Michael Kornmann, Autor bei QS Kornmann

Datenschutz-Managementsystem: Damit der Ernstfall keine Improvisation wird

Eine Auskunftsanfrage, ein Fragebogen vom Großkunden, eine Rückfrage der Aufsichtsbehörde.

16 Oktober 2026

Eine Auskunftsanfrage, ein Fragebogen vom Großkunden, eine Rückfrage der Aufsichtsbehörde: Spätestens dann zeigt sich, ob Ihr Datenschutz organisiert ist oder nur irgendwo abgelegt. Genau dafür gibt es das Datenschutz-Managementsystem.

Warum die DSGVO ein System verlangt
Den Begriff DSMS finden Sie in der DSGVO nicht. Die Pflicht dahinter schon: Sie müssen die Datenschutzgrundsätze nicht nur einhalten, sondern das auch nachweisen können (Art. 5 Abs. 2 DSGVO). Dafür brauchen Sie geeignete technische und organisatorische Maßnahmen, die Sie bei Bedarf überprüfen und aktualisieren (Art. 24 Abs. 1 DSGVO). Wo es verhältnismäßig ist, gehören dazu auch eigene Datenschutzrichtlinien (Art. 24 Abs. 2 DSGVO). Ein einmal geschriebener Ordner reicht dafür nicht. Es braucht einen Rahmen, in dem Zuständigkeiten, Abläufe und Nachweise dauerhaft zusammenkommen.

Die Bausteine
Ein DSMS ist weder eine einzelne Richtlinie noch eine Software, sondern das Zusammenspiel von fünf Fragen:
* Wer ist zuständig? Rollen von Geschäftsführung, Datenschutzbeauftragtem (sofern benannt) und Fachbereichen, klare Entscheidungswege.
* Was wird dokumentiert? Verzeichnis der Verarbeitungstätigkeiten, TOM, Verträge, Datenschutz-Folgenabschätzungen, mit festen Prüfzyklen.
* Wie laufen kritische Prozesse? Betroffenenanfragen sind unverzüglich, spätestens aber innerhalb eines Monats zu beantworten. Eine Verlängerung um zwei weitere Monate ist nur in begründeten Fällen möglich (Art. 12 Abs. 3 DSGVO). Meldepflichtige Datenpannen müssen binnen 72 Stunden an die Aufsichtsbehörde gehen (Art. 33 Abs. 1 DSGVO). Wer erst im Ernstfall klärt, wer was tut, verliert genau diese Zeit.
* Wissen die Beschäftigten Bescheid? Schulung beim Einstieg und regelmäßig danach.
* Wie werden Dienstleister eingebunden? Prüfung vor dem Einsatz, Kontrolle danach.
Wie umfangreich das Ganze sein muss, hängt von Größe und Risiko Ihres Unternehmens ab. Ein schlankes, gelebtes System schlägt jedes dicke Handbuch.

Der Nutzen im Alltag
Wer strukturiert aufgestellt ist, beantwortet Kundenfragebögen in Minuten statt Tagen, reagiert auf Vorfälle ohne Hektik und kann bei einer Prüfung zeigen, dass Datenschutz ernst genommen wird. Das kann sich sogar bei der Bemessung eines Bußgelds positiv auswirken (Art. 83 Abs. 2 DSGVO).

So setzen wir das um
In QS365 bilden wir diese Bausteine an einer Stelle ab: Das Modul Datenschutz enthält Ihre Dokumentation samt Übersicht über Software und Dienstleister, die Akademie Ihre Schulungsnachweise, der Gerätemanager Ihre Geräteverwaltung. Über das Infoboard erreichen Ihre Mitarbeitenden freigegebene Dokumente und Verfahren, ihre Schulungen und das Meldeportal für Vorfälle. So schafft QS365 die Grundlage für ein gelebtes DSMS und liefert die Nachweise, die im Ernstfall gefragt sind.

Unsere Top 5
1. Zuständigkeiten festlegen: Wer entscheidet, wer berät, wer setzt um?
2. Dokumentation bündeln: Eine Stelle, ein aktueller Stand, keine verstreuten Ordner.
3. Notfallabläufe definieren: Betroffenenanfrage und Datenpanne als feste Prozesse mit Fristen.
4. Schulungen nachweisbar machen: Einstieg, Auffrischung, Teilnahme dokumentiert.
5. Jährlich überprüfen: Das DSMS ist nur so gut wie sein letzter Revisionsstand.

Fazit
Die DSGVO verlangt kein Handbuch, sondern die Nachweisbarkeit Ihres Datenschutzes. Die erreichen Sie nur mit einem System, das Zuständigkeiten, Dokumentation und Abläufe dauerhaft verbindet. Ein schlankes, gelebtes DSMS sorgt dafür, dass Sie bei Auskunftsanfragen, Datenpannen und Kundenfragebögen fristgerecht und souverän reagieren, statt zu improvisieren.

Mehr zu QS365: https://qs-kornmann.de/qs365/

Datenschutz beim Onboarding richtig umsetzen

09 Oktober 2026

Gerade beim Onboarding werden zahlreiche personenbezogene Daten verarbeitet und Zugriffsrechte vergeben. Wer diese Prozesse nicht sauber organisiert, schafft unnötige Risiken und muss später häufig nachbessern.

Hintergrund
Bereits mit Beginn eines Beschäftigungsverhältnisses verarbeitet ein Unternehmen personenbezogene Daten wie Name, Kontaktdaten oder Bankverbindung. Deshalb müssen neue Mitarbeitende über die Datenverarbeitung informiert werden. Diese Informationspflichten sollten idealerweise über ein separates Datenschutzhinweisdokument erfüllt und die Kenntnisnahme dokumentiert werden.
Ebenso wichtig ist die Vertraulichkeitsverpflichtung. Beschäftigte, die personenbezogene Daten verarbeiten, dürfen dies nur auf Weisung des Arbeitgebers tun. Eine schriftliche Verpflichtung – getrennt vom Arbeitsvertrag – hilft dabei, diese Anforderungen der DSGVO nachvollziehbar umzusetzen.
Auch die Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten verdient Aufmerksamkeit. Nach einem Urteil des Europäischen Gerichtshofs aus dem Jahr 2023 und der Bestätigung durch das Bundesarbeitsgericht im Mai 2025 kann § 26 Abs. 1 BDSG nicht mehr als allgemeine Rechtsgrundlage herangezogen werden. Unternehmen sollten ihre Datenschutzhinweise und Verzeichnisse der Verarbeitungstätigkeiten deshalb überprüfen und die Verarbeitung auf Artikel 6 Abs. 1 Buchstabe b oder f DSGVO stützen, soweit dies im jeweiligen Fall zutrifft.

Praktische Bedeutung
Datenschutz beginnt nicht erst bei einer Prüfung durch die Aufsichtsbehörde, sondern bereits beim ersten Arbeitstag. Werden Informationspflichten vergessen, Zugriffsrechte zu großzügig vergeben oder Mitarbeitende nicht auf Vertraulichkeit verpflichtet, entstehen vermeidbare Compliance-Risiken.
Ebenso wichtig ist die technische Organisation. Zugriffs- und Zutrittsrechte sollten konsequent nach dem Need-to-Know-Prinzip vergeben und dokumentiert werden. Zusätzlich empfiehlt sich eine Datenschutzschulung unmittelbar nach Arbeitsbeginn sowie regelmäßige Auffrischungen im Abstand von ein bis zwei Jahren.

Beispiel aus der Praxis: Ein neuer Mitarbeiter beginnt in der Verwaltung und erhält sofort Zugriff auf mehrere gemeinsame Netzlaufwerke. Da die Berechtigungen nicht nach Aufgabenbereichen vergeben wurden, kann er auch auf Personalunterlagen zugreifen, die er für seine Tätigkeit nicht benötigt. Mit einem rollenbasierten Berechtigungskonzept lässt sich dieses Risiko von Beginn an vermeiden.

Unsere Empfehlung
1. Stellen Sie Datenschutzhinweise für Beschäftigte separat bereit und dokumentieren Sie die Kenntnisnahme.
2. Lassen Sie eine schriftliche Vertraulichkeitsverpflichtung unabhängig vom Arbeitsvertrag unterzeichnen.
3. Prüfen und aktualisieren Sie die Rechtsgrundlagen in Datenschutzhinweisen und Verzeichnissen der Verarbeitungstätigkeiten.
4. Vergeben Sie Zugriffs- und Zutrittsrechte ausschließlich nach dem Need-to-Know-Prinzip und dokumentieren Sie diese.
5. Führen Sie Datenschutzschulungen möglichst direkt nach Arbeitsbeginn durch und wiederholen Sie diese regelmäßig.

Fazit:
Ein strukturiertes Onboarding stärkt nicht nur die Organisation, sondern auch den Datenschutz. Wer Informationspflichten, Vertraulichkeit, Rechtsgrundlagen und Berechtigungskonzepte bereits am ersten Arbeitstag berücksichtigt, reduziert Risiken und schafft von Beginn an klare und rechtssichere Prozesse.

Fünf DSGVO-Bußgelder verraten, worauf Behörden jetzt achten

Betroffen sind Unternehmen jeder Größe, vom Elektronikkonzern bis zur kleinen Immobilienagentur.

02 Oktober 2026

Fünf aktuelle Bußgeldentscheidungen aus Norwegen, Spanien, Irland und Kroatien zeigen, wonach Aufsichtsbehörden derzeit gezielt suchen. Betroffen sind Unternehmen jeder Größe, vom Elektronikkonzern bis zur kleinen Immobilienagentur. Die Summen reichen von 100.000 Euro bis 1,8 Millionen Euro, und die Begründungen liefern eine klare Checkliste für die eigene Datenschutzorganisation.

Die fünf Fälle im Überblick
* Die zuständige Datenschutzaufsichtsbehörde in Norwegen verhängte 20 Millionen NOK, rund 1,8 Millionen Euro, gegen einen Elektronikhändler. Grund war eine gebündelte Einwilligung im Kundenclub, bei der Kunden nicht getrennt zustimmen oder widersprechen konnten. Betroffen waren über sechs Millionen Mitglieder.
* In Spanien entschied die Aufsichtsbehörde auf 1.050.000 Euro gegen ein Telekommunikationsunternehmen für drei Verstöße: zwei fehlende Rechtsgrundlagen nach Artikel 6 Absatz 1 DSGVO sowie unzureichende technische und organisatorische Sicherheitsmaßnahmen, etwa bei Verschlüsselung, Zugriffskontrolle und Risikobewertung (Artikel 32 DSGVO). Allein der Sicherheitsverstoß macht mit 750.000 Euro rund 71 Prozent des Bußgelds aus.
* Ebenfalls in Spanien musste ein Energieanbieter 220.000 Euro zahlen, weil ein beauftragter Dienstleister personenbezogene Daten ohne Rechtsgrundlage und ohne Transparenz für Vertriebszwecke nutzte.
* In Irland verhängte die Datenschutzbehörde 300.000 Euro gegen einen öffentlichen Gesundheitsdienstleister nach einem Ransomware-Angriff auf ein Krankenhaus-Laborsystem. Betroffen waren die Daten von rund 84.000 Patienten.
* In Kroatien wurde eine Immobilienagentur mit 100.000 Euro belegt, weil sie Kundendaten fast 12.000 Betroffener zu lange aufbewahrte und Kopien von Ausweisen sowie Bankkarten ohne Rechtsgrundlage speicherte. Der Geschäftsführer hatte die Existenz der Bankkartenkopien zunächst bestritten.

Was das für Ihr Unternehmen bedeutet
Drei Ursachen ziehen sich durch alle Fälle: fehlende oder fehlerhafte Rechtsgrundlagen für die Verarbeitung, unzureichende technische Sicherheitsmaßnahmen und fehlende Löschkonzepte beziehungsweise überschrittene Aufbewahrungsfristen. Das sind keine Ausnahmefälle, sondern typische Schwachstellen, die sich mit überschaubarem Aufwand beheben lassen.
Die Bußgeldhöhe hängt nicht allein von der Unternehmensgröße ab. Auch eine kleine Immobilienagentur zahlte 100.000 Euro, weil sie sensible Daten wie Ausweiskopien ohne Rechtsgrundlage speicherte. Besonders kritisch bewerten Aufsichtsbehörden es, wenn die Geschäftsführung Verstöße leugnet oder ignoriert, wie im kroatischen Fall.
Beispiel aus der Praxis: Ein Unternehmen speichert Kundendaten in einem System ohne Verschlüsselung und ohne abgestufte Zugriffsrechte. Kommt es zu einem unbefugten Zugriff, lässt sich nicht mehr nachweisen, dass angemessene Schutzmaßnahmen bestanden. Genau solche Lücken bei Verschlüsselung, Zugriffskontrolle und Risikobewertung machten im Fall des spanischen Telekommunikationsunternehmens den größten Teil des Bußgelds aus.

Unsere Empfehlung
1. Gestalten Sie Einwilligungen granular. Kunden müssen einzelnen Zwecken zustimmen oder widersprechen können, ein Alles oder Nichts reicht nicht aus.
2. Prüfen Sie bei jeder Verarbeitung, ob eine tragfähige Rechtsgrundlage vorliegt, insbesondere bei Vertriebs- und Marketingaktivitäten über Dienstleister.
3. Sichern Sie Ihre Systeme technisch ab: Verschlüsselung, Zugriffskontrollen, Risikobewertungen sowie getestete Backups und Wiederherstellungsprozesse gegen Ransomware.
4. Führen Sie ein Löschkonzept ein und halten Sie Ihr Verarbeitungsverzeichnis nach Artikel 30 DSGVO aktuell.
5. Binden Sie die Geschäftsführung aktiv ein. Systematische Verstöße beginnen häufig an der Spitze und werden dort am ehesten übersehen.

Fazit
Die aktuellen Bußgelder folgen einem erkennbaren Muster. Wer Einwilligungen und Rechtsgrundlagen sauber prüft, seine IT gegen Angriffe absichert und Daten fristgerecht löscht, senkt sein Risiko erheblich. Der Aufwand dafür ist überschaubar, verglichen mit den Bußgeldern und dem Reputationsschaden im Ernstfall.

QM-Handbuch: Pflicht oder überflüssig? Die Norm entscheidet

Datenschutzerklärung: Jetzt auch ein Fall fürs Wettbewerbsrecht

Scoring-Auskunft: Wie viel Einblick müssen Sie wirklich geben?

Setzen Sie Scoring-Verfahren ein, etwa bei der Kreditwürdigkeitsprüfung, in der Versicherung oder bei der Bewertung von Geschäftspartnern?

11 September 2026

Setzen Sie Scoring-Verfahren ein, etwa bei der Kreditwürdigkeitsprüfung, in der Versicherung oder bei der Bewertung von Geschäftspartnern? Dann betrifft Sie ein aktueller Hinweisbeschluss des Oberlandesgerichts Stuttgart vom 3. Februar 2026 (Az. 9 U 148/25) unmittelbar. Das Gericht hat klargestellt, wie weit Ihre Auskunftspflicht gegenüber Betroffenen tatsächlich reicht, und damit für mehr Rechtssicherheit an einer bislang unklaren Stelle gesorgt.

Was das Gericht entschieden hat:
Anlass war ein Streit um die Auskunft einer Wirtschaftsauskunftei zu einem Bonitätsscore. Rechtliche Grundlage für solche Ansprüche ist Artikel 15 DSGVO. Danach müssen Sie Betroffenen erklären, wie ein Score zustande kommt, und zwar verständlich auch für Laien.

Das Gericht konkretisiert, was das bedeutet. Sie müssen:
* die verwendeten Datenkategorien benennen,
* die grundlegende Logik der Berechnung erläutern,
* die Bildung von Vergleichsgruppen beschreiben,
* und über Zweck und Auswirkungen des Scorewerts informieren.

Gleichzeitig zieht das Gericht eine klare Grenze. Wie einzelne Faktoren konkret gewichtet werden, müssen Sie nicht offenlegen. Eine solche Offenlegung käme nach Auffassung des OLG Stuttgart der vollständigen Berechnungsformel gleich und würde Geschäftsgeheimnisse gefährden. Der Maßstab: Betroffene müssen die Richtigkeit ihrer Daten prüfen und die Rechtmäßigkeit der Verarbeitung beurteilen können. Einen Einblick in Algorithmen oder Gewichtungsmodelle verlangt das Gesetz dafür nicht.
Zur Einordnung: Es handelt sich um einen Hinweisbeschluss, also eine vorläufige gerichtliche Einschätzung, keine rechtskräftige Endentscheidung. Die Richtung ist erkennbar, eine höchstrichterliche Klärung steht aber noch aus.

Was das für Ihr Unternehmen bedeutet:
Datenschutz verlangt keine vollständige Offenlegung Ihrer Scoring-Logik. Er verlangt eine Balance zwischen Transparenz für Betroffene und dem Schutz unternehmerischer Interessen. Diese Balance gelingt nur, wenn Ihre Auskunftsprozesse sauber aufgesetzt und Ihre Scoring-Logik verständlich dokumentiert sind.
Fehlt diese Dokumentation, laufen Sie Gefahr, entweder zu viel oder zu wenig herauszugeben. Beides ist riskant: Zu viel gefährdet Geschäftsgeheimnisse, zu wenig verletzt die Auskunftspflicht und kann Beschwerden bei der Aufsichtsbehörde sowie Bußgelder nach Artikel 83 DSGVO nach sich ziehen. Denken Sie außerdem an die Monatsfrist aus Artikel 12 Absatz 3 DSGVO, innerhalb der Sie auf ein Auskunftsersuchen reagieren müssen.
Beispiel aus der Praxis: Eine Bank lehnt einen Kreditantrag wegen eines niedrigen Scorewerts ab. Der Kunde verlangt Auskunft nach Artikel 15 DSGVO und möchte wissen, warum sein Score so ausfällt. Die Bank beziehungsweise die beauftragte Auskunftei muss ihm die verwendeten Datenkategorien, die grundlegende Berechnungslogik und die Vergleichsgruppenbildung verständlich erklären, muss aber nicht offenlegen, mit welchem Prozentsatz einzelne Faktoren in die Formel einfließen.

Unsere Empfehlung
1. Entwickeln Sie standardisierte Auskunftsvorlagen, die Sie im Einzelfall anpassen können.
2. Dokumentieren Sie Ihre Scoring-Logik so, dass Sie sie auch Laien verständlich erklären können.
3. Schaffen Sie Transparenz über die verwendeten Datenkategorien, ohne sich in technischen Details zu verlieren.
4. Schützen Sie Gewichtungsmodelle und andere Geschäftsgeheimnisse gezielt und begründen Sie das im Zweifel nachvollziehbar.
5. Prüfen Sie Ihre Auskunftsprozesse regelmäßig und halten Sie die Monatsfrist nach Art. 12 Abs. 3 DSGVO zuverlässig ein.

Fazit
Der Hinweisbeschluss des OLG Stuttgart schafft Klarheit, aber keinen Freifahrtschein. Sie müssen erklären, ohne Ihren Algorithmus preiszugeben. Wer seine Scoring-Logik gut dokumentiert und Auskunftsprozesse professionell aufsetzt, erfüllt seine Pflichten und schützt gleichzeitig sein Geschäftsgeheimnis.

Verantwortlicher statt Auftragsverarbeiter: 120.000 Euro Bußgeld

Die belgische Datenschutzbehörde hat ein Fintech-Unternehmen mit 120.000 Euro belegt, weil es sich fälschlich als Auftragsverarbeiter eingestuft hatte.

04 September 2026

Die belgische Datenschutzbehörde hat ein Fintech-Unternehmen mit 120.000 Euro belegt, weil es sich fälschlich als Auftragsverarbeiter eingestuft hatte. Betroffen sind alle Unternehmen, die eigene digitale Dienste anbieten und sich vertraglich als bloßer Dienstleister positionieren. Die Entscheidung zeigt: Die Rollenverteilung nach DSGVO richtet sich nicht nach dem Vertragstext, sondern nach der tatsächlichen Entscheidungsmacht.
Das Fintech-Unternehmen betrieb einen Authentifizierungsdienst und sah die Verantwortung bei seinen Kunden. Die Behörde widersprach: Das Unternehmen habe den Dienst selbst konzipiert, konfiguriert und betrieben und damit über Zweck und wesentliche Mittel der Verarbeitung entschieden. Genau das macht ein Unternehmen zum Verantwortlichen, unabhängig davon, was im Vertrag steht.

Hintergrund
Die Behörde stützte ihre Entscheidung auf das EuGH-Urteil IAB Europe (C-604/22). Danach wird zum Verantwortlichen, wer die Regeln eines Datenverarbeitungssystems festlegt und kontrolliert. Maßgeblich ist die tatsächliche Einflussmöglichkeit auf das „Warum“ (den Zweck) und das wesentliche „Wie“ (die Mittel) der Verarbeitung, nicht die Bezeichnung im Vertrag.
Bemerkenswert ist die Begründung des Bußgelds: Die Behörde knüpfte es nicht an die einzelnen Folgefehler an, wie fehlende Transparenz, ein unbeantwortetes Auskunftsersuchen oder zu umfangreiche Datenerhebung. Sie ging direkt an die Ursache: die falsche Rolleneinordnung selbst. Das wertete sie als strukturellen Verstoß gegen die Rechenschaftspflicht nach Artikel 5 Absatz 2 DSGVO. Der Einwand, die Abgrenzung sei komplex gewesen, half nicht, im Gegenteil: Bei einem neuartigen Dienst steigt die Sorgfaltspflicht.

Praktische Bedeutung
Für Unternehmen bedeutet das: Wer einen eigenen Dienst entwickelt, konfiguriert und betreibt, trägt in der Regel auch die Verantwortlichkeit dafür, selbst wenn Kunden ihn nutzen und der Vertrag etwas anderes vorsieht. Eine falsche Selbsteinschätzung wirkt sich nicht nur auf einen Einzelpunkt aus, sondern infiziert alle nachgelagerten Pflichten, von Transparenz über Auskunftsrechte bis zur Datenminimierung. Das Bußgeld von 120.000 Euro macht deutlich, dass Aufsichtsbehörden diesen Grundfehler als eigenständigen, schwerwiegenden Verstoß behandeln, nicht nur als Randproblem.
Beispiel aus der Praxis: Ein Unternehmen entwickelt eine Software zur Terminbuchung, die es Kunden als Dienstleistung anbietet. Legt das Unternehmen selbst fest, welche Daten erhoben werden, wie lange sie gespeichert bleiben und an wen sie weitergegeben werden, ist es voraussichtlich Verantwortlicher, unabhängig davon, ob der Vertrag es als Auftragsverarbeiter bezeichnet.

Unsere Empfehlung
1. Bestimmen Sie für jede Verarbeitung die Rolle anhand der tatsächlichen Entscheidungsmacht, nicht anhand des Vertragstexts.
2. Prüfen Sie konkret, wer über Zweck, Datenumfang, Empfänger und Speicherfristen entscheidet.
3. Hinterfragen Sie bei selbst entwickelten, standardisierten Diensten kritisch, ob Sie wirklich nur Auftragsverarbeiter sind.
4. Dokumentieren Sie Ihre Rollenanalyse. Das trägt die Rechenschaftspflicht und ist im Auditfall vorzeigbar.
5. Ordnen Sie neuartige Dienste vor dem Start datenschutzrechtlich ein, denn ein Fehler an dieser Stelle wirkt sich auf alle Folgepflichten aus.

Fazit
Die Rollenverteilung nach DSGVO ist keine Formalie, sondern die Grundlage der gesamten Compliance. Wer sich als Auftragsverarbeiter bezeichnet, obwohl er faktisch über Zweck und Mittel entscheidet, riskiert empfindliche Bußgelder, selbst wenn alle anderen Pflichten sauber umgesetzt sind. Unternehmen mit eigenen digitalen Diensten sollten ihre Rolle jetzt überprüfen, bevor es eine Aufsichtsbehörde für sie tut.

Audits per Videocall: ISO 19011 macht es offiziell

Seit dem 27. Mai 2026 gilt eine neue Fassung der ISO 19011, dem internationalen Leitfaden für Audits von Managementsystemen.

28 August 2026

Seit dem 27. Mai 2026 gilt eine neue Fassung der ISO 19011, dem internationalen Leitfaden für Audits von Managementsystemen. Erstmals sind Remote- und Hybrid-Audits fest in der Norm verankert. Das betrifft alle Unternehmen, die interne Audits oder Lieferantenaudits durchführen, ganz besonders Medizinproduktehersteller mit internationalen Lieferketten. Da es sich um eine Leitfaden-Norm handelt, gilt die neue Fassung ab sofort, ohne Übergangsfrist.

Hintergrund

Die vierte Auflage der ISO 19011 ersetzt die bisherige Ausgabe von 2018. Die zentrale Neuerung: Anhang A wurde um konkrete Hinweise zu Remote-Methoden und virtuellen Auditstandorten erweitert, mit Verweis auf die ISO/IEC TS 17012. Die sieben etablierten Auditprinzipien und der risikobasierte Ansatz bleiben unverändert der Kern der Norm. Gestrichen wurde dagegen der Anhang zu Kompetenzanforderungen für einzelne Fachdisziplinen, dieser Teil entfällt komplett.

Die ISO 19011 selbst nimmt keinen Bezug auf einzelne Branchen. Für Medizinproduktehersteller heißt das: Sie müssen den risikobasierten Ansatz der Norm eigenständig mit den Anforderungen der ISO 14971 und der eigenen Datenanalyse verknüpfen.

Praktische Bedeutung für Ihr Unternehmen

Remote-Audits sparen Reisezeit und Kosten, bringen aber eigene Risiken mit: technische Ausfälle, Vertraulichkeit und Datensicherheit stehen jetzt ausdrücklich im Fokus der Norm. Wer Remote-Audits nutzt, muss diese Risiken im Auditprogramm konkret berücksichtigen, nicht nur formal erwähnen.

Ein Audit sollte ohnehin mehr leisten als reine Konformitätsprüfung. Richtig genutzt, deckt es Ineffizienzen auf, entschlackt Arbeitsanweisungen und liefert wertvollen Input für Management-Review, CAPA-System und Post-Market Surveillance.

Beispiel aus der Praxis: Ein Lieferant sitzt im Ausland, eine Anreise zum Vor-Ort-Audit lohnt sich wirtschaftlich kaum. Mit der neuen ISO 19011 können Sie das Audit remote durchführen, vorausgesetzt Sie legen vorab klare Regeln zu Technik, Vertraulichkeit und Datensicherheit fest.

Unsere Empfehlung

Schulen Sie interne Auditoren gezielt auf die neue Fassung und auf Remote-Methoden.
Gestalten Sie Ihr Auditprogramm risikobasiert und verzahnen Sie es mit der ISO 14971.
Führen Sie Remote-Audits nur mit klaren Regeln zu Technik, Vertraulichkeit und Datensicherheit durch.
Berücksichtigen Sie ergänzend Auditkriterien nach ISO 13485 und MDR/IVDR.
Nutzen Sie Auditergebnisse aktiv für Management-Review, Risikomanagement und Prozessverbesserung.

Fazit

Die ISO 19011:2026 holt die Auditpraxis in die Gegenwart: Remote- und Hybrid-Audits sind jetzt offiziell gleichwertig zum Vor-Ort-Audit, nicht mehr nur Notlösung. Wer sein Auditprogramm jetzt anpasst, spart Ressourcen und erfüllt gleichzeitig den aktuellen Stand der Technik. Entscheidend bleibt, die neuen Freiheiten mit klaren Regeln zu Technik und Datensicherheit abzusichern.

DSGVO-Auskunft als Geschäftsmodell: EuGH zieht Grenze

DSB-Pflicht könnte fallen, Ihre Verantwortung bleibt

Am 2. Juli 2026 hat der Koalitionsausschuss aus Union und SPD ein Reformpaket beschlossen, das unter anderem die Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten abschaffen soll.

14 August 2026

Am 2. Juli 2026 hat der Koalitionsausschuss aus Union und SPD ein Reformpaket beschlossen, das unter anderem die Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten abschaffen soll. Betroffen wären vor allem kleine und mittlere Unternehmen, die heute ab 20 Beschäftigten mit automatisierter Datenverarbeitung einen Datenschutzbeauftragten benennen müssen. Doch schon diese Schwelle gilt nicht für jedes Unternehmen: Bestimmte Verarbeitungen lösen die Bestellpflicht schon heute unabhängig von der Mitarbeiterzahl aus, und daran ändert die Reform nichts. Entscheidend für Sie: Mit der Bestellpflicht verschwinden nicht automatisch auch die Datenschutzpflichten selbst.

Was wirklich beschlossen wurde

Zunächst zur Einordnung: Es handelt sich um eine politische Absichtserklärung, kein geltendes Recht. Solange kein Gesetz im Bundesgesetzblatt steht, gelten DSGVO und BDSG unverändert weiter. Geplant ist, § 38 BDSG zu streichen, die Aufsicht beim Bundesbeauftragten für Datenschutz und Informationsfreiheit (BfDI) zu zentralisieren und ein einheitliches Datengesetzbuch zu schaffen. Die Streichung der Bestellpflicht ist dabei der Punkt, der in der Praxis am häufigsten missverstanden wird.

Ein Vergleich macht den Unterschied deutlich: In Deutschland gibt es keine gesetzliche Pflicht, einen Steuerberater zu beauftragen. Trotzdem leisten sich die meisten Unternehmen einen, weil die steuerlichen Pflichten selbst, also Erklärungen, Fristen und die korrekte Umsetzung der Vorschriften, davon unberührt bleiben und ohne Fachkunde kaum sicher zu erfüllen sind. Genauso verhält es sich beim Datenschutz: Fällt § 38 BDSG, bleibt Artikel 37 DSGVO in Kraft, unabhängig von Ihrer Unternehmensgröße. Danach ist ein Datenschutzbeauftragter weiterhin Pflicht, wenn die Kerntätigkeit in umfangreicher, systematischer Überwachung besteht oder umfangreich besondere Datenkategorien verarbeitet werden, ganz gleich wie viele Personen Sie beschäftigen.

Ganz neu ist dieses Prinzip übrigens nicht: Schon heute schreibt § 38 Abs. 1 Satz 2 BDSG einen Datenschutzbeauftragten unabhängig von der Mitarbeiterzahl vor, etwa wenn eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist oder Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Markt- oder Meinungsforschung verarbeitet werden. Die 20-Personen-Schwelle war also auch bisher nie das alleinige Kriterium, sie wird nach der Reform nur zum einzigen nationalen Maßstab, der noch übrig bleibt. Und selbst ohne Bestellpflicht bleiben sämtliche materiellen Pflichten bestehen: Rechenschaft, technische und organisatorische Maßnahmen, Betroffenenrechte, Meldepflichten.

Warum das teuer werden kann

Wer den Datenschutzbeauftragten voreilig abmeldet, verliert nicht die Pflichten, sondern die Fachkunde, sie zu erfüllen. Die Beurteilung, ob eine Bestellpflicht nach Artikel 37 DSGVO besteht, ist deutlich anspruchsvoller als das bloße Abzählen von 20 Beschäftigten. Sie müssen diese Einschätzung künftig eigenverantwortlich treffen und dokumentieren. Ein Fehler dabei ist kein Formfehler, sondern kann ein Bußgeld nach Artikel 83 DSGVO nach sich ziehen. Aus der vermeintlichen Entlastung wird so schnell ein Haftungsrisiko in Eigenregie.

Beispiel aus der Praxis: Ein mittelständisches Unternehmen beschäftigt aktuell 22 Personen mit automatisierter Datenverarbeitung und hat deshalb einen Datenschutzbeauftragten bestellt. Fällt § 38 BDSG, entfällt diese formale Grenze. Verarbeitet das Unternehmen weiterhin umfangreich Gesundheitsdaten seiner Beschäftigten, bleibt die Bestellpflicht über Artikel 37 DSGVO bestehen. Nur muss das Unternehmen dies künftig selbst prüfen und begründen.

Unsere Empfehlung

Melden Sie Ihren Datenschutzbeauftragten nicht ab, solange kein Gesetz in Kraft ist.
Dokumentieren Sie für jede Bestellung, ob sie nur auf § 38 Abs. 1 Satz 1 BDSG (20-Personen-Schwelle) beruht oder ob unabhängig davon Artikel 37 DSGVO oder § 38 Abs. 1 Satz 2 BDSG greift.
Stellen Sie die materiellen Pflichten sicher, also technische und organisatorische Maßnahmen, Betroffenenrechte und Meldewege, unabhängig von der Bestellpflicht.
Halten Sie Fachkunde intern oder extern vor. Die Verantwortung bleibt bestehen, auch ohne Bestellpflicht.
Handeln Sie erst, wenn der Gesetzestext veröffentlicht ist, nicht schon auf Basis von Ankündigungen.

Fazit

Die geplante Reform verspricht weniger Bürokratie, verändert aber nicht die eigentlichen Datenschutzpflichten. Wer die Bestellpflicht mit den Pflichten selbst verwechselt, riskiert Bußgelder statt Entlastung. Bleiben Sie bis zur endgültigen Gesetzesfassung bei Ihrer bisherigen Organisation und nutzen Sie die Zeit, um Ihre Prozesse und Ihre Fachkunde zu sichern.