Datenschutzmanagementsystem (DSMS): Aufbau, Pflichten und erste Schritte

Ein Datenschutzmanagementsystem (DSMS) ist der feste Ablauf, mit dem ein Unternehmen seine Datenschutzpflichten plant, umsetzt, überprüft und nachweist. Die DSGVO fordert kein Produkt mit diesem Namen, wohl aber das Ergebnis: Nach Art. 5 Abs. 2 DSGVO müssen Sie die Einhaltung der Datenschutzgrundsätze nachweisen können. Ein DSMS ist der organisierte Weg zu diesem Nachweis.

Das Wichtigste in Kürze

• Der Begriff „Datenschutzmanagementsystem“ steht nicht in der DSGVO. Die Pflichten dahinter stehen in Art. 5 Abs. 2, Art. 24, Art. 30 und Art. 32 DSGVO.
• Kern ist die Rechenschaftspflicht: Sie müssen belegen können, dass Ihre Verarbeitungen rechtmäßig ablaufen.
• Ein DSMS ist ein Kreislauf, kein Projekt mit Enddatum. Art. 24 Abs. 1 DSGVO verlangt, Maßnahmen „erforderlichenfalls“ zu überprüfen und zu aktualisieren.
• Pflichtbausteine sind das Verzeichnis von Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen, Prozesse für Betroffenenrechte und Datenpannen sowie Schulungen.
• Die Aufsichtsbehörden beschreiben im Standard-Datenschutzmodell einen Managementprozess in vier Phasen. Daran können Sie sich orientieren.

Was ist ein Datenschutzmanagementsystem?

Ein Datenschutzmanagementsystem ist die Summe aller Zuständigkeiten, Dokumente und wiederkehrenden Abläufe, mit denen Sie Datenschutz im Betrieb steuern. Es beantwortet vier Fragen:

• Welche personenbezogenen Daten verarbeiten wir?
• Mit welchen Maßnahmen schützen wir sie?
• Wer prüft das wann?
• Wie belegen wir das gegenüber einer Aufsichtsbehörde?

Der Vergleich zum Qualitätsmanagement trägt weit. Auch dort geht es nicht um einen Ordner, sondern um einen Regelkreis mit festen Verantwortlichkeiten. Entscheidend ist die Wiederholung: Ein einmal erstelltes Datenschutzkonzept veraltet mit jedem neuen Tool und jedem neuen Prozess.

Ein DSMS ersetzt keine rechtliche Bewertung im Einzelfall. Es sorgt dafür, dass die Bewertung stattfindet, dokumentiert wird und nachvollziehbar bleibt.

Welche Pflichten der DSGVO ein DSMS abdeckt

Die DSGVO verteilt die Anforderungen über mehrere Artikel. Ein DSMS bündelt sie:

Norm	Was sie verlangt
Art. 5 Abs. 2 DSGVO	Rechenschaftspflicht: Der Verantwortliche muss die Einhaltung der Grundsätze nachweisen können.
Art. 24 Abs. 1 DSGVO	Geeignete technische und organisatorische Maßnahmen umsetzen, den Nachweis erbringen können und die Maßnahmen erforderlichenfalls überprüfen und aktualisieren.
Art. 25 Abs. 1 DSGVO	Datenschutz durch Technikgestaltung: Maßnahmen bereits bei der Festlegung der Mittel treffen.
Art. 30 DSGVO	Verzeichnis aller Verarbeitungstätigkeiten führen, schriftlich oder elektronisch, und es der Aufsichtsbehörde auf Anfrage vorlegen.
Art. 32 Abs. 1 DSGVO	Sicherheit der Verarbeitung, ausdrücklich einschließlich eines Verfahrens zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen.
Art. 35 Abs. 1 DSGVO	Datenschutz-Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko zur Folge hat.

Welche Grundsätze des Datenschutzes nach Art. 5 DSGVO dabei im Hintergrund wirken, sollten alle Beteiligten kennen. Sie sind der Maßstab, an dem die Nachweise gemessen werden.

Ein praktischer Nebeneffekt: Nach Art. 83 Abs. 2 Buchst. d DSGVO berücksichtigen Aufsichtsbehörden bei der Entscheidung über eine Geldbuße auch den Grad der Verantwortung unter Berücksichtigung der nach Art. 25 und 32 DSGVO getroffenen Maßnahmen. Dokumentierte Maßnahmen sind damit mehr als Bürokratie.

Das Verzeichnis von Verarbeitungstätigkeiten als Fundament

Ohne Verzeichnis von Verarbeitungstätigkeiten (VVT) fehlt dem DSMS die Grundlage. Art. 30 Abs. 1 DSGVO nennt den Pflichtinhalt: Kontaktdaten des Verantwortlichen und eines etwaigen Datenschutzbeauftragten, Zwecke der Verarbeitung, Kategorien betroffener Personen und von Daten, Kategorien von Empfängern sowie – wenn möglich – eine allgemeine Beschreibung der Maßnahmen nach Art. 32 Abs. 1 DSGVO.

Die Ausnahme in Art. 30 Abs. 5 DSGVO für Unternehmen mit weniger als 250 Beschäftigten greift in der Praxis selten. Sie entfällt, sobald die Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien nach Art. 9 Abs. 1 DSGVO einschließt. Personalverwaltung und Kundendaten laufen regelmäßig dauerhaft.

Wie Sie ein VVT strukturieren und welche Angaben in welche Spalte gehören, zeigt unser Whitepaper Einführung ins Verzeichnis von Verarbeitungstätigkeiten (VVT).

Whitepaper zum VVT ansehen

Die sieben Gewährleistungsziele als Ordnungsrahmen

Die deutschen Aufsichtsbehörden haben mit dem Standard-Datenschutzmodell (SDM) eine Methode veröffentlicht, um rechtliche Anforderungen in technische und organisatorische Maßnahmen zu übersetzen. Die aktuelle Version 3.1 wurde am 14. Mai 2024 von der 107. Konferenz der unabhängigen Datenschutzaufsichtsbehörden beschlossen.

Das SDM benennt sieben Gewährleistungsziele des Datenschutzes: Datenminimierung, Verfügbarkeit, Integrität, Vertraulichkeit, Nichtverkettung, Transparenz und Intervenierbarkeit. Verfügbarkeit, Integrität und Vertraulichkeit kennen Sie aus der Informationssicherheit. Die vier weiteren Ziele ergänzen die Perspektive der betroffenen Personen.

Für ein DSMS sind die Ziele vor allem eine Sortierhilfe. Ordnen Sie jede Maßnahme einem Ziel zu, dann sehen Sie schnell, wo nichts hinterlegt ist. Fehlt zum Ziel Intervenierbarkeit jeder Eintrag, fehlen in der Regel die Prozesse für Betroffenenrechte.

Der Managementprozess in vier Phasen

Das SDM beschreibt den Datenschutzmanagement-Prozess in Anlehnung an den PDCA-Zyklus aus dem Qualitätsmanagement. Die vier Phasen lauten dort: Plan (Planen, Spezifizieren, Datenschutz-Folgenabschätzung, Dokumentieren), Do (Implementieren, Protokollieren), Check (Kontrollieren, Prüfen, Beurteilen) und Act (Verbessern).

Der Ablauf ist einfacher, als die Begriffe klingen. In der Planung legen Sie Soll-Werte fest, also welche Maßnahmen eine Verarbeitung braucht. Im Betrieb setzen Sie sie um.

In der Kontrolle vergleichen Sie Soll und Ist und beurteilen, ob verbleibende Risiken tragbar sind. In der letzten Phase verbessern Sie, wo die Prüfung Lücken gezeigt hat.

Diese Kontrollphase ist der Teil, der in vielen Unternehmen fehlt. Art. 32 Abs. 1 Buchst. d DSGVO verlangt sie ausdrücklich: ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen. Für Websites und Online-Shops lässt sich dieser Schritt mit dem Datenschutz WebAudit von außen abdecken.

Wer das DSMS betreibt

Verantwortlich bleibt die Geschäftsführung. Das ändert sich auch dann nicht, wenn eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter benannt ist. Nach Art. 39 Abs. 1 Buchst. b DSGVO überwacht diese Person die Einhaltung der Vorschriften, einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen. Überwachen ist nicht dasselbe wie umsetzen.

Ob eine Benennung Pflicht ist, richtet sich in Deutschland nach § 38 Abs. 1 BDSG: Ergänzend zu Art. 37 Abs. 1 Buchst. b und c DSGVO ist eine Benennung nötig, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Personenzahl gilt die Pflicht, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen oder Daten geschäftsmäßig zur Übermittlung oder für Markt- und Meinungsforschung verarbeitet werden.

Zum DSMS gehören außerdem feste Zuständigkeiten in den Fachabteilungen. Wer eine neue Software einführt, muss wissen, dass die Meldung an den Datenschutz Teil des Beschaffungsprozesses ist.

In sieben Schritten zum DSMS

Der folgende Ablauf hat sich für kleine und mittlere Unternehmen bewährt, die bei null anfangen:

1. Zuständigkeiten klären. Benennen Sie eine verantwortliche Person in der Geschäftsführung und je Fachbereich eine Ansprechperson.
2. Verarbeitungen erfassen. Gehen Sie Abteilung für Abteilung durch und listen Sie jede Verarbeitung mit Zweck, Datenkategorien und Empfängern.
3. Rechtsgrundlagen zuordnen. Halten Sie je Verarbeitung fest, worauf sie sich stützt und wie lange die Daten aufbewahrt werden.
4. Risiken bewerten. Prüfen Sie je Verarbeitung, ob ein hohes Risiko vorliegt und damit eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig ist.
5. Maßnahmen dokumentieren. Ordnen Sie technische und organisatorische Maßnahmen den Verarbeitungen zu, nicht dem Unternehmen als Ganzem.
6. Prozesse aufsetzen. Legen Sie Abläufe für Betroffenenanfragen, Datenpannen, Auftragsverarbeiter und neue Tools fest, mit Fristen und Zuständigkeit.
7. Kontrolltermine setzen. Planen Sie feste Prüfungen, mindestens jährlich, und dokumentieren Sie Ergebnis und Nachbesserung.

Die Schritte 2 bis 7 lassen sich in Tabellen abbilden. Ab einer gewissen Zahl von Verarbeitungen wird das mühsam, weil Versionen, Fristen und Nachweise auseinanderlaufen. Unser Datenschutzmanagementsystem (DSMS) hält Verarbeitungstätigkeiten, Maßnahmen und Audits mit Checklisten und Vorlagen an einer Stelle zusammen.

Datenschutzmanagementsystem DSMS ansehen

Zwei Prozesse lohnen besondere Aufmerksamkeit, weil beide unter Zeitdruck ablaufen: Auskunftsersuchen nach Art. 15 DSGVO und der Fall, dass Sie eine Datenpanne melden und dokumentieren müssen. Wer hier erst im Ernstfall nach dem Ablauf sucht, verliert Tage.

Wie ein erstes Datenschutzkonzept entsteht, beschreibt das Beratungsteam von WIEMER ARNDT, unserem Schwesterunternehmen, im Beitrag Datenschutzkonzept erstellen. Für den Aufbau mit Begleitung im Einzelfall gibt es dort die Datenschutzberatung von WIEMER ARNDT.

Häufige Fragen

Ist ein Datenschutzmanagementsystem Pflicht?

Der Begriff selbst steht nicht in der DSGVO, die Pflichten dahinter schon. Art. 5 Abs. 2 und Art. 24 Abs. 1 DSGVO verlangen den Nachweis der Einhaltung und überprüfbare Maßnahmen. Wie Sie das organisieren, bleibt Ihnen überlassen.

Reicht eine Excel-Tabelle als DSMS?

Für wenige Verarbeitungen kann eine Tabelle genügen, solange Zuständigkeiten, Fristen und Prüfergebnisse darin stehen. Art. 30 Abs. 3 DSGVO lässt das Verzeichnis ausdrücklich in elektronischer Form zu. Mit wachsender Zahl an Prozessen und Nachweisen wird die Versionspflege zum Problem.

Wie oft muss ein DSMS überprüft werden?

Die DSGVO nennt kein Intervall. Art. 24 Abs. 1 DSGVO fordert eine Überprüfung „erforderlichenfalls“, Art. 32 Abs. 1 Buchst. d DSGVO ein Verfahren zur regelmäßigen Überprüfung. In der Praxis hat sich ein jährlicher Durchgang bewährt, zusätzlich anlassbezogen bei neuen Tools, neuen Prozessen oder nach einem Vorfall.

Was ist der Unterschied zwischen DSMS und ISMS?

Ein Informationssicherheitsmanagementsystem (ISMS) schützt die Daten einer Organisation, unabhängig von einem Personenbezug. Ein DSMS betrachtet dieselben Maßnahmen aus Sicht der betroffenen Personen und deckt zusätzlich Rechtmäßigkeit, Betroffenenrechte und Transparenz ab. Die Schutzziele Verfügbarkeit, Integrität und Vertraulichkeit überschneiden sich.

Brauchen wir dafür einen Datenschutzbeauftragten?

Nicht zwingend. Nach § 38 Abs. 1 BDSG ist eine Benennung ab in der Regel mindestens 20 ständig mit automatisierter Verarbeitung beschäftigten Personen Pflicht, davor nur in den dort genannten Sonderfällen. Ein DSMS müssen Sie trotzdem betreiben, die Verantwortung liegt bei der Geschäftsführung.

Quellen

• Verordnung (EU) 2016/679 (DSGVO), Art. 5, 24, 25, 30, 32, 35, 39 und 83
• § 38 BDSG – Datenschutzbeauftragte nichtöffentlicher Stellen
• Datenschutzkonferenz: Das Standard-Datenschutzmodell, Version 3.1 (2024)
• Datenschutzkonferenz: Anwendungshinweise und Standard-Datenschutzmodell

Stand: Oktober 2026. Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.

Wenn Sie Verarbeitungstätigkeiten, Maßnahmen und Prüftermine nicht länger über mehrere Dateien verteilen möchten, bündelt unser Datenschutzmanagementsystem (DSMS) Dokumentation und workflowgesteuerte Audits in einem Zugang. So bleiben Nachweise an einer Stelle und der jährliche Durchgang hat eine feste Struktur.