Das online gekaufte ‘Datenschutz-Kit’: Warum das Modell für wenige Euro Sie nicht vor einer Sanktion bewahrt

Manchmal, während eines Audits, kommt der peinliche Moment. Wir fragen nach dem Verzeichnis der Verarbeitungstätigkeiten und erhalten ein perfektes PDF: elegante Schriftart, zitierte Artikel, alles formal in Ordnung. Dann fragt man: “Und diese Videoüberwachungsverarbeitung, die Sie im Einsatz haben, wo ist die?” und Stille tritt ein. Das Verzeichnis beschreibt ein Unternehmen, das nicht existiert, online im Sale für wenige Dutzend Euro gekauft.

Das Kit im Angebot existiert, das Problem ist, was man damit macht

Räumen wir gleich das Feld: Ein Muster ist nicht das Übel. Wir alle gehen von einem Template aus, wir Berater zuerst. Eine grundlegende Information, ein Verzeichnis-Skelett, eine Beispielprozedur sind hervorragende Ausgangspunkte. Das Problem entsteht, wenn der Ausgangspunkt zum Endpunkt wird und der Ordner “Privacy” auf dem Server mit Konformität verwechselt wird.

Das “Datenschutz-Kit für wenige Euro” verkauft genau diese Illusion: Papier anstelle von Substanz. Und Papier wiegt am Tag der Inspektion oder des Data Breach so viel, wie es wiegt, nämlich wenig. Das Problem ist nicht der niedrige Preis an sich – es gibt ausgezeichnete Dinge, die wenig kosten –, sondern das leere Deliverable, das als Konformität ausgegeben wird, das nie ausgefüllte Formular, das verkauft wird, als würde es Sie schützen.

Warum das generische Modell der Realität nicht standhält

Die DSGVO basiert auf dem Grundsatz der Rechenschaftspflicht (Accountability, Art. 5 Abs. 2): Es reicht nicht aus, konform zu sein, man muss es auch nachweisen können, und der Nachweis betrifft DEINE tatsächlichen Verarbeitungen. Ein generisches Kit versagt genau hier, aus sehr konkreten Gründen.

• Das Verzeichnis der Verarbeitungstätigkeiten (Art. 30) beschreibt Aktivitäten, die Sie nicht ausführen, und lässt andere aus, die Sie tatsächlich ausführen: keine Videoüberwachung, keine Geolokalisierung von Fahrzeugen, kein Cloud-Managementsystem außerhalb der EU. Die erste Kontrolle des Garante besteht darin, das Dokument mit der Realität zu vergleichen.
• Die Informationen (Art. 13-14) sind kopiert und eingefügt: Sie nennen Zwecke, die Sie nicht betreffen, geben die Rechtsgrundlage falsch an, nennen zufällige Aufbewahrungsfristen und enthalten manchmal immer noch den Namen des Unternehmens, von dem das Muster geklont wurde.
• Einwilligungen werden falsch oder unnötig eingeholt: Einwilligung für vertragliche Erfüllungen angefordert (wo die Grundlage eine andere ist), vorab angekreuzte Kästchen, eine einzige Einwilligung für mehrere Zwecke. Eine ungültige Einwilligung ist gleichbedeutend mit keiner.
• Die Benennungen von Auftragsverarbeitern (Art. 28) fehlen oder sind generisch, während Sie in Wirklichkeit fünf Dienstleister haben, die Daten in Ihrem Auftrag ohne einen angemessenen Vertrag verarbeiten.
• Die im Kit aufgeführten Sicherheitsmaßnahmen (Art. 32) sind ein Katalog guter Absichten, der von der tatsächlichen Beschaffenheit Ihres Netzwerks losgelöst ist.

Die Prozedur, die niemand je angewendet hat

Das gefährlichste Kapitel des Kits ist die Data-Breach-Prozedur. Sie ist gut geschrieben, zitiert die 72 Stunden des Art. 33, hat sogar ein schönes Flussdiagramm. Schade nur, dass niemand im Unternehmen sie je gelesen hat, niemand weiß, wen man anrufen soll, und das Benachrichtigungsformular seit dem Tag des Kaufs leer geblieben ist.

Der Breach wartet nicht darauf, dass Sie den Ordner öffnen. Wenn es passiert – und es passiert –, misst sich der Unterschied zwischen jemandem, der eine gelebte Prozedur hat, und jemandem, der ein PDF hat, in Stunden und Schäden. Der Erste isoliert, bewertet, benachrichtigt und kommuniziert den Betroffenen mit Klarheit. Der Zweite sucht auf Google “wie meldet man einen Data Breach”, während der 72-Stunden-Timer bereits läuft.

Worauf der Garante wirklich achtet

Wer die Inspektion als Überprüfung der Existenz von Dokumenten betrachtet, hat den Film rückwärts verstanden. Die Überprüfung geht ins Detail: Sie interviewt Personen, prüft Systeme, fordert Nachweise an. Einige typische Fragen demontieren ein Kit in zwei Minuten:

• “Zeigen Sie mir, wo diese aktive Verarbeitung, die ich sehe, im Verzeichnis erfasst ist?”
• “Wer ist der benannte Auftragsverarbeiter für diesen Anbieter und wo ist der Vertrag gemäß Art. 28?”
• “Wie haben Sie die Betroffenen über diese Verletzung des letzten Jahres informiert?”
• “Wer entscheidet, und in welcher Zeit, ob ein Vorfall gemeldet werden muss?”

Auf diese Fragen antwortet kein Template. Es antwortet eine Organisation, die die Arbeit erledigt hat: die Verarbeitungen abgebildet, passende Informationen verfasst, die Verantwortlichen benannt, die Prozedur getestet. Das Dokument ist die Fotografie dieser Arbeit, nicht ihr Ersatz.

Der konkrete Schaden, jenseits der Ironie

Es ist leicht, sich über “Compliance-Kits im Sale” lustig zu machen, aber der ernste Punkt ist ein anderer. Ein leeres Kit ist nicht neutral: Es ist schlimmer als nichts, denn es erzeugt ein falsches Sicherheitsgefühl. Der Unternehmer schläft ruhig, überzeugt davon, dass alles in Ordnung ist, investiert nicht, schult die Leute nicht, testet nichts. Dann kommt der Vorfall oder die Meldung, und das Papier entpuppt sich als das, was es ist.

Im Sanktionsverfahren spielt ein offensichtlich falsches Verzeichnis oder eine geklonte Information zudem nicht zu Ihren Gunsten: Sie zeigen Oberflächlichkeit, nicht guten Glauben. Und ernsthaft aktiv geworden zu sein, ist eines der Elemente, die bei der Bewertung einer Verletzung zählen.

Ist das Template also nutzlos? Nein

Wiederholen wir es, denn es ist wichtig: Das Muster ist ein guter Anfang. Auch wir liefern Templates. Der Unterschied liegt im Danach: die Personalisierung auf die tatsächlichen Verarbeitungen, das Interview mit den Unternehmensfunktionen, die Überprüfung der Anbieter, die Erprobung der Prozedur, die Schulung, die regelmäßige Überprüfung. Es ist Arbeit, kein Download. Der Wert ist nicht das PDF: Es ist die Tatsache, dass, wenn jemand anklopft, darin ein Unternehmen ist, das weiß, was es mit den Daten von Personen macht.

Das Muster für wenige Euro bewahrt Sie nicht vor einer Sanktion aus demselben Grund, aus dem ein nie überprüfter Feuerlöscher einen Brand nicht löscht: Das Objekt ist da, die Funktion nicht. Niemand verbietet Ihnen, es zu kaufen, aber verwechseln Sie es nicht mit der fertigen Arbeit. Die Arbeit beginnt am Tag nach dem Kauf, wenn sich jemand hinsetzt und fragt: Beschreiben diese Dokumente wirklich, was wir mit den Daten machen?

Sie haben ein Kit gekauft und haben jetzt Zweifel, dass es nur Altpapier ist? Lassen Sie uns gemeinsam einen Realitätscheck machen, das erste Gespräch ist kostenlos.