DSGVO-Rechenschaftspflicht

Worum es geht

Das DSGVO-Rechenschaftsprinzip (Art. 5 Abs. 2) ist die Pflicht, die die DSGVO von früheren Datenschutzregimen unterscheidet: Der Verantwortliche muss nicht nur die Vorschriften einhalten, er muss die Einhaltung durch dokumentierte Nachweise BELEGEN. Für SAP-Analytics-Berater, die personenbezogene Daten von Kunden verarbeiten, kaskadieren die Rechenschaftspflichten durch ihre gesamte Arbeit — und das Fehlen von Dokumentation ist selbst bereits ein Compliance-Verstoß, unabhängig davon, ob tatsächlich ein Schaden eingetreten ist.

Die vier Säulen der Dokumentation. (1) Verzeichnis von Verarbeitungstätigkeiten (ROPA, Art. 30) — jeder Berater, der als Auftragsverarbeiter tätig ist, muss für jeden Kunden ein Verzeichnis der Verarbeitungstätigkeiten führen, einschließlich Datenkategorien, Verarbeitungszwecken, Aufbewahrungsfristen, Übermittlungen und Sicherheitsmaßnahmen. (2) DPIA (Datenschutz-Folgenabschätzung, Art. 35) — erforderlich, wenn die Verarbeitung „hohes Risiko“ birgt (umfangreiche personenbezogene Daten, besondere Kategorien, automatisierte Entscheidungsfindung, Überwachung). SAP-Analytics-Arbeit an Kundensegmentierungsmodellen oder HR-Analytics löst typischerweise die DPIA-Pflicht aus. (3) Aufzeichnungen zu Anfragen betroffener Personen — erhält der Kunde eine Anfrage zu Betroffenenrechten (Auskunft, Berichtigung, Löschung), muss der Auftragsverarbeiter die Beantwortung innerhalb der gesetzlichen Fristen unterstützen. Dokumentation belegt die Kooperation. (4) Vorfallregister — jeder Verstoß gegen den Schutz personenbezogener Daten (auch solche unterhalb der Meldeschwelle) wird mit Datum, Umfang, Gegenmaßnahmen und Lessons Learned protokolliert.

Warum Einzelberater unzureichend dokumentieren. Drei Gründe. (1) Dokumentation wirkt bis zur ersten Prüfung wie unnötiger Aufwand; Berater akzeptieren das Risiko stillschweigend. (2) Werkzeuge sind auf E-Mail, Projekt-Tracker verstreut, es gibt kein einheitliches ROPA-Register. (3) Die Grenze zwischen „Verantwortlichem“ und „Auftragsverarbeiter“ verschwimmt mitunter (der Berater trifft eigenständige Entscheidungen zur Datenstruktur → unbemerktes Abdriften in eine gemeinsame Verantwortlichkeit). Die meisten CNIL-Prüfungen finden Dokumentationslücken, keinen tatsächlichen Datenmissbrauch.

Warum es zählt

• Die meisten CNIL-Prüfungen finden Dokumentationslücken, keinen tatsächlichen Datenmissbrauch — das Risiko liegt im Papierkram selbst, nicht in der zugrunde liegenden Praxis.
• SAP-Analytics-Arbeit an Kundensegmentierungs- oder HR-Analytics-Modellen löst typischerweise die DPIA-Pflicht nach der Schwelle „hohes Risiko“ in Art. 35 aus.
• Die Grenze zwischen Verantwortlichem und Auftragsverarbeiter verschwimmt, wenn ein Berater eigenständige Entscheidungen zur Datenstruktur trifft — ein unbemerktes Abdriften in eine gemeinsame Verantwortlichkeit.

Kernpunkte

• Art. 5 Abs. 2: Compliance durch dokumentierte Nachweise belegen.
• Vier Säulen: ROPA · DPIA · Aufzeichnungen zu Betroffenenanfragen · Vorfallregister.
• ROPA pro Kunde, vierteljährliche Aktualisierung.
• DPIA bei > 10.000 betroffenen Personen ODER besonderen Kategorien.
• Vorfälle unterhalb der Meldeschwelle werden trotzdem intern protokolliert.
• CNIL 2024-2026: Priorität auf B2B-Dienstleister.
• Investition: 800 € Vorlage + ~4 Std./Quartal/Kunde.
• Statusabdriften in gemeinsame Verantwortlichkeit = Rechenschaftsfalle.

Begriffe auf dieser Seite

Rechenschaftsprinzip

DSGVO-Anforderung nach Art. 5 Abs. 2, Compliance zu BELEGEN, nicht nur zu erreichen.

ROPA (Verzeichnis von Verarbeitungstätigkeiten)

Verzeichnis nach Art. 30, das Verarbeitungstätigkeiten je Verantwortlichenbeziehung dokumentiert.

DPIA (Datenschutz-Folgenabschätzung)

Risikobewertung nach Art. 35 für risikoreiche Verarbeitung (umfangreich, besondere Kategorien, automatisiert).

DSR (Anfrage einer betroffenen Person)

Recht der betroffenen Person auf Auskunft/Berichtigung/Löschung. Der Auftragsverarbeiter unterstützt die Antwort des Verantwortlichen.

Vorfallregister

Internes Protokoll aller Verstöße gegen den Schutz personenbezogener Daten, einschließlich Ereignissen unterhalb der 72-Stunden-Meldeschwelle.

Statusabdriften

Unbeabsichtigtes Abdriften des Auftragsverarbeiters in eine gemeinsame Verantwortlichkeit durch eigenständige Entscheidungen zur Datenstruktur.

Selbstprüfung

Jährliche Überprüfung im vierten Quartal von ROPA + DPIA + Vorfallregister + Nachweisen der Kooperation bei DSR.

TIA (Transferfolgenabschätzung)

Durch Schrems II vorgeschriebene fallbezogene Dokumentation für Übermittlungen personenbezogener Daten außerhalb des EWR.

Quellen

1. EUR-Lex — Regulation (EU) 2016/679 (GDPR), Articles 5, 30, 35 and 83
2. news.sap.com — Autonomous Enterprise: business transformation management for SAP AI agents at work at scale (AI Agent Hub, 2026-09)
3. CNIL — French data protection authority guidance portal
4. EUR-Lex — Regulation (EU) 2024/1689 (AI Act), Article 10 data governance
5. GDPR Article 5 — Principles, para. 2 accountability (unofficial reproduction of the Regulation)
6. GDPR Article 30 — Records of processing activities (controller and processor content, SME exemption in para. 5)
7. GDPR Article 35 — Data protection impact assessment (high-risk triggers)
8. GDPR Article 33 — Personal data breach notification (72 hours; processor duty)
9. GDPR Article 83 — Administrative fines (ceilings applicable to Art. 30, 33, 35 breaches: 2 %/EUR 10m)
10. ICO — Guide to accountability and governance (how a regulator expects accountability to be evidenced)
11. CNIL — Le registre des activités de traitement (template and guidance for the Art. 30 register)
12. CNIL — Analyse d'impact relative à la protection des données (AIPD) (when and how to run a DPIA)
13. EDPB — Guidelines 07/2020 on controller and processor concepts (controller/processor drift and joint controllership)
14. EU AI Act Article 10 — Data and data governance (EUR-Lex; documented governance for high-risk training/validation/test data)
15. European Commission — AI Omnibus enters into force (27 July 2026; Annex III high-risk rules from 2 December 2027)