Vier Führungsaufgaben — und was ein Verstoß wirklich kostet

Weisen, einweisen, erreichbar sein, vorher fragen. Vier Aufgaben, keine davon braucht juristisches Wissen. Und bei der Bemessung einer Geldbuße zählt nach Art. 83 Abs. 2 ausdrücklich mit, was vorher eingerichtet war.

Warum das wichtig ist

Das Weisen hat eine Grundlage im Gesetz: Art. 32 Abs. 4 verlangt „Schritte, um sicherzustellen", dass unterstellte Personen Daten nur auf Anweisung verarbeiten. Schritte unternehmen heißt: Es gibt eine Weisung, die Leute kennen sie, und jemand sieht gelegentlich nach. Fehlt die Weisung, ist eine falsche Handhabung keine Nachlässigkeit des Mitarbeiters, sondern eine Lücke in der Organisation.

Beim Einweisen wird die Gegenbewegung fast immer vergessen: Wer eine Aufgabe abgibt, verliert die Rechte dazu. Die meisten überflüssigen Zugriffe entstehen nicht beim Verteilen, sondern beim Nichtwegnehmen.

Und zur Erreichbarkeit gehört eine Haltung, die wichtiger ist als jedes Formular: Wer einen Fehler meldet, wird dafür nicht getadelt. Sonst wird beim nächsten Mal nicht gemeldet, sondern gehofft — und die 72-Stunden-Frist beginnt erst mit der Kenntnis des Unternehmens.

Was das Gesetz sagt

Art. 32 Abs. 4 DSGVO

„Der Verantwortliche und der Auftragsverarbeiter unternehmen Schritte, um sicherzustellen, dass ihnen unterstellte natürliche Personen, die Zugang zu personenbezogenen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten"

Art. 83 Abs. 2 S. 2 lit. b DSGVO

„Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes"

Art. 83 Abs. 2 S. 2 lit. d DSGVO

„Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen"

Art. 82 Abs. 1 DSGVO

„Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter."

So macht man es richtig

1. Nichts Neues ohne vorherige Prüfung — Werkzeug, Auswertung, Datenquelle.
2. Jeden Dienstleister vor dem ersten Datensatz klären: Rolle und Vertrag.
3. Entscheidungen aufschreiben: drei Sätze und ein Datum.
4. Den Meldeweg kennen und erreichbar bleiben — auch für unangenehme Nachrichten.
5. Rechte zurücknehmen, wenn eine Aufgabe abgegeben wird.

Stand: 11.10.2026