Konzeptkarte

DSGVO-Rechenschaftspflicht

Stand 2026-07-23

Redaktion: Cédric-Olivier Mâry, alleiniger Redakteur und verantwortlich für die Veröffentlichung — 27 Jahre im SAP-Ökosystem. Wie diese Seiten entstehen und wo Automatisierung eingesetzt wird.

Was ist DSGVO-Rechenschaftspflicht?

Nach Art. 5(2) DSGVO IST das Fehlen dokumentierter Nachweise bereits der Compliance-Verstoß – unabhängig davon, ob tatsächlich ein Schaden eingetreten ist.

Worum es geht

Das DSGVO-Rechenschaftsprinzip (Art. 5 Abs. 2) ist die Pflicht, die die DSGVO von früheren Datenschutzregimen unterscheidet: Der Verantwortliche muss nicht nur die Vorschriften einhalten, er muss die Einhaltung durch dokumentierte Nachweise BELEGEN. Für SAP-Analytics-Berater, die personenbezogene Daten von Kunden verarbeiten, kaskadieren die Rechenschaftspflichten durch ihre gesamte Arbeit — und das Fehlen von Dokumentation ist selbst bereits ein Compliance-Verstoß, unabhängig davon, ob tatsächlich ein Schaden eingetreten ist.

Die vier Säulen der Dokumentation. (1) Verzeichnis von Verarbeitungstätigkeiten (ROPA, Art. 30) — jeder Berater, der als Auftragsverarbeiter tätig ist, muss für jeden Kunden ein Verzeichnis der Verarbeitungstätigkeiten führen, einschließlich Datenkategorien, Verarbeitungszwecken, Aufbewahrungsfristen, Übermittlungen und Sicherheitsmaßnahmen. (2) DPIA (Datenschutz-Folgenabschätzung, Art. 35) — erforderlich, wenn die Verarbeitung „hohes Risiko" birgt (umfangreiche personenbezogene Daten, besondere Kategorien, automatisierte Entscheidungsfindung, Überwachung). SAP-Analytics-Arbeit an Kundensegmentierungsmodellen oder HR-Analytics löst typischerweise die DPIA-Pflicht aus. (3) Aufzeichnungen zu Anfragen betroffener Personen — erhält der Kunde eine Anfrage zu Betroffenenrechten (Auskunft, Berichtigung, Löschung), muss der Auftragsverarbeiter die Beantwortung innerhalb der gesetzlichen Fristen unterstützen. Dokumentation belegt die Kooperation. (4) Vorfallregister — jeder Verstoß gegen den Schutz personenbezogener Daten (auch solche unterhalb der Meldeschwelle) wird mit Datum, Umfang, Gegenmaßnahmen und Lessons Learned protokolliert.

Warum es zählt

Die meisten CNIL-Prüfungen finden Dokumentationslücken, keinen tatsächlichen Datenmissbrauch — das Risiko liegt im Papierkram selbst, nicht in der zugrunde liegenden Praxis.
SAP-Analytics-Arbeit an Kundensegmentierungs- oder HR-Analytics-Modellen löst typischerweise die DPIA-Pflicht nach der Schwelle „hohes Risiko" in Art. 35 aus.
Die Grenze zwischen Verantwortlichem und Auftragsverarbeiter verschwimmt, wenn ein Berater eigenständige Entscheidungen zur Datenstruktur trifft — ein unbemerktes Abdriften in eine gemeinsame Verantwortlichkeit.

Kernpunkte

Art. 5 Abs. 2: Compliance durch dokumentierte Nachweise belegen.
Vier Säulen: ROPA · DPIA · Aufzeichnungen zu Betroffenenanfragen · Vorfallregister.
ROPA pro Kunde, vierteljährliche Aktualisierung.
DPIA bei > 10.000 betroffenen Personen ODER besonderen Kategorien.
Vorfälle unterhalb der Meldeschwelle werden trotzdem intern protokolliert.
CNIL 2024-2026: Priorität auf B2B-Dienstleister.
Investition: 800 € Vorlage + ~4 Std./Quartal/Kunde.
Statusabdriften in gemeinsame Verantwortlichkeit = Rechenschaftsfalle.
DSGVO-Rechenschaftspflicht ist erst beherrscht, wenn es eine benannte Käuferentscheidung verändert.
Beginnen Sie mit dem semantischen Vertrags- und Kontrollmodell, bevor Sie das Werkzeug demonstrieren.

Begriffe auf dieser Seite

Rechenschaftsprinzip: DSGVO-Anforderung nach Art. 5 Abs. 2, Compliance zu BELEGEN, nicht nur zu erreichen.
ROPA (Verzeichnis von Verarbeitungstätigkeiten): Verzeichnis nach Art. 30, das Verarbeitungstätigkeiten je Verantwortlichenbeziehung dokumentiert.
DPIA (Datenschutz-Folgenabschätzung): Risikobewertung nach Art. 35 für risikoreiche Verarbeitung (umfangreich, besondere Kategorien, automatisiert).
DSR (Anfrage einer betroffenen Person): Recht der betroffenen Person auf Auskunft/Berichtigung/Löschung. Der Auftragsverarbeiter unterstützt die Antwort des Verantwortlichen.
Vorfallregister: Internes Protokoll aller Verstöße gegen den Schutz personenbezogener Daten, einschließlich Ereignissen unterhalb der 72-Stunden-Meldeschwelle.
Statusabdriften: Unbeabsichtigtes Abdriften des Auftragsverarbeiters in eine gemeinsame Verantwortlichkeit durch eigenständige Entscheidungen zur Datenstruktur.
Selbstprüfung: Jährliche Überprüfung im vierten Quartal von ROPA + DPIA + Vorfallregister + Nachweisen der Kooperation bei DSR.
TIA (Transferfolgenabschätzung): Durch Schrems II vorgeschriebene fallbezogene Dokumentation für Übermittlungen personenbezogener Daten außerhalb des EWR.

Quellen

Vollständige Karte für Mitglieder. Was die vollständige Karte ergänzt: die Kurzreferenz · die Architekturschemata · die Codeblöcke.

In der App öffnen →