarbeitung im RoPA, ein Dienstleister, ein Risiko, eine Betroffenenanfrage, ein KI-Use-Case, eine Freigabe oder eine Maßnahme sein. Dadurch bleibt der fachliche Kontext auch später nachvollziehbar.
Welche Rolle spielt das RoPA bei Datenschutz-Nachweisen?
Das RoPA enthält den zentralen Kontext zu Verarbeitungstätigkeiten, insbesondere Zwecke, Datenkategorien, Empfänger, Löschfristen, technische und organisatorische Maßnahmen sowie Verantwortlichkeiten. Deshalb eignet es sich als Anknüpfungspunkt für Nachweise zu Freigaben, Dienstleisterprüfungen, DSFA-Entscheidungen, TOMs oder DSB-Einschätzungen.
Reicht SharePoint für Datenschutz-Nachweise aus?
SharePoint kann Dokumente strukturiert speichern, ersetzt jedoch nicht automatisch eine datenschutzrechtliche Nachweislogik. Entscheidend ist, ob ein Nachweis mit dem richtigen Vorgang verbunden ist und ob Verantwortung, Version, Entscheidung, Status und spätere Aktualisierung nachvollziehbar bleiben.
Warum ist objektbezogene Nachweisführung auditfähig?
Objektbezogene Nachweisführung erleichtert Audits, weil sie den Zusammenhang zwischen Verarbeitung, Prüfung, Entscheidung, Version, Maßnahme und Verantwortlichkeit erhält. Dadurch müssen Nachweise im Prüfungsfall nicht aus mehreren Systemen rekonstruiert werden, sondern können dem jeweiligen Vorgang zugeordnet dargestellt werden.
Wie kann Ailance bei Datenschutz-Nachweisen unterstützen?
Ailance kann Unternehmen dabei unterstützen, Nachweise mit den relevanten Governance-Objekten zu verbinden. Verarbeitungen, Risiken, Dienstleister, KI-Use-Cases, Freigaben, Maßnahmen und Betroffenenanfragen können dadurch im Zusammenhang dokumentiert und für Audits, Managementberichte und operative Prüfungen nachvollziehbar gemacht werden.
German 
English 
Italian 
French