Viele Unternehmen in Deutschland erfüllen zentrale Dokumentationspflichten der Datenschutz-Grundverordnung (DSGVO) nicht vollständig. Das zeigt eine Umfrage der Beratungsgesellschaft Dury Consult unter 500 Datenschutzverantwortlichen in Unternehmen mit mehr als 500 Beschäftigten.
Nach den Ergebnissen arbeiten sechs von zehn Unternehmen mit einem veralteten Verzeichnis von Verarbeitungstätigkeiten (VVT). Dieses Verzeichnis dokumentiert, wie ein Unternehmen personenbezogene Daten verarbeitet und schützt. Jedes fünfte befragte Unternehmen führt nach eigenen Angaben überhaupt kein solches Verzeichnis und verstößt damit gegen die Vorgaben der Datenschutz-Grundverordnung.
Lediglich 21 Prozent der Unternehmen haben ihr VVT innerhalb der vergangenen drei Monate aktualisiert. Rund 20 Prozent nahmen Änderungen bereits vor längerer Zeit vor, teilweise vor mehr als einem Jahr. Weitere 39 Prozent konnten nicht angeben, wann sie das Dokument zuletzt überarbeitet haben. Ohne ein aktuelles Verzeichnis fällt es Unternehmen schwer, gegenüber Aufsichtsbehörden ihre Verarbeitung personenbezogener Daten und die getroffenen Schutzmaßnahmen nachzuweisen.
Die Umfrage zeigt außerdem Defizite bei der Einbindung von Datenschutzbeauftragten. Bei Projekten im Personalbereich bleiben sie in fast 86 Prozent der Fälle außen vor. Bei der Einführung neuer Software, etwa für Kundenmanagement, Cloud-Dienste oder Anwendungen mit künstlicher Intelligenz, verzichten 79 Prozent der Unternehmen auf ihre Beteiligung. Rund drei Viertel binden Datenschutzbeauftragte auch bei Fragen der Informationssicherheit nicht ein. Selbst bei Kundenprojekten erfolgt ihre Beteiligung nur selten. Dabei verlangt die Datenschutz-Grundverordnung, Datenschutzbeauftragte frühzeitig in entsprechende Vorhaben einzubeziehen.
Nach Einschätzung von Dury Consult erschwert ein fehlendes oder veraltetes Verzeichnis zudem die Bearbeitung von Auskunftsersuchen betroffener Personen. Unternehmen müssen solche Anfragen grundsätzlich innerhalb eines Monats beantworten. Fehlende oder unvollständige Dokumentationen können zu Aufsichtsverfahren, Bußgeldern oder Schadensersatzforderungen führen. Ein automatischer Anspruch auf Schadensersatz entsteht nach der geltenden Rechtsprechung allerdings nicht allein durch das Überschreiten der Frist.
