Kundendaten und DSGVO: die vier Nachweise

Stand: August 2026

1. Das Verarbeitungsverzeichnis

Der am häufigsten unterschätzte Punkt, meist mit dem Argument „wir sind zu klein". Die Ausnahme in Art. 30 Abs. 5 DSGVO gilt für Betriebe unter 250 Beschäftigten aber nur, wenn die Verarbeitung gelegentlich erfolgt. Laufend geführte Kunden- und Mitarbeiterdaten sind nicht gelegentlich. Damit besteht die Pflicht praktisch immer.

Je Verarbeitungstätigkeit gehören hinein:

• Zweck Wofür werden die Daten verarbeitet — Kundenverwaltung, Rechnungslegung, Newsletter, Bewerbung?
• Kategorien betroffener Personen Kunden, Interessenten, Mitarbeitende, Bewerber, Lieferanten.
• Kategorien von Daten Stammdaten, Kontaktdaten, Vertragsdaten, Zahlungsdaten, besondere Kategorien.
• Empfänger Wer bekommt die Daten zu sehen — inklusive Dienstleister und Behörden.
• Drittlandsübermittlung Liegen Daten außerhalb der EU, und auf welcher Grundlage?
• Löschfristen Je Datenart, mit Auslöser statt bloßer Jahreszahl.
• Sicherheitsmaßnahmen Allgemeine Beschreibung: Zugriffsrechte, Verschlüsselung, Sicherung, Schulung.

2. Auftragsverarbeitungsverträge

Sobald ein Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet, braucht es einen Vertrag nach Art. 28 DSGVO. Die Liste ist länger, als die meisten vermuten:

• Cloudspeicher und Office-Pakete
• CRM-, ERP- und Buchhaltungssoftware
• Newsletter- und Marketingwerkzeuge
• Externe IT-Betreuung und Fernwartung
• Lohnverrechnung, Callcenter, Versand- und Druckdienstleister
• Webhosting und Formulardienste

Erstellen Sie eine Liste aller Werkzeuge, in denen personenbezogene Daten liegen, und haken Sie ab. Erfahrungsgemäß fehlen die Verträge dort, wo ein Werkzeug ohne Beteiligung der Geschäftsführung eingeführt wurde — das kostenlose Umfragetool, der zweite Newsletter-Dienst, die private Cloud eines Mitarbeiters. Diese Liste ist zugleich die Grundlage Ihres Verarbeitungsverzeichnisses; zwei Fliegen, eine Klappe.

Welche Dienstleister im Einzelnen dazuzählen, warum die Steuerberatung in der Regel nicht dazugehört und welche zehn Punkte der Vertrag enthalten muss, steht ausführlich unter Auftragsverarbeitung.

3. Werbung: Einwilligung und Nachweis

Für Werbung per E-Mail gilt in Österreich § 174 TKG 2021: Sie ist ohne vorherige Zustimmung des Empfängers unzulässig — und der Versand ohne Zustimmung ist verwaltungsstrafbewehrt. Die Beweislast für die Zustimmung liegt beim Versender.

Damit ein Nachweis diesen Namen verdient, gehören drei Angaben zum Datensatz:

• Zeitpunkt Wann wurde zugestimmt — mit Datum und Uhrzeit.
• Herkunft Über welches Formular, welche Veranstaltung, welchen Weg.
• Textversion Der Wortlaut, dem zugestimmt wurde. Nachzuweisen ist nicht nur dass, sondern wozu.

Ein Häkchen in einer Excel-Spalte ohne Zeitstempel und ohne Textversion ist kein Nachweis. Wenn Ihre Liste in diesem Zustand ist, lässt sich das nachträglich nur über eine erneute Bestätigung reparieren — unangenehm, aber sauberer als die Alternative.

Und die Gegenrichtung: Eine Abmeldung muss jederzeit, unentgeltlich und ohne Hürde möglich sein — und tatsächlich wirken. Der häufigste Beschwerdegrund ist nicht die erste Aussendung, sondern die nächste nach einer Abmeldung.

4. Auskunftsfähigkeit

Auf ein Auskunftsersuchen ist unverzüglich, jedenfalls binnen eines Monats zu antworten. Mitzuteilen ist, welche Daten zur Person gespeichert sind, zu welchem Zweck, woher sie stammen, an wen sie weitergegeben werden und wie lange sie gespeichert bleiben.

Der Monat klingt großzügig und ist es nicht, wenn die Daten über Postfächer, Laufwerke, Tabellen und drei Werkzeuge verstreut liegen. Die Vorbereitung besteht aus einer einzigen Seite:

• Fundstellenliste Welche Systeme und Ablagen sind im Anlassfall zu durchsuchen? Postfächer und Laufwerke gehören dazu.
• Zuständigkeit Wer nimmt das Ersuchen entgegen, wer beantwortet es, wer prüft die Vollständigkeit?
• Identitätsprüfung Wie stellen Sie fest, dass die anfragende Person die betroffene ist — ohne dabei unnötig zusätzliche Daten zu erheben?
• Textbaustein Ein Antwortmuster, das Sie nur befüllen müssen.

Wer diese Seite hat, beantwortet ein Ersuchen in zwei Stunden statt in zwei Wochen. Wer sie nicht hat, antwortet erfahrungsgemäß unvollständig — und genau daraus entstehen die meisten Beschwerdeverfahren.

Besondere Datenarten

Gesundheits- und Sozialdaten, biometrische Daten, Daten über Weltanschauung oder Gewerkschaftszugehörigkeit sind besondere Kategorien nach Art. 9 DSGVO. Ihre Verarbeitung ist grundsätzlich untersagt und nur unter engen Ausnahmen zulässig, mit erhöhten Anforderungen an Zugriffsbeschränkung und Protokollierung. Praktisch heißt das zuerst: Sie gehören nicht in ein Feld, das jeder im Betrieb sieht.

Zu Bewerberdaten, Videoaufnahmen und Standortdaten nennt Ihnen der Löschfristen-Rechner die üblichen Zeiträume.

Womit Sie anfangen

1. Werkzeugliste schreiben. Jedes System, in dem personenbezogene Daten liegen — inklusive Postfächern und privaten Ablagen.
2. Verträge nachziehen. Für jedes Werkzeug prüfen, ob ein Auftragsverarbeitungsvertrag vorliegt; die meisten Anbieter stellen ihn zum Download bereit.
3. Verzeichnis aus der Liste bauen. Eine Zeile je Tätigkeit, Löschfrist mit Auslöser.
4. Einwilligungen prüfen. Wo fehlen Zeitstempel und Textversion?
5. Auskunftsseite anlegen. Fundstellen, Zuständigkeit, Textbaustein.

Das ist ein bis zwei Arbeitstage — deutlich weniger, als die Sache in der Selbstwahrnehmung hat, und deutlich weniger als ein Verfahren.